|
Plagegeister aller Art und deren Bekämpfung: Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dllWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
16.07.2009, 13:12 | #1 | |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll Hallo Leute, ich hab momentan große Probleme mit dem oben genannanten Trojaner. Ich habe bis vor kurzem Avira genutzt, welches sich seit auftauchen des Trojaners immer und immer wieder(locker 20mal gleichzeitig) mit der gleichen Meldung öffnete und mich zum beheben des Problems aufforderte. Als Konsequenz habe ich mir eine Testversion von Kaspersky 2010 runtergeladen, aber das Problem besteht weiterhin. Außerdem öffnet sich beim Systemstart eine Windows-Fehlermeldung, ich habe plötzlich 2 CD-Laufwerke mehr, die faktisch nicht existieren, über Google komme ich ständig auf irgendwelche Werbeseiten und Windows weist mich gelegentlich darauf hin, dass meine Version nicht lizensiert wäre.... Ich habe nun schon etwas über Google und auch hier im Forum gestöbert und habe gesehen, dass ich ein eigenes HijackThis Logfile posten soll bevor ich Combofix o.ä. benutze. Ich hoffe mir kann jmd weiterhelfen... Hier das Log File Zitat:
Gruß Lukas |
17.07.2009, 20:02 | #2 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll Ich habe noch einige Auswirkungen des Viruses gespürt, so kann ich keine Cds mehr brennen und keine Verbindung mehr zwischem meinem Handy und dem Laptop herstellen...
__________________Wäre also wirklich super wenn mir jmd weiterhelfen könnte. Grüße Lukas |
17.07.2009, 20:06 | #3 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll Hallo und
__________________Klicke auf "Für alle Neuen" in meiner Signatur, lies alles aufmerksam und arbeite die komplette Liste unter Punkt 2 ab. ciao, andreas
__________________ |
17.07.2009, 22:26 | #4 | |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll So, erstmal vielen Dank für die Antwort und sorry das ich das vorher nicht gelesen habe... Hier jetzt erstmal das Logfile von Malwarebytes: Zitat:
|
17.07.2009, 22:54 | #5 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll info: info.txt logfile of random's system information tool 1.06 2009-07-17 23:27:32 ======Uninstall list====== -->C:\Program Files\Common Files\Real\Update_OB\r1puninst.exe RealNetworks|RealPlayer|6.0 -->C:\Program Files\DivX\DivXConverterUninstall.exe /CONVERTER -->C:\Program Files\Nero\Nero 7\nero\uninstall\UNNERO.exe /UNINSTALL -->C:\Windows\uninst.exe -fd:\spiele\simtower\DeIsL1.isu -->C:\Windows\UNNeroMediaHome.exe /UNINSTALL -->C:\Windows\UNNeroShowTime.exe /UNINSTALL -->C:\Windows\UNNeroVision.exe /UNINSTALL -->C:\Windows\UNRecode.exe /UNINSTALL 3DMark05-->RunDll32 C:\PROGRA~1\COMMON~1\INSTAL~1\PROFES~1\RunTime\10\01\Intel32\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{2DF7B278-D3B6-40A4-B25C-0E7149F439EA}\setup.exe" -l0x9 -removeonly Adobe Flash Player 10 Plugin-->C:\Windows\system32\Macromed\Flash\uninstall_plugin.exe Adobe Flash Player 9 ActiveX-->MsiExec.exe /X{8186E1B9-DDC6-45B6-B9EB-C28947CBC4CF} Adobe Photoshop Elements 6.0-->msiexec /I {F54AC413-D2C6-4A24-B324-370C223C6250} Adobe Reader 8.1.4 - Deutsch-->MsiExec.exe /I{AC76BA86-7AD7-1031-7B44-A81300000003} Adobe Shockwave Player-->C:\Windows\System32\Adobe\SHOCKW~1\UNWISE.EXE C:\Windows\System32\Adobe\SHOCKW~1\Install.log Ankh Herz des Osiris-->"D:\Spiele\Ankh Herz des Osiris\unins000.exe" AppCore-->MsiExec.exe /I{EFB5B3B5-A280-4E25-BE1C-634EEFE32C1B} Apple Mobile Device Support-->MsiExec.exe /I{AFA20D47-69C3-4030-8DF8-D37466E70F13} Apple Software Update-->MsiExec.exe /I{6956856F-B6B3-4BE0-BA0B-8F495BE32033} ATI Uninstaller-->C:\Program Files\ATI\CIM\Bin\Atisetup.exe -uninstall all AV-->MsiExec.exe /I{F4DB525F-A986-4249-B98B-42A8066251CA} Avanquest update-->C:\Program Files\InstallShield Installation Information\{76E41F43-59D2-4F30-BA42-9A762EE1E8DE}\Setup.exe -runfromtemp -l0x0009 -removeonly Bonjour-->MsiExec.exe /I{07287123-B8AC-41CE-8346-3D777245C35B} ccCommon-->MsiExec.exe /I{3CCAD2EF-CFF2-4637-82AA-AABF370282D3} CCleaner (remove only)-->"C:\Program Files\CCleaner\uninst.exe" Choice Guard-->MsiExec.exe /I{8FFC5648-FAF8-43A3-BC8F-42BA1E275C4E} Citavi 2.5-->C:\Program Files\Citavi\Deinstallieren.exe Compatibility Pack for the 2007 Office system-->MsiExec.exe /X{90120000-0020-0409-0000-0000000FF1CE} DAEMON Tools Toolbar-->C:\Program Files\DAEMON Tools Toolbar\uninst.exe DivX Codec-->C:\Program Files\DivX\DivXCodecUninstall.exe /CODEC DivX Converter-->C:\Program Files\DivX\DivXConverterUninstall.exe /CONVERTER DivX Player-->C:\Program Files\DivX\DivXPlayerUninstall.exe /PLAYER DivX Web Player-->C:\Program Files\DivX\DivXWebPlayerUninstall.exe /PLUGIN Earthworm Jim-->"D:\Spiele\Earthworm Jim\unins000.exe" FirstSteps Diagnostics-->MsiExec.exe /X{94D66D71-12F0-48A5-B46A-D4B835A0F1B7} FreePDF XP (Remove only)-->C:\Program Files\FreePDF_XP\fpsetup.exe /r FSCLounge-->MsiExec.exe /I{9A3BC157-B94F-4EFD-ABA9-1E56DEB00655} Google Earth-->MsiExec.exe /X{CC016F21-3970-11DE-B878-005056806466} Google Update Helper-->MsiExec.exe /I{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2} Google Updater-->"C:\Program Files\Google\Google Updater\GoogleUpdater.exe" -uninstall GPL Ghostscript 8.64-->C:\Program Files\gs\uninstgs.exe "C:\Program Files\gs\gs8.64\uninstal.txt" GTA2-->RunDll32 C:\PROGRA~1\COMMON~1\INSTAL~1\PROFES~1\RunTime\0701\Intel32\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{2987EE84-C4EE-4FF5-8160-32DE00D6ABC6}\Setup.exe" -l0x9 Heroes of Might and Magic® IV-->C:\Windows\IsUn0407.exe -f"d:\spiele\Heroes IV\Heroes of Might and Magic IV.isu" -c"C:\Program Files\Common Files\3DO Shared\3DOUnInst.dll HijackThis 2.0.2-->"C:\Program Files\Trend Micro\HijackThis\HijackThis.exe" /uninstall Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall /qb+ REBOOTPROMPT="" Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall {A7EEA2F2-BFCD-4A54-A575-7B81A786E658} /qb+ REBOOTPROMPT="" Icy Tower v1.3.1-->"D:\Spiele\icytower\unins000.exe" iPod Messenger-->\uninstallipod.exe iTunes-->MsiExec.exe /I{5EFCBB42-36AB-4FF9-B90C-E78C7B9EE7B3} Java(TM) 6 Update 14-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216010FF} Java(TM) 6 Update 5-->MsiExec.exe /I{3248F0A8-6813-11D6-A77B-00B0D0160050} Java(TM) 6 Update 7-->MsiExec.exe /I{3248F0A8-6813-11D6-A77B-00B0D0160070} Kaspersky Anti-Virus 2010-->MsiExec.exe /I{943B6738-4801-4982-90EC-0442EF7AEB16} Kaspersky Anti-Virus 2010-->MsiExec.exe /I{943B6738-4801-4982-90EC-0442EF7AEB16} LiveUpdate Notice (Symantec Corporation)-->MsiExec.exe /X{DBA4DB9D-EE51-4944-A419-98AB1F1249C8} Malwarebytes' Anti-Malware-->"C:\Program Files\Malwarebytes' Anti-Malware\unins000.exe" Marble Arena 1.4-->"D:\Spiele\Marble Arena\unins000.exe" Messenger Plus! Live-->"C:\Program Files\Messenger Plus! Live\Uninstall.exe" Microsoft .NET Framework 3.5 SP1-->c:\Windows\Microsoft.NET\Framework\v3.5\Microsoft .NET Framework 3.5 SP1\setup.exe Microsoft .NET Framework 3.5 SP1-->MsiExec.exe /I{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} Microsoft Office Professional Edition 2003-->MsiExec.exe /I{90110407-6000-11D3-8CFE-0150048383C9} Microsoft Silverlight-->MsiExec.exe /I{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00} Microsoft Visual C++ 2005 Redistributable-->MsiExec.exe /X{7299052b-02a4-4627-81f2-1818da5d550d} Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022-->MsiExec.exe /X{FF66E9F6-83E7-3A3E-AF14-8DE9A809A6A4} Mozilla Firefox (3.0.11)-->C:\Program Files\Mozilla Firefox\uninstall\helper.exe MSRedist-->MsiExec.exe /I{B7C61755-DB48-4003-948F-3D34DB8EAF69} MSVCRT-->MsiExec.exe /I{22B775E7-6C42-4FC5-8E10-9A5E3257BD94} MSXML 4.0 SP2 (KB941833)-->MsiExec.exe /I{C523D256-313D-4866-B36A-F3DE528246EF} MSXML 4.0 SP2 (KB954430)-->MsiExec.exe /I{86493ADD-824D-4B8E-BD72-8C5DCDC52A71} Nero 7 Essentials-->MsiExec.exe /X{81CD6232-10F5-4832-B3DA-1B88B1571031} Norton Confidential Browser Component-->MsiExec.exe /I{4843B611-8FCB-4428-8C23-31D0A5EAE164} Norton Confidential Web Protection Component-->MsiExec.exe /I{D353CC51-430D-4C6F-9B7E-52003DA1E05A} Norton Internet Security-->MsiExec.exe /I{3672B097-EA69-4bfe-B92F-29AE6D9D2B34} Norton Internet Security-->MsiExec.exe /I{48185814-A224-447A-81DA-71BD20580E1B} Norton Internet Security-->MsiExec.exe /I{5AA2CD16-706F-41f3-87C5-2B5A031F2B3B} Norton Internet Security-->MsiExec.exe /I{E3EFA461-EB83-4C3B-9C47-2C1D58A01555} Norton Internet Security-->MsiExec.exe /I{E5EE9939-259F-4DE2-8023-5C49E16A4F43} Norton Protection Center-->MsiExec.exe /I{9A129ABC-A53A-4209-A21E-D5DEDFB7CCA8} ObjectDock-->C:\PROGRA~1\Stardock\OBJECT~1\UNWISE.EXE C:\PROGRA~1\Stardock\OBJECT~1\INSTALL.LOG PPMate Network TV 2.0.0.40-->C:\Program Files\PPMate\uninst.exe RealPlayer-->C:\Program Files\Common Files\Real\Update_OB\r1puninst.exe RealNetworks|RealPlayer|6.0 Realtek High Definition Audio Driver-->RtlUpd.exe -r -m RedMon - Redirection Port Monitor-->C:\Windows\system32\unredmon.exe ScummVM 0.12.0-->"C:\Program Files\ScummVM\unins000.exe" Security Update for CAPICOM (KB931906)-->MsiExec.exe /I{0EFDF2F9-836D-4EB7-A32D-038BD3F1FB2A} Security Update for CAPICOM (KB931906)-->MsiExec.exe /X{0EFDF2F9-836D-4EB7-A32D-038BD3F1FB2A} SimCity 2000® Special Edition-->C:\Windows\uninst.exe -fD:\SPIELE\SC2KDE\DeIsL1.isu SopCast 3.0.3-->C:\Program Files\SopCast\uninst.exe Spelling Dictionaries Support For Adobe Reader 8-->MsiExec.exe /I{AC76BA86-7AD7-5464-3428-800000000003} SPSS Statistics 17.0-->MsiExec.exe /X{46B65150-F8AA-42F2-94FB-2729A8AE5F7E} Spybot - Search & Destroy-->"C:\Program Files\Spybot - Search & Destroy\unins000.exe" Theme Hospital-->C:\Windows\unin0407.exe -f"d:\spiele\Theme Hospital\DeIsL1.isu" TVAnts 1.0-->C:\PROGRA~1\TVAnts\UNWISE.EXE C:\PROGRA~1\TVAnts\INSTALL.LOG Windows Live Anmelde-Assistent-->MsiExec.exe /I{83E2CFA9-E0EB-4E08-9F85-43E577FF3D60} Windows Live Call-->MsiExec.exe /I{5FC68772-6D56-41C6-9DF1-24E868198AE6} Windows Live Communications Platform-->MsiExec.exe /I{3B4E636E-9D65-4D67-BA61-189800823F52} Windows Live Essentials-->C:\Program Files\Windows Live\Installer\wlarp.exe Windows Live Essentials-->MsiExec.exe /I{91E04CA7-0B13-4F8C-AA4D-2A573AC96D19} Windows Live Messenger-->MsiExec.exe /X{837B6259-6FF5-4E66-87C1-A5A15ED36FF4} Windows Live-Uploadtool-->MsiExec.exe /I{205C6BDD-7B73-42DE-8505-9A093F35A238} Windows Media Player Firefox Plugin-->MsiExec.exe /I{69FDFBB6-351D-4B8C-89D8-867DC9D0A2A4} WinRAR-->C:\Program Files\WinRAR\uninstall.exe ======Security center information====== AV: Kaspersky Anti-Virus AV: Norton Internet Security (disabled) (outdated) FW: Norton Internet Security AS: Spybot - Search and Destroy (outdated) AS: Windows-Defender AS: Kaspersky Anti-Virus AS: Norton Internet Security ======System event log====== Computer Name: Lukas-PC Event Code: 7036 Message: Dienst "Anwendungsinformationen" befindet sich jetzt im Status "Ausgeführt". Record Number: 163196 Source Name: Service Control Manager Time Written: 20090717194756.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 4227 Message: TCP/IP konnte keine ausgehende Verbindung herstellen, weil der ausgewählte lokale Endpunkt vor kurzem verwendet wurde, um eine Verbindung mit dem gleichen Remoteendpunkt herzustellen. Dieser Fehler tritt normalerweise auf, wenn eine große Anzahl von ausgehenden Verbindungen geöffnet und geschlossen wird und dadurch alle verfügbaren lokalen Anschlüsse verwendet werden, wodurch TCP/IP gezwungen wird, einen lokalen Anschluss erneut für eine ausgehende Verbindung zu verwenden. Damit das Risiko der Datenbeschädigung minimiert wird, erfordert der TCP/IP-Standard, dass zwischen den aufeinanderfolgenden Verbindungen von einem bestimmten lokalen Endpunkt zu einen bestimmten Reomoteendpunkt ein zeitlicher Mindestabstand liegen muss. Record Number: 163197 Source Name: Tcpip Time Written: 20090717210737.447352-000 Event Type: Warnung User: Computer Name: Lukas-PC Event Code: 7036 Message: Dienst "WinHTTP-Web Proxy Auto-Discovery-Dienst" befindet sich jetzt im Status "Ausgeführt". Record Number: 163198 Source Name: Service Control Manager Time Written: 20090717211046.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 3004 Message: Vom Windows-Defender-Echtzeitschutz-Agent wurden Änderungen erkannt. Microsoft empfiehlt, die Software, die diese Änderungen vorgenommen hat, zu analysieren, um potenzielle Risiken festzustellen. Sie können anhand der Informationen über die Funktionsweise dieser Programme entscheiden, ob die Software ausgeführt werden kann oder vom Computer entfernt werden soll. Lassen Sie nur Änderungen zu, wenn das Programm oder der Softwareherausgeber vertrauenswürdig ist. Windows-Defender kann Änderungen, die Sie zugelassen haben, nicht mehr rückgängig machen. Weitere Informationen finden Sie im Folgenden: Nicht zutreffend Scan-ID: {C69EC4DF-9ED0-43D6-BA5D-C9D3383AE587} Benutzer: Lukas-PC\Lukas Name: Unknown ID: Schweregrad-ID: Kategorie-ID: Gefundener Pfad: regkey:HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\rdspfbd;file:C:\Windows\system32\drivers\pwgkfhu.sys Warnungsart: Nicht klassifizierte Software Feststellungstyp: Record Number: 163199 Source Name: Microsoft-Windows-Windows Defender Time Written: 20090717211939.000000-000 Event Type: Warnung User: Computer Name: Lukas-PC Event Code: 3005 Message: Zum Schutz dieses Computers vor Spyware und möglicherweise unerwünschter Software wurden vom Windows-Defender-Echtzeitschutz-Agent Maßnahmen ergriffen. Weitere Informationen finden Sie hier: Nicht zutreffend Scan-ID: {C69EC4DF-9ED0-43D6-BA5D-C9D3383AE587} Benutzer: Lukas-PC\Lukas Name: Unknown ID: Schweregrad-ID: Kategorie-ID: Warnungsart: Nicht klassifizierte Software Aktion: Ignorieren Record Number: 163200 Source Name: Microsoft-Windows-Windows Defender Time Written: 20090717211940.000000-000 Event Type: Informationen User: =====Application event log===== Computer Name: Lukas-PC Event Code: 12290 Message: Volumeschattenkopie-Dienstwarnung: ASR writer Error 0x80070565. hr = 0x00000000. Vorgang: OnIdentify-Ereignis Generatordaten werden gesammelt Kontext: Ausführungskontext: ASR Writer Generatorklassen-ID: {be000cbe-11fe-4426-9c58-531aa6355fc4} Generatorname: ASR Writer Generatorinstanz-ID: {76078160-d1bb-41d5-b654-9508c7c0915b} Record Number: 64924 Source Name: VSS Time Written: 20090717160533.000000-000 Event Type: Warnung User: Computer Name: Lukas-PC Event Code: 8193 Message: Fehler beim Erstellen des Wiederherstellungspunkts auf dem Volume (Prozess = C:\Windows\system32\svchost.exe -k netsvcs; Beschreibung = Windows Update; Hr = 0x81000109). Record Number: 64925 Source Name: System Restore Time Written: 20090717160557.000000-000 Event Type: Fehler User: Computer Name: Lukas-PC Event Code: 12290 Message: Volumeschattenkopie-Dienstwarnung: ASR writer Error 0x80070565. hr = 0x00000000. Vorgang: OnIdentify-Ereignis Generatordaten werden gesammelt Kontext: Ausführungskontext: ASR Writer Generatorklassen-ID: {be000cbe-11fe-4426-9c58-531aa6355fc4} Generatorname: ASR Writer Generatorinstanz-ID: {76078160-d1bb-41d5-b654-9508c7c0915b} Record Number: 64926 Source Name: VSS Time Written: 20090717183210.000000-000 Event Type: Warnung User: Computer Name: Lukas-PC Event Code: 8193 Message: Fehler beim Erstellen des Wiederherstellungspunkts auf dem Volume (Prozess = C:\Windows\system32\rundll32.exe /d srrstr.dll,ExecuteScheduledSPPCreation; Beschreibung = Geplanter Prüfpunkt; Hr = 0x81000109). Record Number: 64927 Source Name: System Restore Time Written: 20090717183219.000000-000 Event Type: Fehler User: Computer Name: Lukas-PC Event Code: 8210 Message: Der geplante Wiederherstellungspunkt konnte nicht erstellt werden. Zusätzliche Informationen: (0x81000109). Record Number: 64928 Source Name: System Restore Time Written: 20090717183219.000000-000 Event Type: Fehler User: =====Security event log===== Computer Name: Lukas-PC Event Code: 5038 Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen. Dateiname: \Device\HarddiskVolume2\Windows\System32\drivers\klif.sys Record Number: 54350 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090717212719.208352-000 Event Type: Überwachung gescheitert User: Computer Name: Lukas-PC Event Code: 5038 Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen. Dateiname: \Device\HarddiskVolume2\Windows\System32\drivers\klmouflt.sys Record Number: 54351 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090717212719.379952-000 Event Type: Überwachung gescheitert User: Computer Name: Lukas-PC Event Code: 5038 Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen. Dateiname: \Device\HarddiskVolume2\Windows\System32\drivers\klmouflt.sys Record Number: 54352 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090717212719.489152-000 Event Type: Überwachung gescheitert User: Computer Name: Lukas-PC Event Code: 5038 Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen. Dateiname: \Device\HarddiskVolume2\Windows\System32\drivers\klmouflt.sys Record Number: 54353 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090717212719.598352-000 Event Type: Überwachung gescheitert User: Computer Name: Lukas-PC Event Code: 5038 Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen. Dateiname: \Device\HarddiskVolume2\Windows\System32\drivers\klmouflt.sys Record Number: 54354 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090717212719.691952-000 Event Type: Überwachung gescheitert User: ======Environment variables====== "ComSpec"=%SystemRoot%\system32\cmd.exe "FP_NO_HOST_CHECK"=NO "OS"=Windows_NT "Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;c:\Program Files\ATI Technologies\ATI.ACE\Core-Static "PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC "PROCESSOR_ARCHITECTURE"=x86 "TEMP"=%SystemRoot%\TEMP "TMP"=%SystemRoot%\TEMP "USERNAME"=SYSTEM "windir"=%SystemRoot% "PROCESSOR_LEVEL"=15 "PROCESSOR_IDENTIFIER"=x86 Family 15 Model 104 Stepping 1, AuthenticAMD "PROCESSOR_REVISION"=6801 "NUMBER_OF_PROCESSORS"=2 -----------------EOF----------------- |
17.07.2009, 22:59 | #6 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll und log: Und vielen Dank nochmal, bin echt froh dass ich auf dieses Forum gestossen bin. Gruß Lukas |
17.07.2009, 23:07 | #7 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll 1.) Was ist dein Laufwerk G:? 2.) Entscheide dich für ein Antivirenprogramm und deinstalliere alle anderen, auch Spybot kommt weg. 3.) Sieht so aus, als hätte der Defender dich tatsächlich geschützt, das ist ja ganz etwas Neues. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
17.07.2009, 23:44 | #8 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll Also: 1) Ich hab keinen blassen Dunst was Laufwerg G: ist, ich glaube das ist mit dem Trojaner aufgetaucht. 2) Also Spybot hab ich deinstalliert. Ich dachte ehrlich gesagt, ich hätte nur noch Kaspersky auf dem Rechner, dass einzige was ich jetzt noch gefunden habe war nen Symantec Updater, den ich jetzt aber auch deinstalliert habe. |
17.07.2009, 23:49 | #9 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll 1.) Download und Ausführung des Norton-Entfernungsprogramms (nur Schritt 1 und 2 ) 2.) Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an. ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
18.07.2009, 00:42 | #10 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll Ich hab das Entfernungsprogramm durchlaufen lassen und die Meldung bekommen das es weg wäre, aber wenn ich ComboFix starte teilt das mir mit es wäre immer noch da?! |
18.07.2009, 06:44 | #11 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll Ja, deshalb wird Norton ja von einigen auch als "die gelbe Pest" oder der "wahrscheinlich längste Virus der Welt" bezeichnet, es lässt sich schwerer entfernen als einige Schädlinge. Deinstalliere alles, das sich Norton oder Symantec schimpft, lasse nochmal das Entfernungsprogramm laufen und versuche es nochmal, ohne Combofix ist der Weg zur Entfernung doppelt so lang. Sollte alles nicht funktionieren dann: 1.) Lade dir bitte das Programm SysProt. 2.) Klicke auf die Karte Log. 3.) Markiere:
4.) Klick auf Create Log. 5.) Wähle: Scan root drive only. 6.) Klicke auf Start. 7.) Poste den Inhalt von SysProtLog.txt, dass du auf dem Desktop findest. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
18.07.2009, 07:56 | #12 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll Guten morgen, ich hab letzte nacht einfach das Entfernungsprogramm nochmal durchlaufen lassen und danach hat ComboFix nicht mehr gemeckert. Allerdings konnte ich Firefox nach dem ComboFix Durchlauf nicht mehr starten, was aber heute morgen wieder ging. Außerdem zeigt mir Kaspersky den Trojaner nicht mehr an und das ominöse Laufwerk G: ist auch weg Hier noch das ComboFixLog |
18.07.2009, 08:38 | #13 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll Da hat der Programmierer von ComboFix aber schnell reagiert und gute Sache gemacht. Danke an sUBs. 1.) Deaktiviere den Wächter von Kaspersky. 2.) Packe den Ordner C:\qoobox mit Zip oder Rar, lade das Archiv bei einem Filehoster hoch (z.B. www.materialordner.de) und schicke mir den Link als Private Nachricht. 3.) Aktiviere den Wächter von Kaspersky. 4.) Deinstalliere:
ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
18.07.2009, 09:39 | #14 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll und die RSIT-files: info: Code:
ATTFilter info.txt logfile of random's system information tool 1.06 2009-07-18 10:15:36 ======Uninstall list====== -->C:\Program Files\Common Files\Real\Update_OB\r1puninst.exe RealNetworks|RealPlayer|6.0 -->C:\Program Files\DivX\DivXConverterUninstall.exe /CONVERTER -->C:\Program Files\Nero\Nero 7\nero\uninstall\UNNERO.exe /UNINSTALL -->C:\Windows\uninst.exe -fd:\spiele\simtower\DeIsL1.isu -->C:\Windows\UNNeroMediaHome.exe /UNINSTALL -->C:\Windows\UNNeroShowTime.exe /UNINSTALL -->C:\Windows\UNNeroVision.exe /UNINSTALL -->C:\Windows\UNRecode.exe /UNINSTALL 3DMark05-->RunDll32 C:\PROGRA~1\COMMON~1\INSTAL~1\PROFES~1\RunTime\10\01\Intel32\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{2DF7B278-D3B6-40A4-B25C-0E7149F439EA}\setup.exe" -l0x9 -removeonly Adobe Flash Player 10 Plugin-->C:\Windows\system32\Macromed\Flash\uninstall_plugin.exe Adobe Flash Player 9 ActiveX-->MsiExec.exe /X{8186E1B9-DDC6-45B6-B9EB-C28947CBC4CF} Adobe Photoshop Elements 6.0-->msiexec /I {F54AC413-D2C6-4A24-B324-370C223C6250} Adobe Reader 8.1.4 - Deutsch-->MsiExec.exe /I{AC76BA86-7AD7-1031-7B44-A81300000003} Adobe Shockwave Player-->C:\Windows\System32\Adobe\SHOCKW~1\UNWISE.EXE C:\Windows\System32\Adobe\SHOCKW~1\Install.log Ankh Herz des Osiris-->"D:\Spiele\Ankh Herz des Osiris\unins000.exe" Apple Mobile Device Support-->MsiExec.exe /I{AFA20D47-69C3-4030-8DF8-D37466E70F13} ATI Uninstaller-->C:\Program Files\ATI\CIM\Bin\Atisetup.exe -uninstall all Avanquest update-->C:\Program Files\InstallShield Installation Information\{76E41F43-59D2-4F30-BA42-9A762EE1E8DE}\Setup.exe -runfromtemp -l0x0009 -removeonly CCleaner (remove only)-->"C:\Program Files\CCleaner\uninst.exe" Choice Guard-->MsiExec.exe /I{8FFC5648-FAF8-43A3-BC8F-42BA1E275C4E} Citavi 2.5-->C:\Program Files\Citavi\Deinstallieren.exe Compatibility Pack for the 2007 Office system-->MsiExec.exe /X{90120000-0020-0409-0000-0000000FF1CE} DivX Codec-->C:\Program Files\DivX\DivXCodecUninstall.exe /CODEC DivX Converter-->C:\Program Files\DivX\DivXConverterUninstall.exe /CONVERTER DivX Player-->C:\Program Files\DivX\DivXPlayerUninstall.exe /PLAYER DivX Web Player-->C:\Program Files\DivX\DivXWebPlayerUninstall.exe /PLUGIN FirstSteps Diagnostics-->MsiExec.exe /X{94D66D71-12F0-48A5-B46A-D4B835A0F1B7} FreePDF XP (Remove only)-->C:\Program Files\FreePDF_XP\fpsetup.exe /r FSCLounge-->MsiExec.exe /I{9A3BC157-B94F-4EFD-ABA9-1E56DEB00655} Google Earth-->MsiExec.exe /X{CC016F21-3970-11DE-B878-005056806466} Google Update Helper-->MsiExec.exe /I{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2} GPL Ghostscript 8.64-->C:\Program Files\gs\uninstgs.exe "C:\Program Files\gs\gs8.64\uninstal.txt" GTA2-->RunDll32 C:\PROGRA~1\COMMON~1\INSTAL~1\PROFES~1\RunTime\0701\Intel32\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{2987EE84-C4EE-4FF5-8160-32DE00D6ABC6}\Setup.exe" -l0x9 Heroes of Might and Magic® IV-->C:\Windows\IsUn0407.exe -f"d:\spiele\Heroes IV\Heroes of Might and Magic IV.isu" -c"C:\Program Files\Common Files\3DO Shared\3DOUnInst.dll HijackThis 2.0.2-->"C:\Program Files\Trend Micro\HijackThis\HijackThis.exe" /uninstall Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall /qb+ REBOOTPROMPT="" Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall {A7EEA2F2-BFCD-4A54-A575-7B81A786E658} /qb+ REBOOTPROMPT="" Icy Tower v1.3.1-->"D:\Spiele\icytower\unins000.exe" iPod Messenger-->\uninstallipod.exe iTunes-->MsiExec.exe /I{5EFCBB42-36AB-4FF9-B90C-E78C7B9EE7B3} Java(TM) 6 Update 14-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216010FF} Kaspersky Anti-Virus 2010-->MsiExec.exe /I{943B6738-4801-4982-90EC-0442EF7AEB16} Kaspersky Anti-Virus 2010-->MsiExec.exe /I{943B6738-4801-4982-90EC-0442EF7AEB16} Malwarebytes' Anti-Malware-->"C:\Program Files\Malwarebytes' Anti-Malware\unins000.exe" Marble Arena 1.4-->"D:\Spiele\Marble Arena\unins000.exe" Messenger Plus! Live-->"C:\Program Files\Messenger Plus! Live\Uninstall.exe" Microsoft .NET Framework 3.5 SP1-->c:\Windows\Microsoft.NET\Framework\v3.5\Microsoft .NET Framework 3.5 SP1\setup.exe Microsoft .NET Framework 3.5 SP1-->MsiExec.exe /I{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} Microsoft Office Professional Edition 2003-->MsiExec.exe /I{90110407-6000-11D3-8CFE-0150048383C9} Microsoft Silverlight-->MsiExec.exe /I{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00} Microsoft Visual C++ 2005 Redistributable-->MsiExec.exe /X{7299052b-02a4-4627-81f2-1818da5d550d} Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022-->MsiExec.exe /X{FF66E9F6-83E7-3A3E-AF14-8DE9A809A6A4} Mozilla Firefox (3.0.11)-->C:\Program Files\Mozilla Firefox\uninstall\helper.exe MSVCRT-->MsiExec.exe /I{22B775E7-6C42-4FC5-8E10-9A5E3257BD94} MSXML 4.0 SP2 (KB941833)-->MsiExec.exe /I{C523D256-313D-4866-B36A-F3DE528246EF} MSXML 4.0 SP2 (KB954430)-->MsiExec.exe /I{86493ADD-824D-4B8E-BD72-8C5DCDC52A71} Nero 7 Essentials-->MsiExec.exe /X{81CD6232-10F5-4832-B3DA-1B88B1571031} ObjectDock-->C:\PROGRA~1\Stardock\OBJECT~1\UNWISE.EXE C:\PROGRA~1\Stardock\OBJECT~1\INSTALL.LOG PPMate Network TV 2.0.0.40-->C:\Program Files\PPMate\uninst.exe RealPlayer-->C:\Program Files\Common Files\Real\Update_OB\r1puninst.exe RealNetworks|RealPlayer|6.0 Realtek High Definition Audio Driver-->RtlUpd.exe -r -m RedMon - Redirection Port Monitor-->C:\Windows\system32\unredmon.exe ScummVM 0.12.0-->"C:\Program Files\ScummVM\unins000.exe" Security Update for CAPICOM (KB931906)-->MsiExec.exe /I{0EFDF2F9-836D-4EB7-A32D-038BD3F1FB2A} Security Update for CAPICOM (KB931906)-->MsiExec.exe /X{0EFDF2F9-836D-4EB7-A32D-038BD3F1FB2A} SimCity 2000® Special Edition-->C:\Windows\uninst.exe -fD:\SPIELE\SC2KDE\DeIsL1.isu SopCast 3.0.3-->C:\Program Files\SopCast\uninst.exe Spelling Dictionaries Support For Adobe Reader 8-->MsiExec.exe /I{AC76BA86-7AD7-5464-3428-800000000003} SPSS Statistics 17.0-->MsiExec.exe /X{46B65150-F8AA-42F2-94FB-2729A8AE5F7E} Theme Hospital-->C:\Windows\unin0407.exe -f"d:\spiele\Theme Hospital\DeIsL1.isu" TVAnts 1.0-->C:\PROGRA~1\TVAnts\UNWISE.EXE C:\PROGRA~1\TVAnts\INSTALL.LOG Update for Microsoft .NET Framework 3.5 SP1 (KB963707)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall {B2AE9C82-DC7B-3641-BFC8-87275C4F3607} /qb+ REBOOTPROMPT="" Windows Live Anmelde-Assistent-->MsiExec.exe /I{83E2CFA9-E0EB-4E08-9F85-43E577FF3D60} Windows Live Call-->MsiExec.exe /I{5FC68772-6D56-41C6-9DF1-24E868198AE6} Windows Live Communications Platform-->MsiExec.exe /I{3B4E636E-9D65-4D67-BA61-189800823F52} Windows Live Essentials-->C:\Program Files\Windows Live\Installer\wlarp.exe Windows Live Essentials-->MsiExec.exe /I{91E04CA7-0B13-4F8C-AA4D-2A573AC96D19} Windows Live Messenger-->MsiExec.exe /X{837B6259-6FF5-4E66-87C1-A5A15ED36FF4} Windows Live-Uploadtool-->MsiExec.exe /I{205C6BDD-7B73-42DE-8505-9A093F35A238} Windows Media Player Firefox Plugin-->MsiExec.exe /I{69FDFBB6-351D-4B8C-89D8-867DC9D0A2A4} WinRAR-->C:\Program Files\WinRAR\uninstall.exe ======Security center information====== AV: Kaspersky Anti-Virus AS: Windows-Defender AS: Kaspersky Anti-Virus ======System event log====== Computer Name: Lukas-PC Event Code: 7036 Message: Dienst "Startprogramm für Windows Media Center" befindet sich jetzt im Status "Beendet". Record Number: 163864 Source Name: Service Control Manager Time Written: 20090718081044.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 7036 Message: Dienst "Windows Update" befindet sich jetzt im Status "Ausgeführt". Record Number: 163865 Source Name: Service Control Manager Time Written: 20090718081046.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 10029 Message: DCOM hat den Dienst TrustedInstaller mit den Argumenten "" gestartet, um den Server auszuführen: {752073A1-23F2-4396-85F0-8FDB879ED0ED} Record Number: 163866 Source Name: Microsoft-Windows-DistributedCOM Time Written: 20090718081237.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 7036 Message: Dienst "Windows Modules Installer" befindet sich jetzt im Status "Ausgeführt". Record Number: 163867 Source Name: Service Control Manager Time Written: 20090718081237.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 7036 Message: Dienst "Anwendungsinformationen" befindet sich jetzt im Status "Ausgeführt". Record Number: 163868 Source Name: Service Control Manager Time Written: 20090718081301.000000-000 Event Type: Informationen User: =====Application event log===== Computer Name: Lukas-PC Event Code: 1 Message: Der Zertifikatdiensteclient wurde erfolgreich gestartet. Record Number: 65118 Source Name: Microsoft-Windows-CertificateServicesClient Time Written: 20090718080841.972982-000 Event Type: Informationen User: NT-AUTORITÄT\SYSTEM Computer Name: Lukas-PC Event Code: 0 Message: Record Number: 65119 Source Name: iPod Service Time Written: 20090718080847.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 1003 Message: Der Windows-Suchdienst wurde gestartet. Record Number: 65120 Source Name: Microsoft-Windows-Search Time Written: 20090718080855.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 0 Message: Record Number: 65121 Source Name: gupdate1ca0616fc6cf981 Time Written: 20090718080901.000000-000 Event Type: Informationen User: Computer Name: Lukas-PC Event Code: 1 Message: Der Windows-Sicherheitscenterdienst wurde gestartet. Record Number: 65122 Source Name: SecurityCenter Time Written: 20090718081042.000000-000 Event Type: Informationen User: =====Security event log===== Computer Name: Lukas-PC Event Code: 4672 Message: Einer neuen Anmeldung wurden besondere Rechte zugewiesen. Antragsteller: Sicherheits-ID: S-1-5-18 Kontoname: SYSTEM Kontodomäne: NT-AUTORITÄT Anmelde-ID: 0x3e7 Berechtigungen: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege Record Number: 54624 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090718081236.155382-000 Event Type: Überwachung erfolgreich User: Computer Name: Lukas-PC Event Code: 4624 Message: Ein Konto wurde erfolgreich angemeldet. Antragsteller: Sicherheits-ID: S-1-0-0 Kontoname: - Kontodomäne: - Anmelde-ID: 0x0 Anmeldetyp: 3 Neue Anmeldung: Sicherheits-ID: S-1-5-7 Kontoname: ANONYMOUS-ANMELDUNG Kontodomäne: NT-AUTORITÄT Anmelde-ID: 0x1e2e5d Anmelde-GUID: {00000000-0000-0000-0000-000000000000} Prozessinformationen: Prozess-ID: 0x0 Prozessname: - Netzwerkinformationen: Arbeitsstationsname: ACER Quellnetzwerkadresse: 192.168.178.25 Quellport: 49346 Detaillierte Authentifizierungsinformationen: Anmeldeprozess: NtLmSsp Authentifizierungspaket: NTLM Übertragene Dienste: - Paketname (nur NTLM): NTLM V1 Schlüssellänge: 128 Dieses Ereignis wird beim Erstellen einer Anmeldesitzung generiert. Es wird auf dem Computer generiert, auf den zugegriffen wurde. Die Antragstellerfelder geben das Konto auf dem lokalen System an, von dem die Anmeldung angefordert wurde. Dies ist meistens ein Dienst wie der Serverdienst oder ein lokaler Prozess wie "Winlogon.exe" oder "Services.exe". Das Anmeldetypfeld gibt den jeweiligen Anmeldetyp an. Die häufigsten Typen sind 2 (interaktiv) und 3 (Netzwerk). Die Felder für die neue Anmeldung geben das Konto an, für das die Anmeldung erstellt wurde, d. h. das angemeldete Konto. Die Netzwerkfelder geben die Quelle einer Remoteanmeldeanforderung an. der Arbeitsstationsname ist nicht immer verfügbar und kann in manchen Fällen leer bleiben. Die Felder für die Authentifizierungsinformationen enthalten detaillierte Informationen zu dieser speziellen Anmeldeanforderung. - Die Anmelde-GUID ist ein eindeutiger Bezeichner, der verwendet werden kann, um dieses Ereignis mit einem KDC-Ereignis zu korrelieren. - Die übertragenen Dienste geben an, welche Zwischendienste an der Anmeldeanforderung beteiligt waren. - Der Paketname gibt das in den NTLM-Protokollen verwendete Unterprotokoll an. - Die Schlüssellänge gibt die Länge des generierten Sitzungsschlüssels an. Wenn kein Sitzungsschlüssel angefordert wurde, ist dieser Wert 0. Record Number: 54625 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090718081655.269982-000 Event Type: Überwachung erfolgreich User: Computer Name: Lukas-PC Event Code: 4624 Message: Ein Konto wurde erfolgreich angemeldet. Antragsteller: Sicherheits-ID: S-1-0-0 Kontoname: - Kontodomäne: - Anmelde-ID: 0x0 Anmeldetyp: 3 Neue Anmeldung: Sicherheits-ID: S-1-5-7 Kontoname: ANONYMOUS-ANMELDUNG Kontodomäne: NT-AUTORITÄT Anmelde-ID: 0x1e2f0b Anmelde-GUID: {00000000-0000-0000-0000-000000000000} Prozessinformationen: Prozess-ID: 0x0 Prozessname: - Netzwerkinformationen: Arbeitsstationsname: ACER Quellnetzwerkadresse: 192.168.178.25 Quellport: 49347 Detaillierte Authentifizierungsinformationen: Anmeldeprozess: NtLmSsp Authentifizierungspaket: NTLM Übertragene Dienste: - Paketname (nur NTLM): NTLM V1 Schlüssellänge: 128 Dieses Ereignis wird beim Erstellen einer Anmeldesitzung generiert. Es wird auf dem Computer generiert, auf den zugegriffen wurde. Die Antragstellerfelder geben das Konto auf dem lokalen System an, von dem die Anmeldung angefordert wurde. Dies ist meistens ein Dienst wie der Serverdienst oder ein lokaler Prozess wie "Winlogon.exe" oder "Services.exe". Das Anmeldetypfeld gibt den jeweiligen Anmeldetyp an. Die häufigsten Typen sind 2 (interaktiv) und 3 (Netzwerk). Die Felder für die neue Anmeldung geben das Konto an, für das die Anmeldung erstellt wurde, d. h. das angemeldete Konto. Die Netzwerkfelder geben die Quelle einer Remoteanmeldeanforderung an. der Arbeitsstationsname ist nicht immer verfügbar und kann in manchen Fällen leer bleiben. Die Felder für die Authentifizierungsinformationen enthalten detaillierte Informationen zu dieser speziellen Anmeldeanforderung. - Die Anmelde-GUID ist ein eindeutiger Bezeichner, der verwendet werden kann, um dieses Ereignis mit einem KDC-Ereignis zu korrelieren. - Die übertragenen Dienste geben an, welche Zwischendienste an der Anmeldeanforderung beteiligt waren. - Der Paketname gibt das in den NTLM-Protokollen verwendete Unterprotokoll an. - Die Schlüssellänge gibt die Länge des generierten Sitzungsschlüssels an. Wenn kein Sitzungsschlüssel angefordert wurde, ist dieser Wert 0. Record Number: 54626 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090718081655.285582-000 Event Type: Überwachung erfolgreich User: Computer Name: Lukas-PC Event Code: 4634 Message: Ein Konto wurde abgemeldet. Antragsteller: Sicherheits-ID: S-1-5-7 Kontoname: ANONYMOUS-ANMELDUNG Kontodomäne: NT-AUTORITÄT Anmelde-ID: 0x1e2e5d Anmeldetyp: 3 Dieses Ereignis wird generiert, wenn eine Anmeldesitzung zerstört wird. Es kann anhand des Wertes der Anmelde-ID positiv mit einem Anmeldeereignis korreliert werden. Anmelde-IDs sind nur zwischen Neustarts auf demselben Computer eindeutig. Record Number: 54627 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090718081706.377182-000 Event Type: Überwachung erfolgreich User: Computer Name: Lukas-PC Event Code: 4634 Message: Ein Konto wurde abgemeldet. Antragsteller: Sicherheits-ID: S-1-5-7 Kontoname: ANONYMOUS-ANMELDUNG Kontodomäne: NT-AUTORITÄT Anmelde-ID: 0x1e2f0b Anmeldetyp: 3 Dieses Ereignis wird generiert, wenn eine Anmeldesitzung zerstört wird. Es kann anhand des Wertes der Anmelde-ID positiv mit einem Anmeldeereignis korreliert werden. Anmelde-IDs sind nur zwischen Neustarts auf demselben Computer eindeutig. Record Number: 54628 Source Name: Microsoft-Windows-Security-Auditing Time Written: 20090718081706.377182-000 Event Type: Überwachung erfolgreich User: ======Environment variables====== "ComSpec"=%SystemRoot%\system32\cmd.exe "FP_NO_HOST_CHECK"=NO "OS"=Windows_NT "Path"=%systemroot%\system32;%systemroot%;%systemroot%\system32\wbem;c:\Program Files\ATI Technologies\ATI.ACE\Core-Static "PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC "PROCESSOR_ARCHITECTURE"=x86 "TEMP"=%SystemRoot%\TEMP "TMP"=%SystemRoot%\TEMP "USERNAME"=SYSTEM "windir"=%SystemRoot% "PROCESSOR_LEVEL"=15 "PROCESSOR_IDENTIFIER"=x86 Family 15 Model 104 Stepping 1, AuthenticAMD "PROCESSOR_REVISION"=6801 "NUMBER_OF_PROCESSORS"=2 -----------------EOF----------------- |
18.07.2009, 09:40 | #15 |
| Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll log: Code:
ATTFilter Logfile of random's system information tool 1.06 (written by random/random) Run by Lukas at 2009-07-18 10:15:12 Microsoft® Windows Vista™ Home Premium System drive C: has 38 GB (41%) free of 94 GB Total RAM: 1918 MB (59% free) Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 10:15:29, on 18.07.2009 Platform: Windows Vista (WinNT 6.00.1904) MSIE: Internet Explorer v7.00 (7.00.6000.16851) Boot mode: Normal Running processes: C:\Windows\system32\Dwm.exe C:\Windows\Explorer.EXE C:\Program Files\Windows Defender\MSASCui.exe C:\Windows\RtHDVCpl.exe C:\Program Files\iTunes\iTunesHelper.exe C:\Program Files\FreePDF_XP\fpassist.exe C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\Program Files\Windows Live\Messenger\msnmsgr.exe C:\Program Files\Stardock\ObjectDock\ObjectDock.exe C:\Windows\system32\taskeng.exe C:\Program Files\Windows Live\Contacts\wlcomm.exe C:\Windows\system32\wbem\unsecapp.exe C:\Users\Lukas\Downloads\RSIT.exe C:\Program Files\Trend Micro\HijackThis\Lukas.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = O1 - Hosts: ::1 localhost O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Asz.Citavi.IEPicker.IEPickerButton - {609D670F-B735-4da7-AC6D-F3BD358E325E} - C:\Windows\system32\mscoree.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe O4 - HKLM\..\Run: [recinfo271] c:\RecInfo\RecInfo.exe O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [FreePDF Assistant] C:\Program Files\FreePDF_XP\fpassist.exe O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe" O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background O4 - Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe O8 - Extra context menu item: &Citavi Picker... - file://C:\Program Files\Internet Explorer\PLUGINS\Citavi Picker\ShowContextMenu.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\ssv.dll O9 - Extra button: &Virtuelle Tastatur - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll O9 - Extra button: Citavi Picker - {619D670F-B735-4da7-AC6D-F3BD358E325E} - C:\Windows\system32\mscoree.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL O9 - Extra button: Li&nks untersuchen - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll O13 - Gopher Prefix: O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: Google Update Service (gupdate1ca0616fc6cf981) (gupdate1ca0616fc6cf981) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe O23 - Service: Fujitsu Siemens Computers Diagnostic Testhandler (TestHandler) - Fujitsu Siemens Computers - C:\firststeps\OnlineDiagnostic\TestManager\TestHandler.exe -- End of file - 5769 bytes ======Scheduled tasks folder====== C:\Windows\tasks\GoogleUpdateTaskMachineCore.job C:\Windows\tasks\GoogleUpdateTaskMachineUA.job ======Registry dump====== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}] Adobe PDF Reader - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll [2006-10-23 62080] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{3049C3E9-B461-4BC5-8870-4C09146192CA}] RealPlayer Download and Record Plugin for Internet Explorer - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll [2008-05-28 308856] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C}] IEVkbdBHO Class - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll [2009-05-25 68112] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{609D670F-B735-4da7-AC6D-F3BD358E325E}] Asz.Citavi.IEPicker.IEPickerButton - C:\Windows\system32\mscoree.dll [2008-07-27 282112] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}] SSVHelper Class - C:\Program Files\Java\jre6\bin\ssv.dll [2009-05-21 320920] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}] Windows Live Anmelde-Hilfsprogramm - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll [2009-02-17 408440] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}] Java(tm) Plug-In 2 SSV Helper - C:\Program Files\Java\jre6\bin\jp2ssv.dll [2009-05-21 41368] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E33CF602-D945-461A-83F0-819F76A199F8}] FilterBHO Class - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll [2009-05-25 264720] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] "Windows Defender"=C:\Program Files\Windows Defender\MSASCui.exe [2007-10-16 1006264] "RtHDVCpl"=C:\Windows\RtHDVCpl.exe [2007-04-10 4431872] "recinfo271"=c:\RecInfo\RecInfo.exe [2007-09-14 2768896] "iTunesHelper"=C:\Program Files\iTunes\iTunesHelper.exe [2009-04-02 342312] "FreePDF Assistant"=C:\Program Files\FreePDF_XP\fpassist.exe [2008-07-22 357376] "Adobe Reader Speed Launcher"=C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe [2008-10-15 39792] "AVP"=C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe [2009-05-25 303376] "SunJavaUpdateSched"=C:\Program Files\Java\jre6\bin\jusched.exe [2009-05-21 148888] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "MsnMsgr"=C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe [2009-02-06 3885408] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher] C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe [2008-10-15 39792] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AppleSyncNotifier] C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe [] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ccApp] c:\Program Files\Common Files\Symantec Shared\ccApp.exe [] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools Lite] C:\Program Files\DAEMON Tools Lite\daemon.exe [2008-08-08 490952] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe [2009-04-02 342312] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe [2007-02-26 153136] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\osCheck] c:\Program Files\Norton Internet Security\osCheck.exe [] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] C:\Program Files\QuickTime\QTTask.exe -atboottime [] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Sony Ericsson PC Suite] C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe [2008-07-02 397312] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC] c:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe [2006-11-10 90112] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Symantec PIF AlertEng] C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe /a /m C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll [] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe] C:\Program Files\Common Files\Real\Update_OB\realsched.exe [2008-05-28 185896] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Users^Lukas^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OpenOffice.org 2.3.lnk] C:\PROGRA~1\OPENOF~1.3\program\QUICKS~1.EXE [] C:\Users\Lukas\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup Stardock ObjectDock.lnk - C:\Program Files\Stardock\ObjectDock\ObjectDock.exe [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLS"="C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\klogon] C:\Windows\system32\klogon.dll [2009-05-25 219664] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] "{AEB6717E-7E19-11d0-97EE-00C04FD91972}"= [] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] "dontdisplaylastusername"=0 "legalnoticecaption"= "legalnoticetext"= "shutdownwithoutlogon"=1 "undockwithoutlogon"=1 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] "NoDriveTypeAutoRun"=145 "NoDrives"=0 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] "NoDrives"= [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list] ======List of files/folders created in the last 1 months====== 2009-07-18 10:00:58 ----SHD---- C:\Config.Msi 2009-07-18 03:27:06 ----A---- C:\Comfi_log.txt 2009-07-18 02:58:47 ----SHD---- C:\$RECYCLE.BIN 2009-07-18 02:58:42 ----A---- C:\ComboFix.txt 2009-07-18 02:52:00 ----D---- C:\Windows\temp 2009-07-18 02:21:27 ----A---- C:\Windows\zip.exe 2009-07-18 02:21:27 ----A---- C:\Windows\SWREG.exe 2009-07-18 02:21:27 ----A---- C:\Windows\sed.exe 2009-07-18 02:21:27 ----A---- C:\Windows\PEV.exe 2009-07-18 02:21:27 ----A---- C:\Windows\NIRCMD.exe 2009-07-18 02:21:27 ----A---- C:\Windows\grep.exe 2009-07-18 02:21:26 ----A---- C:\Windows\SWXCACLS.exe 2009-07-18 02:21:26 ----A---- C:\Windows\SWSC.exe 2009-07-18 01:27:43 ----D---- C:\Windows\ERDNT 2009-07-18 01:26:09 ----AD---- C:\Qoobox 2009-07-18 00:56:24 ----D---- C:\ProgramData\NortonInstaller 2009-07-17 23:26:57 ----D---- C:\rsit 2009-07-17 21:48:46 ----D---- C:\Users\Lukas\AppData\Roaming\Malwarebytes 2009-07-17 21:48:32 ----D---- C:\ProgramData\Malwarebytes 2009-07-17 21:48:23 ----D---- C:\Program Files\Malwarebytes' Anti-Malware 2009-07-16 16:56:08 ----A---- C:\Windows\system32\javaws.exe 2009-07-16 16:56:08 ----A---- C:\Windows\system32\javaw.exe 2009-07-16 16:56:08 ----A---- C:\Windows\system32\java.exe 2009-07-16 15:09:40 ----D---- C:\Program Files\Google 2009-07-16 11:46:23 ----D---- C:\Program Files\Trend Micro 2009-07-16 11:03:27 ----A---- C:\Windows\system32\infocardapi.dll 2009-07-16 11:03:26 ----A---- C:\Windows\system32\PresentationCFFRasterizerNative_v0300.dll 2009-07-16 11:03:21 ----A---- C:\Windows\system32\PresentationHostProxy.dll 2009-07-16 11:03:21 ----A---- C:\Windows\system32\icardres.dll 2009-07-16 11:03:21 ----A---- C:\Windows\system32\icardagt.exe 2009-07-16 11:03:14 ----A---- C:\Windows\system32\PresentationNative_v0300.dll 2009-07-16 11:03:00 ----A---- C:\Windows\system32\PresentationHost.exe 2009-07-16 10:38:45 ----A---- C:\Windows\system32\dfshim.dll 2009-07-16 10:38:33 ----A---- C:\Windows\system32\mscoree.dll 2009-07-16 10:38:30 ----A---- C:\Windows\system32\netfxperf.dll 2009-07-16 10:38:11 ----A---- C:\Windows\system32\mscorier.dll 2009-07-16 10:38:07 ----A---- C:\Windows\system32\mscories.dll 2009-07-15 17:42:59 ----D---- C:\Program Files\CCleaner 2009-07-15 13:04:07 ----A---- C:\Windows\system32\t2embed.dll 2009-07-15 13:04:06 ----A---- C:\Windows\system32\lpk.dll 2009-07-15 13:04:06 ----A---- C:\Windows\system32\fontsub.dll 2009-07-15 13:04:06 ----A---- C:\Windows\system32\dciman32.dll 2009-07-15 13:04:06 ----A---- C:\Windows\system32\atmlib.dll 2009-07-15 13:04:06 ----A---- C:\Windows\system32\atmfd.dll 2009-07-13 15:58:33 ----D---- C:\ProgramData\Kaspersky Lab 2009-07-13 15:58:33 ----D---- C:\Program Files\Kaspersky Lab 2009-07-13 15:33:06 ----D---- C:\Windows\Minidump 2009-07-13 13:37:44 ----D---- C:\ProgramData\Kaspersky Lab Setup Files 2009-07-13 12:35:52 ----D---- C:\ProgramData\Windows Genuine Advantage 2009-07-11 18:59:35 ----D---- C:\ProgramData\FLEXnet 2009-07-11 18:58:15 ----D---- C:\Program Files\Common Files\Macrovision Shared 2009-07-11 18:34:14 ----D---- C:\Program Files\Adobe Photo Elements 6 Multi inkl Keygen 2009-07-11 01:39:32 ----D---- C:\Program Files\RSD 0.61 2009-07-11 00:35:51 ----D---- C:\Users\Lukas\AppData\Roaming\BitTorrent 2009-06-22 22:59:05 ----D---- C:\Program Files\Microsoft 2009-06-22 22:58:46 ----D---- C:\Program Files\Windows Live SkyDrive 2009-06-22 22:26:40 ----D---- C:\Program Files\Common Files\Windows Live 2009-06-20 11:24:08 ----D---- C:\Program Files\Stata10 2009-06-20 11:23:27 ----D---- C:\Users\Lukas\AppData\Roaming\Stata10 ======List of files/folders modified in the last 1 months====== 2009-07-18 10:05:00 ----SHD---- C:\Windows\Installer 2009-07-18 10:04:50 ----D---- C:\Program Files\Java 2009-07-18 10:04:49 ----D---- C:\Program Files\Common Files 2009-07-18 10:03:54 ----D---- C:\Windows\System32 2009-07-18 10:03:18 ----SHD---- C:\System Volume Information 2009-07-18 10:02:49 ----HD---- C:\ProgramData 2009-07-18 10:02:48 ----D---- C:\Windows\Tasks 2009-07-18 10:02:20 ----D---- C:\Program Files\DAEMON Tools Toolbar 2009-07-18 10:01:54 ----RD---- C:\Program Files 2009-07-18 10:01:05 ----D---- C:\Windows\system32\Tasks 2009-07-18 03:06:22 ----D---- C:\Windows\Microsoft.NET 2009-07-18 02:52:30 ----D---- C:\Windows 2009-07-18 02:52:30 ----A---- C:\Windows\system.ini 2009-07-18 02:51:16 ----D---- C:\Windows\system32\drivers 2009-07-18 02:47:28 ----D---- C:\Windows\AppPatch 2009-07-18 02:21:30 ----D---- C:\Windows\Prefetch 2009-07-18 02:09:19 ----D---- C:\ProgramData\Symantec 2009-07-18 00:33:50 ----D---- C:\Program Files\Spybot - Search & Destroy 2009-07-18 00:18:39 ----D---- C:\ProgramData\Spybot - Search & Destroy 2009-07-17 23:19:20 ----D---- C:\Program Files\WinRAR 2009-07-17 17:54:49 ----RSD---- C:\Windows\assembly 2009-07-17 04:21:56 ----D---- C:\Windows\inf 2009-07-17 04:17:50 ----D---- C:\Windows\winsxs 2009-07-16 17:39:04 ----D---- C:\Program Files\OpenOffice.org 2.3 2009-07-16 16:36:00 ----D---- C:\Windows\rescache 2009-07-16 14:04:47 ----D---- C:\Windows\Debug 2009-07-16 13:45:07 ----D---- C:\Windows\system32\catroot 2009-07-16 13:44:33 ----A---- C:\Windows\system32\PerfStringBackup.INI 2009-07-16 12:25:23 ----D---- C:\Program Files\Windows Mail 2009-07-16 12:25:21 ----D---- C:\Windows\system32\de-DE 2009-07-16 12:25:18 ----D---- C:\Windows\system32\XPSViewer 2009-07-16 12:25:17 ----D---- C:\Windows\system32\wbem 2009-07-16 12:25:17 ----D---- C:\Windows\system32\en-US 2009-07-16 11:23:01 ----D---- C:\Windows\system32\catroot2 2009-07-15 16:29:36 ----D---- C:\Windows\ModemLogs 2009-07-13 14:34:59 ----A---- C:\Windows\DUMPd641.tmp 2009-07-13 14:32:11 ----A---- C:\Windows\DUMPd3a3.tmp 2009-07-12 12:57:15 ----D---- C:\Program Files\RSD 0.587 2009-07-12 01:16:24 ----D---- C:\Windows\system32\config 2009-07-12 01:16:12 ----RSD---- C:\Windows\Media 2009-07-12 01:16:12 ----D---- C:\Windows\system32\spool 2009-07-12 01:16:12 ----D---- C:\Windows\system32\restore 2009-07-12 01:16:12 ----D---- C:\Windows\system32\Oem 2009-07-12 01:16:06 ----RD---- C:\Users 2009-07-12 01:16:01 ----D---- C:\nero 2009-07-12 01:16:00 ----RD---- C:\MANUAL 2009-07-12 01:16:00 ----RD---- C:\DRIVER 2009-07-12 01:16:00 ----D---- C:\FirstSteps 2009-07-12 01:15:47 ----D---- C:\Windows\registration 2009-07-12 01:12:21 ----D---- C:\Windows\system32\LogFiles 2009-07-11 20:26:54 ----D---- C:\Downloads 2009-07-11 19:02:56 ----D---- C:\Users\Lukas\AppData\Roaming\Adobe 2009-07-11 18:58:18 ----D---- C:\Program Files\Common Files\Adobe 2009-07-11 18:53:20 ----RSD---- C:\Windows\Fonts 2009-07-11 18:52:30 ----D---- C:\ProgramData\Adobe 2009-07-07 17:10:56 ----A---- C:\Windows\system32\mrt.exe 2009-06-28 16:57:37 ----D---- C:\Program Files\Messenger Plus! Live 2009-06-28 12:30:26 ----D---- C:\Fotos 2009-06-22 22:58:20 ----D---- C:\Program Files\Windows Live 2009-06-22 22:26:37 ----SD---- C:\ProgramData\Microsoft 2009-06-21 10:16:26 ----SD---- C:\Users\Lukas\AppData\Roaming\Microsoft ======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)====== R1 kl1;kl1; C:\Windows\system32\DRIVERS\kl1.sys [2009-07-13 128016] R1 KLIF;Kaspersky Lab Driver; C:\Windows\system32\DRIVERS\klif.sys [2009-07-13 280592] R1 KLIM6;Kaspersky Anti-Virus NDIS 6 Filter; C:\Windows\system32\DRIVERS\klim6.sys [2009-05-15 21008] R3 athr;Atheros Extensible Wireless LAN device driver; C:\Windows\system32\DRIVERS\athr.sys [2007-02-01 690176] R3 CmBatt;Treiber für Microsoft-ACPI-Kontrollmethodenkompatible Batterie; C:\Windows\system32\DRIVERS\CmBatt.sys [2008-02-26 14208] R3 GEARAspiWDM;GEAR ASPI Filter Driver; C:\Windows\System32\Drivers\GEARAspiWDM.sys [2009-03-19 23400] R3 IntcAzAudAddService;Service for Realtek HD Audio (WDM); C:\Windows\system32\drivers\RTKVHDA.sys [2007-04-10 1764960] R3 klmouflt;Kaspersky Lab KLMOUFLT; C:\Windows\system32\DRIVERS\klmouflt.sys [2009-05-16 19472] R3 R300;R300; C:\Windows\system32\DRIVERS\atikmdag.sys [2007-02-02 2385920] R3 RTL8169;Realtek 8169 NT Driver; C:\Windows\system32\DRIVERS\Rtlh86.sys [2007-01-15 70144] R3 smserial;smserial; C:\Windows\system32\DRIVERS\smserial.sys [2006-11-02 1010560] S2 kswlxqmqf;kswlxqmqf; \??\C:\Windows\system32\drivers\ukyytdempqsq.sys [] S3 a21bwwho;a21bwwho; C:\Windows\system32\drivers\a21bwwho.sys [] S3 catchme;catchme; \??\C:\Users\Lukas\AppData\Local\Temp\catchme.sys [] S3 drmkaud;Microsoft Kernel-DRM-Audioentschlüsselung; C:\Windows\system32\drivers\drmkaud.sys [2006-11-02 5632] S3 ENTECH;ENTECH; \??\C:\Windows\system32\DRIVERS\ENTECH.sys [2004-10-25 21664] S3 HdAudAddService;Microsoft 1.1 UAA-Funktionstreiber für High Definition Audio-Dienst; C:\Windows\system32\drivers\HdAudio.sys [2006-11-02 235520] S3 MSKSSRV;Microsoft Streaming Service Proxy; C:\Windows\system32\drivers\MSKSSRV.sys [2006-11-02 8192] S3 MSPCLOCK;Microsoft Proxy für Streaming Clock; C:\Windows\system32\drivers\MSPCLOCK.sys [2006-11-02 5888] S3 MSPQM;Microsoft Proxy für Streaming Quality Manager; C:\Windows\system32\drivers\MSPQM.sys [2006-11-02 5504] S3 MSTEE;Microsoft Streaming Tee/Sink-to-Sink-Konvertierung; C:\Windows\system32\drivers\MSTEE.sys [2006-11-02 6016] S3 s0016mgmt;Sony Ericsson Device 0016 USB WMC Device Management Drivers (WDM); C:\Windows\system32\DRIVERS\s0016mgmt.sys [2008-05-16 114216] S3 s0016obex;Sony Ericsson Device 0016 USB WMC OBEX Interface; C:\Windows\system32\DRIVERS\s0016obex.sys [2008-05-16 110632] S3 s0016unic;Sony Ericsson Device 0016 USB Ethernet Emulation SEMC0016 (WDM); C:\Windows\system32\DRIVERS\s0016unic.sys [2008-05-16 115752] S3 s116bus;Sony Ericsson Device 116 driver (WDM); C:\Windows\system32\DRIVERS\s116bus.sys [2007-04-03 83336] S3 s116mdfl;Sony Ericsson Device 116 USB WMC Modem Filter; C:\Windows\system32\DRIVERS\s116mdfl.sys [2007-04-03 15112] S3 s116mdm;Sony Ericsson Device 116 USB WMC Modem Driver; C:\Windows\system32\DRIVERS\s116mdm.sys [2007-04-03 108680] S4 iaStor;Intel RAID Controller; C:\Windows\system32\drivers\iastor.sys [2007-07-12 305176] S4 JRAID;JRAID; C:\Windows\system32\drivers\jraid.sys [2007-06-13 48256] S4 nvrd32;NVIDIA nForce RAID Driver; C:\Windows\system32\drivers\nvrd32.sys [2007-07-02 131616] S4 nvstor32;nvstor32; C:\Windows\system32\drivers\nvstor32.sys [2007-07-02 110112] S4 viamraid;viamraid; C:\Windows\system32\drivers\viamraid.sys [2006-11-08 102912] S4 WmiAcpi;Microsoft Windows Management Interface for ACPI; C:\Windows\system32\drivers\wmiacpi.sys [2006-11-02 11264] ======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)====== R2 Apple Mobile Device;Apple Mobile Device; C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe [2009-03-26 132424] R2 Ati External Event Utility;Ati External Event Utility; C:\Windows\system32\Ati2evxx.exe [2007-02-02 565248] R2 AVP;Kaspersky Anti-Virus; C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe [2009-05-25 303376] R2 TestHandler;Fujitsu Siemens Computers Diagnostic Testhandler; C:\firststeps\OnlineDiagnostic\TestManager\TestHandler.exe [2006-12-08 204800] R3 iPod Service;iPod-Dienst; C:\Program Files\iPod\bin\iPodService.exe [2009-04-02 656168] S2 gupdate1ca0616fc6cf981;Google Update Service (gupdate1ca0616fc6cf981); C:\Program Files\Google\Update\GoogleUpdate.exe [2009-07-16 133104] S3 FLEXnet Licensing Service;FLEXnet Licensing Service; C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe [2009-07-11 654848] S3 NMIndexingService;NMIndexingService; C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe [2007-02-26 267824] S3 ose;Office Source Engine; C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE [2003-07-28 89136] -----------------EOF----------------- |
Themen zu Trojan.Win32.Monder.cqbi in C:\Windows\System32\hjgruimrbejjbv.dll |
adobe, avira, bho, browser, combofix, defender, excel, explorer, google, hijack, hijackthis, hijackthis logfile, immer wieder, internet, internet explorer, internet security, jusched.exe, kaspersky, locker, logfile, plug-in, rundll, safer networking, security, software, symantec, system, tan, tastatur, virtuelle tastatur, vista, windows |