ComboFix 08-09-27.06 - Administrator 2008-09-29 17:37:20.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.1031.18.618 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Administrator\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: C:\Dokumente und Einstellungen\Administrator\Desktop\cfscript.txt
* Neuer Wiederherstellungspunkt wurde erstellt

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!

FILE ::
C:\WINDOWS\getpasses.exe
C:\WINDOWS\system32\windllm.exe
C:\WINDOWS\system32\winupd
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Programme\AskBarDis
C:\Programme\AskBarDis\bar\bin\askBar.dll
C:\Programme\AskBarDis\bar\bin\askPopStp.dll
C:\Programme\AskBarDis\bar\bin\psvince.dll
C:\Programme\AskBarDis\bar\Cache\0002D102
C:\Programme\AskBarDis\bar\Cache\0002D43E
C:\Programme\AskBarDis\bar\Cache\0002D528.bin
C:\Programme\AskBarDis\bar\Cache\0002D661.bin
C:\Programme\AskBarDis\bar\Cache\0002D72C.bin
C:\Programme\AskBarDis\bar\Cache\0002D807.bin
C:\Programme\AskBarDis\bar\Cache\0002D8D2.bin
C:\Programme\AskBarDis\bar\Cache\files.ini
C:\Programme\AskBarDis\bar\History\search
C:\Programme\AskBarDis\bar\Settings\config.dat
C:\Programme\AskBarDis\bar\Settings\config.dat.bak
C:\Programme\AskBarDis\bar\Settings\prevcfg.htm
C:\Programme\AskBarDis\PopSwatter\History\notallow
C:\Programme\AskBarDis\unins000.dat
C:\Programme\AskBarDis\unins000.exe
C:\WINDOWS\getpasses.exe
C:\WINDOWS\system32\windllm.exe
C:\WINDOWS\system32\winupd
C:\WINDOWS\system32\winupd.exe

.
((((((((((((((((((((((( Dateien erstellt von 2008-08-28 bis 2008-09-29 ))))))))))))))))))))))))))))))
.

2008-09-29 14:47 . 2008-09-29 14:47 <DIR> d--h----- C:\WINDOWS\PIF
2008-09-29 13:30 . 2008-09-29 13:30 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2008-09-29 13:29 . 2008-09-29 13:29 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-09-29 13:29 . 2008-09-08 00:11 38,528 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-29 13:29 . 2008-09-08 00:11 17,200 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-09-28 22:13 . 2008-09-28 22:34 250 --a------ C:\WINDOWS\gmer.ini
2008-09-27 18:20 . 2008-09-27 23:32 1,588 --a------ C:\WINDOWS\wininit.ini
2008-09-27 17:51 . 2008-09-28 13:00 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-09-27 17:04 . 2008-09-27 17:04 <DIR> d-------- C:\Programme\Panda Security
2008-09-27 17:04 . 2008-06-19 17:24 28,544 --a------ C:\WINDOWS\system32\drivers\pavboot.sys
2008-09-26 14:23 . 2008-09-26 14:25 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lavasoft
2008-09-25 20:18 . 2008-09-25 20:18 115,920 --a------ C:\WINDOWS\system32\MSINET.OCX
2008-09-25 19:56 . 2008-09-25 19:56 <DIR> d-------- C:\DVDVideoSoft
2008-09-22 20:31 . 2008-04-21 13:51 9,023 --a------ C:\WINDOWS\KnuddelVermehrer.bat
2008-09-21 18:11 . 2008-09-29 11:59 69 --a------ C:\WINDOWS\NeroDigital.ini
2008-09-21 14:45 . 2008-09-21 14:45 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Nero
2008-09-21 14:42 . 2008-09-21 14:42 <DIR> d-------- C:\Programme\Nero
2008-09-21 14:42 . 2008-09-21 14:44 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Nero
2008-09-21 14:42 . 2008-09-21 14:42 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Nero
2008-09-16 16:35 . 2008-09-16 16:35 <DIR> d-------- C:\Programme\Sun
2008-09-16 16:34 . 2008-09-16 16:34 410,976 --a------ C:\WINDOWS\system32\deploytk.dll
2008-09-10 17:31 . 2008-09-10 17:31 <DIR> d-------- C:\WINDOWS\system32\psconv
2008-09-10 17:31 . 2008-09-10 17:31 <DIR> d-------- C:\Programme\psconvert
2008-09-10 17:31 . 2003-04-11 18:28 679,109 --a------ C:\WINDOWS\FONTSDIR.MFD
2008-09-10 17:31 . 2001-10-29 01:42 116,224 --a------ C:\WINDOWS\system32\pdfmonnt.dll
2008-09-10 17:31 . 2008-09-10 17:31 164 --a------ C:\WINDOWS\system32\psconv.ini
2008-09-10 17:19 . 2008-09-10 17:19 <DIR> d-------- C:\Programme\gs
2008-09-10 17:19 . 2008-09-10 17:19 43 --a------ C:\WINDOWS\gswin32.ini
2008-09-10 17:06 . 2008-09-10 17:06 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\WordToPDF
2008-09-07 11:41 . 2008-09-07 11:41 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\InstallShield
2008-09-07 00:12 . 2008-09-07 00:12 <DIR> d-------- C:\WINDOWS\system32\de
2008-09-07 00:12 . 2008-09-07 00:12 <DIR> d-------- C:\WINDOWS\system32\bits
2008-09-02 20:14 . 2008-09-02 20:14 <DIR> d-------- C:\Programme\SweetIM
2008-09-02 20:14 . 2008-09-02 20:14 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SweetIM
2008-09-02 16:49 . 2008-09-02 20:16 <DIR> d-------- C:\Programme\TeamViewer3
2008-09-02 16:49 . 2008-09-02 16:49 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\TeamViewer
2008-08-29 13:35 . 2008-09-07 11:17 1,786 --a------ C:\WINDOWS\system32\PerfStringBackup.TMP

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-09-28 12:01 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-09-25 17:59 --------- d-----w C:\Programme\Gemeinsame Dateien\DVDVideoSoft
2008-09-21 14:01 98,304 ----a-w C:\WINDOWS\system32\CmdLineExt.dll
2008-09-20 15:00 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Canon
2008-09-16 14:34 --------- d-----w C:\Programme\Java
2008-09-04 11:36 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Skype
2008-08-30 19:46 --------- d-----w C:\Programme\Messenger Plus! Live
2008-08-28 08:54 --------- d-----w C:\Programme\Mozilla Firefox(2)
2008-08-26 16:42 --------- d-----w C:\Programme\Google
2008-08-19 13:50 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Dealio
2008-08-18 13:02 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Search Settings
2008-08-18 13:00 --------- d-----w C:\Programme\Search Settings
2008-08-18 13:00 --------- d-----w C:\Programme\Dealio
2008-08-16 11:25 66,872 ----a-w C:\WINDOWS\system32\PnkBstrA.exe
2008-08-16 11:25 22,328 ----a-w C:\WINDOWS\system32\drivers\PnkBstrK.sys
2008-08-16 11:25 103,736 ----a-w C:\WINDOWS\system32\PnkBstrB.exe
2008-08-16 11:19 --------- d--h--r C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\SecuROM
2008-08-14 15:55 304,160 ----a-w C:\PA207.DAT
2008-08-14 12:20 258,048 ----a-w C:\WINDOWS\system32\TubeFinder.exe
2008-07-31 11:51 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ICQ
2008-07-18 20:10 94,920 ----a-w C:\WINDOWS\system32\cdm.dll
2008-07-18 20:10 53,448 ----a-w C:\WINDOWS\system32\wuauclt.exe
2008-07-18 20:10 45,768 ----a-w C:\WINDOWS\system32\wups2.dll
2008-07-18 20:10 36,552 ----a-w C:\WINDOWS\system32\wups.dll
2008-07-18 20:09 563,912 ----a-w C:\WINDOWS\system32\wuapi.dll
2008-07-18 20:09 325,832 ----a-w C:\WINDOWS\system32\wucltui.dll
2008-07-18 20:09 205,000 ----a-w C:\WINDOWS\system32\wuweb.dll
2008-07-18 20:09 1,811,656 ----a-w C:\WINDOWS\system32\wuaueng.dll
2008-07-18 20:07 270,880 ----a-w C:\WINDOWS\system32\mucltui.dll
2008-07-18 20:07 210,976 ----a-w C:\WINDOWS\system32\muweb.dll
2008-07-07 20:30 253,952 ----a-w C:\WINDOWS\system32\es(4).dll
2008-07-07 20:30 253,952 ----a-w C:\WINDOWS\system32\es(3).dll
2008-07-07 20:30 253,952 ----a-w C:\WINDOWS\system32\es(2).dll
2008-07-07 20:26 253,952 ----a-w C:\WINDOWS\system32\es.dll
2005-05-18 17:56 11,810,860 ----a-w C:\Programme\setup.exe
.

((((((((((((((((((((((((((((( snapshot@2008-09-29_15.48.09.18 )))))))))))))))))))))))))))))))))))))))))
.
+ 2008-09-29 13:55:57 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_794.dat
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-14 15360]
"MsnMsgr"="C:\Programme\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 5724184]
"Google Update"="C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe" [2008-09-03 133104]
"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" [2008-06-24 1840424]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SSBkgdUpdate"="C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-09-28 185896]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-31 266497]
"Adobe Reader Speed Launcher"="D:\Adobe\Reader\Reader_sl.exe" [2008-01-11 39792]
"Monitor"="C:\WINDOWS\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"au"="C:\Programme\Dealio\DealioAU.exe" [2008-05-26 595296]
"SunJavaUpdateSched"="C:\Programme\Java\jre6\bin\jusched.exe" [2008-09-16 144792]
"NeroFilterCheck"="C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe" [2008-06-19 570664]
"NBKeyScan"="C:\Programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2008-06-08 2221352]
"Verknüpfung mit der High Definition Audio-Eigenschaftenseite"="HDAudPropShortcut.exe" [2004-03-17 C:\WINDOWS\system32\Hdaudpropshortcut.exe]
"SoundMan"="SOUNDMAN.EXE" [2004-07-01 C:\WINDOWS\SOUNDMAN.EXE]
"AlcWzrd"="ALCWZRD.EXE" [2004-07-05 C:\WINDOWS\ALCWZRD.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\aawservice]
@=""

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"D:\\Programme\\KONAMI\\Pro Evolution Soccer 2008\\PES2008.exe"=
"D:\\Programme\\KONAMI\\Pro Evolution Soccer 2008\\PES2008\\PES2008.exe"=
"D:\\Programme\\Valve\\Steam.exe"=
"D:\\Skype\\Phone\\Skype.exe"=
"C:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"C:\\Dokumente und Einstellungen\\Administrator\\Desktop\\Team Viewer\\TeamViewer.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1200:UDP"= 1200:UDP:CS 1.6
"27000:UDP"= 27000:UDP:Counter-strike 1.6
"27015:UDP"= 27015:UDP:CS 1.6
"27030:TCP"= 27030:TCP:Counter-Strike 1.6
"27039:TCP"= 27039:TCP:Counter-Strike 1.6
"13953:TCP"= 13953:TCP:Skype
"13953:UDP"= 13953:UDP:Skype

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundRouterRequest"= 0 (0x0)

R0 pavboot;pavboot;C:\WINDOWS\system32\drivers\pavboot.sys [2008-06-19 28544]
R2 atjsgt;atjsgt;C:\WINDOWS\system32\DRIVERS\atjsgt.sys [2008-07-07 165504]
R2 EAPPkt;Realtek EAPPkt Protocol;C:\WINDOWS\system32\DRIVERS\EAPPkt.sys [2005-04-01 66048]
R2 JavaQuickStarterService;Java Quick Starter;C:\Programme\Java\jre6\bin\jqs.exe [2008-09-16 147456]
R2 linsgt;linsgt;C:\WINDOWS\system32\DRIVERS\linsgt.sys [2008-07-07 16000]
S3 Camdrv30;Philips ToUcam XS;C:\WINDOWS\system32\Drivers\camdrv30.sys [2001-08-17 171264]
S3 MBAMSwissArmy;MBAMSwissArmy;C:\WINDOWS\system32\drivers\mbamswissarmy.sys [2008-09-08 38528]
S3 PAC207;Trust WB-1400T Webcam;C:\WINDOWS\system32\DRIVERS\PFC027.SYS [2007-05-14 508288]
S3 RTLWUSB;NETGEAR WG111v2 54Mbps Wireless USB 2.0 Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\wg111v2.sys [2005-04-21 112384]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{EC383C4E-F6A8-1A1D-BE64-372B5E654694}]
C:\WINDOWS\system32\winupd.exe
.
Inhalt des "geplante Tasks" Ordners
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

WebBrowser-{3041D03E-FD4B-44E0-B742-2D9B88305F98} - (no file)



**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-29 17:39:19
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...


**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\SjyPkt]
"ImagePath"="\??\C:\WINDOWS\System32\Drivers\SjyPkt.sys"
.
Zeit der Fertigstellung: 2008-09-29 17:41:18
ComboFix-quarantined-files.txt 2008-09-29 15:40:16
ComboFix2.txt 2008-09-29 13:49:46

Vor Suchlauf: 11 Verzeichnis(se), 43.283.333.120 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 43,279,540,224 Bytes frei

197 --- E O F --- 2008-09-10 13:51:10

Hi,

deinstalliere bitte Searchsettings über Start->Systemsteuerung->Software
Erstelle danach ein Log mit RSIT. Es werden 2 Dateien erstellt (log.txt und info.txt). Poste den Inhalt beider Dateien hier. (Wenn die Dateien zu lange sind kannst du sie bei file-upload hochladen und die Links hier posten.)

lg myrtille

http://www.file-upload.net/download-.../info.txt.html


http://www.file-upload.net/download-...6/log.txt.html

Hi,

die Logs sehen erstmal ok aus. Was sagt der REchner?

Searchsettings ist Spyware, die dein Internetverhalten ausspioniert, weswegen ich sie deinstallieren lassen hab.

lg myrtille

nur zur Info:

Zitat von BloedeViren

hier das kommt bei F8 guck bisschen weiter unten das blaue bild

also hier hätte man IDE WDC (Western digital) auswählen müssen und anschliessend nochmals F8 drücken müssen. Danach kannst Du auch den abgesicherten Modus auswählen.

Zitat von myrtille

Hi,

die Logs sehen erstmal ok aus. Was sagt der REchner?

Searchsettings ist Spyware, die dein Internetverhalten ausspioniert, weswegen ich sie deinstallieren lassen hab.

Mein Rechner macht zurzeit überhaupt garkeine Probleme, Icq Password Recovery ist auch komplett weg. Die Virus Datei die sich nach dem Neustart erstellt hat ist auch vollkommen weg. Habe gestern mal Anti-Vir komplett durchlaufen lassen, keine Virenmeldung. Ich hoffe ich habe nicht Irgenteine Spyware noch auf meinem Rechner, die ich nicht erkenn, dann gib ich der Spyware mit Hilfe von euch eine

Ich habe noch SearsettingKIT.exe , was soll mit der passieren, oder ist sie frei?

Aber ich kann jetzt schonmal richtig doll danke sagen

Hi,

wo liegt die Datei denn?

Lad sie vielleicht mal bei virustotal hoch.
(und die Datei sollte nicht so bös versteckt sein wie winupd.exe )

lg myrtille

Zitat von erty

nur zur Info:



also hier hätte man IDE WDC (Western digital) auswählen müssen und anschliessend nochmals F8 drücken müssen. Danach kannst Du auch den abgesicherten Modus auswählen.

Alles klar, danke. Beim nächsten mal weiß ich ja bescheid

Zitat von myrtille

Hi,

wo liegt die Datei denn?

Die liegt in c:/Programme/Dealio

also schonmal nicht im System32 versteckt.

Datei SearchSettingsKit.exe empfangen 2008.09.30 12:13:00 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt


Ergebnis: 0/36 (0%)



Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.9.25.0 2008.09.30 -
AntiVir 7.8.1.34 2008.09.30 -
Authentium 5.1.0.4 2008.09.30 -
Avast 4.8.1195.0 2008.09.29 -
AVG 8.0.0.161 2008.09.29 -
BitDefender 7.2 2008.09.30 -
CAT-QuickHeal 9.50 2008.09.30 -
ClamAV 0.93.1 2008.09.30 -
DrWeb 4.44.0.09170 2008.09.30 -
eSafe 7.0.17.0 2008.09.29 -
eTrust-Vet 31.6.6118 2008.09.30 -
Ewido 4.0 2008.09.29 -
F-Prot 4.4.4.56 2008.09.29 -
F-Secure 8.0.14332.0 2008.09.30 -
Fortinet 3.113.0.0 2008.09.30 -
GData 19 2008.09.30 -
Ikarus T3.1.1.34.0 2008.09.30 -
K7AntiVirus 7.10.476 2008.09.27 -
Kaspersky 7.0.0.125 2008.09.30 -
McAfee 5394 2008.09.30 -
Microsoft 1.4005 2008.09.30 -
NOD32 3481 2008.09.29 -
Norman 5.80.02 2008.09.29 -
Panda 9.0.0.4 2008.09.29 -
PCTools 4.4.2.0 2008.09.29 -
Prevx1 V2 2008.09.30 -
Rising 20.63.62.00 2008.09.28 -
SecureWeb-Gateway 6.7.6 2008.09.30 -
Sophos 4.34.0 2008.09.30 -
Sunbelt 3.1.1675.1 2008.09.27 -
Symantec 10 2008.09.30 -
TheHacker 6.3.0.9.097 2008.09.29 -
TrendMicro 8.700.0.1004 2008.09.30 -
VBA32 3.12.8.6 2008.09.29 -
ViRobot 2008.9.30.1398 2008.09.30 -
VirusBuster 4.5.11.0 2008.09.29 -
weitere Informationen
File size: 2180168 bytes
MD5...: 5303dbba326b4be5f9c34d804f225de2
SHA1..: d10c05d742dd2a42540aed49c8c87b5fd718dec2
SHA256: ec85ef8282ac7d03e342e338a9155647240b4e2276329e7c4c9519c174ab7257
SHA512: 1f6e45166e4b67460afd29500dedde16a07ddf07f387490e945ba68e2bdaaa34
ce514f7b2a7ea615679983946fe60f6f024cad524f51912a01c8722082accce8
PEiD..: Armadillo v1.71
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x42a1ac
timedatestamp.....: 0x4731f49c (Wed Nov 07 17:23:40 2007)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x34c42 0x35000 6.56 8376827ee460f4e060da53671bbb98d8
.rdata 0x36000 0x6ec6 0x7000 4.82 17a549490d4b6d7315f9b721c376ff78
.data 0x3d000 0x9dc4 0x6000 3.15 ab3e47122f07f7545211f51439bc903c
.rsrc 0x47000 0x15abc 0x16000 7.53 efab47bbaad8f002320cea27f7c3062e

( 10 imports )
> VERSION.dll: VerQueryValueA, GetFileVersionInfoSizeA, GetFileVersionInfoA
> SHELL32.dll: SHGetPathFromIDListA, ShellExecuteA, SHBrowseForFolderA, SHGetMalloc
> COMCTL32.dll: -
> KERNEL32.dll: DuplicateHandle, GetCurrentProcess, ExitProcess, WaitForSingleObject, CreateProcessA, lstrcpyA, GetWindowsDirectoryA, SetErrorMode, GetTempPathA, ExpandEnvironmentStringsA, lstrcmpA, lstrcmpiA, GetTickCount, GetExitCodeThread, CreateThread, CopyFileA, InterlockedIncrement, InterlockedDecrement, QueryPerformanceFrequency, CreateEventA, lstrcatA, GetTempFileNameA, CompareStringA, CompareStringW, GetVersionExA, SetFilePointer, SetFileAttributesA, SetFileTime, LocalFileTimeToFileTime, DosDateTimeToFileTime, FreeLibrary, GetProcAddress, LoadLibraryA, LockResource, LoadResource, SizeofResource, FindResourceA, GetSystemDefaultLCID, GlobalHandle, VerLanguageNameA, FormatMessageA, LocalFree, GetLocalTime, MoveFileA, SetCurrentDirectoryA, FindClose, FindNextFileA, CompareFileTime, FindFirstFileA, GetSystemTimeAsFileTime, GetSystemInfo, MulDiv, IsValidCodePage, GetVersion, FlushFileBuffers, SetEndOfFile, GetDiskFreeSpaceA, GetDriveTypeA, CreateDirectoryA, MapViewOfFile, GetCurrentThread, GetLocaleInfoA, GetFileType, GetStdHandle, GetThreadContext, GetEnvironmentStringsW, SetLastError, FreeEnvironmentStringsW, FreeEnvironmentStringsA, UnhandledExceptionFilter, GetOEMCP, GetACP, GetCPInfo, SetUnhandledExceptionFilter, LCMapStringW, LCMapStringA, IsBadWritePtr, VirtualAlloc, VirtualFree, HeapCreate, HeapDestroy, GetEnvironmentVariableA, TlsGetValue, TlsAlloc, TlsSetValue, GetCurrentThreadId, HeapSize, HeapReAlloc, GetCommandLineA, GetStartupInfoA, RaiseException, RtlUnwind, DeleteCriticalSection, InterlockedExchange, IsBadReadPtr, SystemTimeToFileTime, QueryPerformanceCounter, ResetEvent, SetEvent, GetShortPathNameA, VirtualProtect, VirtualQuery, EnterCriticalSection, LeaveCriticalSection, InitializeCriticalSection, TerminateProcess, GetModuleHandleA, SearchPathA, SetStdHandle, UnmapViewOfFile, lstrlenA, CreateFileA, GetFileSize, GlobalAlloc, CloseHandle, VirtualProtectEx, WriteProcessMemory, FlushInstructionCache, SetThreadContext, ResumeThread, DeleteFileA, Sleep, RemoveDirectoryA, IsDBCSLeadByte, GetFileAttributesA, GetProcessHeap, HeapAlloc, HeapFree, WriteFile, lstrcpynA, GetModuleFileNameA, lstrlenW, WideCharToMultiByte, MultiByteToWideChar, SetHandleCount, GetLastError, GlobalLock, ReadFile, GlobalUnlock, GlobalFree, GetEnvironmentStrings, CreateFileMappingA, GetStringTypeA, GetStringTypeW, IsBadCodePtr, GetExitCodeProcess
> USER32.dll: GetDlgItemTextA, GetWindow, SetCursor, UpdateWindow, GetClassInfoA, CharUpperA, CharLowerBuffA, wvsprintfA, EnableWindow, GetParent, GetWindowTextLengthA, GetWindowTextA, MoveWindow, GetWindowPlacement, DrawIcon, DestroyIcon, GetDlgCtrlID, SetWindowTextA, FillRect, GetSysColor, GetSysColorBrush, SendMessageA, LoadStringA, GetSystemMetrics, SetRect, FindWindowA, IntersectRect, SubtractRect, IsWindow, DestroyWindow, CreateDialogParamA, CharNextA, MessageBoxA, WaitForInputIdle, GetWindowLongA, BeginPaint, EndPaint, SetWindowLongA, GetClientRect, ClientToScreen, SetWindowPos, GetWindowDC, EndDialog, GetDlgItem, ShowWindow, DialogBoxParamA, GetDesktopWindow, wsprintfA, MsgWaitForMultipleObjects, PeekMessageA, DefWindowProcA, PostMessageA, KillTimer, PostQuitMessage, SetTimer, LoadIconA, LoadCursorA, RegisterClassA, CreateWindowExA, GetMessageA, TranslateMessage, DispatchMessageA, GetDC, ReleaseDC, CharPrevA, ExitWindowsEx, SendDlgItemMessageA, GetWindowRect, IsDialogMessageA
> GDI32.dll: CreateFontA, GetTextExtentPoint32A, SetBkMode, SetTextColor, GetObjectA, CreateFontIndirectA, CreateSolidBrush, CreateCompatibleDC, SelectObject, BitBlt, DeleteDC, DeleteObject, GetStockObject, GetSystemPaletteEntries, CreatePalette, GetDeviceCaps, SelectPalette, RealizePalette, CreateDIBitmap, TranslateCharsetInfo
> ADVAPI32.dll: RegQueryValueA, RegOpenKeyA, FreeSid, OpenProcessToken, LookupPrivilegeValueA, AdjustTokenPrivileges, RegEnumValueA, RegCreateKeyExA, RegSetValueExA, RegDeleteValueA, RegOpenKeyExA, RegQueryValueExA, RegCloseKey, AllocateAndInitializeSid, GetTokenInformation, OpenThreadToken, EqualSid
> RPCRT4.dll: UuidCreate, RpcStringFreeA, UuidToStringA
> ole32.dll: CoUninitialize, CoInitialize
> OLEAUT32.dll: -, -, -, -, -, -, -

( 0 exports )

Hi,

die Datei sieht relativ harmlos aus. Wenn du ganz sicher gehen willst, kannst du die Datei in SearchSettingsKit.exe.bak umbenennen und schauen ob dann Probleme auftreten.

Dann machen wir ein wenig sauber:
Deinstalliere bitte Combofix in dem du unter Start->Ausführen-> "%userprofile%\Desktop\Combofix.exe" /u eingibst.

Hijackthis kannst du über start->systemsteuerung->software löschen
RSIT kannst du einfach so entfernen.

Besuche vielleicht noch Secunia und überprüfe bitte ob deine Software aktuell ist. (Dazu wird Java benötigt)

lg myrtille

Ist alles auf dem neusten Stand und Deeinstalliert sind die Programme, HiJack, Combofix und RSIT auch.


Ließt du eigentlich Bücher oder was machst du das du dich so gut damit alles auskennst?

Hi,

das allermeiste habe ich hier und auf anderen Foren gelernt.

Es gibt auch einige Foren die richtige "Schulungen" zu dem Themengebiet anbieten und bei denen man dann wirklich ausgebildet wird.
Ich hab das allerdings mehr im Alleingang hier gelernt. Google ist dabei dein wichtigster Freund
Anfangs muss man wirklich jeden Eintrag nachschlagen um zu sehen, ob die genannte Datei gut oder bösartig ist. Man lernt aber schnell die häufigsten Einträge kennen und braucht dann immer weniger Zeit zum analysieren.

lg myrtille

Uii, gute Arbeit
würde ich mich auf Foren umschauen wüsste ich garnicht wonach ich Suche um zu lernen welche dateien gut oder welche bösartig sind.

würde ich mich auf Foren umschauen wüsste ich garnicht wonach ich Suche um zu lernen welche dateien gut oder welche bösartig sind.

Wenn du dateien nicht kennst google hilft So mache ich es auch manchmal und mit der zeit lernt man auffälligkeiten zu entdecken! Zb. Wenn bei einem 04 eintrag in nem HJT log ein name ist der aussieht wie als hätte jemand
anfallshaft auf die tastatur geschlagen sollte man da ma genauer hinschauen weil eine uidfhuzlsd.exe ist seltsam das ist nur ma so ein beispiel

Ich weiß nicht ob ich was falsch gemacht hab..

gerade tauchte auf dem bildschirm ein blaues fenster auf wo drinne stand, damit der computer nicht beschädigt wird wurde er heruntergefahren. Als ich ihn hochgefahren habe stand da: Windows wird nach einem schwerliegenden Fehler wieder ausgeführt.

Fehlt vielleicht eine Datei die gelöscht wurde?