Hijackthis lässt sich nicht starten

Mr.Icetea · 22.06.2009, 13:37

Hi,

vor kurzem hatte ich das Problem, dass ich beim anklicken von links oder eingeben von url's auf andere seiten weitergeleitet wurde. daraufhin hat antivir einen trojaner gefunden (name leider vergessen) den ich entfernt habe. eigentlich lief danach wieder alles normal und ich habe mir keine sorgen gemacht, heute trat das Phänomen aber wieder auf. Ein kompletter Scan hat nichts ergeben.

Nun habe ich diesen Thread gelesen und mache mir ernsthaft sorgen...
http://www.trojaner-board.de/74332-falsche-internetseiten-werden-geoeffnet.html

Ich habe HijackThis runtergeladen und wollte das HJ-file posten, aber ich kann das programm nicht öffen (auch nicht im abgesicherten modus). Gibt es noch eine andere Möglichkeit ein HJ-file zu erstellen?

BS: Windows Vista Basic
Virenprogramm: AntiVir Professional

Danke für eure Hilfe

Chris4You · 22.06.2009, 14:16

Hi,

versuche HJ umzubennen z. B. auf test.com...

Sonst:
RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
speichere es auf Deinem Desktop.
Starte mit Doppelklick die RSIT.exe.
Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread

Was passiert wenn Du versuchst MAM zu installieren und zu starten?
Malwarebytes Antimalware (MAM).
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.
Alternativer Download: http://filepony.de/download-malwarebytes_anti_malware/, http://www.gt500.org/malwarebytes/mbam.jsp

Gmer:
http://www.trojaner-board.de/74908-anleitung-gmer-rootkit-scanner.html
Den Downloadlink findest Du links oben (www.gmer.net/files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris

Mr.Icetea · 22.06.2009, 14:38

Hallo Chris4you,

vielen Dank für die schnelle Antwort. Das Umbenennen hat geklappt. Ich glaube Antivir hatte die Installation blockiert.

Das ist mein HJ-File:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:28:26, on 22.06.2009
Platform: Windows Vista (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16386)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Lion\Lion.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Users\amueller\AppData\Local\Google\Update\GoogleUpdate.exe
C:\Windows\system32\taskeng.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files\Mozilla Thunderbird\thunderbird.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files\Last.fm\LastFM.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files\Capture-A-ScreenShot\Capture-A-ScreenShot.exe
C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files\Trend Micro\HijackThis\test.com.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?

LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6

\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6

\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [Lion] "C:\Program Files\Lion\Lion.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [Google Update] "C:\Users\amueller\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER

DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11

\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11

\REFIEBAR.DLL
O13 - Gopher Prefix:
O15 - Trusted Zone: *.registration.sonystyle-europe.com (HKLM)
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) -

http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} -

http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{175723C1-79B4-4B75-886B-7624A3107214}: NameServer =

85.255.112.79,85.255.112.213
O17 - HKLM\System\CCS\Services\Tcpip\..\{23701ABC-4500-4D5A-AC27-E0ACC125DA56}: NameServer =

85.255.112.79,85.255.112.213
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.79,85.255.112.213
O17 - HKLM\System\CS1\Services\Tcpip\..\{175723C1-79B4-4B75-886B-7624A3107214}: NameServer =

85.255.112.79,85.255.112.213
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.79,85.255.112.213
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir MailGuard (AntiVirMailService) - Avira GmbH - C:\Program Files\Avira\AntiVir

Desktop\avmailc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir

Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir

Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Program Files\Avira\AntiVir

Desktop\AVWEBGRD.EXE

--
End of file - 5080 bytes

Diese Einträge beenden wahrscheinlich jegliche weiteren Versuche das system zu retten oder?!

O17 - HKLM\System\CCS\Services\Tcpip\..\{175723C1-79B4-4B75-886B-7624A3107214}: NameServer =

85.255.112.79,85.255.112.213
O17 - HKLM\System\CCS\Services\Tcpip\..\{23701ABC-4500-4D5A-AC27-E0ACC125DA56}: NameServer =

85.255.112.79,85.255.112.213
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.79,85.255.112.213
O17 - HKLM\System\CS1\Services\Tcpip\..\{175723C1-79B4-4B75-886B-7624A3107214}: NameServer =

85.255.112.79,85.255.112.213
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.79,85.255.112.213

Zumindest war es in einem anderen Thread so

Falls ich nicht recht haben sollte folge ich natürlich gern deinen anderen Anweisungen.

Vielleicht noch ein paar allgemeine Fragen: Ich hänge mit mehreren Rechner an einer externen Festplatte als "Server" dran. Besteht Gefahr das diese auch verseucht ist? Welche Gefahr besteht für das Online Banking, welches ich in den letzten Tagen noch durchgeführt habe?

Danke dir für die Infos und Hilfe

VG aus Berlin

Chris4You · 22.06.2009, 16:19

Hi,

sofort das Bankkonto sperren lassen.
Deine gesamte Internetverbindung wird in die Ukraine umgeleitet!

Ob es zu retten ist, sehen wir noch (ist erstmal "nur" ein DNS-Changer);

Sofort bitte das beschriebene weitere Vorgehen abfahren (RSIT, dann MAM und zuletzt Gmer);
Dann sehen wir weiter!

chris

Mr.Icetea · 22.06.2009, 20:11

puh das ist ja eine schlechte Nachricht :-( erstmal danke für die schnelle und kompetente Hilfe. Ich frage mich, wie ich mir sowas einfangen konnte....
Ich habe ehrlich noch Angst, dass sich die malware ohne mein zutun auch auf andere Systeme ausbreiten kann!?

ok zu deinen Anweisungen:

1) Konten sind gesperrt
2) rsit:

info.txt logfile of random's system information tool 1.06 2009-06-22 19:34:50

======Uninstall list======

Avira AntiVir Professional-->C:\Program Files\Avira\AntiVir Desktop\setup.exe /REMOVE
Capture-A-ScreenShot-->"C:\Program Files\Capture-A-ScreenShot\unins000.exe"
DocuCom PDF Gold 8.1-->MsiExec.exe /I{A0CCCBC7-8B52-439F-89D8-91535859C9BB}
HijackThis 2.0.2-->"C:\Program Files\Trend Micro\HijackThis\HijackThis.exe" /uninstall
Java(TM) 6 Update 13-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216012FF}
Last.fm 1.5.4.24567-->"C:\Program Files\Last.fm\unins000.exe"
Lion 3.0.2-->"C:\Program Files\Lion\unins000.exe"
Microsoft Office Small Business Edition 2003-->MsiExec.exe /I{91CA0407-6000-11D3-8CFE-0150048383C9}
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17-->MsiExec.exe /X{9A25302D-30C0-39D9-BD6F-21E6EC160475}
Mozilla Thunderbird (2.0.0.21)-->C:\Program Files\Mozilla Thunderbird\uninstall\helper.exe
Palm Desktop-->MsiExec.exe /X{E89D78B8-28F7-412F-8B26-C684739CBBDC}
PocketMirror (Standard Trial Edition) 4.3.0-->"C:\Program Files\Chapura\PocketMirror\unins000.exe"
Skype™ 4.0-->MsiExec.exe /X{24D753CA-6AE9-4E30-8F5F-EFC93E08BF3D}
SoulSeek 157 NS 13c-->"C:\Program Files\SoulseekNS\uninstall.exe"
VLC media player 0.9.8a-->C:\Program Files\VideoLAN\VLC\uninstall.exe
WinRAR-->C:\Program Files\WinRAR\uninstall.exe
WinSCP 3.8 beta-->"C:\Program Files\WinSCP3\unins000.exe"
XnView 1.96-->"C:\Program Files\XnView\unins000.exe"

======Security center information======

AV: AntiVir Desktop
AS: Windows-Defender (outdated)
AS: AntiVir Desktop

======System event log======

Computer Name: amueller-PC
Event Code: 104
Message: Der Dienst veröffentlicht in das Netzwerk.
Record Number: 15599
Source Name: Microsoft-Windows-ResourcePublication
Time Written: 20090622153342.969328-000
Event Type: Informationen
User: NT-AUTORITÄT\LOKALER DIENST

Computer Name: amueller-PC
Event Code: 7036
Message: Dienst "Volumeschattenkopie" befindet sich jetzt im Status "Beendet".
Record Number: 15600
Source Name: Service Control Manager
Time Written: 20090622153849.000000-000
Event Type: Informationen
User:

Computer Name: amueller-PC
Event Code: 7036
Message: Dienst "Microsoft-Softwareschattenkopie-Anbieter" befindet sich jetzt im Status "Beendet".
Record Number: 15601
Source Name: Service Control Manager
Time Written: 20090622154149.000000-000
Event Type: Informationen
User:

Computer Name: amueller-PC
Event Code: 7036
Message: Dienst "WinHTTP-Web Proxy Auto-Discovery-Dienst" befindet sich jetzt im Status "Beendet".
Record Number: 15602
Source Name: Service Control Manager
Time Written: 20090622154229.000000-000
Event Type: Informationen
User:

Computer Name: amueller-PC
Event Code: 4226
Message: TCP/IP hat das Sicherheitslimit erreicht, das für die Anzahl gleichzeitiger TCP-Verbindungsversuche festgelegt wurde.
Record Number: 15603
Source Name: Tcpip
Time Written: 20090622162420.477328-000
Event Type: Warnung
User:

=====Application event log=====

Computer Name: amueller-PC
Event Code: 8210
Message: Der geplante Wiederherstellungspunkt konnte nicht erstellt werden. Zusätzliche Informationen: (0x81000109).
Record Number: 1941
Source Name: System Restore
Time Written: 20090622152401.000000-000
Event Type: Fehler
User:

Computer Name: amueller-PC
Event Code: 8224
Message: Der VSS-Dienst wird aufgrund eines Leerlaufzeitlimits heruntergefahren.
Record Number: 1942
Source Name: VSS
Time Written: 20090622153849.000000-000
Event Type: Informationen
User:

Computer Name: amueller-PC
Event Code: 4120
Message: AntiVir hat auf Computer AMUELLER-PC (192.168.255.40) ein Update geladen und installiert!
Aktualisierte Dateien:
antivir3.vdf 7.1.4.125;
Record Number: 1943
Source Name: Avira AntiVir
Time Written: 20090622154547.000000-000
Event Type: Informationen
User: NT-AUTORITÄT\SYSTEM

Computer Name: amueller-PC
Event Code: 4120
Message: AntiVir hat auf Computer AMUELLER-PC (192.168.255.40) ein Update geladen und installiert!
Aktualisierte Dateien:
webcat1.dat; webcat2.dat;
webcat3.dat; webcat4.dat;

Record Number: 1944
Source Name: Avira AntiVir
Time Written: 20090622164540.000000-000
Event Type: Informationen
User: NT-AUTORITÄT\SYSTEM

Computer Name: amueller-PC
Event Code: 4113
Message: AntiVir erkannte in der Datei C:\Program Files\Trend Micro\HijackThis\test.com.exe verdächtigen Code mit der Bezeichnung 'HIDDENEXT/Crypted'!
Record Number: 1945
Source Name: Avira AntiVir
Time Written: 20090622173436.000000-000
Event Type: Warnung
User: NT-AUTORITÄT\SYSTEM

=====Security event log=====

Computer Name: amueller-PC
Event Code: 5032
Message: Der Windows-Firewalldienst konnte den Benutzer nicht darüber benachrichtigen, dass eine Anwendung blockiert wurde und keine eingehenden Verbindungen im Netzwerk annehmen kann.

Fehlercode: 2
Record Number: 6824
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090622153050.068328-000
Event Type: Überwachung gescheitert
User:

Computer Name: amueller-PC
Event Code: 5032
Message: Der Windows-Firewalldienst konnte den Benutzer nicht darüber benachrichtigen, dass eine Anwendung blockiert wurde und keine eingehenden Verbindungen im Netzwerk annehmen kann.

Fehlercode: 2
Record Number: 6825
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090622153050.068328-000
Event Type: Überwachung gescheitert
User:

Computer Name: amueller-PC
Event Code: 5032
Message: Der Windows-Firewalldienst konnte den Benutzer nicht darüber benachrichtigen, dass eine Anwendung blockiert wurde und keine eingehenden Verbindungen im Netzwerk annehmen kann.

Fehlercode: 2
Record Number: 6826
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090622153334.981328-000
Event Type: Überwachung gescheitert
User:

Computer Name: amueller-PC
Event Code: 5032
Message: Der Windows-Firewalldienst konnte den Benutzer nicht darüber benachrichtigen, dass eine Anwendung blockiert wurde und keine eingehenden Verbindungen im Netzwerk annehmen kann.

Fehlercode: 2
Record Number: 6827
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090622153334.981328-000
Event Type: Überwachung gescheitert
User:

Computer Name: amueller-PC
Event Code: 5032
Message: Der Windows-Firewalldienst konnte den Benutzer nicht darüber benachrichtigen, dass eine Anwendung blockiert wurde und keine eingehenden Verbindungen im Netzwerk annehmen kann.

Fehlercode: 2
Record Number: 6828
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090622153334.981328-000
Event Type: Überwachung gescheitert
User:

======Environment variables======

"ComSpec"=%SystemRoot%\system32\cmd.exe
"FP_NO_HOST_CHECK"=NO
"OS"=Windows_NT
"Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC
"PROCESSOR_ARCHITECTURE"=x86
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP
"USERNAME"=SYSTEM
"windir"=%SystemRoot%
"PROCESSOR_LEVEL"=6
"PROCESSOR_IDENTIFIER"=x86 Family 6 Model 14 Stepping 12, GenuineIntel
"PROCESSOR_REVISION"=0e0c
"NUMBER_OF_PROCESSORS"=2

-----------------EOF-----------------

Logfile of random's system information tool 1.06 (written by random/random)
Run by amueller at 2009-06-22 19:34:36
Microsoft® Windows Vista™ Home Basic
System drive C: has 47 GB (60%) free of 79 GB
Total RAM: 2037 MB (53% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:34:49, on 22.06.2009
Platform: Windows Vista (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16386)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Lion\Lion.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Users\amueller\AppData\Local\Google\Update\GoogleUpdate.exe
C:\Windows\system32\taskeng.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files\Mozilla Thunderbird\thunderbird.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files\Last.fm\LastFM.exe
C:\Program Files\Capture-A-ScreenShot\Capture-A-ScreenShot.exe
C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE
C:\Program Files\Lion\browser.exe
C:\Program Files\Zeon\DocuCom\PDF Gold 8\bin\PDFPlus.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\amueller\Documents\Downloads\RSIT.exe
C:\Program Files\Trend Micro\HijackThis\amueller.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [Lion] "C:\Program Files\Lion\Lion.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [Google Update] "C:\Users\amueller\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O13 - Gopher Prefix:
O15 - Trusted Zone: *.registration.sonystyle-europe.com (HKLM)
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{175723C1-79B4-4B75-886B-7624A3107214}: NameServer = 85.255.112.79,85.255.112.213
O17 - HKLM\System\CCS\Services\Tcpip\..\{23701ABC-4500-4D5A-AC27-E0ACC125DA56}: NameServer = 85.255.112.79,85.255.112.213
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.79,85.255.112.213
O17 - HKLM\System\CS1\Services\Tcpip\..\{175723C1-79B4-4B75-886B-7624A3107214}: NameServer = 85.255.112.79,85.255.112.213
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.79,85.255.112.213
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir MailGuard (AntiVirMailService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE

--
End of file - 5501 bytes

======Scheduled tasks folder======

C:\Windows\tasks\GoogleUpdateTaskUserS-1-5-21-1455154888-4151250377-1015525046-1000.job
C:\Windows\tasks\{5B57CF47-0BFA-43c6-ACF9-3B3653DCADBA}.job

======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}]
Java(tm) Plug-In SSV Helper - C:\Program Files\Java\jre6\bin\ssv.dll [2009-03-09 320920]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}]
Java(tm) Plug-In 2 SSV Helper - C:\Program Files\Java\jre6\bin\jp2ssv.dll [2009-03-09 35840]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"=C:\Program Files\Windows Defender\MSASCui.exe [2006-11-02 1004136]
"SunJavaUpdateSched"=C:\Program Files\Java\jre6\bin\jusched.exe [2009-03-09 148888]
"avgnt"=C:\Program Files\Avira\AntiVir Desktop\avgnt.exe [2009-06-19 209153]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Lion"=C:\Program Files\Lion\Lion.exe [2009-02-09 227429]
"WMPNSCFG"=C:\Program Files\Windows Media Player\WMPNSCFG.exe [2006-11-02 201728]
"Google Update"=C:\Users\amueller\AppData\Local\Google\Update\GoogleUpdate.exe [2009-01-25 133104]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe []

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Google Update]
C:\Users\amueller\AppData\Local\Google\Update\GoogleUpdate.exe [2009-01-25 133104]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
C:\Program Files\Skype\Phone\Skype.exe [2009-02-04 23975720]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WMPNSCFG]
C:\Program Files\Windows Media Player\WMPNSCFG.exe [2006-11-02 201728]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"EnableLUA"=0
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

======List of files/folders created in the last 1 months======

2009-06-22 19:34:36 ----D---- C:\rsit
2009-06-22 13:48:25 ----A---- C:\Windows\ntbtlog.txt
2009-06-22 13:05:21 ----D---- C:\Program Files\Trend Micro
2009-06-19 15:58:14 ----D---- C:\Users\amueller\AppData\Roaming\Avira
2009-06-19 15:52:25 ----D---- C:\ProgramData\Avira
2009-06-19 15:52:25 ----D---- C:\Program Files\Avira
2009-06-19 14:02:19 ----D---- C:\Users\amueller\AppData\Roaming\AntiVir Workstation
2009-06-19 14:01:26 ----A---- C:\Windows\system32\avsda.dll
2009-06-19 14:01:23 ----D---- C:\ProgramData\AntiVir Workstation
2009-06-19 14:01:23 ----D---- C:\Program Files\AntiVir Workstation

======List of files/folders modified in the last 1 months======

2009-06-22 19:34:49 ----D---- C:\Windows\Temp
2009-06-22 19:34:49 ----D---- C:\Windows\Prefetch
2009-06-22 14:30:05 ----D---- C:\Program Files\Capture-A-ScreenShot
2009-06-22 13:55:48 ----D---- C:\Windows\System32
2009-06-22 13:55:48 ----A---- C:\Windows\system32\PerfStringBackup.INI
2009-06-22 13:55:47 ----D---- C:\Windows\inf
2009-06-22 13:48:25 ----D---- C:\Windows
2009-06-22 13:05:21 ----RD---- C:\Program Files
2009-06-19 16:22:05 ----D---- C:\Windows\SoftwareDistribution
2009-06-19 15:52:45 ----D---- C:\Windows\system32\drivers
2009-06-19 15:52:25 ----HD---- C:\ProgramData
2009-06-19 15:39:59 ----HD---- C:\Config.Msi
2009-06-19 15:39:58 ----D---- C:\Windows\winsxs
2009-06-19 15:39:38 ----SHD---- C:\Windows\Installer
2009-06-19 15:39:34 ----D---- C:\Program Files\Common Files\microsoft shared
2009-06-19 15:18:33 ----D---- C:\Windows\Tasks
2009-06-19 15:15:26 ----D---- C:\Program Files\Common Files
2009-06-19 15:15:21 ----D---- C:\ProgramData\Adobe
2009-06-17 10:42:55 ----SHD---- C:\System Volume Information
2009-06-08 15:07:40 ----D---- C:\Windows\system32\Tasks

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R1 avgio;avgio; \??\C:\Program Files\Avira\AntiVir Desktop\avgio.sys [2009-06-19 11608]
R1 avipbb;avipbb; C:\Windows\system32\DRIVERS\avipbb.sys [2009-06-19 96104]
R1 ssmdrv;ssmdrv; C:\Windows\system32\DRIVERS\ssmdrv.sys [2009-06-19 28520]
R2 avgntflt;avgntflt; C:\Windows\system32\DRIVERS\avgntflt.sys [2009-06-19 55640]
R3 AgereSoftModem;Agere Systems-Softmodem; C:\Windows\system32\DRIVERS\AGRSM.sys [2006-11-02 983552]
R3 CmBatt;Treiber für Microsoft-ACPI-Kontrollmethodenkompatible Batterie; C:\Windows\system32\DRIVERS\CmBatt.sys [2006-11-02 14208]
R3 E100B;Intel(R) PRO-Adaptertreiber; C:\Windows\system32\DRIVERS\e100b325.sys [2006-11-02 163328]
R3 HdAudAddService;Microsoft 1.1 UAA-Funktionstreiber für High Definition Audio-Dienst; C:\Windows\system32\drivers\HdAudio.sys [2006-11-02 235520]
R3 HdAudAddService;Microsoft 1.1 UAA-Funktionstreiber für High Definition Audio-Dienst; C:\Windows\system32\drivers\HdAudio.sys [2006-11-02 235520]
R3 ialm;ialm; C:\Windows\system32\DRIVERS\igdkmd32.sys [2006-10-19 1380864]
R3 NETw3v32;Intel(R) PRO/Wireless 3945ABG-Adaptertreiber für Windows Vista 32 Bit; C:\Windows\system32\DRIVERS\NETw3v32.sys [2006-11-02 1781760]
R3 sdbus;sdbus; C:\Windows\system32\DRIVERS\sdbus.sys [2006-11-02 82432]
S3 drmkaud;Microsoft Kernel-DRM-Audioentschlüsselung; C:\Windows\system32\drivers\drmkaud.sys [2006-11-02 5632]
S3 MSKSSRV;Microsoft Streaming Service Proxy; C:\Windows\system32\drivers\MSKSSRV.sys [2006-11-02 8192]
S3 MSPCLOCK;Microsoft Proxy für Streaming Clock; C:\Windows\system32\drivers\MSPCLOCK.sys [2006-11-02 5888]
S3 MSPQM;Microsoft Proxy für Streaming Quality Manager; C:\Windows\system32\drivers\MSPQM.sys [2006-11-02 5504]
S3 MSTEE;Microsoft Streaming Tee/Sink-to-Sink-Konvertierung; C:\Windows\system32\drivers\MSTEE.sys [2006-11-02 6016]
S3 PalmUSBD;PalmUSBD; C:\Windows\system32\drivers\PalmUSBD.sys []
S3 WUDFRd;WUDFRd; C:\Windows\system32\DRIVERS\WUDFRd.sys [2006-11-02 82560]
S4 WmiAcpi;Microsoft Windows Management Interface for ACPI; C:\Windows\system32\drivers\wmiacpi.sys [2006-11-02 11264]

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 AntiVirMailService;Avira AntiVir MailGuard; C:\Program Files\Avira\AntiVir Desktop\avmailc.exe [2009-06-19 194817]
R2 AntiVirSchedulerService;Avira AntiVir Planer; C:\Program Files\Avira\AntiVir Desktop\sched.exe [2009-06-19 108289]
R2 AntiVirService;Avira AntiVir Guard; C:\Program Files\Avira\AntiVir Desktop\avguard.exe [2009-06-19 185089]
R2 AntiVirWebService;Avira AntiVir WebGuard; C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE [2009-06-19 434945]
S3 ose;Office Source Engine; C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE [2003-07-28 89136]

-----------------EOF-----------------

Mr.Icetea · 22.06.2009, 20:12

3) Malwarebytes: konnte ich ebenfalls erst nach Umbennung starten, so wie bei HJ-This...

log:Malwarebytes' Anti-Malware 1.38
Datenbank Version: 2297
Windows 6.0.6000

22.06.2009 20:31:27
mbam-log-2009-06-22 (20-31-27).txt

Scan-Methode: Vollständiger Scan (C:\|F:\|)
Durchsuchte Objekte: 152779
Laufzeit: 27 minute(s), 7 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 9
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\ColdWare (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\gxvxc (Rootkit.Agent) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{175723c1-79b4-4b75-886b-7624a3107214}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{23701abc-4500-4d5a-ac27-e0acc125da56}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{175723c1-79b4-4b75-886b-7624a3107214}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{23701abc-4500-4d5a-ac27-e0acc125da56}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\Interfaces\{175723c1-79b4-4b75-886b-7624a3107214}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\Interfaces\{23701abc-4500-4d5a-ac27-e0acc125da56}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.79,85.255.112.213 -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\Windows\Tasks\{5B57CF47-0BFA-43c6-ACF9-3B3653DCADBA}.job (Trojan.FakeAlert) -> Quarantined and deleted successfully.

4) gmer: bei dem link der downloadlink ging nicht auf anhieb. ich glaube da fehlt noch die raute --> http://www.gmer.net/#files

log:

GMER 1.0.15.14972 - http://www.gmer.net
Rootkit scan 2009-06-22 20:51:35
Windows 6.0.6000

---- System - GMER 1.0.15 ----

Code 86935388 ZwEnumerateKey
Code 869377E8 ZwFlushInstructionCache
Code 8693ADB5 IofCallDriver
Code 86933CCE IofCompleteRequest

---- Services - GMER 1.0.15 ----

Service C:\Windows\system32\drivers\gxvxcuhtidsxaorltqspnitgwwxiqdnwffslb.sys (*** hidden *** ) [SYSTEM] gxvxcserv.sys <-- ROOTKIT !!!

---- EOF - GMER 1.0.15 ----

log nach scan:
GMER 1.0.15.14972 - http://www.gmer.net
Rootkit scan 2009-06-22 21:07:33
Windows 6.0.6000

---- System - GMER 1.0.15 ----

SSDT 8C46C6D4 ZwCreateThread
SSDT 8C46C6C0 ZwOpenProcess
SSDT 8C46C6C5 ZwOpenThread
SSDT 8C46C6CF ZwTerminateProcess

Code 86935388 ZwEnumerateKey
Code 869377E8 ZwFlushInstructionCache
Code 8693ADB5 IofCallDriver
Code 86933CCE IofCompleteRequest

---- Kernel code sections - GMER 1.0.15 ----

.text ntoskrnl.exe!_alloca_probe + 164 818561B4 4 Bytes [D4, C6, 46, 8C]
.text ntoskrnl.exe!_alloca_probe + 334 81856384 4 Bytes [C0, C6, 46, 8C]
.text ntoskrnl.exe!_alloca_probe + 350 818563A0 4 Bytes [C5, C6, 46, 8C]
.text ntoskrnl.exe!_alloca_probe + 574 818565C4 4 Bytes [CF, C6, 46, 8C]
.text ntoskrnl.exe!IofCallDriver 81867C65 5 Bytes JMP 8693ADBA
.text ntoskrnl.exe!IofCompleteRequest 81867CD2 5 Bytes JMP 86933CD3
PAGE ntoskrnl.exe!ZwFlushInstructionCache 819A910C 5 Bytes JMP 869377EC
PAGE ntoskrnl.exe!ZwEnumerateKey 819F0F94 5 Bytes JMP 8693538C
? system32\drivers\jehs.sys Das System kann den angegebenen Pfad nicht finden. !

---- User code sections - GMER 1.0.15 ----

.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtCreateFile + 6 775FF41A 4 Bytes [28, 00, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtCreateFile + B 775FF41F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenFile + 6 775FFBFA 4 Bytes [68, 00, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenFile + B 775FFBFF 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenProcess + 6 775FFC7A 4 Bytes [A8, 01, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenProcess + B 775FFC7F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenProcessToken + 6 775FFC8A 4 Bytes CALL 76600190 C:\Windows\system32\RPCRT4.dll (Remoteprozeduraufruf-Laufzeitumgebung/Microsoft Corporation)
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenProcessToken + B 775FFC8F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenProcessTokenEx + 6 775FFC9A 4 Bytes [A8, 02, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenProcessTokenEx + B 775FFC9F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenThread + 6 775FFCEA 4 Bytes [68, 01, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenThread + B 775FFCEF 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenThreadToken + 6 775FFCFA 4 Bytes [68, 02, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenThreadToken + B 775FFCFF 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenThreadTokenEx + 6 775FFD0A 4 Bytes CALL 76600211 C:\Windows\system32\RPCRT4.dll (Remoteprozeduraufruf-Laufzeitumgebung/Microsoft Corporation)
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtOpenThreadTokenEx + B 775FFD0F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtQueryAttributesFile + 6 775FFD9A 4 Bytes [A8, 00, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtQueryAttributesFile + B 775FFD9F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtQueryFullAttributesFile + 6 775FFE4A 4 Bytes CALL 7660034F C:\Windows\system32\RPCRT4.dll (Remoteprozeduraufruf-Laufzeitumgebung/Microsoft Corporation)
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtQueryFullAttributesFile + B 775FFE4F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtSetInformationFile + 6 7760036A 4 Bytes [28, 01, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtSetInformationFile + B 7760036F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtSetInformationThread + 6 776003BA 4 Bytes [28, 02, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[2464] ntdll.dll!NtSetInformationThread + B 776003BF 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtCreateFile + 6 775FF41A 4 Bytes [28, 00, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtCreateFile + B 775FF41F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenFile + 6 775FFBFA 4 Bytes [68, 00, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenFile + B 775FFBFF 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenProcess + 6 775FFC7A 4 Bytes [A8, 01, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenProcess + B 775FFC7F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenProcessToken + 6 775FFC8A 4 Bytes CALL 76600190 C:\Windows\system32\RPCRT4.dll (Remoteprozeduraufruf-Laufzeitumgebung/Microsoft Corporation)
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenProcessToken + B 775FFC8F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenProcessTokenEx + 6 775FFC9A 4 Bytes [A8, 02, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenProcessTokenEx + B 775FFC9F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenThread + 6 775FFCEA 4 Bytes [68, 01, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenThread + B 775FFCEF 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenThreadToken + 6 775FFCFA 4 Bytes [68, 02, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenThreadToken + B 775FFCFF 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenThreadTokenEx + 6 775FFD0A 4 Bytes CALL 76600211 C:\Windows\system32\RPCRT4.dll (Remoteprozeduraufruf-Laufzeitumgebung/Microsoft Corporation)
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtOpenThreadTokenEx + B 775FFD0F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtQueryAttributesFile + 6 775FFD9A 4 Bytes [A8, 00, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtQueryAttributesFile + B 775FFD9F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtQueryFullAttributesFile + 6 775FFE4A 4 Bytes CALL 7660034F C:\Windows\system32\RPCRT4.dll (Remoteprozeduraufruf-Laufzeitumgebung/Microsoft Corporation)
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtQueryFullAttributesFile + B 775FFE4F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtSetInformationFile + 6 7760036A 4 Bytes [28, 01, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtSetInformationFile + B 7760036F 1 Byte [E2]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtSetInformationThread + 6 776003BA 4 Bytes [28, 02, 05, 00]
.text C:\Users\amueller\AppData\Local\Google\Chrome\Application\chrome.exe[3740] ntdll.dll!NtSetInformationThread + B 776003BF 1 Byte [E2]

---- User IAT/EAT - GMER 1.0.15 ----

IAT C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE[3680] @ C:\Windows\system32\ole32.dll [USER32.dll!GetSystemMetrics] [6CA711C2] C:\Windows\AppPatch\AcSpecfc.DLL (Windows Compatibility DLL/Microsoft Corporation)
---- Processes - GMER 1.0.15 ----

Library \\?\globalroot\systemroot\system32\gxvxcxxlhxukkeyfexxmkbqwsjshtorjhwdcv.dll (*** hidden *** ) @ C:\Windows\system32\svchost.exe [812] 0x10000000

---- Services - GMER 1.0.15 ----

Service C:\Windows\system32\drivers\gxvxcuhtidsxaorltqspnitgwwxiqdnwffslb.sys (*** hidden *** ) [SYSTEM] gxvxcserv.sys <-- ROOTKIT !!!

---- Registry - GMER 1.0.15 ----

Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys
Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys@start 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys@type 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys@imagepath \systemroot\system32\drivers\gxvxcuhtidsxaorltqspnitgwwxiqdnwffslb.sys
Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys@group file system
Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys\modules
Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys\modules@gxvxcserv \\?\globalroot\systemroot\system32\drivers\gxvxcuhtidsxaorltqspnitgwwxiqdnwffslb.sys
Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys\modules@gxvxcl \\?\globalroot\systemroot\system32\gxvxcxxlhxukkeyfexxmkbqwsjshtorjhwdcv.dll
Reg HKLM\SYSTEM\CurrentControlSet\Services\gxvxcserv.sys\modules@gxvxcclk \\?\globalroot\systemroot\system32\gxvxcyxsafiafqhccwmbljbpbmlakqdykgggl.dll
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys@start 1
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys@type 1
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys@imagepath \systemroot\system32\drivers\gxvxcuhtidsxaorltqspnitgwwxiqdnwffslb.sys
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys@group file system
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys\modules
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys\modules@gxvxcserv \\?\globalroot\systemroot\system32\drivers\gxvxcuhtidsxaorltqspnitgwwxiqdnwffslb.sys
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys\modules@gxvxcl \\?\globalroot\systemroot\system32\gxvxcxxlhxukkeyfexxmkbqwsjshtorjhwdcv.dll
Reg HKLM\SYSTEM\ControlSet003\Services\gxvxcserv.sys\modules@gxvxcclk \\?\globalroot\systemroot\system32\gxvxcyxsafiafqhccwmbljbpbmlakqdykgggl.dll

---- Files - GMER 1.0.15 ----

File C:\Windows\System32\drivers\gxvxcuhtidsxaorltqspnitgwwxiqdnwffslb.sys 48128 bytes executable <-- ROOTKIT !!!
File C:\Windows\System32\gxvxccount 4 bytes
File C:\Windows\System32\gxvxcxxlhxukkeyfexxmkbqwsjshtorjhwdcv.dll 22529 bytes executable
File C:\Windows\System32\gxvxcyxsafiafqhccwmbljbpbmlakqdykgggl.dll 27649 bytes executable

---- EOF - GMER 1.0.15 ----

So das hat jetzt ein Weilchen gedauert....

Hijackthis lässt sich nicht starten

Log-Analyse und Auswertung: Hijackthis lässt sich nicht starten