| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner!Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
16.08.2010, 21:26
| #1 |
 |  Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo zusammen, hab heute auf meinem XP Pro Rechner nach Download einer Datei (von einem One-Klick-Hoster, ich schäme mich!) zack 6 Viren eingefangen. Zumindest meldete mir das Avira Antivir. Ich dachte, es wäre nur einer gewesen (Gabpath.exe), welcher auch einen Ordner in den Anwendungsdaten hinterlassen hat. Hab das gelöscht. Zusätzlich alle Registry-Einträge zu GabPath.exe gelöscht (hab den Trojaner gegoogelt und alle Stellen in der Registry nach Anleitung entfernt). Nun hatte ich aber ignoriert, dass Avira winlogon.exe (aus den korrekten Orten .../system32 und .../system32/dllcache) in die Quarantäne verschoben hat. Ihr könnt euch denken, was passiert ist: Mein PC wollte nicht mehr starten. Mir fiel das Herz in die Hose. Habe mich auf dem 2. Laptop durch 1000 Themen durchgelesen und zum Glück gelang mir nach ca. 2h über DOS-Konsolenbefehle (schwitz, ächz), die winlogon.exe mit der WinXP-CD wieder an den beiden Orten herzustellen. So, wie weiter? Jetzt meldet Avira aber immer noch, dass die winlogon.exe verseucht sei. Musste das File dauerhaft "ignorieren", damit mein PC überhaupt startet und nicht wieder das gleiche Drama passiert. Ich habe nochmals gescannt, und ausser diesem winlogon.exe findet Avira und auch Malwarebites' Antimalware "nichts" mehr. Ich fühle mich logischerweise aber nicht wirklich wohl damit. Zusätzlich habe ich einen "normalen" Programmordner gefunden namens "ResultDns", welche vorher (vor dem Befall) noch nicht da war. Der hatte auch zwei Prozesse am Laufen (sind auf dem Log-File ersichtlich). Zudem hat mir Firefox ein Add-On installiert, welches ich ihm nicht "befohlen" habe. Ich Depp hab's leider verpasst, den Namen aufzuschreiben, hatte aber glaube ich auch was mit ...DNS zu tun, könnte also vom selben gewesen sein. Hab's aber eben gleich wieder entfernt, bevor ich Verdacht geschöpft habe, tja... Was ist zu tun? Kann mir igendeine/-r helfen? Hier habe ich schon mal das Log-File von Avira (vom eigentlichen Befall) angehängt. Im Anschluss folgt dann das Hijack-This Logfile. Ich freue mich über jede Art von Hilfe!! [EDIT 1:] Hab' ich vergessen zu erwähnen: CCleaner wurde ebenfalls ausgeführt und Registry gecleant! [EDIT 2:] Das Program "ResultDns" habe ich jetzt nachträglich deinstalliert. Hat geklappt, aber eben, keine Ahnung was es war... Avira-Protokoll: Typ: Datei Quelle: C:\WINDOWS\system32\dllcache\winlogon.exe Status: Infiziert Quarantäne-Objekt: 4f8f309d.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.34 Virendefinitionsdatei: 7.10.10.176 Meldung: Ist das Trojanische Pferd TR/Spy.513024.11 Datum/Uhrzeit: 16.08.2010, 21:29 Typ: Datei Quelle: C:\WINDOWS\system32\winlogon.exe Status: Infiziert Quarantäne-Objekt: 5718e9e5.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.34 Virendefinitionsdatei: 7.10.10.176 Meldung: Ist das Trojanische Pferd TR/Spy.513024.11 Datum/Uhrzeit: 16.08.2010, 18:26 Typ: Datei Quelle: C:\Dokumente und Einstellungen\USER\Anwendungsdaten\GabPath\gabpath.exe Status: Infiziert Quarantäne-Objekt: 4f93c3d6.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.34 Virendefinitionsdatei: 7.10.10.176 Meldung: Ist das Trojanische Pferd TR/Dldr.Agent.egiu.2 Datum/Uhrzeit: 16.08.2010, 18:27 Typ: Datei Quelle: C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Temp\102.exe Status: Infiziert Quarantäne-Objekt: 633cfd06.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.34 Virendefinitionsdatei: 7.10.10.176 Meldung: Ist das Trojanische Pferd TR/Pasta.mfw Datum/Uhrzeit: 16.08.2010, 18:26 Typ: Datei Quelle: C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Temp\ecwaxrnosm.tmp Status: Infiziert Quarantäne-Objekt: 4fb8c678.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.34 Virendefinitionsdatei: 7.10.10.176 Meldung: Ist das Trojanische Pferd TR/Agent.AO.2953 Datum/Uhrzeit: 16.08.2010, 18:26 Typ: Datei Quelle: C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Temp\amwornecxs.tmp Status: Infiziert Quarantäne-Objekt: 4fe3c66a.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.34 Virendefinitionsdatei: 7.10.10.176 Meldung: Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen Datum/Uhrzeit: 16.08.2010, 18:26 Hijack-This Logfile: [SIZE="1"]HiJackthis Logfile: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.4 Scan saved at 21:42:50, on 16.08.2010 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir Desktop\sched.exe C:\Programme\Avira\AntiVir Desktop\avguard.exe C:\WINDOWS\system32\dgdersvc.exe C:\WINDOWS\system32\FsUsbExService.Exe C:\Programme\GIGABYTE\EnergySaver\GSvr.exe C:\Programme\Avira\AntiVir Desktop\avshadow.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Canon\IJPLM\IJPLMSVC.EXE C:\Programme\Java\jre6\bin\jqs.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe C:\WINDOWS\system32\oodag.exe C:\WINDOWS\system32\PnkBstrA.exe C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ResultDns\resultdns110.exe C:\WINDOWS\Explorer.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\SearchIndexer.exe C:\Programme\Intel\Intel Matrix Storage Manager\IAANTMon.exe C:\WINDOWS\RTHDCPL.EXE C:\Programme\Avira\AntiVir Desktop\avgnt.exe C:\Programme\ResultDns\resultdns.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe c:\programme\avira\antivir desktop\avcenter.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Mozilla Firefox\plugin-container.exe C:\Programme\Avira\AntiVir Desktop\avscan.exe C:\WINDOWS\system32\SearchProtocolHost.exe C:\Dokumente und Einstellungen\USER\Desktop\HiJackThis204.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.bing.ch/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157 F2 - REG:system.ini: Shell=Explorer.exe O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Free Download Manager\iefdm2.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O8 - Extra context menu item: Download all with Free Download Manager - file://C:\Programme\Free Download Manager\dlall.htm O8 - Extra context menu item: Download selected with Free Download Manager - file://C:\Programme\Free Download Manager\dlselected.htm O8 - Extra context menu item: Download video with Free Download Manager - file://C:\Programme\Free Download Manager\dlfvideo.htm O8 - Extra context menu item: Download with Free Download Manager - file://C:\Programme\Free Download Manager\dllink.htm O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000 O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{3C9121F3-3E60-4581-835B-E3E91B6B99A5}: NameServer = 195.186.1.162,195.186.4.162 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Device Error Recovery Service (dgdersvc) - Devguru Co., Ltd. - C:\WINDOWS\system32\dgdersvc.exe O23 - Service: DHCP-Client Dhcpaspnet_state (Dhcpaspnet_state) - Unknown owner - C:\WINDOWS\system32\ac3filteru.exe (file missing) O23 - Service: FsUsbExService - Teruten - C:\WINDOWS\system32\FsUsbExService.Exe O23 - Service: GEST Service for program management. (GEST Service) - Unknown owner - C:\Programme\GIGABYTE\EnergySaver\GSvr.exe O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Programme\Intel\Intel Matrix Storage Manager\IAANTMon.exe O23 - Service: Inkjet Printer/Scanner Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe O23 - Service: ResultDns Service - Unknown owner - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ResultDns\resultdns110.exe O23 - Service: Sicherheitskontenverwaltung SamSsRpcLocator (SamSsRpcLocator) - Unknown owner - C:\WINDOWS\system32\acctresg.exe (file missing) O23 - Service: ServiceLayer - Nokia - C:\Programme\PC Connectivity Solution\ServiceLayer.exe -- End of file - 7017 bytes Geändert von RFTC (16.08.2010 um 21:45 Uhr) |
|
17.08.2010, 13:22
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo und
__________________ Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.
Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg. Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist. Vista und Win7 User Alle Tools mit Rechtsklick "als Administrator ausführen" starten. Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Danach OTL: Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
__________________ |
|
17.08.2010, 16:24
| #3 |
| | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo Arne,
__________________vielen vielen Dank für die rasche Reaktion. 3 Fragen habe ich hierzu: 1. Vollständiger Suchlauf = Einschliessen der "Daten-Partition (D  UND der zweiten Festplatte für Backups (F oder reicht das C: mit der Systempartition? 2. Falls ich den Computer neu aufsetzen würde. Wäre es genügend "clear", wenn ich die virtuelle Partition (D unangetastet lasse, oder wäre das nur halb save aus deiner Optik?[EDIT:] 3. Ich hatte bei der Wiederherstellung keine Wiederherstellungspunkte zur Verfügung. Löscht CCleaner diese wenn ich "lösche alte Prefetch-Daten" und "Speicherabbilder" aktiv habe? Oder war das der Virus? Im System ist die Wiederherstellung aktiviert! Danke und Gruss Geändert von RFTC (17.08.2010 um 16:35 Uhr) |
|
17.08.2010, 16:52
| #4 |
| | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo Arne, hier kommt mal der Log vom Scan mit Malwarebites. Hab als ersten Schritt nur die Systempartition gescannt. Ist das Okay? Verstehe hier übrigens nicht, woher die "System Volume Information (Restore-Geschichte) herkommt. Hab' ja erwähnt, dass mir die Wiederherstellungspunkte nicht zur Verfügung stehen :-( Vielleicht sind sie da, aber hab' keinen Zugriff? Jetzt mache ich mich an den OTL-Scan. (siehe unterhalb) ----------------------- Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4439 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 17.08.2010 17:49:06 mbam-log-2010-08-17 (17-49-06).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|) Durchsuchte Objekte: 82269 Laufzeit: 26 Minute(n), 47 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 6 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\System Volume Information\_restore{59171DF5-70E5-47F0-A22C-ED5868A5FA4B}\RP1\A0000014.exe (Trojan.Agent) -> No action taken. C:\System Volume Information\_restore{59171DF5-70E5-47F0-A22C-ED5868A5FA4B}\RP1\A0000015.exe (Trojan.Agent) -> No action taken. C:\System Volume Information\_restore{59171DF5-70E5-47F0-A22C-ED5868A5FA4B}\RP1\A0000023.exe (Adware.ResultDns) -> No action taken. C:\System Volume Information\_restore{59171DF5-70E5-47F0-A22C-ED5868A5FA4B}\RP1\A0000026.exe (Adware.ResultDns) -> No action taken. C:\System Volume Information\_restore{59171DF5-70E5-47F0-A22C-ED5868A5FA4B}\RP1\A0000032.exe (Trojan.Agent) -> No action taken. C:\WINDOWS\system32\dllcache\winlogon.exe (Trojan.Agent) -> No action taken. OTL ging schneller als erwartet, here we go: OTL Logfile: OTL EXTRAS Logfile: Code:
ATTFilter OTL logfile created on: 17.08.2010 17:54:01 - Run 1 OTL by OldTimer - Version 3.2.10.0 Folder = C:\Dokumente und Einstellungen\USER\Desktop Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 8.0.6001.18702) Locale: 00000807 | Country: Schweiz | Language: DES | Date Format: dd.MM.yyyy 3.00 Gb Total Physical Memory | 3.00 Gb Available Physical Memory | 79.00% Memory free 5.00 Gb Paging File | 4.00 Gb Available in Paging File | 88.00% Paging File free Paging file location(s): C:\pagefile.sys 2046 4092 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 29.29 Gb Total Space | 12.45 Gb Free Space | 42.51% Space Free | Partition Type: NTFS Drive D: | 436.46 Gb Total Space | 253.76 Gb Free Space | 58.14% Space Free | Partition Type: NTFS Drive E: | 465.75 Gb Total Space | 185.02 Gb Free Space | 39.72% Space Free | Partition Type: NTFS F: Drive not present or media not loaded G: Drive not present or media not loaded H: Drive not present or media not loaded I: Drive not present or media not loaded Computer Name: MUNGGELMACHINE Current User Name: USER Logged in as Administrator. Current Boot Mode: Normal Scan Mode: Current user Company Name Whitelist: Off Skip Microsoft Files: Off File Age = 30 Days Output = Minimal ========== Processes (SafeList) ========== PRC - C:\Dokumente und Einstellungen\USER\Desktop\OTL.exe (OldTimer Tools) PRC - C:\Programme\Mozilla Firefox\plugin-container.exe (Mozilla Corporation) PRC - C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation) PRC - C:\WINDOWS\system32\FsUsbExService.Exe (Teruten) PRC - C:\WINDOWS\system32\dgdersvc.exe (Devguru Co., Ltd.) PRC - C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH) PRC - C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) PRC - C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH) PRC - C:\Programme\Avira\AntiVir Desktop\avshadow.exe (Avira GmbH) PRC - C:\Programme\Intel\Intel Matrix Storage Manager\IAANTmon.exe (Intel Corporation) PRC - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe (Hewlett-Packard Company) PRC - C:\Programme\GIGABYTE\EnergySaver\GSvr.exe () PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation) PRC - C:\Programme\Canon\IJPLM\ijplmsvc.exe () PRC - C:\WINDOWS\system32\oodag.exe (O&O Software GmbH) PRC - C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe (Microsoft Corporation) ========== Modules (SafeList) ========== MOD - C:\Dokumente und Einstellungen\USER\Desktop\OTL.exe (OldTimer Tools) MOD - C:\WINDOWS\system32\msscript.ocx (Microsoft Corporation) ========== Win32 Services (SafeList) ========== SRV - (SamSsRpcLocator) -- C:\WINDOWS\System32\acctresg.exe File not found SRV - (Dhcpaspnet_state) -- C:\WINDOWS\System32\ac3filteru.exe File not found SRV - (FsUsbExService) -- C:\WINDOWS\system32\FsUsbExService.Exe (Teruten) SRV - (dgdersvc) -- C:\WINDOWS\system32\dgdersvc.exe (Devguru Co., Ltd.) SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH) SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH) SRV - (ServiceLayer) -- C:\Programme\PC Connectivity Solution\ServiceLayer.exe (Nokia) SRV - (IAANTMON) Intel(R) -- C:\Programme\Intel\Intel Matrix Storage Manager\IAANTmon.exe (Intel Corporation) SRV - (LightScribeService) -- C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe (Hewlett-Packard Company) SRV - (GEST Service) -- C:\Programme\GIGABYTE\EnergySaver\GSvr.exe () SRV - (IJPLMSVC) -- C:\Programme\Canon\IJPLM\ijplmsvc.exe () SRV - (NMIndexingService) -- C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe (Nero AG) SRV - (O&O Defrag) -- C:\WINDOWS\system32\oodag.exe (O&O Software GmbH) SRV - (MDM) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe (Microsoft Corporation) ========== Driver Services (SafeList) ========== DRV - (vcdrom) -- C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Temp\VCdRom.sys File not found DRV - (gdrv) -- C:\WINDOWS\gdrv.sys (Windows (R) 2000 DDK provider) DRV - (ssadmdm) -- C:\WINDOWS\system32\drivers\ssadmdm.sys (MCCI Corporation) DRV - (ssadbus) SAMSUNG Android USB Composite Device driver (WDM) -- C:\WINDOWS\system32\drivers\ssadbus.sys (MCCI Corporation) DRV - (ssadmdfl) SAMSUNG Android USB Modem (Filter) -- C:\WINDOWS\system32\drivers\ssadmdfl.sys (MCCI Corporation) DRV - (FsUsbExDisk) -- C:\WINDOWS\system32\FsUsbExDisk.Sys () DRV - (dgderdrv) -- C:\WINDOWS\system32\drivers\dgderdrv.sys (Devguru Co., Ltd) DRV - (sscdmdm) -- C:\WINDOWS\system32\drivers\sscdmdm.sys (MCCI Corporation) DRV - (sscdbus) SAMSUNG USB Composite Device driver (WDM) -- C:\WINDOWS\system32\drivers\sscdbus.sys (MCCI Corporation) DRV - (sscdmdfl) -- C:\WINDOWS\system32\drivers\sscdmdfl.sys (MCCI Corporation) DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH) DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH) DRV - (nmwcd) -- C:\WINDOWS\system32\drivers\ccdcmb.sys (Nokia) DRV - (nmwcdc) -- C:\WINDOWS\system32\drivers\ccdcmbo.sys (Nokia) DRV - (ati2mtag) -- C:\WINDOWS\system32\drivers\ati2mtag.sys (ATI Technologies Inc.) DRV - (SSHDRV61) -- C:\WINDOWS\system32\drivers\SSHDRV61.sys () DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH) DRV - (IntcAzAudAddService) Service for Realtek HD Audio (WDM) -- C:\WINDOWS\system32\drivers\RtkHDAud.sys (Realtek Semiconductor Corp.) DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH) DRV - (iaStor) -- C:\WINDOWS\system32\DRIVERS\iaStor.sys (Intel Corporation) DRV - (RTHDMIAzAudService) -- C:\WINDOWS\system32\drivers\RtHDMI.sys (Realtek Semiconductor Corp.) DRV - (pccsmcfd) -- C:\WINDOWS\system32\drivers\pccsmcfd.sys (Nokia) DRV - (Ambfilt) -- C:\WINDOWS\system32\drivers\Ambfilt.sys (Creative) DRV - (JRAID) -- C:\WINDOWS\system32\DRIVERS\jraid.sys (JMicron Technology Corp.) DRV - (HDAudBus) -- C:\WINDOWS\system32\drivers\hdaudbus.sys (Windows (R) Server 2003 DDK provider) DRV - (RTLE8023xp) -- C:\WINDOWS\system32\drivers\Rtenicxp.sys (Realtek Semiconductor Corporation ) DRV - (Monfilt) -- C:\WINDOWS\system32\drivers\Monfilt.sys (Creative Technology Ltd.) DRV - (sfvfs02) StarForce Protection VFS Driver (version 2.x) -- C:\WINDOWS\System32\drivers\sfvfs02.sys (Protection Technology) DRV - (sfsync02) StarForce Protection Synchronization Driver (version 2.x) -- C:\WINDOWS\System32\drivers\sfsync02.sys (Protection Technology) DRV - (sfdrv01) StarForce Protection Environment Driver (version 1.x) -- C:\WINDOWS\System32\drivers\sfdrv01.sys (Protection Technology) DRV - (sfhlp02) StarForce Protection Helper Driver (version 2.x) -- C:\WINDOWS\System32\drivers\sfhlp02.sys (Protection Technology) ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.bing.ch/ IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 ========== FireFox ========== FF - prefs.js..browser.startup.homepage: "hxxp://www.google.ch" FF - prefs.js..extensions.enabledItems: battlefieldheroespatcher@ea.com:5.0.23.0 FF - prefs.js..extensions.enabledItems: {0545b830-f0aa-4d7e-8820-50a4629a56fe}:4.6.1 FF - prefs.js..extensions.enabledItems: {D4DD63FA-01E4-46a7-B6B1-EDAB7D6AD389}:0.9.7 FF - prefs.js..extensions.enabledItems: firegestures@xuldev.org:1.5.7 FF - prefs.js..extensions.enabledItems: jqs@sun.com:1.0 FF - prefs.js..extensions.enabledItems: {66E978CD-981F-47DF-AC42-E3CF417C1467}:0.4.2 FF - prefs.js..extensions.enabledItems: tabscope@xuldev.org:0.3.3 FF - prefs.js..extensions.enabledItems: {A27F3FEF-1113-4cfb-A032-8E12D7D8EE70}:7.3.2.26 FF - HKLM\software\mozilla\Firefox\extensions\\bkmrksync@nokia.com: C:\Programme\Nokia\Nokia PC Suite 7\bkmrksync\ [2010.01.12 19:16:14 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Firefox\extensions\\{A27F3FEF-1113-4cfb-A032-8E12D7D8EE70}: C:\Programme\Nokia\Nokia Ovi Suite\Connectors\Bookmarks Connector\FirefoxExtension\ [2010.05.01 13:09:36 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Mozilla Firefox 3.6.8\extensions\\Components: C:\Programme\Mozilla Firefox\components [2010.07.24 11:27:28 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Mozilla Firefox 3.6.8\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2010.07.24 11:27:28 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Mozilla Thunderbird 2.0.0.24\extensions\\Components: C:\Programme\Mozilla Thunderbird\components [2010.03.17 22:08:38 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Mozilla Thunderbird 2.0.0.24\extensions\\Plugins: C:\Programme\Mozilla Thunderbird\plugins [2010.07.06 17:02:00 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Thunderbird\Extensions\\{CCB7D94B-CA92-4E3F-B79D-ADE0F07ADC74}: C:\Programme\Nokia\Nokia Ovi Suite\Connectors\Thunderbird Connector\ThunderbirdExtension\ [2010.05.01 13:09:38 | 000,000,000 | ---D | M] [2008.11.14 22:07:57 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Extensions [2010.08.16 21:46:33 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Firefox\Profiles\4qldjx66.default\extensions [2010.07.04 16:10:26 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Firefox\Profiles\4qldjx66.default\extensions\{0545b830-f0aa-4d7e-8820-50a4629a56fe} [2010.04.29 17:57:12 | 000,000,000 | ---D | M] (Microsoft .NET Framework Assistant) -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Firefox\Profiles\4qldjx66.default\extensions\{20a82645-c095-46ed-80e3-08825760534b} [2010.01.19 19:14:37 | 000,000,000 | ---D | M] (New Tab Homepage) -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Firefox\Profiles\4qldjx66.default\extensions\{66E978CD-981F-47DF-AC42-E3CF417C1467} [2010.07.15 10:05:18 | 000,000,000 | ---D | M] (Download Statusbar) -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Firefox\Profiles\4qldjx66.default\extensions\{D4DD63FA-01E4-46a7-B6B1-EDAB7D6AD389} [2010.07.30 21:56:00 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Firefox\Profiles\4qldjx66.default\extensions\battlefieldheroespatcher@ea.com [2010.04.16 09:56:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Firefox\Profiles\4qldjx66.default\extensions\firegestures@xuldev.org [2010.07.18 12:31:47 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Mozilla\Firefox\Profiles\4qldjx66.default\extensions\tabscope@xuldev.org [2010.08.16 21:46:33 | 000,000,000 | ---D | M] -- C:\Programme\Mozilla Firefox\extensions [2010.07.12 18:33:56 | 000,012,800 | ---- | M] (Nullsoft, Inc.) -- C:\Programme\Mozilla Firefox\plugins\npwachk.dll [2010.06.30 21:04:53 | 000,001,392 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml [2010.06.30 21:04:53 | 000,002,344 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml [2010.06.30 21:04:53 | 000,006,805 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\leo_ende_de.xml [2010.06.30 21:04:53 | 000,001,178 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml [2010.06.30 21:04:53 | 000,001,105 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml O1 HOSTS File: ([2008.04.14 13:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated) O2 - BHO: (FDMIECookiesBHO Class) - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Free Download Manager\iefdm2.dll () O4 - HKLM..\Run: [Alcmtr] C:\WINDOWS\ALCMTR.EXE (Realtek Semiconductor Corp.) O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) O4 - HKCU..\Run: [] File not found O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoLogoff = 01 00 00 00 [binary data] O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoSMHelp = 01 00 00 00 [binary data] O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoSMMyDocs = 01 00 00 00 [binary data] O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoSMMyPictures = 01 00 00 00 [binary data] O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoUserNameInStartMenu = [binary data] O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoSharedDocuments = 01 00 00 00 [binary data] O8 - Extra context menu item: Download all with Free Download Manager - C:\Programme\Free Download Manager\dlall.htm () O8 - Extra context menu item: Download selected with Free Download Manager - C:\Programme\Free Download Manager\dlselected.htm () O8 - Extra context menu item: Download video with Free Download Manager - C:\Programme\Free Download Manager\dlfvideo.htm () O8 - Extra context menu item: Download with Free Download Manager - C:\Programme\Free Download Manager\dllink.htm () O8 - Extra context menu item: Nach Microsoft &Excel exportieren - C:\Programme\Microsoft Office\Office10\EXCEL.EXE (Microsoft Corporation) O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} hxxp://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab (Shockwave Flash Object) O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\ms-itss {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Information Retrieval\MSITSS.DLL (Microsoft Corporation) O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation) O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Programme\Gemeinsame Dateien\Skype\Skype4COM.dll (Skype Technologies) O18 - Protocol\Filter\application/x-microsoft-rpmsg-message {DFF82902-0B96-3B98-6F62-D655E146A23A} - Reg Error: Key error. File not found O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation) O20 - Winlogon\Notify\AtiExtEvent: DllName - Ati2evxx.dll - C:\WINDOWS\System32\ati2evxx.dll (ATI Technologies Inc.) O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp O28 - HKLM ShellExecuteHooks: {56F9679E-7826-4C84-81F3-532071A8BCC5} - C:\Programme\Windows Desktop Search\MsnlNamespaceMgr.dll (Microsoft Corporation) O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2008.11.14 11:01:28 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ] O34 - HKLM BootExecute: (autocheck autochk *) - File not found O34 - HKLM BootExecute: (OODBS) - C:\WINDOWS\System32\OODBS.exe (O&O Software GmbH) O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* ========== Files/Folders - Created Within 30 Days ========== [2010.08.17 17:35:49 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\USER\Recent [2010.08.17 17:25:08 | 000,575,488 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\USER\Desktop\OTL.exe [2010.08.17 17:20:48 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys [2010.08.17 17:20:47 | 000,020,952 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys [2010.08.17 17:20:47 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware [2010.08.17 17:20:16 | 006,153,648 | ---- | C] (Malwarebytes Corporation ) -- C:\Dokumente und Einstellungen\USER\Desktop\mbam-setup.exe [2010.08.16 21:42:20 | 000,388,608 | ---- | C] (Trend Micro Inc.) -- C:\Dokumente und Einstellungen\USER\Desktop\HiJackThis204.exe [2010.08.16 21:29:40 | 000,513,024 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\dllcache\winlogon.exe [2010.08.16 18:26:12 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\4935C22E47C4B29D4B8A6F0868A1C3AA [2010.08.16 18:25:57 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Anwendungsdaten\Windows Server [2010.08.12 08:30:52 | 000,000,000 | -HSD | C] -- C:\Config.Msi [2010.07.31 12:40:07 | 000,000,000 | ---D | C] -- C:\Programme\GameSpy Arcade [2010.07.31 12:34:13 | 000,000,000 | ---D | C] -- C:\Programme\Aspyr [2010.07.20 15:15:36 | 000,000,000 | ---D | C] -- C:\Programme\Kies [2010.07.20 14:44:46 | 000,000,000 | ---D | C] -- C:\Programme\Winamp Detect [2010.07.20 13:41:28 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\USER\Eigene Dateien\Samsung [2010.07.20 13:41:22 | 000,233,472 | ---- | C] (Teruten) -- C:\WINDOWS\System32\FsUsbExService.Exe [2010.07.20 13:40:49 | 000,121,576 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\ssadmdm.sys [2010.07.20 13:40:49 | 000,012,776 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\ssadmdfl.sys [2010.07.20 13:40:49 | 000,010,344 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\ssadcmnt.sys [2010.07.20 13:40:49 | 000,010,344 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\ssadcm.sys [2010.07.20 13:40:48 | 000,096,488 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\ssadbus.sys [2010.07.20 13:40:48 | 000,010,216 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\ssadwhnt.sys [2010.07.20 13:40:48 | 000,010,216 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\ssadwh.sys [2010.07.20 13:40:44 | 000,132,424 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\sscdmdm.sys [2010.07.20 13:40:44 | 000,014,920 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\sscdmdfl.sys [2010.07.20 13:40:44 | 000,012,616 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\sscdcmnt.sys [2010.07.20 13:40:44 | 000,012,616 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\sscdcm.sys [2010.07.20 13:40:43 | 000,104,648 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\sscdbus.sys [2010.07.20 13:40:43 | 000,012,488 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\sscdwhnt.sys [2010.07.20 13:40:43 | 000,012,488 | ---- | C] (MCCI Corporation) -- C:\WINDOWS\System32\drivers\sscdwh.sys [2010.07.20 13:39:53 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Samsung [2010.07.20 13:39:47 | 000,000,000 | ---D | C] -- C:\Programme\Common Files [2010.07.20 13:39:46 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Samsung [2010.07.20 13:39:46 | 000,000,000 | ---D | C] -- C:\Programme\MarkAny [2010.07.20 13:38:43 | 000,000,000 | ---D | C] -- C:\Program Files [2010.07.20 13:38:33 | 000,000,000 | ---D | C] -- C:\Programme\Gemeinsame Dateien\Samsung [2004.11.24 21:25:52 | 000,335,872 | ---- | C] ( ) -- C:\WINDOWS\System32\drvc.dll [3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2010.08.17 17:51:00 | 000,001,108 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job [2010.08.17 17:25:09 | 000,575,488 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\USER\Desktop\OTL.exe [2010.08.17 17:20:18 | 006,153,648 | ---- | M] (Malwarebytes Corporation ) -- C:\Dokumente und Einstellungen\USER\Desktop\mbam-setup.exe [2010.08.17 17:18:03 | 000,016,608 | ---- | M] (Windows (R) 2000 DDK provider) -- C:\WINDOWS\gdrv.sys [2010.08.17 17:18:02 | 000,002,422 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2010.08.17 17:17:43 | 000,001,104 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job [2010.08.17 17:17:42 | 000,000,236 | ---- | M] () -- C:\WINDOWS\tasks\OGALogon.job [2010.08.17 17:17:38 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT [2010.08.17 17:17:37 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2010.08.17 17:17:36 | 000,178,544 | ---- | M] () -- C:\WINDOWS\System32\ativvaxx.cap [2010.08.17 17:17:33 | 001,043,309 | ---- | M] () -- C:\WINDOWS\System32\oodbs.lor [2010.08.16 23:15:27 | 008,126,464 | ---- | M] () -- C:\Dokumente und Einstellungen\USER\ntuser.dat [2010.08.16 23:15:27 | 000,000,300 | -HS- | M] () -- C:\Dokumente und Einstellungen\USER\ntuser.ini [2010.08.16 21:47:47 | 000,000,500 | ---- | M] () -- C:\Dokumente und Einstellungen\USER\Desktop\ResultDns.lnk [2010.08.16 21:42:20 | 000,388,608 | ---- | M] (Trend Micro Inc.) -- C:\Dokumente und Einstellungen\USER\Desktop\HiJackThis204.exe [2010.08.16 21:34:16 | 000,000,574 | ---- | M] () -- C:\Dokumente und Einstellungen\USER\Desktop\dllcache.lnk [2010.08.15 20:50:05 | 000,054,156 | -H-- | M] () -- C:\WINDOWS\QTFont.qfn [2010.08.13 18:58:40 | 000,138,384 | ---- | M] () -- C:\WINDOWS\System32\drivers\PnkBstrK.sys [2010.08.13 18:56:49 | 000,215,128 | ---- | M] () -- C:\WINDOWS\System32\PnkBstrB.xtr [2010.08.12 08:33:28 | 000,363,320 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2010.08.12 08:31:42 | 001,032,910 | ---- | M] () -- C:\WINDOWS\System32\PerfStringBackup.INI [2010.08.12 08:31:42 | 000,473,624 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat [2010.08.12 08:31:42 | 000,432,492 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat [2010.08.12 08:31:42 | 000,089,920 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat [2010.08.12 08:31:42 | 000,067,448 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat [2010.07.30 22:02:01 | 000,138,056 | ---- | M] () -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\PnkBstrK.sys [2010.07.30 22:01:39 | 002,427,248 | ---- | M] () -- C:\WINDOWS\System32\pbsvc_heroes.exe [2010.07.30 21:47:31 | 000,794,408 | ---- | M] () -- C:\WINDOWS\System32\pbsvc.exe [2010.07.27 19:00:00 | 000,001,026 | ---- | M] () -- C:\WINDOWS\tasks\Differentielles Backup D.job [2010.07.27 19:00:00 | 000,001,026 | ---- | M] () -- C:\WINDOWS\tasks\Differentielles Backup C.job [2010.07.27 08:29:42 | 008,503,296 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\System32\dllcache\shell32.dll [2010.07.21 12:34:18 | 000,001,409 | ---- | M] () -- C:\WINDOWS\QTFont.for [2010.07.20 15:15:41 | 000,002,006 | ---- | M] () -- C:\aqua_bitmap.cpp_old [2010.07.20 13:42:12 | 000,000,000 | -H-- | M] () -- C:\WINDOWS\System32\drivers\Msft_User_WpdMtpDr_01_00_00.Wdf [2010.07.20 13:40:25 | 000,002,528 | ---- | M] () -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\$_hpcst$.hpc [3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files Created - No Company Name ========== [2010.08.16 21:47:47 | 000,000,500 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Desktop\ResultDns.lnk [2010.08.16 21:34:16 | 000,000,574 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Desktop\dllcache.lnk [2010.08.16 21:32:08 | 000,265,819 | ---- | C] () -- C:\WINDOWS\System32\dllcache\WINLOGON.EX_ [2010.08.16 21:31:11 | 000,265,819 | ---- | C] () -- C:\WINDOWS\System32\WINLOGON.EX_ [2010.07.30 22:01:39 | 002,427,248 | ---- | C] () -- C:\WINDOWS\System32\pbsvc_heroes.exe [2010.07.30 21:47:50 | 000,138,384 | ---- | C] () -- C:\WINDOWS\System32\drivers\PnkBstrK.sys [2010.07.21 12:34:18 | 000,054,156 | -H-- | C] () -- C:\WINDOWS\QTFont.qfn [2010.07.21 12:34:18 | 000,001,409 | ---- | C] () -- C:\WINDOWS\QTFont.for [2010.07.20 15:19:14 | 000,778,240 | ---- | C] () -- C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat [2010.07.20 13:42:12 | 000,000,000 | -H-- | C] () -- C:\WINDOWS\System32\drivers\Msft_User_WpdMtpDr_01_00_00.Wdf [2010.07.20 13:41:22 | 000,110,592 | ---- | C] () -- C:\WINDOWS\System32\FsUsbExDevice.Dll [2010.07.20 13:41:22 | 000,036,608 | ---- | C] () -- C:\WINDOWS\System32\FsUsbExDisk.Sys [2010.07.20 13:40:25 | 000,002,528 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\$_hpcst$.hpc [2010.07.20 13:37:35 | 000,002,006 | ---- | C] () -- C:\aqua_bitmap.cpp_old [2010.06.18 12:17:42 | 000,013,031 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Kommagetrennte Werte (Windows).CAL [2010.05.25 08:45:24 | 000,974,848 | ---- | C] () -- C:\WINDOWS\System32\cis-2.4.dll [2010.05.25 08:45:24 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\issacapi_bs-2.3.dll [2010.05.25 08:45:24 | 000,065,536 | ---- | C] () -- C:\WINDOWS\System32\issacapi_pe-2.3.dll [2010.05.25 08:45:24 | 000,057,344 | ---- | C] () -- C:\WINDOWS\System32\issacapi_se-2.3.dll [2010.03.23 19:25:22 | 000,004,096 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Anwendungsdaten\keyfile3.drm [2009.10.12 13:40:36 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI [2009.08.03 15:07:42 | 000,403,816 | ---- | C] () -- C:\WINDOWS\System32\OGACheckControl.dll_old [2009.07.05 13:50:06 | 000,138,056 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\PnkBstrK.sys [2009.05.15 20:52:48 | 000,036,864 | ---- | C] () -- C:\WINDOWS\System32\drivers\SSHDRV61.sys [2009.05.15 20:36:39 | 000,000,125 | -HS- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\.zreglib [2009.04.17 19:31:10 | 000,000,000 | ---- | C] () -- C:\WINDOWS\oodcnt.INI [2009.03.31 19:26:39 | 000,000,038 | ---- | C] () -- C:\WINDOWS\AviSplitter.INI [2009.03.15 18:53:45 | 000,000,089 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\DelinvFile.ini [2009.03.15 18:20:27 | 000,000,003 | ---- | C] () -- C:\WINDOWS\System32\msrctp.ini [2009.01.11 20:00:43 | 000,022,117 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Tabulatorgetrennte Werte (Windows).ADR [2009.01.11 19:52:42 | 000,038,499 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Kommagetrennte Werte (Windows).ADR [2009.01.05 20:28:49 | 000,043,520 | ---- | C] () -- C:\WINDOWS\System32\CmdLineExt03.dll [2009.01.04 14:37:48 | 000,006,144 | ---- | C] () -- C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [2008.12.19 17:15:58 | 004,338,246 | ---- | C] () -- C:\WINDOWS\System32\libavcodec.dll [2008.12.17 19:41:18 | 000,884,237 | ---- | C] () -- C:\WINDOWS\System32\ff_x264.dll [2008.12.17 19:22:58 | 000,093,184 | ---- | C] () -- C:\WINDOWS\System32\ff_wmv9.dll [2008.12.17 19:22:48 | 000,057,344 | ---- | C] () -- C:\WINDOWS\System32\ff_vfw.dll [2008.12.17 19:17:34 | 000,239,247 | ---- | C] () -- C:\WINDOWS\System32\ff_theora.dll [2008.12.17 18:59:54 | 000,560,802 | ---- | C] () -- C:\WINDOWS\System32\libmplayer.dll [2008.12.11 13:27:02 | 000,000,547 | ---- | C] () -- C:\WINDOWS\System32\ff_vfw.dll.manifest [2008.11.26 00:12:04 | 000,003,972 | ---- | C] () -- C:\WINDOWS\System32\drivers\PciBus.sys [2008.11.21 19:51:39 | 000,116,224 | ---- | C] () -- C:\WINDOWS\System32\pdfcmnnt.dll [2008.11.17 12:45:06 | 000,000,069 | ---- | C] () -- C:\WINDOWS\NeroDigital.ini [2008.11.14 22:00:23 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI [2008.09.19 23:57:34 | 003,596,288 | ---- | C] () -- C:\WINDOWS\System32\qt-dx331.dll [2008.09.19 23:55:10 | 000,000,416 | ---- | C] () -- C:\WINDOWS\System32\dtu100.dll.manifest [2008.09.19 23:55:10 | 000,000,416 | ---- | C] () -- C:\WINDOWS\System32\dpl100.dll.manifest [2008.09.19 23:54:18 | 000,012,288 | ---- | C] () -- C:\WINDOWS\System32\DivXWMPExtType.dll [2008.05.26 23:23:36 | 000,016,834 | ---- | C] () -- C:\WINDOWS\System32\gthrctr.ini [2008.05.26 23:23:34 | 000,024,188 | ---- | C] () -- C:\WINDOWS\System32\idxcntrs.ini [2008.05.26 23:23:32 | 000,016,568 | ---- | C] () -- C:\WINDOWS\System32\gsrvctr.ini [2008.04.14 13:00:00 | 001,868,944 | ---- | C] () -- C:\WINDOWS\System32\RSA32_16.DLL [2004.10.03 19:50:54 | 000,129,024 | ---- | C] () -- C:\WINDOWS\System32\ff_mpeg2enc.dll [1996.04.03 21:33:26 | 000,005,248 | ---- | C] () -- C:\WINDOWS\System32\giveio.sys ========== Alternate Data Streams ========== @Alternate Data Stream - 72 bytes -> C:\WINDOWS:984525C4FFF12B39 < End of report > --- --- --- Und hier noch das zweite OTL-Logfile: OTL EXTRAS Logfile: Code:
ATTFilter OTL Extras logfile created on: 17.08.2010 17:54:01 - Run 1
OTL by OldTimer - Version 3.2.10.0 Folder = C:\Dokumente und Einstellungen\USER\Desktop
Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000807 | Country: Schweiz | Language: DES | Date Format: dd.MM.yyyy
3.00 Gb Total Physical Memory | 3.00 Gb Available Physical Memory | 79.00% Memory free
5.00 Gb Paging File | 4.00 Gb Available in Paging File | 88.00% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 29.29 Gb Total Space | 12.45 Gb Free Space | 42.51% Space Free | Partition Type: NTFS
Drive D: | 436.46 Gb Total Space | 253.76 Gb Free Space | 58.14% Space Free | Partition Type: NTFS
Drive E: | 465.75 Gb Total Space | 185.02 Gb Free Space | 39.72% Space Free | Partition Type: NTFS
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
Computer Name: COMPUTER
Current User Name: USER
Logged in as Administrator.
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
========== Extra Registry (SafeList) ==========
========== File Associations ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
========== Shell Spawning ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
htmlfile [edit] -- "C:\Programme\Microsoft Office\Office10\msohtmed.exe" %1 (Microsoft Corporation)
htmlfile [print] -- "C:\Programme\Microsoft Office\Office10\msohtmed.exe" /p %1 (Microsoft Corporation)
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation)
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [AddToPlaylistVLC] -- "C:\Programme\VLC-Player\vlc.exe" --started-from-file --playlist-enqueue "%1" ()
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Directory [PlayWithVLC] -- "C:\Programme\VLC-Player\vlc.exe" --started-from-file --no-playlist-enqueue "%1" ()
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
========== Security Center Settings ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 1
"FirewallOverride" = 0
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
"10243:TCP" = 10243:TCP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10280:UDP" = 10280:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10281:UDP" = 10281:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10282:UDP" = 10282:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10283:UDP" = 10283:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10284:UDP" = 10284:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002
"10243:TCP" = 10243:TCP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10280:UDP" = 10280:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10281:UDP" = 10281:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10282:UDP" = 10282:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10283:UDP" = 10283:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
"10284:UDP" = 10284:UDP:LocalSubNet:Enabled:Windows Media Player-Netzwerkfreigabedienst
========== Authorized Applications List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"C:\Programme\Logitech\Logitech Harmony Remote Software 7\HarmonyRemote.exe" = C:\Programme\Logitech\Logitech Harmony Remote Software 7\HarmonyRemote.exe:*:Enabled:Logitech Harmony Remote Software 7 -- ()
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\Swisscom\Internet Phone\EPOC.exe" = C:\Programme\Swisscom\Internet Phone\EPOC.exe:*:Enabled:Internet Phone -- File not found
"C:\Programme\SoulseekNS\slsk.exe" = C:\Programme\SoulseekNS\slsk.exe:*:Enabled:SoulSeek -- File not found
"C:\Programme\SmartFTP Client 2.0\SmartFTP.exe" = C:\Programme\SmartFTP Client 2.0\SmartFTP.exe:*:Enabled:SmartFTP Client 2.0 -- File not found
"C:\Programme\Vuze\Azureus.exe" = C:\Programme\Vuze\Azureus.exe:*:Enabled:Azureus -- (Vuze Inc.)
"C:\Programme\SmartFTP Client\SmartFTP.exe" = C:\Programme\SmartFTP Client\SmartFTP.exe:*:Enabled:SmartFTP Client 2.5 -- (SmartSoft Ltd.)
"D:\Games\EA GAMES\Battlefield 2\BF2.exe" = D:\Games\EA GAMES\Battlefield 2\BF2.exe:*:Enabled:Battlefield 2 -- ()
"D:\Games\TrackMania Sunrise\TmSunrise.exe" = D:\Games\TrackMania Sunrise\TmSunrise.exe:*:Enabled:TmSunrise -- ()
"D:\Games\TmNationsForever\TmForever.exe" = D:\Games\TmNationsForever\TmForever.exe:*:Enabled:TmForever -- ()
"C:\Programme\Nokia\Nokia Software Updater\nsu_ui_client.exe" = C:\Programme\Nokia\Nokia Software Updater\nsu_ui_client.exe:*:Enabled:Nokia Software Updater -- (Nokia Corporation)
"C:\Programme\Gemeinsame Dateien\Nokia\Service Layer\A\nsl_host_process.exe" = C:\Programme\Gemeinsame Dateien\Nokia\Service Layer\A\nsl_host_process.exe:*:Enabled:Nokia Service Layer Host Process -- (Nokia Corporation)
"C:\Programme\Miranda IM\miranda32.exe" = C:\Programme\Miranda IM\miranda32.exe:*:Enabled:Miranda IM -- ( )
"C:\Programme\Java\jre6\launch4j-tmp\JDownloader.exe" = C:\Programme\Java\jre6\launch4j-tmp\JDownloader.exe:*:Enabled:Java(TM) Platform SE binary -- (Sun Microsystems, Inc.)
"C:\WINDOWS\system32\java.exe" = C:\WINDOWS\system32\java.exe:*:Enabled:Java(TM) Platform SE binary -- (Sun Microsystems, Inc.)
"C:\Dokumente und Einstellungen\USER\temp\TeamViewer3\TeamViewer.exe" = C:\Dokumente und Einstellungen\USER\temp\TeamViewer3\TeamViewer.exe:*:Enabled:TeamViewer Remote Control Application -- File not found
"C:\Programme\TeamViewer3\TeamViewer.exe" = C:\Programme\TeamViewer3\TeamViewer.exe:*:Enabled:TeamViewer Remote Control Application -- File not found
"C:\Programme\Zattoo\Zattoo2.exe" = C:\Programme\Zattoo\Zattoo2.exe:*:Enabled: -- ()
"C:\Programme\Zattoo\zattood.exe" = C:\Programme\Zattoo\zattood.exe:*:Enabled:zattood -- File not found
"C:\Programme\Mozilla Firefox\firefox.exe" = C:\Programme\Mozilla Firefox\firefox.exe:*:Enabled:Firefox -- (Mozilla Corporation)
"C:\Programme\Zattoo\Zattoo.exe" = C:\Programme\Zattoo\Zattoo.exe:*:Enabled: -- File not found
"C:\Programme\GIGABYTE\EnergySaver\run.exe" = C:\Programme\GIGABYTE\EnergySaver\run.exe:*:Enabled:update -- ()
"C:\Programme\Gemeinsame Dateien\Nero\Nero Web\SetupX.exe" = C:\Programme\Gemeinsame Dateien\Nero\Nero Web\SetupX.exe:*:Enabled:Nero ControlCenter -- (Nero AG)
"C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Temp\OnlineUpdate8\SetupXu.exe" = C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Temp\OnlineUpdate8\SetupXu.exe:*:Enabled:Nero ControlCenter -- File not found
"C:\Programme\Java\jre6\bin\javaw.exe" = C:\Programme\Java\jre6\bin\javaw.exe:*:Enabled:Java(TM) Platform SE binary -- (Sun Microsystems, Inc.)
"C:\Programme\Java\jre6\bin\java.exe" = C:\Programme\Java\jre6\bin\java.exe:*:Enabled:Java(TM) Platform SE binary -- (Sun Microsystems, Inc.)
"C:\Dokumente und Einstellungen\USER\temp\TeamViewer\Version4\TeamViewer.exe" = C:\Dokumente und Einstellungen\USER\temp\TeamViewer\Version4\TeamViewer.exe:*:Enabled:TeamViewer Remote Control Application -- File not found
"C:\Programme\Logitech\Logitech Harmony Remote Software 7\HarmonyRemote.exe" = C:\Programme\Logitech\Logitech Harmony Remote Software 7\HarmonyRemote.exe:*:Enabled:Logitech Harmony Remote Software 7 -- ()
"C:\Dokumente und Einstellungen\USER\temp\TeamViewer\Version5\TeamViewer.exe" = C:\Dokumente und Einstellungen\USER\temp\TeamViewer\Version5\TeamViewer.exe:*:Enabled:TeamViewer -- File not found
"C:\WINDOWS\system32\muzapp.exe" = C:\WINDOWS\system32\muzapp.exe:*:Enabled:MUZ AOD APP player -- (Musiccity Co.Ltd.)
========== HKEY_LOCAL_MACHINE Uninstall List ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{0001B4FD-9EA3-4D90-A79E-FD14BA3AB01D}" = PDFCreator
"{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
"{00E15D21-B68B-D7C4-574B-636E2D1ECEBE}" = Catalyst Control Center HydraVision Full
"{04858915-9F49-4B2A-AED4-DC49A7DE6A7B}" = Battlefield 2(TM)
"{055EE59D-217B-43A7-ABFF-507B966405D8}" = ATI Catalyst Control Center
"{1170F665-2359-E439-5BC5-932B87423EF1}" = ccc-utility
"{1199FAD5-9546-44f3-81CF-FFDB8040B7BF}_Canon_iP4600_series" = Canon iP4600 series Printer Driver
"{18D10072035C4515918F7E37EAFAACFC}" = AutoUpdate
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{212748BB-0DA5-46DE-82A1-403736DC9F27}" = MSVC80_x86
"{26A24AE4-039D-4CA4-87B4-2F83216010FF}" = Java(TM) 6 Update 18
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{3921A67A-5AB1-4E48-9444-C71814CF3027}" = VCRedistSetup
"{39D74E81-5DED-C7EE-8807-91A8800212FA}" = ccc-core-preinstall
"{3A1B5D40-41E9-43FA-8C7B-A8667F5586EF}" = Gigabyte Raid Configurer
"{41C01225-45FD-7BCE-1EDA-F7E50945ADD7}" = Catalyst Control Center Core Implementation
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{4C911A61-39EA-41CC-AB3C-FE3BFFDB5F78}" = Nokia Software Updater
"{4E1CD3D5-D4EE-4246-AE24-F0FD5A60390D}" = OviMPlatform
"{4FFD1AB4-54F0-4069-88D9-3A55B38F874B}" = Nokia Ovi Suite Software Updater
"{53480330-E1D1-41CA-B8F8-7F78644F7F50}" = O&O Defrag Professional Edition
"{56C049BE-79E9-4502-BEA7-9754A3E60F9B}" = neroxml
"{5C6F884D-680C-448B-B4C9-22296EE1B206}" = Logitech Harmony Remote Software 7
"{5C82DAE5-6EB0-4374-9254-BE3319BA4E82}" = Skype™ 3.8
"{5E8E1294-7951-6DA9-10F1-C877871346F3}" = Skins
"{60DED9C2-22BF-47A3-B6C8-6B141BA31DFD}" = Ovi Desktop Sync Engine
"{65A54DC3-5FF6-4C75-906E-3EA1A3B71031}" = Nero 8 Essentials
"{698D7E61-E4BF-4CA6-8A09-CF6BDBFDEF65}" = Battlefield 1942
"{6D3245B1-8DB8-4A23-9CD2-2C90F40ABAF6}" = MSVC80_x86_v2
"{7397EDED-F38A-4654-B669-BF61065803D0}" = PC Connectivity Solution
"{770657D0-A123-3C07-8E44-1C83EC895118}" = Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053
"{7B63B2922B174135AFC0E1377DD81EC2}" = DivX Codec
"{7ED169D4-5053-4166-93DF-53B12AE6C539}" = Energy Saver Advance B8.0520.1
"{826F3B4F-C597-AF1D-4CB1-2F441BE8E2BF}" = ccc-core-static
"{837b34e3-7c30-493c-8f6a-2b0f04e2912c}" = Microsoft Visual C++ 2005 Redistributable
"{8471021C-F529-43DE-84DF-3612E10F58C4}" = Remote Control USB Driver
"{87B20692-9E9D-FAE0-76C7-E75E3CC7B0D1}" = Catalyst Control Center Graphics Full Existing
"{885F5AC6-4413-4D30-99A9-F4494BFA4923}" = Logitech Harmony Remote Software 7
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{8DC910CD-8EE3-4ffc-A4EB-9B02701059C4}" = Battlefield Heroes
"{90120000-0020-0409-0000-0000000FF1CE}" = Compatibility Pack for the 2007 Office system
"{90280407-6000-11D3-8CFE-0050048383C9}" = Microsoft Office XP Professional mit FrontPage
"{9068B2BE-D93A-4C0A-861C-5E35E2C0E09E}" = Intel® Matrix Storage Manager
"{9249D7E7-33E7-4CC8-BB0B-3DF3C3CB2568}" = Nokia PC Suite
"{9309DD7E-EBFE-3C95-8B47-30D3A012F606}" = Microsoft .NET Framework 2.0 Service Pack 1 Language Pack - DEU
"{961034C0-58DF-11DF-97FD-005056806466}" = Google Earth Plug-in
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A43BF6A5-D5F0-4AAA-BF41-65995063EC44}" = MSXML 6.0 Parser
"{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}" = Google Update Helper
"{AC76BA86-7AD7-1031-7B44-A93000000001}" = Adobe Reader 9.3.3 - Deutsch
"{AF111648-99A1-453E-81DD-80DBBF6DAD0D}" = MSVC90_x86
"{B13A7C41581B411290FBC0395694E2A9}" = DivX Converter
"{B2544A03-10D0-4E5E-BA69-0362FFC20D18}" = OGA Notifier 2.0.0048.0
"{B7050CBDB2504B34BC2A9CA0A692CC29}" = DivX Web Player
"{B9C9DB4C-6D77-4AE9-AD1C-C708C23239A0}" = Nokia Connectivity Cable Driver
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C169D3BB-9A27-43F5-9979-09A0D65FE95C}" = SmartFTP Client
"{C29769BE-BEDF-DC9E-67A9-5E7AEFF039CF}" = CCC Help English
"{C740289B-FC90-D938-8317-1FFEBF7C04DB}" = Catalyst Control Center Graphics Previews Common
"{C9BED750-1211-4480-B1A5-718A3BE15525}" = REALTEK GbE & FE Ethernet PCI-E NIC Driver
"{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1
"{D0795B21-0CDA-4a92-AB9E-6E92D8111E44}" = SAMSUNG USB Driver for Mobile Phones
"{D3B1C799-CB73-42DE-BA0F-2344793A095C}" = Catalyst Control Center - Branding
"{D642E38E-0D24-486C-9A2D-E316DD696F4B}" = Microsoft XML Parser
"{D6CD26FD-CD7F-4C86-96A3-EEBFABE5FE47}" = Kies
"{DA9DAC64-C947-47BA-B411-8A1959B177CF}" = LightScribe System Software 1.14.25.1
"{DEE1E2E5-B553-4F88-9DE7-23CBEA5D739C}" = Nokia Ovi Suite
"{E0F07676-2C60-4465-A727-20DE3BFCABAC}" = Tony Hawks Pro Skater 4
"{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver
"{F2DE3FC2-438A-45C9-AA3F-5E80485358ED}" = Client für die Windows-Rechteverwaltung
"{F30A8BF7-288C-57C0-357E-6D67BB694682}" = Catalyst Control Center Graphics Full New
"{F54543CF-EC73-D847-1780-84A6420EA229}" = Catalyst Control Center Graphics Light
"{FF66E9F6-83E7-3A3E-AF14-8DE9A809A6A4}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022
"05B59228C7E1C21DFBE89260F879BD95880548D8" = Windows-Treiberpaket - Nokia Modem (10/05/2009 4.2)
"504244733D18C8F63FF584AEB290E3904E791693" = Windows-Treiberpaket - Nokia pccsmcfd (08/22/2008 7.0.0.0)
"8CDCFB95BB84DD9C0F88F22266A0CA86035E55BA" = Windows-Treiberpaket - Nokia Modem (06/01/2009 7.01.0.4)
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Adobe Photoshop 7.0.1" = Adobe Photoshop 7.0.1
"Adobe Shockwave Player" = Adobe Shockwave Player 11
"All ATI Software" = ATI - Software Uninstall Utility
"Analyzer_is1" = Analyzer
"ATI Display Driver" = ATI Display Driver
"Avira AntiVir Desktop" = Avira AntiVir Personal - Free Antivirus
"Canon iP4600 series Benutzerregistrierung" = Canon iP4600 series Benutzerregistrierung
"CANONIJPLM100" = Inkjet Printer/Scanner Extended Survey Program
"CCleaner" = CCleaner
"DesertCombat" = DesertCombat 0.7
"DirSync" = DirSync 2.8
"Driver Cleaner Pro" = DH Driver Cleaner Professional Edition
"DVD Shrink DE_is1" = DVD Shrink 3.2 deutsch (DeCSS-frei)
"Easy Video Joiner_is1" = Easy Video Joiner 5.21
"EPSON Scanner" = EPSON Scan
"EVEREST Home Edition_is1" = EVEREST Home Edition v2.20
"Free Download Manager_is1" = Free Download Manager 2.5
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie8" = Windows Internet Explorer 8
"InstallShield_{D6CD26FD-CD7F-4C86-96A3-EEBFABE5FE47}" = Kies
"IrfanView" = IrfanView (remove only)
"Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware
"Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1
"Miranda IM" = Miranda IM 0.8.10
"Mozilla Firefox (3.6.8)" = Mozilla Firefox (3.6.8)
"Mozilla Thunderbird (2.0.0.24)" = Mozilla Thunderbird (2.0.0.24)
"Mp3tag" = Mp3tag v2.42
"MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP
"Mumble" = Mumble and Murmur
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"Nokia Maps Updater_is1" = Nokia Maps Updater 1.0.12
"Nokia Ovi Suite" = Nokia Ovi Suite
"Nokia PC Suite" = Nokia PC Suite
"pdfsam" = pdfsam
"PKR" = PKR
"Private Tax 2009" = Private Tax 2009
"Protected Music Converter_is1" = Protected Music Converter 1.0.0.19
"PunkBusterSvc" = PunkBuster Services
"QuickTime" = QuickTime
"RealPlayer 6.0" = RealPlayer
"ShellExView" = ShellExView
"TmNationsForever_is1" = TmNationsForever Update 2010-03-15
"TmSunrise_is1" = TrackMania Sunrise Extreme 1.5.0
"Tweak UI 2.10" = Tweak UI
"VLC media player" = VLC media player 1.0.5
"Vuze" = Vuze
"Wdf01005" = Microsoft Kernel-Mode Driver Framework Feature Pack 1.5
"Wdf01007" = Microsoft Kernel-Mode Driver Framework Feature Pack 1.7
"Winamp" = Winamp
"Windows Media Format Runtime" = Windows Media Format 11 runtime
"Windows Media Player" = Windows Media Player 11
"WinRAR archiver" = WinRAR archiver
"WMFDist11" = Windows Media Format 11 runtime
"wmp11" = Windows Media Player 11
"Wudf01007" = Microsoft User-Mode Driver Framework Feature Pack 1.7
"XP Codec Pack" = XP Codec Pack
========== HKEY_CURRENT_USER Uninstall List ==========
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Winamp Detect" = Winamp Erkennungs-Plug-in
========== Last 10 Event Log Errors ==========
[ System Events ]
Error - 26.06.2010 05:43:59 | Computer Name = COMPUTER | Source = MRxSmb | ID = 8003
Description = Der Hauptsuchdienst erhielt eine Serverankündigung vom Computer "MICHAMACHINE",
der
der Hauptsuchdienst der Domäne für den NetBT_Tcpip_{3C9121F3-3E60-4-Transport zu
sein scheint. Der Hauptsuchdienst wurde beendet oder es wird eine Auswahl erzwungen.
Error - 29.07.2010 04:49:39 | Computer Name = COMPUTER | Source = Print | ID = 6161
Description = Das Dokument 20.08.2010 Federspiel.pdf, im Besitz von USER,
konnte nicht auf dem Drucker Canon iP4600 series Li gedruckt werden. Datentyp:
NT EMF 1.008. Größe der Warteschlangendatei in Bytes: 131072. Anzahl der gedruckten
Bytes: 41008. Gesamtanzahl der Seiten des Dokuments: 3. Anzahl der gedruckten Seiten:
0. Clientcomputer: \\COMPUTER. Vom Druckprozessor zurückgelieferter Win32-Fehlercode:
6 (0x6).
Error - 31.07.2010 14:52:00 | Computer Name = COMPUTER | Source = Service Control Manager | ID = 7034
Description = Dienst "PnkBstrB" wurde unerwartet beendet. Dies ist bereits 1 Mal
passiert.
Error - 15.08.2010 16:57:51 | Computer Name = COMPUTER | Source = SideBySide | ID = 16842810
Description = Syntaxfehler in der Manifest- oder Richtliniendatei "C:\Programme\Gemeinsame
Dateien\Nero\AudioPlugins\msa.dll" in Zeile 10.
Error - 15.08.2010 16:57:51 | Computer Name = COMPUTER | Source = SideBySide | ID = 16842811
Description = Generate Activation Context ist für C:\Programme\Gemeinsame Dateien\Nero\AudioPlugins\msa.dll
fehlgeschlagen. Referenzfehlermeldung: Der Vorgang wurde erfolgreich beendet. .
Error - 15.08.2010 16:57:52 | Computer Name = COMPUTER | Source = SideBySide | ID = 16842810
Description = Syntaxfehler in der Manifest- oder Richtliniendatei "C:\Programme\Gemeinsame
Dateien\Nero\AudioPlugins\MSAxp.dll" in Zeile 10.
Error - 15.08.2010 16:57:52 | Computer Name = COMPUTER | Source = SideBySide | ID = 16842811
Description = Generate Activation Context ist für C:\Programme\Gemeinsame Dateien\Nero\AudioPlugins\MSAxp.dll
fehlgeschlagen. Referenzfehlermeldung: Der Vorgang wurde erfolgreich beendet. .
< End of report >
[EDIT] Hab jetzt auch noch das virtuelle Laufwert D: (also Partition) gescannt. Während diesem Vorgang hat mir Avira folgende Message gebracht (die Meldung auf dem SmartFTP-Patch kenne ich übrigens, die habe ich schon länger ignoriert, da sie gemäss damaligen Googeln nicht schädlich sei, sondern wegen ihrer "Patch-Natur" erkannt werde). Vielleicht stimmt das ja nicht? Auf jeden Fall hier die Avira-Meldung: Typ: Datei Quelle: D:\Backups\Programme\FTP\SmartFTP_2.5.1006.10_patch.exe Status: Infiziert Quarantäne-Objekt: 4fc80b32.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.34 Virendefinitionsdatei: 7.10.10.176 Meldung: Ist das Trojanische Pferd TR/Horse.HXU Datum/Uhrzeit: 17.08.2010, 17:48 Typ: Datei Quelle: D:\System Volume Information\_restore{59171DF5-70E5-47F0-A22C-ED5868A5FA4B}\RP1\A0000093.exe Status: Infiziert Quarantäne-Objekt: 4f99134f.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.34 Virendefinitionsdatei: 7.10.10.176 Meldung: Ist das Trojanische Pferd TR/Horse.HXU Datum/Uhrzeit: 17.08.2010, 18:24 Und das dazugehörige Malwarebites Logfile (ohne Befund): Hab nur einen Quick-Scan geschafft bis jetzt (Full Scan läuft noch!) Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4439 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 17.08.2010 18:23:12 mbam-log-2010-08-17 (18-23-12).txt Art des Suchlaufs: Quick-Scan Durchsuchte Objekte: 32451 Laufzeit: 8 Minute(n), 36 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) Geändert von RFTC (17.08.2010 um 17:36 Uhr) |
|
17.08.2010, 17:55
| #5 |
| | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo Arne, zuerst ein Riesen-SORRY für das kleine Log-Chaos. Ich habe ein wenig im Edit-Modus versucht, aufzuräumen, damit du sehen kannst, was ich gemacht habe. Leider konnte ich den oberen Post nicht mehr editieren. Sonst hätte ich zumindest den Quick-Scan vom D: entfernt, da ja jetzt noch der Full Scan folgt unten. Was ich jedenfalls oben vergessen habe: Beim ersten Scan auf dem D-Laufwerk habe ich ohne zu "wollen" (aus AntiVir-Instinkt) die von Avira gemeldeten 2 Dateien (aus dem System-Restore und die effektive Datei "Smart-FTP Patch") in die Quarantäre verschoben. Ich habe erst im Nachhinein begriffen, dass ich das nicht hätte tun sollen, sorry...Auf jeden Fall habe ich die beiden nach Neustart und dem danach erfolgten Full Scan (siehe unten) nicht mehr angetroffen. Hoffe, das ist nicht allzu schlimm... -------------- Also: Jetzt folgt der Full Scan auf der Partition D: und dem Laufwerk E auf der zweiten physischen Festplattet. Und hier das Ergebnis: 3 Funde (Aber alle auf dem C: ?!). Hier das Log für die zweite Partition D: der ersten (System-)Platte: Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4439 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 17.08.2010 18:49:39 mbam-log-2010-08-17 (18-49-39).txt Art des Suchlaufs: Vollständiger Suchlauf (D:\|) Durchsuchte Objekte: 171252 Laufzeit: 9 Minute(n), 56 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 2 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: HKEY_CURRENT_USER\Software\Microsoft\idln2 (Malware.Trace) -> No action taken. Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Microsoft\Windows\jnipmo.exe (Trojan.Downloader) -> No action taken. C:\WINDOWS\system32\Userinitxx.exe (Trojan.Agent) -> No action taken. Und hier der Scan auf der zweiten physischen Platte (E). Die identischen Funde wie beim D-Scan vorher, also alles auf der Systempartition C: Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4439 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 17.08.2010 18:58:08 mbam-log-2010-08-17 (18-58-08).txt Art des Suchlaufs: Vollständiger Suchlauf (E:\|) Durchsuchte Objekte: 138704 Laufzeit: 56 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 2 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: HKEY_CURRENT_USER\Software\Microsoft\idln2 (Malware.Trace) -> No action taken. Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\Dokumente und Einstellungen\USER\Anwendungsdaten\Microsoft\Windows\jnipmo.exe (Trojan.Downloader) -> No action taken. C:\WINDOWS\system32\Userinitxx.exe (Trojan.Agent) -> No action taken. Geändert von RFTC (17.08.2010 um 18:08 Uhr) |
|
17.08.2010, 19:28
| #6 | |||
| /// Winkelfunktion /// TB-Süch-Tiger™ | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner!Zitat:
Zitat:
Zitat:
__________________ --> Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! |
|
17.08.2010, 19:31
| #7 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code:
ATTFilter :OTL
O4 - HKCU..\Run: [] File not found
[2010.08.16 18:26:12 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\USER\Anwendungsdaten\4935C22E47C4B29D4B8A6F0868A1C3AA
[2010.08.16 18:25:57 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Anwendungsdaten\Windows Server
@Alternate Data Stream - 72 bytes -> C:\WINDOWS:984525C4FFF12B39
:Commands
[purity]
[resethosts]
[emptytemp]
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
17.08.2010, 21:20
| #8 |
| | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo Arne, hab alles durchgeführt, die Viren-Meldung mit winlogon.exe kommt immer noch leider. Oder war das klar, dass es noch nicht fertig ist? Hier das Log-File. Hab übrigens vergessen, Firefox zu schliessen, bevor ich den "run fix"-Knopf gedrückt habe, weil ich die Anleitung am ablesen war :-( Ist das schlimm. Soll ich den Schritt nochmals wiederholen? Danke und Gruss All processes killed ========== OTL ========== Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully. Folder C:\Dokumente und Einstellungen\USER\Anwendungsdaten\4935C22E47C4B29D4B8A6F0868A1C3AA\ not found. Folder C:\Dokumente und Einstellungen\USER\Lokale Einstellungen\Anwendungsdaten\Windows Server\ not found. ADS C:\WINDOWS:984525C4FFF12B39 deleted successfully. ========== COMMANDS ========== C:\WINDOWS\System32\drivers\etc\Hosts moved successfully. HOSTS file reset successfully [EMPTYTEMP] User: Administrator ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: **** ->Temp folder emptied: 953915 bytes ->Temporary Internet Files folder emptied: 61847 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 36142411 bytes ->Flash cache emptied: 7642 bytes User: LocalService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 33170 bytes ->Flash cache emptied: 405 bytes User: NetworkService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 33170 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 2352202 bytes %systemroot%\System32 .tmp files removed: 2951 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 33682 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 38.00 mb OTL by OldTimer - Version 3.2.10.0 log created on 08172010_221516 Files\Folders moved on Reboot... Registry entries deleted on Reboot... |
|
17.08.2010, 21:53
| #9 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Wir sind natürlich erst fertig wenn ich sage und Du auch keine Probleme mehr hast  Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
18.08.2010, 17:18
| #10 |
| | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo Arne, also, cofi.exe hat sich anders verhalten als beschrieben. Habe alle Punkt wie gefordert durchgeführt, aber während dem Scan (ca. nach Schritt 48 od. so) hiess es "infected files found" und "removing files now"... Es ging ziemlich schnell, aber ich konnte lesen: C:/windows/system32/winlogon.exe der zweite Eintrag war explorer.exe! Diesen hat noch kein Programm bisher identifiziert. Das "Problem" ist einfach folgendes: Nach/Während dem Löschen hat sich der PC neu gestartet (aus dem Nichts). Weiss nicht mehr ob etwas von rebooting gestanden ist! Nun finde ich auch kein Combi-Fix.txt Logfile unter der angegebenen Stelle! Statt dessen ist ein "Arbeitsplatz"-Icon im C: Ordner drin namens cofi (plus Restanzen von _OTL und "Qoobox" ?? ist das normal? Noch was, vielleicht was Gutes? --> Antivir meldet "nur" noch den winlogon.exe aus dem system32-Folder als verseucht. Den .../dllcache Folder zeigt er nicht mehr an. Was nun? Ich hab kein Log-File und ein neues infiziertes file? Also explorer.exe? Soll ich den cofi.exe nochmals durchführen? Hätte ich fast gemacht, aber ich denke, ich frage lieber nochmals... Danke und Gruss! [EDIT:] Nach einiger Laufzeit kommt nun zum ersten Mal seit dem cosi.exe-Durchlauf ein winlogon.exe Fund zusätzlich aus der System Volume Information\_restore...etc. Vielleicht hat die Wiederherstellungskonsole (wurde ja installiert in einem Zwischenschritt bei cosi.exe) nun das Ding bereits aufgenommen. Der Trojaner heisst genau gleich (TR/Spy.513024.11), aber unter der Datei A0000014.exe Geändert von RFTC (18.08.2010 um 17:52 Uhr) |
|
18.08.2010, 18:43
| #11 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Schau mal in den ordner Qoobox, da ist u.U. auch ein Log zu finden. Ich brauch auch die Quarantäneordner von Combofix und OTL. Bitte folgendes machen: 1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf da nicht rummurksen! 2.) Ordner C:\_OTL in eine Datei zippen 3.) Ordner C:\Qoobox in eine Datei zippen 4.) Beide erstellten ZIP-Dateien hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html 5.) Wenns erfolgreich war Bescheid sagen 6.) Erst dann wieder den Virenscanner einschalten
__________________ Logfiles bitte immer in CODE-Tags posten |
|
18.08.2010, 19:41
| #12 |
| | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo Arne, mich verlässt jetzt leider der Mut und die Nerven - ich schiebe jetzt die Windows CD rein und installiere das Betriebssystem von Null an... Ich danke dir vielmals für deine Unterstützung bis hier und wünsche dir einen schönen Abend! Gruss RFTC |
|
18.08.2010, 20:50
| #13 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Lad bitte zumindest den Qoobox Ordner bei uns hoch, damit wir Samples an die Virenscannerhersteller schicken können
__________________ Logfiles bitte immer in CODE-Tags posten |
|
18.08.2010, 22:40
| #14 |
| | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hi Arne, Tut mir leid, es ist bereits alles gewiped ;-( Hoffe, es ist “ok“, dass ich aufgegeben habe...ich weiss deinen Aufwand sehr zu schätzen. Am Ende war es mir dann einfach zuviel. Ich weiss, ihr weist jeweils am Anfang darauf hin, dass es nicht easy wird...naja. Auf jeden Fall nochmals danke und sorry wegen den fehlenden Files... Gruss und gute Nacht |
|
18.09.2010, 12:59
| #15 |
| | Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! Hallo Arne, ich habe vor über 3 Wochen eine Email an den Verwalter des Trojaner-Boards geschrieben, weil ich meinen vollen Namen in einem Log (aus unserer Fehler-Suche damals) gefunden habe. Ich würde den gerne löschen, kann aber meinen Eintrag nicht mehr editieren. Leider habe ich keine Antwort erhalten. Hast du die Editier-Rechte, um meinen Namen aus dem ensprechenden Eintrag zu löschen und mit %USERNAME% oder "user" zu ersetzen? Es wäre der hier: http://www.trojaner-board.de/89612-n...tml#post556754 Danke für ein kurzes Feedback, Gruss RFTC p.s. danach könnte auch dieser Post gleich wieder gelöscht werden (da ja nicht Lösungs-relevant für andere User). |
|
| Themen zu Nach GabPath-"Infektion": Avira sagt, winlogon.exe sei Trojaner! |
| adobe, antivir guard, avira, bho, canon, desktop, dhcp-client, einstellungen, error, excel, explorer, firefox, free download, gabpath.exe, google, hijackthis, internet, internet explorer, log-file, monitor, mozilla, nach download, plug-in, resultdns.exe, software, starten., temp, tr/spy., trojaner, viren, windows, windows xp, winlogon.exe |
Linear-Darstellung
