| |
| |||||||
Log-Analyse und Auswertung: Anti-Malware Doctor entfernt, unklar ob das System clean istWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
22.08.2010, 17:14
| #1 | |||
 |  Anti-Malware Doctor entfernt, unklar ob das System clean ist Hallo zusammen, ich bin gerade dabei einen PC zu bereinigen, der gestern vom "Malware Doctor" infiziert wurde. Habe alle möglichen Anleitungen aus diesem Forum befolgt (http://www.trojaner-board.de/83172-a...entfernen.html) und war auf den ersten Blick scheinbar erfolgreich. Allerdings wollte ich hier nochmal sicher gehen, ob nun auch wirklich alles weg ist, indem ihr vielleicht mal über die Logs schaut. Angefangen hatte es mit einer Meldung von Avira AntiVir, leider habe ich die Meldungen aber nicht mehr, da ich im Zuge des Clean-Up's auch diesen neuinstalliert habe. Meine Freundin hatte im Hintergrund zu der Zeit der Infizierung nur Youtube offen, daher keine Ahnung wo sie sich das eingefangen haben könnte. Nachdem ich die erste Meldung mit der Aktion "löschen" weggeklickt habe, sind 5 andere hochgepoppt und schon war der Anti-Malware Doctor drauf. Ziemlich heftig wie ich finde, da hat Avira den zwar erkannt aber absolut nichts unternehmen können wie's aussah. Dass es sich um den Malware Doctor handelte, hat mir Google gezeigt und war eigentlich auch nicht zu übersehen. Naja wegbekommen habe ich das dann mit den aus den anderen Threads genannten Tools und nur über den Abgesicherten Modus. Anbei nun die Logs, vielleicht kann mir jemand Feedback geben und sagen ob das System nun einigermaßen clean aussieht. Noch ein Hinweis zu GMER: Als ich diesen gestern abend ausgeführt habe, kam direkt die Meldung, dass ein Rootkit vermutet wird und man scannen soll. Den Scan habe ich ne Weile laufen lassen, hatte dann aber keine Nerven mehr dafür und bin ins Bett, um heute weiter zu machen. Heute starte ich also GMER wieder und er gibt plötzlich nicht mehr die Meldung wie gestern aus. Das Log habe nicht gespeichert, allerdings schnell einen Screenshot gemacht. Den Screenshot hab ich angehängt (also den von gestern). Das aktuelle GMER-Log und auch die anderen Logs findet Ihr unten. Bei dem Hinweis, dass ein Rootkit vermutet wird, habe ich fälschlicherweise den Scan durchgeführt. Den Hinweis, dass man das NICHT machen sollen habe ich leider erst danach gelesen. Warum soll man das nicht? Weil dann das Phänomen auftritt was ich jetzt habe? Dass er das Rootkit nicht mehr erkennt? CCleaner wurde ausgeführt. Vom MBAM-Log habe ich zwei Versionen angehängt. Einmal die nach dem Scan wo das System infiziert war und einmal jetzt nach dem Cleanup (das sieht auch soweit sauber aus). ComboFix habe ich noch nicht ausgeführt, da in den Threads ja steht, dass man das nur nach Aufforderung tun soll. Soll ich? Also die Logs sehen für mich recht clean aus, allerdings verunsichert mich die Meldung von GMER (screenshot), die nun nicht mehr auftaucht. Gibt ja auch Rootkits die scheinbar nicht erkannt werden (Video auf der Web-Seite von GMER). Probleme macht der PC keine, also er ist schnell und arbeitet völlig normal, so wie vorher. Naja wäre Euch dankbar für jeden Hinweis. VG + Vielen Dank schonmal, Crunch RSIT: RSIT Logfile: Code:
ATTFilter Logfile of random's system information tool 1.08 (written by random/random) Run by *** at 2010-08-22 17:44:45 Microsoft Windows XP Home Edition Service Pack 3 System drive C: has 61 GB (53%) free of 114 GB Total RAM: 2038 MB (82% free) Logfile of Trend Micro HijackThis v2.0.4 Scan saved at 17:44:50, on 22.08.2010 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir Desktop\sched.exe C:\WINDOWS\system32\agrsmsvc.exe C:\Programme\Avira\AntiVir Desktop\avguard.exe C:\Programme\Java\jre6\bin\jqs.exe C:\Programme\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe C:\Programme\Avira\AntiVir Desktop\avshadow.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Canon\MyPrinter\BJMyPrt.exe C:\Programme\Avira\AntiVir Desktop\avgnt.exe C:\Programme\Rainlendar2\Rainlendar2.exe C:\WINDOWS\system32\ctfmon.exe C:\Dokumente und Einstellungen\***\Startmenü\Programme\Autostart\PRINTKEY2000.EXE C:\WINDOWS\system32\NOTEPAD.EXE C:\Dokumente und Einstellungen\***\Desktop\Cleanup\RSIT.exe C:\Programme\trend micro\***.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://search.live.com/sphome.aspx R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://search.live.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://start.icq.com/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://search.live.com/sphome.aspx O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Programme\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O4 - HKLM\..\Run: [CanonMyPrinter] C:\Programme\Canon\MyPrinter\BJMyPrt.exe /logon O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Programme\Canon\SolutionMenu\CNSLMAIN.exe /logon O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKCU\..\Run: [Rainlendar2] C:\Programme\Rainlendar2\Rainlendar2.exe O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: PRINTKEY2000.EXE O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - hxxp://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - hxxp://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\WINDOWS\system32\agrsmsvc.exe O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe -- End of file - 5094 bytes ======Registry dump====== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}] Adobe PDF Link Helper - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll [2010-06-19 75200] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B}] Search Helper - C:\Programme\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll [2009-05-19 137600] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}] Java(tm) Plug-In 2 SSV Helper - C:\Programme\Java\jre6\bin\jp2ssv.dll [2010-02-13 41760] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E7E6F031-17CE-4C07-BC86-EABFE594F69C}] JQSIEStartDetectorImpl Class - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll [2010-02-13 73728] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] "CanonMyPrinter"=C:\Programme\Canon\MyPrinter\BJMyPrt.exe [2009-07-27 1983816] "CanonSolutionMenu"=C:\Programme\Canon\SolutionMenu\CNSLMAIN.exe [2009-03-18 767312] "avgnt"=C:\Programme\Avira\AntiVir Desktop\avgnt.exe [2010-03-02 282792] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "Rainlendar2"=C:\Programme\Rainlendar2\Rainlendar2.exe [2009-02-21 4333568] "ctfmon.exe"=C:\WINDOWS\system32\ctfmon.exe [2008-04-14 15360] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AGRSMMSG] C:\WINDOWS\AGRSMMSG.exe [2005-12-12 88204] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr] C:\WINDOWS\ALCMTR.EXE [2005-05-03 69632] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AzMixerSel] C:\Programme\Realtek\InstallShield\AzMixerSel.exe [2005-08-25 53248] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CASS] C:\Programme\Compal Electronics, INC\Wireless Select Switch\Wireless Select Switch.exe [2006-06-20 184320] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe [2008-04-14 15360] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe [2006-03-23 77824] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\igfxpers] C:\WINDOWS\system32\igfxpers.exe [2006-03-23 118784] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\igfxtray] C:\WINDOWS\system32\igfxtray.exe [2006-03-23 94208] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS] C:\Programme\Messenger\msmsgs.exe [2008-04-14 1695232] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr] C:\Programme\Windows Live\Messenger\MsnMsgr.Exe [2009-07-26 3883840] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Sidewalker] C:\Programme\Compal Electronics, INC\Sidewalker\CSWalker.exe [2008-06-29 50736] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype] C:\Programme\Skype\Phone\Skype.exe [2008-08-08 25510696] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\snp2std] C:\WINDOWS\vsnp2std.exe [2006-05-15 675840] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\tsnp2std] C:\WINDOWS\system32\tsnp2std.exe [2006-06-14 331776] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk] C:\PROGRA~1\MICROS~2\Office\OSA9.EXE [2006-08-29 69632] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^***^Startmenü^Programme^Autostart^StarOffice 8.lnk] C:\PROGRA~1\Sun\STAROF~1\program\QUICKS~1.EXE [] C:\Dokumente und Einstellungen\***\Startmenü\Programme\Autostart PRINTKEY2000.EXE [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\igfxcui] C:\WINDOWS\system32\igfxdev.dll [2006-03-23 139264] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll [2006-10-18 133632] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\Wdf01000.sys] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] "dontdisplaylastusername"=0 "legalnoticecaption"= "legalnoticetext"= "shutdownwithoutlogon"=1 "undockwithoutlogon"=1 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] "NoDriveTypeAutoRun"=255 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] "HonorAutoRunSetting"=1 [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] "%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "C:\Programme\ICQ6\ICQ.exe"="C:\Programme\ICQ6\ICQ.exe:*:Enabled:ICQ6" "C:\Programme\Messenger\msmsgs.exe"="C:\Programme\Messenger\msmsgs.exe:*:Enabled:Windows Messenger" "%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000" "C:\Programme\Windows Live\Messenger\wlcsdk.exe"="C:\Programme\Windows Live\Messenger\wlcsdk.exe:*:Enabled:Windows Live Call" "C:\Programme\ICQ6.5\ICQ.exe"="C:\Programme\ICQ6.5\ICQ.exe:*:Enabled:ICQ6" "C:\Programme\Windows Live\Messenger\msnmsgr.exe"="C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger" "C:\Programme\Skype\Phone\Skype.exe"="C:\Programme\Skype\Phone\Skype.exe:*:Enabled:Skype" [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list] "%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000" "C:\Programme\Windows Live\Messenger\wlcsdk.exe"="C:\Programme\Windows Live\Messenger\wlcsdk.exe:*:Enabled:Windows Live Call" "C:\Programme\Windows Live\Messenger\msnmsgr.exe"="C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger" ======List of files/folders created in the last 1 months====== 2010-08-22 17:44:45 ----D---- C:\rsit 2010-08-20 08:48:10 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Avira 2010-08-19 23:48:39 ----A---- C:\WINDOWS\system32\drivers\ssmdrv.sys 2010-08-19 23:48:35 ----A---- C:\WINDOWS\system32\drivers\avipbb.sys 2010-08-19 23:48:35 ----A---- C:\WINDOWS\system32\drivers\avgntmgr.sys 2010-08-19 23:48:35 ----A---- C:\WINDOWS\system32\drivers\avgntdd.sys 2010-08-19 23:48:34 ----D---- C:\Programme\Avira 2010-08-19 23:48:34 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira 2010-08-19 22:55:51 ----A---- C:\WINDOWS\SchedLgU.Txt 2010-08-19 22:54:40 ----A---- C:\WINDOWS\ntbtlog.txt 2010-08-19 22:20:35 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Malwarebytes 2010-08-19 22:20:12 ----A---- C:\WINDOWS\system32\drivers\mbamswissarmy.sys 2010-08-19 22:20:10 ----D---- C:\Programme\Malwarebytes' Anti-Malware 2010-08-19 22:20:10 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes 2010-08-19 22:20:10 ----A---- C:\WINDOWS\system32\drivers\mbam.sys 2010-08-19 22:15:34 ----A---- C:\WINDOWS\system32\drivers\icshowo.sys 2010-08-16 11:01:39 ----HDC---- C:\WINDOWS\$NtUninstallKB982214$ 2010-08-16 11:01:29 ----HDC---- C:\WINDOWS\$NtUninstallKB2115168$ 2010-08-16 11:01:07 ----HDC---- C:\WINDOWS\$NtUninstallKB981852$ 2010-08-16 11:00:53 ----HDC---- C:\WINDOWS\$NtUninstallKB2079403$ 2010-08-16 10:56:06 ----HDC---- C:\WINDOWS\$NtUninstallKB2160329$ 2010-08-16 10:55:59 ----HDC---- C:\WINDOWS\$NtUninstallKB980436$ 2010-08-16 10:53:55 ----HDC---- C:\WINDOWS\$NtUninstallKB981997$ 2010-08-16 10:53:39 ----HDC---- C:\WINDOWS\$NtUninstallKB982665$ 2010-08-11 09:55:20 ----HDC---- C:\WINDOWS\$NtUninstallKB2286198$ ======List of files/folders modified in the last 1 months====== 2010-08-22 17:44:48 ----D---- C:\Programme\Trend Micro 2010-08-22 17:40:15 ----D---- C:\WINDOWS\Temp 2010-08-22 17:22:48 ----D---- C:\WINDOWS\Prefetch 2010-08-22 17:08:20 ----D---- C:\WINDOWS\system32\CatRoot2 2010-08-20 00:13:48 ----D---- C:\WINDOWS 2010-08-19 23:51:52 ----RD---- C:\Programme 2010-08-19 23:50:47 ----HD---- C:\WINDOWS\inf 2010-08-19 23:50:13 ----D---- C:\WINDOWS\system32 2010-08-19 23:50:03 ----RSHDC---- C:\WINDOWS\system32\dllcache 2010-08-19 23:48:39 ----D---- C:\WINDOWS\system32\drivers 2010-08-19 23:48:08 ----SHD---- C:\WINDOWS\Installer 2010-08-19 23:48:06 ----D---- C:\WINDOWS\WinSxS 2010-08-19 22:50:35 ----D---- C:\WINDOWS\Debug 2010-08-19 22:37:38 ----SH---- C:\boot.ini 2010-08-19 22:37:38 ----A---- C:\WINDOWS\win.ini 2010-08-19 22:37:38 ----A---- C:\WINDOWS\system.ini 2010-08-19 22:30:19 ----HDC---- C:\WINDOWS\$NtUninstallKB981793$ 2010-08-18 23:04:49 ----D---- C:\Programme\Mozilla Firefox 2010-08-16 13:02:27 ----D---- C:\WINDOWS\Microsoft.NET 2010-08-16 13:02:24 ----RSD---- C:\WINDOWS\assembly 2010-08-16 11:01:36 ----HD---- C:\WINDOWS\$hf_mig$ 2010-08-16 11:00:29 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI 2010-08-16 10:56:36 ----D---- C:\Programme\Internet Explorer 2010-08-16 10:56:21 ----D---- C:\WINDOWS\ie8updates 2010-08-16 10:53:57 ----D---- C:\Programme\Movie Maker 2010-08-12 21:36:26 ----D---- C:\Daten *** 2010-08-03 20:09:31 ----A---- C:\WINDOWS\system32\MRT.exe 2010-07-27 08:29:42 ----A---- C:\WINDOWS\system32\shell32.dll ======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)====== R0 ohci1394;VIA OHCI-konformer IEEE 1394-Hostcontroller; C:\WINDOWS\system32\DRIVERS\ohci1394.sys [2008-04-13 61696] R1 avgio;avgio; \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys [] R1 avipbb;avipbb; C:\WINDOWS\system32\DRIVERS\avipbb.sys [2010-03-01 124784] R1 CPEb;CPEb; C:\WINDOWS\system32\drivers\CPEb.sys [2008-06-29 8192] R1 intelppm;Intel-Prozessortreiber; C:\WINDOWS\system32\DRIVERS\intelppm.sys [2008-04-14 40448] R1 ssmdrv;ssmdrv; C:\WINDOWS\system32\DRIVERS\ssmdrv.sys [2009-05-11 28520] R2 avgntflt;avgntflt; C:\WINDOWS\system32\DRIVERS\avgntflt.sys [2010-02-16 60936] R3 AgereSoftModem;Agere Systems Soft Modem; C:\WINDOWS\system32\DRIVERS\AGRSM.sys [2006-11-28 1161888] R3 AR5416;Atheros AR5008 Wireless Network Adapter Service; C:\WINDOWS\system32\DRIVERS\athw.sys [2010-01-06 1596768] R3 EMSCR;EMSCR; C:\WINDOWS\system32\DRIVERS\EMS7SK.sys [2006-03-23 61056] R3 ESDCR;ESDCR; C:\WINDOWS\system32\DRIVERS\ESD7SK.sys [2006-03-23 37888] R3 HDAudBus;Microsoft UAA-Bustreiber für High Definition Audio; C:\WINDOWS\system32\DRIVERS\HDAudBus.sys [2008-04-13 144384] R3 hidusb;Microsoft HID Class-Treiber; C:\WINDOWS\system32\DRIVERS\hidusb.sys [2008-04-13 10368] R3 ialm;ialm; C:\WINDOWS\system32\DRIVERS\ialmnt5.sys [2006-03-23 1166972] R3 IntcAzAudAddService;Service for Realtek HD Audio (WDM); C:\WINDOWS\system32\drivers\RtkHDAud.sys [2006-04-17 4262912] R3 mouhid;Maus-HID-Treiber; C:\WINDOWS\system32\DRIVERS\mouhid.sys [2004-08-04 12288] R3 RTLE8023xp;Realtek 10/100/1000 PCI-E NIC Family NDIS XP Driver; C:\WINDOWS\system32\DRIVERS\Rtenicxp.sys [2010-02-05 202832] R3 sdbus;sdbus; C:\WINDOWS\system32\DRIVERS\sdbus.sys [2008-04-13 79232] R3 SNP2STD;USB2.0 PC Camera (SNP2STD); C:\WINDOWS\system32\DRIVERS\snp2sxp.sys [2006-05-23 10304384] R3 usbuhci;Miniporttreiber für universellen Microsoft USB-Hostcontroller; C:\WINDOWS\system32\DRIVERS\usbuhci.sys [2008-04-13 20608] S0 icshowo;icshowo; C:\WINDOWS\system32\drivers\icshowo.sys [] S1 kbdhid;Tastatur-HID-Treiber; C:\WINDOWS\system32\DRIVERS\kbdhid.sys [2008-04-14 14720] S1 TPwSav;Common Driver; C:\WINDOWS\System32\Drivers\TPwSav.sys [] S3 Arp1394;1394-ARP-Clientprotokoll; C:\WINDOWS\system32\DRIVERS\arp1394.sys [2008-04-13 60800] S3 CCDECODE;Untertiteldecoder; C:\WINDOWS\system32\DRIVERS\CCDECODE.sys [2008-04-13 17024] S3 MSTEE;Microsoft Streaming Tee/Sink-to-Sink-Konvertierung; C:\WINDOWS\system32\drivers\MSTEE.sys [2008-04-13 5504] S3 NABTSFEC;NABTS/FEC VBI-Codec; C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys [2008-04-13 85248] S3 NdisIP;Microsoft TV-/Videoverbindung; C:\WINDOWS\system32\DRIVERS\NdisIP.sys [2008-04-13 10880] S3 NIC1394;1394-Netzwerktreiber; C:\WINDOWS\system32\DRIVERS\nic1394.sys [2008-04-13 61824] S3 nmwcd;Nokia USB Phone Parent; C:\WINDOWS\system32\drivers\ccdcmb.sys [2008-09-15 17664] S3 nmwcdc;Nokia USB Generic; C:\WINDOWS\system32\drivers\ccdcmbo.sys [2008-09-15 22016] S3 pccsmcfd;PCCS Mode Change Filter Driver; C:\WINDOWS\system32\DRIVERS\pccsmcfd.sys [2008-08-26 18816] S3 sffdisk;SFF-Speicherklassentreiber; C:\WINDOWS\system32\DRIVERS\sffdisk.sys [2008-04-13 11904] S3 sffp_sd;SFF-Speicherprotokolltreiber für SDBus; C:\WINDOWS\system32\DRIVERS\sffp_sd.sys [2008-04-13 11008] S3 SLIP;BDA Slip De-Framer; C:\WINDOWS\system32\DRIVERS\SLIP.sys [2008-04-13 11136] S3 streamip;BDA-IPSink; C:\WINDOWS\system32\DRIVERS\StreamIP.sys [2008-04-13 15232] S3 upperdev;upperdev; C:\WINDOWS\system32\DRIVERS\usbser_lowerflt.sys [2008-09-15 8064] S3 usbccgp;Microsoft Standard-USB-Haupttreiber; C:\WINDOWS\system32\DRIVERS\usbccgp.sys [2008-04-13 32128] S3 usbprint;Microsoft USB-Druckerklasse; C:\WINDOWS\system32\DRIVERS\usbprint.sys [2008-04-13 25856] S3 usbscan;USB-Scannertreiber; C:\WINDOWS\system32\DRIVERS\usbscan.sys [2008-04-13 15104] S3 usbser;USB Modem Driver; C:\WINDOWS\system32\drivers\usbser.sys [2008-04-13 26112] S3 UsbserFilt;UsbserFilt; C:\WINDOWS\system32\DRIVERS\usbser_lowerfltj.sys [2008-09-15 8064] S3 USBSTOR;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-13 26368] S3 Wdf01000;Wdf01000; C:\WINDOWS\system32\DRIVERS\Wdf01000.sys [2008-03-27 503008] S3 WSTCODEC;World Standard Teletext-Codec; C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS [2008-04-13 19200] S3 WudfPf;Windows Driver Foundation - User-mode Driver Framework Platform Driver; C:\WINDOWS\system32\DRIVERS\WudfPf.sys [2006-09-28 77568] S3 WudfRd;Windows Driver Foundation - User-mode Driver Framework Reflector; C:\WINDOWS\system32\DRIVERS\wudfrd.sys [2006-09-28 82944] S4 s24trans;WLAN-Transport; C:\WINDOWS\system32\DRIVERS\s24trans.sys [] ======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)====== R2 AgereModemAudio;Agere Modem Call Progress Audio; C:\WINDOWS\system32\agrsmsvc.exe [2006-10-05 9216] R2 AntiVirSchedulerService;Avira AntiVir Planer; C:\Programme\Avira\AntiVir Desktop\sched.exe [2010-02-24 135336] R2 AntiVirService;Avira AntiVir Guard; C:\Programme\Avira\AntiVir Desktop\avguard.exe [2010-08-19 267432] R2 JavaQuickStarterService;Java Quick Starter; C:\Programme\Java\jre6\bin\jqs.exe [2010-02-13 153376] R2 SeaPort;SeaPort; C:\Programme\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe [2009-05-19 240512] S3 aspnet_state;ASP.NET State Service; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2008-07-25 34312] S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2008-07-25 69632] S3 FontCache3.0.0.0;Windows Presentation Foundation Font Cache 3.0.0.0; c:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe [2008-07-29 46104] S3 IDriverT;InstallDriver Table Manager; C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe [2005-11-14 69632] S3 idsvc;Windows CardSpace; c:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe [2008-07-29 881664] S3 ServiceLayer;ServiceLayer; C:\Programme\PC Connectivity Solution\ServiceLayer.exe [2008-11-11 620544] S3 WMPNetworkSvc;Windows Media Player-Netzwerkfreigabedienst; C:\Programme\Windows Media Player\WMPNetwk.exe [2006-11-03 920576] S3 WudfSvc;Windows Driver Foundation - User-mode Driver Framework; C:\WINDOWS\system32\svchost.exe [2008-04-14 14336] S4 NetTcpPortSharing;Net.Tcp Port Sharing Service; c:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe [2008-07-29 132096] -----------------EOF----------------- MBAM CLEAN: Zitat:
Zitat:
GMER Logfile: Code:
ATTFilter GMER 1.0.15.15281 - ht*p://www.gmer.net
Rootkit scan 2010-08-22 17:02:45
Windows 5.1.2600 Service Pack 3
Running: RootkitDetector.exe; Driver: C:\DOKUME~1\***\LOKALE~1\Temp\awayraoc.sys
---- System - GMER 1.0.15 ----
SSDT A9590926 ZwCreateKey
SSDT A959091C ZwCreateThread
SSDT A959092B ZwDeleteKey
SSDT A9590935 ZwDeleteValueKey
SSDT A959093A ZwLoadKey
SSDT A9590908 ZwOpenProcess
SSDT A959090D ZwOpenThread
SSDT A9590944 ZwReplaceKey
SSDT A959093F ZwRestoreKey
SSDT A9590930 ZwSetValueKey
---- Kernel code sections - GMER 1.0.15 ----
.text ntoskrnl.exe!ZwYieldExecution + 14A 804E49A4 2 Bytes [1C, 09] {SBB AL, 0x9}
.text ntoskrnl.exe!ZwYieldExecution + 172 804E49CC 2 Bytes [2B, 09] {SUB ECX, [ECX]}
.text ntoskrnl.exe!ZwYieldExecution + 17A 804E49D4 2 Bytes [35, 09]
---- EOF - GMER 1.0.15 ----
GMER Screenshot (wie man sieht unterscheidet sich der Inhalt vom Scrennshot zu dem Log, wie gesagt war der eine gestern, der andere heute):  Edit: Na super eben bekomme ich beim Surfen folgende Meldung von AntiVir: Zitat:
Geändert von crunch (22.08.2010 um 17:39 Uhr) |
| Themen zu Anti-Malware Doctor entfernt, unklar ob das System clean ist |
| adware.adparatus, adware.gabpath, adware.resultdns, agere systems, alles weg, antivir, antivir guard, antivirus, antivirus scan, avgntflt.sys, avira, bho, browser, canon, components, desktop, feedback, fontcache, gmer-log, google, hijack, hijackthis, hkus\s-1-5-18, home, install.exe, internet, internet explorer, launch, logfile, malware, mozilla, plug-in, preferences, realtek, registry, rogue.antimalwaredoctor, rootkit, scan, skype.exe, software, super, symantec, system, tr/drop.softomat.an, warum, windows, windows xp |
Baum-Darstellung