|
Plagegeister aller Art und deren Bekämpfung: WIN32 Cryptor ProblemWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
22.03.2009, 10:47 | #1 |
| WIN32 Cryptor Problem Hallo, bekomme seit neuem die Virenmeldung über mein AVG Virenscanner beim Hochfahren des PCs: "C:\Windows\System32\gaopdxfalfspebjtvheevmxbhpsxfrfbyinceo.dll";"Virus identifiziert: Win32/Cryptor";"Infiziert" kann diese jedoch nicht mit meinem AVG Scanner beseitigen oder in Quarantäne setzen; kann seit dem auch nicht mehr meinen Virenscanner AVG updaten und Windows UPdate läuft auch momentan nicht... wie kann ich diesen Virus am besten entfernen... danke im Voraus |
22.03.2009, 11:02 | #2 |
| WIN32 Cryptor Problem Hallo und
__________________GMER - Rootkit Detection
ciao, andreas
__________________ |
22.03.2009, 11:34 | #3 |
| WIN32 Cryptor Problem Hallo, danke erts mal für deine Hilfe...
__________________hier mal die logfiles, kommt jedoch nur bis zu dieser dll, wenn ich scan weiterlaufen lassen würde, stürzt rechner ab..: GMER 1.0.14.14536 - http://www.gmer.net Rootkit scan 2009-03-22 11:31:17 Windows 6.0.6001 Service Pack 1 ---- System - GMER 1.0.14 ---- Code 8F5A6388 ZwEnumerateKey Code 8F6063F8 ZwFlushInstructionCache Code 8F6063C0 ZwQueryValueKey Code 8F60A2CD IofCallDriver Code 8651BF56 IofCompleteRequest ---- Devices - GMER 1.0.14 ---- AttachedDevice \Driver\tdx \Device\Ip avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.) AttachedDevice \Driver\tdx \Device\Ip ntoskrnl.exe (NT Kernel & System/Microsoft Corporation) AttachedDevice \Driver\tdx \Device\Tcp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.) AttachedDevice \Driver\tdx \Device\Tcp ntoskrnl.exe (NT Kernel & System/Microsoft Corporation) AttachedDevice \Driver\tdx \Device\Udp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.) AttachedDevice \Driver\tdx \Device\Udp ntoskrnl.exe (NT Kernel & System/Microsoft Corporation) AttachedDevice \Driver\tdx \Device\RawIp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.) AttachedDevice \Driver\tdx \Device\RawIp ntoskrnl.exe (NT Kernel & System/Microsoft Corporation) AttachedDevice \Driver\kbdclass \Device\KeyboardClass0 Wdf01000.sys (WDF Dynamic/Microsoft Corporation) AttachedDevice \Driver\kbdclass \Device\KeyboardClass1 Wdf01000.sys (WDF Dynamic/Microsoft Corporation) ---- Services - GMER 1.0.14 ---- Service C:\Windows\system32\drivers\gaopdxupkhkvmrpvauiqtkrpvtwywhgsvotdpj.sys (*** hidden *** ) [SYSTEM] gaopdxserv.sys <-- ROOTKIT !!! ---- EOF - GMER 1.0.14 ---- |
22.03.2009, 11:41 | #4 |
| WIN32 Cryptor Problem Anleitung Avenger (by swandog46) Lade dir das Tool Hopsassa und speichere es auf dem Desktop:
Code:
ATTFilter Drivers to delete: gaopdxserv.sys Files to delete: C:\Windows\system32\drivers\gaopdxupkhkvmrpvauiqtkrpvtwywhgsvotdpj.sys
ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
22.03.2009, 11:52 | #5 |
| WIN32 Cryptor Problem Hallo, anbei das Ergebnis: Logfile of The Avenger Version 2.0, (c) by Swandog46 Swandog46's Public Anti-Malware Tools Platform: Windows Vista ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. Hidden driver "gaopdxserv.sys" found! ImagePath: \systemroot\system32\drivers\gaopdxupkhkvmrpvauiqtkrpvtwywhgsvotdpj.sys Start Type: 4 (Disabled) Rootkit scan completed. Driver "gaopdxserv.sys" deleted successfully. File "C:\Windows\system32\drivers\gaopdxupkhkvmrpvauiqtkrpvtwywhgsvotdpj.sys" deleted successfully. Completed script processing. ******************* Finished! Terminate. |
22.03.2009, 11:57 | #6 |
| WIN32 Cryptor Problem Falls du noch irgendetwas hast, dass du mit dem Computer verbindest, wie Speicherkarten, USB-Sticks, externe Festplatten, ... dann stecke alles an. ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. ciao, andreas
__________________ --> WIN32 Cryptor Problem |
22.03.2009, 12:15 | #7 |
| WIN32 Cryptor Problem Hallo, habe keine externen Medien an mein Laptop angeschlossen... was muss ich nun weiter tun, kann man aus den logfiles zuvor schon etwas erkennen... besten Dank im Voraus |
22.03.2009, 12:20 | #8 |
| WIN32 Cryptor Problem Ja, du hast da einen ziemlich fiesen Rootkit. Da das Gmer-Log nicht vollständig war und ich weiß, dass da noch Reste sind, muss ComboFix laufen. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
22.03.2009, 12:21 | #9 |
| WIN32 Cryptor Problem hallo nochmals, der ordner von avenger mit der backup und.txt und systemdatei mit Virus sind kennwortbelegt...sind als zip archiv abgespeichert...komisch thx |
22.03.2009, 12:24 | #10 |
| WIN32 Cryptor Problem Nö, normal. Dient dazu die Dateien wiederherzustellen, falls man sich vertan hat. Soll ja vorkommen. Stelle bitte nicht jede Anweisung in Frage, sonst stelle ich den Support ein. GAOPDXSERV.SYS, Prevx ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
22.03.2009, 12:51 | #11 |
| WIN32 Cryptor Problem Hallo, sorry wa rnicht mein Anliegen...nochamls danke für die schnellen antworten... anbei die logfiles nach CCleaner und mit combofix erstellt...: ComboFix 09-03-19.02 - Thomas 2009-03-22 12:46:43.1 - NTFSx86 Microsoft® Windows Vista™ Business 6.0.6001.1.1252.1.1031.18.3066.1891 [GMT 1:00] ausgeführt von:: c:\users\Thomas\Documents\ComboFix.exe * Neuer Wiederherstellungspunkt wurde erstellt . (((((((((((((((((((((((((((((((((((( Weitere Löschungen )))))))))))))))))))))))))))))))))))))))))))))))) . C:\autorun.inf c:\recycler\S-7-2-98-100016241-100004713-100007081-3843.com c:\windows\msetup c:\windows\msetup\BA46-04512A55\OmniPass_120PBA.exe c:\windows\msetup\BA46-04512A55\SWDesc.txt c:\windows\msetup\BASW-00707A29\CSetup.exe c:\windows\msetup\BASW-00707A29\CSetup.ini c:\windows\msetup\BASW-00707A29\INVM_CD.exe c:\windows\msetup\BASW-00707A29\SWDesc.txt c:\windows\msetup\BASW-00919A17\setup.exe c:\windows\msetup\BASW-00919A17\setup.iss c:\windows\msetup\BASW-00919A17\SWDesc.txt c:\windows\msetup\BASW-01038A04\ChgWLANSettings.exe c:\windows\msetup\MSetup.exe c:\windows\msetup\MSetupLog.log c:\windows\system32\gaopdxcounter c:\windows\system32\gaopdxfalfspebjtvheevmxbhpsxfrfbyinceo.dll D:\Autorun.inf d:\recycler\S-7-2-98-100016241-100004713-100007081-3843.com . ((((((((((((((((((((((( Dateien erstellt von 2009-02-22 bis 2009-03-22 )))))))))))))))))))))))))))))) . 2009-03-22 12:36 . 2009-03-22 12:36 <DIR> d-------- c:\program files\CCleaner 2009-03-21 19:16 . 2009-03-21 19:16 <DIR> d-------- c:\program files\Trend Micro 2009-03-18 22:47 . 2009-03-22 11:10 <DIR> d-------- c:\windows\System32\drivers\Avg 2009-03-18 22:47 . 2009-03-18 22:47 325,640 --a------ c:\windows\System32\drivers\avgldx86.sys 2009-03-18 22:47 . 2009-03-18 22:47 107,912 --a------ c:\windows\System32\drivers\avgtdix.sys 2009-03-18 22:47 . 2009-03-18 22:47 10,520 --a------ c:\windows\System32\avgrsstx.dll 2009-03-17 21:13 . 2009-03-22 11:05 <DIR> d--h----- C:\$AVG8.VAULT$ 2009-03-12 21:54 . 2009-03-18 22:47 <DIR> d-------- c:\users\All Users\avg8 2009-03-12 21:54 . 2009-03-18 22:47 <DIR> d-------- c:\programdata\avg8 2009-03-12 21:54 . 2009-03-12 21:54 <DIR> d-------- c:\program files\AVG 2009-03-10 19:29 . 2008-12-16 04:29 8,147,456 --a------ c:\windows\System32\wmploc.DLL 2009-03-10 19:29 . 2009-02-09 04:10 2,033,152 --a------ c:\windows\System32\win32k.sys 2009-03-10 19:29 . 2008-11-27 05:43 268,288 --a------ c:\windows\System32\schannel.dll 2009-03-10 19:29 . 2008-12-16 06:31 7,680 --a------ c:\windows\System32\spwmp.dll 2009-03-10 19:29 . 2008-12-16 06:31 4,096 --a------ c:\windows\System32\msdxm.ocx 2009-03-10 19:29 . 2008-12-16 06:31 4,096 --a------ c:\windows\System32\dxmasf.dll 2009-02-22 16:47 . 2009-02-25 21:00 93,961 --a------ c:\users\Thomas\AppData\Roaming\mdbu.bin 2009-02-22 12:26 . 2009-02-22 12:26 <DIR> d-------- c:\users\All Users\FujiColor 2009-02-22 12:26 . 2009-02-22 12:26 <DIR> d-------- c:\programdata\FujiColor 2009-02-22 12:26 . 2009-02-22 12:26 <DIR> d-------- c:\program files\FujiColor . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-03-22 11:11 --------- d-----w c:\programdata\WinZip 2009-03-12 20:51 --------- d-----w c:\programdata\McAfee 2009-02-10 21:25 99,880 ----a-w c:\users\Thomas\AppData\Roaming\GDIPFONTCACHEV1.DAT 2009-02-08 20:35 --------- d--h--w c:\program files\InstallShield Installation Information 2009-02-04 20:58 0 ---ha-w c:\windows\system32\drivers\Msft_User_WpdMtpDr_01_00_00.Wdf 2009-01-15 06:11 827,392 ----a-w c:\windows\System32\wininet.dll 2008-12-31 11:48 27,934 ----a-w c:\users\All Users\nvModes.dat 2008-12-31 11:48 27,934 ----a-w c:\programdata\nvModes.dat 2008-01-21 02:43 174 --sha-w c:\program files\desktop.ini . (((((((((((((((((((((((((((( Autostartpunkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . *Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-01-21 1233920] "LightScribe Control Panel"="c:\program files\Common Files\LightScribe\LightScribeControlPanel.exe" [2008-03-17 2289664] "WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-21 202240] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-07-26 13548064] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-07-26 92704] "SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2008-04-17 1049896] "RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2007-03-14 71216] "LanguageShortcut"="c:\program files\CyberLink\PowerDVD\Language\Language.exe" [2007-01-08 52256] "OmniPass"="c:\program files\Softex\OmniPass\scureapp.exe" [2008-06-25 2666496] "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-12-21 136600] "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2007-06-29 286720] "AVG8_TRAY"="c:\progra~1\AVG\AVG8\avgtray.exe" [2009-03-18 1932568] "RtHDVCpl"="RtHDVCpl.exe" [2008-07-08 c:\windows\RtHDVCpl.exe] "Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2008-02-29 c:\windows\KHALMNPR.Exe] c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\ Adobe Gamma Loader.lnk - c:\program files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2008-12-13 110592] BTTray.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2008-02-12 723496] Logitech SetPoint.lnk - c:\program files\Logitech\SetPoint\SetPoint.exe [2009-01-13 805392] Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-02-13 83360] WinZip Quick Pick.lnk - c:\program files\WinZip\WZQKPICK.EXE [2008-11-10 525664] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system] "EnableUIADesktopToggle"= 0 (0x0) [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer] "NoResolveTrack"= 1 (0x1) [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=avgrsstx.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "VIDC.I420"= emYUV.dll "msacm.l3codecp"= l3codecp.acm "msacm.clmp3enc"= c:\progra~1\CYBERL~1\Power2Go\CLMP3Enc.ACM [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware] "DisableMonitoring"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules] "{8D28CE94-23CA-450D-969D-EF3FE63D6D02}"= c:\program files\CyberLink\PowerDVD\PowerDVD.EXE:CyberLink PowerDVD "{CBC77F5B-3B64-4015-B20A-833881E79432}"= c:\program files\CyberLink\PowerDirector\PDR.EXE:CyberLink PowerDirector "{6BA4B74F-E27E-471F-802F-3EBF39319F4B}"= c:\program files\AVG\AVG8\avgupd.exe:avgupd.exe "{72F4D303-5593-4C2C-A871-4F4DF750F503}"= c:\program files\AVG\AVG8\avgnsx.exe:avgnsx.exe R0 iaNvStor;Intel(R) Turbo Memory Controller;c:\windows\System32\drivers\iaNvStor.sys [2008-10-07 226328] R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\System32\drivers\avgldx86.sys [2009-03-18 325640] R1 AvgTdiX;AVG Free8 Network Redirector;c:\windows\System32\drivers\avgtdix.sys [2009-03-18 107912] R2 avg8wd;AVG Free8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [2009-03-18 298264] R2 KMDFMEMIO;SAMSUNG Kernel Driver;c:\windows\System32\drivers\KMDFMEMIO.sys [2008-10-07 13312] R2 MSSQL$MSSMLBIZ;SQL Server (MSSMLBIZ);c:\program files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2006-04-14 28933976] R3 DCamUSBET;USB2.0 1.3M UVC WebCam;c:\windows\System32\drivers\etDevice.sys [2008-08-14 129664] R3 FiltUSBET;ET USB Device Lower Filter;c:\windows\System32\drivers\etFilter.sys [2008-07-11 239232] R3 NETw5v32;Intel(R) Wireless WiFi Link 5000 Series Adapter Driver for Windows Vista 32 Bit;c:\windows\System32\drivers\NETw5v32.sys [2008-06-25 3662848] R3 NVHDA;Service for NVIDIA High Definition Audio Driver;c:\windows\System32\drivers\nvhda32v.sys [2008-10-07 44576] R3 ScanUSBET;ET USB Still Image Capture Device;c:\windows\System32\drivers\etScan.sys [2007-09-07 6656] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] LocalServiceNoNetwork REG_MULTI_SZ PLA DPS BFE mpssvc bthsvcs REG_MULTI_SZ BthServ [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}] "c:\program files\Common Files\LightScribe\LSRunOnce.exe" . Inhalt des "geplante Tasks" Ordners 2009-03-22 c:\windows\Tasks\SupBackGroundTask.job - c:\program files\Samsung\Samsung Update Plus\SUPBackGround.exe [2008-10-27 14:38] . . ------- Zusätzlicher Suchlauf ------- . uStart Page = hxxp://www.web.de/ IE: Bild an &Bluetooth-Gerät senden... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~1\Office10\EXCEL.EXE/3000 IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000 IE: Seite an &Bluetooth-Gerät senden... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie.htm . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-03-22 12:48:07 Windows 6.0.6001 Service Pack 1 NTFS Scanne versteckte Prozesse... Scanne versteckte Autostarteinträge... Scanne versteckte Dateien... Scan erfolgreich abgeschlossen versteckte Dateien: 0 ************************************************************************** . Zeit der Fertigstellung: 2009-03-22 12:49:31 ComboFix-quarantined-files.txt 2009-03-22 11:49:29 Vor Suchlauf: 21 Verzeichnis(se), 106.325.442.560 Bytes frei Nach Suchlauf: 21 Verzeichnis(se), 106,292,355,072 Bytes frei 152 --- E O F --- 2009-03-11 18:22:43 |
22.03.2009, 13:08 | #12 |
| WIN32 Cryptor Problem OK, jetzt sollte es deinem Rechner wieder gut genug gehen, dass du unsere Liste abarbeiten kannst. Klicke auf "Für alle Neuen" in meiner Signatur, lies alles aufmerksam und arbeite die Liste unter Punkt 2 ab. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
22.03.2009, 14:29 | #13 |
| WIN32 Cryptor Problem Hallo, anbei log von Hijack: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 19:17:01, on 21.03.2009 Platform: Windows Vista SP1 (WinNT 6.00.1905) MSIE: Internet Explorer v7.00 (7.00.6001.18000) Boot mode: Normal Running processes: C:\Windows\system32\Dwm.exe C:\Windows\system32\taskeng.exe C:\Windows\Explorer.EXE C:\Program Files\Samsung\Samsung Update Plus\SUPBackGround.exe C:\Program Files\SAMSUNG\EasySpeedUpManager\EasySpeedUpManager.exe C:\Windows\system32\taskeng.exe C:\Program Files\Samsung\Easy Display Manager\dmhkcore.exe C:\Program Files\Samsung\Samsung Magic Doctor\MagicDoctorKbdHk.exe C:\Program Files\Samsung\EBM\EasyBatteryMgr3.exe C:\Program Files\Windows Defender\MSASCui.exe C:\Windows\RtHDVCpl.exe C:\Program Files\Synaptics\SynTP\SynTPEnh.exe C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe C:\Program Files\Softex\OmniPass\scureapp.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\Program Files\AVG\AVG8\avgtray.exe C:\Program Files\Windows Sidebar\sidebar.exe C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe C:\Program Files\Windows Media Player\wmpnscfg.exe C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe C:\Program Files\Logitech\SetPoint\SetPoint.exe C:\Program Files\WinZip\WZQKPICK.EXE C:\Program Files\WIDCOMM\Bluetooth Software\BtStackServer.exe C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE C:\Program Files\Internet Explorer\ieuser.exe C:\Program Files\Synaptics\SynTP\SynTPHelper.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http:\\SAMSUNG NOTEBOOK PC R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = Live Search R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = WEB.DE - E-Mail - Suche - DSL - Modem - Shopping - Entertainment R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http:\\SAMSUNG NOTEBOOK PC R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Live Search R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Live Search R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN.com R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O1 - Hosts: ::1 localhost O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\avgtoolbar.dll O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Program Files\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Program Files\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\avgtoolbar.dll O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe" O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe" O4 - HKLM\..\Run: [OmniPass] C:\Program Files\Softex\OmniPass\scureapp.exe O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun O4 - HKCU\..\Run: [LightScribe Control Panel] C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe -hidden O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST') O4 - .DEFAULT User Startup: DSL-Manager.lnk = C:\Program Files\T-Online\DSL-Manager\DslMgr.exe (User 'Default user') O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: BTTray.lnk = ? O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE O8 - Extra context menu item: Bild an &Bluetooth-Gerät senden... - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000 O8 - Extra context menu item: Seite an &Bluetooth-Gerät senden... - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm O13 - Gopher Prefix: O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://dl8-cdn-01.sun.com/s/ESD5/JSC...ws-i586-jc.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{4E4F71D1-AFCF-4199-BEC2-A588E0DE8202}: NameServer = 85.255.112.152,85.255.112.158 O17 - HKLM\System\CCS\Services\Tcpip\..\{5475F5F1-9004-41E4-B26A-15BFBCF1F33E}: NameServer = 85.255.112.152,85.255.112.158 O17 - HKLM\System\CCS\Services\Tcpip\..\{BAA15276-0EB3-4463-B7BF-72EF9A205B84}: NameServer = 85.255.112.152,85.255.112.158 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.152,85.255.112.158 O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.152,85.255.112.158 O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.152,85.255.112.158 O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll O20 - AppInit_DLLs: avgrsstx.dll O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel(R) Corporation - C:\Program Files\Intel\WiFi\bin\EvtEng.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logishrd\Bluetooth\LBTServ.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe O23 - Service: Softex OmniPass Service (omniserv) - Softex Inc. - C:\Program Files\Softex\OmniPass\OmniServ.exe O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel(R) Corporation - C:\Program Files\Common Files\Intel\WirelessCommon\RegSrvc.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe -- End of file - 9159 bytes und hier die log von Malwarebytes: Malwarebytes' Anti-Malware 1.34 Datenbank Version: 1883 Windows 6.0.6001 Service Pack 1 22.03.2009 14:28:35 mbam-log-2009-03-22 (14-28-00).txt Scan-Methode: Quick-Scan Durchsuchte Objekte: 62552 Laufzeit: 1 minute(s), 47 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 1 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 6 Infizierte Verzeichnisse: 2 Infizierte Dateien: 1 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_CURRENT_USER\SOFTWARE\DigitalHQ (Trojan.DNSChanger) -> No action taken. Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.152,85.255.112.158 -> No action taken. HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{4e4f71d1-afcf-4199-bec2-a588e0de8202}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.152,85.255.112.158 -> No action taken. HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{5475f5f1-9004-41e4-b26a-15bfbcf1f33e}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.112.152,85.255.112.158 -> No action taken. HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{5475f5f1-9004-41e4-b26a-15bfbcf1f33e}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.152,85.255.112.158 -> No action taken. HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{baa15276-0eb3-4463-b7bf-72ef9a205b84}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.112.152,85.255.112.158 -> No action taken. HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{baa15276-0eb3-4463-b7bf-72ef9a205b84}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.152,85.255.112.158 -> No action taken. Infizierte Verzeichnisse: C:\Users\Thomas\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DigitalHQ (Trojan.DNSChanger) -> No action taken. C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DigitalHQ (Trojan.DNSChanger) -> No action taken. Infizierte Dateien: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DigitalHQ\Uninstall.lnk (Trojan.DNSChanger) -> No action taken. besten dank im voraus |
22.03.2009, 14:42 | #14 |
| WIN32 Cryptor Problem Dort steht "No action taken", du musst die Funde mit Klick auf "Ausgewählte Entfernen" auch löschen. Also lass MbAM gleich nocheinmal laufen. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
22.03.2009, 14:47 | #15 |
| WIN32 Cryptor Problem Hallo, anbei log nach Löschen der angezeigten Probs: Malwarebytes' Anti-Malware 1.34 Datenbank Version: 1883 Windows 6.0.6001 Service Pack 1 22.03.2009 14:46:57 mbam-log-2009-03-22 (14-46-57).txt Scan-Methode: Quick-Scan Durchsuchte Objekte: 62642 Laufzeit: 1 minute(s), 44 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) |
Themen zu WIN32 Cryptor Problem |
avg, c:\windows, hochfahren, ide, infiziert, meldung, neuem, nicht mehr, pcs, problem, quarantäne, scan, scanner, system, system32, tan, update, updaten, virenscanner, virus, win, win32, win32/cryptor, windows, windows update |