| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Befall mit Antivirus XP 2008 und UPS-VirusWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
08.09.2008, 21:59
| #31 | |
  |  Befall mit Antivirus XP 2008 und UPS-Virus Wie ich sehe konntest du noch nicht antworten... hier die weiteren Schritte (mache vorher aber die drei anderen Sachen fertig  ):ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. (ausführliche Anleitung -> Ein Leitfaden und Tutorium zur Nutzung von ComboFix) Blacklight scannen lassen * Lade F-Secure Blacklight runter in einen eigenen Ordner, z.B. C:\programme\blacklight. Sollte der Download nicht klappen, dann probiere es mit diesem Link. * Starte in diesem Ordner blbeta.exe. Alle anderen Programme schließen. * Klick "I accept the agreement", "next", "Scan". * Wenn der Scan fertig ist beende Blacklight mit "Close". * Im Verzeichnis von Blacklight findest Du das erstellte Log fsbl-XXX.log, anstelle der XXX steht eine längere Folge von Ziffern. Sophos scannen lassen * Gehe zu Sophos und lade dir ihren Rootkitescanner herunter. Du bekommst eine Installationsdatei sarsfx.exe. * Starte diese, akzeptiere die Lizenz und lass das Programm installieren, ändere den Pfad C:\SOPHTEMP nicht. * Gehe mit dem Explorer in diesen Ordner und starte sargui.exe, schließe danach alle anderen Programme. * Lass unter Area alles angehalt und starte den Scan mit "Start scan". Der Scan dauert einige Zeit, wenn er fertig ist poppt ein Fenster auf mit einer Zusammenfassung, klicke dort "Ok". Beende den Sophos Rootkitscanner, dieser Scan dient nur der Analyse. * Starte den Explorer und gib in der Adresszeile "%temp%" ein (ohne Anführungsstriche), dort gibt es eine Datei sarscan.log, deren Inhalt bitte posten. Bis morgen Lass dann nochmals Malwarebytes scanne (Log wieder posten) und poste ein frische HJT
__________________ Kein Support per PN Zitat:
|
|
08.09.2008, 22:07
| #32 |
| Gast | Befall mit Antivirus XP 2008 und UPS-Virus Hallo Trojan-Death,
__________________das Logfile von smitfraudfix kann ich Dir schicken. Ich habe so lange benötigt, weil ich für dss.exe im Netz unterwegs war. Alle Wege führen zu einem Eintrag, den ich jetzt sehr frei übersetzt habe: "Deckard's System Scanner reagiert mit einem bestimmten rootkit (tdssserv) in einer Weise, die vielleicht Ihr System unbrauchbar macht, und ändert den svchost netsvcs Registry Eintrag. Dieser Download ist entfernt worden, bis eine Lösung von Deckard frei gegeben wird. Zu Ihrem eigenen Schutz, versuchen Sie nicht bitte, dieses Tool von anderen Seiten zu laden.Kann ich mit GMER weitermachen? LG Ulla Code:
ATTFilter SmitFraudFix v2.342
Scan done at 22:29:18,04, 08.09.2008
Run from C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Temp\Downloads Virenschutz\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode
»»»»»»»»»»»»»»»»»»»»»»»» Process
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Temp\Downloads Virenschutz\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe
»»»»»»»»»»»»»»»»»»»»»»»» hosts
hosts file corrupted !
127.0.0.1 www.legal-at-spybot.info
127.0.0.1 legal-at-spybot.info
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles
»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Administrator
»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Administrator\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
C:\DOKUME~1\ALLUSE~1\STARTM~1\PROGRA~1\Antivirus XP 2008.lnk FOUND !
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\ADMINI~1\FAVORI~1
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!
IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!
VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, following keys are not inevitably infected!!!
404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
»»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix
!!!Attention, following keys are not inevitably infected!!!
AntiXPVSTFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, following keys are not inevitably infected!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""
»»»»»»»»»»»»»»»»»»»»»»»» RK
»»»»»»»»»»»»»»»»»»»»»»»» DNS
HKLM\SYSTEM\CCS\Services\Tcpip\..\{AC6A699E-A510-4E98-A740-7E4218267C53}: NameServer=192.168.22.220,192.168.22.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{AC6A699E-A510-4E98-A740-7E4218267C53}: NameServer=192.168.22.220,192.168.22.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{AC6A699E-A510-4E98-A740-7E4218267C53}: NameServer=192.168.22.220,192.168.22.1
»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
|
|
08.09.2008, 22:10
| #33 |
| | Befall mit Antivirus XP 2008 und UPS-Virus Jep
__________________Weitermachen
__________________ |
|
08.09.2008, 22:59
| #34 |
| Gast | Befall mit Antivirus XP 2008 und UPS-VirusCode:
ATTFilter GMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2008-09-08 23:39:16
Windows 5.1.2600 Service Pack 2
---- Kernel code sections - GMER 1.0.14 ----
? C:\WINDOWS\system32\drivers\Uad72.sys Zugriff verweigert
PAGENDSP NDIS.sys!NdisMWanSendComplete + 3D2 F765F63F 7 Bytes JMP 847EA040
PAGENDSP NDIS.sys!NdisMWanSendComplete + FDD F766024A 7 Bytes JMP 8498B460
? C:\WINDOWS\System32\drivers\tcpsr.sys Das System kann die angegebene Datei nicht finden. !
---- User code sections - GMER 1.0.14 ----
? C:\WINDOWS\System32\svchost.exe[1004] image checksum mismatch; number of sections mismatch; time/date stamp mismatch; unknown module: DNSAPI.dllunknown module: gdiplus.dll
? C:\WINDOWS\System32\svchost.exe[1024] image checksum mismatch; time/date stamp mismatch;
---- User IAT/EAT - GMER 1.0.14 ----
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!RegQueryValueExW] [77DA6BF0] C:\WINDOWS\system32\ADVAPI32.dll (Erweitertes Windows 32 Base-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorDacl] [77DA7883] C:\WINDOWS\system32\ADVAPI32.dll (Erweitertes Windows 32 Base-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetEntriesInAclW] [77DA761B] C:\WINDOWS\system32\ADVAPI32.dll (Erweitertes Windows 32 Base-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorGroup] [77DAEBE7] C:\WINDOWS\system32\ADVAPI32.dll (Erweitertes Windows 32 Base-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorOwner] [77DCC534] C:\WINDOWS\system32\ADVAPI32.dll (Erweitertes Windows 32 Base-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!InitializeSecurityDescriptor] [77DCD11B] C:\WINDOWS\system32\ADVAPI32.dll (Erweitertes Windows 32 Base-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!GetTokenInformation] [77DA7753] C:\WINDOWS\system32\ADVAPI32.dll (Erweitertes Windows 32 Base-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!OpenProcessToken] 00000000
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!OpenThreadToken] [76EF6BFB] C:\WINDOWS\System32\DNSAPI.dll (DNS Client API DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetServiceStatus] [76EF4FA2] C:\WINDOWS\System32\DNSAPI.dll (DNS Client API DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!RegisterServiceCtrlHandlerW] [76EE5B6B] C:\WINDOWS\System32\DNSAPI.dll (DNS Client API DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!RegCloseKey] 00000000
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!RegOpenKeyExW] [77EFD73B] C:\WINDOWS\system32\GDI32.dll (GDI Client DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!StartServiceCtrlDispatcherW] 00000000
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!WideCharToMultiByte] [7C80A859] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!lstrlenW] [7C80176B] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LocalFree] [7C814C63] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCurrentProcess] [7C826B99] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCurrentThread] [7C810DA6] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetProcAddress] [7C810F9F] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LoadLibraryExW] [7C802367] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LCMapStringW] [7C81E079] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!FreeLibrary] [7C809AA2] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!lstrcpyW] [7C863C00] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!ExpandEnvironmentStringsW] [7C920331] C:\WINDOWS\system32\ntdll.dll (DLL für NT-Layer/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!lstrcmpiW] [7C8394AE] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!ExitProcess] [7C812C8D] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCommandLineW] [7C8114AB] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!InitializeCriticalSection] [7C80B78D] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetProcessHeap] [7C80946C] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!SetErrorMode] [7C81CAA2] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!SetUnhandledExceptionFilter] [7C80CCA9] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!RegisterWaitForSingleObject] [7C802442] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!InterlockedCompareExchange] [7C81CACB] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LoadLibraryA] [7C838403] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!QueryPerformanceCounter] [7C809737] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetTickCount] [7C809B77] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCurrentThreadId] [7C81082F] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCurrentProcessId] [7C80EB3F] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetSystemTimeAsFileTime] [7C80EC1B] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!TerminateProcess] [7C81EE79] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!UnhandledExceptionFilter] [7C809A39] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LocalAlloc] [7C809EB3] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!lstrcmpW] [7C80B929] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!DelayLoadFailureHook] [7C8092AC] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!NtQuerySecurityObject] [7C9205D4] C:\WINDOWS\system32\ntdll.dll (DLL für NT-Layer/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlFreeHeap] [7C9279FD] C:\WINDOWS\system32\ntdll.dll (DLL für NT-Layer/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!NtOpenKey] [7C92043D] C:\WINDOWS\system32\ntdll.dll (DLL für NT-Layer/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!wcscat] [7C809F29] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!wcscpy] [7C802530] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlAllocateHeap] [7C8024A7] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlCompareUnicodeString] [7C810D34] C:\WINDOWS\system32\kernel32.dll (Client-DLL für Windows NT-Basis-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlInitUnicodeString] 00000000
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlInitializeSid] [7CA1FE44] C:\WINDOWS\system32\SHELL32.dll (Allgemeine Windows-Shell-DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlLengthRequiredSid] 00000000
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlSubAuthoritySid] [77F4819F] C:\WINDOWS\system32\SHLWAPI.dll (Shell Light-weight Utility Library/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!NtClose] [77F5AACC] C:\WINDOWS\system32\SHLWAPI.dll (Shell Light-weight Utility Library/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlSubAuthorityCountSid] [77F57848] C:\WINDOWS\system32\SHLWAPI.dll (Shell Light-weight Utility Library/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlGetDaclSecurityDescriptor] 00000000
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlQueryInformationAcl] [77D3EED5] C:\WINDOWS\system32\USER32.dll (Client-DLL für Windows XP USER-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlGetAce] [77D18697] C:\WINDOWS\system32\USER32.dll (Client-DLL für Windows XP USER-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlImageNtHeader] [77D1A2DE] C:\WINDOWS\system32\USER32.dll (Client-DLL für Windows XP USER-API/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!wcslen] 00000000
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlUnhandledExceptionFilter] [771976B8] C:\WINDOWS\system32\WININET.dll (Interneterweiterungen für Win32/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlCopySid] [771944DB] C:\WINDOWS\system32\WININET.dll (Interneterweiterungen für Win32/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerUnregisterIfEx] [77198C6A] C:\WINDOWS\system32\WININET.dll (Interneterweiterungen für Win32/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcMgmtWaitServerListen] [771961DC] C:\WINDOWS\system32\WININET.dll (Interneterweiterungen für Win32/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcMgmtSetServerStackSize] [77194AC5] C:\WINDOWS\system32\WININET.dll (Interneterweiterungen für Win32/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerUnregisterIf] [77199555] C:\WINDOWS\system32\WININET.dll (Interneterweiterungen für Win32/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerListen] 00000000
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerUseProtseqEpW] [71A1428A] C:\WINDOWS\System32\WS2_32.dll (Windows Socket 2.0 32-Bit DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerRegisterIf] [71A1615A] C:\WINDOWS\System32\WS2_32.dll (Windows Socket 2.0 32-Bit DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!I_RpcMapWin32Status] [71A13B91] C:\WINDOWS\System32\WS2_32.dll (Windows Socket 2.0 32-Bit DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1004] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcMgmtStopServerListening] [71A19639] C:\WINDOWS\System32\WS2_32.dll (Windows Socket 2.0 32-Bit DLL/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!RegQueryValueExW] 53EC8B55
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorDacl] 60665756
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetEntriesInAclW] 8B08758B
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorGroup] 5D8B0C7D
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorOwner] 6A00EB10
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!InitializeSecurityDescriptor] 744A5A14
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!GetTokenInformation] 434EADFA
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!OpenProcessToken] 04B9C80F
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!OpenThreadToken] C1000000
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!SetServiceStatus] 3F2406C0
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!RegisterServiceCtrlHandlerW] 05723E3C
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!RegCloseKey] 2C02E0C0
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!RegOpenKeyExW] 3C042C0E
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ADVAPI32.dll!StartServiceCtrlDispatcherW] 04087D30
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!WideCharToMultiByte] F33DB0D1
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!lstrlenW] AAC032AA
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LocalFree] 5E5F6166
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCurrentProcess] 53C35D5B
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCurrentThread] 08245C8B
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetProcAddress] 24748B56
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LoadLibraryExW] 04685710
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LCMapStringW] 630146C6
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!FreeLibrary] 700246C6
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!lstrcpyW] 730346C6
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!ExpandEnvironmentStringsW] 720446C6
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!lstrcmpiW] 000546C6
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!ExitProcess] 202815FF
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCommandLineW] 3D8B0900
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!InitializeCriticalSection] [09002024] C:\WINDOWS\System32\svchost.exe (Generic Host Process for Win32 Services/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetProcessHeap] 00209468
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!SetErrorMode] D7FF5309
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!SetUnhandledExceptionFilter] D7FF5356
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!RegisterWaitForSingleObject] 00208C68
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!InterlockedCompareExchange] D7FF5309
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LoadLibraryA] C35B5E5F
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!QueryPerformanceCounter] 51EC8B55
IAT C:\WINDOWS\System32\svchost.exe[1024] @
|
|
08.09.2008, 23:03
| #35 |
| Gast | Befall mit Antivirus XP 2008 und UPS-VirusCode:
ATTFilter C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetTickCount] 68575653
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCurrentThreadId] 000F003F
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetCurrentProcessId] 5656F633
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!GetSystemTimeAsFileTime] 200015FF
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!TerminateProcess] FFBF0900
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!UnhandledExceptionFilter] 57000F01
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!LocalAlloc] 890C75FF
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!lstrcmpW] FF50FC45
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [KERNEL32.dll!DelayLoadFailureHook] 00200415
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!NtQuerySecurityObject] 562175DE
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlFreeHeap] 56565656
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!NtOpenKey] 560875FF
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!wcscat] 016A036A
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!wcscpy] 75FF5657
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlAllocateHeap] FC75FF0C
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlCompareUnicodeString] 200815FF
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlInitUnicodeString] D88B0900
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlInitializeSid] 1174DE3B
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlLengthRequiredSid] FF535656
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlSubAuthoritySid] 00200C15
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!NtClose] 74C08509
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlSubAuthorityCountSid] EBFF3304
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlGetDaclSecurityDescriptor] 2C15FF14
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlQueryInformationAcl] 8B090020
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlGetAce] 20EF81F8
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlImageNtHeader] F7000004
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!wcslen] 23FF1BDF
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlUnhandledExceptionFilter] 74DE3BF8
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [ntdll.dll!RtlCopySid] 15FF5307
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerUnregisterIfEx] 5E5FC78B
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcMgmtWaitServerListen] 55C3C95B
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcMgmtSetServerStackSize] EC81EC8B
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerUnregisterIf] 0000020C
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerListen] 33575653
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerUseProtseqEpW] 15FF56F6
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcServerRegisterIf] [09002050] C:\WINDOWS\System32\svchost.exe (Generic Host Process for Win32 Services/Microsoft Corporation)
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!I_RpcMapWin32Status] 0020B468
IAT C:\WINDOWS\System32\svchost.exe[1024] @ C:\WINDOWS\System32\svchost.exe [RPCRT4.dll!RpcMgmtStopServerListening] 6AF88B09
---- Devices - GMER 1.0.14 ----
Device \FileSystem\Ntfs \Ntfs 853CF9C0
AttachedDevice \FileSystem\Ntfs \Ntfs sisidex.sys (SISIDEX Driver/Windows (R) 2000 DDK provider)
AttachedDevice \FileSystem\Ntfs \Ntfs InCDrec.SYS (InCD File System Recognizer/Nero AG)
Device \FileSystem\Mup \Dfs 853CF9C0
Device \FileSystem\InCDfs \InCDFsDisk 853CF9C0
Device \FileSystem\RAW \Device\RawTape 853CF9C0
Device \FileSystem\MRxDAV \Device\WebDavRedirector 853CF9C0
Device \FileSystem\InCDfs \Device\InCDfsComm 853CF9C0
Device \FileSystem\Mup \Device\Mup 853CF9C0
Device \FileSystem\RAW \Device\RawDisk 853CF9C0
Device \FileSystem\MRxSmb \Device\LanmanDatagramReceiver 853CF9C0
Device \FileSystem\MRxSmb \Device\LanmanRedirector 853CF9C0
Device \FileSystem\RAW \Device\RawCdRom 853CF9C0
Device \Driver\Uad72 \Device\Prot3 853CEFA0
Device \FileSystem\Mup \Device\WinDfs\Root 853CF9C0
Device \FileSystem\InCDfs \GLOBAL??\BsUDF 853CF9C0
Device \FileSystem\Cdfs \Cdfs 853CF9C0
---- Threads - GMER 1.0.14 ----
Thread 4:108 853CFBF0
---- EOF - GMER 1.0.14 ----
Hallo Trojan-Death, hoffentlich ist das jetzt gut gegangen. Ich musste die Datei teilen, da sie zu groß war. GMER ist durch und ich habe mir den Leitfaden für ComboFix durchgelesen. Ich habe eine Windows-CD mit Windows XP Professional (Volllizenz - keine Recovery CD) und sollte von dort erst einmal die Wiederherstellungskonsole laden? Ist das richtig? Nach meinem neuen Leitsatz "Gehe langsam, wenn Du es eilig hast" möchte ich das gern morgen durchführen, dann die anderen Programme. Ich mach Dir so viel Arbeit. Du opferst Deine Freizeit, um mir zu helfen. Haben die Hilfesuchenden in diesem Forum die Möglichkeit, sich bei Ihren Helfern in irgendeiner Form zu revanchieren? Liebe Grüße an Dich Ulla |
|
09.09.2008, 16:51
| #36 |
| Gast | Befall mit Antivirus XP 2008 und UPS-Virus Hallo Trojan-Death, ich habe alles abgearbeitet und bin den Anleitungen auch sorgfältig gefolgt. Um es vorweg zu nehmen: Ich habe den PC jetzt neu hochgefahren, weil mein AntiVir-Schirmchen nicht auftauchte, und da war als erstes wieder das Fenster: Warning, Spyware detected on your computer ... und Spybot meldete sich mit: Spybot S&D hat festgestellt, dass ein wichtiger Registrierungsdatenbankeintrag geändert wurde.(Warum sagt mir mein Bauchgefühl nur immer, dass ich bei Spybot etwas falsch mache?) Doch nun der Reihe nach: Heute morgen war mein Desktop das erste Mal weiß. Ich habe mit MAM im Normalmodus gescannt, danach war der Bildschirm blau, ich bin ins Internet und habe mir alle Programmme und Anleitungen geholt, gespeichert, ausgedruckt. - Jede halbe Stunde meldete sich Anti Vir mit einem Malware-Eintrag, der in die Quarantäne kam. Ab 12:00 Uhr konnte ich erst beginnen: - Die Quarantäne-Dateien bei Anti Vir habe ich gelöscht. - Anti Vir habe ich deaktiviert (Schirmchen zu), bei - Spybot habe ich den Tea-Timer geschlossen und im erweiterten Modus die Häckchen bei "Resident" und "Systemstart" entfernt - die Wiederherstellungskonsole war auf dem Desktop 1. C Cleaner - Scan. Hier wolltest Du kein Protokoll haben? 2. ComboF ix (hat einen Neustart durchgeführt und mit Autostart waren Antivir und Spybot wieder aktiv. Um sicher zu gehen, habe ich noch einmal deaktiviert und Combo Fix ein zweites Mal durchlaufen lassen. Ich schicke Dir das zweite Protokoll. 3. Black light - Scan 4. So phos - Scan 5. Malware Bytes - Scan (abgesicherter Modus) 6. HJT -Scan Danke, dass Du Dir die Mühe machst, das anzusehen. Es ist viel Arbeit. Hoffentlich habe ich keine Fehler gemacht. Liebe Grüße Ulla 2. Combo Fix Code:
ATTFilter ComboFix 08-09-05.10 - Administrator 2008-09-09 14:27:37.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.118 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Administrator\Desktop\ComboFix.exe
.
(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.
-------\Legacy_TCPSR
((((((((((((((((((((((( Dateien erstellt von 2008-08-09 bis 2008-09-09 ))))))))))))))))))))))))))))))
.
2008-09-09 14:31 . 2008-09-09 14:31 625,208 --a------ C:\WINDOWS\system32\phcgsgj0eg4c.bmp
2008-09-09 14:31 . 2008-09-09 14:31 203,776 --a------ C:\WINDOWS\system32\lphcgsgj0eg4c.exe
2008-09-09 14:31 . 2008-09-09 14:31 118,784 --a------ C:\WINDOWS\system32\blphcgsgj0eg4c.scr
2008-09-09 13:58 . 2008-09-09 13:58 <DIR> d-------- C:\Programme\CCleaner
2008-09-08 23:26 . 2008-09-08 23:26 250 --a------ C:\WINDOWS\gmer.ini
2008-09-08 22:19 . 2007-09-06 00:22 289,144 --a------ C:\WINDOWS\system32\VCCLSID.exe
2008-09-08 22:19 . 2006-04-27 17:49 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe
2008-09-08 22:19 . 2008-08-26 20:19 88,576 --a------ C:\WINDOWS\system32\AntiXPVSTFix.exe
2008-09-08 22:19 . 2008-08-27 15:17 87,040 --a------ C:\WINDOWS\system32\VACFix.exe
2008-09-08 22:19 . 2008-05-18 21:40 82,944 --a------ C:\WINDOWS\system32\IEDFix.exe
2008-09-08 22:19 . 2008-08-28 22:36 82,432 --a------ C:\WINDOWS\system32\IEDFix.C.exe
2008-09-08 22:19 . 2008-08-18 12:19 82,432 --a------ C:\WINDOWS\system32\404Fix.exe
2008-09-08 22:19 . 2003-06-05 21:13 53,248 --a------ C:\WINDOWS\system32\Process.exe
2008-09-08 22:19 . 2004-07-31 18:50 51,200 --a------ C:\WINDOWS\system32\dumphive.exe
2008-09-08 22:19 . 2007-10-04 00:36 25,600 --a------ C:\WINDOWS\system32\WS2Fix.exe
2008-09-03 12:34 . 2008-09-09 12:39 21,504 --a------ C:\WINDOWS\system32\suzkaco32.dll
2008-09-02 10:56 . 2008-09-02 10:59 106,496 --a------ C:\WINDOWS\system32\29.tmp
2008-09-02 10:56 . 2008-09-02 10:56 106,496 --a------ C:\WINDOWS\system32\1C.tmp
2008-09-02 10:56 . 2008-09-02 10:56 106,496 --a------ C:\WINDOWS\system32\1B.tmp
2008-09-02 10:02 . 2008-09-03 09:17 771 --a------ C:\WINDOWS\wininit.ini
2008-09-02 08:20 . 2008-09-09 14:30 21,504 --a------ C:\WINDOWS\system32\suzkaco.dll
2008-09-01 08:20 . 2008-09-01 08:20 106,496 --a------ C:\WINDOWS\system32\39.tmp
2008-08-29 20:08 . 2008-09-08 22:29 4,160 --a------ C:\WINDOWS\system32\tmp.reg
2008-08-29 17:00 . 2008-08-29 17:00 <DIR> d-------- C:\Programme\Trend Micro
2008-08-27 19:24 . 2008-08-27 19:24 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware
2008-08-27 19:24 . 2008-08-27 19:24 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-08-27 19:24 . 2008-08-27 19:24 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2008-08-27 19:24 . 2008-08-17 15:01 38,472 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-08-27 19:24 . 2008-08-17 15:01 17,144 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-08-26 11:24 . 2008-08-18 18:41 1,832,272 --a------ C:\Programme\JYODQVBJZ.scr
2008-08-26 11:21 . 2008-09-02 08:31 <DIR> d-------- C:\Programme\Updates
2008-08-26 11:21 . 2008-08-26 11:21 <DIR> d-------- C:\Programme\Plugins
2008-08-26 11:21 . 2008-09-02 08:31 <DIR> d-------- C:\Programme\Includes
2008-08-26 11:21 . 2008-07-07 09:42 4,891,472 -rahs---- C:\Programme\SpybotSD.exe
2008-08-26 11:21 . 2008-07-07 09:42 4,891,472 -rahs---- C:\Programme\AFBCGZ.scr
2008-08-26 11:21 . 2008-08-18 18:41 1,832,272 --a------ C:\Programme\JXDVSOXVDTXIH.scr
2008-08-26 11:21 . 2008-07-07 09:41 1,562,448 --a------ C:\Programme\SDHelper.dll
2008-08-26 11:21 . 2008-07-07 09:36 1,430,016 --a------ C:\Programme\SDFiles.exe
2008-08-26 11:21 . 2008-07-07 09:42 1,429,840 -rahs---- C:\Programme\SDUpdate.exe
2008-08-26 11:21 . 2008-07-07 09:42 1,429,840 -rahs---- C:\Programme\LVIWMSFA.scr
2008-08-26 11:21 . 2008-07-07 09:37 958,976 --a------ C:\Programme\SDShred.exe
2008-08-26 11:21 . 2008-07-07 09:42 835,920 --a------ C:\Programme\Tools.dll
2008-08-26 11:21 . 2008-07-07 09:42 809,296 --a------ C:\Programme\SDWinSec.exe
2008-08-26 11:21 . 2008-08-26 11:19 696,200 --a------ C:\Programme\unins000.exe
2008-08-26 11:21 . 2008-07-07 09:41 428,880 --a------ C:\Programme\blindman.exe
2008-08-26 11:21 . 2008-07-07 09:42 414,544 --a------ C:\Programme\SDMain.exe
2008-08-26 11:21 . 2008-06-19 18:35 333,288 --a------ C:\Programme\sqlite3.dll
2008-08-26 11:21 . 2008-06-14 11:24 255,392 --a------ C:\Programme\DelZip179.dll
2008-08-26 11:21 . 2007-04-02 20:22 34,472 --a------ C:\Programme\aports.dll
2008-08-26 11:21 . 2008-08-26 11:21 21,449 --a------ C:\Programme\unins000.dat
2008-08-15 09:43 . 2008-08-15 09:43 0 --a------ C:\WINDOWS\hpqEmlSz.INI
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-09-09 12:30 32,256 ----a-w C:\WINDOWS\system32\drivers\Uad72.sys
2008-09-09 12:01 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-08-26 09:23 --------- d-----w C:\Programme\Languages
2008-08-26 09:23 --------- d-----w C:\Programme\Help
2008-08-26 09:21 13,182 ----a-w C:\Programme\unins000.msg
2008-08-26 09:21 --------- d-----w C:\Programme\Skins
2008-08-26 09:21 --------- d-----w C:\Programme\Dummies
2008-08-18 16:41 1,832,272 ------w C:\Programme\TeaTimer.exe
2008-07-22 13:31 --------- d-----w C:\Programme\Lavasoft
2008-07-22 13:30 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-07-14 13:18 --------- d---a-w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-07-14 11:04 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lavasoft
2008-07-07 07:41 939,344 ----a-w C:\Programme\advcheck.dll
2008-07-06 10:31 17,408 ----a-w C:\psapi.dll
2008-05-23 14:15 4,486 ----a-w C:\Programme\Urlaubsplaner.xml
2008-05-14 10:08 58 ----a-w C:\Programme\Urlaubsplaner.url
2008-01-30 08:56 70,512 ----a-w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2007-05-23 11:40 49,450 ----a-w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\wklnhst.dat
2007-04-02 18:22 25,726 ----a-w C:\Programme\messages.zres
2007-04-02 18:22 2,683 ----a-w C:\Programme\OptOut.ini
2007-04-02 18:22 2,128 ----a-w C:\Programme\Default configuration.ini
2006-04-19 07:25 84,418 ----a-w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\firstlsp.reg.dat
2005-09-27 07:30 278 ----a-w C:\Dokumente und Einstellungen\USER2\Anwendungsdaten\wklnhst.dat
.
((((((((((((((((((((((((((((( snapshot@2008-09-09_14.19.22.98 )))))))))))))))))))))))))))))))))))))))))
.
+ 2008-09-09 12:31:24 1,613,529 ----a-w C:\WINDOWS\Temp\.ttC.tmp.exe
+ 2008-09-09 12:31:35 69,632 ----a-w C:\WINDOWS\Temp\nsu10.tmp\euladlg.dll
+ 2008-09-09 12:31:26 53,248 ----a-w C:\WINDOWS\Temp\nsu10.tmp\MachineKey.dll
+ 2008-09-09 12:31:32 8,192 ----a-w C:\WINDOWS\Temp\nsu10.tmp\md5dll.dll
+ 2008-09-09 12:31:26 3,072 ----a-w C:\WINDOWS\Temp\nsu10.tmp\Mutex.dll
+ 2008-09-09 12:31:34 53,248 ----a-w C:\WINDOWS\Temp\nsu10.tmp\rc4hex.dll
+ 2008-09-09 12:31:28 10,240 ----a-w C:\WINDOWS\Temp\nsu10.tmp\System.dll
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.
REGEDIT4
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{C543F87B-D228-466C-8432-A6F7D1C44565}]
2008-07-09 12:46 935216 --a------ C:\Programme\RA-MICRO\RAToolbar\ramicro_toolbar.dll
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{EF8E1F96-FF80-4E85-AD4F-0F19166E21DB}]
2008-07-09 12:46 935216 --a------ C:\Programme\RA-MICRO\RAToolbar\ramicro_toolbar.dll
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15360]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2004-08-04 1667584]
"SpybotSD TeaTimer"="C:\Programme\TeaTimer.exe" [2008-08-18 1832272]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"HTpatch"="C:\WINDOWS\htpatch.exe" [2002-10-30 28672]
"avgnt"="C:\Programme\AntiVir fuer KEN!\avgnt.exe" [2007-05-03 327720]
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2007-05-25 185896]
"SSBkgdUpdate"="C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]
"PaperPort PTD"="C:\Programme\ScanSoft\PaperPort\pptd40nt.exe" [2004-03-09 57393]
"IndexSearch"="C:\Programme\ScanSoft\PaperPort\IndexSearch.exe" [2004-03-09 40960]
"SetDefPrt"="C:\Programme\Brother\Brmfl04e\BrStDvPt.exe" [2004-05-25 49152]
"ControlCenter2.0"="C:\Programme\Brother\ControlCenter2\brctrcen.exe" [2004-07-20 851968]
"Adobe Photo Downloader"="C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 63712]
"FineReader7NewsReaderPro"="C:\Programme\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe" [2003-12-02 278528]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.5.0_06\bin\jusched.exe" [2005-11-10 36975]
"HP Software Update"="C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd2.exe" [2006-02-19 49152]
"KEN Taskbar Client"="C:\Programme\KEN!\kentbcli.exe" [2005-03-07 167936]
"NeroFilterCheck"="C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2007-03-01 153136]
"SecurDisc"="C:\Programme\Nero\Nero 7\InCD\NBHGui.exe" [2007-05-15 1628208]
"InCD"="C:\Programme\Nero\Nero 7\InCD\InCD.exe" [2007-05-15 1057328]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"inrhclsgj0eg4c"="C:\WINDOWS\Temp\.ttC.tmp.exe" [2008-09-09 1613529]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 15360]
"Picasa Media Detector"="C:\Programme\Picasa2\PicasaMediaDetector.exe" [2007-09-28 443968]
[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\system]
"NoDispBackgroundPage"= 1 (0x1)
"NoDispScrSavPage"= 1 (0x1)
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\PCANotify]
2003-10-31 11:01 8704 C:\WINDOWS\system32\PCANotify.dll
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\suzkaco]
2008-09-09 14:30 21504 C:\WINDOWS\system32\suzkaco.dll
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"MSACM.CEGSM"= mobilev.acm
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
SecurityProviders msapsspc.dll schannel.dll digest.dll msnsspc.dll
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Uad72.sys]
@="Driver"
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"\\\\192.168.22.1\\d\\Programme\\New-Vision-Soft\\Calender3\\Calender.exe"=
"C:\\Programme\\KEN!\\kentbcli.exe"=
"C:\\Programme\\New-Vision-Soft\\Calender3\\Calender.exe"=
"C:\\Programme\\Symantec\\pcAnywhere\\WinAw32.exe"=
"C:\\Programme\\Symantec\\pcAnywhere\\awhost32.exe"=
"C:\\Programme\\NetMeeting\\conf.exe"=
"C:\\Programme\\Sage\\GSBuchhalter\\Gsbuchhalter.exe"=
R0 Uad72;Uad72;C:\WINDOWS\system32\Drivers\Uad72.sys [2008-09-09 32256]
R1 SSHDRV63;SSHDRV63;C:\WINDOWS\system32\drivers\SSHDRV63.sys [2007-07-11 108544]
R2 AVMPORT;AVMPORT;C:\WINDOWS\system32\drivers\avmport.sys [2004-05-24 59520]
R2 KEN Client Service;AVM KEN Klient;C:\Programme\KEN!\KENCLI.EXE [2005-03-07 143360]
R2 SageDB 5.0;SageDB 5.0;C:\Programme\Sage\SageDB 5.0\bin\mysqld-nt.exe [2007-05-18 5685248]
R3 FUS2BASE;FRITZ!Card USB;C:\WINDOWS\system32\DRIVERS\fus2base.sys [2005-11-29 578432]
R3 tcpsr;tcpsr;C:\WINDOWS\System32\drivers\tcpsr.sys [ ]
S3 AVMCOWAN;AVM ISDN CoNDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\AVMCOWAN.sys [2005-11-29 53632]
S3 AVMWAN;AVM NDIS WAN CAPI-Treiber;C:\WINDOWS\system32\DRIVERS\avmwan.sys [2001-08-17 37568]
S3 BrUsbScn;Brother MFC-Scannertreiber (USB);C:\WINDOWS\system32\Drivers\BrUsbScn.sys [2001-08-17 10368]
S3 fpcibase;FRITZ!Card PCI;C:\WINDOWS\system32\DRIVERS\fpcibase.sys [2007-05-07 537600]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
*Newly Created Service* - TCPSR
.
Inhalt des "geplante Tasks" Ordners
.
.
------- Zus„tzlicher Scan -------
.
R0 -: HKCU-Main,Start Page = hxxp://www.google.de/
R1 -: HKCU-Internet Settings,ProxyServer = http=192.168.22.220:3128;https=192.168.22.220:3128;ftp=192.168.22.220:3128;socks=192.168.22.220:1080
R1 -: HKCU-Internet Settings,ProxyOverride = localhost
O8 -: Nach Microsoft &Excel exportieren - C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O17 -: HKLM\CCS\Interface\{AC6A699E-A510-4E98-A740-7E4218267C53}: NameServer = 192.168.22.220,192.168.22.1
.
**************************************************************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-09 14:32:08
Windows 5.1.2600 Service Pack 2 NTFS
Scanne versteckte Prozesse...
Scanne versteckte Autostart Eintr„ge...
Scanne versteckte Dateien...
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
Prozess: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\suzkaco.dll
Prozess: C:\WINDOWS\system32\lsass.exe
Prozess: C:\WINDOWS\system32\lsass.exe
-> C:\WINDOWS\system32\suzkaco.dll
Prozess: C:\WINDOWS\system32\lsass.exe
Prozess: C:\WINDOWS\system32\lsass.exe
Prozess: C:\WINDOWS\system32\lsass.exe
Prozess: C:\WINDOWS\system32\lsass.exe
.
------------------------ Weitere, laufende Prozesse ------------------------
.
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\Programme\AntiVir fuer KEN!\avguard.exe
C:\Programme\AntiVir fuer KEN!\sched.exe
C:\WINDOWS\system32\Brmfrmps.exe
C:\Programme\Nero\Nero 7\InCD\InCDsrv.exe
C:\PROGRA~1\Borland\INTERB~1\BIN\ibguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Temp\xjn7.tmp
C:\PROGRA~1\Borland\INTERB~1\BIN\ibserver.exe
C:\WINDOWS\Temp\.ttC.tmp
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqste08.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-09-09 14:37:33 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2008-09-09 12:37:23
ComboFix2.txt 2008-09-09 12:19:58
Pre-Run: 13 Verzeichnis(se), 72,351,473,664 Bytes frei
Post-Run: 16 Verzeichnis(se), 72,312,295,424 Bytes frei
233
|
|
09.09.2008, 17:00
| #37 |
| Gast | Befall mit Antivirus XP 2008 und UPS-Virus 3. Blacklight - Scan Code:
ATTFilter 09/09/08 15:05:08 [Info]: BlackLight Engine 1.0.70 initialized
09/09/08 15:05:08 [Info]: OS: 5.1 build 2600 (Service Pack 2)
09/09/08 15:05:08 [Note]: 7019 4
09/09/08 15:05:08 [Note]: 7005 0
09/09/08 15:05:10 [Note]: 7006 0
09/09/08 15:05:10 [Note]: 7011 5360
09/09/08 15:05:10 [Note]: 7035 0
09/09/08 15:05:10 [Note]: 7026 0
09/09/08 15:05:10 [Note]: 7026 0
09/09/08 15:05:14 [Note]: FSRAW library version 1.7.1024
09/09/08 15:10:07 [Note]: 2000 1012
09/09/08 15:33:54 [Note]: 7007 0
Code:
ATTFilter Sophos Anti-Rootkit Version 1.3.1 (data 1.08) (c) 2006 Sophos Plc
Started logging on 09.09.2008 at 15:38:59
Stopped logging on 09.09.2008 at 15:41:54
Code:
ATTFilter Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1089
Windows 5.1.2600 Service Pack 2
16:30:20 09.09.2008
mbam-log-09-09-2008 (16-30-20).txt
Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 75442
Laufzeit: 41 minute(s), 1 second(s)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\tcpsr (Rootkit.Agent) -> Quarantined and deleted successfully.
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
C:\QooBox\Quarantine\C\WINDOWS\system32\blphcgsgj0eg4c.scr.vir (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\blphcgsgj0eg4c.scr (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\lphcgsgj0eg4c.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\phcgsgj0eg4c.bmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\Temp\.ttC.tmp (Trojan.Downloader) -> Quarantined and deleted successfully
Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 16:41:09, on 09.09.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Lavasoft\Ad-Aware\aawservice.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AntiVir fuer KEN!\avguard.exe C:\Programme\AntiVir fuer KEN!\sched.exe C:\WINDOWS\system32\Brmfrmps.exe C:\Programme\Nero\Nero 7\InCD\InCDsrv.exe C:\PROGRA~1\Borland\INTERB~1\Bin\IBGuard.EXE C:\Programme\KEN!\KENCLI.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Sage\SageDB 5.0\bin\mysqld-nt.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\Explorer.EXE C:\Programme\Analog Devices\SoundMAX\SMAgent.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\TEMP\xcp7.tmp C:\WINDOWS\htpatch.exe C:\Programme\AntiVir fuer KEN!\avgnt.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\ScanSoft\PaperPort\pptd40nt.exe C:\PROGRA~1\Borland\INTERB~1\Bin\ibserver.exe C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe C:\Programme\Java\jre1.5.0_06\bin\jusched.exe C:\WINDOWS\system32\lsass.exe C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd2.exe C:\WINDOWS\system32\lsass.exe C:\Programme\KEN!\kentbcli.exe C:\Programme\Nero\Nero 7\InCD\NBHGui.exe C:\Programme\Nero\Nero 7\InCD\InCD.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\TeaTimer.exe C:\WINDOWS\Temp\.ttC.tmp C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe C:\Programme\FRITZ!\IWatch.exe C:\Programme\WinZip\WZQKPICK.EXE C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe C:\WINDOWS\system32\lsass.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=192.168.22.220:3128;https=192.168.22.220:3128;ftp=192.168.22.220:3128;socks=192.168.22.220:1080 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O2 - BHO: XBTB03004 - {C543F87B-D228-466C-8432-A6F7D1C44565} - C:\Programme\RA-MICRO\RAToolbar\ramicro_toolbar.dll O2 - BHO: RAToolbar - {EF8E1F96-FF80-4E85-AD4F-0F19166E21DB} - C:\Programme\RA-MICRO\RAToolbar\ramicro_toolbar.dll O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir fuer KEN!\avgnt.exe" /min O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe O4 - HKLM\..\Run: [SetDefPrt] C:\Programme\Brother\Brmfl04e\BrStDvPt.exe O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" O4 - HKLM\..\Run: [FineReader7NewsReaderPro] "C:\Programme\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe O4 - HKLM\..\Run: [HP Software Update] C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd2.exe O4 - HKLM\..\Run: [KEN Taskbar Client] "C:\Programme\KEN!\kentbcli.exe" O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe O4 - HKLM\..\Run: [SecurDisc] C:\Programme\Nero\Nero 7\InCD\NBHGui.exe O4 - HKLM\..\Run: [InCD] C:\Programme\Nero\Nero 7\InCD\InCD.exe O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\TeaTimer.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll O14 - IERESET.INF: START_PAGE_URL=http://192.168.22.220:3128/ken.html O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1209107514531 O17 - HKLM\System\CCS\Services\Tcpip\..\{AC6A699E-A510-4E98-A740-7E4218267C53}: NameServer = 192.168.22.220,192.168.22.1 O20 - Winlogon Notify: suzkaco - C:\WINDOWS\SYSTEM32\suzkaco32.dll O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe O23 - Service: AntiVir für KEN! Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir fuer KEN!\sched.exe O23 - Service: AntiVir für KEN! Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir fuer KEN!\avguard.exe O23 - Service: pcAnywhere Host-Modul (awhost32) - Symantec Corporation - C:\Programme\Symantec\pcAnywhere\awhost32.exe O23 - Service: Brother Popup Suspend service for Resource manager (brmfrmps) - Brother Industries, Ltd. - C:\WINDOWS\system32\Brmfrmps.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Nero\Nero 7\InCD\InCDsrv.exe O23 - Service: InterBaseGuardian - Inprise Corporation - C:\PROGRA~1\Borland\INTERB~1\Bin\IBGuard.EXE O23 - Service: InterBaseServer - Inprise Corporation - C:\PROGRA~1\Borland\INTERB~1\Bin\ibserver.exe O23 - Service: AVM KEN Klient (KEN Client Service) - AVM Berlin - C:\Programme\KEN!\KENCLI.EXE O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe O23 - Service: SageDB 5.0 - Unknown owner - C:\Programme\Sage\SageDB 5.0\bin\mysqld-nt.exe O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe -- End of file - 8394 bytes |
|
09.09.2008, 17:17
| #38 |
| Gast | Befall mit Antivirus XP 2008 und UPS-Virus Hallo Trojan-Death, ich muss für zwei Stunden weg und kann erst gegen 20:00 Uhr wieder vorbei schauen. Vielleicht treffen wir uns? Wenn Du keine Zeit hast, wäre es nett, wenn Du mir kurz Bescheid gibst. Ich stelle mich darauf ein. Liebe Grüße Ulla |
|
09.09.2008, 19:53
| #39 | |
| | Befall mit Antivirus XP 2008 und UPS-Virus Junge, junge, junge... Was hast du da mit deinem Rechner angestellt... Nun müssen wir eben manuell löschen... Das wird mühsam und kann ne Weile dauern bis wir alles erwisch haben Ich kann dir nur immer wieder zum Neuaufsetzen raten... Anleitung Avenger (by swandog46) 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop: 2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist. Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here") Code:
ATTFilter files to delete:
C:\WINDOWS\SYSTEM32\suzkaco32.dll
C:\WINDOWS\TEMP\xcp7.tmp
C:\WINDOWS\Temp\.ttC.tmp
C:\WINDOWS\system32\phcgsgj0eg4c.bmp
C:\WINDOWS\system32\lphcgsgj0eg4c.exe
C:\WINDOWS\system32\blphcgsgj0eg4c.scr
C:\WINDOWS\system32\29.tmp
C:\WINDOWS\system32\1C.tmp
C:\WINDOWS\system32\1B.tmp
C:\WINDOWS\system32\39.tmp
C:\WINDOWS\system32\tmp.reg
C:\Programme\JYODQVBJZ.scr
C:\Programme\AFBCGZ.scr
C:\Programme\JXDVSOXVDTXIH.scr
C:\WINDOWS\Temp\xjn7.tmp
C:\QooBox\Quarantine\C\WINDOWS\system32\blphcgsgj0eg4c.scr.vir
C:\WINDOWS\System32\drivers\tcpsr.sys
4.) Um den Avenger zu starten klicke auf -> Execute Dann bestätigen mit "Yes" das der Rechner neu startet! 5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board. Dateien Online überprüfen lassen:
Code:
ATTFilter C:\WINDOWS\system32\Process.exe
C:\WINDOWS\system32\dumphive.exe
C:\WINDOWS\system32\WS2Fix.exe
C:\WINDOWS\hpqEmlSz.INI
C:\WINDOWS\system32\drivers\Uad72.sys
__________________ Kein Support per PN Zitat:
Geändert von trojan-death (09.09.2008 um 20:13 Uhr) |
|
09.09.2008, 19:55
| #40 | |
  | Befall mit Antivirus XP 2008 und UPS-Virus Das u.A. Zitat:
__________________ mfg, Patrick Technische Kompromittierung => Tatort Internet Keine Windows-CD? Selbst brennen. |
|
09.09.2008, 20:00
| #41 | ||
| | Befall mit Antivirus XP 2008 und UPS-VirusZitat:
Bitte  mich dafür, dass ich Vollidiot das nicht gepeilt hab
__________________ Kein Support per PN Zitat:
|
|
09.09.2008, 20:00
| #42 |
| | Befall mit Antivirus XP 2008 und UPS-Virus No Prob.  :Kann jedem passieren. 
__________________ mfg, Patrick Technische Kompromittierung => Tatort Internet Keine Windows-CD? Selbst brennen. |
|
09.09.2008, 20:36
| #43 |
| Gast | Befall mit Antivirus XP 2008 und UPS-Virus Hallo Trojan-Death, vielen Dank für Deine Nachricht. Darf ich Dich fragen, wie lange Du heute online sein wirst? Ich müsste jetzt zu meinem PC fahren und es wird etwas dauern, bis ich soweit bin, Dir die Ergebnisse zu schicken. Ich meine nur, wenn ich mitten drin stecke und eine Rückfrage habe, bist Du dann noch da? Ich habe so etwas noch nie gemacht. Liebe Grüße Ulla - reichlich unerfahren |
|
09.09.2008, 20:42
| #44 | |
| | Befall mit Antivirus XP 2008 und UPS-Virus Bei diesen zwei Schritten (The Avenger und VirusTotal) sollte nicht wirklich Probleme auftreten... Folge einfach genau der Anleitung und ich antworte morgen wieder... Muss noch für die Berufsschule lernen und werde nicht mehr lange hier sein Berichte aber unbedingt wieder was mit deinem Rechner so passiert (ist). Weisser Desktop, blauer Desktop, Bluescreen, Virenmeldungen usw. grüsse trojan-death
__________________ Kein Support per PN Zitat:
|
|
09.09.2008, 20:55
| #45 |
| Gast | Befall mit Antivirus XP 2008 und UPS-Virus Hallo Trojan-Death, also ich würd' dann gern morgen früh weitermachen und dann gleich beginnen, wenn ich den PC hochfahre. Ich hatte heute einen 12-Stunden-Tag und bekomme zu Haus bald die "Rote Karte", wenn ich noch einmal losfahre. Ich freue mich, wenn Du mir morgen Abend weiterhelfen kannst. Bis dahin Ulla |
|
| Themen zu Befall mit Antivirus XP 2008 und UPS-Virus |
| 8.tmp, abgesicherten modus, ad-aware, administrator, adobe, adware.softmate, antivirus, askbar, autorun, avira, bildschirmschoner, c.exe, controlcenter, desktop, dringend, einstellungen, ellung, excel, explorer, fritz!, ftp, helfen, herzlichen dank, hijack, hijack.wallpaper, hkus\s-1-5-18, internet, internet explorer, pc läuft, pdf, photoshop, popup, problem, registrierungsschlüssel, rogue.multiple, rootkit.agent, scan, software, symantec, telefonnummer, temp, trojan.downloader, windows xp, windows\temp |
Linear-Darstellung
