Notebook langsam - mein Log-File

claudi66 · 12.05.2008, 08:39

Hallo,

ich habe mein Notebook wegen einem Virenbefall und unnöitger Software complett formatiert und Neu gemacht. Alles neu installiert und weil ich keinen Treiber für Intel/Wirelesslan mehr hatte, habe ich diesen von Toshiba runtergeladen. Und Spyware Doctor installiert. SpywareDoctor fand keinen Befall, dann habe ich Spywarefighter downgeloaded auch der fand nichts...
wenn ich jedoch im Internet bin, kann ich nach kurzer Zeit nichts tun, ausser wenn ich gewisse Prozesse schließe (siehe unten)

Mein Notebook:
Toshiba Satellit M40; Windows XP Professional; ATI-Graphikkarte;

Seit dem habe ich in meinem Task-Manager folgende einträge:

RegSrvc.exe
pctsSvc.exe
Dot1XCfg.exe
TvxTray.exe
TAPPSRV.exe
S24EvMon.exe
ZCfgSVC.exe
iFrmewrk.exe

ich weiss nicht was diese sollen? Virus oder irgendwas ?

hier mein Logfile dazu

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:51:36, on 12.05.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.17184)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\WINDOWS\system32\PSIService.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\Toshiba\Toshiba Applet\thotkey.exe
C:\Programme\TOSHIBA\Tvs\TvsTray.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Apoint2K\Apoint.exe
C:\Programme\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Visagesoft\eXPert PDF\vspdfprsrv.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\Programme\SPYWAREfighter\spftray.exe
C:\Programme\Corel\Corel MediaOne\Corel Photo Downloader.exe
C:\WINDOWS\system32\Rundll32.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\FRITZ!DSL\StCenter.exe
C:\Programme\Apoint2K\Apntex.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programme\SPYWAREfighter\spfprc.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\SearchProtocolHost.exe
C:\Programme\totalcmd\TOTALCMD.EXE
c:\Dokumente und Einstellungen\XXXXXXXX\Eigene Dateien\Download\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: (no name) - {0302e20f-00e8-49bb-9f12-c805eabc06e2} - (no file)
O2 - BHO: Groove GFS Browser Helper - {72853161-30c5-4d22-b7f9-0bbc1d38a37e} - C:\Programme\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: (no name) - {f6725edc-93ff-479b-a98b-c5b9e3c44864} - (no file)
O4 - HKLM\..\Run: [THotkey] C:\Programme\Toshiba\Toshiba Applet\thotkey.exe
O4 - HKLM\..\Run: [Tvs] C:\Programme\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [PadTouch] C:\Programme\TOSHIBA\Touch and Launch\PadExe.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] C:\Programme\Analog Devices\SoundMAX\Smax4.exe /tray
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [vspdfprsrv.exe] C:\Programme\Visagesoft\eXPert PDF\vspdfprsrv.exe --background
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [spywarefighterguard] C:\Programme\SPYWAREfighter\spftray.exe
O4 - HKLM\..\Run: [Corel Photo Downloader] "C:\Programme\Corel\Corel MediaOne\Corel Photo Downloader.exe" -startup
O4 - HKLM\..\Run: [BMaff17fcf] Rundll32.exe "C:\WINDOWS\system32\ihlqdjyu.dll",s
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: FRITZ!DSL Startcenter.lnk = C:\Programme\FRITZ!DSL\StCenter.exe
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000a-7350-4f3c-8081-5663ee0c6c49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000a-7350-4f3c-8081-5663ee0c6c49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780b25-18cc-41c8-b9be-3c9c571a8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: groovelocalgws - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Programme\Microsoft Office\Office12\GrooveSystemServices.dll
O20 - Winlogon Notify: crypt - C:\WINDOWS\SYSTEM32\crypts.dll
O20 - Winlogon Notify: ljjypjkk - ljJYPjkK.dll (file missing)
O23 - Service: ati hotkey poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AVM IGD CTRL Service AVMSpooler (avmspooler) - Unknown owner - C:\WINDOWS\system32\1028q.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (evteng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Hilfe und Support helpsvcTAPPSRV (helpsvctappsrv) - Unknown owner - C:\WINDOWS\system32\advapi32q.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (regsrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (s24eventmonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: SPYWAREfighterRP (spywarefighterrp) - SpamFighter APS - C:\Programme\SPYWAREfighter\spfprc.exe
O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Programme\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe

--
End of file - 8123 bytes

bitte um Hilfe, vielen Dank

Gruss Claudi

**Sunny** · 12.05.2008, 09:37

Hallo claudi66 und

Dateien Online überprüfen lassen:

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

lass auch die versteckten Dateien anzeigen!

Zitat:

C:\WINDOWS\system32\1028q.exe
C:\WINDOWS\system32\advapi32q.exe

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)

Fixen/Löschen mit Hijackthis

Hijackthis starten -> Do a system scan only -> einen Haken setzen in folgende weiße Kästchen:

Zitat:

O2 - BHO: (no name) - {0302e20f-00e8-49bb-9f12-c805eabc06e2} - (no file)
O2 - BHO: (no name) - {f6725edc-93ff-479b-a98b-c5b9e3c44864} - (no file)
O4 - HKLM\..\Run: [BMaff17fcf] Rundll32.exe "C:\WINDOWS\system32\ihlqdjyu.dll",s
O20 - Winlogon Notify: crypt - C:\WINDOWS\SYSTEM32\crypts.dll
O20 - Winlogon Notify: ljjypjkk - ljJYPjkK.dll (file missing)

Wenn alle Einträge angehakt sind, klick auf den Button -> "Fix checked"
Der Rechner startet nun neu...

Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here")

Code:

ATTFilter

Files to delete:
C:\WINDOWS\system32\ihlqdjyu.dll
C:\WINDOWS\SYSTEM32\crypts.dll

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

claudi66 · 12.05.2008, 13:47

hey danke für die schnelle Antwort

habe gleich versucht den Anweisungen zu folgen

also:
1)
hijack --> alles gelöscht

2)
advapi32q.exe
________________________________________
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.10.0 2008.05.10 -
AntiVir 7.8.0.17 2008.05.11 TR/Crypt.XPACK.Gen
Authentium 5.1.0.4 2008.05.11 -
Avast 4.8.1169.0 2008.05.11 -
AVG 7.5.0.516 2008.05.11 Agent.ULY
BitDefender 7.2 2008.05.08 -
CAT-QuickHeal 9.50 2008.05.10 Backdoor.IRCBot.cub
ClamAV 0.92.1 2008.05.12 -
DrWeb 4.44.0.09170 2008.05.12 -
eSafe 7.0.15.0 2008.05.12 Suspicious File
eTrust-Vet 31.4.5781 2008.05.12 -
Ewido 4.0 2008.05.11 -
F-Prot 4.4.2.54 2008.05.12 -
F-Secure 6.70.13260.0 2008.05.12 Backdoor.Win32.IRCBot.cub
Fortinet 3.14.0.0 2008.05.12 W32/IRCBot.CUB!tr.bdr
GData 2.0.7306.1023 2008.05.12 Backdoor.Win32.IRCBot.cub
Ikarus T3.1.1.26.0 2008.05.12 Backdoor.Win32.Bifrose.afc
Kaspersky 7.0.0.125 2008.05.12 Backdoor.Win32.IRCBot.cub
McAfee 5292 2008.05.10 -
Microsoft 1.3408 2008.05.12 -
NOD32v2 3092 2008.05.12 -
Norman 5.80.02 2008.05.09 -
Panda 9.0.0.4 2008.05.11 -
Prevx1 V2 2008.05.12 System Back Door
Rising 20.44.02.00 2008.05.12 -
Sophos 4.29.0 2008.05.12 Mal/Generic-A
Sunbelt 3.0.1114.0 2008.05.12 -
Symantec 10 2008.05.12 -
TheHacker 6.2.92.307 2008.05.12 Backdoor/IRCBot.cub
VBA32 3.12.6.5 2008.05.12 Backdoor.Win32.IRCBot.cub
VirusBuster 4.3.26:9 2008.05.11 -
Webwasher-Gateway 6.6.2 2008.05.11 Trojan.Crypt.XPACK.Gen
weitere Informationen
File size: 41984 bytes
MD5...: cfa7ef28a01ae79a4c392ecddb874bf5
SHA1..: 8441997d4df78be56cef47d890b39684f8e9b09d
SHA256: 2864560bd96279118455ecef088908904e75c78f11eecbf75f81177d19de0d5b
SHA512: a32051743076c2cc64e361667cf286c952a36aaf75f1d8966c52991231f8a7b8
4e07644aa433bf7b3a61422a6d15f152e09af2823e417c1cda489610e3c823be
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x40e000
timedatestamp.....: 0x4808c738 (Fri Apr 18 16:07:20 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xb434 0x5e00 7.99 d8e33ed61df565ce4096339871a6fbb2
.rsrc 0xd000 0x10 0x200 0.00 bf619eac0cdf3f68d496ea9344137e8b
.hdlv 0xe000 0x26ff 0x3000 6.42 1c074bca75c6b8a13b5c9fdb388aa3f5
.idata 0x11000 0xaa 0x1000 0.25 3fee56fa4d8b5f2aa03153ec45134f59

( 2 imports )
> kernel32.dll: VirtualQuery, GetLastError
> gdi32.dll: CancelDC

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramte...A24900B0CD13A0

___________________________________________________________________

1028q.exe

o bytes size received / se ha recibido unarchivo vacio

3)
avenger.txt:

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "qandr" found!
DisplayName: qandr
ImagePath: \??\C:\WINDOWS\system32\drivers\qandr.sys
Start Type: 2 (Automatic)

Rootkit scan completed.

File "c:\windows\system32\ihlqdjyu.dll" deleted successfully.

Error: could not open file "c\windows\system32\crypts.dll"
Deletion of file "c\windows\system32\crypts.dll" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist

Completed script processing.

*******************

Finished! Terminate.

so jetzt hab ich glaub alles...

**Sunny** · 12.05.2008, 15:25

Dateien Online überprüfen lassen:

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

lass auch die versteckten Dateien anzeigen!

Zitat:

C:\WINDOWS\system32\drivers\qandr.sys

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)

ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen.

claudi66 · 12.05.2008, 16:03

nun weiter:

die qandr.sys habe ich nicht gefunden

und das combofix lautet:

______________________________________________________

ComboFix 08-05-11.1 - ******** 2008-05-12 16:43:39.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.544 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\**********\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Programme\Helper
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\bqzpas.sys
C:\WINDOWS\system32\crypts.dll
C:\WINDOWS\system32\jTDcLRqr.ini
C:\WINDOWS\system32\jTDcLRqr.ini2
C:\WINDOWS\system32\loxlirkq.ini

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_bqzpas

((((((((((((((((((((((( Dateien erstellt von 2008-04-12 bis 2008-05-12 ))))))))))))))))))))))))))))))
.

2008-05-12 16:47 . 2008-05-12 16:47 53,248 --a------ C:\Temp\catchme.dll
2008-05-12 11:07 . 2008-05-12 11:06 41,984 -r-hs---- C:\WINDOWS\system32\adsntr.exe
2008-05-12 09:10 . 2008-05-12 09:11 <DIR> d-------- C:\Dokumente und Einstellungen\**********\Anwendungsdaten\FRITZ!
2008-05-11 22:14 . 2008-05-11 22:14 <DIR> d-------- C:\4e2997e983f7aa00e16fcc3a258ee8
2008-05-11 22:05 . 2008-05-11 22:05 <DIR> d-------- C:\Programme\Support Tools
2008-05-11 18:40 . 2008-05-11 18:40 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\eXPert PDF 4
2008-05-11 18:33 . 2008-05-11 18:33 <DIR> d-------- C:\WINDOWS\My Documents
2008-05-11 18:33 . 2008-05-11 18:33 <DIR> d-------- C:\Programme\Visagesoft
2008-05-11 18:33 . 2008-05-11 18:33 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\eXPert PDF Jobs
2008-05-11 18:33 . 2008-05-11 18:33 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\eXPert PDF
2008-05-11 18:33 . 2005-06-02 12:40 14,336 --a------ C:\WINDOWS\system32\vsmon1.dll
2008-05-11 17:00 . 2008-05-11 17:20 <DIR> d-------- C:\Dokumente und Einstellungen\**********\Stickerei
2008-05-10 20:29 . 2008-05-10 20:29 54,156 --ah----- C:\WINDOWS\QTFont.qfn
2008-05-10 20:29 . 2008-05-10 20:29 1,409 --a------ C:\WINDOWS\QTFont.for
2008-05-10 18:58 . 2008-05-12 16:48 <DIR> d-a------ C:\Temp
2008-05-10 18:41 . 2008-05-10 18:41 <DIR> d-------- C:\Programme\MSXML 6.0
2008-05-10 18:17 . 2008-05-10 18:17 29 --a------ C:\WINDOWS\system32\iuqefdao.tmp
2008-05-09 12:18 . 2008-05-09 12:19 <DIR> d-------- C:\Programme\ATI Technologies
2008-05-09 11:23 . 2008-05-09 11:23 <DIR> d-------- C:\WINDOWS\system32\config\systemprofile\Anwendungsdaten\Intel
2008-05-09 11:23 . 2008-05-09 11:23 <DIR> d-------- C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\Intel
2008-05-09 11:23 . 2008-05-09 11:23 <DIR> d-------- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Intel
2008-05-09 11:23 . 2008-05-09 11:23 <DIR> d-------- C:\Dokumente und Einstellungen\**********\Anwendungsdaten\Intel
2008-05-09 11:23 . 2008-05-09 11:23 21,361 --a------ C:\WINDOWS\system32\drivers\AegisP.sys
2008-05-09 11:23 . 2008-05-09 11:23 21,361 --a------ C:\WINDOWS\AegisP.sys
2008-05-09 11:23 . 2008-05-09 11:23 13,984 --a------ C:\WINDOWS\AegisP.inf
2008-05-09 11:23 . 2008-05-09 11:23 10,640 --a------ C:\WINDOWS\AegisP.cat
2008-05-09 11:22 . 2008-05-09 11:22 <DIR> d-------- C:\Programme\Intel
2008-05-09 11:22 . 2008-05-09 11:22 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Intel
2008-05-08 23:28 . 2008-05-08 23:28 552 --a------ C:\WINDOWS\system32\d3d8caps.dat
2008-05-08 22:36 . 2001-08-18 04:52 382,592 --a--c--- C:\WINDOWS\system32\dllcache\atidrab.dll
2008-05-08 22:36 . 2001-08-18 04:52 382,592 --a------ C:\WINDOWS\system32\atidrab.dll
2008-05-08 22:36 . 2001-08-18 04:19 289,920 --a------ C:\WINDOWS\system32\drivers\atimpab.sys
2008-05-08 22:36 . 2001-08-18 04:19 289,920 --a--c--- C:\WINDOWS\system32\dllcache\atimpab.sys
2008-05-08 22:36 . 2001-08-18 04:54 37,376 --a--c--- C:\WINDOWS\system32\dllcache\atievxx.exe
2008-05-08 22:36 . 2001-08-18 04:54 37,376 --a------ C:\WINDOWS\system32\atievxx.exe
2008-05-08 22:23 . 2008-05-08 22:23 10 --a------ C:\WINDOWS\WININIT.INI
2008-05-08 14:43 . 2008-05-08 14:43 <DIR> d-------- C:\Programme\Microsoft Works
2008-05-08 14:42 . 2008-05-08 14:42 <DIR> d-------- C:\Programme\MSBuild
2008-05-08 14:33 . 2008-05-08 14:41 <DIR> d-------- C:\WINDOWS\SHELLNEW
2008-05-08 14:31 . 2008-05-08 14:31 <DIR> dr-h----- C:\MSOCache
2008-05-07 23:10 . 2008-05-07 23:10 <DIR> d-------- C:\Programme\Free Windows Registry Cleaner
2008-05-07 22:21 . 2008-05-07 22:21 <DIR> d-------- C:\Programme\IrfanView
2008-05-07 22:04 . 2008-05-07 22:32 210,944 --a------ C:\WINDOWS\system32\msvcrt10.dll
2008-05-07 21:36 . 2008-05-07 22:32 53,248 --a------ C:\WINDOWS\system32\plugin.dll
2008-05-07 20:18 . 2008-05-07 20:18 20 --a------ C:\WINDOWS\TemplateWizard.INI
2008-05-07 20:09 . 2008-05-07 20:10 <DIR> d-------- C:\Dokumente und Einstellungen\**********\Anwendungsdaten\eXPert PDF Editor
2008-05-06 23:39 . 2008-05-07 09:04 <DIR> d-------- C:\WINDOWS\SxsCaPendDel
2008-05-06 20:58 . 2008-05-06 20:58 <DIR> d-------- C:\Dokumente und Einstellungen\**********\Anwendungsdaten\Jasc
2008-05-06 20:52 . 2008-05-06 20:53 <DIR> d-------- C:\Programme\Jasc Software Inc
2008-05-06 18:16 . 2008-05-06 18:16 41,984 -r-hs---- C:\WINDOWS\system32\advapi32q.exe
2008-05-06 10:26 . 2008-05-06 10:26 <DIR> d-------- C:\Dokumente und Einstellungen\**********\Anwendungsdaten\Ulead Systems
2008-05-06 08:45 . 2008-05-11 18:17 109,774 --a------ C:\WINDOWS\BMaff17fcf.xml
2008-05-06 08:24 . 2008-05-10 19:15 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Corel
2008-05-06 08:14 . 2008-05-06 08:19 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Ulead Systems
2008-05-06 08:02 . 2008-05-10 19:14 <DIR> d-------- C:\Dokumente und Einstellungen\**********\Anwendungsdaten\Corel
2008-05-06 01:02 . 2008-05-06 01:02 <DIR> d-------- C:\Programme\Total Uninstall 4
2008-05-06 01:02 . 2008-05-06 01:02 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Martau
2008-05-06 00:14 . 2008-05-08 14:56 <DIR> d-------- C:\Programme\Corel
2008-05-05 17:54 . 2008-05-05 17:54 48,585 --a------ C:\WINDOWS\system32\appendg.sys
2008-05-05 17:54 . 2008-05-05 17:54 23,040 --ahs---- C:\WINDOWS\system32\adptifq.dll
2008-05-05 17:52 . 2008-05-05 17:52 37,888 -r-hs---- C:\WINDOWS\system32\1028q.exe
2008-05-05 17:52 . 2008-05-12 11:07 32 --a-s---- C:\WINDOWS\system32\356842519.dat
2008-05-05 17:27 . 2008-05-06 00:35 116 --a------ C:\WINDOWS\NeroDigital.ini
2008-05-05 16:48 . 2008-05-05 16:49 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Ulead Systems
2008-05-05 16:34 . 2008-05-12 16:06 <DIR> d-------- C:\Programme\Spyware Doctor
2008-05-05 16:34 . 2008-05-05 16:34 <DIR> d-------- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\PC Tools
2008-05-05 16:34 . 2008-05-12 16:41 <DIR> d-a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-05-05 16:34 . 2007-12-10 14:53 81,288 --a------ C:\WINDOWS\system32\drivers\iksyssec.sys
2008-05-05 16:34 . 2007-12-10 14:53 66,952 --a------ C:\WINDOWS\system32\drivers\iksysflt.sys
2008-05-05 16:34 . 2008-02-01 12:55 42,376 --a------ C:\WINDOWS\system32\drivers\ikfilesec.sys
2008-05-05 16:34 . 2007-12-10 14:53 29,576 --a------ C:\WINDOWS\system32\drivers\kcom.sys
2008-05-04 21:23 . 2008-05-04 21:23 <DIR> d-------- C:\Dokumente und Einstellungen\Claudia\Anwendungsdaten\Windows Desktop Search
2008-05-04 21:19 . 2008-05-05 17:27 <DIR> d-------- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Ahead
2008-05-04 21:17 . 2008-05-04 21:17 <DIR> d-------- C:\Programme\Nero
2008-05-04 21:17 . 2008-05-04 21:17 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Ahead
2008-05-04 20:31 . 2008-05-04 20:31 <DIR> d-------- C:\Programme\Windows Desktop Search
2008-05-04 20:30 . 2006-09-15 14:36 192,000 -----c--- C:\WINDOWS\system32\dllcache\offfilt.dll
2008-05-04 20:30 . 2006-09-15 14:36 98,304 -----c--- C:\WINDOWS\system32\dllcache\nlhtml.dll
2008-05-03 23:49 . 2008-05-05 17:29 <DIR> d-------- C:\Programme\BMSEV
2008-05-03 23:49 . 2008-05-03 23:49 <DIR> d-------- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\BMSEV
2008-05-03 23:49 . 2008-05-03 23:49 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BMSEV
2008-05-03 23:48 . 2006-10-26 19:56 32,592 --a------ C:\WINDOWS\system32\msonpmon.dll
2008-05-03 23:20 . 2008-05-03 23:20 <DIR> d-------- C:\Programme\MS Office
2008-05-03 20:45 . 2006-08-21 11:14 128,896 -----c--- C:\WINDOWS\system32\dllcache\fltmgr.sys
2008-05-03 20:45 . 2006-08-21 11:14 23,040 -----c--- C:\WINDOWS\system32\dllcache\fltmc.exe
2008-05-03 20:45 . 2006-08-21 14:26 16,896 -----c--- C:\WINDOWS\system32\dllcache\fltlib.dll
2008-05-03 20:43 . 2008-05-03 20:43 <DIR> d-------- C:\Programme\MSXML 4.0
2008-05-03 20:17 . 2008-05-04 20:31 <DIR> d-------- C:\WINDOWS\system32\de-de
2008-05-03 20:17 . 2008-05-03 20:18 <DIR> d--h-c--- C:\WINDOWS\ie8
2008-05-03 20:09 . 2007-07-09 15:11 584,192 -----c--- C:\WINDOWS\system32\dllcache\rpcrt4.dll
2008-05-02 19:34 . 2008-05-02 19:34 <DIR> d-------- C:\Programme\QuickTime
2008-05-02 19:33 . 2008-05-02 19:34 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple Computer
2008-05-02 19:32 . 2008-05-02 19:32 <DIR> d-------- C:\Programme\Namo
2008-05-02 19:16 . 2007-07-30 19:19 271,224 --a------ C:\WINDOWS\system32\mucltui.dll
2008-05-02 19:16 . 2007-07-30 19:19 207,736 --a------ C:\WINDOWS\system32\muweb.dll
2008-05-02 19:16 . 2007-07-30 19:18 30,072 --a------ C:\WINDOWS\system32\mucltui.dll.mui
2008-05-02 19:05 . 2008-05-12 08:46 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft Help
2008-05-02 18:35 . 2008-05-02 18:35 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\FLEXnet
2008-05-02 17:16 . 2008-05-02 17:16 <DIR> d-------- C:\Programme\Bonjour
2008-05-02 17:10 . 2008-05-02 17:10 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Macrovision Shared
2008-05-02 17:08 . 2008-05-02 17:15 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Adobe
2008-05-02 16:51 . 2008-05-02 16:51 <DIR> d-------- C:\Dokumente und Einstellungen\LocalService\Startmen
2008-05-02 16:14 . 2008-05-02 16:51 316,640 --a------ C:\WINDOWS\WMSysPr9.prx
2008-05-02 16:13 . 2008-05-02 16:13 <DIR> d-------- C:\WINDOWS\provisioning
2008-05-02 16:13 . 2008-05-02 16:13 <DIR> d-------- C:\WINDOWS\peernet
2008-05-02 16:12 . 2008-05-02 16:12 <DIR> d-------- C:\WINDOWS\ServicePackFiles
2008-05-02 16:04 . 2008-05-02 16:14 <DIR> d-------- C:\WINDOWS\EHome
2008-05-02 16:01 . 2008-05-02 16:01 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\InstallShield
2008-05-02 16:01 . 2008-05-10 19:15 1,682 --ahs---- C:\WINDOWS\system32\KGyGaAvL.sys
2008-05-02 15:19 . 2002-04-15 21:11 67,866 --------- C:\WINDOWS\system32\drivers\netwlan5.img
2008-05-02 15:19 . 2004-08-04 00:58 11,776 --------- C:\WINDOWS\system32\spnpinst.exe
2008-05-02 15:19 . 2004-08-02 14:20 7,208 --------- C:\WINDOWS\system32\secupd.sig
2008-05-02 15:19 . 2004-08-02 14:20 4,569 --------- C:\WINDOWS\system32\secupd.dat
2008-05-02 15:17 . 2008-05-02 15:17 <DIR> d-------- C:\Programme\Gemeinsame Dateien\AVM
2008-05-02 15:17 . 2008-05-02 15:17 <DIR> d-------- C:\Programme\FRITZ!DSL
2008-05-02 15:17 . 2008-05-02 15:17 <DIR> d-------- C:\Programme\FRITZ!Box
2008-05-02 15:17 . 2002-01-05 04:48 974,848 --a------ C:\WINDOWS\system32\mfc70.dll
2008-05-02 15:17 . 2005-03-04 11:35 361,472 --a------ C:\WINDOWS\system32\drivers\Netfwdsl.sys
2008-05-02 15:17 . 2002-01-05 03:37 344,064 --a------ C:\WINDOWS\system32\msvcr70.dll
2008-05-02 15:17 . 1998-11-17 13:44 328,704 --a------ C:\WINDOWS\IsUn0407.exe
2008-05-02 15:17 . 2005-03-09 16:59 53,760 -ra------ C:\WINDOWS\system32\avmadd32.dll
2008-05-02 15:17 . 2003-04-15 16:54 31,232 --a------ C:\WINDOWS\system32\i2errDeu.dll
2008-05-02 15:17 . 2005-03-04 11:28 28,160 --a------ C:\WINDOWS\system32\drivers\Aadev.sys
2008-05-02 15:17 . 2005-03-04 11:35 11,264 --a------ C:\WINDOWS\system32\drivers\NETDSL.SYS
2008-05-02 15:17 . 2005-03-04 12:34 3,069 --a------ C:\WINDOWS\system32\NETDSL.INF

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-11 16:32 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-05-07 10:00 --------- d-----w C:\Dokumente und Einstellungen\*****\Anwendungsdaten\MSN6
2008-05-02 11:19 --------- d-----w C:\Programme\Gemeinsame Dateien\InstallShield
2008-05-02 11:14 --------- d-----w C:\Programme\totalcmd
2008-05-01 17:46 --------- d-----w C:\Programme\Ipswitch
2008-05-01 17:46 --------- d-----w C:\Dokumente und Einstellungen\Claudia\Anwendungsdaten\Ipswitch
2008-05-01 17:46 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Ipswitch
2008-05-01 17:45 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\MSN6
2008-05-01 17:10 --------- d-----w C:\Programme\microsoft frontpage
2008-05-01 17:08 --------- d-----w C:\Programme\Online-Dienste
2008-05-01 17:07 --------- d-----w C:\Programme\Gemeinsame Dateien\Dienste
2008-03-20 08:03 1,845,376 ----a-w C:\WINDOWS\system32\win32k.sys
2008-03-03 18:53 78,336 ----a-w C:\WINDOWS\system32\ieencode.dll
2008-03-03 18:52 830,464 ----a-w C:\WINDOWS\system32\wininet.dll
2008-03-03 18:52 41,984 ----a-w C:\WINDOWS\system32\licmgr10.dll
2008-03-03 18:52 17,920 ----a-w C:\WINDOWS\system32\corpol.dll
2008-03-03 18:52 142,848 ------w C:\WINDOWS\system32\IESetting.dll
2008-03-03 18:51 69,120 ----a-w C:\WINDOWS\system32\iesetup.dll
2008-03-03 18:51 69,120 ----a-w C:\WINDOWS\system32\admparse.dll
2008-03-03 18:51 434,176 ----a-w C:\WINDOWS\system32\vbscript.dll
2008-03-03 18:50 48,128 ----a-w C:\WINDOWS\system32\mshtmler.dll
2008-03-03 18:50 45,568 ----a-w C:\WINDOWS\system32\mshta.exe
2008-03-03 18:50 36,352 ----a-w C:\WINDOWS\system32\imgutil.dll
2008-03-03 18:43 156,160 ----a-w C:\WINDOWS\system32\msls31.dll
2008-02-20 06:50 282,624 ----a-w C:\WINDOWS\system32\gdi32.dll
2008-02-20 05:33 45,568 ----a-w C:\WINDOWS\system32\dnsrslvr.dll
.

------- Sigcheck -------

2006-04-20 13:51 359808 1dbf125862891817f374f407626967f4 C:\WINDOWS\$hf_mig$\KB917953\SP2GDR\tcpip.sys
2006-04-20 14:18 360576 b2220c618b42a2212a59d91ebd6fc4b4 C:\WINDOWS\$hf_mig$\KB917953\SP2QFE\tcpip.sys
2007-10-30 18:53 360832 64798ecfa43d78c7178375fcdd16d8c8 C:\WINDOWS\$hf_mig$\KB941644\SP2QFE\tcpip.sys
2006-04-20 13:38 340480 b8158e2a6112c0a5ca67bc158fc70218 C:\WINDOWS\$NtServicePackUninstall$\tcpip.sys
2004-08-04 08:14 359040 9f4b36614a0fc234525ba224957de55c C:\WINDOWS\$NtUninstallKB917953$\tcpip.sys
2003-04-02 16:00 332928 244a2f9816bc9b593957281ef577d976 C:\WINDOWS\$NtUninstallKB917953_0$\tcpip.sys
2006-04-20 13:51 359808 1dbf125862891817f374f407626967f4 C:\WINDOWS\$NtUninstallKB941644$\tcpip.sys
2004-08-04 08:14 359040 1745b00fc1141404b28f4b94f69a8871 C:\WINDOWS\ServicePackFiles\i386\tcpip.sys
md5deep: C:\WINDOWS\SoftwareDistribution\Download\28401d44e28d5fe988966badd69aee22\sp1qfe\tcpip.sys: No such file or directory
md5deep: C:\WINDOWS\SoftwareDistribution\Download\28401d44e28d5fe988966badd69aee22\sp2gdr\tcpip.sys: No such file or directory
md5deep: C:\WINDOWS\SoftwareDistribution\Download\28401d44e28d5fe988966badd69aee22\sp2qfe\tcpip.sys: No such file or directory
2007-10-30 19:20 360064 90caff4b094573449a0872a0f919b178 C:\WINDOWS\SoftwareDistribution\Download\2ad3df909e43001c668b20ec211136d0\sp2gdr\tcpip.sys
2007-10-30 18:53 360832 64798ecfa43d78c7178375fcdd16d8c8 C:\WINDOWS\SoftwareDistribution\Download\2ad3df909e43001c668b20ec211136d0\sp2qfe\tcpip.sys
md5deep: C:\WINDOWS\SoftwareDistribution\Download\84e71ea11258afcace4e790f6b073745\tcpip.sys: No such file or directory
2007-10-30 19:20 360064 ecf02439fd31bbd0dbc2ec05600cf08a C:\WINDOWS\system32\dllcache\tcpip.sys
2007-10-30 19:20 360064 ecf02439fd31bbd0dbc2ec05600cf08a C:\WINDOWS\system32\drivers\tcpip.sys
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2004-10-13 18:24 1694208]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 09:57 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"THotkey"="C:\Programme\Toshiba\Toshiba Applet\thotkey.exe" [2005-04-25 09:15 339968]
"Tvs"="C:\Programme\TOSHIBA\Tvs\TvsTray.exe" [2005-04-05 16:25 73728]
"PadTouch"="C:\Programme\TOSHIBA\Touch and Launch\PadExe.exe" [2004-11-17 10:56 1077327]
"TFncKy"="TFncKy.exe" []
"SoundMAXPnP"="C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe" [2004-07-27 13:48 1388544]
"AGRSMMSG"="AGRSMMSG.exe" [2005-04-28 13:24 88363 C:\WINDOWS\agrsmmsg.exe]
"Apoint"="C:\Programme\Apoint2K\Apoint.exe" [2005-04-28 13:30 192512]
"NWEReboot"="" []
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 11:50 155648]
"Ulead AutoDetector v2"="C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe" [2007-08-02 21:08 95504]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2006-09-01 15:57 282624]
"IntelZeroConfig"="C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe" [2007-10-08 14:18 995328]
"IntelWireless"="C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" [2007-10-08 14:13 1101824]
"ATIPTA"="C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2005-03-22 21:05 339968]
"vspdfprsrv.exe"="C:\Programme\Visagesoft\eXPert PDF\vspdfprsrv.exe" [2006-05-04 06:58 998912]
"GrooveMonitor"="C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 07:00 33648]
"Corel Photo Downloader"="C:\Programme\Corel\Corel MediaOne\Corel Photo Downloader.exe" [2007-08-17 11:50 483144]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 09:57 15360]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= C:\Programme\Windows Desktop Search\MSNLNamespaceMgr.dll [2007-02-05 15:39 294400]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Bonjour\\mDNSResponder.exe"=
"C:\\Programme\\Namo\\WebEditor 6\\bin\\WebEditor.exe"=
"C:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"C:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"C:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1723:TCP"= 1723:TCP:@xpsp2res.dll,-22015
"1701:UDP"= 1701:UDP:@xpsp2res.dll,-22016
"500:UDP"= 500:UDP:@xpsp2res.dll,-22017

S2 avmspooler;AVM IGD CTRL Service AVMSpooler;C:\WINDOWS\system32\1028q.exe [2008-05-05 17:52]
S2 helpsvctappsrv;Hilfe und Support helpsvcTAPPSRV;C:\WINDOWS\system32\advapi32q.exe [2008-05-06 18:16]
S2 tlntsvrw32time;Telnet TlntSvrW32Time;C:\WINDOWS\system32\adsntr.exe [2008-05-12 11:06]

.
Inhalt des "geplante Tasks" Ordners
"2008-05-06 07:04:00 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
"2008-05-08 20:53:07 C:\WINDOWS\Tasks\ErrorSmart Scheduled Scan.job"
- C:\Programme\ErrorSmart\ErrorSmart.ex
- C:\Programme\ErrorSmart
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-12 16:47:38
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

C:\WINDOWS\system32\drivers\qandr.sys 124416 bytes executable

Scan erfolgreich abgeschlossen
versteckte Dateien: 1

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\qandr]
"ImagePath"="\??\C:\WINDOWS\system32\drivers\qandr.sys"
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\ati2evxx.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\ati2evxx.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\WINDOWS\system32\PSIService.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\Programme\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe
C:\WINDOWS\system32\searchindexer.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\Programme\Apoint2K\ApntEx.exe
C:\Programme\FRITZ!DSL\StCenter.exe
C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-05-12 16:52:13 - machine was rebooted
ComboFix-quarantined-files.txt 2008-05-12 14:52:09

8 Verzeichnis(se), 59,984,494,592 Bytes frei
11 Verzeichnis(se), 60,948,369,408 Bytes frei

286 --- E O F --- 2008-05-12 06:47:07

Gruss Claudi

**Sunny** · 12.05.2008, 16:10

Dateien Online überprüfen lassen:

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

lass auch die versteckten Dateien anzeigen!

Zitat:

C:\WINDOWS\system32\iuqefdao.tmp
C:\WINDOWS\system32\appendg.sys
C:\WINDOWS\system32\adptifq.dll
C:\WINDOWS\system32\1028q.exe
C:\WINDOWS\system32\adsntr.exe
C:\WINDOWS\system32\advapi32q.exe

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)

claudi66 · 12.05.2008, 17:50

advapi32q.exe:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.10.0 2008.05.10 -
AntiVir 7.8.0.17 2008.05.12 TR/Crypt.XPACK.Gen
Authentium 5.1.0.4 2008.05.11 -
Avast 4.8.1169.0 2008.05.11 -
AVG 7.5.0.516 2008.05.12 Agent.ULY
BitDefender 7.2 2008.05.08 -
CAT-QuickHeal 9.50 2008.05.12 Backdoor.IRCBot.cub
ClamAV 0.92.1 2008.05.12 -
DrWeb 4.44.0.09170 2008.05.12 -
eSafe 7.0.15.0 2008.05.12 Suspicious File
eTrust-Vet 31.4.5781 2008.05.12 -
Ewido 4.0 2008.05.12 -
F-Prot 4.4.2.54 2008.05.12 -
F-Secure 6.70.13260.0 2008.05.12 Backdoor.Win32.IRCBot.cub
Fortinet 3.14.0.0 2008.05.12 W32/IRCBot.CUB!tr.bdr
GData 2.0.7306.1023 2008.05.12 Backdoor.Win32.IRCBot.cub
Ikarus T3.1.1.26.0 2008.05.12 Backdoor.Win32.Bifrose.afc
Kaspersky 7.0.0.125 2008.05.12 Backdoor.Win32.IRCBot.cub
McAfee 5292 2008.05.10 -
Microsoft 1.3408 2008.05.12 -
NOD32v2 3093 2008.05.12 -
Norman 5.80.02 2008.05.09 -
Panda 9.0.0.4 2008.05.11 -
Prevx1 V2 2008.05.12 System Back Door
Rising 20.44.02.00 2008.05.12 -
Sophos 4.29.0 2008.05.12 Mal/Generic-A
Sunbelt 3.0.1114.0 2008.05.12 -
Symantec 10 2008.05.12 -
TheHacker 6.2.92.307 2008.05.12 Backdoor/IRCBot.cub
VBA32 3.12.6.5 2008.05.12 Backdoor.Win32.IRCBot.cub
VirusBuster 4.3.26:9 2008.05.11 -
Webwasher-Gateway 6.6.2 2008.05.12 Trojan.Crypt.XPACK.Gen
weitere Informationen
File size: 41984 bytes
MD5...: cfa7ef28a01ae79a4c392ecddb874bf5
SHA1..: 8441997d4df78be56cef47d890b39684f8e9b09d
SHA256: 2864560bd96279118455ecef088908904e75c78f11eecbf75f81177d19de0d5b
SHA512: a32051743076c2cc64e361667cf286c952a36aaf75f1d8966c52991231f8a7b8
4e07644aa433bf7b3a61422a6d15f152e09af2823e417c1cda489610e3c823be
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x40e000
timedatestamp.....: 0x4808c738 (Fri Apr 18 16:07:20 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xb434 0x5e00 7.99 d8e33ed61df565ce4096339871a6fbb2
.rsrc 0xd000 0x10 0x200 0.00 bf619eac0cdf3f68d496ea9344137e8b
.hdlv 0xe000 0x26ff 0x3000 6.42 1c074bca75c6b8a13b5c9fdb388aa3f5
.idata 0x11000 0xaa 0x1000 0.25 3fee56fa4d8b5f2aa03153ec45134f59

( 2 imports )
> kernel32.dll: VirtualQuery, GetLastError
> gdi32.dll: CancelDC

( 0 exports )

Prevx info: ADSMSEXTO.EXE - Prevx
______________________________________________________________

adsntr.exe:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.10.0 2008.05.10 -
AntiVir 7.8.0.17 2008.05.12 TR/Crypt.XPACK.Gen
Authentium 5.1.0.4 2008.05.11 -
Avast 4.8.1169.0 2008.05.11 -
AVG 7.5.0.516 2008.05.12 -
BitDefender 7.2 2008.05.08 -
CAT-QuickHeal 9.50 2008.05.12 (Suspicious) - DNAScan
ClamAV 0.92.1 2008.05.12 -
DrWeb 4.44.0.09170 2008.05.12 -
eSafe 7.0.15.0 2008.05.12 Suspicious File
eTrust-Vet 31.4.5781 2008.05.12 -
Ewido 4.0 2008.05.12 -
F-Prot 4.4.2.54 2008.05.12 -
F-Secure 6.70.13260.0 2008.05.12 -
Fortinet 3.14.0.0 2008.05.12 -
GData 2.0.7306.1023 2008.05.12 -
Ikarus T3.1.1.26 2008.05.12 Backdoor.Win32.Bifrose.afc
Kaspersky 7.0.0.125 2008.05.12 -
McAfee 5292 2008.05.10 -
Microsoft 1.3408 2008.05.12 -
NOD32v2 3093 2008.05.12 -
Norman 5.80.02 2008.05.09 -
Panda 9.0.0.4 2008.05.11 -
Prevx1 V2 2008.05.12 Malicious Software
Rising 20.44.02.00 2008.05.12 -
Sophos 4.29.0 2008.05.12 Sus/UnkPacker
Sunbelt 3.0.1114.0 2008.05.12 -
Symantec 10 2008.05.12 -
TheHacker 6.2.92.307 2008.05.12 -
VBA32 3.12.6.5 2008.05.12 -
VirusBuster 4.3.26:9 2008.05.11 -
Webwasher-Gateway 6.6.2 2008.05.12 Trojan.Crypt.XPACK.Gen
weitere Informationen
File size: 41984 bytes
MD5...: a43a1501a1c6bce00d0e1d8c7053af9a
SHA1..: 41860e0090293eb3c7634fd071aef061efac1d22
SHA256: e13ee5366f0b4ecef48499fb73c03ff9609ecf752ae2855b8e8a4d0182b6f6f1
SHA512: 382b48ae3e711100683ee2dd8204b3f5eda893a1136c5341a583275d957f3263
3c7c48ea1fdacc43c2f481e2a23aec84bcb2fde6c81712434a12b88f1dd0eece
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x40e000
timedatestamp.....: 0x4808c738 (Fri Apr 18 16:07:20 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xb434 0x5e00 7.99 759c89e249a27686f31dab2ad83e4a3a
.rsrc 0xd000 0x10 0x200 0.00 bf619eac0cdf3f68d496ea9344137e8b
.zrv 0xe000 0x24e9 0x3000 6.21 e62da9576b79e217f2c484e762bf34a9
.idata 0x11000 0xa7 0x1000 0.24 88dfcd2e7c26aaf0c6ae58d33b52d375

( 2 imports )
> kernel32.dll: lstrcmpiA, GetLastError
> gdi32.dll: CancelDC

( 0 exports )

Prevx info: 33321873.EXE - Prevx
______________________________________________________________

adptifg.dll

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.10.0 2008.05.10 -
AntiVir 7.8.0.17 2008.05.12 TR/Crypt.XPACK.Gen
Authentium 5.1.0.4 2008.05.11 -
Avast 4.8.1169.0 2008.05.11 -
AVG 7.5.0.516 2008.05.12 -
BitDefender 7.2 2008.05.08 -
CAT-QuickHeal 9.50 2008.05.12 Backdoor.Zapchast
ClamAV 0.92.1 2008.05.12 -
DrWeb 4.44.0.09170 2008.05.12 -
eSafe 7.0.15.0 2008.05.12 -
eTrust-Vet 31.4.5781 2008.05.12 -
Ewido 4.0 2008.05.12 -
F-Prot 4.4.2.54 2008.05.12 -
F-Secure 6.70.13260.0 2008.05.12 Backdoor.Win32.Zapchast
Fortinet 3.14.0.0 2008.05.12 -
GData 2.0.7306.1023 2008.05.12 Backdoor.Win32.Zapchast
Ikarus T3.1.1.26 2008.05.12 Backdoor.Win32.Bifrose.afc
Kaspersky 7.0.0.125 2008.05.12 Backdoor.Win32.Zapchast
McAfee 5292 2008.05.10 -
Microsoft 1.3408 2008.05.12 Backdoor:Win32/Momibot.gen!C
NOD32v2 3093 2008.05.12 -
Norman 5.80.02 2008.05.09 W32/Smalltroj.EBUY
Panda 9.0.0.4 2008.05.11 Bck/Bifrose.BFB
Prevx1 V2 2008.05.12 Malware Downloader
Rising 20.44.02.00 2008.05.12 -
Sophos 4.29.0 2008.05.12 Mal/Generic-A
Sunbelt 3.0.1114.0 2008.05.12 Backdoor.Win32.Momibot
Symantec 10 2008.05.12 -
TheHacker 6.2.92.307 2008.05.12 Backdoor/Zapchast
VBA32 3.12.6.5 2008.05.12 -
VirusBuster 4.3.26:9 2008.05.11 -
Webwasher-Gateway 6.6.2 2008.05.12 Trojan.Crypt.XPACK.Gen
weitere Informationen
File size: 23040 bytes
MD5...: 941e4bf0d7ede40f3a62e5d0ccfbf426
SHA1..: 904142a525fe4fdc50f1a61d789d86e756720a5c
SHA256: ca94e1df0cc6b04df322b166a2db41975659f66e2c6f0fe65cfeeb2a902839de
SHA512: 22682fd39b09fd1979bd71091bd2a6cb5d1ef2f1291100fb8b186557cb5e70f1
5326dc6fd4de7e68d0bbdaae9b3463cd6be685e3d54e42d973ba8820a4b231b4
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10005000
timedatestamp.....: 0x4808c65c (Fri Apr 18 16:03:40 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x25ac 0x1400 7.97 39425995ca1d8ce2d5e366830cc90960
.rsrc 0x4000 0x10 0x200 0.00 bf619eac0cdf3f68d496ea9344137e8b
.lbnjt 0x5000 0x26e8 0x3000 6.57 b68a2a5043f2d437a188e0e8887f4a0a
.idata 0x8000 0xb6 0x1000 0.25 477f228448d97c41685e05e334434fe1

( 2 imports )
> kernel32.dll: GetWindowsDirectoryW, GetLastError
> user32.dll: DestroyMenu

( 0 exports )

Prevx info: AMCOMPATQ.DLL - Prevx
______________________________________________________________

appendg.sys

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.10.0 2008.05.10 -
AntiVir 7.8.0.17 2008.05.12 -
Authentium 5.1.0.4 2008.05.11 -
Avast 4.8.1169.0 2008.05.11 -
AVG 7.5.0.516 2008.05.12 -
BitDefender 7.2 2008.05.08 -
CAT-QuickHeal 9.50 2008.05.12 -
ClamAV 0.92.1 2008.05.12 -
DrWeb 4.44.0.09170 2008.05.12 -
eSafe 7.0.15.0 2008.05.12 -
eTrust-Vet 31.4.5781 2008.05.12 -
Ewido 4.0 2008.05.12 -
F-Prot 4.4.2.54 2008.05.10 -
F-Secure 6.70.13260.0 2008.05.12 -
Fortinet 3.14.0.0 2008.05.12 -
GData 2.0.7306.1023 2008.05.12 -
Ikarus T3.1.1.26.0 2008.05.12 -
Kaspersky 7.0.0.125 2008.05.12 -
McAfee 5292 2008.05.10 -
Microsoft 1.3408 2008.05.12 -
NOD32v2 3093 2008.05.12 -
Norman 5.80.02 2008.05.09 -
Panda 9.0.0.4 2008.05.11 -
Prevx1 V2 2008.05.12 -
Rising 20.44.02.00 2008.05.12 -
Sophos 4.29.0 2008.05.12 -
Sunbelt 3.0.1114.0 2008.05.12 -
Symantec 10 2008.05.12 -
TheHacker 6.2.92.307 2008.05.12 -
VBA32 3.12.6.5 2008.05.12 -
VirusBuster 4.3.26:9 2008.05.11 -
Webwasher-Gateway 6.6.2 2008.05.12 -
weitere Informationen
File size: 48585 bytes
MD5...: a3811e0b0f045c56dc17a3caa9d476e5
SHA1..: d46ba779af569b68a676045cf899eecf5dc7fec0
SHA256: b44dde5004df4d79289d7161404af45c59521fe033ba1356988c19947b072d54
SHA512: 6e5403617c8a46570273f3ad714619bb321cc88ab9eee3b7af01fc8b1dcef6fa
4fed9ddc33e7d9053263f90cb1e25505f09dda0509344e4d3ddf806cd1ffd381
PEiD..: -
PEInfo: -

________________________________________________________

juqefdao.tmp

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.10.0 2008.05.10 -
AntiVir 7.8.0.17 2008.05.12 -
Authentium 5.1.0.4 2008.05.11 -
Avast 4.8.1169.0 2008.05.11 -
AVG 7.5.0.516 2008.05.12 -
BitDefender 7.2 2008.05.08 -
CAT-QuickHeal 9.50 2008.05.12 -
ClamAV 0.92.1 2008.05.12 -
DrWeb 4.44.0.09170 2008.05.12 -
eSafe 7.0.15.0 2008.05.12 -
eTrust-Vet 31.4.5781 2008.05.12 -
Ewido 4.0 2008.05.12 -
F-Prot 4.4.2.54 2008.05.10 -
F-Secure 6.70.13260.0 2008.05.12 -
Fortinet 3.14.0.0 2008.05.12 -
GData 2.0.7306.1023 2008.05.12 -
Ikarus T3.1.1.26.0 2008.05.12 -
Kaspersky 7.0.0.125 2008.05.12 -
McAfee 5292 2008.05.10 -
Microsoft 1.3408 2008.05.12 -
NOD32v2 3093 2008.05.12 -
Norman 5.80.02 2008.05.09 -
Panda 9.0.0.4 2008.05.11 -
Prevx1 V2 2008.05.12 -
Rising 20.44.02.00 2008.05.12 -
Sophos 4.29.0 2008.05.12 -
Sunbelt 3.0.1114.0 2008.05.12 -
Symantec 10 2008.05.12 -
TheHacker 6.2.92.307 2008.05.12 -
VBA32 3.12.6.5 2008.05.12 -
VirusBuster 4.3.26:9 2008.05.11 -
Webwasher-Gateway 6.6.2 2008.05.12 -
weitere Informationen
File size: 29 bytes
MD5...: bb31dc7e2d1946ed42d0e097395bd267
SHA1..: 13ea1c42d32080988cbebcf3642b5e2b033d1acb
SHA256: 82387639b804d04528f2466dc7f72aff0517d514e4b9283616ad4fa777d46436
SHA512: dc198f01e249d8e2bacb9301b4bbc5d748b3f411d86d8befc3e49acddebe8dcb
28dd3a2da48f5abef0dd5172362902635556fd734d4db11ed13269dbd9132c5a
PEiD..: -
PEInfo: -
___________________________________________________________

1028q.exe

0 bytes size received / Se ha recibido un archivo vacio

_____________________________________________________________

das wär´s wieder - Danke nochmals

Gruss Claudi

Sternensucht · 12.05.2008, 17:54

Hallo

Klar das dein Computer so langsam ist , mit ein paar Backdoors drauf. Der sicherste und beste Weg bei solchen Befall ist immer neuaufsetzen.
http://www.trojaner-board.de/12154-a...sicherung.html

claudi66 · 12.05.2008, 18:04

vielen Dank,

so ein Mist, na ja aber dann ist hoffentlich wieder alles paletti...
danke trotzdem für all Eure Mühe, wenn ich wieder ein Problem habe, bin ich sicherlich wieder da....

**Sunny** · 12.05.2008, 18:09

Zitat:

Zitat von Sternensucht

Klar das dein Computer so langsam ist , mit ein paar Backdoors drauf. Der sicherste und beste Weg bei solchen Befall ist immer neuaufsetzen.
http://www.trojaner-board.de/12154-a...sicherung.html

Dem kann ich in diesem Fall auch nur noch zustimmen!

Sternensucht · 12.05.2008, 18:11

Zitat:

Zitat von [GC]Sunny

Dem kann ich in diesem Fall auch nur noch zustimmen!

Das sind Wir uns ja mal einig.

Notebook langsam - mein Log-File

Log-Analyse und Auswertung: Notebook langsam - mein Log-File