| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: autochk.dll, protect.dll und andere, etwas komplizierterWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
16.09.2009, 13:34
| #1 |
| |  autochk.dll, protect.dll und andere, etwas komplizierter Moin, ich habe seit gestern mehere Trojaner drauf die mir etwas kopfschmerzen bereiten.  Angefangen hat es damit das ich bei mozilla auf falsche links verlinkt wurde. Nachdem ich über SUPERAntiSpyware mehere Sachen gefunden habe und diese versucht habe zu löschen waren sie natürlich nach dem neustart noch da, über msconfig habe ich im autostart jene Programme gefunden die vorher nich da waren: autochk, protect und chkdisk, nach manueller suche ist mir der pc jedesmal abgestürzt als er diese dateien geunden hat mit Bluescreen, von wegen wird auf grund eines fehlers heruntergefahrn mit den anmerkungen ich möchte doch bitte meine antivirenprogramme und ähnliches ausmachen falls das problem weiterhin bersteht. Dann bin ich auf diese seite hier gestoßen, als erstes habe ich versucht mit CCleaner was zu machen, ist mir aber ebenfalls beim beginn des scannvorgangs abgestürzt. Dann gings weiter mit Malwarebytes.....nach 21 min scannen stürzt auch er mir ab, nachdem er etwa 33 infektionen gefunden hat. Nur wenn ich den Scannvorgang manuell abbreche stürzte er nicht ab, hier der LOG: Malwarebytes' Anti-Malware 1.41 Datenbank Version: 2809 Windows 5.1.2600 Service Pack 3 16.09.2009 14:15:46 mbam-log-2009-09-16 (14-15-46).txt Scan-Methode: Quick-Scan Durchsuchte Objekte: 19404 Laufzeit: 4 minute(s), 5 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 3 Infizierte Registrierungsschlüssel: 5 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 6 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: C:\WINDOWS\system32\reginv.dll (Backdoor.ProRat) -> Delete on reboot. C:\Documents and Settings\Igoel\protect.dll (Trojan.Agent) -> Delete on reboot. C:\WINDOWS\system32\winkey.dll (Backdoor.ProRat) -> Delete on reboot. Infizierte Registrierungsschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5y99ae78-58tt-11dw-be53-y67078979y} (Backdoor.ProRat) -> Quarantined and deleted successfully. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\autochk (Trojan.Agent) -> Delete on reboot. Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\WINDOWS\system32\reginv.dll (Backdoor.ProRat) -> Delete on reboot. C:\Documents and Settings\Igoel\protect.dll (Trojan.Agent) -> Delete on reboot. C:\WINDOWS\system32\winkey.dll (Backdoor.ProRat) -> Delete on reboot. C:\WINDOWS\system\sservice.exe (Backdoor.ProRat) -> Quarantined and deleted successfully. C:\WINDOWS\system32\autochk.dll (Trojan.Agent) -> Quarantined and deleted successfully. C:\WINDOWS\system32\wisdstr.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully. Nach reboot sind die dateinen immer noch da und die er schon vorher gelöscht haben soll, sind auch wieder da. Dazu muss ich sagen das er mir auch nach einiger Zeit diesen Bluescreen gerne mal anzeigt, nur halt nicht immer. Wäre sehr dankbar wenn mir jemand helfen könnte. Würde nur ungern win neuinstallieren. Mfg Igoel |
|
16.09.2009, 21:01
| #2 | |
| /// Helfer-Team    | autochk.dll, protect.dll und andere, etwas komplizierter Hallo und Herzlich Willkommen!
__________________ hier wäre "Format C " angesagt...Backdoor & vermutlich Rootkit versuche mal bitte folgendedes (als Notlösung": Gibt es einen "relativ einfachen Weg",wenn eine frische Infektion vorliegt,oder mal bestimmte Probleme bekommt man auch gelöst, was man sogleich ausprobieren sollte: Zitat:
Auf jeden Fall positive als auch negative Rückmeldungen erwünscht gruß Coverflow |
|
17.09.2009, 09:29
| #3 |
| | autochk.dll, protect.dll und andere, etwas komplizierter Moin,
__________________habs mit systemwiederherstellung versucht auch mehrmals, aber jedesmal zeigt er mir nur an, das es nicht geht  habt ihr vvlt noch ne andere idee : ( trotzdem danke : ) |
|
17.09.2009, 16:27
| #4 | |
| /// Helfer-Team | autochk.dll, protect.dll und andere, etwas komplizierter hi dann einen Coctail für deinen Rechner: - Die Anweisungen bitte gründlich lesen und immer streng einhalten, da ich die Reihenfolge nach bestimmten Kriterien vorbereitet habe: 1. Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen : Achtung!:: gleich beim Download/speichern, musst Du die Installdatei also gmer.exe umbenennen! Wähle eine beliebige Dateiname, die Endung soll *.com sein!
** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren! 2. Lade das SDFix von AndyManchesta eine der folgenden Links herunter: bleepingcomputer.com andymanchesta.com 2. auf deinem Desktop speichern 3. per Doppelklick SDFix.exe starten 4. wähle installieren, um das Programm in seinen eigenen Ordner auf deinem Desktop zu entpacken 5. starte den Rechner im abgesicherten Modus - die Taste [F8] drücken, bevor das Windows-Logo angezeigt wird 6. öffne den neu entstandenen SDFix Ordner 7. mit einem Doppelklick auf die RunThis.bat kannst Du das Skript starten 8. gib ein Y ein, um den Reinigungsprozess zu beginnen 9. nun wirst Du aufgefordert, eine beliebige Taste zu drücken, damit dein Rechner neu aufstarten kann 10. nachdem Neustart, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen. 11. nachdem der Lauf beendet ist - Finished - drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Iconen wieder zu laden - Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern. Kopiere den Inhalt dieses Report.txt und poste ihn! Achtung!: Falls SDFix sich nicht installieren lässt o. nicht laufen bekommst, fahre mit Punkt 3 fort! 3. Reinige dein System mit *SuperAntiSpyware*<- Download & Anleitung 4. lade Dir HijackThis 2.0.2 von *von hier* herunter HijackThis starten→ "Do a system scan and save a logfile" klicken→ das erhaltene Logfile "markieren" → "kopieren"→ hier in deinem Thread (rechte Maustaste) "einfügen" 5. ich brauche mehr `Übersicht` bzw Daten über einen längeren Zeitraum - dazu bitte Versteckte - und Systemdateien sichtbar machen:: → Klicke unter Start auf Arbeitsplatz. → Klicke im Menü Extras auf Ordneroptionen. → Dateien und Ordner/Erweiterungen bei bekannten Dateitypen ausblenden → Haken entfernen → Geschützte und Systemdateien ausblenden → Haken entfernen → Versteckte Dateien und Ordner/Alle Dateien und Ordner anzeigen → Haken setzen. → Bei "Geschützte Systemdateien ausblenden" darf kein Häkchen sein und "Alle Dateien und Ordner anzeigen" muss aktiviert sein. 6. Für XP und Win2000 (ansonsten auslassen) → lade Dir das filelist.zip auf deinen Desktop herunter → entpacke die Zip-Datei auf deinen Desktop → starte nun mit einem Doppelklick auf die Datei "filelist.bat" - Dein Editor (Textverarbeitungsprogramm) wird sich öffnen → kopiere aus die erzeugten Logfile alle 7 Verzeichnisse ("C\...") usw - aber nur die Einträge der letzten 6 Monate - hier in deinem Thread ** vor jedem Eintrag steht ein Datum, also Einträge, die älter als 6 Monate sind bitte herauslöschen! 7. Ich würde gerne noch all deine installierten Programme sehen: Lade dir das Tool CCleaner herunter installieren ("Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ unter Options settings-> "german" einstellen dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..." wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein Zitat:
** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw |
|
18.09.2009, 10:58
| #5 |
| | autochk.dll, protect.dll und andere, etwas komplizierter Moin, Hier die einzelnen Logfiles: SDfix konnte ich leider nicht ausführen, da ich nicht in den abgesicherten modus kam, da mir der bluescreen (der gleiche wie erwähnt) mir dazwischen kommt beim hochfahren. filelist: Code:
ATTFilter ----- Root -----------------------------
Volume in drive C has no label.
Volume Serial Number is 78A4-86FA
Directory of C:\
18.09.2009 11:37 43 filelist.txt
15.09.2009 19:58 389 boot.ini
28.08.2009 05:51 522 hpfr3420.xml
28.08.2009 05:51 28.574 hpfr3425.log
24.08.2009 19:56 794 hpothb07.dat
24.08.2009 19:56 1.491 hpothb07.tif
19.06.2009 16:12 1.227.558.912 pagefile.sys
14.05.2009 13:37 13.030 PDOXUSRS.NET
02.04.2009 08:16 439 nsinst.log
28.01.2009 22:21 0 MSDOS.SYS
28.01.2009 22:21 0 AUTOEXEC.BAT
28.01.2009 22:21 0 CONFIG.SYS
28.01.2009 22:21 0 IO.SYS
14.04.2008 10:00 250.048 ntldr
14.04.2008 10:00 47.564 NTDETECT.COM
15 File(s) 1.227.901.806 bytes
0 Dir(s) 203.427.840 bytes free
----- Windows --------------------------
Volume in drive C has no label.
Volume Serial Number is 78A4-86FA
Directory of C:\WINDOWS
18.09.2009 11:34 1.105.776 ktd32.atm
18.09.2009 10:13 1.271.397 WindowsUpdate.log
18.09.2009 10:13 50 wiaservc.log
18.09.2009 10:13 159 wiadebug.log
18.09.2009 10:12 2.048 bootstat.dat
18.09.2009 10:09 32.612 SchedLgU.Txt
16.09.2009 13:26 0 0.log
16.09.2009 10:45 165.752 setupapi.log
15.09.2009 19:58 688 win.ini
15.09.2009 19:58 227 system.ini
15.09.2009 16:20 6.676 comsetup.log
15.09.2009 16:20 49.294 iis6.log
15.09.2009 16:20 13.185 tsoc.log
15.09.2009 16:20 5.357 ntdtcsetup.log
15.09.2009 16:20 1.917 ocmsn.log
15.09.2009 16:20 4.566 imsins.log
15.09.2009 16:20 622 tabletoc.log
15.09.2009 16:20 30.601 ocgen.log
15.09.2009 16:20 1.926 MedCtrOC.log
15.09.2009 16:20 1.162 msgsocm.log
15.09.2009 16:20 17.808 FaxSetup.log
15.09.2009 16:20 3.753 netfxocm.log
15.09.2009 16:20 11.096 msmqinst.log
15.09.2009 16:20 1.864 wmsetup.log
10.09.2009 11:57 28 Robota.INI
02.09.2009 11:13 6.211 mgxoschk.ini
13.08.2009 19:31 24.701 hhdrvi.log
20.07.2009 11:33 5.458 imsins.BAK
20.07.2009 11:31 60 setupact.log
16.07.2009 08:46 754 WORDPAD.INI
14.07.2009 09:31 350.764 services.exe
21.06.2009 19:45 308.282 msxml4-KB954430-enu.LOG
18.05.2009 14:56 19.557 hpoins01.dat
18.05.2009 14:21 7.394 Rock Deinen PC Vol 3 Uninstall Log.txt
10.05.2009 00:01 10 popcinfo.dat
28.04.2009 17:35 531 eReg.dat
28.04.2009 14:15 258.560 uninst.exe
28.04.2009 13:15 17.790 Rock Deinen PC Vol 3 Setup Log.txt
26.03.2009 20:55 0 osagent.INI
17.02.2009 17:58 2.438 Burnout(TM) Paradise The Ultimate Box Patch Log.txt
01.02.2009 15:59 185 W2W.ini
28.01.2009 23:09 0 Sti_Trace.log
28.01.2009 23:05 0 setuperr.log
28.01.2009 22:42 0 nsreg.dat
28.01.2009 22:26 833 OEWABLog.txt
28.01.2009 22:21 0 control.ini
28.01.2009 22:21 316.640 WMSysPr9.prx
28.01.2009 22:21 4.161 ODBCINST.INI
28.01.2009 22:20 749 WindowsShell.Manifest
28.01.2009 22:18 37 vbaddin.ini
28.01.2009 22:18 36 vb.ini
----- System ---
Volume in drive C has no label.
Volume Serial Number is 78A4-86FA
Directory of C:\WINDOWS\system
14.07.2009 09:31 350.764 sservice.exe
14.04.2008 10:00 109.456 AVIFILE.DLL
14.04.2008 10:00 32.816 COMMDLG.DLL
14.04.2008 10:00 2.000 KEYBOARD.DRV
14.04.2008 10:00 9.936 LZEXPAND.DLL
14.04.2008 10:00 73.376 MCIAVI.DRV
14.04.2008 10:00 25.264 MCISEQ.DRV
14.04.2008 10:00 28.160 MCIWAVE.DRV
14.04.2008 10:00 68.768 MMSYSTEM.DLL
14.04.2008 10:00 1.152 MMTASK.TSK
14.04.2008 10:00 2.032 MOUSE.DRV
14.04.2008 10:00 126.912 MSVIDEO.DLL
14.04.2008 10:00 82.944 OLECLI.DLL
14.04.2008 10:00 24.064 OLESVR.DLL
14.04.2008 10:00 59.167 setup.inf
14.04.2008 10:00 5.120 SHELL.DLL
14.04.2008 10:00 1.744 SOUND.DRV
14.04.2008 10:00 69.584 AVICAP.DLL
14.04.2008 10:00 5.532 stdole.tlb
14.04.2008 10:00 3.360 SYSTEM.DRV
14.04.2008 10:00 19.200 TAPI.DLL
14.04.2008 10:00 4.048 TIMER.DRV
14.04.2008 10:00 9.008 VER.DLL
14.04.2008 10:00 2.176 VGA.DRV
14.04.2008 10:00 13.600 WFWNET.DRV
14.04.2008 10:00 146.432 WINSPOOL.DRV
26 File(s) 1.276.615 bytes
0 Dir(s) 203.423.744 bytes free
----- System 32 (Achtung: Zeitfenster beachten!) ---
Volume in drive C has no label.
Volume Serial Number is 78A4-86FA
Directory of C:\WINDOWS\system32
18.09.2009 10:13 206.761 nvapps.xml
18.09.2009 10:13 36.864 reginv.dll
18.09.2009 10:13 13.312 winkey.dll
17.09.2009 10:19 20.992 autochk.dll
16.09.2009 14:01 1.133.150 SKYNETkkhauvid.dat
16.09.2009 14:01 3.056.797 ovfsthxmflmmbpu.dat
16.09.2009 13:31 43 SKYNETltamuxfx.dat
15.09.2009 16:20 394.410 perfh009.dat
15.09.2009 16:20 59.876 perfc009.dat
15.09.2009 16:20 461.040 PerfStringBackup.INI
14.09.2009 12:18 45 initdebug.nfo
06.09.2009 10:35 2.206 wpa.dbl
03.09.2009 20:07 41.872 xfcodec.dll
02.09.2009 16:04 210.488 FNTCACHE.DAT
09.08.2009 18:36 18.432 ovfsthxtrltumhx.dll
09.08.2009 18:36 18.944 ovfsthxjyodpske.dll
09.08.2009 18:36 60.928 ovfsthxjkwoivtu.dll
08.08.2009 21:36 20.480 SKYNETuablhcbq.dll
08.08.2009 21:36 43.520 SKYNETpqjnwrix.dll
20.07.2009 10:10 1.518 mvastnet.dll
19.07.2009 23:48 1.847.058 config.zip
15.07.2009 19:51 462.946 logged
15.07.2009 05:45 3.251.520 GameMon.des
14.07.2009 09:31 350.764 fservice.exe
12.07.2009 23:12 1.886.440 l33t tool.exe
12.07.2009 23:11 964.701 configfile.exe
11.07.2009 20:13 22.528 Winiguard.exe
11.07.2009 20:13 21.504 config.exe
07.07.2009 17:10 24.539.592 MRT.exe
06.07.2009 20:41 53.634 login
19.06.2009 21:51 10.012 SKYNETmeyeptbb.dat
19.06.2009 21:44 4 MSIVXcount
19.06.2009 15:08 361.728 TuneUpDefragService.exe
16.06.2009 16:36 119.808 t2embed.dll
16.06.2009 16:36 81.920 fontsub.dll
03.06.2009 21:12 1.291.264 quartz.dll
29.05.2009 12:46 0 FOXIT_PDF
10.05.2009 13:36 96 HsInfo.dat
07.05.2009 17:32 345.600 localspl.dll
29.04.2009 06:56 827.392 wininet.dll
29.04.2009 06:56 233.472 webcheck.dll
29.04.2009 06:56 1.159.680 urlmon.dll
29.04.2009 06:56 105.984 url.dll
29.04.2009 06:56 102.912 occache.dll
29.04.2009 06:56 44.544 pngfilt.dll
29.04.2009 06:56 671.232 mstime.dll
29.04.2009 06:56 477.696 mshtmled.dll
29.04.2009 06:56 3.596.288 mshtml.dll
29.04.2009 06:56 193.024 msrating.dll
29.04.2009 06:55 1.830.912 inetcpl.cpl
29.04.2009 06:55 52.224 msfeedsbs.dll
29.04.2009 06:55 27.648 jsproxy.dll
29.04.2009 06:55 459.264 msfeeds.dll
29.04.2009 06:55 44.544 iernonce.dll
29.04.2009 06:55 6.066.176 ieframe.dll
29.04.2009 06:55 268.288 iertutil.dll
29.04.2009 06:55 133.120 extmgr.dll
29.04.2009 06:55 230.400 ieaksie.dll
29.04.2009 06:55 153.088 ieakeng.dll
29.04.2009 06:55 214.528 dxtrans.dll
29.04.2009 06:55 78.336 ieencode.dll
29.04.2009 06:55 383.488 ieapfltr.dll
29.04.2009 06:55 63.488 icardie.dll
29.04.2009 06:55 385.024 iedkcs32.dll
29.04.2009 06:55 347.136 dxtmsft.dll
29.04.2009 06:55 124.928 advpack.dll
28.04.2009 11:06 389.120 html.iec
28.04.2009 11:05 70.656 ie4uinit.exe
28.04.2009 09:55 70.936 PhysXLoader.dll
25.04.2009 07:26 161.792 ieakui.dll
21.04.2009 15:46 183.112 PnkBstrB.exe
17.04.2009 14:26 1.847.168 win32k.sys
15.04.2009 16:51 585.216 rpcrt4.dll
14.04.2009 22:42 2.134.016 python26.dll
07.04.2009 10:50 288.024 PhysXCompatCplUI.exe
07.04.2009 10:50 214.296 PhysX.cpl
07.04.2009 10:50 288.024 PhysXCplUI.exe
01.04.2009 08:25 107.888 CmdLineExt.dll
26.03.2009 17:19 39.176 mlfcache.dat
26.03.2009 08:37 66.872 PnkBstrA.exe
21.03.2009 16:06 989.696 kernel32.dll
16.03.2009 14:18 22.360 X3DAudio1_6.dll
16.03.2009 14:18 517.448 XAudio2_4.dll
16.03.2009 14:18 69.448 XAPOFX1_3.dll
16.03.2009 14:18 235.352 xactengine3_4.dll
09.03.2009 15:27 4.178.264 D3DX9_41.dll
09.03.2009 15:27 1.846.632 D3DCompiler_41.dll
09.03.2009 15:27 453.456 d3dx10_41.dll
08.03.2009 04:32 36.864 ieudinit.exe
06.03.2009 16:22 284.160 pdh.dll
01.03.2009 00:42 4 gaopdxcounter
27.02.2009 12:59 13.942 m3.ico
27.02.2009 12:59 19.214 sf.ico
21.02.2009 22:26 258.352 unicows.dll
17.02.2009 23:04 5.242.934 toyhide.bmp
17.02.2009 23:02 2.328.832 TUKernel.exe
17.02.2009 17:57 1.196 ealregsnapshot1.reg
11.02.2009 19:07 1.700.352 gdiplus.dll
09.02.2009 14:10 729.088 lsasrv.dll
09.02.2009 14:10 509.440 sdra64.exe
09.02.2009 14:10 714.752 ntdll.dll
09.02.2009 14:10 617.472 advapi32.dll
09.02.2009 14:10 401.408 rpcss.dll
07.02.2009 19:02 2.066.048 ntkrnlpa.exe
06.02.2009 13:11 110.592 services.exe
06.02.2009 13:08 2.189.056 ntoskrnl.exe
06.02.2009 12:39 35.328 sc.exe
03.02.2009 21:59 56.832 secur32.dll
03.02.2009 00:21 726.016 7z.dll
03.02.2009 00:09 69.632 7-zip.dll
03.02.2009 00:09 150.016 7z.exe
29.01.2009 10:58 212.048 TZLog.log
28.01.2009 23:25 56 ezsidmv.dat
28.01.2009 23:17 6.521 jupdate-1.6.0_07-b06.log
28.01.2009 23:16 0 h323log.txt
28.01.2009 23:14 4.444 pid.PNF
28.01.2009 22:23 261 $winnt$.inf
28.01.2009 22:21 2.577 CONFIG.NT
28.01.2009 22:21 16.832 amcompat.tlb
28.01.2009 22:21 23.392 nscompat.tlb
28.01.2009 22:20 488 logonui.exe.manifest
28.01.2009 22:20 488 WindowsLogon.manifest
28.01.2009 22:20 749 sapi.cpl.manifest
28.01.2009 22:20 749 cdplayer.exe.manifest
28.01.2009 22:20 749 nwc.cpl.manifest
28.01.2009 22:20 749 ncpa.cpl.manifest
28.01.2009 22:20 749 wuaucpl.cpl.manifest
28.01.2009 22:18 21.640 emptyregdb.dat
07.01.2009 18:21 121.856 xmllite.dll
07.01.2009 18:21 26.144 spupdsvc.exe
07.01.2009 18:20 16.928 spmsg.dll
07.01.2009 18:20 24.576 nlsdl.dll
07.01.2009 18:20 45.794 normnfc.nls
07.01.2009 18:20 59.342 normidna.nls
07.01.2009 18:20 23.552 normaliz.dll
07.01.2009 18:20 39.284 normnfd.nls
07.01.2009 18:20 60.294 normnfkd.nls
07.01.2009 18:20 26.112 idndl.dll
07.01.2009 18:20 66.384 normnfkc.nls
07.01.2009 18:20 8.798 icrav03.rat
07.01.2009 18:20 265.720 msdbg2.dll
----- Prefetch -------------------------
Volume in drive C has no label.
Volume Serial Number is 78A4-86FA
Directory of C:\WINDOWS\Prefetch
18.09.2009 11:37 11.996 FIND.EXE-0EC32F1E.pf
18.09.2009 11:37 15.380 CMD.EXE-087B4001.pf
18.09.2009 11:37 26.298 VERCLSID.EXE-3667BD89.pf
18.09.2009 11:35 32.950 GOOGLEUPDATE.EXE-1FA240A1.pf
18.09.2009 11:34 36.370 WMIPRVSE.EXE-28F301A9.pf
18.09.2009 11:34 19.982 HIJACKTHIS.EXE-14CED3CD.pf
18.09.2009 11:34 17.740 HJTINSTALL.EXE-28CDF0F9.pf
18.09.2009 11:32 23.900 NOTEPAD.EXE-336351A9.pf
18.09.2009 11:32 156.906 CHROME.EXE-18458931.pf
18.09.2009 11:00 27.548 ONECLICKSTARTER.EXE-165D1788.pf
18.09.2009 10:19 13.512 REGEDIT.EXE-1B606482.pf
18.09.2009 10:16 49.894 SSUPDATE.EXE-003CF786.pf
18.09.2009 10:16 63.774 786E9FB4-6044-4CC9-96E0-D3177-18339937.pf
18.09.2009 10:16 32.940 RUNSAS.EXE-31FA141B.pf
18.09.2009 10:15 5.422 ISADMIN.EXE-34B59F8A.pf
18.09.2009 10:14 30.418 WUAUCLT.EXE-399A8E72.pf
18.09.2009 10:14 23.480 CTFMON.EXE-0E17969B.pf
18.09.2009 10:14 21.492 IMAPI.EXE-0BF740A4.pf
18.09.2009 10:14 26.340 ALG.EXE-0F138680.pf
18.09.2009 10:14 22.814 RSVP.EXE-04E70CF3.pf
18.09.2009 10:14 27.924 SUPERANTISPYWARE.EXE-37C14E11.pf
18.09.2009 10:14 31.740 NVSVC32.EXE-1F9EED18.pf
18.09.2009 10:14 24.564 RUNDLL32.EXE-1857459C.pf
18.09.2009 10:14 28.918 DEVSVC.EXE-2D599844.pf
18.09.2009 10:14 21.652 RUNDLL32.EXE-4BA4C9D4.pf
18.09.2009 10:14 20.092 RUNDLL32.EXE-3E96C3D2.pf
18.09.2009 10:14 41.696 MBAM.EXE-32061666.pf
18.09.2009 10:14 30.578 RUNDLL32.EXE-415F88EC.pf
18.09.2009 10:14 25.512 SVCHOST.EXE-3530F672.pf
18.09.2009 10:14 21.010 NETDDE.EXE-069F07D9.pf
18.09.2009 10:14 25.238 SERVICES.EXE-2B0DDD57.pf
18.09.2009 10:14 22.990 SSERVICE.EXE-219B7DC5.pf
18.09.2009 10:14 17.800 FSERVICE.EXE-2E4F6E14.pf
18.09.2009 10:14 452.592 NTOSBOOT-B00DFAAD.pf
18.09.2009 10:06 54.280 SDFIX.EXE-2343DDB2.pf
18.09.2009 09:40 39.398 BLA.COM.EXE-22F4A172.pf
18.09.2009 09:40 21.196 TASKMGR.EXE-20256C55.pf
18.09.2009 09:38 26.548 7ZG.EXE-232A5FFD.pf
18.09.2009 09:29 77.250 LASTFM.EXE-058BDB40.pf
18.09.2009 09:28 82.486 WINAMP.EXE-2B90D5BD.pf
17.09.2009 20:32 46.590 DFRGNTFS.EXE-269967DF.pf
17.09.2009 20:32 23.618 DEFRAG.EXE-273F131E.pf
17.09.2009 20:32 151.872 Layout.ini
17.09.2009 19:11 35.840 DWWIN.EXE-30875ADC.pf
17.09.2009 19:11 42.100 FIESTAONLINE.EXE-240D4C2B.pf
17.09.2009 14:45 21.632 LOGONUI.EXE-0AF22957.pf
17.09.2009 14:29 18.166 FFMPEG.EXE-04252129.pf
17.09.2009 13:31 22.086 FREEYOUTUBETOMP3CONVERTER.EXE-105E1168.pf
17.09.2009 13:31 23.574 REGSVR32.EXE-25EEFE2F.pf
17.09.2009 13:25 38.328 CASINO.EXE-1979AEA0.pf
17.09.2009 12:47 42.266 FOXITR~1.EXE-06909854.pf
17.09.2009 12:45 23.818 RUNDLL32.EXE-12E27DD0.pf
15.09.2009 19:23 101.650 XFIRE.EXE-01A55DF8.pf
15.09.2009 16:24 89.392 FIREFOX.EXE-03F20888.pf
14.09.2009 16:55 41.082 SNDVOL32.EXE-383480B7.pf
14.09.2009 14:01 64.800 RUNDLL32.EXE-2E5AF1D7.pf
13.08.2009 10:22 17.134 PING.EXE-31216D26.pf
57 File(s) 2.556.568 bytes
0 Dir(s) 203.300.864 bytes free
----- Tasks ----------------------------
Volume in drive C has no label.
Volume Serial Number is 78A4-86FA
Directory of C:\WINDOWS\tasks
18.09.2009 11:35 1.188 GoogleUpdateTaskUserS-1-5-21-1482476501-261478967-1801674531-1003UA.job
18.09.2009 11:00 492 1-Klick-Wartung.job
18.09.2009 10:12 6 SA.DAT
15.09.2009 16:35 1.136 GoogleUpdateTaskUserS-1-5-21-1482476501-261478967-1801674531-1003Core.job
23.08.2009 19:38 340 FRU Task #Hewlett-Packard#hp psc 1200 series#1242651374.job
----- Windows/Temp -----------------------
Volume in drive C has no label.
Volume Serial Number is 78A4-86FA
Directory of C:\WINDOWS\Temp
16.09.2009 13:31 19.456 SKYNETwmextpetqd.tmp
16.09.2009 13:09 19.456 SKYNETbdrijutxsw.tmp
16.09.2009 11:03 19.456 SKYNETrjibirdccj.tmp
16.09.2009 09:02 19.456 SKYNETraplrrpqrn.tmp
15.09.2009 20:28 19.456 SKYNETftapuljwpc.tmp
15.09.2009 20:13 19.456 SKYNETvicxthbiyh.tmp
15.09.2009 20:08 19.456 SKYNETdlxufmobeb.tmp
15.09.2009 19:58 19.456 SKYNETmlmfkydnib.tmp
15.09.2009 19:48 19.456 SKYNETmpeqvgoikb.tmp
15.09.2009 19:21 19.456 SKYNETbmpdmxgkvr.tmp
15.09.2009 16:17 19.456 SKYNETwbfcgtrquo.tmp
15.09.2009 14:57 19.456 SKYNETtethoixrnc.tmp
15.09.2009 14:36 19.456 SKYNETxplptqbqfn.tmp
15.09.2009 14:19 19.456 SKYNEToufkgqgnih.tmp
15.09.2009 13:13 37.376 popka.exe
15.09.2009 13:13 0 nsrbgxod.bak
15.09.2009 13:13 20.992 rundll32.dll
15.09.2009 13:05 19.456 SKYNETeontptcrkg.tmp
15.09.2009 09:05 19.456 SKYNETcqohgrdcdb.tmp
14.09.2009 18:27 19.456 SKYNETuhsailetun.tmp
14.09.2009 14:27 19.456 SKYNETxbvrncwois.tmp
14.09.2009 13:38 19.456 SKYNETriuwcuwfji.tmp
14.09.2009 10:20 19.456 SKYNETdmqecqpxmx.tmp
13.09.2009 18:57 19.456 SKYNETjfllnlrfhd.tmp
13.09.2009 14:57 19.456 SKYNETfeewxxnkvs.tmp
13.09.2009 11:41 19.456 SKYNETuiylqbwuxt.tmp
13.09.2009 01:01 19.456 SKYNETaeqnophdgq.tmp
12.09.2009 21:01 19.456 SKYNETdwpywosvqv.tmp
12.09.2009 15:23 19.456 SKYNETsfdatbidry.tmp
12.09.2009 11:23 19.456 SKYNEToibpxphwse.tmp
12.09.2009 08:37 19.456 SKYNEToribuwfbwj.tmp
11.09.2009 21:56 19.456 SKYNETbqjaiqhrse.tmp
11.09.2009 17:56 19.456 SKYNETrpvnfvhivn.tmp
11.09.2009 08:31 19.456 SKYNETcgvnfvhivn.tmp
10.09.2009 20:20 19.456 SKYNETbdrievjwip.tmp
10.09.2009 18:50 19.456 SKYNETsjuefahoyt.tmp
10.09.2009 14:50 19.456 SKYNETihhtkoxmdc.tmp
10.09.2009 10:50 19.456 SKYNETowofvrtcea.tmp
10.09.2009 09:32 19.456 SKYNETiqjlyadmxt.tmp
09.09.2009 07:43 20.480 SKYNETetrprqrjqq.tmp
----- Temp -----------------------------
Volume in drive G is Spiele
Volume Serial Number is A046-5B92
Directory of G:\Temp
18.09.2009 11:32 0 etilqs_xCwhnfrQHqIvyFbHZcRy
18.09.2009 10:19 13.380 REGSCRIPT.REG
16.09.2009 13:53 311.296 ~DF1B73.tmp
16.09.2009 13:35 311.296 ~DFF858.tmp
16.09.2009 13:32 0 etilqs_FkkTPk6iKLw0yC5dV3UP
16.09.2009 13:32 12.304 etilqs_9TGNR9w2i1CGpTs5tbuX
16.09.2009 10:55 0 etilqs_YUkj2mkzU9HaXzF4K9h0
16.09.2009 10:55 0 etilqs_gXix71xVxsPvLymDzK3C
16.09.2009 10:49 0 ACD72.tmp
16.09.2009 09:48 240 dw.log
16.09.2009 09:42 0 ptu32.tmp
15.09.2009 16:30 0 chrome_installer.log
15.09.2009 16:28 5.824 java_install_reg.log
15.09.2009 13:17 0 nsrbgxod.bak
15.09.2009 09:51 383.804 WT12.tmp
15.09.2009 09:51 367.112 WT11.tmp
14.09.2009 21:47 141 browserview-f160d8.htm
14.09.2009 12:26 192.512 sfamcc00001.dll
13.09.2009 20:02 141 browserview-f17128.htm
13.09.2009 14:20 141 browserview-f16508.htm
13.09.2009 14:20 16.252 32f1_appcompat.txt
12.09.2009 21:22 383.804 WT2B.tmp
12.09.2009 21:22 367.112 WT2A.tmp
12.09.2009 09:03 0 etilqs_I3erOJecTTYqqVn
12.09.2009 09:03 383.804 WT27.tmp
12.09.2009 09:03 367.112 WT26.tmp
12.09.2009 00:00 141 browserview-1046268.htm
10.09.2009 20:04 16.384 ~DF46EB.tmp
10.09.2009 18:26 10.049.566 carnavalcasinode.cab
10.09.2009 15:15 141 browserview-f15820.htm
10.09.2009 14:45 0 etilqs_kXi59zP8y8Ak6JX
10.09.2009 14:44 383.804 WT1D.tmp
10.09.2009 14:44 367.112 WT1C.tmp
09.08.2009 05:06 8.015.872 set3.tmp
23.06.2009 11:01 158.960 SSUPDATE.EXE
11.03.2009 19:35 55.296 sfextra.dll
17.02.2009 17:57 52.736 b1ac6.mst
Code:
ATTFilter
7-Zip 4.32
Adobe Flash Player 10 Plugin
Adobe Flash Player ActiveX
Ahead Nero Burning ROM
ANNO 1404
ASAPI Update
Ashampoo Burning Studio 6 FREE
Blender (remove only)
Carnaval Casino
CCleaner (remove only)
EA Download Manager
EasyRecovery Professional
EAX Unified
Fiesta Online(EU_German) 1.02.004
Firebird SQL Server - MAGIX Edition
Foxit Reader
Free YouTube to Mp3 Converter version 3.1
GIMP 2.6.6
Google Chrome
Guitar Pro 5.1
HijackThis 2.0.2
HP Foto und Bildbearbeitung 2.0 - hp psc 1200 series
InterVideo DeviceService
Java(TM) 6 Update 7
Last.fm 1.5.4.24567
Mafia
MAGIX Music Maker 15 Premium Download version 15.0.1.5 (UK)
MAGIX Screenshare 4.3.6.1987 (UK)
Malwarebytes' Anti-Malware
Microsoft .NET Framework 2.0
Microsoft .NET Framework 2.0 Language Pack - DEU
Microsoft Visual C++ 2005 Redistributable
Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022
Microsoft WSE 3.0 Runtime
Mozilla Firefox (3.5.3)
MSXML 4.0 SP2 (KB954430)
MSXML 6.0 Parser (KB925673)
NVIDIA Drivers
NVIDIA PhysX
Python 2.6.2
Skype™ 4.0
SpeedFan (remove only)
Steinberg WaveLab 5.00a
SUPERAntiSpyware Professional
Text-To-Speech-Runtime
TmNationsForever
TuneUp Utilities 2008
Uninstall 1.0.0.1
VLC media player 1.0.0
Wheel of Time
Winamp
Windows Media Format 11 runtime
WonderKing
World of Warcraft
|
|
18.09.2009, 10:59
| #6 |
| | autochk.dll, protect.dll und andere, etwas komplizierter Hier die nächsten: SuperAntispyware: Code:
ATTFilter SUPERAntiSpyware Scan Log
http://www.superantispyware.com
Generated 09/18/2009 at 11:31 AM
Application Version : 4.28.1010
Core Rules Database Version : 3952
Trace Rules Database Version: 1894
Scan type : Complete Scan
Total Scan Time : 01:06:28
Memory items scanned : 361
Memory threats detected : 3
Registry items scanned : 4592
Registry threats detected : 6
File items scanned : 29945
File threats detected : 26
Trojan.Dropper/Sys-NV
C:\WINDOWS\SYSTEM32\REGINV.DLL
C:\WINDOWS\SYSTEM32\REGINV.DLL
Trojan.Agent/Gen-UPX
C:\WINDOWS\SERVICES.EXE
C:\WINDOWS\SERVICES.EXE
Trojan.Unknown Origin
C:\WINDOWS\SYSTEM32\WINKEY.DLL
C:\WINDOWS\SYSTEM32\WINKEY.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP24\A0003715.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP24\A0003718.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003741.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003742.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003750.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003751.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003763.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003764.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003777.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003778.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003813.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003797.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003798.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003814.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003829.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003830.DLL
Rootkit.Agent/Gen-Rustock
HKLM\System\ControlSet001\Services\ovfsthxpxowyeay
C:\WINDOWS\SYSTEM32\DRIVERS\OVFSTHXPTQMRPYL.SYS
HKLM\System\ControlSet001\Enum\Root\LEGACY_ovfsthxpxowyeay
HKLM\System\ControlSet002\Services\ovfsthxpxowyeay
HKLM\System\ControlSet002\Enum\Root\LEGACY_ovfsthxpxowyeay
HKLM\System\CurrentControlSet\Services\ovfsthxpxowyeay
HKLM\System\CurrentControlSet\Enum\Root\LEGACY_ovfsthxpxowyeay
Adware.Tracking Cookie
C:\Documents and Settings\Igoel\Cookies\igoel@2o7[2].txt
Adware.Casino Games (Golden Palace Casino)
G:\CARNAVAL CASINO\CASINO.EXE
C:\DOCUMENTS AND SETTINGS\ALL USERS\DESKTOP\CARNAVAL CASINO.LNK
C:\DOCUMENTS AND SETTINGS\ALL USERS\START MENU\PROGRAMS\CARNAVAL CASINO\CARNAVAL CASINO.LNK
Rootkit.BraviaX-Installer
C:\WINDOWS\SYSTEM32\DLLCACHE\BEEP.SYS
Trojan.Agent/Gen-SDRA
C:\WINDOWS\SYSTEM32\SDRA64.EXE
Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 11:34:40, on 18.09.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16850) Boot mode: Normal Running processes: C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.exe C:\WINDOWS\services.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\netdde.exe C:\Program Files\Common Files\InterVideo\DeviceService\DevSvc.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\alg.exe G:\Programme\SUPERAntiSpyware\786e9fb4-6044-4cc9-96e0-d3177109b65b.exe C:\Documents and Settings\Igoel\Local Settings\Application Data\Google\Chrome\Application\chrome.exe C:\Documents and Settings\Igoel\Local Settings\Application Data\Google\Chrome\Application\chrome.exe G:\Programme\Trend Micro\HijackThis\HijackThis.exe C:\WINDOWS\system32\wbem\wmiprvse.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\fservice.exe F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe, O1 - Hosts: 91.121.97.18 thepiratebay.org O1 - Hosts: 91.121.97.18 www.thepiratebay.org O1 - Hosts: 91.121.97.18 thepiratebay.org O1 - Hosts: 91.121.97.18 www.thepiratebay.org O1 - Hosts: 91.121.97.18 thepiratebay.org O1 - Hosts: 91.121.97.18 www.thepiratebay.org O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [ Malwarebytes Anti-Malware (reboot)] "G:\Programme\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript O4 - HKLM\..\Run: [autochk] rundll32.exe C:\WINDOWS\system32\autochk.dll,_IWMPEvents@16 O4 - HKCU\..\Run: [SUPERAntiSpyware] G:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe O4 - HKCU\..\Run: [autochk] rundll32.exe C:\DOCUME~1\Igoel\protect.dll,_IWMPEvents@16 O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKLM\..\Policies\Explorer\Run: [DirectX For Microsoft® Windows] C:\WINDOWS\system32\fservice.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE') O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOCAL SERVICE') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE') O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETWORK SERVICE') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user') O4 - S-1-5-18 Startup: ChkDisk.lnk = ? (User 'SYSTEM') O4 - .DEFAULT Startup: ChkDisk.lnk = ? (User 'Default user') O4 - Startup: ChkDisk.lnk = ? O8 - Extra context menu item: An vorhandene PDF-Datei anfügen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Linkziel an vorhandene PDF-Datei anhängen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Linkziel in Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - G:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - G:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - G:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - G:\Programme\ICQ6.5\ICQ.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{D3A7735B-7A98-4BFA-9055-8D663CCBCFB4}: NameServer = 213.191.74.18 62.109.123.196 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.177,85.255.112.117 O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.177,85.255.112.117 O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.177,85.255.112.117 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Program Files\iEvony\Skype4COM.dll O20 - AppInit_DLLs: cru629.dat O20 - Winlogon Notify: !SASWinLogon - G:\Programme\SUPERAntiSpyware\SASWINLO.DLL O23 - Service: Capture Device Service - InterVideo Inc. - C:\Program Files\Common Files\InterVideo\DeviceService\DevSvc.exe O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - G:\Progamme\MAGIX\Common\Database\bin\fbserver.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: Windows CardSpace (idsvc) - Unknown owner - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe (file missing) O23 - Service: Net.Tcp Port Sharing Service (NetTcpPortSharing) - Unknown owner - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe (file missing) O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe -- End of file - 6679 bytes |
|
18.09.2009, 11:02
| #7 |
| | autochk.dll, protect.dll und andere, etwas komplizierter Gmer: da es sich um über 76000 zeichen handelt habe ich sie im anhang hochgeladen. |
|
18.09.2009, 18:49
| #8 |
| /// Helfer-Team | autochk.dll, protect.dll und andere, etwas komplizierter hi Ich muss dir ehrlich sagen, selten so einen verseuchten PC gesehen wie deins Eine ungesunde Mischung aus mehrere Backdoors und Rootkits und noch Rogue Software drauf. Als ob´s nicht alles schlimm genug wäre, deine Internetverbindungen werden in die Ukraine umgeleitet, zumindest über einem ungewollte ausländische Server  Mein Vorschlag: Dir eine Menge Zeit und Ärger zu ersparen (nicht wochenlang herumbasteln, und dann festzustellen, dass es doch nicht geht), mache eine Datensicherung der für dich wichtigen persönlichen Daten, formatiere dein System & auch Speichermedien (falls Du während die Infektion an den PC angeschlossen hast - USB-Stick, externe Platte etc) und setze dein System neu auf. Wenn Du etwas Risikofreudig bist, können wir versuchen die Schädlinge zu entfernen, Voraussetzung ist, dass dein PC die Löschvorgang durchhalten kann bzw überlebt... Also überleg Dir gut und gib mir deine Entscheidung bekannt! Wenn Du dich jedoch für das Formatieren entscheidest, wir müssen vorher noch ein Tool laufen lassen, den MBR (Master-Boot-Record) zu prüfen Ohne es zu wissen, ob den MBR auch ev. infiziert, ein Formatierung ergibt keinen Sinn gruß Coverflow |
|
18.09.2009, 20:47
| #9 |
| | autochk.dll, protect.dll und andere, etwas komplizierter nabend hmmmm joa hatte ich mir schon fast gedacht das es darauf hinaus läuft, da is man nur einmal kurz auf klo, und dann ging alles nich mehr ordentlich -.-..... najut ich denke dann werde ich mich wohl fürs formatieren entscheiden  mfg igoel |
|
18.09.2009, 21:13
| #10 |
| /// Helfer-Team | autochk.dll, protect.dll und andere, etwas komplizierter na Ok Master Boot Record überprüfen: |
|
19.09.2009, 07:26
| #11 |
| | autochk.dll, protect.dll und andere, etwas komplizierter ok hier die logdatei: Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.6 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully kernel: MBR read successfully user & kernel MBR OK malicious code @ sector 0x17499f00 size 0x1c1 ! copy of MBR has been found in sector 62 ! PE file found in sector at 0x017499F00 ! |
|
19.09.2009, 09:02
| #12 |
| | autochk.dll, protect.dll und andere, etwas komplizierter : )))) so hab nochma was anderes ausprobiert und zwar ist er mir ja immer bei Malwarebytes abgestürzt, habe deshalb über CCleaner bei autostart die autochk und so deaktiviert und entfernt, danach habe ich mit malware einen komplettscan auf meiner win partion gemacht....kein absturz die logdatei dazu.....bitte nicht erschrecken ^^ Code:
ATTFilter Malwarebytes' Anti-Malware 1.41
Datenbank Version: 2811
Windows 5.1.2600 Service Pack 3
19.09.2009 09:27:46
mbam-log-2009-09-19 (09-27-40).txt
Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 95270
Laufzeit: 15 minute(s), 14 second(s)
Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 2
Infizierte Registrierungsschlüssel: 9
Infizierte Registrierungswerte: 6
Infizierte Dateiobjekte der Registrierung: 14
Infizierte Verzeichnisse: 1
Infizierte Dateien: 64
Infizierte Speicherprozesse:
C:\WINDOWS\services.exe (Trojan.Agent) -> No action taken.
Infizierte Speichermodule:
C:\WINDOWS\system32\reginv.dll (Backdoor.ProRat) -> No action taken.
C:\WINDOWS\system32\winkey.dll (Backdoor.ProRat) -> No action taken.
Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5y99ae78-58tt-11dw-be53-y67078979y} (Backdoor.ProRat) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\skynetqrmybwwk (Rootkit.TDSS) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\{NSINAME} (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\skynetqqplvymp (Rootkit.TDSS) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\gaopdxserv.sys (Trojan.Agent) -> No action taken.
Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\DirectX For Microsoft® Windows (Backdoor.Prorat) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Sys Startup (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\UID (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\autochk (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\autochk (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\windows start (Trojan.Agent) -> No action taken.
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (Userinit.exe) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.177,85.255.112.117 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.177,85.255.112.117 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.177,85.255.112.117 -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Backdoor.ProRat) -> Data: c:\windows\system32\fservice.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.FakeAlert) -> Data: c:\windows\system32\sdra64.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Backdoor.ProRat) -> Data: system32\fservice.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.FakeAlert) -> Data: system32\sdra64.exe -> No action taken.
Infizierte Verzeichnisse:
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.
Infizierte Dateien:
C:\WINDOWS\system32\reginv.dll (Backdoor.ProRat) -> No action taken.
C:\WINDOWS\system32\winkey.dll (Backdoor.ProRat) -> No action taken.
C:\WINDOWS\system\sservice.exe (Backdoor.ProRat) -> No action taken.
C:\Documents and Settings\Igoel\protect.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Igoel\Start Menu\Programs\Startup\ChkDisk.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\LocalService\protect.dll (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP24\A0003715.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP24\A0003716.dll (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP24\A0003717.dll (Rootkit.TDSS) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP24\A0003718.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003737.dll (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003741.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003742.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003750.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003751.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP25\A0003758.dll (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003813.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003759.dll (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003763.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003764.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003773.dll (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003777.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003778.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003797.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003798.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003814.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003829.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP26\A0003830.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP27\A0003972.dll (Backdoor.ProRat) -> No action taken.
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP27\A0003973.dll (Backdoor.ProRat) -> No action taken.
C:\WINDOWS\system32\autochk.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\drivers\ovfsthxptqmrpyl.sys (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\protect.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\BW0879GK\Install[1].exe (Trojan.FakeAlert) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\ChkDisk.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\dllcache\beep.sys (Trojan.KillAV) -> No action taken.
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
C:\WINDOWS\system32\fservice.exe (Backdoor.Prorat) -> No action taken.
C:\Documents and Settings\Igoel\Favorites\Cheap Pharmacy Online.url (Rogue.Link) -> No action taken.
C:\Documents and Settings\Igoel\Favorites\SMS TRAP.url (Rogue.Link) -> No action taken.
C:\Documents and Settings\Igoel\Start Menu\Programs\Startup\ChkDisk.lnk (Trojan.FakeAlert) -> No action taken.
C:\WINDOWS\system32\sdra64.exe (Trojan.FakeAlert) -> No action taken.
C:\WINDOWS\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.
C:\WINDOWS\system32\sf.ico (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\ftdutil.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\gaopdxcounter (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\m3.ico (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\MSIVXcount (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\ntvxdc.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\ovfsthxmflmmbpu.dat (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\ovfsthxjkwoivtu.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\ovfsthxjyodpske.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\ovfsthxtrltumhx.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\services.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\SKYNETltamuxfx.dat (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\SKYNETmeyeptbb.dat (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\wcsydrv.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\SKYNETkkhauvid.dat (Rootkit.TDSS) -> No action taken.
C:\Documents and Settings\Igoel\Favorites\Cheap Software.url (Rogue.Link) -> No action taken.
C:\Documents and Settings\Igoel\Favorites\MP3 Download.url (Rogue.Link) -> No action taken.
C:\WINDOWS\ios.dat (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\wintgtsv.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\ktd32.atm (Backdoor.ProRat) -> No action taken.
danach hat er auch alles ordentlich entfernt und das sogar nach dem neustart...dann nochma durchlaufen lassen: Code:
ATTFilter Malwarebytes' Anti-Malware 1.41
Datenbank Version: 2811
Windows 5.1.2600 Service Pack 3
19.09.2009 09:49:46
mbam-log-2009-09-19 (09-49-46).txt
Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 96926
Laufzeit: 14 minute(s), 49 second(s)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
C:\System Volume Information\_restore{4D2B9E55-256E-46FD-AFF7-11BA255D6671}\RP27\A0003980.sys (Trojan.KillAV) -> Quarantined and deleted successfully.
das sieht doch jetzt schon ganz anders aus nich : )  soweit funktioniert auch alles denke ich, trotzdem vielen vielen dank für deine unterstützung (sonst wäre ich ja auch nicht auf die einzelenen Programme gekommen )falls du noch ne idee hast um zu überprüfen ob auch alles weg ist, immer her damit : ) Mfg Igoel  |
|
19.09.2009, 09:40
| #13 |
| /// Helfer-Team | autochk.dll, protect.dll und andere, etwas komplizierter hi Das ist zu früh, wenn man Party machen will...  nämlich dein MBR scheint infiziert zu sein...  zur Nachkontrolle empfehle ich Dir das hier abarbeiten: 1. - Kopiere den Text aus der Code-Box in ein Notepad-Dokument und speichere ihn als remove.txt auf deiner Festplatte C:\ → Lade den Avenger herunter und entzippe ihn auf den Desktop. (direkt als `EXE` *hier* erhältlich ) → die avenger.exe per Doppelklick starten → füge den Inhalt aus der Codebox vollständig und unverändert in das leere Textfeld bei "Input script here" ein → dann klicke auf "Execute" → wirst Du gefragt, ob Du das Script ausführen willst. Beantworte die Frage "Ja". → auf die Fragae ob dein Rechner jetzt neu starten soll "Rebot now" bejahe bitte auch → nach Neustart wird ein Dos Fenster aufgehen. → wenn wieder geschlossen ist, es öffnet sich der Editor mit die Scanergebnisse : C:\avenger.txt → kopiere und füge den Inhalt direkt aus der Textdatei hier rein Code:
ATTFilter Drivers to delete:
gaopdxserv.sys
ovfsthxpxowyeay
SKYNETqqplvymp
SKYNETqrmybwwk
Files to delete:
C:\WINDOWS\system32\drivers\gaopdxxvmkkypu.sys
C:\WINDOWS\system32\gaopdxtewpbhai.dll
C:\WINDOWS\system32\drivers\ovfsthxptqmrpyl.sys
C:\WINDOWS\system32\ovfsthxjkwoivtu.dll
C:\WINDOWS\system32\ovfsthxmflmmbpu.dat
C:\WINDOWS\system32\ovfsthxjyodpske.dll
C:\WINDOWS\system32\ovfsthxtrltumhx.dll
C:\WINDOWS\system32\ovfsthxladjpakd.dat
C:\WINDOWS\system32\drivers\SKYNETpkiltlwe.sys
C:\WINDOWS\system32\SKYNETkxvngsnv.dll
C:\WINDOWS\system32\SKYNETmeyeptbb.dat
C:\WINDOWS\system32\SKYNETmlxvaswu.dll
C:\WINDOWS\system32\SKYNETirwabcwk.dat
C:\WINDOWS\system32\drivers\SKYNETxjbaqgod.sys
C:\WINDOWS\system32\SKYNETpqjnwrix.dll
C:\WINDOWS\system32\SKYNETkkhauvid.dat
C:\WINDOWS\system32\SKYNETuablhcbq.dll
C:\WINDOWS\system32\SKYNETltamuxfx.dat
C:\WINDOWS\system32\SKYNETfviteooe.dll
C:\WINDOWS\services.exe
C:\WINDOWS\system32\reginv.dll
C:\WINDOWS\system32\winkey.dll
C:\WINDOWS\system32\autochk.dll
C:\WINDOWS\system32\mvastnet.dll
C:\WINDOWS\system32\GameMon.des
C:\WINDOWS\system32\fservice.exe
C:\WINDOWS\system32\sdra64.exe
C:\WINDOWS\system32\Winiguard.exe
C:\WINDOWS\system32\MSIVXcount
C:\WINDOWS\Temp\SKYNETwmextpetqd.tmp
C:\WINDOWS\Temp\SKYNETbdrijutxsw.tmp
C:\WINDOWS\Temp\SKYNETrjibirdccj.tmp
C:\WINDOWS\Temp\SKYNETraplrrpqrn.tmp
C:\WINDOWS\Temp\SKYNETftapuljwpc.tmp
C:\WINDOWS\Temp\SKYNETvicxthbiyh.tmp
C:\WINDOWS\Temp\SKYNETdlxufmobeb.tmp
C:\WINDOWS\Temp\SKYNETmlmfkydnib.tmp
C:\WINDOWS\Temp\SKYNETmpeqvgoikb.tmp
C:\WINDOWS\Temp\SKYNETbmpdmxgkvr.tmp
C:\WINDOWS\Temp\SKYNETwbfcgtrquo.tmp
C:\WINDOWS\Temp\SKYNETtethoixrnc.tmp
C:\WINDOWS\Temp\SKYNETxplptqbqfn.tmp
C:\WINDOWS\Temp\SKYNEToufkgqgnih.tmp
C:\WINDOWS\Temp\popka.exe
C:\WINDOWS\Temp\nsrbgxod.bak
C:\WINDOWS\Temp\SKYNETeontptcrkg.tmp
C:\WINDOWS\Temp\SKYNETcqohgrdcdb.tmp
C:\WINDOWS\Temp\SKYNETuhsailetun.tmp
C:\WINDOWS\Temp\SKYNETxbvrncwois.tmp
C:\WINDOWS\Temp\SKYNETriuwcuwfji.tmp
C:\WINDOWS\Temp\SKYNETdmqecqpxmx.tmp
C:\WINDOWS\Temp\SKYNETjfllnlrfhd.tmp
C:\WINDOWS\Temp\SKYNETfeewxxnkvs.tmp
C:\WINDOWS\Temp\SKYNETuiylqbwuxt.tmp
C:\WINDOWS\Temp\SKYNETaeqnophdgq.tmp
C:\WINDOWS\Temp\SKYNETdwpywosvqv.tmp
C:\WINDOWS\Temp\SKYNETsfdatbidry.tmp
C:\WINDOWS\Temp\SKYNEToibpxphwse.tmp
C:\WINDOWS\Temp\SKYNEToribuwfbwj.tmp
C:\WINDOWS\Temp\SKYNETbqjaiqhrse.tmp
C:\WINDOWS\Temp\SKYNETrpvnfvhivn.tmp
C:\WINDOWS\Temp\SKYNETcgvnfvhivn.tmp
C:\WINDOWS\Temp\SKYNETbdrievjwip.tmp
C:\WINDOWS\Temp\SKYNETsjuefahoyt.tmp
C:\WINDOWS\Temp\SKYNETihhtkoxmdc.tmp
C:\WINDOWS\Temp\SKYNETowofvrtcea.tmp
C:\WINDOWS\Temp\SKYNETiqjlyadmxt.tmp
C:\WINDOWS\Temp\SKYNETetrprqrjqq.tmp
Falls existieren - Schliesse alle Programme einschliesslich Internet Explorer und fixe mit Hijackthis die Einträge aus der nachfolgenden Codebox (HijackThis starten→ "Do a system scan only"→ Einträge auswählen→ Häckhen setzen→ "Fix checked"klicken→ PC neu aufstarten): Code:
ATTFilter F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\fservice.exe
O4 - HKLM\..\Run: [autochk] rundll32.exe C:\WINDOWS\system32\autochk.dll,_IWMPEvents@16
O4 - HKCU\..\Run: [autochk] rundll32.exe C:\DOCUME~1\Igoel\protect.dll,_IWMPEvents@16
O4 - HKLM\..\Policies\Explorer\Run: [DirectX For Microsoft® Windows] C:\WINDOWS\system32\fservice.exe
O4 - S-1-5-18 Startup: ChkDisk.lnk = ? (User 'SYSTEM')
O4 - .DEFAULT Startup: ChkDisk.lnk = ? (User 'Default user')
O4 - Startup: ChkDisk.lnk = ?
O20 - AppInit_DLLs: cru629.dat
→ besuche die Seite von virustotal und die Datei/en aus Codebox bitte prüfen lassen - inklusive Dateigröße und Name, MD5 und SHA1 auch mitkopieren: Code:
ATTFilter C:\WINDOWS\system32\l33t tool.exe
C:\WINDOWS\system32\configfile.exe
C:\WINDOWS\system32\config.exe
→ Suche die Datei auf deinem Rechner→ Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox) → "Senden der Datei" und Warte, bis der Scandurchlauf aller Virenscanner beendet ist → das Ergebnis wie Du es bekommst da reinkoperen (inklusive Dateigröße und Name, MD5 und SHA1): 4. poste erneut: Trend Micro HijackThis-Logfile - Keine offenen Fenster, solang bis HijackThis läuft!! filelist.bat - den letzten sechs Monaten! 5. MBR wiederherstellen: Unter "Lösung " nach dieser Anleitung vorgehen,:-> http://virus-protect.org/artikel/tools/mbr.html Geändert von kira (19.09.2009 um 09:46 Uhr) |
|
| Themen zu autochk.dll, protect.dll und andere, etwas komplizierter |
| autostart, backdoor.prorat, bluescree, bluescreen, components, dateien, explorer, falsche, falsche links, gelöscht, links, log, löschen, microsoft, mozilla, neustart, problem, programme, registrierungsschlüssel, scan, seite, setup, software, suche, superantispyware, system, system32, trojan.agent, trojaner |
Linear-Darstellung
