| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: gmx und paypal aufgehackt, C:\windows\system32\CVHW.dllWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
11.04.2010, 19:33
| #16 |
 |  gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hier das log von avenger Logfile of The Avenger Version 2.0, (c) by Swandog46 hxxp://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! File "c:\windows\tasks\xoszyleu.job" deleted successfully. Completed script processing. ******************* Finished! Terminate. und der link zum backup.zip hxxp://w*w.file-upload.net/download-2427961/backup.zip.html Die anderen scans mach ich jetzt. Bis dann, Frank |
|
11.04.2010, 19:44
| #17 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hier das log-file von malwarebytes:
__________________Malwarebytes' Anti-Malware 1.45 www.malwarebytes.org Datenbank Version: 3978 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 11.04.2010 20:42:31 mbam-log-2010-04-11 (20-42-31).txt Art des Suchlaufs: Quick-Scan Durchsuchte Objekte: 106650 Laufzeit: 5 Minute(n), 59 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) |
|
11.04.2010, 20:00
| #18 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Und hier noch das OTL.txt-file:
__________________OTL logfile created on: 11.04.2010 20:47:50 - Run 1 OTL by OldTimer - Version 3.2.1.1 Folder = C:\Dokumente und Einstellungen\ADMIN\Desktop Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 8.0.6001.18702) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 1.022,00 Mb Total Physical Memory | 460,00 Mb Available Physical Memory | 45,00% Memory free 2,00 Gb Paging File | 2,00 Gb Available in Paging File | 76,00% Paging File free Paging file location(s): C:\pagefile.sys 1440 2880 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 39,06 Gb Total Space | 23,62 Gb Free Space | 60,47% Space Free | Partition Type: NTFS Drive D: | 37,26 Gb Total Space | 29,53 Gb Free Space | 79,26% Space Free | Partition Type: NTFS Drive E: | 39,06 Gb Total Space | 38,01 Gb Free Space | 97,32% Space Free | Partition Type: NTFS Drive F: | 75,43 Gb Total Space | 69,53 Gb Free Space | 92,18% Space Free | Partition Type: NTFS G: Drive not present or media not loaded Drive H: | 1,93 Gb Total Space | 1,93 Gb Free Space | 99,98% Space Free | Partition Type: FAT32 I: Drive not present or media not loaded Computer Name: LUCY Current User Name: ADMIN Logged in as Administrator. Current Boot Mode: Normal Scan Mode: Current user Company Name Whitelist: Off Skip Microsoft Files: Off File Age = 30 Days Output = Minimal ========== Processes (SafeList) ========== PRC - C:\Dokumente und Einstellungen\ADMIN\Desktop\OTL.exe (OldTimer Tools) PRC - C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe (RealNetworks, Inc.) PRC - C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH) PRC - C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) PRC - C:\Programme\Pando Networks\Pando\Pando.exe (Pando Networks) PRC - C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH) PRC - C:\Programme\Avira\AntiVir Desktop\avshadow.exe (Avira GmbH) PRC - C:\Programme\Windows Desktop Search\WindowsSearch.exe (Microsoft Corporation) PRC - C:\Programme\Logitech\SetPoint\SetPoint.exe (Logitech, Inc.) PRC - C:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.exe (Logitech, Inc.) PRC - C:\Programme\Adobe\Acrobat 7.0\Distillr\acrotray.exe (Adobe Systems Inc.) PRC - C:\WINDOWS\system32\snmp.exe (Microsoft Corporation) PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation) PRC - C:\Programme\VDOTool\TBPANEL.exe (Palit Microsystems, Inc.) PRC - C:\Programme\Logitech\Gaming Software\LWEMon.exe (Logitech Inc.) PRC - C:\Programme\Portrait Displays\HP My Display\dthtml.exe (Portrait Displays, Inc) PRC - C:\Programme\Gemeinsame Dateien\Portrait Displays\Shared\DTSRVC.exe () PRC - C:\Programme\Gemeinsame Dateien\Portrait Displays\Shared\HookManager.exe (Portrait Displays Inc.) PRC - C:\Programme\Portrait Displays\Pivot Software\Floater.exe () PRC - C:\Programme\Portrait Displays\Pivot Software\wpCtrl.exe () PRC - C:\WINDOWS\soundman.exe (Realtek Semiconductor Corp.) PRC - C:\Programme\WinTV\Ir.exe (Hauppauge Computer Works) PRC - C:\WINDOWS\system32\VTTimer.exe (S3 Graphics, Inc.) PRC - C:\Programme\Ahead\InCD\InCDsrv.exe (Nero AG) PRC - C:\Programme\Ahead\InCD\InCD.exe (Nero AG) PRC - C:\Programme\lg_fwupdate\fwupdate.exe (CST) PRC - C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe (Cyberlink Corp.) PRC - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe (Ulead Systems, Inc.) PRC - C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe (HP) PRC - C:\Programme\Hewlett-Packard\HP Software Update\hpwuSchd.exe (Hewlett-Packard) PRC - C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe (Microsoft Corporation) PRC - C:\WINDOWS\system32\tcpsvcs.exe (Microsoft Corporation) ========== Modules (SafeList) ========== MOD - C:\Dokumente und Einstellungen\ADMIN\Desktop\OTL.exe (OldTimer Tools) MOD - C:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.3053_x-ww_b80fa8ca\msvcr80.dll (Microsoft Corporation) MOD - C:\Programme\Logitech\SetPoint\lgscroll.dll (Logitech, Inc.) MOD - C:\Programme\Portrait Displays\Pivot Software\Winphook.dll () ========== Win32 Services (SafeList) ========== SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH) SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH) SRV - (LBTServ) -- C:\Programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTServ.exe (Logitech, Inc.) SRV - (SNMP) -- C:\WINDOWS\system32\snmp.exe (Microsoft Corporation) SRV - (Iprip) -- C:\WINDOWS\system32\iprip.dll (Microsoft Corporation) SRV - (DTSRVC) -- C:\Programme\Gemeinsame Dateien\Portrait Displays\Shared\DTSRVC.exe () SRV - (InCDsrv) -- C:\Programme\Ahead\InCD\InCDsrv.exe (Nero AG) SRV - (IDriverT) -- C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe (Macrovision Corporation) SRV - (UleadBurningHelper) -- C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe (Ulead Systems, Inc.) SRV - (MDM) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe (Microsoft Corporation) SRV - (SimpTcp) -- C:\WINDOWS\system32\tcpsvcs.exe (Microsoft Corporation) SRV - (LPDSVC) -- C:\WINDOWS\system32\tcpsvcs.exe (Microsoft Corporation) ========== Driver Services (SafeList) ========== DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH) DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH) DRV - (nv) -- C:\WINDOWS\system32\drivers\nv4_mini.sys (NVIDIA Corporation) DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH) DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH) DRV - (L8042Kbd) -- C:\WINDOWS\system32\drivers\L8042Kbd.sys (Logitech, Inc.) DRV - (WmXlCore) -- C:\WINDOWS\system32\drivers\WmXlCore.sys (Logitech Inc.) DRV - (WmVirHid) -- C:\WINDOWS\system32\drivers\WmVirHid.sys (Logitech Inc.) DRV - (WmHidLo) -- C:\WINDOWS\system32\drivers\WmHidLo.sys (Logitech Inc.) DRV - (WmFilter) -- C:\WINDOWS\system32\drivers\WmFilter.sys (Logitech Inc.) DRV - (WmBEnum) -- C:\WINDOWS\system32\drivers\WmBEnum.sys (Logitech Inc.) DRV - (RTL8023xp) -- C:\WINDOWS\system32\drivers\Rtnicxp.sys (Realtek Semiconductor Corporation ) DRV - (pdiddcci) -- C:\WINDOWS\system32\drivers\pdiddcci.sys (Portrait Displays, Inc.) DRV - (AmdPPM) -- C:\WINDOWS\system32\drivers\AmdPPM.sys (Advanced Micro Devices) DRV - (TBPanel) -- C:\WINDOWS\system32\drivers\TBPanel.sys (Windows (R) 2000 DDK provider) DRV - (Pivot) -- C:\WINDOWS\system32\drivers\pivot.sys (Portrait Displays, Inc.) DRV - (pivotmou) -- C:\WINDOWS\system32\drivers\pivotmou.sys (Portrait Displays, Inc.) DRV - (ALCXWDM) Service for Realtek AC97 Audio (WDM) -- C:\WINDOWS\system32\drivers\alcxwdm.sys (Realtek Semiconductor Corp.) DRV - (PdiPorts) -- C:\WINDOWS\system32\drivers\PdiPorts.sys (Portrait Displays, Inc.) DRV - (speedfan) -- C:\WINDOWS\system32\speedfan.sys (Windows (R) 2000 DDK provider) DRV - (hcwPP2) -- C:\WINDOWS\system32\drivers\hcwPP2.sys (Hauppauge Computer Works, Inc.) DRV - (S3GIGP) -- C:\WINDOWS\system32\drivers\S3gIGPm.sys (S3 Graphics Co., Ltd.) DRV - (xfilt) -- C:\WINDOWS\system32\DRIVERS\xfilt.sys (VIA Technologies,Inc) DRV - (videX32) -- C:\WINDOWS\system32\DRIVERS\videX32.sys (VIA Technologies, Inc.) DRV - (ViaIde) -- C:\WINDOWS\System32\DRIVERS\viaidexp.sys (VIA Technologies, Inc.) DRV - (InCDfs) -- C:\WINDOWS\system32\drivers\InCDfs.sys (Nero AG) DRV - (InCDPass) -- C:\WINDOWS\system32\drivers\InCDpass.sys (Nero AG) DRV - (incdrm) -- C:\WINDOWS\system32\drivers\InCDrm.sys (Nero AG) DRV - (sfdrv01) StarForce Protection Environment Driver (version 1.x) -- C:\WINDOWS\System32\drivers\sfdrv01.sys (Protection Technology) DRV - (sfhlp02) StarForce Protection Helper Driver (version 2.x) -- C:\WINDOWS\System32\drivers\sfhlp02.sys (Protection Technology) DRV - (sfsync02) StarForce Protection Synchronization Driver (version 2.x) -- C:\WINDOWS\System32\drivers\sfsync02.sys (Protection Technology) DRV - (prohlp02) -- C:\WINDOWS\System32\drivers\prohlp02.sys (Protection Technology) DRV - (prodrv06) -- C:\WINDOWS\System32\drivers\prodrv06.sys (Protection Technology) DRV - (rtl8139) NT-Treiber für Realtek RTL8139(A/B/C) -- C:\WINDOWS\system32\drivers\rtl8139.sys (Realtek Semiconductor Corporation) DRV - (prosync1) -- C:\WINDOWS\System32\drivers\prosync1.sys (Protection Technology) DRV - (pfc) -- C:\WINDOWS\system32\drivers\pfc.sys (Padus, Inc.) DRV - (sfhlp01) -- C:\WINDOWS\System32\drivers\sfhlp01.sys (Protection Technology) DRV - (viaagp1) -- C:\WINDOWS\System32\DRIVERS\viaagp1.sys (VIA Technologies, Inc.) DRV - (cdenable) -- C:\WINDOWS\system32\drivers\cdenable.sys () DRV - (giveio) -- C:\WINDOWS\system32\giveio.sys () ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.gmx.net/ IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 O1 HOSTS File: ([2010.03.17 13:00:18 | 000,000,176 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O1 - Hosts: ::1 localhost O2 - BHO: (Adobe PDF Reader Link Helper) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated) O2 - BHO: (Windows Live Anmelde-Hilfsprogramm) - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll (Microsoft Corporation) O2 - BHO: (Adobe PDF Conversion Toolbar Helper) - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O3 - HKLM\..\Toolbar: (Adobe PDF) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found. O3 - HKCU\..\Toolbar\WebBrowser: (Adobe PDF) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O4 - HKLM..\Run: [Acrobat Assistant 7.0] C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe (Adobe Systems Inc.) O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) O4 - HKLM..\Run: [DT HPW] C:\Programme\Portrait Displays\HP My Display\DTHtml.exe (Portrait Displays, Inc) O4 - HKLM..\Run: [Gainward] C:\Programme\VDOTool\TBPanel.exe (Palit Microsystems, Inc.) O4 - HKLM..\Run: [HP Software Update] C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe (Hewlett-Packard) O4 - HKLM..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe (HP) O4 - HKLM..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe (Nero AG) O4 - HKLM..\Run: [LGODDFU] C:\Programme\lg_fwupdate\fwupdate.exe (CST) O4 - HKLM..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe (Ahead Software Gmbh) O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.DLL (NVIDIA Corporation) O4 - HKLM..\Run: [NvMediaCenter] C:\WINDOWS\System32\NvMcTray.DLL (NVIDIA Corporation) O4 - HKLM..\Run: [nwiz] File not found O4 - HKLM..\Run: [PivotSoftware] C:\Programme\Portrait Displays\Pivot Software\wpctrl.exe () O4 - HKLM..\Run: [RemoteControl] C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe (Cyberlink Corp.) O4 - HKLM..\Run: [S3Trayp] C:\WINDOWS\System32\S3Trayp.exe (S3 Graphics Co., Ltd.) O4 - HKLM..\Run: [SoundMan] C:\WINDOWS\soundman.exe (Realtek Semiconductor Corp.) O4 - HKLM..\Run: [Start WingMan Profiler] C:\Programme\Logitech\Gaming Software\LWEMon.exe (Logitech Inc.) O4 - HKLM..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe (RealNetworks, Inc.) O4 - HKLM..\Run: [VTTimer] C:\WINDOWS\System32\VTTimer.exe (S3 Graphics, Inc.) O4 - HKCU..\Run: [Pando] C:\Programme\Pando Networks\Pando\Pando.exe (Pando Networks) O4 - HKCU..\Run: [updateMgr] C:\Programme\Adobe\Acrobat 7.0\Acrobat\AdobeUpdateManager.exe (Adobe Systems Incorporated) O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Acrobat Speed Launcher.lnk = C:\WINDOWS\Installer\{AC76BA86-1033-F400-7760-100000000002}\SC_Acrobat.exe () O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\AutoStart IR.lnk = C:\Programme\WinTV\Ir.exe (Hauppauge Computer Works) O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe (Logitech, Inc.) O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE (Microsoft Corporation) O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Windows Search.lnk = C:\Programme\Windows Desktop Search\WindowsSearch.exe (Microsoft Corporation) O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O8 - Extra context menu item: In Adobe PDF konvertieren - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O8 - Extra context menu item: Nach Microsoft &Excel exportieren - C:\Programme\Microsoft Office\Office10\EXCEL.EXE (Microsoft Corporation) O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated) O16 - DPF: {106E49CF-797A-11D2-81A2-00E02C015623} hxxp://www.alternatiff.com/install-ie/alttiff.cab (AlternaTIFF ActiveX) O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} hxxp://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase8942.cab (Windows Live Safety Center Base Module) O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1199617933373 (WUWebControl Class) O16 - DPF: {6B75345B-AA36-438A-BBE6-4078B4C6984D} hxxp://h20270.www2.hp.com/ediags/gmn2/install/HPProductDetection.cab (HpProductDetection Class) O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} hxxp://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1222965640696 (MUWebControl Class) O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab (Java Plug-in 1.6.0_17) O16 - DPF: {A796D216-2DE1-4EA8-BABB-FE6E7C959098} hxxp://www.hp.com/cpso-support-new/SDD/hpsddObjSigned.cab (HPSDDX Class) O16 - DPF: {CAFEEFAC-0014-0000-0004-ABCDEFFEDCBA} hxxp://java.sun.com/products/plugin/autodl/jinstall-1_4_0_04-win.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab (Java Plug-in 1.6.0_17) O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab (Java Plug-in 1.6.0_17) O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object) O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 83.169.184.161 83.169.184.225 O18 - Protocol\Handler\cetihpz {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Programme\HP\hpcoretech\comp\hpuiprot.dll (Hewlett-Packard Company) O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\ms-itss {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Information Retrieval\MSITSS.DLL (Microsoft Corporation) O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation) O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation) O20 - Winlogon\Notify\LBTWlgn: DllName - c:\programme\gemeinsame dateien\logitech\bluetooth\LBTWlgn.dll - c:\Programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTWLgn.dll (Logitech, Inc.) O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home O24 - Desktop WallPaper: C:\WINDOWS\Web\Wallpaper\Grüne Idylle.bmp O24 - Desktop BackupWallPaper: C:\WINDOWS\Web\Wallpaper\Grüne Idylle.bmp O28 - HKLM ShellExecuteHooks: {56F9679E-7826-4C84-81F3-532071A8BCC5} - C:\Programme\Windows Desktop Search\MsnlNamespaceMgr.dll (Microsoft Corporation) O28 - HKLM ShellExecuteHooks: {EDB0E980-90BD-11D4-8599-0008C7D3B6F8} - Reg Error: Key error. File not found O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2008.01.06 09:48:29 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ] O32 - Unable to obtain root file information for disk H:\ O34 - HKLM BootExecute: (autocheck autochk *) - File not found O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* ========== Files/Folders - Created Within 30 Days ========== [2010.04.11 20:46:56 | 000,561,664 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\ADMIN\Desktop\OTL.exe [2010.04.09 19:56:18 | 000,000,000 | ---D | C] -- C:\WINDOWS\pss [2010.04.07 17:57:13 | 000,000,000 | ---D | C] -- C:\Avenger [2010.04.07 14:33:29 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\ADMIN\Recent [2010.04.07 14:08:16 | 000,000,000 | -HSD | C] -- C:\Config.Msi [2010.04.04 16:47:55 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\ADMIN\Anwendungsdaten\Avira [2010.04.04 16:47:00 | 000,124,784 | ---- | C] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avipbb.sys [2010.04.04 16:47:00 | 000,060,936 | ---- | C] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avgntflt.sys [2010.04.04 16:47:00 | 000,045,416 | ---- | C] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avgntdd.sys [2010.04.04 16:47:00 | 000,022,360 | ---- | C] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avgntmgr.sys [2010.04.04 16:46:59 | 000,000,000 | ---D | C] -- C:\Programme\Avira [2010.04.04 16:46:59 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira [2010.04.01 19:13:12 | 000,000,000 | ---D | C] -- C:\Programme\HJT [2010.04.01 18:58:06 | 000,000,000 | ---D | C] -- C:\Programme\trend micro [2010.04.01 18:58:05 | 000,000,000 | ---D | C] -- C:\rsit [2010.04.01 18:32:43 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\ADMIN\Anwendungsdaten\Malwarebytes [2010.04.01 18:32:24 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys [2010.04.01 18:32:21 | 000,020,824 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys [2010.04.01 18:32:21 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware [2010.04.01 18:32:21 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes [2010.04.01 18:11:03 | 000,000,000 | ---D | C] -- C:\Programme\CCleaner [2010.04.01 13:13:37 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\NtmsData [2010.03.26 18:15:51 | 000,000,000 | ---D | C] -- C:\Programme\Gemeinsame Dateien\xing shared [2010.03.15 08:58:59 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\ADMIN\Anwendungsdaten\WinRAR [2010.03.15 08:58:39 | 000,000,000 | ---D | C] -- C:\Programme\WinRAR [2010.03.01 09:36:04 | 000,000,000 | --SD | M] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Microsoft [2010.02.09 19:15:00 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Google [2010.02.09 19:10:37 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Google [2009.11.20 20:20:09 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Adobe [2009.08.02 21:15:45 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft [2008.01.06 14:01:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft [2008.01.06 09:48:11 | 000,000,000 | --SD | M] -- C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\Microsoft [8 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [3 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2010.04.11 20:46:59 | 000,561,664 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\ADMIN\Desktop\OTL.exe [2010.04.11 20:45:49 | 000,000,559 | ---- | M] () -- C:\WINDOWS\DFC.INI [2010.04.11 20:34:44 | 000,000,298 | ---- | M] () -- C:\WINDOWS\hpbafd.ini [2010.04.11 20:30:00 | 000,000,470 | ---- | M] () -- C:\WINDOWS\tasks\Ad-Aware Update (Daily 1).job [2010.04.11 20:25:00 | 000,001,088 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job [2010.04.11 20:24:34 | 001,082,570 | ---- | M] () -- C:\WINDOWS\System32\PerfStringBackup.INI [2010.04.11 20:24:34 | 000,474,806 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat [2010.04.11 20:24:34 | 000,433,698 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat [2010.04.11 20:24:34 | 000,090,588 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat [2010.04.11 20:24:34 | 000,067,984 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat [2010.04.11 20:21:19 | 000,002,319 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Acrobat Speed Launcher.lnk [2010.04.11 20:21:14 | 000,267,725 | ---- | M] () -- C:\WINDOWS\System32\NvApps.xml [2010.04.11 20:21:08 | 000,000,255 | ---- | M] () -- C:\WINDOWS\lgfwup.ini [2010.04.11 20:20:43 | 000,013,002 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2010.04.11 20:20:42 | 000,001,084 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job [2010.04.11 20:20:42 | 000,000,270 | ---- | M] () -- C:\WINDOWS\tasks\RealUpgradeLogonTaskS-1-5-21-2052111302-1682526488-839522115-1003.job [2010.04.11 20:20:31 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT [2010.04.11 20:20:28 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2010.04.11 20:20:27 | 1072,156,672 | -HS- | M] () -- C:\hiberfil.sys [2010.04.11 20:19:30 | 004,980,736 | -H-- | M] () -- C:\Dokumente und Einstellungen\ADMIN\NTUSER.DAT [2010.04.11 20:19:30 | 000,000,300 | -HS- | M] () -- C:\Dokumente und Einstellungen\ADMIN\ntuser.ini [2010.04.11 14:30:00 | 000,000,470 | ---- | M] () -- C:\WINDOWS\tasks\Ad-Aware Update (Daily 4).job [2010.04.09 20:30:00 | 000,000,470 | ---- | M] () -- C:\WINDOWS\tasks\Ad-Aware Update (Weekly).job [2010.04.09 17:19:00 | 000,000,278 | ---- | M] () -- C:\WINDOWS\tasks\RealUpgradeScheduledTaskS-1-5-21-2052111302-1682526488-839522115-1003.job [2010.04.07 22:44:15 | 000,078,336 | ---- | M] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\Anleitung gmer.doc [2010.04.07 22:43:02 | 000,293,376 | ---- | M] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\gbz96wox.exe [2010.04.07 14:29:38 | 000,286,112 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2010.04.07 14:23:00 | 000,073,728 | ---- | M] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\Anleitung Rsit.doc [2010.04.07 14:22:20 | 000,244,736 | ---- | M] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\Anleitung Malwarebytes.doc [2010.04.07 14:20:53 | 000,484,352 | ---- | M] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\Anleitung CrapCleaner.doc [2010.04.04 16:47:12 | 000,001,682 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Avira AntiVir Control Center.lnk [2010.04.01 21:52:15 | 000,000,470 | ---- | M] () -- C:\WINDOWS\tasks\Ad-Aware Update (Daily 3).job [2010.04.01 21:52:14 | 000,000,470 | ---- | M] () -- C:\WINDOWS\tasks\Ad-Aware Update (Daily 2).job [2010.04.01 19:13:13 | 000,001,990 | ---- | M] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\HiJackThis.lnk [2010.04.01 18:57:43 | 000,781,909 | ---- | M] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\RSIT.exe [2010.04.01 18:32:26 | 000,000,687 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk [2010.04.01 18:11:04 | 000,001,523 | ---- | M] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\CCleaner.lnk [2010.03.31 18:47:19 | 000,000,069 | ---- | M] () -- C:\WINDOWS\NeroDigital.ini [2010.03.29 15:24:58 | 000,038,224 | ---- | M] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys [2010.03.29 15:24:46 | 000,020,824 | ---- | M] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys [2010.03.26 18:17:37 | 000,000,817 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\RealPlayer SP.lnk [2010.03.26 18:17:24 | 000,185,920 | ---- | M] (RealNetworks, Inc.) -- C:\WINDOWS\System32\rmoc3260.dll [2010.03.26 18:16:39 | 000,006,656 | ---- | M] (RealNetworks, Inc.) -- C:\WINDOWS\System32\pndx5016.dll [2010.03.26 18:16:39 | 000,005,632 | ---- | M] (RealNetworks, Inc.) -- C:\WINDOWS\System32\pndx5032.dll [2010.03.26 18:13:07 | 000,278,528 | ---- | M] (Real Networks, Inc) -- C:\WINDOWS\System32\pncrt.dll [2010.03.14 16:01:38 | 000,000,169 | ---- | M] () -- C:\WINDOWS\RtlRack.ini [8 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [3 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files Created - No Company Name ========== [2010.04.07 22:44:15 | 000,078,336 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\Anleitung gmer.doc [2010.04.07 22:43:02 | 000,293,376 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\gbz96wox.exe [2010.04.07 14:23:00 | 000,073,728 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\Anleitung Rsit.doc [2010.04.07 14:22:19 | 000,244,736 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\Anleitung Malwarebytes.doc [2010.04.07 14:20:52 | 000,484,352 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\Anleitung CrapCleaner.doc [2010.04.04 16:47:12 | 000,001,682 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Avira AntiVir Control Center.lnk [2010.04.01 19:13:13 | 000,001,990 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\HiJackThis.lnk [2010.04.01 18:57:41 | 000,781,909 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\RSIT.exe [2010.04.01 18:32:26 | 000,000,687 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk [2010.04.01 18:11:04 | 000,001,523 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Desktop\CCleaner.lnk [2010.03.26 18:17:40 | 000,000,270 | ---- | C] () -- C:\WINDOWS\tasks\RealUpgradeLogonTaskS-1-5-21-2052111302-1682526488-839522115-1003.job [2010.03.26 18:17:38 | 000,000,278 | ---- | C] () -- C:\WINDOWS\tasks\RealUpgradeScheduledTaskS-1-5-21-2052111302-1682526488-839522115-1003.job [2010.03.26 18:17:37 | 000,000,817 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\RealPlayer SP.lnk [2010.03.26 18:09:20 | 000,000,470 | ---- | C] () -- C:\WINDOWS\tasks\Ad-Aware Update (Weekly).job [2010.03.26 18:09:18 | 000,000,470 | ---- | C] () -- C:\WINDOWS\tasks\Ad-Aware Update (Daily 4).job [2010.03.26 18:09:16 | 000,000,470 | ---- | C] () -- C:\WINDOWS\tasks\Ad-Aware Update (Daily 3).job [2010.03.26 18:09:16 | 000,000,470 | ---- | C] () -- C:\WINDOWS\tasks\Ad-Aware Update (Daily 2).job [2009.09.14 17:55:11 | 000,354,816 | ---- | C] () -- C:\WINDOWS\System32\psisdecd.dll [2009.06.20 19:58:19 | 000,000,179 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Anwendungsdaten\setup.log [2009.06.20 19:58:12 | 000,000,760 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Anwendungsdaten\setup_ldm.iss [2008.05.31 13:35:13 | 000,000,069 | ---- | C] () -- C:\WINDOWS\NeroDigital.ini [2008.05.26 22:23:36 | 000,016,834 | ---- | C] () -- C:\WINDOWS\System32\gthrctr.ini [2008.05.26 22:23:34 | 000,024,188 | ---- | C] () -- C:\WINDOWS\System32\idxcntrs.ini [2008.05.26 22:23:32 | 000,016,568 | ---- | C] () -- C:\WINDOWS\System32\gsrvctr.ini [2008.04.06 18:17:30 | 000,000,600 | ---- | C] () -- C:\WINDOWS\Rtcw.INI [2008.04.06 17:47:16 | 000,040,960 | ---- | C] () -- C:\Programme\Uninstall_CDS.exe [2008.04.06 17:46:07 | 000,000,255 | ---- | C] () -- C:\WINDOWS\lgfwup.ini [2008.03.29 18:57:26 | 000,002,304 | ---- | C] () -- C:\WINDOWS\System32\Machnm32.sys [2008.03.29 17:56:24 | 000,000,559 | ---- | C] () -- C:\WINDOWS\DFC.INI [2008.02.17 13:08:06 | 000,006,144 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [2008.02.16 16:37:01 | 000,000,769 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\.plugin140_04.trace [2008.02.16 16:36:36 | 000,045,164 | ---- | C] () -- C:\WINDOWS\System32\ActPanel.dll [2008.01.13 20:55:15 | 000,009,299 | ---- | C] () -- C:\WINDOWS\hpdj5600.ini [2008.01.13 16:39:50 | 000,299,454 | ---- | C] () -- C:\WINDOWS\Allsim.ini [2008.01.13 16:39:49 | 000,061,268 | ---- | C] () -- C:\WINDOWS\Biutilsm.ini [2008.01.13 16:39:49 | 000,057,969 | ---- | C] () -- C:\WINDOWS\Simsim.ini [2008.01.13 16:39:49 | 000,000,580 | ---- | C] () -- C:\WINDOWS\Common.ini [2008.01.13 16:39:43 | 000,055,808 | ---- | C] () -- C:\WINDOWS\System32\Prtserv.dll [2008.01.13 14:41:07 | 000,000,298 | ---- | C] () -- C:\WINDOWS\hpbafd.ini [2008.01.13 14:13:03 | 000,000,248 | ---- | C] () -- C:\WINDOWS\HCWBlast.ini [2008.01.13 14:11:55 | 000,004,027 | ---- | C] () -- C:\WINDOWS\HCWPNP.INI [2008.01.13 13:31:46 | 000,000,215 | ---- | C] () -- C:\WINDOWS\nanoPEG.ini [2008.01.13 13:27:39 | 000,000,349 | ---- | C] () -- C:\WINDOWS\vtplus32.ini [2008.01.13 13:27:22 | 000,029,998 | ---- | C] () -- C:\WINDOWS\Irremote.ini [2008.01.13 13:27:16 | 000,065,536 | ---- | C] () -- C:\WINDOWS\System32\dmcrypto.dll [2008.01.12 21:53:17 | 000,000,811 | ---- | C] () -- C:\Dokumente und Einstellungen\ADMIN\Eudora.lnk [2008.01.12 19:38:30 | 000,210,944 | ---- | C] () -- C:\WINDOWS\System32\Msvcrt10.dll [2008.01.12 18:37:52 | 000,000,447 | ---- | C] () -- C:\WINDOWS\Chem3D.INI [2008.01.12 18:18:12 | 000,006,112 | ---- | C] () -- C:\WINDOWS\System32\drivers\cdenable.sys [2008.01.12 17:30:30 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI [2008.01.06 13:40:16 | 000,003,776 | ---- | C] () -- C:\WINDOWS\System32\fxsperf.ini [2008.01.06 13:00:56 | 000,000,305 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\addr_file.html [2008.01.06 10:14:01 | 000,000,169 | ---- | C] () -- C:\WINDOWS\RtlRack.ini [2008.01.06 10:08:47 | 002,465,280 | ---- | C] () -- C:\WINDOWS\System32\s3gcil_inv.dll [2008.01.06 10:05:11 | 000,147,456 | ---- | C] () -- C:\WINDOWS\System32\RtlCPAPI.dll [2008.01.06 10:05:04 | 000,000,164 | ---- | C] () -- C:\WINDOWS\avrack.ini [2008.01.06 09:52:03 | 000,057,344 | -H-- | C] () -- C:\Dokumente und Einstellungen\ADMIN\ntuser.dat.LOG [2008.01.06 09:52:03 | 000,000,300 | -HS- | C] () -- C:\Dokumente und Einstellungen\ADMIN\ntuser.ini [2008.01.06 09:52:02 | 004,980,736 | -H-- | C] () -- C:\Dokumente und Einstellungen\ADMIN\NTUSER.DAT [2007.11.28 10:45:31 | 000,286,720 | ---- | C] () -- C:\WINDOWS\System32\nvnt4cpl.dll [2006.07.21 16:50:34 | 000,066,048 | ---- | C] () -- C:\WINDOWS\System32\hcwXDS.dll [1996.04.03 21:33:26 | 000,005,248 | ---- | C] () -- C:\WINDOWS\System32\giveio.sys < End of report > und das Extras.txt-file: OTL Extras logfile created on: 11.04.2010 20:47:50 - Run 1 OTL by OldTimer - Version 3.2.1.1 Folder = C:\Dokumente und Einstellungen\ADMIN\Desktop Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 8.0.6001.18702) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 1.022,00 Mb Total Physical Memory | 460,00 Mb Available Physical Memory | 45,00% Memory free 2,00 Gb Paging File | 2,00 Gb Available in Paging File | 76,00% Paging File free Paging file location(s): C:\pagefile.sys 1440 2880 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 39,06 Gb Total Space | 23,62 Gb Free Space | 60,47% Space Free | Partition Type: NTFS Drive D: | 37,26 Gb Total Space | 29,53 Gb Free Space | 79,26% Space Free | Partition Type: NTFS Drive E: | 39,06 Gb Total Space | 38,01 Gb Free Space | 97,32% Space Free | Partition Type: NTFS Drive F: | 75,43 Gb Total Space | 69,53 Gb Free Space | 92,18% Space Free | Partition Type: NTFS G: Drive not present or media not loaded Drive H: | 1,93 Gb Total Space | 1,93 Gb Free Space | 99,98% Space Free | Partition Type: FAT32 I: Drive not present or media not loaded Computer Name: LUCY Current User Name: ADMIN Logged in as Administrator. Current Boot Mode: Normal Scan Mode: Current user Company Name Whitelist: Off Skip Microsoft Files: Off File Age = 30 Days Output = Minimal ========== Extra Registry (SafeList) ========== ========== File Associations ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>] ========== Shell Spawning ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command] batfile [open] -- "%1" %* cmdfile [open] -- "%1" %* comfile [open] -- "%1" %* exefile [open] -- "%1" %* htmlfile [edit] -- "C:\Programme\Microsoft Office\Office10\msohtmed.exe" %1 (Microsoft Corporation) htmlfile [print] -- "C:\Programme\Microsoft Office\Office10\msohtmed.exe" /p %1 (Microsoft Corporation) piffile [open] -- "%1" %* regfile [merge] -- Reg Error: Key error. scrfile [config] -- "%1" scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation) scrfile [open] -- "%1" /S txtfile [edit] -- Reg Error: Key error. Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1 Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation) Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation) Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation) Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation) ========== Security Center Settings ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] "AntiVirusDisableNotify" = 0 "FirewallDisableNotify" = 0 "UpdatesDisableNotify" = 0 "AntiVirusOverride" = 0 "FirewallOverride" = 0 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List] "1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007 "2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008 "139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004 "445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005 "137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001 "138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] "EnableFirewall" = 1 "DoNotAllowExceptions" = 0 "DisableNotifications" = 0 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List] "1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007 "2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008 "139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004 "445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005 "137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001 "138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002 "56782:TCP" = 56782:TCP:*:Enabled:Pando "56782:UDP" = 56782:UDP:*:Enabled:Pando ========== Authorized Applications List ========== [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] "C:\Programme\Windows Live\Sync\WindowsLiveSync.exe" = C:\Programme\Windows Live\Sync\WindowsLiveSync.exe:*:Enabled:Windows Live Sync -- (Microsoft Corporation) [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] "C:\Programme\CambridgeSoft\ChemOffice2004\ChemDraw\ChemDraw.exe" = C:\Programme\CambridgeSoft\ChemOffice2004\ChemDraw\ChemDraw.exe:*:Enabled:ChemDraw Ultra 8.0 -- (CambridgeSoft Corp.) "C:\Programme\CambridgeSoft\ChemOffice2004\Chem3D\Chem3D.exe" = C:\Programme\CambridgeSoft\ChemOffice2004\Chem3D\Chem3D.exe:*:Enabled:Chem3D Ultra -- (CambridgeSoft Corp.) "E:\Flight Simulator 9\fs9.exe" = E:\Flight Simulator 9\fs9.exe:*:Enabled:Microsoft Flight Simulator -- File not found "C:\WINDOWS\system32\dpnsvr.exe" = C:\WINDOWS\system32\dpnsvr.exe:*:Enabled:Microsoft DirectPlay8 Server -- (Microsoft Corporation) "E:\TestDrive\TestDriveUnlimited.exe" = E:\TestDrive\TestDriveUnlimited.exe:*:Enabled:Test Drive Unlimited -- File not found "C:\Programme\CambridgeSoft\ChemOffice2004\ENotebook\ENotebook8.exe" = C:\Programme\CambridgeSoft\ChemOffice2004\ENotebook\ENotebook8.exe:*:Enabled:ENotebook8 -- (CambridgeSoft Corporation) "C:\Programme\Windows Live\Sync\WindowsLiveSync.exe" = C:\Programme\Windows Live\Sync\WindowsLiveSync.exe:*:Enabled:Windows Live Sync -- (Microsoft Corporation) "C:\Programme\Real\RealPlayer\realplay.exe" = C:\Programme\Real\RealPlayer\realplay.exe:*:Enabled:RealPlayer -- (RealNetworks, Inc.) "C:\Programme\Pando Networks\Pando\Pando.exe" = C:\Programme\Pando Networks\Pando\Pando.exe:*:Enabled:Pando -- (Pando Networks) ========== HKEY_LOCAL_MACHINE Uninstall List ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall] "{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148 "{0217E1D1-BCEF-4A61-AF6D-F7740F65A066}" = Pivot Software "{052FDD78-A6EA-3187-8386-C82F4CA3A929}" = Microsoft .NET Framework 3.5 Language Pack SP1 - deu "{068502DA-6979-4D9A-BBE1-C3AD0FF11F19}" = Ulead FilmBrennerei 2 SE "{0761C9A8-8F3A-4216-B4A7-B7AFBF24A24A}" = HiJackThis "{0C826C5B-B131-423A-A229-C71B3CACCD6A}" = CDDRV_Installer "{0DEA342C-15CB-4F52-97B6-06A9C4B9C06F}" = SDK "{15733AD1-1CEF-459A-9245-0924FC63BDD5}" = HP My Display "{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148 "{1FBF6C24-C1FD-4101-A42B-0C564F9E8E79}" = Multimedia Launcher "{205C6BDD-7B73-42DE-8505-9A093F35A238}" = Windows Live-Uploadtool "{20D4A895-748C-4D88-871C-FDB1695B0169}" = Platform "{2227E1FA-01F5-483C-AB0E-2A308E900B3D}" = InterVideo FilterSDK for Hauppauge "{24F2E03B-ACF2-42FB-8A2A-5F015ACBDD16}" = TIGER ONE "{26A24AE4-039D-4CA4-87B4-2F83216012FF}" = Java(TM) 6 Update 17 "{3101CB58-3482-4D21-AF1A-7057FC935355}" = KhalInstallWrapper "{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP "{3C3D696B-0DB7-3C6D-A356-3DB8CE541918}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729 "{505AFDC0-5E72-4928-8368-5DEA385E3647}" = CorelDRAW Graphics Suite 12 "{53735ECE-E461-4FD0-B742-23A352436D3A}" = Logitech Updater "{57F0ED40-8F11-41AA-B926-4A66D0D1A9CC}" = Microsoft Office Live Add-in 1.3 "{5A33744D-33F5-451A-9CB0-2FE49EE3809C}" = ChemOffice Ultra 2004 "{6179550A-3E7C-499E-BCC9-9E8113E0A285}" = LG ODD Auto Firmware Update "{6811CAA0-BF12-11D4-9EA1-0050BAE317E1}" = PowerDVD "{716E0306-8318-4364-8B8F-0CC4E9376BAC}" = MSXML 4.0 SP2 Parser und SDK "{766273C1-A39B-47EB-ACE8-DEBDD8094BCC}" = overland "{770657D0-A123-3C07-8E44-1C83EC895118}" = Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053 "{7EC9E7A1-A576-43C8-9CBB-31BD5625EBCA}" = Fox LiveUpdate "{83E2CFA9-E0EB-4E08-9F85-43E577FF3D60}" = Windows Live Anmelde-Assistent "{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight "{8B12D5A1-E544-11D6-9D1C-00010240CE95}" = Java 2 Runtime Environment, SE v1.4.0_04 "{8FFC5648-FAF8-43A3-BC8F-42BA1E275C4E}" = Choice Guard "{90300407-6000-11D3-8CFE-0050048383C9}" = Microsoft Office XP Media Content "{91110407-6000-11D3-8CFE-0050048383C9}" = Microsoft Office XP Professional "{91190407-6000-11D3-8CFE-0050048383C9}" = Microsoft Publisher 2002 "{95120000-00B9-0409-0000-0000000FF1CE}" = Microsoft Application Error Reporting "{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17 "{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2 "{A49F249F-0C91-497F-86DF-B2585E8E76B7}" = Microsoft Visual C++ 2005 Redistributable "{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}" = Google Update Helper "{AB480DA0-7EE9-465D-9C12-4CDE65BF18FB}" = Pando "{AC76BA86-1033-F400-7760-100000000002}" = Adobe Acrobat 7.0 Professional - English, Français, Deutsch "{ACCA20B0-C4D1-4BF5-BF21-0A0EB5EF9730}" = REALTEK GbE & FE Ethernet PCI NIC Driver "{B7A0CE06-068E-11D6-97FD-0050BACBF861}" = PowerProducer "{B97CF5C3-0487-11D8-A36E-0050BAE317E1}" = DVD Solution "{BAF78226-3200-4DB4-BE33-4D922A799840}" = Windows Presentation Foundation "{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2 "{C2C284D2-6BD7-3B34-B0C5-B2CAED168DF7}" = Microsoft .NET Framework 3.0 Service Pack 2 Language Pack - DEU "{C314CE45-3392-3B73-B4E1-139CD41CA933}" = Microsoft .NET Framework 2.0 Service Pack 2 Language Pack - DEU "{C5961323-A2E5-4FAB-B92D-DBF6C282F0F5}" = Logitech Gaming Software 5.01 "{CAE7D1D9-3794-4169-B4DD-964ADBC534EE}" = HP Product Detection "{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1 "{DB5518BE-F40F-407A-B451-012625D4497B}" = hp deskjet 5600 "{E32D1370-414D-45CC-950A-7320BA6022C5}" = Corel SVG Viewer "{E38C00D0-A68B-4318-A8A6-F7D4B5B1DF0E}" = Windows Media Encoder 9-Reihe "{ED636101-1959-4360-8BF7-209436E7DEE4}" = Windows Live Sync "{F29B21BD-CAA6-445F-8EF7-A7E2B9D8B14E}" = Logitech SetPoint "{F4F4F84E-804F-4E9A-84D7-C34283F0088F}" = RealUpgrade 1.0 "{FB08F381-6533-4108-B7DD-039E11FBC27E}" = Realtek AC'97 Audio "Adobe Acrobat 7.0 Professional - English, Français, Deutsch - V" = Adobe Acrobat 7.1.0 Professional - English, Français, Deutsch "Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin "Avira AntiVir Desktop" = Avira AntiVir Personal - Free Antivirus "CCleaner" = CCleaner "Executor" = Executor-Win32 "Gaussian 98W" = Gaussian 98W "Hauppauge German Help Files and Resources" = Hauppauge German Help Files and Resources "Hauppauge WinTV Infrared Remote" = Hauppauge WinTV Infrared Remote "Hauppauge WinTV IR Blaster" = Hauppauge WinTV IR Blaster "Hauppauge WinTV Scheduler" = Hauppauge WinTV Scheduler "Hauppauge WinTV2000" = Hauppauge WinTV2000 "Hauppauge WinTV-PVR 150 Drivers" = Hauppauge WinTV-PVR 150 Drivers "HijackThis" = HijackThis 2.0.2 "IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs "ie7" = Windows Internet Explorer 7 "ie8" = Windows Internet Explorer 8 "InCD!UninstallKey" = InCD "InstallShield_{20D4A895-748C-4D88-871C-FDB1695B0169}" = VIA Platform Device Manager "Java Web Start" = Java Web Start "Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware "MDL ISIS Draw 2.5 Standalone" = MDL ISIS Draw 2.5 Standalone "Microsoft .NET Framework 3.5 Language Pack SP1 - deu" = Microsoft .NET Framework 3.5 Language Pack SP1 - DEU "Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1 "Molekel" = Molekel "MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP "nanoPEG-Editor 2.3 Hauppauge Edition_is1" = nanoPEG-Editor 2.3 Hauppauge Edition "Nero - Burning Rom!UninstallKey" = Nero OEM "NETGEAR Print Server Software" = NETGEAR Print Server Software "NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs "NVIDIA Drivers" = NVIDIA Drivers "NVIDIA nView Desktop Manager" = NVIDIA nView Desktop Manager "OpenAL" = OpenAL "RealPlayer 12.0" = RealPlayer "SpeedFan" = SpeedFan (remove only) "VDOTool_is1" = VDOTool 5.9 "VIA Chrome9 HC IGP Display" = VIA/S3G Display Driver 6.14.10.0057 "VIA/S3G DeltaChrome IGP Win2K/XP/Server2003 Display" = VIA/S3G Display Driver "VTPlus32 für WinTV (German)" = VTPlus32 für WinTV (German) "WIC" = Windows Imaging Component "Windows Live OneCare safety scanner" = Windows Live OneCare safety scanner "Windows Media Encoder 9" = Windows Media Encoder 9-Reihe "Windows Media Format Runtime" = Windows Media Format 11 runtime "Windows Media Player" = Windows Media Player 11 "Windows XP Service Pack" = Windows XP Service Pack 3 "WinRAR archiver" = WinRAR "WMFDist11" = Windows Media Format 11 runtime "wmp11" = Windows Media Player 11 "Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0 "XpsEPSC" = XML Paper Specification Shared Components Pack 1.0 "XPSEPSCLP" = XML Paper Specification Shared Components Language Pack 1.0 ========== HKEY_CURRENT_USER Uninstall List ========== [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall] "Move Networks Player - IE" = Move Networks Media Player for Internet Explorer ========== Last 10 Event Log Errors ========== [ Application Events ] Error - 31.03.2010 14:25:05 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = Error - 31.03.2010 15:25:05 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = Error - 31.03.2010 16:25:05 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = Error - 31.03.2010 17:25:05 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = Error - 04.04.2010 11:09:47 | Computer Name = LUCY | Source = Application Hang | ID = 1002 Description = Stillstehende Anwendung rescue_system-common-en.exe, Version 0.0.0.0, Stillstandmodul hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000. Error - 04.04.2010 11:25:05 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = Error - 04.04.2010 12:25:11 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = Error - 04.04.2010 13:25:12 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = Error - 04.04.2010 14:25:05 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = Error - 09.04.2010 10:25:05 | Computer Name = LUCY | Source = Google Update | ID = 20 Description = [ System Events ] Error - 07.04.2010 07:46:38 | Computer Name = LUCY | Source = W32Time | ID = 39452701 Description = Der Zeitanbieter "NtpClient" wurde für die Zeiterfassung von mehreren Zeitquellen konfiguriert. Es ist jedoch Keine der Quellen verfügbar. Innerhalb der nächsten 15 Minuten wird kein Versuch unternommen, eine Verbindung mit der Quelle herzustellen. Der NtpClient verfügt über keine Quelle mit genauer Zeit. Error - 07.04.2010 07:47:53 | Computer Name = LUCY | Source = Dhcp | ID = 1000 Description = Die Lease dieses Computers zu der IP-Adresse 192.168.100.10 über die Netzwerkkarte mit der Netzwerkadresse 0015584C5C9A ist verloren gegangen. Error - 07.04.2010 11:42:40 | Computer Name = LUCY | Source = Dhcp | ID = 1002 Description = Die IP-Adresslease 95.90.197.226 für die Netzwerkkarte mit der Netzwerkadresse 0015584C5C9A wurde durch den DHCP-Server 0.0.0.0 abgelehnt (der DHCP-Server hat eine DHCPNACK-Meldung gesendet). Error - 07.04.2010 11:43:17 | Computer Name = LUCY | Source = Dhcp | ID = 1000 Description = Die Lease dieses Computers zu der IP-Adresse 192.168.100.10 über die Netzwerkkarte mit der Netzwerkadresse 0015584C5C9A ist verloren gegangen. Error - 07.04.2010 11:57:42 | Computer Name = LUCY | Source = Service Control Manager | ID = 7026 Description = Das Laden folgender Boot- oder Systemstarttreiber ist fehlgeschlagen: PCIIde ViaIde Error - 07.04.2010 11:57:43 | Computer Name = LUCY | Source = sr | ID = 1 Description = Beim Verarbeiten der Datei "" auf Volume "HarddiskVolume1" ist im Wiederherstellungsfilter der unerwartete Fehler "0xC0000001" aufgetreten. Die Volumeüberwachung wurde angehalten. Error - 07.04.2010 18:19:42 | Computer Name = LUCY | Source = Dhcp | ID = 1000 Description = Die Lease dieses Computers zu der IP-Adresse 192.168.100.10 über die Netzwerkkarte mit der Netzwerkadresse 0015584C5C9A ist verloren gegangen. Error - 09.04.2010 11:18:38 | Computer Name = LUCY | Source = Dhcp | ID = 1000 Description = Die Lease dieses Computers zu der IP-Adresse 192.168.100.10 über die Netzwerkkarte mit der Netzwerkadresse 0015584C5C9A ist verloren gegangen. Error - 11.04.2010 14:20:41 | Computer Name = LUCY | Source = sr | ID = 1 Description = Beim Verarbeiten der Datei "" auf Volume "HarddiskVolume1" ist im Wiederherstellungsfilter der unerwartete Fehler "0xC0000001" aufgetreten. Die Volumeüberwachung wurde angehalten. Error - 11.04.2010 14:20:41 | Computer Name = LUCY | Source = Service Control Manager | ID = 7026 Description = Das Laden folgender Boot- oder Systemstarttreiber ist fehlgeschlagen: PCIIde ViaIde < End of report > |
|
11.04.2010, 20:11
| #19 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hier noch drei Punkte, an die ich noch erinnern wollte: 1) Die Sache mit der autorun.inf auf dem USB-Stick konnte ich wahrscheinlich selbst klären: Nach Umbenennen zu autorun.txt hatte ich Zugriff und konnte sehen, dass die nur Folgendes enthält: [autorun] icon=logo.ico,0 Aus meiner Laien-Sicht sorgt das nur dafür, dass der Stick mit seinem logo (aus logo.ico) angezeigt wird. Richtig? 2) Im Gmer-Scan ist unter "Kernel" der Eintrag lrtoqf.sys zu sehen. Was ist das? Im Internet konnte ich nichts dazu finden. 3) Wird die "gesperrte" Datei CVHW.dll (die wir per avenger aus C:\windows\system32 rausgenommen haben) eigentlich auch mitgescannt, wenn sie in c:\avenger liegt und müsste bedacht werden, dass die Datei bereits vom 19.11.2009 stammt? Wenn ich die OTL-Einstellungen richtig verstanden habe, werden doch nur Files, die neuer als 30 Tage sind gescannt. Was sollen wir letzlich mit dieser Datei machen? LG, Frank |
|
12.04.2010, 12:30
| #20 | |||
| /// Helfer-Team    | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dllZitat:
Zitat:
Zitat:
1. Lade dir diese Datei -> mbr.exe direkt auf Laufwerk c:\ und führe sie aus. Auf c:\ wird dann ein mbr.log angelegt, öffne dieses mit dem Editor, kopiere den Text ab und füge ihn in deinen Beitrag ein. 2. Start -> Ausführen -> notepad eintippen und <enter> Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument: Code:
ATTFilter @echo off
net user >log.txt
net user helpassistant >>log.txt
log.txt
Wähle bei Dateityp alle Dateien aus. Doppelklick auf die file.bat, poste den Inhalt des Textdokuments.
__________________ Alle Tipps und Anleitungen ohne Gewähr |
|
12.04.2010, 13:02
| #21 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hallo Franz, vielen Dank für deine Erklärungen/Hinweise. Ich hab die Anweisungen umgesetzt. Hier die Ergebnisse: mbr.log: Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, hxxp://www.gmer.net device: opened successfully user: MBR read successfully kernel: MBR read successfully user & kernel MBR OK und log vom file.bat: Benutzerkonten fr \\LUCY ------------------------------------------------------------------------------- ADMIN Administrator Gast Hilfeassistent SUPPORT_388945a0 Der Befehl wurde erfolgreich ausgefhrt. Hinweis: Nach der Ausführung von file.bat hat sich zusätzlich zum Editorfenster mit o.g. log-text noch ein DOS-Fenster geöffnet: Titel: c:\windows\system32\cmd.exe Meldung: Der Benutzername konnte nicht gefunden werden. Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 2221 eingeben. Beim Schließen des Editorfensters (mit dem log-text) wurde das DOS-Fenster automatisch ebenfalls geschlossen. Grüße, Frank |
|
12.04.2010, 15:55
| #22 | |
| /// Helfer-Team | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dllZitat:
Hast du die beiden backup.zip -Files von Avenger noch? Wenn ja, lade sie bitte bei Datei Upload, Bilder hochladen, Datei Hosting auf Materialordner.de hoch und poste mir den Link. Die Probleme, die wir damit hatten, hingen nämlich evtl. mit dem Hoster file-upload.net zusammen. Außerdem brauche ich noch ein Logfile von RootRepeal:
Code:
ATTFilter Drivers
Files
Processes
SSDT
Stealth Objects
Hidden Services
Shadow SSDT
__________________ Alle Tipps und Anleitungen ohne Gewähr |
|
12.04.2010, 16:30
| #23 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hallo Franz, ja die beiden zip-files sind noch da, aber sie enthalten beide nur jeweils ein txt-file. Ich lade aber trotzdem beide hoch: 1. file (bezüglich CVHW.dll): h**p://w*w.materialordner.de/4oITPUI1mvRob7zV8grbmJH41ColzGRs.html 2. file (bezüglich xoszyleu.job) h**p://w*w.materialordner.de/5WO6fizwgxx0SoeDZAYtabk6M57vpUq.html Ich habe jedoch die Vermutung, dass das "Gewünschte" nicht in den zips enthalten ist. Hab auch mal versucht, die beiden files zu einem zip bzw. rar zu packen. Dabei gibt für beide files den Fehler, dass sie nicht hinzugefügt werden könne, da sie nicht geöffnet werden können, da kein Zugriff möglich ist. Den scan bringe ich jetzt dann auf den Weg. LG, Frank Geändert von PyLi (12.04.2010 um 17:14 Uhr) |
|
12.04.2010, 16:45
| #24 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hier noch der log von RootRepeal: ROOTREPEAL (c) AD, 2007-2009 ================================================== Scan Start Time: 2010/04/12 17:33 Program Version: Version 1.3.5.0 Windows Version: Windows XP SP3 ================================================== Drivers ------------------- Name: dump_atapi.sys Image Path: C:\WINDOWS\System32\Drivers\dump_atapi.sys Address: 0xF1D85000 Size: 98304 File Visible: No Signed: - Status: - Name: dump_WMILIB.SYS Image Path: C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS Address: 0xF7BA2000 Size: 8192 File Visible: No Signed: - Status: - Name: giveio.sys Image Path: giveio.sys Address: 0xF7C19000 Size: 1664 File Visible: No Signed: - Status: - Name: rootrepeal.sys Image Path: C:\WINDOWS\system32\drivers\rootrepeal.sys Address: 0xB78AA000 Size: 49152 File Visible: No Signed: - Status: - Name: speedfan.sys Image Path: speedfan.sys Address: 0xF7B58000 Size: 5248 File Visible: No Signed: - Status: - Hidden/Locked Files ------------------- Path: C:\hiberfil.sys Status: Locked to the Windows API! Path: c:\windows\temp\perflib_perfdata_138.dat Status: Allocation size mismatch (API: 16384, Raw: 0) Path: c:\dokumente und einstellungen\admin\lokale einstellungen\temp\~dfea6.tmp Status: Allocation size mismatch (API: 16384, Raw: 0) Path: c:\dokumente und einstellungen\admin\lokale einstellungen\temp\~df184a.tmp Status: Allocation size mismatch (API: 131072, Raw: 16384) Path: c:\dokumente und einstellungen\admin\lokale einstellungen\temp\~df9196.tmp Status: Allocation size mismatch (API: 24576, Raw: 0) SSDT ------------------- #: 041 Function Name: NtCreateKey Status: Hooked by "<unknown>" at address 0xf7d18e5e #: 053 Function Name: NtCreateThread Status: Hooked by "<unknown>" at address 0xf7d18e54 #: 063 Function Name: NtDeleteKey Status: Hooked by "<unknown>" at address 0xf7d18e63 #: 065 Function Name: NtDeleteValueKey Status: Hooked by "<unknown>" at address 0xf7d18e6d #: 098 Function Name: NtLoadKey Status: Hooked by "<unknown>" at address 0xf7d18e72 #: 122 Function Name: NtOpenProcess Status: Hooked by "<unknown>" at address 0xf7d18e40 #: 128 Function Name: NtOpenThread Status: Hooked by "<unknown>" at address 0xf7d18e45 #: 193 Function Name: NtReplaceKey Status: Hooked by "<unknown>" at address 0xf7d18e7c #: 204 Function Name: NtRestoreKey Status: Hooked by "<unknown>" at address 0xf7d18e77 #: 247 Function Name: NtSetValueKey Status: Hooked by "<unknown>" at address 0xf7d18e68 Stealth Objects ------------------- Object: Hidden Code [Driver: prodrv06Ѕఈ䵃慖, IRP_MJ_CREATE] Process: System Address: 0xe1b37c30 Size: 976 Object: Hidden Code [Driver: prodrv06Ѕఈ䵃慖, IRP_MJ_CLOSE] Process: System Address: 0xe1b37c30 Size: 976 Object: Hidden Code [Driver: prodrv06Ѕఈ䵃慖, IRP_MJ_DEVICE_CONTROL] Process: System Address: 0xe1b37c30 Size: 976 Object: Hidden Code [Driver: prohlp02, IRP_MJ_CREATE] Process: System Address: 0xe1024ad8 Size: 166 Object: Hidden Code [Driver: prohlp02, IRP_MJ_CLOSE] Process: System Address: 0xe1024ad8 Size: 166 Object: Hidden Code [Driver: prohlp02, IRP_MJ_DEVICE_CONTROL] Process: System Address: 0xe1024ad8 Size: 166 ==EOF== Der Scan dauert übrigens nicht mal 10min. LG, Frank |
|
12.04.2010, 18:23
| #25 | |
| /// Helfer-Team | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dllZitat:
 PartedMagic 1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 90 MB sein 2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn oder Nero per Imagebrennfunktion unter Windows 3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist  4. Du müsstest ein Symbol "Mount Devices" finden, das doppelklicken 5. Mounte die Partition wo Windows installiert ist, meistens ist es /dev/sda1 6. Suche auf sda1 nach den beiden backup.zip-Files von Avenger und lade sie ein letztes Mal bei materialordner.de hoch und verlinke sie hier. 7. Suche in windows/system32/drivers oder in windows/system32 nach lrtoqf.sys und lade die Datei bei Virustotal hoch. Scanne sie dort und poste hier den Ergebnislink. [PartedMagic bringt Netzwerktreiber mit. Nach Drücken der Windows-Taste hast du Zugriff auf den Chrome-Browser.] 8. Starte den Rechner neu und boote Windows.
__________________ Alle Tipps und Anleitungen ohne Gewähr |
|
12.04.2010, 19:23
| #26 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hallo Franz, das mit der Live-CD hast du mir ausreichend erklärt, damit ich das wohl hinkriegen werde. Das Image stelle ich dann auch gleich her. Ich hätte da nur noch zwei Fragen: Nachdem die zips immer "leer" sind und auch manuelle Versuche, die files in die zips zu kriegen, bisher gescheitert sind, denke ich, dass avenger ebenfalls nicht in der Lage war, die files zu den zips hinzuzufügen. Die files (CVHW.dll und xoszyleu.job) liegen noch im c:\avenger-Ordner. sollte ich die auch unter Linux bei Virustotal anschauen lassen? Kann ich die o.g. beiden files auch unter Linux in einen zip-ordner packen und dann unter Linux bzw. XP hochladen? LG, Frank |
|
12.04.2010, 21:26
| #27 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hallo Franz, vielen Dank für deine neuen Anweisungen. Ich habe das mit der Live-CD gerade durchgezogen. Hier eine paar Anmerkungen (vielleicht kann ich so auch mal einen kleinen Beitrag leisten): 1) Es gibt eine neue Version von PartedMagic (4.10) 2) Der Chrome-Browser öffnet leider nicht durch Drücken der "Windows"-Taste. Man findet ihn unter dem P-Magic-Button (ganz links unten). Hier drauf Linksklick, dann unter Internet. Eine Verbindung konnte ich so leider nicht erhalten. Warum weiß ich nicht; habe auch nicht mehr viel "rumprobiert" (z.B. LAN-Verbindung manuell erstellen). 3) Im "Explorer" von PartedMagic gibt es unter dem Menüpunkt "View" die Option "Show hidden files". Die Einstellung scheint nur für die Linux-files ausschlaggebend zu sein. Für die windows-files konnte ich keinen Effekt feststellen. Die Suche nach dem lrtoqf.sys-file war leider sowohl in windows\system32 als auch in windows\system32\drivers ergebnislos. Mangels Internetverbindung konnte ich die beiden files (CVHW.dll und xoszyleu.job) auch auf diesem Weg nicht bei virustotal prüfen lassen. Schade!  Dann bin ich aber auf eine "Blöde Idee" gekommen:  Unter Linux sollten die Zugriffbeschränkungen auf die beiden files (CVHW und xoszyleu) ja aufgehoben sein. Folglich hab ich von den beiden Files zunächst Kopien unter neuem Namen aber mit identischer Endung (dll bzw job) gemacht. Diese Files hab ich dann (unter Linux) in ein zip gepackt. Die Kopien hab ich dann wieder gelöscht. Dann hab ich abermals Kopien von den Files gemacht. Diesmal jedoch mit orginalem Namen aber mit txt als Kennung. Die hab ich auch in einen zip-Ordner gepackt. Die txt-Files hab ich nicht gelöscht, sodass sie mir nun (natürlich ohne Zugriffbeschränkung) unter XP ebenfalls zur Verfügung stehen. Die beiden txt-files hab ich an virustotal gesendet. Ergebnis: für CVHW.txt h**p://w*w.virustotal.com/de/analisis/303aa1a8da9e347cc45e4cd48b8420e9ae7b7a80940168cdebe5636e0122c66b-1271102713 für xoszyleu.txt h**p://w*w.virustotal.com/de/analisis/83b106bbc7b745905b87c369f66e2673d627a679145b4607564a1773dd6fbc93-1271102997 Die Links zu den zips: die originalen files (geänderter Name; korrekte Endung) h**p://w*w.materialordner.de/0ORJmAXX9xUtz3sBWGJccqwW6eTlHZSw.html die txt-files (korrekter Name; txt-Endung) h**p://w*w.materialordner.de/gSQfwz692QEErQw9pXw1rI2wzmITFg0.html Vorsicht! Vorsicht! Vorsicht! Die Files in den zips enthalten möglicherweise die Files ohne eventuelle Modifikationen durch avenger. Ob sie dann "gefährlich" sind/wären kann ich nicht beurteilen. Die Experten sollten das jedoch können. Ich hoffe, Du kannst damit was anfangen und es bringt uns ein Stück voran. Und nochmals  LG, Frank |
|
13.04.2010, 13:00
| #28 | |
| /// Helfer-Team | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dllZitat:
 Lade die CVHW.txt bitte auch hier hoch: http://www.trojaner-board.de/54791-a...ner-board.html Noch einmal Avenger, mit folgendem Script: Code:
ATTFilter drivers to delete:
lrtoqf
__________________ Alle Tipps und Anleitungen ohne Gewähr |
|
13.04.2010, 13:32
| #29 |
| | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll Hallo Franz, das CVHW.txt-File hab ich auf TB hochgeladen. Avenger hab ich laufen lassen. Bei der ersten Anmeldung nach dem reboot (von Avenger) hat sich der Rechner bei der Windows-Anmeldung verabschiedet und nochmals neugestartet (dann aber mit Erfolg). Dem Avenger-log nach zu urteilen, gibt es das zu verschiebende Objekt nicht: Logfile of The Avenger Version 2.0, (c) by Swandog46 hxxp://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\lrtoqf" not found! Deletion of driver "lrtoqf" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Completed script processing. ******************* Finished! Terminate. Im backup.zip ist auch nix enthalten (nur die alten files und alle alten zip-Ordner; Avenger scheint einfach alle files unter c:\avenger in das backup.zip zu packen). Ich hab das backup.zip daher auch garnicht hochgeladen. LG, Frank |
|
13.04.2010, 18:49
| #30 |
| /// Helfer-Team | gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll 1.) Lösche die backup.zip des Avenger. 2.) Bemühe den Avenger noch einmal (ich habe nämlich etwas vergessen  )Code:
ATTFilter drivers to delete:
lrtoqf
lrtoqf.sys
4.) Update Malwarebytes, mache einen Full-Scan und poste das Logfile. Achte bitte auf die Reihenfolge. Avenger muss als erstes laufen, sonst kann u.U. das Ergebnis verfälscht werden. Wenn die Scans nichts mehr ergeben, wirst du erst mal entlassen.
__________________ Alle Tipps und Anleitungen ohne Gewähr |
|
| Themen zu gmx und paypal aufgehackt, C:\windows\system32\CVHW.dll |
| .com, ad-aware, antivir, antivir guard, askbar, avgntflt.sys, bho, browser, components, desktop, device driver, excel, fehler, flash player, fontcache, gainward, gupdate, hkus\s-1-5-18, installation, internet, kompatibilität, logfile, malwarebytes' anti-malware, msiexec, msiexec.exe, object, pdf-datei, problem, prozessor, registry, rückgängig, scan, server, software, starten, system, timeout, uleadburninghelper, updates, windows, windows internet, windows internet explorer, windows xp, windows-sicherheitscenterdienst, wsearch |
Linear-Darstellung
