TR/Crypt.XPACK.Gen'/ TR/Drop.Agent.qkm/ TR/Drop.Mudr.CY.305...alles seit heut morgen!

irie · 03.04.2009, 12:04

Hey zusammen,

der Pc meiner Eltern ist seit heut morgen von einem/ mehreren Trojanern befallen. Ich bin schonmal Eure Anleitung durchgegangen. Hier die jeweilgen Ergebnisse:

1. CC Cleaner: Keine Fehler mehr gefunden!

2.AntiVir:

Code:

ATTFilter

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Freitag, 3. April 2009  11:15

Es wird nach 1338305 Virenstämmen gesucht.

Lizenznehmer:     Avira AntiVir PersonalEdition Classic
Seriennummer:     0000149996-ADJIE-0001
Plattform:        Windows XP
Windowsversion:   (Service Pack 3)  [5.1.2600]
Boot Modus:       Normal gebootet
Benutzername:     SYSTEM
Computername:     xxx

Versionsinformationen:
BUILD.DAT     : 8.2.0.347      16934 Bytes  16.03.2009 14:45:00
AVSCAN.EXE    : 8.1.4.10      315649 Bytes  27.11.2008 19:01:58
AVSCAN.DLL    : 8.1.4.0        48897 Bytes  18.07.2008 11:12:32
LUKE.DLL      : 8.1.4.5       164097 Bytes  18.07.2008 11:12:32
LUKERES.DLL   : 8.1.4.0        12545 Bytes  18.07.2008 11:12:32
ANTIVIR0.VDF  : 7.1.0.0     15603712 Bytes  27.10.2008 16:41:22
ANTIVIR1.VDF  : 7.1.2.12     3336192 Bytes  11.02.2009 22:09:08
ANTIVIR2.VDF  : 7.1.3.0      1330176 Bytes  01.04.2009 07:51:22
ANTIVIR3.VDF  : 7.1.3.8        44544 Bytes  03.04.2009 07:51:23
Engineversion : 8.2.0.129 
AEVDF.DLL     : 8.1.1.0       106868 Bytes  31.01.2009 11:26:58
AESCRIPT.DLL  : 8.1.1.70      369019 Bytes  27.03.2009 15:18:20
AESCN.DLL     : 8.1.1.8       127346 Bytes  06.03.2009 10:27:24
AERDL.DLL     : 8.1.1.3       438645 Bytes  07.11.2008 22:51:55
AEPACK.DLL    : 8.1.3.11      397687 Bytes  27.03.2009 15:18:18
AEOFFICE.DLL  : 8.1.0.36      196987 Bytes  26.02.2009 22:52:29
AEHEUR.DLL    : 8.1.0.111    1679736 Bytes  27.03.2009 15:18:16
AEHELP.DLL    : 8.1.2.2       119158 Bytes  26.02.2009 22:52:25
AEGEN.DLL     : 8.1.1.31      340341 Bytes  27.03.2009 15:18:12
AEEMU.DLL     : 8.1.0.9       393588 Bytes  19.10.2008 20:32:38
AECORE.DLL    : 8.1.6.6       176501 Bytes  19.02.2009 18:34:18
AEBB.DLL      : 8.1.0.3        53618 Bytes  19.10.2008 20:32:35
AVWINLL.DLL   : 1.0.0.12       15105 Bytes  18.07.2008 11:12:32
AVPREF.DLL    : 8.0.2.0        38657 Bytes  18.07.2008 11:12:32
AVREP.DLL     : 8.0.0.2        98344 Bytes  04.08.2008 08:10:04
AVREG.DLL     : 8.0.0.1        33537 Bytes  18.07.2008 11:12:32
AVARKT.DLL    : 1.0.0.23      307457 Bytes  20.04.2008 17:22:20
AVEVTLOG.DLL  : 8.0.0.16      119041 Bytes  18.07.2008 11:12:32
SQLITE3.DLL   : 3.3.17.1      339968 Bytes  20.04.2008 17:22:21
SMTPLIB.DLL   : 1.2.0.23       28929 Bytes  18.07.2008 11:12:32
NETNT.DLL     : 8.0.0.1         7937 Bytes  20.04.2008 17:22:21
RCIMAGE.DLL   : 8.0.0.51     2371841 Bytes  18.07.2008 11:12:28
RCTEXT.DLL    : 8.0.52.0       86273 Bytes  18.07.2008 11:12:28

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\programme\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:, J:, K:, 
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: aus
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox, 
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Freitag, 3. April 2009  11:15

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '71437' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avwsc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'BrMfcMon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PhAutoRun.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'reader_sl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACDaemon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'BrMfcWnd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'pptd40nt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'issch.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ToADiMon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'realsched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'kbd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpsysdrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '42' Prozesse mit '42' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD1
    [INFO]      Es wurde kein Virus gefunden!
    [WARNUNG]   Systemfehler [21]: Das Gerät ist nicht bereit.
Masterbootsektor HD2
    [INFO]      Es wurde kein Virus gefunden!
    [WARNUNG]   Systemfehler [21]: Das Gerät ist nicht bereit.
Masterbootsektor HD3
    [INFO]      Es wurde kein Virus gefunden!
    [WARNUNG]   Systemfehler [21]: Das Gerät ist nicht bereit.
Masterbootsektor HD4
    [INFO]      Es wurde kein Virus gefunden!
    [WARNUNG]   Systemfehler [21]: Das Gerät ist nicht bereit.

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'D:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'J:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'K:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '72' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <HP_PAVILION>
C:\hiberfil.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Anwendungsdaten\appwizr.exe
    [FUND]      Ist das Trojanische Pferd TR/Crypt.XPACK.Gen
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a45d670.qua' verschoben!
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Anwendungsdaten\Microsoft\Outlook\Outlook.pst
    [0] Archivtyp: MS Outlook Mailbox
      --> Mailbox_[Folder:Gel schte Objekte][Subject:Antwort von Susan][From:connie.barts@mymail.ch]99.Foto-001.jgp.zip
        [1] Archivtyp: ZIP
        --> Foto-001.jgp.com
          [FUND]      Ist das Trojanische Pferd TR/Drop.Mudr.CY.271
        --> Foto-001.jgp.com
          [2] Archivtyp: ZIP SFX (self extracting)
          --> Foto.exe
            [FUND]      Ist das Trojanische Pferd TR/Agent2.flp
          --> Fotos.com
            [FUND]      Ist das Trojanische Pferd TR/Drop.Mudr.CY.305
      --> Mailbox_[Folder:Gel schte Objekte][Subject:Antwort von Petra][From:katia.prtholtz@mymail.ch]102.Foto-001.jgp.zip
        [1] Archivtyp: ZIP
        --> Foto-001.jgp.com
          [FUND]      Ist das Trojanische Pferd TR/Drop.Mudr.CY.271
        --> Foto-001.jgp.com
          [2] Archivtyp: ZIP SFX (self extracting)
          --> Foto.exe
            [FUND]      Ist das Trojanische Pferd TR/Agent2.flp
          --> Fotos.com
            [FUND]      Ist das Trojanische Pferd TR/Drop.Mudr.CY.305
    [WARNUNG]   Bei der Datei handelt es sich um eine Mailbox. Um Ihre Emails nicht zu beeinträchtigen wird diese Datei nicht repariert oder gelöscht!
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\BN2508.tmp
    [FUND]      Ist das Trojanische Pferd TR/Drop.Agent.qkm
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a07d695.qua' verschoben!
C:\Dokumente und Einstellungen\xxxLokale Einstellungen\Temp\BN250B.tmp
    [FUND]      Ist das Trojanische Pferd TR/Drop.Agent.qkm
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a07d699.qua' verschoben!
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\BN250C.tmp
    [FUND]      Ist das Trojanische Pferd TR/Drop.Agent.qkm
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a07d69c.qua' verschoben!
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\BN250D.tmp
    [FUND]      Ist das Trojanische Pferd TR/Drop.Agent.qkm
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a07d69f.qua' verschoben!
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\BN250E.tmp
    [FUND]      Ist das Trojanische Pferd TR/Drop.Agent.qkm
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a07d6a2.qua' verschoben!
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\BN250F.tmp
    [FUND]      Ist das Trojanische Pferd TR/Drop.Agent.qkm
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a07d6a4.qua' verschoben!
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP802\A0128918.sys
    [FUND]      Ist das Trojanische Pferd TR/Crypt.XDR.Gen
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a06db55.qua' verschoben!
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP802\A0128928.exe
    [FUND]      Ist das Trojanische Pferd TR/Crypt.XPACK.Gen
    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a06db5b.qua' verschoben!
Beginne mit der Suche in 'D:\' <HP_RECOVERY>
Beginne mit der Suche in 'J:\' <Musik>
Beginne mit der Suche in 'K:\' <Spiele>
K:\pagefile.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Freitag, 3. April 2009  12:17
Benötigte Zeit:  1:02:10 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

   9025 Verzeichnisse wurden überprüft
 590942 Dateien wurden geprüft
     15 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      9 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      3 Dateien konnten nicht durchsucht werden
 590924 Dateien ohne Befall
  14195 Archive wurden durchsucht
      8 Warnungen
      9 Hinweise
  71437 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden

3. Malewarebytes

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.35
Datenbank Version: 1936
Windows 5.1.2600 Service Pack 3

03.04.2009 11:09:51
mbam-log-2009-04-03 (11-09-51).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|J:\|K:\|)
Durchsuchte Objekte: 212063
Laufzeit: 1 hour(s), 14 minute(s), 59 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\Mum & Dad\Lokale Einstellungen\Temp\1785.tmp (Backdoor.KeyStart) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WPWCLNX7\731l1[1].exe (Backdoor.KeyStart) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\crypts.dll (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\drivers\securentm.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\drivers\ksi32sk.sys (Rootkit.Agent) -> Quarantined and deleted successfully.

4. Hijack this:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:36:38, on 03.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\Explorer.EXE
C:\windows\system\hpsysdrv.exe
C:\HP\KBD\KBD.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
C:\Programme\Brother\Brmfcmon\BrMfcWnd.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Brother\Brmfcmon\BrMfcmon.exe
c:\programme\antivir personaledition classic\avcenter.exe
c:\programme\t-online\t-online_software_6\browser\browser.exe
C:\PROGRA~1\T-Online\T-ONLI~1\Notifier\Notifier.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\kernel.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\sc_watch.exe
c:\programme\t-online\t-online_software_6\browser\dlman.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_219B3E1547538286.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: &Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [HPHUPD08] c:\Programme\HP\Digital Imaging\{33D6CC28-9F75-4d1b-A11D-98895B3A3729}\hphupd08.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] "C:\Programme\ScanSoft\PaperPort\pptd40nt.exe"
O4 - HKLM\..\Run: [IndexSearch] "C:\Programme\ScanSoft\PaperPort\IndexSearch.exe"
O4 - HKLM\..\Run: [PPort11reminder] "C:\Programme\ScanSoft\PaperPort\Ereg\Ereg.exe" -r "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ScanSoft\PaperPort\11\Config\Ereg\Ereg.ini
O4 - HKLM\..\Run: [BrMfcWnd] C:\Programme\Brother\Brmfcmon\BrMfcWnd.exe /AUTORUN
O4 - HKLM\..\Run: [ControlCenter3] C:\Programme\Brother\ControlCenter3\brctrcen.exe /autorun
O4 - HKLM\..\Run: [ArcSoft Connection Service] C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\INFOCOCKPIT.EXE /nosplash (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\INFOCOCKPIT.EXE /nosplash (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\INFOCOCKPIT.EXE /nosplash (User 'Default user')
O4 - Global Startup: PHOTOfunSTUDIO -viewer-.lnk = C:\Programme\Panasonic\PHOTOfunSTUDIO -viewer-\PhAutoRun.exe
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: Hilfe zu Verbindungen - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm
O9 - Extra 'Tools' menuitem: Hilfe zu Verbindungen - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {5D637FAD-E202-48D1-8F18-5B9C459BD1E3} (Image Uploader Control) - http://static.pe.studivz.net/photouploader/ImageUploader5.cab?nocache=1221123644
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1143046130828
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - h**p://static.ak.studivz.net/photouploader/ImageUploader4.cab
O16 - DPF: {96512D57-F751-4088-A689-5778FCC77F7A} (Photo Uploader Control) - h**p://www.studivz.net/lib/photouploader/PhotoUploader.cab
O16 - DPF: {AE2B937E-EA7D-4A8D-888C-B68D7F72A3C4} (IPSUploader4 Control) - h**p://as.photoprintit.de/ips-opdata/layout/default01/activex/IPSUploader4.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - h**p://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft - C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 10533 bytes

irie · 03.04.2009, 12:06

Ich hoffe, ich habe alles vollständig! Falls was fehlen sollte, kann ich das recht schnell nachliefern. Bin den ganzen lieben langen Tag zu Hause und lerne "eigentlich" für meine Prüfungen!

Vielen Dank!

lg, irie

irie · 03.04.2009, 20:38

Hmm leider noch keine Antwort. Habe bereits mal in einem anderen Beitrag etwas über diese Trojaner-Variante gelesen, aber ich denke mal, dass die Tipps mit Sicherheit auf diesen speziellen Fall zugeschnitten waren. Deswegen wäre es toll, wenn mir jemand helfen könnte.
lg, irie

irie · 04.04.2009, 10:40

Es wäre echt toll, wenn sich das hier mal jemand angucken könnte oder vlt. schreibt, wie lange es noch dauern könnte, bis sich das jemand anschauen kann. Ihr habt ja mit Sicherheit viel zu tun hier. Oder hab ich noch etwas vergessen, was ich vorher unbedingt angeben muss?

lg, irie

irie · 05.04.2009, 21:57

So, führe hier scheinbar nen kleinen Monolog.
Weiß nun auch nicht mehr weiter! Falls sich jemand meinem Problem doch noch annehmen würde/ möchte, wäre das unglaublich super!

lg, irie

Angel21 · 05.04.2009, 22:03

Du könntest den PC bereinigen lassen, allerdings muss ich dich darauf hinweisen, dass du ein Backdoor drauf hast und selbst nach einer Bereinigung (auch wenn alles vollständig) alles entfernt ist dein PC immer noch eine große Vertrauenslücke in seinem System hat.
Du könntest den PC gleich neu aufsetzen lassen, oder wir bereinigen alles, aber hast dann eine Sicherheitslücke im PC.

Wie findest du das? Kannst ja dir Zeit zum Nachdenken nehmen.

irie · 06.04.2009, 08:58

Hey,
danke, dass du geantwortet hast!http:

Also da ich im Moment nicht so viel Zeit hab, da ich für meine mündlichen Prüfungen lernen muss, wäre es mir lieber, wenn wir den PC erstmal bereinigen könnten. Danach kann ich meinen Eltern dann auch ne Neuaufsetzung anbieten und mich in Ruhe damit beschäftigen.

Also ich bin den ganzen Tag on. Achso, wie kann ich denn den anderen Thread schließen unter "Plagegeister.."? Der ist ja dann unnötog im Weg.

lg, irie

irie · 06.04.2009, 09:04

Ah jetzt hab ich Mist geschrieben mit dem Schließen. Also dieser Thread sol besser geschlossen werden und wir nehmen lieber den anderen von mir, okay? Da sind die report-Dateien neuer und sind auf dem Endstand. Allerdings weiß ich leider nciht, wie diesen hier schließen kann.

lg, irie

Chris4You · 06.04.2009, 09:28

@Angel21
Bitte im anderen Thread weitermachen (sonst habe ich zuviel auf der Pfanne)

chris

TR/Crypt.XPACK.Gen'/ TR/Drop.Agent.qkm/ TR/Drop.Mudr.CY.305...alles seit heut morgen!

Plagegeister aller Art und deren Bekämpfung: TR/Crypt.XPACK.Gen'/ TR/Drop.Agent.qkm/ TR/Drop.Mudr.CY.305...alles seit heut morgen!