Hey Chris,

okay, hab die Datei checken lassen. Hier der Bericht von Virustotal:

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.24 2009.09.03 -
AhnLab-V3 5.0.0.2 2009.09.03 -
AntiVir 7.9.1.8 2009.09.03 -
Antiy-AVL 2.0.3.7 2009.09.03 -
Authentium 5.1.2.4 2009.09.03 -
Avast 4.8.1335.0 2009.09.03 -
AVG 8.5.0.409 2009.09.03 -
BitDefender 7.2 2009.09.03 -
CAT-QuickHeal 10.00 2009.09.02 Trojan.Agent.ATV
ClamAV 0.94.1 2009.09.03 -
Comodo 2196 2009.09.03 -
DrWeb 5.0.0.12182 2009.09.03 -
eSafe 7.0.17.0 2009.09.03 -
eTrust-Vet 31.6.6718 2009.09.03 -
F-Prot 4.5.1.85 2009.09.03 -
F-Secure 8.0.14470.0 2009.09.03 -
Fortinet 3.120.0.0 2009.09.03 -
GData 19 2009.09.03 -
Ikarus T3.1.1.72.0 2009.09.03 -
Jiangmin 11.0.800 2009.09.03 -
K7AntiVirus 7.10.835 2009.09.03 Trojan.Win32.Malware.1
Kaspersky 7.0.0.125 2009.09.03 -
McAfee 5730 2009.09.03 -
McAfee+Artemis 5730 2009.09.03 -
McAfee-GW-Edition 6.8.5 2009.09.03 Heuristic.LooksLike.Ad-Spyware.Burnfree.K
Microsoft 1.5005 2009.09.03 -
NOD32 4392 2009.09.03 -
Norman 6.01.09 2009.09.03 -
nProtect 2009.1.8.0 2009.09.03 -
Panda 10.0.2.2 2009.09.03 -
PCTools 4.4.2.0 2009.09.03 -
Prevx 3.0 2009.09.03 -
Rising 21.45.14.00 2009.09.01 -
Sophos 4.45.0 2009.09.03 -
Sunbelt 3.2.1858.2 2009.09.03 -
Symantec 1.4.4.12 2009.09.03 -
TheHacker 6.3.4.3.396 2009.09.03 -
TrendMicro 8.950.0.1094 2009.09.03 -
VBA32 3.12.10.10 2009.09.03 -
ViRobot 2009.9.3.1916 2009.09.03 -
VirusBuster 4.6.5.0 2009.09.03 -
weitere Informationen
File size: 806912 bytes
MD5...: d2b4a3c726bbb6625a6949ee8a3381f8
SHA1..: 956d129ecc58f059cf4b958b18560db60b08d643
SHA256: 0b2ccbc41442daa8554d1a3e638b6214b8f4117efe07c556c2629482f8d6b502
ssdeep: 12288:aKJGD91Y+oskxcegrSeRfglwxr+OhlKDlrgH8QkkQ7:aGGjYX7crFgLOhM
Jrefk

PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x551f6
timedatestamp.....: 0x489d4d02 (Sat Aug 09 07:53:38 2008)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x6d60a 0x6e000 6.67 eed3597799ac2517b53e9cac913ba314
.rdata 0x6f000 0x1afe6 0x1b000 5.17 00a3cfbcc4a7827f8ad6969c672296f8
.data 0x8a000 0x1c0c8 0x7000 4.84 3ea4e14647f2ebbc3b12bed74993e319
.SHARED 0xa7000 0x8 0x1000 0.00 620f0b67a91f7f74151bc5be745b7110
.rsrc 0xa8000 0x26bb0 0x27000 7.82 4698e42e82a5616fe074c323cdd5e00f
.reloc 0xcf000 0xbbac 0xc000 5.87 50361b4aea1957ce4755d33e17ec296d

( 13 imports )
> WININET.dll: InternetOpenUrlA, InternetConnectA, HttpOpenRequestA, HttpSendRequestA, InternetOpenA, InternetCloseHandle, HttpQueryInfoA, InternetQueryDataAvailable, InternetReadFile, InternetCrackUrlA, InternetGetConnectedState, InternetCanonicalizeUrlA, InternetCreateUrlA
> KERNEL32.dll: WaitForSingleObject, CreateProcessA, IsBadWritePtr, GetTickCount, MultiByteToWideChar, SizeofResource, LockResource, LoadResource, SetEnvironmentVariableA, SetEndOfFile, SetStdHandle, WriteConsoleW, GetConsoleOutputCP, WriteConsoleA, SetFilePointer, FlushFileBuffers, GetConsoleMode, GetConsoleCP, GetStringTypeW, GetStringTypeA, GetCurrentProcessId, QueryPerformanceCounter, GetEnvironmentStringsW, FreeEnvironmentStringsW, GetEnvironmentStrings, FreeEnvironmentStringsA, GetStartupInfoA, GetFileType, SetHandleCount, LCMapStringW, LCMapStringA, ExitProcess, HeapCreate, TlsFree, TlsSetValue, TlsAlloc, TlsGetValue, GetStdHandle, IsValidCodePage, GetOEMCP, GetCPInfo, GetTimeZoneInformation, GetSystemTimeAsFileTime, VirtualQuery, GetSystemInfo, VirtualProtect, IsDebuggerPresent, SetUnhandledExceptionFilter, UnhandledExceptionFilter, TerminateProcess, RtlUnwind, VirtualAlloc, VirtualFree, IsProcessorFeaturePresent, GetProcessHeap, HeapSize, HeapReAlloc, HeapFree, HeapAlloc, HeapDestroy, GetThreadLocale, GetLocaleInfoA, GetACP, ExpandEnvironmentStringsA, SetFileAttributesA, IsDBCSLeadByteEx, GetSystemDirectoryA, GetVolumeInformationA, CreateThread, GetExitCodeProcess, WriteFile, ResetEvent, GetFileSize, ReadFile, GetWindowsDirectoryA, GetFileAttributesA, CreateFileA, CreateDirectoryA, ReleaseMutex, GetVersionExA, FindResourceA, FindResourceExA, WideCharToMultiByte, EnterCriticalSection, LeaveCriticalSection, lstrlenA, FormatMessageA, GetModuleFileNameA, GetModuleHandleA, GetModuleHandleW, GetUserDefaultLangID, GetSystemDefaultLangID, Sleep, CreateMutexA, CloseHandle, CompareStringW, CompareStringA, InterlockedExchange, GlobalHandle, GlobalFree, GlobalLock, GlobalUnlock, MulDiv, lstrcmpA, GlobalAlloc, InterlockedCompareExchange, DisableThreadLibraryCalls, FreeLibrary, IsDBCSLeadByte, InterlockedDecrement, InterlockedIncrement, LoadLibraryExA, lstrcmpiA, DeleteCriticalSection, InitializeCriticalSection, LoadLibraryA, lstrlenW, GetCommandLineA, GetDateFormatA, GetTimeFormatA, CreateEventA, GetProcAddress, GetFileAttributesW, LocalAlloc, GetVersion, RaiseException, FlushInstructionCache, GetCurrentProcess, LoadLibraryW, GetLastError, SetLastError, GetModuleFileNameW, SetEvent, DeleteFileA, GetCurrentThreadId, OutputDebugStringA
> USER32.dll: LoadMenuA, InsertMenuItemA, SetMenuItemInfoA, LoadImageA, MessageBoxA, GetWindowLongA, GetParent, GetDlgItem, SetWindowPos, MapWindowPoints, GetClientRect, UnregisterClassA, SetWindowPlacement, FindWindowExA, EnableMenuItem, CheckMenuItem, GetMenuItemInfoA, RemoveMenu, GetMenuItemCount, DestroyMenu, CreatePopupMenu, TrackPopupMenu, GetCursorPos, DrawTextA, DrawStateA, AnimateWindow, MonitorFromPoint, MonitorFromWindow, GetMonitorInfoA, GetAncestor, CopyIcon, DestroyIcon, OffsetRect, PostMessageA, RegisterWindowMessageA, CreateAcceleratorTableA, DestroyAcceleratorTable, BeginPaint, EndPaint, ReleaseCapture, SetCapture, CreateDialogParamA, InvalidateRgn, GetSysColor, SetWindowContextHelpId, MapDialogRect, EndDialog, GetDC, GetSystemMetrics, DialogBoxIndirectParamA, SetFocus, InvalidateRect, GetWindowTextLengthA, GetWindowTextA, GetComboBoxInfo, FillRect, IsChild, GetForegroundWindow, ShowWindow, CharNextA, SetWindowsHookExA, GetFocus, CallNextHookEx, GetClassNameA, UnhookWindowsHookEx, EndMenu, MoveWindow, GetKeyState, ReleaseDC, GetWindowDC, ScreenToClient, ClientToScreen, GetMessageA, IsDialogMessageA, TranslateMessage, DispatchMessageA, GetActiveWindow, SetActiveWindow, GetDesktopWindow, IsWindowEnabled, EnableWindow, SendMessageA, IsWindow, IsWindowVisible, CallWindowProcA, DefWindowProcA, CreateWindowExA, GetClassInfoExA, RegisterClassExA, DestroyWindow, LoadCursorA, KillTimer, SetTimer, SetWindowLongA, LoadStringA, SetWindowTextA, GetWindow, GetWindowRect, SystemParametersInfoA, GetWindowPlacement, IsIconic, DrawFrameControl, UpdateWindow, SetWindowRgn, IsRectEmpty, PtInRect, SetRectEmpty, CopyRect, InflateRect, DrawIconEx, SetCursor, GetCapture, UnionRect, DialogBoxParamA, RedrawWindow
> GDI32.dll: LPtoDP, DPtoLP, StretchBlt, OffsetRgn, CombineRgn, CreateRoundRectRgn, CreatePolygonRgn, GetClipBox, CreateRectRgn, SetStretchBltMode, SetWindowOrgEx, FrameRgn, GetViewportOrgEx, SetViewportOrgEx, ExcludeClipRect, EqualRgn, GetTextExtentPoint32A, RestoreDC, SaveDC, Polygon, CreatePen, SetTextColor, ExtTextOutA, GetPixel, GetTextColor, CreateFontIndirectA, GetStockObject, GetObjectA, GetDeviceCaps, BitBlt, CreateCompatibleDC, CreateCompatibleBitmap, SetBrushOrgEx, SetBkMode, SetBkColor, SelectObject, DeleteObject, CreatePatternBrush, CreateSolidBrush, GetTextMetricsA, DeleteDC
> ADVAPI32.dll: RegQueryInfoKeyA, RegOpenKeyExA, RegQueryValueExA, RegDeleteKeyA, RegDeleteValueA, RegCreateKeyExA, RegSetValueExA, RegEnumKeyExA, RegEnumValueA, OpenProcessToken, GetTokenInformation, LookupAccountSidA, RegCloseKey
> SHELL32.dll: SHGetSpecialFolderPathA, ShellExecuteA
> ole32.dll: CLSIDFromProgID, CoTaskMemFree, ProgIDFromCLSID, StringFromCLSID, CoLoadLibrary, CoFreeUnusedLibraries, RegisterDragDrop, OleUninitialize, OleInitialize, ReleaseStgMedium, CreateStreamOnHGlobal, CLSIDFromString, OleLockRunning, CoGetClassObject, CoUninitialize, CoInitialize, OleDraw, RevokeDragDrop, StringFromGUID2, CoCreateInstance, CoTaskMemRealloc, CoTaskMemAlloc
> OLEAUT32.dll: -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -
> SHLWAPI.dll: UrlUnescapeA, PathFileExistsA, StrStrIW, StrStrW, PathRemoveFileSpecA, PathRemoveBackslashA
> COMCTL32.dll: ImageList_AddMasked, ImageList_Destroy, ImageList_Create, ImageList_GetIconSize, ImageList_SetBkColor, ImageList_Draw
> MSIMG32.dll: TransparentBlt
> snmpapi.dll: SnmpUtilOidNCmp, SnmpUtilOidCpy, SnmpUtilVarBindFree
> VERSION.dll: GetFileVersionInfoSizeA, GetFileVersionInfoA, VerQueryValueA

( 4 exports )
DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer

RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: DirectShow filter (43.0%)
Windows OCX File (26.3%)
Win64 Executable Generic (18.2%)
Win32 Executable MS Visual C++ (generic) (8.0%)
Win32 Executable Generic (1.8%)

Ich lass jetzt auch noch Kaspersky durchlaufen.

LG Sanny

P.S.: Ich denke nicht, dass es ein HArdwaredefekt ist. Denn er macht das nur im Explorer und in Windows Mail, aber nicht z.B. im IE

Hi,

es gibt ein paar Explorereinstellungen...
muss mal googlen...
Pdfcreator_toolbar.dll könnte ein Fehalarm sein, hänge einfach mal ein .vir hinten dran... würde sie nicht löschen!

chris

Hi Chris,

Kasperski hat nichts gefunden. Hast du noch ne Idee oder muss ich wirklich alles platt machen und neu aufspielen?

LG Sanny

Hi,

nein, so richtig fällt mir nichts mehr ein...

Wie verhält es sich wenn Du in den abgesicherten Modus bootest (F8 beim Booten drücken)...?

chris

Hi Chris,

im abgesicherten Modus tritt das Problem genauso auf.

LG Sanny

Hi,

ich bin noch mal alles durchgegangen, folgendes fällt auf:
F:\setupSNK.exe als mountpoint (wird bei jedem Start vom Explorer ausgeführt), kennst Du das (es gibt einen gleichnamingen Malwaredownloader!)

Du sagtest der Rechner verhält sich nach dem 31.08. so?

Da wurde das hier installiert:
2009-08-31 22:14:22 ----AD---- C:\Windows\system32\runouce.exe
2009-08-31 22:11:42 ----A---- C:\Windows\system32\msvcr80.dll
2009-08-31 22:11:41 ----A---- C:\Windows\system32\msvcp80.dll
2009-08-31 22:11:40 ----A---- C:\Windows\system32\eEmpty.exe
2009-08-31 22:11:38 ----D---- C:\Program Files\Common Files\MicroWorld
2009-08-31 22:11:36 ----D---- C:\ProgramData\MicroWorld

vorher das hier:
2009-08-27 17:09:51 ----A---- C:\Windows\system32\tzres.dll

Ich finde keinen Zusammenhang zwischen Explorer und Mailprogramm...
Habe mich auf die Addins konzentriert, aber die gelten für den Internet-Explorer....

MBR-Rootkit

Lade den MBR-Rootkitscanner von GMER auf Deine Bootplatte:
http://www2.gmer.net/mbr/mbr.exe
Merke Dir das Verzeichnis wo Du ihn runtergeladen hast;
Start->Ausführen->cmd
Wechsle in das Verzeichnis des Downloads und starte durch Eingabe
von mbr das Programm...

Das Ergebnis sollte so aussehen:

D:\Downloads>mbr
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

In dem Verzeichnis wo mbr.exe liegt findest Du das Log,
poste es im Thread;

Dann bleibt nur noch sehr tief zu graben und CF für erweiterte Logs loslassen...
Combofix
Lade Combo Fix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.
Weitere Anleitung unter:http://www.bleepingcomputer.com/comb...x-benutzt-wird

chris

Hi Chris,

F:\setupSNK.exe sagt mir nichts. Ist auf jeden Fall nichts, was ich bewusst auf den Rechner gepackt hätte. Ich komm in cmd nicht rein (Problem mit dem Scrollen in Ausführen lässt mich cmd nicht eingeben). Ich starte jetzt mal CF und poste dann das Log. Vielleicht hilft das ja.

LG Sanny

Hi Chris,

hier das Log von CF:

ComboFix 09-09-05.03 - Rochaz 06.09.2009 15:10.1.2 - NTFSx86
Microsoft® Windows Vista™ Home Premium 6.0.6001.1.1252.49.1031.18.3070.2070 [GMT 2:00]
ausgeführt von:: c:\users\Rochaz\Desktop\ComboFix.exe
SP: Spyware Doctor *enabled* (Updated) {1C3EDD79-273E-46ac-99F8-EFA9E7CBC301}
SP: Windows-Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\$recycle.bin\S-1-5-21-1045108729-643306012-2644737314-500
c:\$recycle.bin\S-1-5-21-2052199247-1029025743-979323182-1008
c:\$recycle.bin\S-1-5-21-2052199247-1029025743-979323182-500
c:\$recycle.bin\S-1-5-21-2152478756-3922319563-605102323-500
c:\$recycle.bin\S-1-5-21-562593655-1936356248-2708367035-500

.
((((((((((((((((((((((( Dateien erstellt von 2009-08-06 bis 2009-09-06 ))))))))))))))))))))))))))))))
.

2009-09-06 13:18 . 2009-09-06 13:18 -------- d-----w- c:\users\Rochaz\AppData\Local\temp
2009-09-06 13:18 . 2009-09-06 13:18 -------- d-----w- c:\users\Mcx1\AppData\Local\temp
2009-09-06 13:18 . 2009-09-06 13:18 -------- d-----w- c:\users\Gast\AppData\Local\temp
2009-09-06 13:18 . 2009-09-06 13:18 -------- d-----w- c:\users\Default\AppData\Local\temp
2009-09-06 12:53 . 2009-09-06 12:53 71680 ----a-w- c:\users\Rochaz\mbr.exe
2009-09-03 16:00 . 2009-09-03 16:00 27656 ----a-w- c:\windows\system32\drivers\pxsec.sys
2009-09-03 16:00 . 2009-09-03 16:00 22024 ----a-w- c:\windows\system32\drivers\pxscan.sys
2009-09-03 16:00 . 2009-09-03 16:00 -------- d-----w- c:\program files\Prevx
2009-09-03 16:00 . 2009-09-03 16:12 -------- d-----w- c:\programdata\PrevxCSI
2009-09-03 15:50 . 2009-09-03 15:50 -------- d-----w- c:\users\Rochaz\AppData\Roaming\IObit
2009-09-03 15:50 . 2009-09-03 15:50 -------- d-----w- c:\program files\IObit
2009-09-02 17:49 . 2009-09-02 17:50 -------- d-----w- C:\rsit
2009-09-01 03:39 . 2009-09-01 03:39 -------- d-----w- c:\program files\Trend Micro
2009-08-31 20:14 . 2009-08-31 20:14 -------- d---a-w- c:\windows\system32\runouce.exe
2009-08-31 20:11 . 2009-08-31 20:11 632064 ----a-w- c:\windows\system32\msvcr80.dll
2009-08-31 20:11 . 2009-08-31 20:11 554240 ----a-w- c:\windows\system32\msvcp80.dll
2009-08-31 20:11 . 2009-08-31 20:11 34048 ----a-w- c:\windows\system32\eEmpty.exe
2009-08-31 20:11 . 2009-08-31 20:11 -------- d-----w- c:\program files\Common Files\MicroWorld
2009-08-31 20:11 . 2009-08-31 20:11 -------- d-----w- c:\programdata\MicroWorld
2009-08-27 15:09 . 2009-06-22 10:22 2048 ----a-w- c:\windows\system32\tzres.dll
2009-08-13 14:09 . 2009-07-17 14:35 71680 ----a-w- c:\windows\system32\atl.dll
2009-08-13 14:09 . 2009-06-10 12:12 160256 ----a-w- c:\windows\system32\wkssvc.dll
2009-08-13 14:09 . 2009-06-04 12:34 2066432 ----a-w- c:\windows\system32\mstscax.dll
2009-08-13 14:09 . 2009-06-10 12:07 91136 ----a-w- c:\windows\system32\avifil32.dll
2009-08-13 14:09 . 2009-07-14 13:00 313344 ----a-w- c:\windows\system32\wmpdxm.dll
2009-08-13 14:09 . 2009-07-14 12:58 7680 ----a-w- c:\windows\system32\spwmp.dll
2009-08-13 14:09 . 2009-07-14 12:59 4096 ----a-w- c:\windows\system32\dxmasf.dll
2009-08-13 14:09 . 2009-07-14 10:59 8147456 ----a-w- c:\windows\system32\wmploc.DLL
2009-08-09 09:21 . 2009-08-09 09:21 -------- d-----w- c:\program files\Regensoft
2009-08-09 09:21 . 2009-08-09 09:21 -------- d-----w- c:\program files\Red Kawa
2009-08-09 09:16 . 2009-08-09 09:16 -------- d-----w- c:\program files\VideoraXbox360Converter

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-06 12:50 . 2007-12-29 00:37 721240 ----a-w- c:\windows\system32\perfh007.dat
2009-09-06 12:50 . 2007-12-29 00:37 165954 ----a-w- c:\windows\system32\perfc007.dat
2009-09-06 12:45 . 2008-08-25 14:48 -------- d-----w- c:\programdata\Google Updater
2009-09-05 07:20 . 2007-12-29 00:44 12 ----a-w- c:\windows\bthservsdp.dat
2009-08-31 13:32 . 2009-01-31 17:04 1036 ----a-w- c:\windows\system32\dmlg.dat
2009-08-30 09:14 . 2008-08-25 15:38 161534 ----a-w- c:\users\Rochaz\AppData\Roaming\nvModes.dat
2009-08-26 20:53 . 2008-08-25 14:38 -------- d-----w- c:\users\Rochaz\AppData\Roaming\Skype
2009-08-22 15:31 . 2008-08-25 16:00 -------- d-----w- c:\program files\Common Files\DVDVideoSoft
2009-08-22 15:31 . 2008-08-25 16:00 -------- d-----w- c:\program files\DVDVideoSoft
2009-08-09 09:16 . 2009-03-28 11:12 -------- d-----w- c:\program files\AviSynth 2.5
2009-08-05 16:03 . 2009-08-02 07:46 55656 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-08-02 07:45 . 2009-08-02 07:45 -------- d-----w- c:\programdata\Avira
2009-08-02 07:45 . 2009-08-02 07:45 -------- d-----w- c:\program files\Avira
2009-07-24 10:58 . 2008-09-18 20:49 -------- d-----w- c:\program files\DivX
2009-07-24 10:58 . 2009-06-22 09:19 -------- d-----w- c:\program files\Common Files\DivX Shared
2009-07-23 14:27 . 2008-09-07 19:14 -------- d-----w- c:\programdata\WinZip
2009-07-21 21:52 . 2009-07-29 17:56 915456 ----a-w- c:\windows\system32\wininet.dll
2009-07-21 21:47 . 2009-07-29 17:56 109056 ----a-w- c:\windows\system32\iesysprep.dll
2009-07-21 21:47 . 2009-07-29 17:56 71680 ----a-w- c:\windows\system32\iesetup.dll
2009-07-21 20:13 . 2009-07-29 17:56 133632 ----a-w- c:\windows\system32\ieUnatt.exe
2009-07-10 17:34 . 2008-10-05 12:20 -------- d-----w- c:\users\Rochaz\AppData\Roaming\CyberLink
2009-07-10 17:34 . 2008-10-05 12:19 -------- d-----w- c:\programdata\CyberLink
2009-07-09 16:02 . 2009-07-09 16:02 -------- d-----w- c:\programdata\LightScribe
2009-06-15 15:24 . 2009-07-15 17:33 156672 ----a-w- c:\windows\system32\t2embed.dll
2009-06-15 15:20 . 2009-07-15 17:33 72704 ----a-w- c:\windows\system32\fontsub.dll
2009-06-15 15:20 . 2009-07-15 17:33 10240 ----a-w- c:\windows\system32\dciman32.dll
2009-06-15 12:52 . 2009-07-15 17:33 289792 ----a-w- c:\windows\system32\atmfd.dll
2009-05-01 21:02 . 2009-05-01 21:02 1044480 ----a-w- c:\program files\mozilla firefox\plugins\libdivx.dll
2009-05-01 21:02 . 2009-05-01 21:02 200704 ----a-w- c:\program files\mozilla firefox\plugins\ssldivx.dll
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{57BCA5FA-5DBB-45a2-B558-1755C3F6253B}"= "c:\program files\Winamp Toolbar\winamptb.dll" [2008-07-16 1266992]

[HKEY_CLASSES_ROOT\clsid\{57bca5fa-5dbb-45a2-b558-1755c3f6253b}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch.1]
[HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LightScribe Control Panel"="c:\program files\Common Files\LightScribe\LightScribeControlPanel.exe" [2007-07-18 451872]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-08-25 39408]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]
"Sony Ericsson PC Suite"="c:\program files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" [2008-07-02 397312]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-19 202240]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-19 1008184]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2007-03-23 857648]
"LanguageShortcut"="c:\program files\CyberLink\PowerDVD\Language\Language.exe" [2007-01-08 52256]
"NvSvc"="c:\windows\system32\nvsvc.dll" [2007-10-24 86016]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-10-24 8501792]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-10-24 81920]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2008-09-06 413696]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"WPCUMI"="c:\windows\system32\WpcUmi.exe" [2006-11-02 176128]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"PrevxCSI"="c:\program files\Prevx\prevx.exe" [2009-09-03 4368952]
"RtHDVCpl"="RtHDVCpl.exe" - c:\windows\RtHDVCpl.exe [2007-09-13 4702208]

c:\users\Rochaz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk - c:\program files\Microsoft Office\Office12\ONENOTEM.EXE [2006-10-26 98632]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Adobe Gamma Loader.lnk - c:\program files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2008-9-3 113664]
BTTray.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2007-9-5 727592]
WISO Mein Sparbuch heute.lnk - c:\program files\WISO\Sparbuch 2009\meinsparbuchheute.exe [2009-3-28 1140008]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux2"=wdmaud.drv

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"{AEF93C65-FC34-47E6-96BA-E0C169B1E112}"= c:\program files\CyberLink\PowerDVD\PowerDVD.EXE:CyberLink PowerDVD
"{04BF8A2F-A82D-4BE0-9FCD-D1FB0975C2E3}"= c:\program files\CyberLink\PowerDirector\PDR.EXE:CyberLink PowerDirector
"{97EB91DD-CCE2-4859-A538-2639DD6C609D}"= TCP:6004|c:\program files\Microsoft Office\Office12\outlook.exe:Microsoft Office Outlook
"{53334C74-9363-42BA-98D4-430E840E77B4}"= c:\program files\Skype\Phone\Skype.exe:Skype
"{FC1A1F5E-05DF-47E2-8F35-435B7ECD1EBE}"= UDP:c:\program files\Winamp Remote\bin\Orb.exe:Orb
"{586995DA-0384-407A-86DD-5AF658175F63}"= TCP:c:\program files\Winamp Remote\bin\Orb.exe:Orb
"{60FBA905-6121-46C9-A720-6460C235B9D4}"= UDP:c:\program files\Winamp Remote\bin\OrbTray.exe:OrbTray
"{662063C3-73A7-4DD9-A0C2-C8F1FFB0DCCF}"= TCP:c:\program files\Winamp Remote\bin\OrbTray.exe:OrbTray
"{498000F3-85E0-44E1-BD8B-D045A12C60EE}"= UDP:c:\program files\Winamp Remote\bin\OrbIR.exe:OrbIR
"{8672D94A-A1A4-47C1-8944-ADF51EA2BA04}"= TCP:c:\program files\Winamp Remote\bin\OrbIR.exe:OrbIR
"{C6213D55-4C24-4003-8221-FE970ABB1142}"= UDP:c:\program files\Winamp Remote\bin\OrbStreamerClient.exe:Orb Stream Client
"{A268D834-2DAF-4E71-96DE-3020252CE548}"= TCP:c:\program files\Winamp Remote\bin\OrbStreamerClient.exe:Orb Stream Client
"{701A6A5D-A6AD-4F14-A2AA-C1A45B7A8104}"= UDP:c:\program files\Microsoft Office\Office12\ONENOTE.EXE:Microsoft Office OneNote
"{E5C946DF-B246-41AE-ACD6-404962EBAEC7}"= TCP:c:\program files\Microsoft Office\Office12\ONENOTE.EXE:Microsoft Office OneNote
"TCP Query User{EF8E3809-6CAE-4A63-8AE6-B53E00C72A34}c:\\program files\\internet explorer\\iexplore.exe"= UDP:c:\program files\internet explorer\iexplore.exe:Internet Explorer
"UDP Query User{B618C0F6-7DAA-48E5-9598-C9FA289A1DD0}c:\\program files\\internet explorer\\iexplore.exe"= TCP:c:\program files\internet explorer\iexplore.exe:Internet Explorer
"TCP Query User{96A9225B-B726-4CF3-AD1D-21CDD42AA796}c:\\program files\\internet explorer\\iexplore.exe"= UDP:c:\program files\internet explorer\iexplore.exe:Internet Explorer
"UDP Query User{30185E4C-C591-4C84-82E5-A49B74476257}c:\\program files\\internet explorer\\iexplore.exe"= TCP:c:\program files\internet explorer\iexplore.exe:Internet Explorer
"TCP Query User{50162B54-9FCA-4503-9CCD-2DFDA8810562}c:\\program files\\sony ericsson\\update service\\update service.exe"= UDP:c:\program files\sony ericsson\update service\update service.exe:Update Service
"UDP Query User{D38AD71E-A266-47AC-9904-565B8231E62D}c:\\program files\\sony ericsson\\update service\\update service.exe"= TCP:c:\program files\sony ericsson\update service\update service.exe:Update Service
"TCP Query User{6B1D7B07-637D-44D0-8AA9-7A8F7D3163C0}c:\\program files\\sony ericsson\\update service\\update service.exe"= UDP:c:\program files\sony ericsson\update service\update service.exe:Update Service
"UDP Query User{9124504C-EEE2-43A6-A645-6B519B91446F}c:\\program files\\sony ericsson\\update service\\update service.exe"= TCP:c:\program files\sony ericsson\update service\update service.exe:Update Service
"{7F77C7AD-2D3B-4DD9-918C-A7DC7464E58A}"= UDP:c:\program files\THQ\Company of Heroes\RelicCOH.exe:Company of Heroes
"{44E4122A-E9D4-48DC-87D3-C42A8859A57C}"= TCP:c:\program files\THQ\Company of Heroes\RelicCOH.exe:Company of Heroes
"{D1A4FF44-1F8E-44A1-96E8-309CFEABDCAC}"= UDP:c:\program files\THQ\Company of Heroes\RelicDownloader\RelicDownloader.exe:Relic Downloader
"{2E4C8D6B-9DDA-43D9-8AF8-1D8CB4E00D64}"= TCP:c:\program files\THQ\Company of Heroes\RelicDownloader\RelicDownloader.exe:Relic Downloader
"TCP Query User{20717E6E-BE72-475D-A87B-70D2B2910B44}c:\\users\\rochaz\\appdata\\local\\temp\\b7b0a308d77e444486ddba6b39773225\\relicdownloader.exe"= UDP:c:\users\rochaz\appdata\local\temp\b7b0a308d77e444486ddba6b39773225\relicdownloader.exe:relicdownloader.exe
"UDP Query User{8A2DFB3E-A993-45ED-B34C-786BD9C3BDDD}c:\\users\\rochaz\\appdata\\local\\temp\\b7b0a308d77e444486ddba6b39773225\\relicdownloader.exe"= TCP:c:\users\rochaz\appdata\local\temp\b7b0a308d77e444486ddba6b39773225\relicdownloader.exe:relicdownloader.exe

R0 pxscan;pxscan;c:\windows\System32\drivers\pxscan.sys [03.09.2009 18:00 22024]
R0 pxsec;pxsec;c:\windows\System32\drivers\pxsec.sys [03.09.2009 18:00 27656]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [02.08.2009 09:46 108289]
R2 KMDFMEMIO;SAMSUNG Kernel Driver;c:\windows\System32\drivers\KMDFMEMIO.sys [29.12.2007 02:57 13312]
R2 MSSQL$MSSMLBIZ;SQL Server (MSSMLBIZ);c:\program files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [14.04.2006 03:07 28933976]
S3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\System32\drivers\ASPI32.SYS [07.10.2008 18:21 84832]
S3 ggflt;SEMC USB Flash Driver Filter;c:\windows\System32\drivers\ggflt.sys [19.05.2009 16:49 13224]
S3 NETw2v32;Intel(R) PRO/Wireless 2915ABG Network Connection Driver for Windows Vista;c:\windows\System32\drivers\NETw2v32.sys [02.11.2006 12:25 2589184]
S3 s0017bus;Sony Ericsson Device 0017 driver (WDM);c:\windows\System32\drivers\s0017bus.sys [21.04.2009 17:07 90536]
S3 s0017mdfl;Sony Ericsson Device 0017 USB WMC Modem Filter;c:\windows\System32\drivers\s0017mdfl.sys [21.04.2009 17:07 15016]
S3 s0017mdm;Sony Ericsson Device 0017 USB WMC Modem Driver;c:\windows\System32\drivers\s0017mdm.sys [21.04.2009 17:07 122152]
S3 s0017mgmt;Sony Ericsson Device 0017 USB WMC Device Management Drivers (WDM);c:\windows\System32\drivers\s0017mgmt.sys [21.04.2009 17:07 115496]
S3 s0017nd5;Sony Ericsson Device 0017 USB Ethernet Emulation SEMC0017 (NDIS);c:\windows\System32\drivers\s0017nd5.sys [21.04.2009 17:07 25768]
S3 s0017obex;Sony Ericsson Device 0017 USB WMC OBEX Interface;c:\windows\System32\drivers\s0017obex.sys [21.04.2009 17:07 111912]
S3 s0017unic;Sony Ericsson Device 0017 USB Ethernet Emulation SEMC0017 (WDM);c:\windows\System32\drivers\s0017unic.sys [21.04.2009 17:07 117672]

--- Andere Dienste/Treiber im Speicher ---

*Deregistered* - aujasnkj

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs REG_MULTI_SZ BthServ

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
"c:\windows\System32\rundll32.exe" "c:\windows\System32\iedkcs32.dll",BrandIEActiveSetup SIGNUP

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]
"c:\program files\Common Files\LightScribe\LSRunOnce.exe"
.
Inhalt des "geplante Tasks" Ordners

2009-09-06 c:\windows\Tasks\AWC Startup.job
- c:\program files\IObit\Advanced SystemCare 3\AWC.exe [2009-09-03 07:55]

2009-09-06 c:\windows\Tasks\Google Software Updater.job
- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-08-25 19:05]

2009-09-06 c:\windows\Tasks\SupBackGroundTask.job
- c:\program files\Samsung\Samsung Update Plus\SUPBackGround.exe [2008-10-27 12:38]

2009-09-06 c:\windows\Tasks\User_Feed_Synchronization-{C6E69F85-9748-4386-A602-DF406EB8586C}.job
- c:\windows\system32\msfeedssync.exe [2009-07-29 20:13]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

BHO-{201f27d4-3704-41d6-89c1-aa35e39143ed} - (no file)
Toolbar-{3041d03e-fd4b-44e0-b742-2d9b88305f98} - (no file)
WebBrowser-{3041D03E-FD4B-44E0-B742-2D9B88305F98} - (no file)


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
IE: &Winamp Search - c:\programdata\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Save YouTube Video - c:\program files\Common Files\DVDVideoSoft\Dll\IEContextMenuY.dll/scriptY2MP4.htm
IE: Save YouTube Video as MP3 - c:\program files\Common Files\DVDVideoSoft\Dll\IEContextMenuY.dll/scriptY2MP3.htm
LSP: c:\windows\system32\wpclsp.dll
FF - ProfilePath - c:\users\Rochaz\AppData\Roaming\Mozilla\Firefox\Profiles\k3t36ibu.default\
FF - prefs.js: browser.search.defaulturl - hxxp://slirsredirect.search.aol.com/slirs_http/sredir?sredir=2685&invocationType=tb50ffwinampie7&query=
FF - prefs.js: browser.search.selectedEngine - Winamp Search
FF - prefs.js: browser.startup.homepage - hxxp://www.winamp.com?src=toolbar
FF - prefs.js: keyword.URL - hxxp://slirsredirect.search.aol.com/slirs_http/sredir?sredir=2685&invocationType=tb50ffwinampab&query=
FF - component: c:\program files\Common Files\DVDVideoSoft\Dll\FFContextMenuY\components\FFContextMenu.dll
FF - component: c:\users\Rochaz\AppData\Roaming\Mozilla\Firefox\Profiles\k3t36ibu.default\extensions\{0b38152b-1b20-484d-a11f-5e04a9b0661f}\components\WinampTBPlayer.dll
FF - plugin: c:\program files\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-09-06 15:18
Windows 6.0.6001 Service Pack 1 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.htm\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="FirefoxHTML"

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.html\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="FirefoxHTML"

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.shtml\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="FirefoxHTML"

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xht\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="FirefoxHTML"

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xhtml\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="FirefoxHTML"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'Explorer.exe'(1112)
c:\windows\system32\btmmhook.dll
.
Zeit der Fertigstellung: 2009-09-06 15:21
ComboFix-quarantined-files.txt 2009-09-06 13:21

Vor Suchlauf: 16 Verzeichnis(se), 40.802.279.424 Bytes frei
Nach Suchlauf: 16 Verzeichnis(se), 40.777.011.200 Bytes frei

259 --- E O F --- 2009-09-03 15:39

Hi Chris,

ich hab gerade mal meinen Rechner ein bisschen aufgeräumt und ein paar Programme deinstalliert. Überraschenderweise tritt das Problem mit dem Scrollen nun nicht mehr auf. Kann ich dir noch mal ein Log posten, um sicherzugehen, dass mein Rechner wirklich sauber ist? Wennja, welches ist dazu am geeignetsten?

LG Sanny

Hi,

dann hängt es mit einem installierten Programm zusammen...
Am aussagekräftigsten ist ein CF-Log (aber auch am gefährlichsten)...
Deinstallieren CF über Start->Ausführen combofix /u und lade in neu runter und lass ihn nochmal laufen (er wird jeden Tag neu zusammengestellt)...

Überprüfe bei virustotal.com unbedingt das hier:
c:\windows\system32\btmmhook.dll
Es gibt einen gleichnamigen Wurm...

Hat es mit den Programmen zu tun, die ich Dir auf Basis des Datum genannt hatte?

chris

Hi Chris,

okay, werd das mit CF nochmal machen. Hier ist der Log von Virustotal:

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.24 2009.09.06 -
AhnLab-V3 5.0.0.2 2009.09.05 -
AntiVir 7.9.1.8 2009.09.06 -
Antiy-AVL 2.0.3.7 2009.09.04 -
Authentium 5.1.2.4 2009.09.05 -
Avast 4.8.1351.0 2009.09.05 -
AVG 8.5.0.409 2009.09.06 -
BitDefender 7.2 2009.09.06 -
CAT-QuickHeal 10.00 2009.09.05 -
ClamAV 0.94.1 2009.09.06 -
Comodo 2204 2009.09.06 -
DrWeb 5.0.0.12182 2009.09.06 -
eSafe 7.0.17.0 2009.09.06 -
eTrust-Vet 31.6.6721 2009.09.04 -
F-Prot 4.5.1.85 2009.09.05 -
F-Secure 8.0.14470.0 2009.09.06 -
Fortinet 3.120.0.0 2009.09.06 -
GData 19 2009.09.06 -
Ikarus T3.1.1.72.0 2009.09.06 -
Jiangmin 11.0.800 2009.09.06 -
K7AntiVirus 7.10.837 2009.09.05 -
Kaspersky 7.0.0.125 2009.09.06 -
McAfee 5733 2009.09.06 -
McAfee+Artemis 5733 2009.09.06 -
McAfee-GW-Edition 6.8.5 2009.09.06 -
Microsoft 1.5005 2009.09.06 -
NOD32 4400 2009.09.06 -
Norman 6.01.09 2009.09.04 -
nProtect 2009.1.8.0 2009.09.06 -
Panda 10.0.2.2 2009.09.06 -
PCTools 4.4.2.0 2009.09.06 -
Prevx 3.0 2009.09.06 -
Rising 21.45.14.00 2009.09.01 -
Sophos 4.45.0 2009.09.06 -
Sunbelt 3.2.1858.2 2009.09.06 -
Symantec 1.4.4.12 2009.09.06 -
TheHacker 6.3.4.3.396 2009.09.04 -
TrendMicro 8.950.0.1094 2009.09.05 -
VBA32 3.12.10.10 2009.09.05 -
ViRobot 2009.9.4.1919 2009.09.04 -
VirusBuster 4.6.5.0 2009.09.06 -
weitere Informationen
File size: 208896 bytes
MD5...: 442b653adf02769bd7d211a4cb67b344
SHA1..: 9eed73d0c8c352f6e7c5ac611ae19821105b072c
SHA256: 494bd9e9c836847723a2a8822d76f8d09b17da8c9ed1f6cc8fbab5097028f467
ssdeep: 3072:Z9gXkIItMXIM4XTVsk3Li9wgEOe13T7s/Rf5wwq:iT4wkCWOG7yi

PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0xaae6
timedatestamp.....: 0x46df0cef (Wed Sep 05 20:09:19 2007)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x24cdf 0x25000 6.67 b5e2a9d9b21a49367f88e69dcfedc613
.rdata 0x26000 0x6153 0x7000 5.01 20b8627e12fbba01e7b36dd4b156c53b
.data 0x2d000 0x3050 0x2000 2.07 d4f2b42af9f9156133aa21ef066aeb88
.shared 0x31000 0x4 0x1000 0.00 620f0b67a91f7f74151bc5be745b7110
.rsrc 0x32000 0x4ac 0x1000 3.84 a3f53856fbb1c9ace8932243d9b91448
.reloc 0x33000 0x1d3a 0x2000 6.40 3eb961ed16c7db6ad6b47e777532a7a9

( 5 imports )
> KERNEL32.dll: InterlockedDecrement, lstrlenA, lstrcmpiA, IsDBCSLeadByte, FreeLibrary, SizeofResource, LoadResource, FindResourceA, LoadLibraryExA, GetModuleHandleA, GetModuleFileNameA, CloseHandle, OpenProcess, GetProcAddress, InterlockedIncrement, GetVersionExA, SetEnvironmentVariableA, CompareStringW, CompareStringA, FlushFileBuffers, CreateFileA, WriteConsoleW, GetConsoleOutputCP, WriteConsoleA, SetStdHandle, GetLocaleInfoW, GetTimeZoneInformation, GetConsoleMode, GetConsoleCP, GetLastError, LeaveCriticalSection, EnterCriticalSection, lstrlenW, WideCharToMultiByte, MultiByteToWideChar, DeleteCriticalSection, InitializeCriticalSection, LoadLibraryA, RaiseException, SetFilePointer, SetConsoleCtrlHandler, IsValidCodePage, IsValidLocale, EnumSystemLocalesA, GetUserDefaultLCID, GetDateFormatA, GetTimeFormatA, InterlockedExchange, GetACP, GetLocaleInfoA, GetThreadLocale, RtlUnwind, HeapAlloc, HeapFree, VirtualProtect, VirtualAlloc, GetSystemInfo, VirtualQuery, HeapReAlloc, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDebuggerPresent, GetCurrentThreadId, GetCommandLineA, GetProcessHeap, GetCPInfo, GetOEMCP, TlsGetValue, TlsAlloc, TlsSetValue, TlsFree, SetLastError, GetCurrentThread, FatalAppExitA, VirtualFree, HeapDestroy, HeapCreate, ExitProcess, WriteFile, GetStdHandle, Sleep, HeapSize, SetHandleCount, GetFileType, GetStartupInfoA, FreeEnvironmentStringsA, GetEnvironmentStrings, FreeEnvironmentStringsW, GetEnvironmentStringsW, QueryPerformanceCounter, GetTickCount, GetCurrentProcessId, GetSystemTimeAsFileTime, LCMapStringA, LCMapStringW, GetStringTypeA, GetStringTypeW
> USER32.dll: UnhookWindowsHookEx, PostMessageA, CallNextHookEx, SetWindowsHookExA, CharNextA, GetDesktopWindow, GetWindow, GetWindowLongA, EnumWindows, GetWindowThreadProcessId, IsWindow, GetWindowTextA, UnregisterClassA
> ADVAPI32.dll: RegEnumKeyExA, RegQueryInfoKeyA, RegSetValueExA, RegOpenKeyExA, RegCreateKeyExA, RegCloseKey, RegDeleteValueA, RegDeleteKeyA, RegQueryValueExA
> ole32.dll: CoCreateInstance, CoTaskMemFree, CoTaskMemRealloc, CoTaskMemAlloc
> OLEAUT32.dll: -, -

( 2 exports )
SetBtMmHook, UnSetBtMmHook

RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
Mmh, ob das genau die Programme waren, ist schwer zu sagen. In der Programmverwaltung hießen die You Tube Download und Downloadcenter oder so... Aber ich hab sie nicht runtergeladen und mein Mann hatte auch keine Ahnung, wo die herkommen.

LG Sanny

Hi,

dachte ich mir schon, dass es nicht der Wurm ist...
Der Rechner sieht sauber aus, ev. hat sich die SW mit einer anderen "mitinstalliert"...
Bliebte Szenarien sind z.B. fehlende Videoplugins die unbedingt nachgeladen werden müssen um eine Seite anschauen zu können etc....

chris

Hi Chris,

ich werde wahnsinnig. Nachdem das Problem gestern abend nicht mehr auftrat, ist es nun wieder da... Ich fühle mich versucht, das gute Stück aus dem Fenster zu werfen :s Was nun? Nochmal HJT drüber laufen lassen oder was schlägst du vor?

LG Sanny

Hi,

lass mal CF laufen, was ist Laufwerk F:? Eine Wechselfestplatte/USB-Stick?
In der Zeit wo es weg war bis es wieder auftauchte was per USB an den Rechner angesteckt?
ADS (Alternate Data Streams) anzeigen
Systemverzeichnis auf versteckte Streams untersuchen (ADS):

ADS-Spy:

• Runterladen von ADS Spy.exe und auf dem Desktop speichern

• Folgende Einstellungen wählen:
  - Quick scan
  - Ignore system info data streams
  - Calculate MD5 checksums of streams' contents

• Wenn der Scann beendet ist klicke mit der rechten Maustaste auf das Fenster
  wähle Save scan results to disk ,
  nenne die Textdatei (z.B) scan.txt -> speichern

• Öffne dann die Datei (scan.txt), kopiere alles ab und poste es im Thread.

Versuche dann auch mal das Verzeichnis C:\Windows\system32\runouce.exe prüfen zu lassen.

chris
Ps.: Bin die nächsten zwei Tage unterwegs und nicht erreichbar, vielleicht morgen früh kurz...

Hi Chris,

ADS findet nichts... Ich hab auch mal Spybot installiert. Der hat auch einiges gefunden und entfernt, aber das Problem ist immer noch da.... Ich werd mal versuchen die genannte Datei zu überprüfen.
Vielen Dank für deine Hilfe und ich werde geduldig auf deine Rückkehr warten ;-)

LG Sanny