Malwarebytes und andere geblockt...

psychoaki · 30.04.2009, 12:29

Hallo,
seid gestern ist mein Laptop befallen. Malwarebytes, Spybot und andere Tools (SpyHunter, gmer und SuperAntiSpyware) werden geblockt oder lassen sich nicht installieren. Ich poste mal meine Hijack, fsecure und mbr.exe logfiles und hoffe, dass jemand mir helfen kann.
LG
Psychoaki
Hijack

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:55:59, on 30.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\ibmpmsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
C:\WINDOWS\System32\TPHDEXLG.exe
C:\WINDOWS\system32\TpKmpSVC.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
C:\Programme\Lenovo\System Update\SUService.exe
C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Analog Devices\Core\smax4pnp.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Lenovo\HOTKEY\TPONSCR.exe
C:\Programme\Lenovo\Zoom\TpScrex.exe
C:\WINDOWS\system32\TpShocks.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hxxp://www.winfuture.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {39fc2065-c9c7-49cd-8942-44cc2dedc844} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - (no file)
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [TVT Scheduler Proxy] C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
O4 - HKLM\..\Run: [TPHOTKEY] C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog
O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [ACTray] C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
O4 - HKLM\..\Run: [ACWLIcon] C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [TPFNF7] C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe /r
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxtp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1226961314428
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hxtp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB35D719-E31A-470B-B05B-C067DC58F210}: NameServer = 134.147.222.4,134.147.32.40
O18 - Protocol: haufereader - (no CLSID) - (no file)
O20 - Winlogon Notify: ACNotify - ACNotify.dll (file missing)
O20 - Winlogon Notify: nnnmkJyV - C:\WINDOWS\
O20 - Winlogon Notify: tuvTklmM - tuvTklmM.dll (file missing)
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft - C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: Ac Profile Manager Service (AcPrfMgrSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
O23 - Service: Access Connections Main Service (AcSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Power Manager DBC Service - Unknown owner - C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - C:\Programme\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINDOWS\System32\TPHDEXLG.exe
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe
O23 - Service: TVT Scheduler - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe

--
End of file - 13201 bytes

FSecure

Code:

ATTFilter

04/30/09 13:20:26 [Info]: BlackLight Engine 2.2.1092 initialized
04/30/09 13:20:26 [Info]: OS: 5.1 build 2600 (Service Pack 3)
04/30/09 13:20:26 [Note]: 7019 4
04/30/09 13:20:26 [Note]: 7005 0
04/30/09 13:20:31 [Note]: 7007 0

mbr

Code:

ATTFilter

Stealth MBR rootkit detector 0.2.4 by Gmer, hxtp://www.gmer.net
device: opened successfully
user: error reading MBR 
kernel: MBR read successfully

Chris4You · 30.04.2009, 12:34

Hi,

da brauchen wir wohl combofix:
Combofix
Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.
Weitere Anleitung unter:http://www.bleepingcomputer.com/combofix/de/wie-combofix-benutzt-wird
Hinweis: unter : C:\WINDOWS\erdnt
wird ein Backup angelegt.
Alternative downloads: http://subs.geekstogo.com/ComboFix.exe

Danach sofort MAM:
Malwarebytes Antimalware (MAM).
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.
Alternativer Download: http://filepony.de/download-malwarebytes_anti_malware/, http://www.gt500.org/malwarebytes/mbam.jsp

chris

psychoaki · 30.04.2009, 12:41

Vielen Dank für die Antwort. Combofix wird leider auch geblockt...

PS:WinPc Defender ging ursprünglich immer auch und hat mein Sytem gescannt und versucht updates zu laden. Ich habe es jetzt über msconfig aus dem Startprozess entfernt, da das vorherige löschen auch nichts gebracht hat...

EDIT: Nach einem Umbennnen der GMER.exe ging diese wieder. Hier das log file

Code:

ATTFilter

GMER 1.0.15.14972 - hxxp://www.gmer.net
Rootkit scan 2009-04-30 13:51:00
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.15 ----

INT 0x62  ?                                                                                                                              8ACF4BF8
INT 0x63  ?                                                                                                                              8A107BF8
INT 0x74  ?                                                                                                                              8A107BF8
INT 0x83  ?                                                                                                                              8AC85BF8
INT 0x83  ?                                                                                                                              8A107BF8
INT 0x84  ?                                                                                                                              8A107BF8
INT 0x94  ?                                                                                                                              8ACF4BF8
INT 0x94  ?                                                                                                                              8ACF4BF8
INT 0x94  ?                                                                                                                              8A107BF8
INT 0x94  ?                                                                                                                              8ACF4BF8
INT 0xB4  ?                                                                                                                              8A107BF8

Code      89E8BB98                                                                                                                       ZwEnumerateKey
Code      89E5ADE8                                                                                                                       ZwFlushInstructionCache
Code      89E75A7E                                                                                                                       IofCallDriver
Code      89FA50D6                                                                                                                       IofCompleteRequest

---- Kernel code sections - GMER 1.0.15 ----

.text     ntoskrnl.exe!IofCallDriver                                                                                                     804E13A7 5 Bytes  JMP 89E75A83 
.text     ntoskrnl.exe!IofCompleteRequest                                                                                                804E17BD 5 Bytes  JMP 89FA50DB 
PAGE      ntoskrnl.exe!ZwEnumerateKey                                                                                                    80578E14 5 Bytes  JMP 89E8BB9C 
PAGE      ntoskrnl.exe!ZwFlushInstructionCache                                                                                           80587BFB 5 Bytes  JMP 89E5ADEC 
?         spfs.sys                                                                                                                       Das System kann die angegebene Datei nicht finden. !
.text     USBPORT.SYS!DllUnload                                                                                                          B8BA38AC 5 Bytes  JMP 8A1071D8 

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT       \WINDOWS\System32\Drivers\SCSIPORT.SYS[ntoskrnl.exe!DbgBreakPoint]                                                             8ACF62D8
IAT       pci.sys[ntoskrnl.exe!IoDetachDevice]                                                                                           [F7508C4C] spfs.sys
IAT       pci.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack]                                                                              [F7508CA0] spfs.sys
IAT       atapi.sys[HAL.dll!READ_PORT_UCHAR]                                                                                             [F74D8040] spfs.sys
IAT       atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT]                                                                                     [F74D813C] spfs.sys
IAT       atapi.sys[HAL.dll!READ_PORT_USHORT]                                                                                            [F74D80BE] spfs.sys
IAT       atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                                                                    [F74D87FC] spfs.sys
IAT       atapi.sys[HAL.dll!WRITE_PORT_UCHAR]                                                                                            [F74D86D2] spfs.sys
IAT       \SystemRoot\system32\DRIVERS\USBPORT.SYS[ntoskrnl.exe!DbgBreakPoint]                                                           8A1072D8
IAT       \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                                                             [F74E8048] spfs.sys

---- User IAT/EAT - GMER 1.0.15 ----

IAT       C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[880] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!GetProcAddress]            [00F72BC8] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT       C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[880] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!UnhandledExceptionFilter]  [00F72CE9] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT       C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[880] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!TerminateProcess]          [00F72CB8] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT       C:\WINDOWS\Explorer.EXE[3768] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtCreateFile]                                      [00C72F20] C:\WINDOWS\TEMP\logishrd\LVPrcInj01.dll (Camera Helper Library./Logitech Inc.)
IAT       C:\WINDOWS\Explorer.EXE[3768] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtDeviceIoControlFile]                             [00C72C90] C:\WINDOWS\TEMP\logishrd\LVPrcInj01.dll (Camera Helper Library./Logitech Inc.)
IAT       C:\WINDOWS\Explorer.EXE[3768] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtClose]                                           [00C72CF0] C:\WINDOWS\TEMP\logishrd\LVPrcInj01.dll (Camera Helper Library./Logitech Inc.)
IAT       C:\WINDOWS\Explorer.EXE[3768] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtDuplicateObject]                                 [00C72CC0] C:\WINDOWS\TEMP\logishrd\LVPrcInj01.dll (Camera Helper Library./Logitech Inc.)

---- Services - GMER 1.0.15 ----

Service   C:\WINDOWS\system32\drivers\UACdonmpxjxtfllsxd.sys (*** hidden *** )                                                           [SYSTEM] UACd.sys                                                                           <-- ROOTKIT !!!

---- EOF - GMER 1.0.15 ----

Combofix habe ich auch umbenannt. Geht nun auch. Ich werde es mal durchlaufen lassen.....

Chris4You · 30.04.2009, 12:56

Hi,

versuche bereits im downloaddialog die exe umzubenennen auf z.B. test.com...
wie sieht es im abgesicherten Modus (F8 beim Booten) aus?

Halt:
Habe jetzt erst Dein Mail gesehen...
Wie folgt vorgehen:

Alternativ:
Arbeitsplatz->rechte Maustaste->Eigenschaften->Hardware->Gerätemanager->Ansicht->ausgeblendete Geräte anzeigen->Nicht PnP-Treiber

und dort den Treiber "UACd.sys" oder aehnlich deaktivieren und neu starten.
Bitte melden ob gefunden und was gefunden (jaja, die netten kleinen Rootkits...)
Zum dem Rootkit gehört:
%System%\uacinit.dll
%System%\drivers\UAC[RANDOM CHARACTERS].sys

Schauen wir mal ob wir über RSIT was rausbekommen:
RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.

* Lade Random's System Information Tool (RSIT) herunter (http://filepony.de/download-rsit/)
* speichere es auf Deinem Desktop.
* Starte mit Doppelklick die RSIT.exe.
* Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
* Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
* In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
* Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
* Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
* Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
* Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

chris
Ps.: Den kriegen wir!

psychoaki · 30.04.2009, 13:14

Hi,

also im Gerätemanager war kein Treiber mit dem entsprechenden Anfang (UAC) vorhanden. ComboFix läuft gerade (hat direkt am Anfang die UAC-Rootkits gemeldet), danach werde ich versuchen MAM durchlaufen zu lassen und abschließend noch einmal alle logfiles (inklusive RSIT) posten.

Grüße,
Psychoaki

Chris4You · 30.04.2009, 13:20

Hi,

muss zu cheffe bin jetzt erstmal wech...

chris

psychoaki · 30.04.2009, 16:09

Hallo,
ich habe zunächst einmal die Combofix durchgeführt, hier das log

Code:

ATTFilter

ComboFix 09-04-29.07 - Administrator 30.04.2009 14:08.6 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2030.1629 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\dsd.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated)
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat
c:\windows\system32\_000007_.tmp.dll
c:\windows\system32\drivers\UACdonmpxjxtfllsxd.sys
c:\windows\system32\UACdcxecwyebfycgwk.dll
c:\windows\system32\UACdydgwdoeqjlgpdv.log
c:\windows\system32\uacinit.dll
c:\windows\system32\UACkdddovnltkoaiki.dll
c:\windows\system32\UAClkypfmrkketmkae.log
c:\windows\system32\UACodfpvvuadixsxky.log
c:\windows\system32\UACqjbppktjjbetvpn.dll
c:\windows\system32\UACrkxlnuyutuhyaxd.dat
c:\windows\system32\UACrngvgtajryotuwq.dll
c:\windows\system32\UACsouchoylyejeubo.dll

----- BITS: Eventuell infizierte Webseiten -----

hxxp://winpcdown99.com
hxxp://loyalvideoz.com
.
(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_UACd.sys


(((((((((((((((((((((((   Dateien erstellt von 2009-05-28 bis 2009-4-30  ))))))))))))))))))))))))))))))
.

2009-04-30 11:56 . 2009-04-30 11:56	--------	d-----w	C:\addgaad
2009-04-29 10:05 . 2009-04-30 10:54	--------	d-----w	c:\programme\Enigma Software Group
2009-04-29 08:44 . 2009-04-29 08:44	--------	d-----w	c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Stardock
2009-04-29 00:38 . 2009-04-29 00:38	1020928	----a-w	c:\dokumente und einstellungen\Administrator\Anwendungsdaten\pcdefender.exe
2009-04-22 21:31 . 2009-04-22 21:31	--------	d-----w	c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Zeon
2009-04-22 21:30 . 2009-04-22 21:30	--------	d-----w	c:\windows\system32\config\systemprofile\Anwendungsdaten\Zeon
2009-04-22 21:30 . 2009-04-22 21:30	--------	d--h--w	c:\windows\system32\GroupPolicy
2009-04-22 21:30 . 2009-04-29 09:02	--------	d-----w	c:\dokumente und einstellungen\Administrator\Anwendungsdaten\ScanSoft
2009-04-22 21:29 . 2009-04-22 21:29	--------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield
2009-04-22 21:29 . 2009-04-29 09:02	--------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\ScanSoft
2009-04-21 09:51 . 2009-04-21 09:51	--------	d-----w	c:\programme\PrimeColor Software
2009-04-19 18:53 . 2009-01-07 02:03	4608	------w	c:\windows\system32\drivers\TSMAPIP.SYS
2009-04-16 07:39 . 2009-04-16 07:39	--------	d-----w	c:\programme\iPod
2009-04-16 07:39 . 2009-04-16 07:39	--------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\{8CD7F5AF-ECFA-4793-BF40-D8F42DBFF906}
2009-04-16 07:39 . 2009-04-16 07:39	--------	d-----w	c:\programme\iTunes
2009-04-16 07:38 . 2009-04-16 07:38	--------	d-----w	c:\programme\Bonjour
2009-04-15 13:52 . 2009-04-15 13:52	--------	d-----w	C:\saxi
2009-04-02 00:56 . 2009-04-14 16:42	229712	----a-w	c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2009-03-31 13:29 . 2009-03-31 13:29	--------	d-----w	c:\windows\SxsCaPendDel

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-30 11:46 . 2008-11-17 22:08 284571	----a-w	c:\windows\system32\nvModes.dat
2009-04-30 11:15 . 2008-12-04 11:03	--------	d-----w	c:\programme\Malwarebytes' Anti-Malware
2009-04-29 16:27 . 2008-12-21 10:20	--------	d-----w	c:\programme\PPStream
2009-04-29 16:25 . 2008-12-14 16:26	--------	d-----w	c:\programme\CB Model Pro
2009-04-29 09:37 . 2002-12-31 12:00	85724	----a-w	c:\windows\system32\perfc007.dat
2009-04-29 09:37 . 2002-12-31 12:00	462560	----a-w	c:\windows\system32\perfh007.dat
2009-04-29 09:20 . 2008-11-17 22:42	53600	----a-w	c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-04-29 00:38 . 2009-04-29 00:38	1020928	---h--w	c:\dokumente und einstellungen\Administrator\Anwendungsdaten\BIT45.tmp
2009-04-28 19:44 . 2008-12-05 20:01	--------	d-----w	c:\programme\TVAnts
2009-04-28 07:31 . 2009-03-19 09:27	55640	----a-w	c:\windows\system32\drivers\avgntflt.sys
2009-04-22 21:29 . 2008-11-17 22:21	--------	d-----w	c:\programme\Gemeinsame Dateien\InstallShield
2009-04-19 18:53 . 2008-11-17 22:22	--------	d--h--w	c:\programme\InstallShield Installation Information
2009-04-19 18:52 . 2008-11-17 22:38	--------	d-----w	c:\programme\Lenovo
2009-04-16 07:39 . 2008-11-18 00:20	--------	d-----w	c:\programme\Gemeinsame Dateien\Apple
2009-04-01 23:42 . 2008-12-28 10:45	--------	d-----w	c:\programme\JDownloader
2009-04-01 07:52 . 2008-11-19 20:53	--------	d-----w	c:\programme\Java
2009-03-19 14:32 . 2009-02-25 21:25	23400	----a-w	c:\windows\system32\drivers\GEARAspiWDM.sys
2009-03-19 09:37 . 2008-11-18 14:32	--------	d-----w	c:\programme\Paragon Software
2009-03-19 09:36 . 2009-02-26 09:22	--------	d-----w	c:\programme\MediaMonkey
2009-03-19 09:27 . 2009-03-19 09:27	--------	d-----w	c:\programme\Avira
2009-03-18 21:44 . 2009-03-18 21:43	--------	d-----w	c:\programme\DivX
2009-03-18 21:43 . 2009-03-18 21:43	--------	d-----w	c:\programme\Gemeinsame Dateien\DivX Shared
2009-03-16 22:09 . 2009-03-16 22:09	--------	d-----w	c:\programme\Gemeinsame Dateien\DVDVideoSoft
2009-03-16 22:09 . 2009-03-16 22:09	--------	d-----w	c:\programme\DVDVideoSoft
2009-03-09 03:19 . 2008-11-19 20:53	410984	----a-w	c:\windows\system32\deploytk.dll
2009-03-08 21:50 . 2009-03-08 21:50	--------	d-----w	c:\programme\Zattoo
2009-03-06 14:19 . 2008-04-14 05:52	286720	----a-w	c:\windows\system32\pdh.dll
2009-03-05 22:59 . 2009-03-13 16:09 1900544	----a-w	c:\windows\system32\usbaaplrc.dll
2009-03-05 22:59 . 2009-02-25 21:24	36864	----a-w	c:\windows\system32\drivers\usbaapl.sys
2009-03-05 10:23 . 2008-12-04 10:43	--------	d-----w	c:\programme\Spybot - Search & Destroy
2009-03-03 00:03 . 2009-03-03 00:03	826368	----a-w	c:\windows\system32\SET20.tmp
2009-03-03 00:03 . 2008-04-14 05:52	826368	----a-w	c:\windows\system32\wininet.dll
2009-02-11 09:19 . 2008-12-04 11:03	38496	----a-w	c:\windows\system32\drivers\mbamswissarmy.sys
2009-02-11 09:19 . 2008-12-04 11:03	15504	----a-w	c:\windows\system32\drivers\mbam.sys
2009-02-09 14:04 . 2008-04-14 05:23	1846912	----a-w	c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2008-04-14 07:30	2026496	----a-w	c:\windows\system32\ntkrnlpa.exe
2009-02-09 11:21 . 2008-04-14 05:29	2147840	----a-w	c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2008-04-14 05:53	111104	----a-w	c:\windows\system32\services.exe
2009-02-09 10:51 . 2008-04-14 05:52	401408	----a-w	c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2008-04-14 05:52	736768	----a-w	c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2008-04-14 05:52	678400	----a-w	c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2008-04-14 05:51	740352	----a-w	c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2002-12-31 12:00	35328	----a-w	c:\windows\system32\sc.exe
2009-02-03 19:57 . 2009-02-03 19:57	56832	----a-w	c:\windows\system32\SET8C.tmp
2009-02-03 19:57 . 2008-04-14 05:52	56832	----a-w	c:\windows\system32\secur32.dll
2009-01-27 01:34 . 2009-01-27 01:34	1044480	----a-w	c:\programme\mozilla firefox\plugins\libdivx.dll
2009-01-27 01:34 . 2009-01-27 01:34	200704	----a-w	c:\programme\mozilla firefox\plugins\ssldivx.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-07-16 13537280]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2008-07-03 1323008]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2008-04-24 1036288]
"TVT Scheduler Proxy"="c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" [2008-03-04 487424]
"TPHOTKEY"="c:\programme\Lenovo\HOTKEY\TPOSDSVC.exe" [2008-09-30 68976]
"PWRMGRTR"="c:\progra~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL" [2008-09-25 331776]
"BLOG"="c:\progra~1\ThinkPad\UTILIT~1\BatLogEx.DLL" [2008-09-25 208896]
"TPKMAPHELPER"="c:\programme\ThinkPad\Utilities\TpKmapAp.exe" [2007-01-09 868352]
"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2008-08-15 425984]
"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2008-08-15 143360]
"Synchronization Manager"="c:\windows\system32\mobsync.exe" [2008-04-14 144384]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-07-16 86016]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"TPFNF7"="c:\programme\Lenovo\NPDIRECT\TPFNF7SP.exe" [2009-01-07 60704]
"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2008-07-16 1630208]
"TpShocks"="TpShocks.exe" - c:\windows\system32\TpShocks.exe [2008-06-06 181536]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 137216]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\psfus]
2008-06-24 16:31	95496	----a-w	c:\windows\system32\psqlpwd.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]
2006-09-06 14:37	34344	----a-w	c:\programme\Lenovo\HOTKEY\notifyf2.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]
2008-08-08 17:14	28672	----a-w	c:\programme\Lenovo\HOTKEY\tphklock.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ACNotify]
2008-08-15 20:37	32768	----a-w	c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nnnmkJyV]
 [BU]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages	REG_MULTI_SZ   	scecli ACGina psqlpwd

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Administrator^Startmenü^Programme^Autostart^Logitech . Produktregistrierung.lnk]
path=c:\dokumente und einstellungen\Administrator\Startmenü\Programme\Autostart\Logitech . Produktregistrierung.lnk
backup=c:\windows\pss\Logitech . Produktregistrierung.lnkStartup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Acrobat - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Acrobat - Schnellstart.lnk
backup=c:\windows\pss\Adobe Acrobat - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk
backup=c:\windows\pss\Adobe Reader - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader Synchronizer.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk
backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^BTTray.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\BTTray.lnk
backup=c:\windows\pss\BTTray.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^PHOTOfunSTUDIO -viewer-.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\PHOTOfunSTUDIO -viewer-.lnk
backup=c:\windows\pss\PHOTOfunSTUDIO -viewer-.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VPN Client.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\VPN Client.lnk
backup=c:\windows\pss\VPN Client.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Wireless USB Control Center.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Wireless USB Control Center.lnk
backup=c:\windows\pss\Wireless USB Control Center.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"AntiVirService"=2 (0x2)
"AntiVirSchedulerService"=2 (0x2)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\CambridgeSoft\\ChemOffice2005\\ChemDraw\\ChemDraw.exe"=
"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Programme\\Google\\Google Talk\\googletalk.exe"=
"c:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\Kaspersky Lab Setup Files\\Kaspersky Internet Security 2009\\German\\setup.exe"=
"c:\\Programme\\TVAnts\\Tvants.exe"=
"c:\\Programme\\uusee\\UUSeePlayer.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Adobe\\CS4ServiceManager\\CS4ServiceManager.exe"=
"c:\\Programme\\CambridgeSoft\\ChemOffice2005\\Chem3D\\Chem3D.exe"=
"c:\\Programme\\PPStream\\PPStream.exe"=
"c:\\Programme\\PPStream\\PPSAP.exe"=
"c:\\Programme\\VideoLAN\\VLC\\vlc.exe"=
"c:\\Programme\\Zattoo\\zattood.exe"=
"c:\\Programme\\Zattoo\\Zattoo2.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5353:TCP"= 5353:TCP:Adobe CSI CS4

R1 TPPWRIF;TPPWRIF; [x]
R4 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [2009-04-28 108289]
S0 hotcore3;hotcore3;c:\windows\system32\drivers\hotcore3.sys [2007-11-06 39472]
S0 Shockprf;Shockprf;c:\windows\System32\DRIVERS\Apsx86.sys [2008-05-14 114728]
S0 TPDIGIMN;TPDIGIMN;c:\windows\System32\DRIVERS\ApsHM86.sys [2008-05-14 19496]
S1 ANC;ANC;c:\windows\system32\drivers\ANC.SYS [2008-08-15 11520]
S1 IBMTPCHK;IBMTPCHK;c:\windows\system32\Drivers\IBMBLDID.sys [2008-08-15 4224]
S1 lenovo.smi;Lenovo System Interface Driver;c:\windows\system32\DRIVERS\smiif32.sys [2008-05-12 13480]
S2 Power Manager DBC Service;Power Manager DBC Service;c:\programme\ThinkPad\Utilities\PWMDBSVC.exe [2008-09-25 94208]
S2 smihlp;SMI Helper Driver (smihlp);c:\programme\Gemeinsame Dateien\ThinkVantage Fingerprint Software\Drivers\smihlp.sys [2008-06-24 12560]


[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f16d3b92-c82f-11dd-a056-0013e8478ae5}]
\Shell\AutoRun\command - H:\LaunchU3.exe -a
.
Inhalt des "geplante Tasks" Ordners

2009-04-30 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-12-04 11:59]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

BHO-{39fc2065-c9c7-49cd-8942-44cc2dedc844} - (no file)
BHO-{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - (no file)
ShellExecuteHooks-{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - (no file)
Notify-tuvTklmM - tuvTklmM.dll


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
uInternet Connection Wizard,ShellNext = hxxp://www.winfuture.de/
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: An vorhandenes PDF anfügen - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Auswahl in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Auswahl in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Senden an &Bluetooth-Gerät... - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
IE: Senden an Bluetooth - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
IE: Verknüpfungsziel in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
TCP: {DB35D719-E31A-470B-B05B-C067DC58F210} = 134.147.222.4,134.147.32.40
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\r1e1nxga.default\
FF - prefs.js: browser.startup.homepage - www.google.de
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Picasa3\npPicasa3.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npSfAppM.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2009-04-30 14:13
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-1935655697-179605362-1801674531-500\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:76,a9,6a,b5,54,49,ac,53,d7,9d,d9,0b,9a,95,8e,de,b5,fb,1a,0f,34,3f,44,
   43,f7,33,bb,4d,26,fd,61,1e,9a,ac,54,67,00,ba,94,64,9a,3c,70,0a,7c,63,e5,46,\
"??"=hex:35,fc,c6,3d,c9,02,ad,db,37,1f,61,de,0f,33,8f,50
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1420)
c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\windows\system32\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll
c:\programme\ThinkVantage Fingerprint Software\homepass.dll
c:\programme\ThinkVantage Fingerprint Software\bio.dll
c:\programme\ThinkVantage Fingerprint Software\qlbase.dll
c:\programme\Lenovo\HOTKEY\tphklock.dll

- - - - - - - > 'lsass.exe'(1476)
c:\programme\ThinkPad\ConnectUtilities\ACGina.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACON.dll
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgr.dll
c:\programme\ThinkPad\ConnectUtilities\AcCryptHlpr.dll
c:\programme\ThinkPad\ConnectUtilities\ACTurinSupport.dll
c:\programme\ThinkPad\ConnectUtilities\AcSmBiosHelper.dll
c:\programme\ThinkPad\ConnectUtilities\AcAdaptersInfo.dll
c:\windows\system32\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll

- - - - - - - > 'explorer.exe'(3508)
c:\windows\TEMP\logishrd\LVPrcInj01.dll
c:\windows\system32\nview.dll
c:\windows\system32\NVWRSDE.DLL
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\programme\Intel\Wireless\Bin\S24EvMon.exe
c:\programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\programme\Bonjour\mDNSResponder.exe
c:\programme\Cisco Systems\VPN Client\cvpnd.exe
c:\programme\Intel\Wireless\Bin\EvtEng.exe
c:\programme\Canon\IJPLM\ijplmsvc.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
c:\programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Intel\Wireless\Bin\RegSrvc.exe
c:\programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
c:\windows\system32\TPHDEXLG.exe
c:\windows\system32\TpKmpSvc.exe
c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
c:\windows\system32\wdfmgr.exe
c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe
c:\programme\Lenovo\System Update\SUService.exe
c:\programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
c:\windows\system32\rundll32.exe
c:\windows\system32\rundll32.exe
c:\programme\Lenovo\HOTKEY\TPONSCR.exe
c:\programme\Synaptics\SynTP\SynTPLpr.exe
c:\programme\Lenovo\ZOOM\TpScrex.exe
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-30 14:16 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-30 12:16
ComboFix2.txt  2009-03-06 00:59
ComboFix3.txt  2009-03-05 16:24
ComboFix4.txt  2008-12-04 12:56
ComboFix5.txt  2009-04-30 11:52

Vor Suchlauf: 17 Verzeichnis(se), 38.847.635.456 Bytes frei
Nach Suchlauf: 15 Verzeichnis(se), 38.839.156.736 Bytes frei

Current=10 Default=10 Failed=9 LastKnownGood=11 Sets=1,2,3,4,5,6,7,8,9,10,11
335	--- E O F ---	2009-04-15 18:15

psychoaki · 30.04.2009, 16:11

Dann habe ich MAM durchgeführt

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1820
Windows 5.1.2600 Service Pack 3

30.04.2009 16:33:50
mbam-log-2009-04-30 (16-33-50).txt

Scan-Methode: Vollständiger Scan (C:\|F:\|G:\|)
Durchsuchte Objekte: 345314
Laufzeit: 1 hour(s), 52 minute(s), 2 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Programme\Lenovo\NPDIRECT\vcredist_x86.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP61\A0013696.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP61\A0013697.exe (Trojan.Vundo) -> Quarantined and deleted successfully.

psychoaki · 30.04.2009, 16:12

dann die mbr.exe

Code:

ATTFilter

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

anschließend noch einmal die combofix

Code:

ATTFilter

ComboFix 09-04-29.07 - Administrator 30.04.2009 16:44.7 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2030.1297 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\dsd.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated)
.

(((((((((((((((((((((((   Dateien erstellt von 2009-05-28 bis 2009-4-30  ))))))))))))))))))))))))))))))
.

2009-04-30 11:56 . 2009-04-30 11:56	--------	d-----w	C:\addgaad
2009-04-29 10:05 . 2009-04-30 10:54	--------	d-----w	c:\programme\Enigma Software Group
2009-04-29 08:44 . 2009-04-29 08:44	--------	d-----w	c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Stardock
2009-04-29 00:38 . 2009-04-29 00:38	1020928	----a-w	c:\dokumente und einstellungen\Administrator\Anwendungsdaten\pcdefender.exe
2009-04-22 21:31 . 2009-04-22 21:31	--------	d-----w	c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Zeon
2009-04-22 21:30 . 2009-04-22 21:30	--------	d-----w	c:\windows\system32\config\systemprofile\Anwendungsdaten\Zeon
2009-04-22 21:30 . 2009-04-22 21:30	--------	d--h--w	c:\windows\system32\GroupPolicy
2009-04-22 21:30 . 2009-04-29 09:02	--------	d-----w	c:\dokumente und einstellungen\Administrator\Anwendungsdaten\ScanSoft
2009-04-22 21:29 . 2009-04-22 21:29	--------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield
2009-04-22 21:29 . 2009-04-29 09:02	--------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\ScanSoft
2009-04-21 09:51 . 2009-04-21 09:51	--------	d-----w	c:\programme\PrimeColor Software
2009-04-19 18:53 . 2009-01-07 02:03	4608	------w	c:\windows\system32\drivers\TSMAPIP.SYS
2009-04-16 07:39 . 2009-04-16 07:39	--------	d-----w	c:\programme\iPod
2009-04-16 07:39 . 2009-04-16 07:39	--------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\{8CD7F5AF-ECFA-4793-BF40-D8F42DBFF906}
2009-04-16 07:39 . 2009-04-16 07:39	--------	d-----w	c:\programme\iTunes
2009-04-16 07:38 . 2009-04-16 07:38	--------	d-----w	c:\programme\Bonjour
2009-04-15 13:52 . 2009-04-15 13:52	--------	d-----w	C:\saxi
2009-04-02 00:56 . 2009-04-14 16:42	229712	----a-w	c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-30 11:46 . 2008-11-17 22:08 284571	----a-w	c:\windows\system32\nvModes.dat
2009-04-30 11:15 . 2008-12-04 11:03	--------	d-----w	c:\programme\Malwarebytes' Anti-Malware
2009-04-29 16:27 . 2008-12-21 10:20	--------	d-----w	c:\programme\PPStream
2009-04-29 16:25 . 2008-12-14 16:26	--------	d-----w	c:\programme\CB Model Pro
2009-04-29 09:37 . 2002-12-31 12:00	85724	----a-w	c:\windows\system32\perfc007.dat
2009-04-29 09:37 . 2002-12-31 12:00	462560	----a-w	c:\windows\system32\perfh007.dat
2009-04-29 09:20 . 2008-11-17 22:42	53600	----a-w	c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-04-29 00:38 . 2009-04-29 00:38	1020928	---h--w	c:\dokumente und einstellungen\Administrator\Anwendungsdaten\BIT45.tmp
2009-04-28 19:44 . 2008-12-05 20:01	--------	d-----w	c:\programme\TVAnts
2009-04-28 07:31 . 2009-03-19 09:27	55640	----a-w	c:\windows\system32\drivers\avgntflt.sys
2009-04-22 21:29 . 2008-11-17 22:21	--------	d-----w	c:\programme\Gemeinsame Dateien\InstallShield
2009-04-19 18:53 . 2008-11-17 22:22	--------	d--h--w	c:\programme\InstallShield Installation Information
2009-04-19 18:52 . 2008-11-17 22:38	--------	d-----w	c:\programme\Lenovo
2009-04-16 07:39 . 2008-11-18 00:20	--------	d-----w	c:\programme\Gemeinsame Dateien\Apple
2009-04-01 23:42 . 2008-12-28 10:45	--------	d-----w	c:\programme\JDownloader
2009-04-01 07:52 . 2008-11-19 20:53	--------	d-----w	c:\programme\Java
2009-03-19 14:32 . 2009-02-25 21:25	23400	----a-w	c:\windows\system32\drivers\GEARAspiWDM.sys
2009-03-19 09:37 . 2008-11-18 14:32	--------	d-----w	c:\programme\Paragon Software
2009-03-19 09:36 . 2009-02-26 09:22	--------	d-----w	c:\programme\MediaMonkey
2009-03-19 09:27 . 2009-03-19 09:27	--------	d-----w	c:\programme\Avira
2009-03-18 21:44 . 2009-03-18 21:43	--------	d-----w	c:\programme\DivX
2009-03-18 21:43 . 2009-03-18 21:43	--------	d-----w	c:\programme\Gemeinsame Dateien\DivX Shared
2009-03-16 22:09 . 2009-03-16 22:09	--------	d-----w	c:\programme\Gemeinsame Dateien\DVDVideoSoft
2009-03-16 22:09 . 2009-03-16 22:09	--------	d-----w	c:\programme\DVDVideoSoft
2009-03-09 03:19 . 2008-11-19 20:53	410984	----a-w	c:\windows\system32\deploytk.dll
2009-03-08 21:50 . 2009-03-08 21:50	--------	d-----w	c:\programme\Zattoo
2009-03-06 14:19 . 2008-04-14 05:52	286720	----a-w	c:\windows\system32\pdh.dll
2009-03-05 22:59 . 2009-03-13 16:09 1900544	----a-w	c:\windows\system32\usbaaplrc.dll
2009-03-05 22:59 . 2009-02-25 21:24	36864	----a-w	c:\windows\system32\drivers\usbaapl.sys
2009-03-05 10:23 . 2008-12-04 10:43	--------	d-----w	c:\programme\Spybot - Search & Destroy
2009-03-03 00:03 . 2009-03-03 00:03	826368	----a-w	c:\windows\system32\SET20.tmp
2009-03-03 00:03 . 2008-04-14 05:52	826368	----a-w	c:\windows\system32\wininet.dll
2009-02-11 09:19 . 2008-12-04 11:03	38496	----a-w	c:\windows\system32\drivers\mbamswissarmy.sys
2009-02-11 09:19 . 2008-12-04 11:03	15504	----a-w	c:\windows\system32\drivers\mbam.sys
2009-02-09 14:04 . 2008-04-14 05:23	1846912	----a-w	c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2008-04-14 07:30	2026496	----a-w	c:\windows\system32\ntkrnlpa.exe
2009-02-09 11:21 . 2008-04-14 05:29	2147840	----a-w	c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2008-04-14 05:53	111104	----a-w	c:\windows\system32\services.exe
2009-02-09 10:51 . 2008-04-14 05:52	401408	----a-w	c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2008-04-14 05:52	736768	----a-w	c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2008-04-14 05:52	678400	----a-w	c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2008-04-14 05:51	740352	----a-w	c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2002-12-31 12:00	35328	----a-w	c:\windows\system32\sc.exe
2009-02-03 19:57 . 2009-02-03 19:57	56832	----a-w	c:\windows\system32\SET8C.tmp
2009-02-03 19:57 . 2008-04-14 05:52	56832	----a-w	c:\windows\system32\secur32.dll
2009-01-27 01:34 . 2009-01-27 01:34	1044480	----a-w	c:\programme\mozilla firefox\plugins\libdivx.dll
2009-01-27 01:34 . 2009-01-27 01:34	200704	----a-w	c:\programme\mozilla firefox\plugins\ssldivx.dll
.

(((((((((((((((((((((((((((((   SnapShot@2009-04-30_12.13.24   )))))))))))))))))))))))))))))))))))))))))
.
- 2009-04-30 12:12 . 2009-04-30 12:12	16384              c:\windows\Temp\Perflib_Perfdata_3e8.dat
+ 2009-04-30 14:47 . 2009-04-30 14:47	16384              c:\windows\Temp\Perflib_Perfdata_3e8.dat
+ 2009-04-30 14:47 . 2008-12-16 20:59	109080              c:\windows\Temp\logishrd\LVPrcInj01.dll
- 2009-04-30 12:12 . 2008-12-16 20:59	109080              c:\windows\Temp\logishrd\LVPrcInj01.dll
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-07-16 13537280]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2008-07-03 1323008]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2008-04-24 1036288]
"TVT Scheduler Proxy"="c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" [2008-03-04 487424]
"TPHOTKEY"="c:\programme\Lenovo\HOTKEY\TPOSDSVC.exe" [2008-09-30 68976]
"PWRMGRTR"="c:\progra~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL" [2008-09-25 331776]
"BLOG"="c:\progra~1\ThinkPad\UTILIT~1\BatLogEx.DLL" [2008-09-25 208896]
"TPKMAPHELPER"="c:\programme\ThinkPad\Utilities\TpKmapAp.exe" [2007-01-09 868352]
"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2008-08-15 425984]
"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2008-08-15 143360]
"Synchronization Manager"="c:\windows\system32\mobsync.exe" [2008-04-14 144384]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-07-16 86016]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"TPFNF7"="c:\programme\Lenovo\NPDIRECT\TPFNF7SP.exe" [2009-01-07 60704]
"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2008-07-16 1630208]
"TpShocks"="TpShocks.exe" - c:\windows\system32\TpShocks.exe [2008-06-06 181536]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 137216]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\psfus]
2008-06-24 16:31	95496	----a-w	c:\windows\system32\psqlpwd.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]
2006-09-06 14:37	34344	----a-w	c:\programme\Lenovo\HOTKEY\notifyf2.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]
2008-08-08 17:14	28672	----a-w	c:\programme\Lenovo\HOTKEY\tphklock.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ACNotify]
2008-08-15 20:37	32768	----a-w	c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nnnmkJyV]
 [BU]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages	REG_MULTI_SZ   	scecli ACGina psqlpwd

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Administrator^Startmenü^Programme^Autostart^Logitech . Produktregistrierung.lnk]
path=c:\dokumente und einstellungen\Administrator\Startmenü\Programme\Autostart\Logitech . Produktregistrierung.lnk
backup=c:\windows\pss\Logitech . Produktregistrierung.lnkStartup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Acrobat - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Acrobat - Schnellstart.lnk
backup=c:\windows\pss\Adobe Acrobat - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk
backup=c:\windows\pss\Adobe Reader - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader Synchronizer.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk
backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^BTTray.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\BTTray.lnk
backup=c:\windows\pss\BTTray.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^PHOTOfunSTUDIO -viewer-.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\PHOTOfunSTUDIO -viewer-.lnk
backup=c:\windows\pss\PHOTOfunSTUDIO -viewer-.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VPN Client.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\VPN Client.lnk
backup=c:\windows\pss\VPN Client.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Wireless USB Control Center.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Wireless USB Control Center.lnk
backup=c:\windows\pss\Wireless USB Control Center.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"AntiVirService"=2 (0x2)
"AntiVirSchedulerService"=2 (0x2)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\CambridgeSoft\\ChemOffice2005\\ChemDraw\\ChemDraw.exe"=
"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Programme\\Google\\Google Talk\\googletalk.exe"=
"c:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\Kaspersky Lab Setup Files\\Kaspersky Internet Security 2009\\German\\setup.exe"=
"c:\\Programme\\TVAnts\\Tvants.exe"=
"c:\\Programme\\uusee\\UUSeePlayer.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Adobe\\CS4ServiceManager\\CS4ServiceManager.exe"=
"c:\\Programme\\CambridgeSoft\\ChemOffice2005\\Chem3D\\Chem3D.exe"=
"c:\\Programme\\PPStream\\PPStream.exe"=
"c:\\Programme\\PPStream\\PPSAP.exe"=
"c:\\Programme\\VideoLAN\\VLC\\vlc.exe"=
"c:\\Programme\\Zattoo\\zattood.exe"=
"c:\\Programme\\Zattoo\\Zattoo2.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5353:TCP"= 5353:TCP:Adobe CSI CS4

R1 TPPWRIF;TPPWRIF; [x]
R4 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [2009-04-28 108289]
S0 hotcore3;hotcore3;c:\windows\system32\drivers\hotcore3.sys [2007-11-06 39472]
S0 Shockprf;Shockprf;c:\windows\System32\DRIVERS\Apsx86.sys [2008-05-14 114728]
S0 TPDIGIMN;TPDIGIMN;c:\windows\System32\DRIVERS\ApsHM86.sys [2008-05-14 19496]
S1 ANC;ANC;c:\windows\system32\drivers\ANC.SYS [2008-08-15 11520]
S1 IBMTPCHK;IBMTPCHK;c:\windows\system32\Drivers\IBMBLDID.sys [2008-08-15 4224]
S1 lenovo.smi;Lenovo System Interface Driver;c:\windows\system32\DRIVERS\smiif32.sys [2008-05-12 13480]
S2 Power Manager DBC Service;Power Manager DBC Service;c:\programme\ThinkPad\Utilities\PWMDBSVC.exe [2008-09-25 94208]
S2 smihlp;SMI Helper Driver (smihlp);c:\programme\Gemeinsame Dateien\ThinkVantage Fingerprint Software\Drivers\smihlp.sys [2008-06-24 12560]


[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f16d3b92-c82f-11dd-a056-0013e8478ae5}]
\Shell\AutoRun\command - H:\LaunchU3.exe -a
.
Inhalt des "geplante Tasks" Ordners

2009-04-30 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-12-04 11:59]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
uInternet Connection Wizard,ShellNext = hxxp://www.winfuture.de/
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: An vorhandenes PDF anfügen - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Auswahl in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Auswahl in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Senden an &Bluetooth-Gerät... - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
IE: Senden an Bluetooth - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
IE: Verknüpfungsziel in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
TCP: {DB35D719-E31A-470B-B05B-C067DC58F210} = 134.147.222.4,134.147.32.40
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\r1e1nxga.default\
FF - prefs.js: browser.startup.homepage - www.google.de
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Picasa3\npPicasa3.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npSfAppM.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2009-04-30 16:48
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-1935655697-179605362-1801674531-500\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:76,a9,6a,b5,54,49,ac,53,d7,9d,d9,0b,9a,95,8e,de,b5,fb,1a,0f,34,3f,44,
   43,f7,33,bb,4d,26,fd,61,1e,9a,ac,54,67,00,ba,94,64,9a,3c,70,0a,7c,63,e5,46,\
"??"=hex:35,fc,c6,3d,c9,02,ad,db,37,1f,61,de,0f,33,8f,50
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1424)
c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\windows\system32\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll
c:\programme\ThinkVantage Fingerprint Software\homepass.dll
c:\programme\ThinkVantage Fingerprint Software\bio.dll
c:\programme\ThinkVantage Fingerprint Software\qlbase.dll
c:\programme\Lenovo\HOTKEY\tphklock.dll

- - - - - - - > 'lsass.exe'(1480)
c:\programme\ThinkPad\ConnectUtilities\ACGina.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACON.dll
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgr.dll
c:\programme\ThinkPad\ConnectUtilities\AcCryptHlpr.dll
c:\programme\ThinkPad\ConnectUtilities\ACTurinSupport.dll
c:\programme\ThinkPad\ConnectUtilities\AcSmBiosHelper.dll
c:\programme\ThinkPad\ConnectUtilities\AcAdaptersInfo.dll
c:\windows\system32\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll

- - - - - - - > 'explorer.exe'(7988)
c:\windows\TEMP\logishrd\LVPrcInj01.dll
c:\windows\system32\nview.dll
c:\windows\system32\NVWRSDE.DLL
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\programme\Intel\Wireless\Bin\S24EvMon.exe
c:\programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\programme\Bonjour\mDNSResponder.exe
c:\programme\Cisco Systems\VPN Client\cvpnd.exe
c:\programme\Intel\Wireless\Bin\EvtEng.exe
c:\programme\Canon\IJPLM\ijplmsvc.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
c:\programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Intel\Wireless\Bin\RegSrvc.exe
c:\programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
c:\windows\system32\TPHDEXLG.exe
c:\windows\system32\TpKmpSvc.exe
c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
c:\windows\system32\wdfmgr.exe
c:\programme\Lenovo\System Update\SUService.exe
c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe
c:\programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
c:\programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\system32\rundll32.exe
c:\windows\system32\rundll32.exe
c:\programme\Synaptics\SynTP\SynTPLpr.exe
c:\programme\Lenovo\HOTKEY\TPONSCR.exe
c:\programme\Lenovo\ZOOM\TpScrex.exe
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-30 16:51 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-30 14:51
ComboFix2.txt  2009-04-30 12:16
ComboFix3.txt  2009-03-06 00:59
ComboFix4.txt  2009-03-05 16:24
ComboFix5.txt  2009-04-30 14:44

Vor Suchlauf: 16 Verzeichnis(se), 38.819.078.144 Bytes frei
Nach Suchlauf: 15 Verzeichnis(se), 38.813.085.696 Bytes frei

Current=10 Default=10 Failed=9 LastKnownGood=11 Sets=1,2,3,4,5,6,7,8,9,10,11
313	--- E O F ---	2009-04-15 18:15

psychoaki · 30.04.2009, 16:15

das log file von silent runners ist zu lang um es hier zu posten, daher zum abschluss neues HiJack log:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:05:47, on 30.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\ibmpmsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
C:\WINDOWS\System32\TPHDEXLG.exe
C:\WINDOWS\system32\TpKmpSVC.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
C:\Programme\Lenovo\System Update\SUService.exe
C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Analog Devices\Core\smax4pnp.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\WINDOWS\system32\TpShocks.exe
C:\Programme\Lenovo\HOTKEY\TPONSCR.exe
C:\Programme\Lenovo\Zoom\TpScrex.exe
C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hyyp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hyyp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hyyp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hyyp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hyyp://www.winfuture.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [TVT Scheduler Proxy] C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
O4 - HKLM\..\Run: [TPHOTKEY] C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog
O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [ACTray] C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
O4 - HKLM\..\Run: [ACWLIcon] C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [TPFNF7] C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe /r
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hyyp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1226961314428
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hyyp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB35D719-E31A-470B-B05B-C067DC58F210}: NameServer = 134.147.222.4,134.147.32.40
O18 - Protocol: haufereader - (no CLSID) - (no file)
O20 - Winlogon Notify: ACNotify - ACNotify.dll (file missing)
O20 - Winlogon Notify: nnnmkJyV - C:\WINDOWS\
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft - C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: Ac Profile Manager Service (AcPrfMgrSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
O23 - Service: Access Connections Main Service (AcSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Power Manager DBC Service - Unknown owner - C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - C:\Programme\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINDOWS\System32\TPHDEXLG.exe
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe
O23 - Service: TVT Scheduler - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe

--
End of file - 12990 bytes

ist das system wieder ok, also sauber?
LG,
psychoaki

Chris4You · 30.04.2009, 20:10

Hi,

ein notify-eintrag muß noch raus, und einige files geprüft werden...
Da ist etwas, was mir nicht gefällt, TMP-Dateien mit der identischen Größe wie vitale Windowsdateien...unterschiedliche Zeitstempel...

Bitte folgende Files prüfen:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen!
(nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“
und suche folgende Datei/Dateien:

Code:

ATTFilter

c:\windows\system32\SET20.tmp
c:\windows\system32\wininet.dll
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\BIT45.tmp
c:\windows\system32\sc.exe
c:\windows\system32\SET8C.tmp
c:\windows\system32\psqlpwd.dll

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Also:
Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")

Code:

ATTFilter

registry keys to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nnnmkJyV

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

chris

psychoaki · 04.05.2009, 09:46

Hi,
danke für Deine Antwort. Bin jetzt wieder aus dem Kurzurlaub zurück. Hier kommen nacheinander die files...(es passt leider nicht alles in einen Beitrag, daher poste ich es einzelnd...)

wininet.dll

Code:

ATTFilter

Antivirus  	Version  	letzte aktualisierung  	Ergebnis
a-squared	4.0.0.101	2009.05.04	-
AhnLab-V3	5.0.0.2	2009.05.03	-
AntiVir	7.9.0.160	2009.05.04	-
Antiy-AVL	2.0.3.1	2009.04.30	-
Authentium	5.1.2.4	2009.05.03	-
Avast	4.8.1335.0	2009.05.03	-
AVG	8.5.0.327	2009.05.03	-
BitDefender	7.2	2009.05.04	-
CAT-QuickHeal	10.00	2009.05.04	-
ClamAV	0.94.1	2009.05.04	-
Comodo	1149	2009.05.03	-
DrWeb	4.44.0.09170	2009.05.04	-
eSafe	7.0.17.0	2009.05.03	-
eTrust-Vet	31.6.6487	2009.05.02	-
F-Prot	4.4.4.56	2009.05.03	-
F-Secure	8.0.14470.0	2009.05.04	-
Fortinet	3.117.0.0	2009.05.04	-
GData	19	2009.05.04	-
Ikarus	T3.1.1.49.0	2009.05.04	-
K7AntiVirus	7.10.722	2009.05.02	-
Kaspersky	7.0.0.125	2009.05.04	-
McAfee	5604	2009.05.03	-
McAfee+Artemis	5604	2009.05.03	-
McAfee-GW-Edition	6.7.6	2009.05.04	-
Microsoft	1.4602	2009.05.04	-
NOD32	4050	2009.05.03	-
Norman	6.01.05	2009.04.30	-
nProtect	2009.1.8.0	2009.05.04	-
Panda	10.0.0.14	2009.05.03	-
PCTools	4.4.2.0	2009.05.03	-
Prevx1	3.0	2009.05.04	-
Rising	21.28.01.00	2009.05.04	-
Sophos	4.41.0	2009.05.04	-
Sunbelt	3.2.1858.2	2009.05.03	-
Symantec	1.4.4.12	2009.05.04	-
TheHacker	6.3.4.1.318	2009.05.03	-
TrendMicro	8.950.0.1092	2009.05.04	-
VBA32	3.12.10.4	2009.05.04	-
ViRobot	2009.5.4.1718	2009.05.04	-
VirusBuster	4.6.5.0	2009.05.03	-
weitere Informationen
File size: 826368 bytes
MD5...: 9f434e15a82d1322fb6860e317783e57
SHA1..: b56b644bca830632069c0bb6531d86f36398b9c5
SHA256: a9418499ed4b920eb4ea86be92a2bc0a7b0f1c6b65b0e804110e0e519f534f34
SHA512: 5ef42264e399786c63467e2a575061c41508c934f564aea3d70ed5b7ae1c96bd
e07b46c0076bbb3d3ced07849aa3fbd2a80af8a0ba788f95121233bf1cd501e3
ssdeep: 12288:ZySFDWc1uR1UKPeoWb6pCnew9OmaoSksjVZpBVpbgkMMIMMutuElREJ:9i
c1A2K1xQxaoKp1bgkMMIMMurE
PEiD..: -
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1784
timedatestamp.....: 0x49ac73d6 (Tue Mar 03 00:03:34 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x9b1d0 0x9b200 6.60 e518d72b4d5f0559bb1c8ad8c990a725
.data 0x9d000 0x7780 0x4000 1.45 dd1e746927d46d06478b2f58a489cad4
.rsrc 0xa5000 0x24d50 0x24e00 4.73 a29bddfdfb84eb391b8d682a438e1186
.reloc 0xca000 0x568c 0x5800 6.72 c7657d7c60a35008d68c35003acb6da5

( 8 imports )
> msvcrt.dll: _isatty, _write, _lseeki64, _fileno, __pioinfo, __badioinfo, wctomb, _itoa, _snprintf, _iob, isleadbyte, _onexit, _lock, __dllonexit, _unlock, _adjust_fdiv, _amsg_exit, _initterm, _XcptFilter, islower, __isascii, strtol, memmove, strrchr, atoi, realloc, free, malloc, wcstok, _vsnprintf, memcpy, memset, _vsnwprintf, wcsncmp, bsearch, _wcsnicmp, _wtoi, _wcsicmp, isupper, strncmp, wcsstr, _purecall, _mbstok, iscntrl, ispunct, strtoul, time, iswdigit, isalpha, atol, isalnum, _errno, isspace, strpbrk, isdigit, isxdigit, memchr
> ntdll.dll: RtlConvertSidToUnicodeString, RtlUnwind, RtlMoveMemory
> SHLWAPI.dll: SHRegGetValueW, PathAddBackslashW, -, SHRegGetValueA, StrRChrW, PathRemoveBackslashA, PathRemoveFileSpecA, -, PathRemoveBlanksA, PathAddBackslashA, -, PathAppendA, -, PathUnExpandEnvStringsA, PathRenameExtensionA, SHDeleteKeyA, SHDeleteValueW, StrCmpNIW, StrCmpNIA, StrStrA, -, StrChrW, StrChrA, -, -, UrlCombineW, UrlCanonicalizeW, -, PathCreateFromUrlW, UrlUnescapeA, UrlCombineA, UrlCanonicalizeA, StrToIntW, StrCmpW, StrCmpNA, StrRChrA, StrToIntA, StrStrIW, SHGetValueA, SHSetValueA, SHGetValueW, SHSetValueW, -, -, PathCombineW, PathFindFileNameW, StrStrIA
> ADVAPI32.dll: RegDeleteKeyA, RegCreateKeyExW, RegDeleteValueW, RegSetValueExW, RegQueryValueExW, CryptAcquireContextA, CryptGenRandom, CryptReleaseContext, RegOpenKeyA, RegEnumKeyA, TraceEvent, DuplicateTokenEx, ConvertStringSidToSidA, GetLengthSid, SetTokenInformation, CreateProcessAsUserA, ConvertStringSecurityDescriptorToSecurityDescriptorA, GetSidSubAuthorityCount, GetSidSubAuthority, AllocateAndInitializeSid, CheckTokenMembership, FreeSid, RegDeleteValueA, OpenThreadToken, OpenProcessToken, GetTokenInformation, RegOpenKeyExW, UnregisterTraceGuids, RegisterTraceGuidsA, RegQueryInfoKeyW, GetTraceLoggerHandle, GetTraceEnableLevel, GetTraceEnableFlags, RegCreateKeyExA, RegSetValueExA, RegOpenKeyExA, RegQueryValueExA, RegQueryInfoKeyA, RegEnumKeyExA, RegCloseKey, GetUserNameA, OpenSCManagerA, OpenServiceA, CloseServiceHandle, QueryServiceStatus
> KERNEL32.dll: DosDateTimeToFileTime, GetEnvironmentVariableA, GetShortPathNameA, GetShortPathNameW, FindFirstFileA, RemoveDirectoryA, FindNextFileA, FindClose, GetDiskFreeSpaceExA, CopyFileA, SetFileTime, CreateDirectoryA, GetWindowsDirectoryA, GetSystemDirectoryA, GetPrivateProfileStringA, GetFileAttributesA, SetFileAttributesA, GetFileAttributesExA, FileTimeToDosDateTime, GetFileSizeEx, lstrcmpW, RaiseException, MoveFileExA, MoveFileA, LocalFileTimeToFileTime, CreateSemaphoreA, ReleaseSemaphore, GetCurrentProcessId, GetFileTime, lstrcmpA, GetModuleHandleExA, ResumeThread, FreeLibraryAndExitThread, ExpandEnvironmentStringsA, GetSystemTimeAsFileTime, DeleteFileW, GetACP, InterlockedExchangeAdd, CreateThread, Sleep, OpenMutexA, GetModuleHandleA, FormatMessageA, SetErrorMode, FlushViewOfFile, SystemTimeToFileTime, GetTickCount, TlsFree, TlsGetValue, GetCurrentThreadId, TlsSetValue, TlsAlloc, GetDateFormatA, GetTimeFormatA, GlobalAlloc, InterlockedCompareExchange, GetCurrentThread, GetCurrentProcess, IsDBCSLeadByte, IsValidCodePage, GlobalFree, lstrlenW, DeleteFileA, FormatMessageW, GetSystemTime, WritePrivateProfileStringA, GetVersionExA, GetModuleFileNameA, WriteFile, SetFilePointer, CreateFileW, CreateFileA, GetFileSize, ReadFile, FileTimeToSystemTime, LocalReAlloc, InitializeCriticalSection, InterlockedDecrement, lstrlenA, lstrcmpiA, InterlockedIncrement, DeleteCriticalSection, ResetEvent, LocalFree, ReleaseMutex, CompareStringA, CreateMutexA, CreateEventA, MultiByteToWideChar, WideCharToMultiByte, WaitForSingleObject, OutputDebugStringA, UnmapViewOfFile, SetEndOfFile, MapViewOfFileEx, CreateFileMappingA, OpenFileMappingA, LoadLibraryW, HeapFree, HeapAlloc, GetProcessHeap, GetTimeFormatW, GetDateFormatW, GetUserDefaultLCID, GetModuleFileNameW, GetComputerNameA, LoadResource, FindResourceExW, LocalAlloc, LoadLibraryExW, MapViewOfFile, CreateFileMappingW, GetLocaleInfoW, GetVersionExW, GetSystemDefaultUILanguage, GetUserDefaultUILanguage, FindResourceW, SearchPathW, CreateActCtxW, ReleaseActCtx, ActivateActCtx, DeactivateActCtx, SetFileAttributesW, InitializeCriticalSectionAndSpinCount, WritePrivateProfileStringW, GetFileAttributesW, GetModuleHandleW, GlobalUnlock, GlobalLock, QueryPerformanceCounter, TerminateProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDBCSLeadByteEx, GetProcAddress, LoadLibraryA, FreeLibrary, SetEvent, InterlockedExchange, CloseHandle, GetLastError, SetLastError, EnterCriticalSection, LeaveCriticalSection, CompareStringW
> USER32.dll: CheckDlgButton, SendMessageW, SendMessageA, IsDlgButtonChecked, DefWindowProcA, SetWindowLongA, GetWindowLongA, RegisterClassW, CreateWindowExW, SetTimer, GetWindowTextW, MessageBoxW, CharNextA, GetWindowInfo, CharToOemA, CharUpperA, CharLowerW, IsCharAlphaNumericA, GetWindowThreadProcessId, EnumChildWindows, IsWindowVisible, GetAncestor, EnumWindows, CharNextExA, PostMessageA, IsWindow, SetWindowPos, SetDlgItemTextW, DestroyIcon, SetForegroundWindow, GetWindow, GetWindowRect, EqualRect, IntersectRect, EndDialog, SetFocus, GetDlgItem, SetWindowTextW, EnableWindow, KillTimer, FindWindowW, RegisterWindowMessageW, PostMessageW, DestroyWindow, LoadStringW, DialogBoxParamW, GetDesktopWindow, SendDlgItemMessageA, LoadIconA, LoadImageA, LoadStringA, CharLowerA
> Normaliz.dll: IdnToUnicode, IdnToAscii
> iertutil.dll: -, -, -, -

( 229 exports )
CommitUrlCacheEntryA, CommitUrlCacheEntryW, CreateMD5SSOHash, CreateUrlCacheContainerA, CreateUrlCacheContainerW, CreateUrlCacheEntryA, CreateUrlCacheEntryW, CreateUrlCacheGroup, DeleteIE3Cache, DeleteUrlCacheContainerA, DeleteUrlCacheContainerW, DeleteUrlCacheEntry, DeleteUrlCacheEntryA, DeleteUrlCacheEntryW, DeleteUrlCacheGroup, DetectAutoProxyUrl, DispatchAPICall, DllInstall, FindCloseUrlCache, FindFirstUrlCacheContainerA, FindFirstUrlCacheContainerW, FindFirstUrlCacheEntryA, FindFirstUrlCacheEntryExA, FindFirstUrlCacheEntryExW, FindFirstUrlCacheEntryW, FindFirstUrlCacheGroup, FindNextUrlCacheContainerA, FindNextUrlCacheContainerW, FindNextUrlCacheEntryA, FindNextUrlCacheEntryExA, FindNextUrlCacheEntryExW, FindNextUrlCacheEntryW, FindNextUrlCacheGroup, ForceNexusLookup, ForceNexusLookupExW, FreeUrlCacheSpaceA, FreeUrlCacheSpaceW, FtpCommandA, FtpCommandW, FtpCreateDirectoryA, FtpCreateDirectoryW, FtpDeleteFileA, FtpDeleteFileW, FtpFindFirstFileA, FtpFindFirstFileW, FtpGetCurrentDirectoryA, FtpGetCurrentDirectoryW, FtpGetFileA, FtpGetFileEx, FtpGetFileSize, FtpGetFileW, FtpOpenFileA, FtpOpenFileW, FtpPutFileA, FtpPutFileEx, FtpPutFileW, FtpRemoveDirectoryA, FtpRemoveDirectoryW, FtpRenameFileA, FtpRenameFileW, FtpSetCurrentDirectoryA, FtpSetCurrentDirectoryW, GetUrlCacheConfigInfoA, GetUrlCacheConfigInfoW, GetUrlCacheEntryInfoA, GetUrlCacheEntryInfoExA, GetUrlCacheEntryInfoExW, GetUrlCacheEntryInfoW, GetUrlCacheGroupAttributeA, GetUrlCacheGroupAttributeW, GetUrlCacheHeaderData, GopherCreateLocatorA, GopherCreateLocatorW, GopherFindFirstFileA, GopherFindFirstFileW, GopherGetAttributeA, GopherGetAttributeW, GopherGetLocatorTypeA, GopherGetLocatorTypeW, GopherOpenFileA, GopherOpenFileW, HttpAddRequestHeadersA, HttpAddRequestHeadersW, HttpCheckDavCompliance, HttpEndRequestA, HttpEndRequestW, HttpOpenRequestA, HttpOpenRequestW, HttpQueryInfoA, HttpQueryInfoW, HttpSendRequestA, HttpSendRequestExA, HttpSendRequestExW, HttpSendRequestW, IncrementUrlCacheHeaderData, InternetAlgIdToStringA, InternetAlgIdToStringW, InternetAttemptConnect, InternetAutodial, InternetAutodialCallback, InternetAutodialHangup, InternetCanonicalizeUrlA, InternetCanonicalizeUrlW, InternetCheckConnectionA, InternetCheckConnectionW, InternetClearAllPerSiteCookieDecisions, InternetCloseHandle, InternetCombineUrlA, InternetCombineUrlW, InternetConfirmZoneCrossing, InternetConfirmZoneCrossingA, InternetConfirmZoneCrossingW, InternetConnectA, InternetConnectW, InternetCrackUrlA, InternetCrackUrlW, InternetCreateUrlA, InternetCreateUrlW, InternetDial, InternetDialA, InternetDialW, InternetEnumPerSiteCookieDecisionA, InternetEnumPerSiteCookieDecisionW, InternetErrorDlg, InternetFindNextFileA, InternetFindNextFileW, InternetFortezzaCommand, InternetGetCertByURL, InternetGetCertByURLA, InternetGetConnectedState, InternetGetConnectedStateEx, InternetGetConnectedStateExA, InternetGetConnectedStateExW, InternetGetCookieA, InternetGetCookieExA, InternetGetCookieExW, InternetGetCookieW, InternetGetLastResponseInfoA, InternetGetLastResponseInfoW, InternetGetPerSiteCookieDecisionA, InternetGetPerSiteCookieDecisionW, InternetGetSecurityInfoByURL, InternetGetSecurityInfoByURLA, InternetGetSecurityInfoByURLW, InternetGoOnline, InternetGoOnlineA, InternetGoOnlineW, InternetHangUp, InternetInitializeAutoProxyDll, InternetLockRequestFile, InternetOpenA, InternetOpenUrlA, InternetOpenUrlW, InternetOpenW, InternetQueryDataAvailable, InternetQueryFortezzaStatus, InternetQueryOptionA, InternetQueryOptionW, InternetReadFile, InternetReadFileExA, InternetReadFileExW, InternetSecurityProtocolToStringA, InternetSecurityProtocolToStringW, InternetSetCookieA, InternetSetCookieExA, InternetSetCookieExW, InternetSetCookieW, InternetSetDialState, InternetSetDialStateA, InternetSetDialStateW, InternetSetFilePointer, InternetSetOptionA, InternetSetOptionExA, InternetSetOptionExW, InternetSetOptionW, InternetSetPerSiteCookieDecisionA, InternetSetPerSiteCookieDecisionW, InternetSetStatusCallback, InternetSetStatusCallbackA, InternetSetStatusCallbackW, InternetShowSecurityInfoByURL, InternetShowSecurityInfoByURLA, InternetShowSecurityInfoByURLW, InternetTimeFromSystemTime, InternetTimeFromSystemTimeA, InternetTimeFromSystemTimeW, InternetTimeToSystemTime, InternetTimeToSystemTimeA, InternetTimeToSystemTimeW, InternetUnlockRequestFile, InternetWriteFile, InternetWriteFileExA, InternetWriteFileExW, IsHostInProxyBypassList, IsUrlCacheEntryExpiredA, IsUrlCacheEntryExpiredW, LoadUrlCacheContent, ParseX509EncodedCertificateForListBoxEntry, PrivacyGetZonePreferenceW, PrivacySetZonePreferenceW, ReadUrlCacheEntryStream, RegisterUrlCacheNotification, ResumeSuspendedDownload, RetrieveUrlCacheEntryFileA, RetrieveUrlCacheEntryFileW, RetrieveUrlCacheEntryStreamA, RetrieveUrlCacheEntryStreamW, RunOnceUrlCache, SetUrlCacheConfigInfoA, SetUrlCacheConfigInfoW, SetUrlCacheEntryGroup, SetUrlCacheEntryGroupA, SetUrlCacheEntryGroupW, SetUrlCacheEntryInfoA, SetUrlCacheEntryInfoW, SetUrlCacheGroupAttributeA, SetUrlCacheGroupAttributeW, SetUrlCacheHeaderData, ShowCertificate, ShowClientAuthCerts, ShowSecurityInfo, ShowX509EncodedCertificate, UnlockUrlCacheEntryFile, UnlockUrlCacheEntryFileA, UnlockUrlCacheEntryFileW, UnlockUrlCacheEntryStream, UpdateUrlCacheContentPath, UrlZonesDetach, _GetFileExtensionFromUrl
PDFiD.: -
RDS...: NSRL Reference Data Set

psychoaki · 04.05.2009, 09:52

SET20.tmp

Code:

ATTFilter

a-squared	4.0.0.101	2009.05.04	-
AhnLab-V3	5.0.0.2	2009.05.03	-
AntiVir	7.9.0.160	2009.05.04	-
Antiy-AVL	2.0.3.1	2009.04.30	-
Authentium	5.1.2.4	2009.05.03	-
Avast	4.8.1335.0	2009.05.03	-
AVG	8.5.0.327	2009.05.03	-
BitDefender	7.2	2009.05.04	-
CAT-QuickHeal	10.00	2009.05.04	-
ClamAV	0.94.1	2009.05.04	-
Comodo	1149	2009.05.03	-
DrWeb	4.44.0.09170	2009.05.04	-
eSafe	7.0.17.0	2009.05.03	-
eTrust-Vet	31.6.6487	2009.05.02	-
F-Prot	4.4.4.56	2009.05.03	-
F-Secure	8.0.14470.0	2009.05.04	-
Fortinet	3.117.0.0	2009.05.04	-
GData	19	2009.05.04	-
Ikarus	T3.1.1.49.0	2009.05.04	-
K7AntiVirus	7.10.722	2009.05.02	-
Kaspersky	7.0.0.125	2009.05.04	-
McAfee	5604	2009.05.03	-
McAfee+Artemis	5604	2009.05.03	-
McAfee-GW-Edition	6.7.6	2009.05.04	-
Microsoft	1.4602	2009.05.04	-
NOD32	4050	2009.05.03	-
Norman	6.01.05	2009.04.30	-
nProtect	2009.1.8.0	2009.05.04	-
Panda	10.0.0.14	2009.05.03	-
PCTools	4.4.2.0	2009.05.03	-
Prevx1	3.0	2009.05.04	-
Rising	21.28.01.00	2009.05.04	-
Sophos	4.41.0	2009.05.04	-
Sunbelt	3.2.1858.2	2009.05.03	-
Symantec	1.4.4.12	2009.05.04	-
TheHacker	6.3.4.1.318	2009.05.03	-
TrendMicro	8.950.0.1092	2009.05.04	-
VBA32	3.12.10.4	2009.05.04	-
ViRobot	2009.5.4.1718	2009.05.04	-
VirusBuster	4.6.5.0	2009.05.03	-
weitere Informationen
File size: 826368 bytes
MD5...: 9f434e15a82d1322fb6860e317783e57
SHA1..: b56b644bca830632069c0bb6531d86f36398b9c5
SHA256: a9418499ed4b920eb4ea86be92a2bc0a7b0f1c6b65b0e804110e0e519f534f34
SHA512: 5ef42264e399786c63467e2a575061c41508c934f564aea3d70ed5b7ae1c96bd
e07b46c0076bbb3d3ced07849aa3fbd2a80af8a0ba788f95121233bf1cd501e3
ssdeep: 12288:ZySFDWc1uR1UKPeoWb6pCnew9OmaoSksjVZpBVpbgkMMIMMutuElREJ:9i
c1A2K1xQxaoKp1bgkMMIMMurE
PEiD..: -
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1784
timedatestamp.....: 0x49ac73d6 (Tue Mar 03 00:03:34 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x9b1d0 0x9b200 6.60 e518d72b4d5f0559bb1c8ad8c990a725
.data 0x9d000 0x7780 0x4000 1.45 dd1e746927d46d06478b2f58a489cad4
.rsrc 0xa5000 0x24d50 0x24e00 4.73 a29bddfdfb84eb391b8d682a438e1186
.reloc 0xca000 0x568c 0x5800 6.72 c7657d7c60a35008d68c35003acb6da5

( 8 imports )
> msvcrt.dll: _isatty, _write, _lseeki64, _fileno, __pioinfo, __badioinfo, wctomb, _itoa, _snprintf, _iob, isleadbyte, _onexit, _lock, __dllonexit, _unlock, _adjust_fdiv, _amsg_exit, _initterm, _XcptFilter, islower, __isascii, strtol, memmove, strrchr, atoi, realloc, free, malloc, wcstok, _vsnprintf, memcpy, memset, _vsnwprintf, wcsncmp, bsearch, _wcsnicmp, _wtoi, _wcsicmp, isupper, strncmp, wcsstr, _purecall, _mbstok, iscntrl, ispunct, strtoul, time, iswdigit, isalpha, atol, isalnum, _errno, isspace, strpbrk, isdigit, isxdigit, memchr
> ntdll.dll: RtlConvertSidToUnicodeString, RtlUnwind, RtlMoveMemory
> SHLWAPI.dll: SHRegGetValueW, PathAddBackslashW, -, SHRegGetValueA, StrRChrW, PathRemoveBackslashA, PathRemoveFileSpecA, -, PathRemoveBlanksA, PathAddBackslashA, -, PathAppendA, -, PathUnExpandEnvStringsA, PathRenameExtensionA, SHDeleteKeyA, SHDeleteValueW, StrCmpNIW, StrCmpNIA, StrStrA, -, StrChrW, StrChrA, -, -, UrlCombineW, UrlCanonicalizeW, -, PathCreateFromUrlW, UrlUnescapeA, UrlCombineA, UrlCanonicalizeA, StrToIntW, StrCmpW, StrCmpNA, StrRChrA, StrToIntA, StrStrIW, SHGetValueA, SHSetValueA, SHGetValueW, SHSetValueW, -, -, PathCombineW, PathFindFileNameW, StrStrIA
> ADVAPI32.dll: RegDeleteKeyA, RegCreateKeyExW, RegDeleteValueW, RegSetValueExW, RegQueryValueExW, CryptAcquireContextA, CryptGenRandom, CryptReleaseContext, RegOpenKeyA, RegEnumKeyA, TraceEvent, DuplicateTokenEx, ConvertStringSidToSidA, GetLengthSid, SetTokenInformation, CreateProcessAsUserA, ConvertStringSecurityDescriptorToSecurityDescriptorA, GetSidSubAuthorityCount, GetSidSubAuthority, AllocateAndInitializeSid, CheckTokenMembership, FreeSid, RegDeleteValueA, OpenThreadToken, OpenProcessToken, GetTokenInformation, RegOpenKeyExW, UnregisterTraceGuids, RegisterTraceGuidsA, RegQueryInfoKeyW, GetTraceLoggerHandle, GetTraceEnableLevel, GetTraceEnableFlags, RegCreateKeyExA, RegSetValueExA, RegOpenKeyExA, RegQueryValueExA, RegQueryInfoKeyA, RegEnumKeyExA, RegCloseKey, GetUserNameA, OpenSCManagerA, OpenServiceA, CloseServiceHandle, QueryServiceStatus
> KERNEL32.dll: DosDateTimeToFileTime, GetEnvironmentVariableA, GetShortPathNameA, GetShortPathNameW, FindFirstFileA, RemoveDirectoryA, FindNextFileA, FindClose, GetDiskFreeSpaceExA, CopyFileA, SetFileTime, CreateDirectoryA, GetWindowsDirectoryA, GetSystemDirectoryA, GetPrivateProfileStringA, GetFileAttributesA, SetFileAttributesA, GetFileAttributesExA, FileTimeToDosDateTime, GetFileSizeEx, lstrcmpW, RaiseException, MoveFileExA, MoveFileA, LocalFileTimeToFileTime, CreateSemaphoreA, ReleaseSemaphore, GetCurrentProcessId, GetFileTime, lstrcmpA, GetModuleHandleExA, ResumeThread, FreeLibraryAndExitThread, ExpandEnvironmentStringsA, GetSystemTimeAsFileTime, DeleteFileW, GetACP, InterlockedExchangeAdd, CreateThread, Sleep, OpenMutexA, GetModuleHandleA, FormatMessageA, SetErrorMode, FlushViewOfFile, SystemTimeToFileTime, GetTickCount, TlsFree, TlsGetValue, GetCurrentThreadId, TlsSetValue, TlsAlloc, GetDateFormatA, GetTimeFormatA, GlobalAlloc, InterlockedCompareExchange, GetCurrentThread, GetCurrentProcess, IsDBCSLeadByte, IsValidCodePage, GlobalFree, lstrlenW, DeleteFileA, FormatMessageW, GetSystemTime, WritePrivateProfileStringA, GetVersionExA, GetModuleFileNameA, WriteFile, SetFilePointer, CreateFileW, CreateFileA, GetFileSize, ReadFile, FileTimeToSystemTime, LocalReAlloc, InitializeCriticalSection, InterlockedDecrement, lstrlenA, lstrcmpiA, InterlockedIncrement, DeleteCriticalSection, ResetEvent, LocalFree, ReleaseMutex, CompareStringA, CreateMutexA, CreateEventA, MultiByteToWideChar, WideCharToMultiByte, WaitForSingleObject, OutputDebugStringA, UnmapViewOfFile, SetEndOfFile, MapViewOfFileEx, CreateFileMappingA, OpenFileMappingA, LoadLibraryW, HeapFree, HeapAlloc, GetProcessHeap, GetTimeFormatW, GetDateFormatW, GetUserDefaultLCID, GetModuleFileNameW, GetComputerNameA, LoadResource, FindResourceExW, LocalAlloc, LoadLibraryExW, MapViewOfFile, CreateFileMappingW, GetLocaleInfoW, GetVersionExW, GetSystemDefaultUILanguage, GetUserDefaultUILanguage, FindResourceW, SearchPathW, CreateActCtxW, ReleaseActCtx, ActivateActCtx, DeactivateActCtx, SetFileAttributesW, InitializeCriticalSectionAndSpinCount, WritePrivateProfileStringW, GetFileAttributesW, GetModuleHandleW, GlobalUnlock, GlobalLock, QueryPerformanceCounter, TerminateProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDBCSLeadByteEx, GetProcAddress, LoadLibraryA, FreeLibrary, SetEvent, InterlockedExchange, CloseHandle, GetLastError, SetLastError, EnterCriticalSection, LeaveCriticalSection, CompareStringW
> USER32.dll: CheckDlgButton, SendMessageW, SendMessageA, IsDlgButtonChecked, DefWindowProcA, SetWindowLongA, GetWindowLongA, RegisterClassW, CreateWindowExW, SetTimer, GetWindowTextW, MessageBoxW, CharNextA, GetWindowInfo, CharToOemA, CharUpperA, CharLowerW, IsCharAlphaNumericA, GetWindowThreadProcessId, EnumChildWindows, IsWindowVisible, GetAncestor, EnumWindows, CharNextExA, PostMessageA, IsWindow, SetWindowPos, SetDlgItemTextW, DestroyIcon, SetForegroundWindow, GetWindow, GetWindowRect, EqualRect, IntersectRect, EndDialog, SetFocus, GetDlgItem, SetWindowTextW, EnableWindow, KillTimer, FindWindowW, RegisterWindowMessageW, PostMessageW, DestroyWindow, LoadStringW, DialogBoxParamW, GetDesktopWindow, SendDlgItemMessageA, LoadIconA, LoadImageA, LoadStringA, CharLowerA
> Normaliz.dll: IdnToUnicode, IdnToAscii
> iertutil.dll: -, -, -, -

( 229 exports )
CommitUrlCacheEntryA, CommitUrlCacheEntryW, CreateMD5SSOHash, CreateUrlCacheContainerA, CreateUrlCacheContainerW, CreateUrlCacheEntryA, CreateUrlCacheEntryW, CreateUrlCacheGroup, DeleteIE3Cache, DeleteUrlCacheContainerA, DeleteUrlCacheContainerW, DeleteUrlCacheEntry, DeleteUrlCacheEntryA, DeleteUrlCacheEntryW, DeleteUrlCacheGroup, DetectAutoProxyUrl, DispatchAPICall, DllInstall, FindCloseUrlCache, FindFirstUrlCacheContainerA, FindFirstUrlCacheContainerW, FindFirstUrlCacheEntryA, FindFirstUrlCacheEntryExA, FindFirstUrlCacheEntryExW, FindFirstUrlCacheEntryW, FindFirstUrlCacheGroup, FindNextUrlCacheContainerA, FindNextUrlCacheContainerW, FindNextUrlCacheEntryA, FindNextUrlCacheEntryExA, FindNextUrlCacheEntryExW, FindNextUrlCacheEntryW, FindNextUrlCacheGroup, ForceNexusLookup, ForceNexusLookupExW, FreeUrlCacheSpaceA, FreeUrlCacheSpaceW, FtpCommandA, FtpCommandW, FtpCreateDirectoryA, FtpCreateDirectoryW, FtpDeleteFileA, FtpDeleteFileW, FtpFindFirstFileA, FtpFindFirstFileW, FtpGetCurrentDirectoryA, FtpGetCurrentDirectoryW, FtpGetFileA, FtpGetFileEx, FtpGetFileSize, FtpGetFileW, FtpOpenFileA, FtpOpenFileW, FtpPutFileA, FtpPutFileEx, FtpPutFileW, FtpRemoveDirectoryA, FtpRemoveDirectoryW, FtpRenameFileA, FtpRenameFileW, FtpSetCurrentDirectoryA, FtpSetCurrentDirectoryW, GetUrlCacheConfigInfoA, GetUrlCacheConfigInfoW, GetUrlCacheEntryInfoA, GetUrlCacheEntryInfoExA, GetUrlCacheEntryInfoExW, GetUrlCacheEntryInfoW, GetUrlCacheGroupAttributeA, GetUrlCacheGroupAttributeW, GetUrlCacheHeaderData, GopherCreateLocatorA, GopherCreateLocatorW, GopherFindFirstFileA, GopherFindFirstFileW, GopherGetAttributeA, GopherGetAttributeW, GopherGetLocatorTypeA, GopherGetLocatorTypeW, GopherOpenFileA, GopherOpenFileW, HttpAddRequestHeadersA, HttpAddRequestHeadersW, HttpCheckDavCompliance, HttpEndRequestA, HttpEndRequestW, HttpOpenRequestA, HttpOpenRequestW, HttpQueryInfoA, HttpQueryInfoW, HttpSendRequestA, HttpSendRequestExA, HttpSendRequestExW, HttpSendRequestW, IncrementUrlCacheHeaderData, InternetAlgIdToStringA, InternetAlgIdToStringW, InternetAttemptConnect, InternetAutodial, InternetAutodialCallback, InternetAutodialHangup, InternetCanonicalizeUrlA, InternetCanonicalizeUrlW, InternetCheckConnectionA, InternetCheckConnectionW, InternetClearAllPerSiteCookieDecisions, InternetCloseHandle, InternetCombineUrlA, InternetCombineUrlW, InternetConfirmZoneCrossing, InternetConfirmZoneCrossingA, InternetConfirmZoneCrossingW, InternetConnectA, InternetConnectW, InternetCrackUrlA, InternetCrackUrlW, InternetCreateUrlA, InternetCreateUrlW, InternetDial, InternetDialA, InternetDialW, InternetEnumPerSiteCookieDecisionA, InternetEnumPerSiteCookieDecisionW, InternetErrorDlg, InternetFindNextFileA, InternetFindNextFileW, InternetFortezzaCommand, InternetGetCertByURL, InternetGetCertByURLA, InternetGetConnectedState, InternetGetConnectedStateEx, InternetGetConnectedStateExA, InternetGetConnectedStateExW, InternetGetCookieA, InternetGetCookieExA, InternetGetCookieExW, InternetGetCookieW, InternetGetLastResponseInfoA, InternetGetLastResponseInfoW, InternetGetPerSiteCookieDecisionA, InternetGetPerSiteCookieDecisionW, InternetGetSecurityInfoByURL, InternetGetSecurityInfoByURLA, InternetGetSecurityInfoByURLW, InternetGoOnline, InternetGoOnlineA, InternetGoOnlineW, InternetHangUp, InternetInitializeAutoProxyDll, InternetLockRequestFile, InternetOpenA, InternetOpenUrlA, InternetOpenUrlW, InternetOpenW, InternetQueryDataAvailable, InternetQueryFortezzaStatus, InternetQueryOptionA, InternetQueryOptionW, InternetReadFile, InternetReadFileExA, InternetReadFileExW, InternetSecurityProtocolToStringA, InternetSecurityProtocolToStringW, InternetSetCookieA, InternetSetCookieExA, InternetSetCookieExW, InternetSetCookieW, InternetSetDialState, InternetSetDialStateA, InternetSetDialStateW, InternetSetFilePointer, InternetSetOptionA, InternetSetOptionExA, InternetSetOptionExW, InternetSetOptionW, InternetSetPerSiteCookieDecisionA, InternetSetPerSiteCookieDecisionW, InternetSetStatusCallback, InternetSetStatusCallbackA, InternetSetStatusCallbackW, InternetShowSecurityInfoByURL, InternetShowSecurityInfoByURLA, InternetShowSecurityInfoByURLW, InternetTimeFromSystemTime, InternetTimeFromSystemTimeA, InternetTimeFromSystemTimeW, InternetTimeToSystemTime, InternetTimeToSystemTimeA, InternetTimeToSystemTimeW, InternetUnlockRequestFile, InternetWriteFile, InternetWriteFileExA, InternetWriteFileExW, IsHostInProxyBypassList, IsUrlCacheEntryExpiredA, IsUrlCacheEntryExpiredW, LoadUrlCacheContent, ParseX509EncodedCertificateForListBoxEntry, PrivacyGetZonePreferenceW, PrivacySetZonePreferenceW, ReadUrlCacheEntryStream, RegisterUrlCacheNotification, ResumeSuspendedDownload, RetrieveUrlCacheEntryFileA, RetrieveUrlCacheEntryFileW, RetrieveUrlCacheEntryStreamA, RetrieveUrlCacheEntryStreamW, RunOnceUrlCache, SetUrlCacheConfigInfoA, SetUrlCacheConfigInfoW, SetUrlCacheEntryGroup, SetUrlCacheEntryGroupA, SetUrlCacheEntryGroupW, SetUrlCacheEntryInfoA, SetUrlCacheEntryInfoW, SetUrlCacheGroupAttributeA, SetUrlCacheGroupAttributeW, SetUrlCacheHeaderData, ShowCertificate, ShowClientAuthCerts, ShowSecurityInfo, ShowX509EncodedCertificate, UnlockUrlCacheEntryFile, UnlockUrlCacheEntryFileA, UnlockUrlCacheEntryFileW, UnlockUrlCacheEntryStream, UpdateUrlCacheContentPath, UrlZonesDetach, _GetFileExtensionFromUrl
PDFiD.: -
RDS...: NSRL Reference Data Set

sc.exe

Code:

ATTFilter

Antivirus  	Version  	letzte aktualisierung  	Ergebnis
a-squared	4.0.0.101	2009.05.04	-
AhnLab-V3	5.0.0.2	2009.05.03	-
AntiVir	7.9.0.160	2009.05.04	-
Antiy-AVL	2.0.3.1	2009.04.30	-
Authentium	5.1.2.4	2009.05.03	-
Avast	4.8.1335.0	2009.05.03	-
AVG	8.5.0.327	2009.05.03	-
BitDefender	7.2	2009.05.04	-
CAT-QuickHeal	10.00	2009.05.04	-
ClamAV	0.94.1	2009.05.04	-
Comodo	1149	2009.05.03	-
DrWeb	4.44.0.09170	2009.05.04	-
eSafe	7.0.17.0	2009.05.03	-
eTrust-Vet	31.6.6487	2009.05.02	-
F-Prot	4.4.4.56	2009.05.03	-
F-Secure	8.0.14470.0	2009.05.04	-
Fortinet	3.117.0.0	2009.05.04	-
GData	19	2009.05.04	-
Ikarus	T3.1.1.49.0	2009.05.04	-
K7AntiVirus	7.10.722	2009.05.02	-
Kaspersky	7.0.0.125	2009.05.04	-
McAfee	5604	2009.05.03	-
McAfee+Artemis	5604	2009.05.03	-
McAfee-GW-Edition	6.7.6	2009.05.04	-
Microsoft	1.4602	2009.05.04	-
NOD32	4050	2009.05.03	-
Norman	6.01.05	2009.04.30	-
nProtect	2009.1.8.0	2009.05.04	-
Panda	10.0.0.14	2009.05.03	-
PCTools	4.4.2.0	2009.05.03	-
Prevx1	3.0	2009.05.04	-
Rising	21.28.01.00	2009.05.04	-
Sophos	4.41.0	2009.05.04	-
Sunbelt	3.2.1858.2	2009.05.03	-
Symantec	1.4.4.12	2009.05.04	-
TheHacker	6.3.4.1.318	2009.05.03	-
TrendMicro	8.950.0.1092	2009.05.04	-
VBA32	3.12.10.4	2009.05.04	-
ViRobot	2009.5.4.1718	2009.05.04	-
VirusBuster	4.6.5.0	2009.05.03	-
weitere Informationen
File size: 35328 bytes
MD5...: beabd93e229c090b1f87d34a1b927eac
SHA1..: 7a6d143135b513cb1686d763a662993e32a9a541
SHA256: 08043870756d971d475ed12cf96d0b370295fb04fb094d430d37f03f019b5750
SHA512: 762227ee78c5453e48bb3f0c91ba583460fd213e7f5e8cd5ed63747f37452269
1d95d68cc330af9a2ede9dbe3f86f685777bf010d9623249df023e5f0d797b39
ssdeep: 768:P13KMpusnG2FZXbhbUCOH2A/GWRIgBmaH:P14snlOHhrNH
PEiD..: -
TrID..: File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x844a
timedatestamp.....: 0x498c134c (Fri Feb 06 10:39:08 2009)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x7dda 0x7e00 6.17 995d351b3a9c10cc18aeae5fd3ec1d82
.data 0x9000 0x850 0x200 0.19 d11a7cca04496b853e4492993f707803
.rsrc 0xa000 0x420 0x600 2.54 a4d821f59560b26b98c0ee8ab9fa5b0f

( 4 imports )
> msvcrt.dll: _c_exit, wcsncmp, wcscmp, _exit, _wtol, wcscpy, _wcsicmp, wcslen, _XcptFilter, _cexit, exit, __winitenv, __wgetmainargs, _initterm, __setusermatherr, _adjust_fdiv, printf, __p__commode, __p__fmode, __set_app_type, _except_handler3, _controlfp, _getche
> ADVAPI32.dll: QueryServiceObjectSecurity, OpenSCManagerW, StartServiceW, QueryServiceStatusEx, DeleteService, NotifyBootConfigStatus, GetServiceDisplayNameW, GetServiceKeyNameW, EnumServicesStatusW, EnumServiceGroupW, EnumServicesStatusExW, QueryServiceStatus, LockServiceDatabase, UnlockServiceDatabase, QueryServiceLockStatusW, ConvertStringSecurityDescriptorToSecurityDescriptorW, SetServiceObjectSecurity, ConvertSecurityDescriptorToStringSecurityDescriptorW, EnumDependentServicesW, CreateServiceW, CloseServiceHandle, ChangeServiceConfigW, ControlService, RegOpenKeyExW, RegQueryValueExW, QueryServiceConfigW, OpenServiceW, QueryServiceConfig2W, ChangeServiceConfig2W, ConvertSidToStringSidW, RegCloseKey
> KERNEL32.dll: SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, GetSystemTimeAsFileTime, GetCurrentProcessId, GetCurrentThreadId, GetTickCount, QueryPerformanceCounter, LoadLibraryW, GetProcAddress, FreeLibrary, LocalFree, LocalAlloc, GetLastError, FormatMessageW, GetModuleHandleA
> ntdll.dll: RtlInitUnicodeString, RtlAdjustPrivilege, RtlNtStatusToDosError

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set

psychoaki · 04.05.2009, 10:01

SET8C.tmp

Code:

ATTFilter

Antivirus  	Version  	letzte aktualisierung  	Ergebnis
a-squared	4.0.0.101	2009.05.04	-
AhnLab-V3	5.0.0.2	2009.05.03	-
AntiVir	7.9.0.160	2009.05.04	-
Antiy-AVL	2.0.3.1	2009.04.30	-
Authentium	5.1.2.4	2009.05.03	-
Avast	4.8.1335.0	2009.05.03	-
AVG	8.5.0.327	2009.05.03	-
BitDefender	7.2	2009.05.04	-
CAT-QuickHeal	10.00	2009.05.04	-
ClamAV	0.94.1	2009.05.04	-
Comodo	1149	2009.05.03	-
DrWeb	4.44.0.09170	2009.05.04	-
eSafe	7.0.17.0	2009.05.03	-
eTrust-Vet	31.6.6487	2009.05.02	-
F-Prot	4.4.4.56	2009.05.03	-
F-Secure	8.0.14470.0	2009.05.04	-
Fortinet	3.117.0.0	2009.05.04	-
GData	19	2009.05.04	-
Ikarus	T3.1.1.49.0	2009.05.04	-
K7AntiVirus	7.10.722	2009.05.02	-
Kaspersky	7.0.0.125	2009.05.04	-
McAfee	5604	2009.05.03	-
McAfee+Artemis	5604	2009.05.03	-
McAfee-GW-Edition	6.7.6	2009.05.04	-
Microsoft	1.4602	2009.05.04	-
NOD32	4050	2009.05.03	-
Norman	6.01.05	2009.04.30	-
nProtect	2009.1.8.0	2009.05.04	-
Panda	10.0.0.14	2009.05.03	-
PCTools	4.4.2.0	2009.05.03	-
Prevx1	3.0	2009.05.04	-
Rising	21.28.01.00	2009.05.04	-
Sophos	4.41.0	2009.05.04	-
Sunbelt	3.2.1858.2	2009.05.03	-
Symantec	1.4.4.12	2009.05.04	-
TheHacker	6.3.4.1.318	2009.05.03	-
TrendMicro	8.950.0.1092	2009.05.04	-
VBA32	3.12.10.4	2009.05.04	-
ViRobot	2009.5.4.1718	2009.05.04	-
VirusBuster	4.6.5.0	2009.05.03	-
weitere Informationen
File size: 56832 bytes
MD5...: 0875359d3e68f3732fb0b138a3bb0b53
SHA1..: fbd8ef94cb69a04d207e282d97de40b3ddb269e5
SHA256: 70e84f30a2e1f4c856fca1b59c63bdb44cf3d4f386a930a23f484d04829e6df3
SHA512: d13a9b9190e052f515b65c9d63a2398c27934245aacb8950d32fcc96de364efc
5d80608c1b4055d0255f94ac4b354ddd4ecc505683c152721bf822baac58409a
ssdeep: 1536:SsMkt2mUcIdm5VG+PAiXhkHdRzdzrl5405Gdqchkv:Djkdm5dPodFFl5405
iqekv
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x2126
timedatestamp.....: 0x4988a190 (Tue Feb 03 19:57:04 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xc224 0xc400 6.47 273ffc2c66bf625fabfe129976af5700
.data 0xe000 0x480 0x600 2.88 03f735e87f4a4f067e2ac5425c84195d
.rsrc 0xf000 0x418 0x600 2.53 057106581f8d29d7475c4dd97fb805ce
.reloc 0x10000 0x884 0xa00 6.16 6377ab4b599029d7b789823e62d3acdf

( 3 imports )
> ADVAPI32.dll: RegSetValueExW, LsaOpenPolicy, LsaQueryInformationPolicy, LsaFreeMemory, LsaClose, RegCreateKeyExW, RegCloseKey, SystemFunction035, RegDeleteKeyW, RegEnumValueW, RegQueryInfoKeyW, RegQueryValueExW, RegOpenKeyExW
> KERNEL32.dll: SetLastError, SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, GetCurrentProcessId, GetCurrentThreadId, GetTickCount, QueryPerformanceCounter, LoadLibraryA, InterlockedCompareExchange, GetLastError, GetModuleHandleW, GetComputerNameW, GetCurrentThread, lstrlenA, lstrcpyA, TlsSetValue, CreateFileW, GetFileTime, CloseHandle, GetSystemTimeAsFileTime, LoadLibraryW, GetModuleFileNameW, GetProcAddress, FreeLibrary, DisableThreadLibraryCalls, TlsFree, TlsAlloc, GetSystemDefaultLCID, GetLocaleInfoW, TlsGetValue, LocalFree, LocalAlloc, DelayLoadFailureHook
> ntdll.dll: NtQueryVirtualMemory, RtlUnwind, RtlInitAnsiString, RtlGetNtProductType, wcschr, RtlCreateUnicodeString, RtlInitString, RtlxAnsiStringToUnicodeSize, RtlAnsiStringToUnicodeString, NtDuplicateObject, RtlNtStatusToDosError, RtlCompareUnicodeString, RtlInitializeResource, RtlDeleteResource, NlsMbCodePageTag, RtlxUnicodeStringToAnsiSize, RtlUnicodeStringToAnsiString, wcslen, RtlAcquireResourceShared, RtlEqualUnicodeString, RtlAcquireResourceExclusive, RtlReleaseResource, NtFreeVirtualMemory, RtlFreeHeap, RtlAllocateHeap, RtlDeleteCriticalSection, NtSetInformationThread, NtOpenThreadToken, RtlEnterCriticalSection, RtlLeaveCriticalSection, NtQueryEvent, RtlInitializeCriticalSection, RtlCreateUnicodeStringFromAsciiz, RtlFreeUnicodeString, wcstol, ZwReplyWaitReplyPort, RtlCopyUnicodeString, ZwClose, ZwRequestWaitReplyPort, RtlInitUnicodeString, NtOpenEvent, NtWaitForSingleObject, NtClose, strncpy, ZwConnectPort, ZwFreeVirtualMemory

( 76 exports )
AcceptSecurityContext, AcquireCredentialsHandleA, AcquireCredentialsHandleW, AddCredentialsA, AddCredentialsW, AddSecurityPackageA, AddSecurityPackageW, ApplyControlToken, CompleteAuthToken, CredMarshalTargetInfo, CredUnmarshalTargetInfo, DecryptMessage, DeleteSecurityContext, DeleteSecurityPackageA, DeleteSecurityPackageW, EncryptMessage, EnumerateSecurityPackagesA, EnumerateSecurityPackagesW, ExportSecurityContext, FreeContextBuffer, FreeCredentialsHandle, GetComputerObjectNameA, GetComputerObjectNameW, GetSecurityUserInfo, GetUserNameExA, GetUserNameExW, ImpersonateSecurityContext, ImportSecurityContextA, ImportSecurityContextW, InitSecurityInterfaceA, InitSecurityInterfaceW, InitializeSecurityContextA, InitializeSecurityContextW, LsaCallAuthenticationPackage, LsaConnectUntrusted, LsaDeregisterLogonProcess, LsaEnumerateLogonSessions, LsaFreeReturnBuffer, LsaGetLogonSessionData, LsaLogonUser, LsaLookupAuthenticationPackage, LsaRegisterLogonProcess, LsaRegisterPolicyChangeNotification, LsaUnregisterPolicyChangeNotification, MakeSignature, QueryContextAttributesA, QueryContextAttributesW, QueryCredentialsAttributesA, QueryCredentialsAttributesW, QuerySecurityContextToken, QuerySecurityPackageInfoA, QuerySecurityPackageInfoW, RevertSecurityContext, SaslAcceptSecurityContext, SaslEnumerateProfilesA, SaslEnumerateProfilesW, SaslGetProfilePackageA, SaslGetProfilePackageW, SaslIdentifyPackageA, SaslIdentifyPackageW, SaslInitializeSecurityContextA, SaslInitializeSecurityContextW, SealMessage, SecCacheSspiPackages, SecDeleteUserModeContext, SecGetLocaleSpecificEncryptionRules, SecInitUserModeContext, SecpFreeMemory, SecpTranslateName, SecpTranslateNameEx, SetContextAttributesA, SetContextAttributesW, TranslateNameA, TranslateNameW, UnsealMessage, VerifySignature
PDFiD.: -
RDS...: NSRL Reference Data Set
-

psqlpwd.dll

Code:

ATTFilter

Antivirus  	Version  	letzte aktualisierung  	Ergebnis
a-squared	4.0.0.101	2009.05.04	-
AhnLab-V3	5.0.0.2	2009.05.03	-
AntiVir	7.9.0.160	2009.05.04	-
Antiy-AVL	2.0.3.1	2009.04.30	-
Authentium	5.1.2.4	2009.05.03	-
Avast	4.8.1335.0	2009.05.03	-
AVG	8.5.0.327	2009.05.03	-
BitDefender	7.2	2009.05.04	-
CAT-QuickHeal	10.00	2009.05.04	-
ClamAV	0.94.1	2009.05.04	-
Comodo	1149	2009.05.03	-
DrWeb	4.44.0.09170	2009.05.04	-
eSafe	7.0.17.0	2009.05.03	-
eTrust-Vet	31.6.6487	2009.05.02	-
F-Prot	4.4.4.56	2009.05.03	-
F-Secure	8.0.14470.0	2009.05.04	-
Fortinet	3.117.0.0	2009.05.04	-
GData	19	2009.05.04	-
Ikarus	T3.1.1.49.0	2009.05.04	-
K7AntiVirus	7.10.722	2009.05.02	-
Kaspersky	7.0.0.125	2009.05.04	-
McAfee	5604	2009.05.03	-
McAfee+Artemis	5604	2009.05.03	-
McAfee-GW-Edition	6.7.6	2009.05.04	-
Microsoft	1.4602	2009.05.04	-
NOD32	4050	2009.05.03	-
Norman	6.01.05	2009.04.30	-
nProtect	2009.1.8.0	2009.05.04	-
Panda	10.0.0.14	2009.05.03	-
PCTools	4.4.2.0	2009.05.03	-
Prevx1	3.0	2009.05.04	-
Rising	21.28.01.00	2009.05.04	-
Sophos	4.41.0	2009.05.04	-
Sunbelt	3.2.1858.2	2009.05.03	-
Symantec	1.4.4.12	2009.05.04	-
TheHacker	6.3.4.1.318	2009.05.03	-
TrendMicro	8.950.0.1092	2009.05.04	-
VBA32	3.12.10.4	2009.05.04	-
ViRobot	2009.5.4.1718	2009.05.04	-
VirusBuster	4.6.5.0	2009.05.03	-
weitere Informationen
File size: 95496 bytes
MD5...: 931fab46df2edfcbf83adac247d50ffd
SHA1..: b24257fa12af0268c6267991169940200e201212
SHA256: f12279553c73db3e9fb70e8a726612017eb5d64a8d5a315762126e68040b1986
SHA512: 5e4ef8821184530cf6de3d9f9e20350aa42fcde60101d143f7f8ee6c0e2d46e1
aa78e038af4e4f9a6b08072ed163d27f1138afb5a76666a48a176021c4ab8f1c
ssdeep: 1536:3C6Ch7heyGeVwnQX5Fu6gIF+YL0uPT92kf/JfVC5eA/yghQdbc:3CmypRhw
mNC5eA/y4Qq
PEiD..: -
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x514f
timedatestamp.....: 0x48611357 (Tue Jun 24 15:31:35 2008)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xddf4 0xde00 6.68 384097888921984ebdd5ada2e79c5479
.rdata 0xf000 0x44cb 0x4600 5.21 c20d30af1a50e454ab7375c5eec334a1
.data 0x14000 0x2dc4 0x1200 2.64 59321f577fa7552fc89cbe8145e60f3a
.rsrc 0x17000 0x670 0x800 4.84 567d8bf9c36af0f03c0db83a29a3af59
.reloc 0x18000 0x1c52 0x1e00 4.23 a1cc942a4a93c31a275675b1eefb0c2c

( 2 imports )
> KERNEL32.dll: LoadLibraryW, OutputDebugStringA, LoadLibraryExW, MultiByteToWideChar, GetModuleFileNameW, GetLastError, GetUserDefaultLangID, Sleep, GetCurrentProcess, IsValidCodePage, WideCharToMultiByte, FormatMessageW, GetCurrentThreadId, GetCommandLineA, HeapFree, GetVersionExA, HeapAlloc, GetProcessHeap, RaiseException, RtlUnwind, TerminateProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDebuggerPresent, TlsGetValue, TlsAlloc, TlsSetValue, TlsFree, InterlockedIncrement, InterlockedDecrement, HeapSize, ExitProcess, SetLastError, GetStdHandle, GetModuleFileNameA, SetHandleCount, GetFileType, GetStartupInfoA, DeleteCriticalSection, FreeEnvironmentStringsA, GetEnvironmentStrings, FreeEnvironmentStringsW, GetEnvironmentStringsW, HeapDestroy, HeapCreate, VirtualFree, QueryPerformanceCounter, GetCurrentProcessId, GetSystemTimeAsFileTime, LeaveCriticalSection, EnterCriticalSection, GetCPInfo, GetACP, GetOEMCP, HeapReAlloc, VirtualAlloc, LoadLibraryA, InitializeCriticalSection, GetLocaleInfoA, GetStringTypeA, GetStringTypeW, LCMapStringA, LCMapStringW, GetTickCount, GetVersion, GetFileAttributesW, GetProcAddress, GetModuleHandleW, WriteFile, GetModuleHandleA, SetFilePointer, GetConsoleCP, GetConsoleMode, SetStdHandle, WriteConsoleA, GetConsoleOutputCP, WriteConsoleW, CreateFileA, CloseHandle, FlushFileBuffers
> ADVAPI32.dll: RegEnumValueW, RegSetValueExW, RegCreateKeyExW, RegQueryInfoKeyW, RegDeleteValueW, RegOpenKeyExW, RegQueryValueExW, RegCloseKey

( 10 exports )
InitializeChangeNotify, LockEvent, LogoffEvent, LogonEvent, PasswordChangeNotify, PasswordFilter, ShellStartEvent, ShutdownEvent, StartupEvent, UnlockEvent
PDFiD.: -
RDS...: NSRL Reference Data Set
-

psychoaki · 04.05.2009, 10:06

Bei der Bit45.tmp gab es dann eine Meldung. In dem Moment, in welchem ich die Datei bei Virus Total hochladen wollte hat auch Antivir (avira) Alarm geschlagen (TR/FakeRean.A.19), ebenso bei einer pcdefender.exe datei, die im gleichen ordner enthalten war. habe beide datein durch antivir löschen lassen. hier der virustotal bericht der bit45.tmp

BIT45.tmp

Code:

ATTFilter

Antivirus  	Version  	letzte aktualisierung  	Ergebnis
a-squared	4.0.0.101	2009.05.04	Fraudtool.Win32.PCDefender!IK
AhnLab-V3	5.0.0.2	2009.05.03	Win-Trojan/FakeRean.1020928.B
AntiVir	7.9.0.160	2009.05.04	TR/FakeRean.A.19
Antiy-AVL	2.0.3.1	2009.04.30	-
Authentium	5.1.2.4	2009.05.03	-
Avast	4.8.1335.0	2009.05.03	Win32:Falder
AVG	8.5.0.327	2009.05.03	Downloader.Generic8.AJSA
BitDefender	7.2	2009.05.04	-
CAT-QuickHeal	10.00	2009.05.04	(Suspicious) - DNAScan
ClamAV	0.94.1	2009.05.04	-
Comodo	1149	2009.05.03	ApplicUnsaf.Win32.Adware.WinPCDefender.~C
DrWeb	4.44.0.09170	2009.05.04	Trojan.Fakealert.4128
eSafe	7.0.17.0	2009.05.03	Win32.TrojanFakeRean
eTrust-Vet	31.6.6487	2009.05.02	-
F-Prot	4.4.4.56	2009.05.03	-
F-Secure	8.0.14470.0	2009.05.04	FraudTool.Win32.Defender2009.g
Fortinet	3.117.0.0	2009.05.04	PossibleThreat
GData	19	2009.05.04	Win32:Falder
Ikarus	T3.1.1.49.0	2009.05.04	Fraudtool.Win32.PCDefender
K7AntiVirus	7.10.722	2009.05.02	Trojan.Win32.Malware.1
Kaspersky	7.0.0.125	2009.05.04	not-a-virus:FraudTool.Win32.Defender2009.g
McAfee	5604	2009.05.03	Downloader-BOI
McAfee+Artemis	5604	2009.05.03	Downloader-BOI
McAfee-GW-Edition	6.7.6	2009.05.04	Trojan.FakeRean.A.19
Microsoft	1.4602	2009.05.04	Trojan:Win32/FakeRean
NOD32	4050	2009.05.03	Win32/Adware.WinPCDefender
Norman	6.01.05	2009.04.30	-
nProtect	2009.1.8.0	2009.05.04	-
Panda	10.0.0.14	2009.05.03	Trj/CI.A
PCTools	4.4.2.0	2009.05.03	-
Prevx1	3.0	2009.05.04	High Risk Fraudulent Security Program
Rising	21.28.01.00	2009.05.04	-
Sophos	4.41.0	2009.05.04	Mal/EncPk-IF
Sunbelt	3.2.1858.2	2009.05.03	MSAntispyware 2009 (v)
Symantec	1.4.4.12	2009.05.04	Trojan.Fakeavalert
TheHacker	6.3.4.1.318	2009.05.03	-
TrendMicro	8.950.0.1092	2009.05.04	TROJ_FAKEALER.XK
VBA32	3.12.10.4	2009.05.04	-
ViRobot	2009.5.4.1718	2009.05.04	-
VirusBuster	4.6.5.0	2009.05.03	-
weitere Informationen
File size: 1020928 bytes
MD5...: fcf983d86b3422905931df9647408de1
SHA1..: fe9e32309c04270b47fc7f945e7415fc71aa9bc3
SHA256: e9096f88167e36d033781e76271451d583c338ea101026db07bde322a8018dc1
SHA512: 6ffd7c4a00494b7d3601216e55c5c084017d3493a4ec8843d380664118762524
9d78a94c20d86df3b202c140dec0203da4485cadbde08ebd045a1240605fcb60
ssdeep: 24576:PfB2dS1CVmL8hlBaAUzszHK4dv7HXaeRDTZaSUTM50AbO5T57olLoNk:hJ
CUL8XBa3zIX173aeRBETM50AbO5TZE
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1235
timedatestamp.....: 0x4337d8a9 (Mon Sep 26 11:16:57 2005)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x24eb5 0x25000 7.97 34e32e404aef9b82bdd10c666aa2271c
.data 0x26000 0x15a603 0xcf400 7.98 4728513f3d5d718790d8b293270f9233
.idata 0x181000 0x68a 0x800 4.25 660abacb3f7f204ebf721e475c438484
.rsrc 0x182000 0x277000 0x4400 5.90 0c468553801851cd9ba1bb11909d7a94

( 3 imports )
> KERNEL32.DLL: FormatMessageW, VerLanguageNameW, WriteProfileStringA, GlobalLock, SetDefaultCommConfigW, HeapReAlloc, GetProcessHeap, ExitProcess, SetVolumeLabelW, VirtualProtect, FillConsoleOutputAttribute, HeapValidate, GetStringTypeA, GlobalAlloc, FindResourceA, GetNamedPipeHandleStateA, SetVolumeLabelA, EraseTape, GetPrivateProfileStructA, SetHandleCount, lstrcpynA, GetCommandLineA, SetCurrentDirectoryA
> ADVAPI32.DLL: SetEntriesInAccessListW, LookupPrivilegeNameW, RegEnumKeyW, CryptHashSessionKey, LockServiceDatabase, SetSecurityDescriptorGroup, CreatePrivateObjectSecurity, RegRestoreKeyW, InitiateSystemShutdownW, GetMultipleTrusteeA, CryptAcquireContextA, QueryServiceLockStatusW, SetFileSecurityW, CryptDestroyHash, CryptEnumProvidersA, RegDeleteValueA, QueryServiceLockStatusA, BuildExplicitAccessWithNameW, GetSecurityInfo, ObjectDeleteAuditAlarmW
> USER32.DLL: GetWindow, CreateDialogIndirectParamW, DdeNameService, IMPSetIMEW, UnhookWindowsHook, GetUpdateRgn, FlashWindow, DefDlgProcA, SetDoubleClickTime, RemoveMenu, GetCaretPos, SendMessageCallbackW, GetDC, UnlockWindowStation, GetPropA, GetMenuStringA, LoadCursorFromFileA, GetTitleBarInfo

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set
-
ThreatExpert info: <a href='http://www.threatexpert.com/report.aspx?md5=fcf983d86b3422905931df9647408de1' target='_blank'>http://www.threatexpert.com/report.aspx?md5=fcf983d86b3422905931df9647408de1</a>
<a href='http://info.prevx.com/aboutprogramtext.asp?PX5=5DEDBFBCE0D93FAD3C8202C9895F2A001186A0CB' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=5DEDBFBCE0D93FAD3C8202C9895F2A001186A0CB</a>

Malwarebytes und andere geblockt...

Plagegeister aller Art und deren Bekämpfung: Malwarebytes und andere geblockt...