| |
| |||||||
Log-Analyse und Auswertung: Spybot kann Win32.Agent.sxi nicht entfernenWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
11.11.2008, 12:55
| #1 |
 |  Spybot kann Win32.Agent.sxi nicht entfernen Hallo! Trotz Beachtung der üblichen Sicherheitsregeln scheine ich mir auf meinem Bürorechner einen Trojaner eingefangen zu haben. Zumindest meldete McAfee gestern den Befall von "res.dll" und "A0049273.dll" in der "System Volume Information" mit "New Malware.je". Die Dateien stehen jetzt unter Quarantäne. Auf den McAfee-Seiten habe ich dazu zunächst keine weiterhelfenden Infos gefunden. Spybot (Ver. 1.6.0.30) erkannte dann den Trojaner "Win32.Agent.sxi". Das Beseitigen war zwar lt. Spybot erfolgreich, aber beim nächsten Scan findet sich der Schlingel wieder. Passend zur Beschreibung fand ich auf meinen USB-Sticks in letzter Zeit die Dateien "autorun.inf" und eine beliebige weitere dll, die ich jeweils entsorgt habe, ohne auf die Idee zu kommen, dass mein Rechner die Quelle ist  Das Recherchieren im Netz brachte bisher auch nur mäßig Erfolg, da ich keine exakte Übereinstimmung der Bezeichnungen fand und sich die Anleitungen zur Beseitigung doch sehr stark unterscheiden. Ich poste daher nachfolgend ein HJT log-file und wäre für weiterführende Tipps sehr dankbar. Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 12:00:09, on 11.11.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16735) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Network Associates\VirusScan\SHSTAT.EXE C:\Programme\Network Associates\Common Framework\UpdaterUI.exe C:\WINDOWS\System32\igfxtray.exe C:\WINDOWS\System32\hkcmd.exe C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe C:\Programme\ScanSoft\PaperPort\pptd40nt.exe C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe C:\Programme\Java\jre1.6.0_07\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe C:\Programme\Cisco Systems\VPN Client\cvpnd.exe C:\Programme\Network Associates\Common Framework\FrameworkService.exe C:\Programme\Network Associates\VirusScan\Mcshield.exe C:\Programme\Network Associates\VirusScan\VsTskMgr.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\lotus\notes\ntmulti.exe C:\Programme\Analog Devices\SoundMAX\SMAgent.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Pmail\Programs\winpm-32.exe C:\lotus\notes\NLNOTES.EXE C:\lotus\notes\ntaskldr.EXE C:\Programme\Adobe\Acrobat 6.0\Acrobat\Acrobat.exe C:\WINDOWS\System32\WISPTIS.EXE C:\PROGRA~1\MOZILL~1\FIREFOX.EXE C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.tu-chemnitz.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=33568 O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe" O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe" O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=112508 serial=DR12WCX-1301868-SBM lang=DE O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\Utils\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105451114499 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.XXX.de O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de O17 - HKLM\System\CCS\Services\Tcpip\..\{64CC15B2-9D02-4A4A-B2A9-9A27807058FC}: Domain = intranet.XXX.de O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = intranet.XXX.de O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\lotus\notes\ntmulti.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe ciao, waldi1979 |
|
11.11.2008, 13:24
| #2 |
  | Spybot kann Win32.Agent.sxi nicht entfernen Hi,
__________________das HJ-Log gibt nichts her, außer das hier: O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.X O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de Kennst Du die Einträge und ist das ein geschäftlich genutzter Rechner? MAM & RSIT: Malwarebytes Antimalware (MAM). Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html Fullscan und alles bereinigen lassen! Log posten. RSIT Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile. Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/ speichere es auf Deinem Desktop. Starte mit Doppelklick die RSIT.exe. Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren. Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren. In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept". Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen. Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage. Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet. Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread. chris
__________________ |
|
11.11.2008, 13:41
| #3 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, Chris4You,
__________________ für die schnelle Antwort. Zunächst die einfachen Punkte:>das HJ-Log gibt nichts her, außer das hier: >O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.X >O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de >Kennst Du die Einträge und ist das ein geschäftlich genutzter Rechner? Einträge sind mir bekannt/von mir mit XXX editiert. "Geschäftlich" genutzt ist sicherlich übertrieben (Forschungseinrichtung). Mein Brötchengeber XXX hätte sich halt nur ungern in diesen Einträgen wiedergefunden ;-) Ich arbeite jetzt die Anleitung ab ... waldi1979 |
|
11.11.2008, 15:49
| #4 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, anbei als Nachtrag die gewünschten log-files (ich hoffe, dass das jetzt minimiert erscheint): MAM Code:
ATTFilter Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1382
Windows 5.1.2600 Service Pack 2
11.11.2008 15:28:53
mbam-log-2008-11-11 (15-28-53).txt
Scan-Methode: Vollständiger Scan (C:\|E:\|)
Durchsuchte Objekte: 199865
Laufzeit: 1 hour(s), 18 minute(s), 50 second(s)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 7
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\cometcursor.cometcursor (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\cometcursor.cometcursor.1 (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{1678f7e1-c422-11d0-ad7d-00400515caaa} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Typelib\{3c0c31a2-70a2-11d1-b69e-444553540000} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{1678f7e1-c422-11d0-ad7d-00400515caaa} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Comet (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Comet (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
RSIT (log.txt) Code:
ATTFilter Logfile of random's system information tool 1.04 (written by random/random) Run by *** at 2008-11-11 15:31:27 Microsoft Windows XP Professional Service Pack 2 System drive C: has 47 GB (62%) free of 76 GB Total RAM: 1015 MB (38% free) Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 15:31:31, on 11.11.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16735) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Network Associates\VirusScan\SHSTAT.EXE C:\Programme\Network Associates\Common Framework\UpdaterUI.exe C:\WINDOWS\System32\igfxtray.exe C:\WINDOWS\System32\hkcmd.exe C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe C:\Programme\ScanSoft\PaperPort\pptd40nt.exe C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe C:\Programme\Java\jre1.6.0_07\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe C:\Programme\Cisco Systems\VPN Client\cvpnd.exe C:\Programme\Network Associates\Common Framework\FrameworkService.exe C:\Programme\Network Associates\VirusScan\Mcshield.exe C:\Programme\Network Associates\VirusScan\VsTskMgr.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\lotus\notes\ntmulti.exe C:\Programme\Analog Devices\SoundMAX\SMAgent.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\WISPTIS.EXE C:\PROGRA~1\MOZILL~1\FIREFOX.EXE C:\WINDOWS\system32\NOTEPAD.EXE C:\Dokumente und Einstellungen\welzel\Desktop\RSIT.exe C:\Programme\Trend Micro\HijackThis\***.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.tu-chemnitz.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=33568 O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe" O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe" O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=112508 serial=DR12WCX-1301868-SBM lang=DE O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\Utils\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programme\Utils\Malwarebytes\mbamgui.exe /install /silent O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105451114499 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.***.de O17 - HKLM\Software\..\Telephony: DomainName = intranet.***.de O17 - HKLM\System\CCS\Services\Tcpip\..\{64CC15B2-9D02-4A4A-B2A9-9A27807058FC}: Domain = intranet.***.de O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = intranet.***.de O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\lotus\notes\ntmulti.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe Code:
ATTFilter ======Registry dump======
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
AcroIEHlprObj Class - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll [2003-05-14 50376]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}]
SSVHelper Class - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll [2008-06-10 509328]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE7CD045-E861-484f-8273-0445EE161910}]
AcroIEToolbarHelper Class - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll [2003-05-15 147456]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{47833539-D0C5-4125-9FA8-0819E2EAAC93} - Adobe PDF - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll [2003-05-15 147456]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"=C:\WINDOWS\System32\NvCpl.dll [2003-10-06 5058560]
"nwiz"=nwiz.exe /install []
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe [2001-07-09 155648]
"ShStatEXE"=C:\Programme\Network Associates\VirusScan\SHSTAT.EXE [2004-09-22 94208]
"McAfeeUpdaterUI"=C:\Programme\Network Associates\Common Framework\UpdaterUI.exe [2004-08-06 139320]
"IgfxTray"=C:\WINDOWS\System32\igfxtray.exe [2003-10-02 155648]
"HotKeysCmds"=C:\WINDOWS\System32\hkcmd.exe [2003-10-02 118784]
"Network Associates Error Reporting Service"=C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe [2003-10-07 147514]
"TrueImageMonitor.exe"=C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe [2006-11-16 1137545]
"Acronis Scheduler2 Service"=C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe [2006-11-14 135168]
"CorelDRAW Graphics Suite 11b"=C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe [2003-11-28 733184]
"QuickTime Task"=C:\Programme\Utils\QuickTime\qttask.exe [2007-02-12 98304]
"SSBkgdUpdate"=C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe [2003-10-14 155648]
"PaperPort PTD"=C:\Programme\ScanSoft\PaperPort\pptd40nt.exe [2004-03-09 57393]
"IndexSearch"=C:\Programme\ScanSoft\PaperPort\IndexSearch.exe [2004-03-09 40960]
"ControlCenter2.0"=C:\Programme\Brother\ControlCenter2\brctrcen.exe [2005-01-07 864256]
"AcronisTimounterMonitor"=C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe [2006-11-15 1870730]
"SunJavaUpdateSched"=C:\Programme\Java\jre1.6.0_07\bin\jusched.exe [2008-06-10 144784]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Malwarebytes' Anti-Malware"=C:\Programme\Utils\Malwarebytes\mbamgui.exe [2008-10-22 399504]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe [2004-08-04 15360]
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart
Acrobat Assistant.lnk - C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
AutoCAD-Startbeschleuniger.lnk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\igfxcui]
C:\WINDOWS\system32\igfxsrvc.dll [2003-10-02 319488]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]
C:\WINDOWS\system32\WgaLogon.dll [2007-02-15 236928]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"authentication packages"=msv1_0
relog_ap
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\UploadMgr]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1
"disablecad"=1
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=145
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Programme\Trillian\trillian.exe"="C:\Programme\Trillian\trillian.exe:*:Enabled:Trillian"
"C:\Programme\SmartFTP Client 2.0\SmartFTP.exe"="C:\Programme\SmartFTP Client 2.0\SmartFTP.exe:*:Enabled:SmartFTP Client 2.5"
"C:\Programme\Utils\LeechFTP\Leechftp.exe"="C:\Programme\Utils\LeechFTP\Leechftp.exe:*:Enabled:LeechFTP"
"C:\Programme\Messenger\msmsgs.exe"="C:\Programme\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe"="C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe:*:Enabled:TrueImage"
"C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe"="C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe:*:Enabled:TrueImageService"
"C:\Programme\SmartFTP Client\SmartFTP.exe"="C:\Programme\SmartFTP Client\SmartFTP.exe:*:Enabled:SmartFTP Client 3.0"
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Programme\Trillian\trillian.exe"="C:\Programme\Trillian\trillian.exe:*:Enabled:Trillian"
"C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe"="C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe:*:Enabled:TrueImage"
"C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe"="C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe:*:Enabled:TrueImageService"
"C:\Programme\Utils\LeechFTP\Leechftp.exe"="C:\Programme\Utils\LeechFTP\Leechftp.exe:*:Enabled:LeechFTP"
"C:\Programme\SmartFTP Client\SmartFTP.exe"="C:\Programme\SmartFTP Client\SmartFTP.exe:*:Enabled:SmartFTP Client"
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815e9-7f08-11dd-913d-003005774536}]
shell\AutoRun\command - F:\
shell\open\command - rundll32.exe .\\dguet.dll,InstallM
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}]
shell\AutoRun\command - F:\
shell\open\command - rundll32.exe .\\jgsl400.dll,InstallM
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9ee4c052-cf17-11dc-90bc-003005774536}]
shell\AutoRun\command - F:\
======List of files/folders created in the last 2 months======
2008-11-11 15:31:27 ----D---- C:\rsit
2008-11-11 13:52:15 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Malwarebytes
2008-11-11 13:52:10 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-11-10 11:31:20 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-11-10 10:25:23 ----D---- C:\Programme\Trend Micro
2008-10-28 10:51:21 ----HDC---- C:\WINDOWS\$NtUninstallKB958644$
2008-10-15 09:17:54 ----HDC---- C:\WINDOWS\$NtUninstallKB956803$
2008-10-15 09:17:44 ----HDC---- C:\WINDOWS\$NtUninstallKB957095$
2008-10-15 09:15:13 ----HDC---- C:\WINDOWS\$NtUninstallKB954211$
2008-10-15 09:14:47 ----HDC---- C:\WINDOWS\$NtUninstallKB956841$
2008-09-12 08:07:41 ----HDC---- C:\WINDOWS\$NtUninstallKB938464$
======List of files/folders modified in the last 2 months======
2008-11-11 15:31:03 ----D---- C:\WINDOWS\Prefetch
2008-11-11 13:52:14 ----D---- C:\WINDOWS\system32\drivers
2008-11-11 13:52:10 ----D---- C:\Programme\Utils
2008-11-11 12:00:33 ----D---- C:\Temp
2008-11-11 11:57:09 ----D---- C:\Programme\Mozilla Firefox
2008-11-11 11:46:48 ----D---- C:\Programme\Trillian
2008-11-11 11:34:33 ----A---- C:\WINDOWS\hpbafd.ini
2008-11-11 10:32:15 ----D---- C:\WINDOWS\Temp
2008-11-11 09:23:46 ----D---- C:\WINDOWS\security
2008-11-11 09:18:07 ----D---- C:\WINDOWS\system32
2008-11-11 09:17:43 ----D---- C:\WINDOWS
2008-11-11 00:31:20 ----A---- C:\WINDOWS\SchedLgU.Txt
2008-11-10 18:32:24 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\AdobeUM
2008-11-10 13:55:24 ----D---- C:\Quarantäne
2008-11-10 10:25:23 ----RD---- C:\Programme
2008-11-04 18:36:57 ----D---- C:\Literat
2008-10-28 10:51:28 ----HD---- C:\WINDOWS\inf
2008-10-28 10:51:24 ----RSHDC---- C:\WINDOWS\system32\dllcache
2008-10-28 10:50:41 ----HD---- C:\WINDOWS\$hf_mig$
2008-10-28 10:50:40 ----D---- C:\WINDOWS\system32\CatRoot2
2008-10-27 09:35:32 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI
2008-10-15 17:57:39 ----A---- C:\WINDOWS\system32\netapi32.dll
2008-10-15 09:17:59 ----A---- C:\WINDOWS\imsins.BAK
2008-10-15 09:17:28 ----D---- C:\Programme\Internet Explorer
2008-10-15 09:17:15 ----D---- C:\WINDOWS\ie7updates
2008-10-15 09:16:57 ----SHD---- C:\WINDOWS\Installer
2008-10-15 09:16:41 ----A---- C:\WINDOWS\win.ini
2008-10-03 17:58:14 ----A---- C:\WINDOWS\system32\ieframe.dll
2008-09-23 22:54:30 ----D---- C:\Fotos
2008-09-12 08:07:42 ----D---- C:\WINDOWS\WinSxS
======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R1 intelppm;Intel-Prozessortreiber; C:\WINDOWS\System32\DRIVERS\intelppm.sys [2004-08-04 40192]
R1 NaiAvTdi1;NaiAvTdi1; C:\WINDOWS\system32\drivers\mvstdi5x.sys [2004-09-22 58048]
R2 CVPNDRVA;Cisco Systems IPsec Driver; \??\C:\WINDOWS\system32\Drivers\CVPNDRVA.sys []
R2 tifsfilter;Acronis True Image FS Filter; C:\WINDOWS\System32\DRIVERS\tifsfilt.sys [2007-06-15 32768]
R3 {6080A529-897E-4629-A488-ABA0C29B635E};Intel(R) Graphics Platform (SoftBIOS) Driver; C:\WINDOWS\system32\drivers\ialmsbw.sys [2003-10-08 120830]
R3 {D31A0762-0CEB-444e-ACFF-B049A1F6FE91};Intel(R) Graphics Chipset (KCH) Driver; C:\WINDOWS\system32\drivers\ialmkchw.sys [2003-10-08 98842]
R3 {E6759E0C-470B-44DC-A4A1-627E68BB3A85};AIM 3.0 SI164; C:\WINDOWS\system32\drivers\A302.sys [2003-10-08 11831]
R3 aeaudio;aeaudio; C:\WINDOWS\system32\drivers\aeaudio.sys [2002-04-01 4816]
R3 DNE;Deterministic Network Enhancer Miniport; C:\WINDOWS\system32\DRIVERS\dne2000.sys [2005-06-29 110080]
R3 E1000;Intel(R) PRO/1000 Adapter Driver; C:\WINDOWS\System32\DRIVERS\e1000325.sys [2003-08-14 125952]
R3 EntDrv51;EntDrv51; \??\C:\WINDOWS\system32\drivers\EntDrv51.sys []
R3 ialm;ialm; C:\WINDOWS\System32\DRIVERS\ialmnt5.sys [2003-10-08 93979]
R3 NaiAvFilter1;NaiAvFilter1; C:\WINDOWS\system32\drivers\naiavf5x.sys [2004-09-22 108256]
R3 smwdm;smwdm; C:\WINDOWS\system32\drivers\smwdm.sys [2003-06-13 578752]
R3 StillCam;Treiber für serielle Digitalkamera; C:\WINDOWS\system32\DRIVERS\serscan.sys [2001-08-18 7040]
R3 usbehci;Miniporttreiber für erweiterten Microsoft USB 2.0-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbehci.sys [2004-08-04 26624]
R3 usbhub;USB2-aktivierter Hub; C:\WINDOWS\System32\DRIVERS\usbhub.sys [2004-08-04 57600]
R3 usbuhci;Miniporttreiber für universellen Microsoft USB-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbuhci.sys [2004-08-04 20480]
S2 DS1410D;DS1410D; C:\WINDOWS\SYSTEM32\drivers\DS1410D.SYS []
S3 bfturboh;BUFFALO TurboUSB for HD Filter; C:\WINDOWS\system32\drivers\bfturboh.sys [2007-08-01 15872]
S3 CVirtA;Cisco Systems VPN Adapter; C:\WINDOWS\system32\DRIVERS\CVirtA.sys [2005-05-17 5315]
S3 nv;nv; C:\WINDOWS\System32\DRIVERS\nv4_mini.sys [2003-10-06 1550043]
S3 usbscan;USB-Scannertreiber; C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-04 15104]
S3 USBSTOR;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 26496]
S3 vsdatant;vsdatant; \??\C:\WINDOWS\system32\vsdatant.sys []
S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys []
======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R2 AcrSch2Svc;Acronis Scheduler2 Service; C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe [2006-11-14 397312]
R2 CVPND;Cisco Systems, Inc. VPN Service; C:\Programme\Cisco Systems\VPN Client\cvpnd.exe [2005-11-04 1516584]
R2 McAfeeFramework;McAfee Framework-Dienst; C:\Programme\Network Associates\Common Framework\FrameworkService.exe [2004-08-06 102463]
R2 McShield;Network Associates McShield; C:\Programme\Network Associates\VirusScan\Mcshield.exe [2004-09-22 221191]
R2 McTaskManager;Network Associates Task Manager; C:\Programme\Network Associates\VirusScan\VsTskMgr.exe [2004-09-22 28672]
R2 MDM;Machine Debug Manager; C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE [2003-06-19 322120]
R2 Multi-user Cleanup Service;Multi-user Cleanup Service; C:\lotus\notes\ntmulti.exe [2005-12-01 57393]
R2 SoundMAX Agent Service (default);SoundMAX Agent Service; C:\Programme\Analog Devices\SoundMAX\SMAgent.exe [2002-09-20 45056]
S2 NVSvc;NVIDIA Display Driver Service; C:\WINDOWS\System32\nvsvc32.exe [2003-10-06 81920]
S3 aspnet_state;ASP.NET-Zustandsdienst; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2007-04-13 33632]
S3 Autodesk Licensing Service;Autodesk Licensing Service; C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe [2007-02-12 74360]
S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2007-04-13 68952]
S3 ose;Office Source Engine; C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE [2003-07-28 89136]
-----------------EOF-----------------
waldi1979 |
|
11.11.2008, 16:46
| #5 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, da sind einige seltsame Mountpoints: [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815e9-7f08-11dd-913d-003005774536}] shell\AutoRun\command - F:\ shell\open\command - rundll32.exe .\\dguet.dll,InstallM [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}] shell\AutoRun\command - F:\ shell\open\command - rundll32.exe .\\jgsl400.dll,InstallM Der letzte Eintrag ist abgeschnitten, ist "F" Dein USB-Stick? Dann dürfte das Teil auf allen angeschlossenen Festplatten sich zur Ausführung eingetragen haben...(inklusiver der Betriebssystem HD) Mal sehen was es ist: Versuche die Dateien Online testen zu lassen: virustotal Dateien Online überprüfen lassen:
Code:
ATTFilter F:\jgsl400.dll
F:\dguet.dll
Mountpoints ausgeben: http://forums.techguy.org/attachments/112705d1186263628/mountpoints_diagnostic.zip Auf den Desktop downloaden, auspacken und per Doppelklick starten. Es wird eine Datei Diagnostic.txt erstellt, die im Notepad angezeigt wird. Abkopieren und im Forum posten! chris
__________________  Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden  ) |
|
11.11.2008, 17:52
| #6 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, >Der letzte Eintrag ist abgeschnitten, ist "F" Dein USB-Stick? >Dann dürfte das Teil auf allen angeschlossenen Festplatten sich zur >Ausführung eingetragen haben...(inklusiver der Betriebssystem HD) F: ist leider nicht ausschließlich *ein* USB-Stick. Habe eine USB-HDD zur Datensicherung, die jedoch nur an ist, wenn auch gesichert wird. Diese bekommt F: zugeordnet. Ansonsten (sofern ext. HDD aus) bekommen die USB-Sticks in der Regel F: zugeordnet. Zwei davon habe ich bei mir und soeben getestet. An den dritten komme ich innerhalb der nächsten 12 h erstmal nicht heran. Außerdem wird halt gelegentlich mal ein fremder Stick eines Kollegen angeschlossen. Einiges davon kann ein geübter Blick wahrscheinlich auch der "Diagnostics.txt" entnehmen. (Anmerkung: C:, E: = 2 lokale HDDs, D: = DVD, K - O: sind per Domänenskript verbundene Netzlaufwerke) Leider kann ich nur Teilvollzug melden  , denn ich habe weder auf meinen 2 USB-Sticks, noch auf der System-HD (C bzw. der zweiten HD (E und der externen USB-Platte die genannten dlls finden können ...Ehrlich gesagt, kann ich mich auch nicht erinnern, dass ich **diese** dlls in letzter Zeit von meinen USB-Sticks gelöscht habe (die hießen anders). Diagnostic.txt Sorry, aber die Ausgabe ist so umfangreich, dass ich über das 25000 Zeichen-Limit und das 19.5-KB-Limit des Editors komme; ich muss die Datei daher leider aufsplitten und in zwei Teilen anhängen. waldi1979 |
|
12.11.2008, 07:45
| #7 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, wir werfen den Eintrag per combofix aus dem Rennen: Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop. Den folgenden Text in den Editor (Start -> Zubehör -> Editor) kopieren und als cfscript.txt mit 'Speichern unter' auf dem Desktop ablegen. Gib an "Alle Dateien" - Speichern: Code:
ATTFilter Registry::
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{82d815e9-7f08-11dd-913d-003005774536}]
und per drag-and-drop auf das Combofix-Icon fallen lassen. Der sollte nun starten und das Script abarbeiten; Poste danach das Log von Combofix. Poste das Log von combofix und noch das Log von Prevx (falls der was findet): http://www.prevx.com/freescan.asp chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
12.11.2008, 12:50
| #8 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, Anwort hat etwas gedauert, weil wohl die hausinterne Firewall den vollst. Download von ComboFix zu verhindern wusste. Als ich nach 2h und unzähligen Versuchen endlich dahinter gekommen war und mir das Programm habe anderweitig zukommen lassen, sind die vorgeschlagenen Tasks ausgeführt worden. log von ComboFix hängt an. Anmerkung: während der Ausführung (Scan) wurde Mcafee wieder aktiv und hat eine "Av-test.txt" unter Quarantäne gestellt  Prevx hat mir kein log-file erstellt; es wurde ein Thread gefunden: ich kann den nur per Hand hier eintragen. Zu dessen Behebung müsste ich mir jetzt eine Lizenz von Prevx organisieren  Wie sollte ich weiter vorgehen?Code:
ATTFilter ComboFix 08-11-11.01 - XXX 2008-11-12 12:12:39.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.509 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\XXX\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\XXX\Desktop\cfscript.txt
* Neuer Wiederherstellungspunkt wurde erstellt
* Resident AV is active
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat
c:\windows\IE4 Error Log.txt
c:\windows\system32\wmcache.nld
----- BITS: Eventuell infizierte Webseiten -----
hxxp://inp-ad2
.
((((((((((((((((((((((( Dateien erstellt von 2008-10-12 bis 2008-11-12 ))))))))))))))))))))))))))))))
.
2008-11-11 22:05 . 2008-11-12 11:18 <DIR> d-------- c:\temp\trojaner
2008-11-11 15:31 . 2008-11-11 15:31 <DIR> d-------- C:\rsit
2008-11-11 13:52 . 2008-11-11 13:52 <DIR> d-------- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Malwarebytes
2008-11-11 13:52 . 2008-11-11 13:52 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-11-11 13:52 . 2008-10-22 16:10 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2008-11-11 13:52 . 2008-10-22 16:10 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2008-11-10 11:31 . 2008-11-10 12:03 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-11-10 10:25 . 2008-11-10 10:25 <DIR> d-------- c:\programme\Trend Micro
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-11-12 09:07 --------- d-----w c:\programme\Trillian
2008-11-11 12:52 --------- d-----w c:\programme\Utils
2008-11-10 17:32 --------- d-----w c:\dokumente und einstellungen\XXX\Anwendungsdaten\AdobeUM
2004-08-04 12:00 180,224 --sha-r c:\windows\system32\tqpmon.dll
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-04 15360]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\System32\NvCpl.dll" [2003-10-06 5058560]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"ShStatEXE"="c:\programme\Network Associates\VirusScan\SHSTAT.EXE" [2004-09-22 94208]
"McAfeeUpdaterUI"="c:\programme\Network Associates\Common Framework\UpdaterUI.exe" [2004-08-06 139320]
"IgfxTray"="c:\windows\System32\igfxtray.exe" [2003-10-02 155648]
"HotKeysCmds"="c:\windows\System32\hkcmd.exe" [2003-10-02 118784]
"Network Associates Error Reporting Service"="c:\programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe" [2003-10-07 147514]
"TrueImageMonitor.exe"="c:\programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe" [2006-11-16 1137545]
"Acronis Scheduler2 Service"="c:\programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe" [2006-11-14 135168]
"CorelDRAW Graphics Suite 11b"="c:\programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe" [2003-11-28 733184]
"QuickTime Task"="c:\programme\Utils\QuickTime\qttask.exe" [2007-02-12 98304]
"SSBkgdUpdate"="c:\programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]
"PaperPort PTD"="c:\programme\ScanSoft\PaperPort\pptd40nt.exe" [2004-03-09 57393]
"IndexSearch"="c:\programme\ScanSoft\PaperPort\IndexSearch.exe" [2004-03-09 40960]
"ControlCenter2.0"="c:\programme\Brother\ControlCenter2\brctrcen.exe" [2005-01-07 864256]
"AcronisTimounterMonitor"="c:\programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe" [2006-11-15 1870730]
"SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
"nwiz"="nwiz.exe" [2003-10-06 c:\windows\system32\nwiz.exe]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360]
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Acrobat Assistant.lnk - c:\programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe [2003-05-15 217193]
AutoCAD-Startbeschleuniger.lnk - c:\programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe [2004-02-25 10872]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"disablecad"= 1 (0x1)
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Trillian\\trillian.exe"=
"c:\\Programme\\Utils\\LeechFTP\\Leechftp.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Programme\\Acronis\\TrueImageWorkstation\\TrueImage.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Acronis\\TrueImage\\TrueImageService.exe"=
"c:\\Programme\\SmartFTP Client\\SmartFTP.exe"=
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:*:Disabled:@xpsp2res.dll,-22009
R3 {E6759E0C-470B-44DC-A4A1-627E68BB3A85};AIM 3.0 SI164;c:\windows\system32\drivers\A302.sys [2003-10-08 11831]
S3 bfturboh;BUFFALO TurboUSB for HD Filter;c:\windows\system32\drivers\bfturboh.sys [2007-08-01 15872]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}]
\Shell\AutoRun\command - F:\
\Shell\open\Command - rundll32.exe .\\jgsl400.dll,InstallM
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9ee4c052-cf17-11dc-90bc-003005774536}]
\Shell\AutoRun\command - F:\
.
**************************************************************************
catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-11-12 12:16:57
Windows 5.1.2600 Service Pack 2 NTFS
Scanne versteckte Prozesse...
Scanne versteckte Autostarteinträge...
Scanne versteckte Dateien...
c:\windows\system32\wmcache.nld 2930 bytes
Scan erfolgreich abgeschlossen
versteckte Dateien: 1
**************************************************************************
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
c:\programme\Cisco Systems\VPN Client\cvpnd.exe
c:\programme\Network Associates\Common Framework\FrameworkService.exe
c:\programme\Network Associates\VirusScan\Mcshield.exe
c:\programme\Network Associates\VirusScan\VsTskMgr.exe
c:\progra~1\NETWOR~1\COMMON~1\naPrdMgr.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\lotus\notes\ntmulti.exe
c:\programme\Analog Devices\SoundMAX\SMAgent.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-11-12 12:19:46 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2008-11-12 11:19:41
Vor Suchlauf: 22 Verzeichnis(se), 48,903,958,528 Bytes frei
Nach Suchlauf: 22 Verzeichnis(se), 49,036,398,592 Bytes frei
WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptOut
122 --- E O F --- 2008-10-28 09:51:29
Code:
ATTFilter PrevX (manuell)
Status = bad
C:\windows\system32\tqpmon.dll (Cloaked Malware)
bis hierhinwaldi1979 |
|
12.11.2008, 13:50
| #9 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, ja, Prevx ist nur der Scanner, beseitigen kostet... . Macht aber nix, jetzt wissen wir wo das Ding abliegt (nur wo es aufgerufen wird, das haben wir noch nicht gefunden...). Bitte folgende Files prüfen: Dateien Online überprüfen lassen:
Code:
ATTFilter c:\windows\system32\wmcache.nld
C:\windows\system32\tqpmon.dll
Beide Files sind versteckt, daher am Besten gleich das File komplett mit Pfad reinkopieren! So, wenn alles erkannt wurde, dann hast Du ein größerer Problem! Bei der wmcache.nld handelt es sich um einen Wurm, der sich per Netzwerk repliziert... -> A network-aware worm that attempts to replicate across the existing network(s). Was will ich Dir damit sagen? Wenn wir ihn runterlöschen und er gleich wieder da ist, dann existiert er bereits in dem Netzwerk, dann solltes Du Dir alle Rechner einzeln vornehmen... Also (falls beide erkannt): Anleitung Avenger (by swandog46) 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:  2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist. Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here") Code:
ATTFilter Files to delete:
c:\windows\system32\wmcache.nld
C:\windows\system32\tqpmon.dll
4.) Um den Avenger zu starten klicke auf -> Execute Dann bestätigen mit "Yes" das der Rechner neu startet! 5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board. chris Ps.: Da Avenger ähnlich wie ein Trojaner agiert, kann es notwendig sein Mcafee abzuschalten. Nimm dazu den Rechner dann auch vom Netz (INetz und lokal)
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
12.11.2008, 14:41
| #10 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, so, beide Dateien gescannt; Ergebnis nachfolgend: Code:
ATTFilter File wmcache.nld received on 11.12.2008 14:09:02 (CET)
Antivirus Version Last Update Result
AhnLab-V3 2008.11.11.2 2008.11.12 -
AntiVir 7.9.0.31 2008.11.12 -
Authentium 5.1.0.4 2008.11.12 -
Avast 4.8.1248.0 2008.11.11 -
AVG 8.0.0.161 2008.11.11 -
BitDefender 7.2 2008.11.12 -
CAT-QuickHeal 9.50 2008.11.12 -
ClamAV 0.94.1 2008.11.12 -
DrWeb 4.44.0.09170 2008.11.12 -
eSafe 7.0.17.0 2008.11.11 -
eTrust-Vet 31.6.6204 2008.11.11 -
Ewido 4.0 2008.11.11 -
F-Prot 4.4.4.56 2008.11.11 -
F-Secure 8.0.14332.0 2008.11.12 -
Fortinet 3.117.0.0 2008.11.12 -
GData 19 2008.11.12 -
Ikarus T3.1.1.45.0 2008.11.12 -
K7AntiVirus 7.10.522 2008.11.11 -
Kaspersky 7.0.0.125 2008.11.12 -
McAfee 5431 2008.11.12 -
Microsoft 1.4104 2008.11.12 -
NOD32 3606 2008.11.12 -
Norman 5.80.02 2008.11.12 -
Panda 9.0.0.4 2008.11.11 -
PCTools 4.4.2.0 2008.11.12 -
Prevx1 V2 2008.11.12 -
Rising 21.03.22.00 2008.11.12 -
SecureWeb-Gateway 6.7.6 2008.11.12 -
Sophos 4.35.0 2008.11.12 -
Sunbelt 3.1.1785.2 2008.11.11 -
Symantec 10 2008.11.12 -
TheHacker 6.3.1.1.149 2008.11.12 -
TrendMicro 8.700.0.1004 2008.11.12 -
VBA32 3.12.8.9 2008.11.11 -
ViRobot 2008.11.12.1463 2008.11.12 -
VirusBuster 4.5.11.0 2008.11.11 -
Additional information
File size: 2930 bytes
MD5...: cb82993af6dbaf5d1c96f656adb880aa
SHA1..: 13d56e50201182c4f8d1e2383be2a62f681c2607
SHA256: 6a0806311df0e55d2b3921d58e2036e862192ab162d63a70395eca73b93dae70
SHA512: 5443246757b6a2c29f113802cf641ca321f6dbd8e51c35e0880af1e2373d36fb<br>8a9632f4fcec798acc458f1b6f8219e68f90b2bf108f6584735dfc8bdd3ea13e
PEiD..: -
TrID..: File type identification<br>Unknown!
PEInfo: -
Code:
ATTFilter File tqpmon.dll received on 11.12.2008 14:13:46 (CET)
Current status: Loading ... queued waiting scanning finished NOT FOUND STOPPED
Result: 27/36 (75%)
Loading server information...
Your file is queued in position: 5.
Estimated start time is between 70 and 100 seconds.
Do not close the window until scan is complete.
The scanner that was processing your file is stopped at this moment, we are going to wait a few seconds to try to recover your result.
If you are waiting for more than five minutes you have to resend your file.
Your file is being scanned by VirusTotal in this moment,
results will be shown as they're generated.
Compact Compact
Print results Print results
Your file has expired or does not exists.
Service is stopped in this moments, your file is waiting to be scanned (position: ) for an undefined time.
You can wait for web response (automatic reload) or type your email in the form below and click "request" so the system sends you a notification when the scan is finished.
Email:
Antivirus Version Last Update Result
AhnLab-V3 2008.11.11.2 2008.11.12 -
AntiVir 7.9.0.31 2008.11.12 TR/Autorun.acy
Authentium 5.1.0.4 2008.11.12 W32/Worm.WKR
Avast 4.8.1248.0 2008.11.11 Win32:AutoRun-SD
AVG 8.0.0.161 2008.11.11 Worm/Generic.IPV
BitDefender 7.2 2008.11.12 Worm.Generic.18299
CAT-QuickHeal 9.50 2008.11.12 Worm.AutoRun.ejg
ClamAV 0.94.1 2008.11.12 Worm.Autorun-1662
DrWeb 4.44.0.09170 2008.11.12 Win32.HLLW.Autoruner.2293
eSafe 7.0.17.0 2008.11.11 -
eTrust-Vet 31.6.6203 2008.11.11 -
Ewido 4.0 2008.11.12 Worm.AutoRun.ejg
F-Prot 4.4.4.56 2008.11.11 W32/Worm.WKR
F-Secure 8.0.14332.0 2008.11.12 Worm.Win32.AutoRun.ejg
Fortinet 3.117.0.0 2008.11.12 -
GData 19 2008.11.12 Worm.Generic.18299
Ikarus T3.1.1.45.0 2008.11.12 Virus.Win32.AutoRun.sd
K7AntiVirus 7.10.522 2008.11.11 Worm.Win32.AutoRun.ejg
Kaspersky 7.0.0.125 2008.11.12 Worm.Win32.AutoRun.ejg
McAfee 5431 2008.11.12 -
Microsoft 1.4104 2008.11.12 Worm:Win32/Autorun.FC
NOD32 3606 2008.11.12 Win32/AutoRun.RW
Norman 5.80.02 2008.11.12 W32/AutoRun.ELD
Panda 9.0.0.4 2008.11.11 W32/Autorun.AHC.worm
PCTools 4.4.2.0 2008.11.12 -
Prevx1 V2 2008.11.12 Cloaked Malware
Rising 21.03.22.00 2008.11.12 Worm.Win32.Autorun.exn
SecureWeb-Gateway 6.7.6 2008.11.12 Trojan.Autorun.acy
Sophos 4.35.0 2008.11.12 Mal/FakeAle-B
Sunbelt 3.1.1785.2 2008.11.11 Porn-Dialer.Win32.CapreDeam.BL (vf)
Symantec 10 2008.11.12 W32.SillyFDC
TheHacker 6.3.1.1.149 2008.11.12 -
TrendMicro 8.700.0.1004 2008.11.12 -
VBA32 3.12.8.9 2008.11.11 Win32.AutoRun.RW
ViRobot 2008.11.12.1463 2008.11.12 Worm.Win32.Autorun.180224
VirusBuster 4.5.11.0 2008.11.11 -
Additional information
File size: 180224 bytes
MD5...: 98cf09c3264f6accbb90693c5ffb3eed
SHA1..: cf9bad31cf144bc004bd02cc255c87f99ebdc35a
SHA256: 9f59cefd8e01863607b564bcdc20dad88f1387c1f940af838ec0f83101673baf
SHA512: 6d33d27b5f6759aab8669f4fc000a72ea4214bffded32db6fdc3e2e527b2b741
373f9a985216dc67b31e8c85f2e1efe001b887909b7bc489120b03663e05cffb
PEiD..: Armadillo v1.xx - v2.xx
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information
( base data )
entrypointaddress.: 0x1001730e
timedatestamp.....: 0x484d672c (Mon Jun 09 17:23:56 2008)
machinetype.......: 0x14c (I386)
( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1f775 0x20000 6.39 746cce0896f6f856f6d5d9f22f5b6827
.rdata 0x21000 0x1e59 0x2000 5.02 73fdad62a081be4375e688263d147978
.data 0x23000 0x74a4 0x5000 2.97 262ebf81a8de20300ae2697a50eb9a58
.rsrc 0x2b000 0x6d8 0x1000 1.44 fa226b072974eab2b3292c577dc02b26
.reloc 0x2c000 0x26b4 0x3000 4.80 19806e9e364fa4ba076e15df9a84b1cb
( 5 imports )
> KERNEL32.dll: GetProcAddress, LoadLibraryA, FindClose, FindFirstFileA, UnmapViewOfFile, GetLastError, MapViewOfFile, CreateFileMappingA, GetFileSize, lstrcmpA, GetTempFileNameA, GetTempPathA, lstrlenA, SetLastError, SetFileAttributesA, CopyFileA, WriteFile, GetPrivateProfileStringA, FindNextFileA, OpenEventA, GetVolumeInformationA, GetDriveTypeA, ExitProcess, GetModuleHandleA, GetModuleFileNameA, SetFilePointer, ReadFile, CreateProcessA, Sleep, lstrcatA, GetSystemDirectoryA, GetSystemTime, SetFileTime, GetTempPathW, FreeLibrary, GetEnvironmentVariableW, GetComputerNameW, GetTimeZoneInformation, GetLocalTime, MultiByteToWideChar, lstrcatW, lstrlenW, GetVersionExA, GetTickCount, GetComputerNameA, WaitForSingleObject, ResumeThread, TerminateProcess, FileTimeToSystemTime, GetWindowsDirectoryA, GetEnvironmentVariableA, CreateDirectoryA, CreateMutexA, ReleaseMutex, OutputDebugStringA, GetFileTime, InterlockedIncrement, InterlockedDecrement, SetEnvironmentVariableA, CompareStringW, CompareStringA, GetStringTypeW, GetStringTypeA, DeleteFileA, lstrcpyA, CreateFileA, GetFileInformationByHandle, CloseHandle, GetFileAttributesA, FileTimeToLocalFileTime, FileTimeToDosDateTime, GetWindowsDirectoryW, IsBadCodePtr, IsBadReadPtr, GetOEMCP, GetACP, GetCPInfo, GetEnvironmentStringsW, GetEnvironmentStrings, FreeEnvironmentStringsW, FreeEnvironmentStringsA, LCMapStringW, LCMapStringA, WideCharToMultiByte, UnhandledExceptionFilter, HeapSize, SetUnhandledExceptionFilter, FlushFileBuffers, GetCurrentProcess, GetStartupInfoA, GetStdHandle, HeapAlloc, HeapFree, GetFileType, EnterCriticalSection, LeaveCriticalSection, RaiseException, RtlUnwind, CreateThread, TlsSetValue, TlsGetValue, ExitThread, GetCommandLineA, GetVersion, HeapDestroy, HeapCreate, VirtualFree, VirtualAlloc, HeapReAlloc, IsBadWritePtr, InitializeCriticalSection, DeleteCriticalSection, GetCurrentThreadId, TlsAlloc, TlsFree, SetStdHandle, SetEndOfFile, SetHandleCount
> USER32.dll: RegisterClassExA, CreateWindowExA, DefWindowProcA, CharLowerBuffA, wsprintfA, wsprintfW, GetMessageA, TranslateMessage, DispatchMessageA
> ADVAPI32.dll: RegCreateKeyA, RegDeleteValueA, RegQueryValueExA, RegSetValueExA, RegCreateKeyExA, RegEnumValueA, RegCloseKey
> RPCRT4.dll: UuidToStringA, UuidCreate, RpcStringFreeA
> WS2_32.dll: -, -, -, -
( 3 exports )
Entry, InstallM, InstallS
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=73ED3BC00079C5D8C06802A47D9536002FF75420
Avenger hat seine Arbeit auch verrichtet: Code:
ATTFilter Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com
Platform: Windows XP
*******************
Script file opened successfully.
Script file read successfully.
Backups directory opened successfully at C:\Avenger
*******************
Beginning to process script file:
Rootkit scan active.
No rootkits found!
File "C:\WINDOWS\system32\tqpmon.dll" deleted successfully.
Completed script processing.
*******************
Finished! Terminate.
>So, wenn alles erkannt wurde, dann hast Du ein größerer Problem! >Bei der wmcache.nld handelt es sich um einen Wurm, der sich per Netzwerk >repliziert...  Da ich bis gestern davon ausging, dass ich den Schädling mit meinen Sticks weiterverbreitet habe, habe ich die unmittelbar greifbaren Rechner bereits negativ mit Spybot geprüft. Das vermeintlich betroffene Netz ist deutlich größer  ...Ich kann die obigen Ergebnisse (nur eine der beiden Dateien erkannt; zunächst erfolgreich gekillt) mit meinen Laienkenntnissen nicht wirklich interpretieren. Was kann/sollte ich im Augenblick noch tun? Danke auf jeden Fall schonmal für die bisher immer leicht verständlichen und klaren Anweisungen! waldi1979 |
|
12.11.2008, 15:26
| #11 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, wenn Du Zugang zu einen anderen Rechner im Netz hast, dann prüfe den mal (weist ja jetzt wie es geht)... Tauch auch dort der Wurm auf, dann bleibt nur der "offizielle" Weg. Es ist ja nicht klar, wo der Wurm herkam (wer ihn eingeschleppt hat)... Lass bitte noch ein mal PrevX laufen und einen Scan mit Kapi-Online... Kaskpersky OnlineScanner http://www.kaspersky.com/de/virusscanner chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
12.11.2008, 16:28
| #12 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, Zwischeninformation: zwei weitere Rechner im Netz, an die ich recht schnell herankam waren lt. PrevX "clean"; was über die restlichen > 100 natürlich nichts aussagt. Eigener Rechner ist lt. PrevX auch (noch) clean. Kapersky installiert und scannt gerade, aber das scheint ein abenfüllendes Programm zu werden (5% nach 5 Minuten in nur 1 Kategorie), daher die Zwischeninfo. Ich hoffe, dass KapiOnline auch nix findet und danke nochmals  waldi1979 |
|
12.11.2008, 21:41
| #13 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, muss mich doch noch einmal zurückmelden ;( Kapi-Online hat neben einer ganzen Menge für ihn nicht zugreifbaren Dateien auch 3 "infizierte" gefunden Auszug aus dem Protokoll: Code:
ATTFilter -------------------------------------------------------------------------------
PROTOKOLL FÜR KASPERSKY ONLINE SCANNER
Mittwoch, 12. November 2008 21:19:10
Betriebssystem: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Version von Kaspersky Online Scanner: 5.0.98.1
Letztes Update der Antiviren-Datenbanken: 12/11/2008
Anzahl der Einträge in den Antiviren-Datenbanken: 1381677
-------------------------------------------------------------------------------
Scan-Einstellungen:
Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Erweiterte
Archive untersuchen: ja
Mail-Datenbanken untersuchen: ja
Untersuchungsobjekt - Ordner:
C:\
E:\
Untersuchungsergebnisse:
Untersuchte Objekte insgesamt: 146353
Viren gefunden: 3
Infizierte Objekte gefunden: 3
Verdächtige Objekte gefunden: 0
Untersuchungszeit: 03:50:45
Name des infizierten Objekts / Virusname / Letzte Aktion
...
C:\Quarantäne\Av-test.txt.Vir Infizierte Objekte: EICAR-Test-File übersprungen
C:\System Volume Information\_restore{5932837D-68B9-4C4E-A3FA-8D13379F10CA}\RP532\A0049343.DLL Infizierte Objekte: not-a-virus:AdWare.Win32.Comet.ap übersprungen
C:\System Volume Information\_restore{5932837D-68B9-4C4E-A3FA-8D13379F10CA}\RP535\A0049629.dll Infizierte Objekte: Worm.Win32.AutoRun.ejg übersprungen
C
...
Ich habe mittlerweile auf meinen Platten per Explorer-Suche die in h**p://www.threatexpert.com/threats/worm-win32-autorun-ejg.html aufgelisteten "usrv4ga.dll" und "conimsp.dll" gesucht und glücklicherweise nicht gefunden. Wie werde ich jetzt aber diesen Wiederherstellungspunkt (ist doch einer?) bzw. die eine dll darin noch los? waldi1979 |
|
13.11.2008, 07:27
| #14 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, das erste ist ein allgemeingültiger "Virenscannertest", daher ungefährlich; Der Rest muss tatsächlich weg: (Und wie sagt Dir jetzt das Licht, äh, oder so ähnlich ;o)... Systemwiederherstellung löschen http://www.systemwiederherstellung-deaktivieren.de/windows-xp.html Wenn der Rechner einwandfrei läuft abschließend alle Systemwiederherstellungspunkte löschen lassen(das sind die: C:\System Volume Information\_restore - Dateien die gefunden wurden, d.h. der Trojaner wurde mit gesichert und wenn Du auf einen Restorepunkt zurück gehen solltest, dann ist er wieder da) wie folgt: Arbeitsplatz ->rechte Maus -> Eigenschaften -> Systemwiederherstellung -> anhaken: "Systemwiederherstellung auf allen Laufwerken deaktivieren" -> Übernehmen -> Sicherheitsabfrage OK -> Fenster mit OK schliessen -> neu Booten; Dann das gleiche nochmal nur das Häkchen entfernen (dann läuft sie wieder). Einen ersten Restorepunkt setzten: Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
13.11.2008, 17:04
| #15 |
| | Spybot kann Win32.Agent.sxi nicht entfernen Hi, so, die Systemwiederherstellung wurde kurzzeitig deaktiviert und ein neuer Wdh.-Punkt gesetzt. Ich lasse jetzt nochmals alle bisher genutzten Scan-Tools drüberlaufen (Kapersky arbeitet schon seit 6 h). Danach noch ein Image vom (hoffentlich) gereinigten Rechner. Noch bin ich optimistisch, dass er jetzt clean ist und das auch vorerst so bleibt &  h:waldi1979 |
|
| Themen zu Spybot kann Win32.Agent.sxi nicht entfernen |
| adobe, beseitigung, bho, controlcenter, entfernen, error, excel, explorer, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, log-file, microsoft, nvidia, object, pdf, programme, rundll, scan, software, system, system volume information, trojaner, trojaner eingefangen, windows, windows xp |
Linear-Darstellung
