| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Auch ich habe so einen TAN SchädlingWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
07.09.2010, 22:07
| #1 |
| |  Auch ich habe so einen TAN Schädling Hallo zusammen, ich verfolge diverse Threeads hier schon ein wenig und nun möchte ich mich auch melden....auch ich habe mir den TAN Tojaner eingefangen. Ich würde gerne das Ding wieder losbekommen. Ich weiß, Neuinstallation ist das beste, da ich aber selber aus der IT Branche komme (Systemadministrator für Server) bin ich daran interessiert wie das entfernen geht und auch an dem Trojaner sebst interessiert. Ich habe schon einen Malware Scan und einen OTL Scan durchgeführt. Auch habe ich mittels F-Secure ein Log mitlaufen lassen. Bei meiner Bank gibt es einen "Testaccount" den ich im Moment benutze um den Trojaner zu aktivieren. Wenn der Trojaner aktiv ist und ich den "Weiter" Button drücke kann ich in dem Log folgendes erkennen ---------- 2010-09-07T22:35:25+01:00,info,general,daemon,Policy file has been reloaded. 2010-09-07T22:35:26+01:00,info,appl control,C:\PROGRA~1\MOZILL~1\firefox.exe,allow,connect out,6,194.28.112.132,80 ----------- Da kann man zumindest erkennen wo der Trojaner Versucht seine Daten zin zu senden In den Packetlogs steht leider nichts drin. Nachdem ich gestern den Trojaner endeckt habe hat sich F-Secure 2 mal gemeldet das er einen Trojaner entdeckt hätte und ihn löschen wollte...hat aber nichts geholfen. Den Zettel auf dem ich dien Nachem geschrieben habe, habe ich leider verschlampt. Hier die andern Logs die in den anderen Threads auch angefragt worden sind, ich hoffe das mit dem Pasten sofort im ersten thread ist OK ---------- OTL Extras.txt -----------OTL EXTRAS Logfile: Code:
ATTFilter OTL Extras logfile created on: 07.09.2010 22:42:44 - Run 1
OTL by OldTimer - Version 3.2.11.0 Folder = C:\Dokumente und Einstellungen\T******\Eigene Dateien\Downloads
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
3,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 75,00% Memory free
6,00 Gb Paging File | 5,00 Gb Available in Paging File | 85,00% Paging File free
Paging file location(s): C:\pagefile.sys 3096 3096 [binary data]
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 127,99 Gb Total Space | 17,96 Gb Free Space | 14,03% Space Free | Partition Type: NTFS
Drive D: | 9,31 Gb Total Space | 8,96 Gb Free Space | 96,26% Space Free | Partition Type: FAT32
Drive E: | 21,06 Gb Total Space | 18,96 Gb Free Space | 90,05% Space Free | Partition Type: NTFS
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
Computer Name: MEINER
Current User Name: T******
Logged in as Administrator.
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
========== Extra Registry (SafeList) ==========
========== File Associations ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
========== Shell Spawning ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
htmlfile [edit] -- Reg Error: Key error.
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation)
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [ACDBrowse] -- "C:\Programme\ACD Systems\ACDSee\8.0\ACDSee8.exe" "%1" (ACD Systems Ltd.)
Directory [AddToPlaylistVLC] -- C:\Programme\VideoLAN\VLC\vlc.exe --started-from-file --playlist-enqueue "%1" ()
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Directory [PlayWithVLC] -- C:\Programme\VideoLAN\VLC\vlc.exe --started-from-file --no-playlist-enqueue "%1" ()
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
========== Security Center Settings ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 0
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002
========== Authorized Applications List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\GIGABYTE\@BIOS\gwflash.exe" = C:\Programme\GIGABYTE\@BIOS\gwflash.exe:LocalSubNet:Disabled:@BIOS Application -- ()
"C:\Programme\GIGABYTE\I-Cool\run.exe" = C:\Programme\GIGABYTE\I-Cool\run.exe:*:Enabled:update -- File not found
========== HKEY_LOCAL_MACHINE Uninstall List ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{01840D1A-3B62-1E2A-9997-C9B9007F1E5F}" = Catalyst Control Center Core Implementation
"{0241E073-A1C3-857F-7DA3-9A5DC6C4F60B}" = Catalyst Control Center Graphics Light
"{028ED9C4-25EE-4DEE-9CF4-91034BC89B18}" = Microsoft SQL Server 2005 Express Edition (JTLWAWI)
"{055EE59D-217B-43A7-ABFF-507B966405D8}" = ATI Catalyst Control Center
"{06B06D3B-C133-B15E-AF47-F7FE7F48DE49}" = CCC Help Turkish
"{07629207-FAA0-4F1A-8092-BF5085BE511F}" = Unterstützungsdateien für das Microsoft SQL Server-Setup (Englisch)
"{07E78C07-ECEF-4AEF-9581-2C31A5BDA6C0}" = sipgate Faxdrucker
"{0A5ECD3B-191A-67C7-A04D-D4900C9501E5}" = Catalyst Control Center Graphics Previews Common
"{109CE01E-3C45-4AD0-92D0-9102E0D56648}" = Janosch Straßenverkehr
"{13F3917B56CD4C25848BDC69916971BB}" = DivX Converter
"{18D10072035C4515918F7E37EAFAACFC}" = AutoUpdate
"{192A107E-C6B9-41B9-BDBF-38E3AA226054}" = OpenOffice.org 3.2
"{1A19B4A3-6CE7-4388-B21F-679803C6C76B}" = TAXMAN 2009
"{1CE25480-9ADD-4AA7-840F-314A257DEA15}" = REFLEX Modellflugsimulator
"{1E71806D-587E-3DF8-0BA0-6010E3B4F071}" = CCC Help Swedish
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{1FF713E1-FE5E-4AD0-9C8C-B2E877846B45}" = Catalyst Control Center - Branding
"{216AB108-2AE1-4130-B3D5-20B2C4C80F8F}" = QuickTime
"{26A24AE4-039D-4CA4-87B4-2F83216018FF}" = Java(TM) 6 Update 18
"{26CC62F3-F66B-4F41-9679-421FCE3F03ED}" = ccc-core-static
"{3113E537-41F6-8C1B-109A-38C76DE69271}" = Catalyst Control Center Localization All
"{3248F0A8-6813-11D6-A77B-00B0D0160070}" = Java(TM) 6 Update 7
"{32BAA79B-CBB2-3693-A0E3-71EA4A1E9761}" = ccc-core-static
"{33BA828D-CF19-0B52-8483-61FCFD83F75D}" = Catalyst Control Center HydraVision Full
"{33CF58F5-48D8-4575-83D6-96F574E4D83A}" = Nero DriveSpeed
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{359CFC0A-BEB1-440D-95BA-CF63A86DA34F}" = Nero Recode
"{362CCC45-63D1-9688-C74D-F32F1B0CD919}" = CCC Help English
"{368BA326-73AD-4351-84ED-3C0A7A52CC53}" = Nero Rescue Agent
"{37E5CADC-C146-F72B-EEFE-ABB1C5DC7D98}" = CCC Help Spanish
"{3CCE085E-255D-BBEE-7D51-D46FF3E13B1F}" = Catalyst Control Center HydraVision Full
"{3EC4020D-3D75-ABCD-9BF1-E4D911D4CDED}" = Catalyst Control Center Graphics Full New
"{3FC7CBBC4C1E11DCA1A752EA55D89593}" = DivX Version Checker
"{4183E4E3-F943-416C-D4E1-0673F1CBA6E1}" = ccc-utility
"{43E39830-1826-415D-8BAE-86845787B54B}" = Nero Vision
"{4918D7C5-9025-B706-DEF2-5E29AB5EAFEA}" = Catalyst Control Center Graphics Light
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{4C007A32-9570-725E-4C9A-70BB36785835}" = CCC Help Norwegian
"{4D43D635-6FDA-4fa5-AA9B-23CF73D058EA}" = Nero StartSmart OEM
"{4D5CB2B2-DD58-D8B0-FC08-58A2DC897C23}" = CCC Help English
"{4E457212-AD7F-1747-9D9F-76BA98D44CC2}" = CCC Help Portuguese
"{516CB854-B95B-42AB-7887-9CFC24784A42}" = CCC Help Czech
"{51974F4F-7A40-48AE-99B8-243F34F17884}" = Hello Engines! Standard 4
"{53408AC4-2698-A35E-B41C-571BD549E212}" = Catalyst Control Center Core Implementation
"{53F3256D-DB6A-0E06-7874-A60D87B6AE5C}" = CCC Help Chinese Traditional
"{55408879-D7FF-01C2-DAC4-4146E1439304}" = CCC Help Polish
"{56C049BE-79E9-4502-BEA7-9754A3E60F9B}" = neroxml
"{58B2C07A-CD58-CC42-2DF3-8F433EEF339B}" = CCC Help Finnish
"{595A3116-40BB-4E0F-A2E8-D7951DA56270}" = NeroExpress
"{5B4FA5EA-8C08-4B6D-AAF4-003A1AB8FFBA}" = CCC Help Russian
"{5DA6F06A-B389-407B-BF8C-1548767914D8}" = ATI Problem Report Wizard
"{5EE7D259-D137-4438-9A5F-42F432EC0421}" = VC80CRTRedist - 8.0.50727.4053
"{62AC81F6-BDD3-4110-9D36-3E9EAAB40999}" = Nero CoverDesigner
"{68a09e2d-6e16-4f2d-a099-35f64f89f449}" = Nero 9
"{69496452-FAF3-43BC-9907-BA9CEC65FC10}" = Lexware Info Service
"{6956856F-B6B3-4BE0-BA0B-8F495BE32033}" = Apple Software Update
"{69FAC221-570C-A7A2-10FF-30F3BDDED603}" = Catalyst Control Center Graphics Light
"{6A7C42A3-02F9-C4E2-3A2B-BED15343DB4E}" = ccc-utility
"{6D9306D4-668D-F7B5-30A8-0D20B5D898A0}" = Catalyst Control Center Core Implementation
"{6E9B276F-77BE-49F7-8676-C10017F9E20B}" = Lexware buchhalter Servicepack 2008, Version 13.50
"{700C61BE-9424-4B20-9153-7A0C59722AF4}" = TAXMAN Bibliothek 2009
"{7299052b-02a4-4627-81f2-1818da5d550d}" = Microsoft Visual C++ 2005 Redistributable
"{76C24F39-B161-498F-BD8B-C64789812D13}_is1" = ConvertXtoDVD 3.5.3.139
"{7748ac8c-18e3-43bb-959b-088faea16fb2}" = Nero StartSmart
"{77C4F53F-8618-B4AC-A54D-694CA504BC2E}" = Catalyst Control Center Graphics Full Existing
"{7829DB6F-A066-4E40-8912-CB07887C20BB}" = Nero BurnRights
"{784B383D-1498-77AA-6085-A9EF197193D0}" = CCC Help Italian
"{78A1F747-520C-E068-ED99-08E7C4F75E2A}" = ccc-core-preinstall
"{79AE776D-FA42-4040-B5F3-F317500D0FCD}" = ATI AVIVO Codecs
"{7A5029B2-B9EE-BD2F-D1C2-20A89933BC7B}" = Catalyst Control Center Graphics Full New
"{7B63B2922B174135AFC0E1377DD81EC2}" = DivX Codec
"{7FB12670-0F93-4E1E-B2F5-4F339199A03A}" = Microsoft SQL Server Native Client
"{837b34e3-7c30-493c-8f6a-2b0f04e2912c}" = Microsoft Visual C++ 2005 Redistributable
"{849A32C3-E75A-4791-9B11-E568BA3525A4}" = Microsoft SQL Server VSS Writer
"{869200DB-287A-4DC0-B02B-2B6787FBCD4C}" = Nero DiscSpeed
"{86D4B82A-ABED-442A-BE86-96357B70F4FE}" = Ask Toolbar
"{8937FCB2-2FC6-4FC3-9FB5-DE2C92DB9C38}" = Microsoft .NET Framework 2.0 Language Pack - DEU
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{8ADFC4160D694100B5B8A22DE9DCABD9}" = DivX Player
"{8D7133DE-27D2-47E5-B248-4180278D32AA}" = Catalyst Control Center - Branding
"{909B62B0-8ACA-4061-A83B-09CAEF609619}" = MSXML 6.0 Parser
"{910FC2D0-4BBF-08B1-DED9-96615AC9C33A}" = ccc-utility
"{96AFFF85-9DBE-BE4A-326E-6F12535D2AA8}" = CCC Help Chinese Standard
"{981029E0-7FC9-4CF3-AB39-6F133621921A}" = Skype Toolbars
"{A209525B-3377-43F4-B886-32F6B6E7356F}" = Nero WaveEditor
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A52C4BAB-E8E7-906E-EF34-91EA765505BE}" = ccc-core-preinstall
"{A5E86ABA-C49F-0D98-038A-2BFF8CC14DDE}" = ccc-core-static
"{A778A787-08A4-4089-CB68-02A9737DE532}" = Catalyst Control Center InstallProxy
"{A8F2089B-1F79-4BF6-B385-A2C2B0B9A74D}" = ImagXpress
"{A96E97134CA649888820BCDE5E300BBD}" = H.264 Decoder
"{AA2E6BFE-4351-481C-A720-47CB3506570B}" = ACDSee 8
"{AAC389499AEF40428987B3D30CFC76C9}" = MKV Splitter
"{AC76BA86-7AD7-1031-7B44-A93000000001}" = Adobe Reader 9.3.4 - Deutsch
"{AC76BA86-7AD7-5760-0000-900000000003}" = Japanese Fonts Support For Adobe Reader 9
"{ADD461BD-0409-186A-8056-C1F51B782EDA}" = CCC Help Greek
"{AEF9DC35ADDF4825B049ACBFD1C6EB37}" = AAC Decoder
"{B13A7C41581B411290FBC0395694E2A9}" = DivX Converter
"{B1ADF008-E898-4FE2-8A1F-690D9A06ACAF}" = DolbyFiles
"{B2DC3F08-2EB2-49A5-AA24-15DFC8B1CB83}" = @BIOS Ver.2.03
"{B2EC4A38-B545-4A00-8214-13FE0E915E6D}" = Advertising Center
"{B3471105-8237-6DC4-C8EF-DD4E71344398}" = CCC Help Dutch
"{B569C50C-32D5-4C1C-9313-A154BD2EA14E}" = PhoenixRC
"{B7050CBDB2504B34BC2A9CA0A692CC29}" = DivX Plus Web Player
"{B78120A0-CF84-4366-A393-4D0A59BC546C}" = Menu Templates - Starter Kit
"{B9F8DBD5-EFAF-F5FB-B862-33D4FFC6354C}" = Catalyst Control Center HydraVision Full
"{BBAAAD82-6242-420F-86D4-BD72BB5E6C86}" = Tools für Microsoft SQL Server 2005 Express Edition
"{BC63A4AC-435D-4AAD-9881-D0ED60804D1A}" = Lexware buchhalter Aktualisierung Februar 2008, Version 13.10
"{BCF93617-DD69-74B7-FBDC-0B0AEFAE7D43}" = CCC Help Thai
"{BD5CA0DA-71AD-43DA-B19E-6EEE0C9ADC9A}" = Nero ControlCenter
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C4C2BA9A-E0BE-B4AC-2858-30ED109AAB39}" = CCC Help English
"{c5edf61d-df4b-457c-987f-f3b5176308a2}" = Nero 9 Trial
"{C950420B-4182-49EA-850A-A6A2ABF06C6B}" = Marvell Miniport Driver
"{CC03804C-5D9E-B6F5-D2D6-2E8D11CE7C22}" = Catalyst Control Center Graphics Previews Common
"{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1
"{CFCF9764-6D75-2EAD-D274-45278E48167C}" = CCC Help Japanese
"{D025A639-B9C9-417D-8531-208859000AF8}" = NeroBurningROM
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"{D109FDB4-61EC-4B1E-9782-F54CC3A10024}" = track2
"{D3D79A61-3E3A-7D3D-F094-2614CE007D9F}" = CCC Help Korean
"{D3E434C7-8542-5C5C-FE02-1090E7A1C04A}" = Catalyst Control Center Graphics Full Existing
"{D5C8E140-6E6F-11DD-9AA9-0050560400B1}" = Haufe iDesk-Service
"{D9D93D74-107D-4BD3-87D0-AABCF7C98BD5}" = Catalyst Control Center - Branding
"{dba84796-8503-4ff0-af57-1747dd9a166d}" = Nero Online Upgrade
"{E30DFCDA-9CB6-B062-A0DB-B48D295D6545}" = CCC Help Hungarian
"{E498385E-1C51-459A-B45F-1721E37AA1A0}" = Movie Templates - Starter Kit
"{E8A80433-302B-4FF1-815D-FCC8EAC482FF}" = Nero Installer
"{E98371BD-6C0D-463E-B004-E6303F9A34A7}" = Lexware buchhalter 2008
"{EA14702F-74A1-7A7B-032C-98DEA06F01BE}" = CCC Help German
"{EAF092E3-6B95-41E8-B468-94B85DAD8603}" = eDocPrinter PDF Pro Ver 6.48
"{EB2E2ED5-DE74-F09D-3B23-0C4BA51D8C60}" = Catalyst Control Center Graphics Previews Common
"{ECC3713C-08A4-40E3-95F1-7D0704F1CE5E}" = PL-2303 USB-to-Serial
"{ED05E9DF-45D8-4FA3-86C6-A3704FA21B37}" = REFLEX Model Flight Simulator
"{EFE38CC6-2592-4F93-B59B-CE4B69600890}" = TAXMAN 2009
"{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver
"{F4423F03-A62C-57C2-BF6E-6AC06D27E094}" = CCC Help French
"{F48AAE0F-52F4-11DD-B1F7-0050560400B1}" = Haufe iDesk-Browser
"{F72AB93B-BA2D-423F-A702-8001D7CF33B3}" = RealFlightG3
"{F9D0A12A-1641-A4DB-4649-F7AB1F3A0F59}" = CCC Help Danish
"{FBCDFD61-7DCF-4E71-9226-873BA0053139}" = Nero InfoTool
"{FD3D9B16-44E4-4231-E1E2-85C40A115F87}" = ATI Catalyst Install Manager
"{FDE0EEEA-B1CD-BFED-22BB-AD87B886CC47}" = Catalyst Control Center Graphics Full New
"{FE688026-1C8C-4E50-889D-4B6607CADC24}" = Lexware buchhalter 2008
"{FE6A0D54-A89C-542A-3C0F-7DE1DFC0F3A2}" = Catalyst Control Center Graphics Full Existing
"{FE7ADD14-5576-C865-AB6A-84BBC94C883B}" = ccc-core-preinstall
"{FF1B3317-EADD-4AC3-BE54-37265FC9A133}" = Lexware buchhalter Servicepack 2008, Version 13.50
"3134FEF0E1D959EC0CC2E458C94B7057B2AC0CC9" = Windows-Treiberpaket - FTDI CDM Driver Package (10/22/2009 2.06.00)
"88EB56038379B8B7DCFB4D2448A60F52E064B265" = Windows-Treiberpaket - FTDI CDM Driver Package (10/22/2009 2.06.00)
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"ATI Display Driver" = ATI Display Driver
"Audiograbber" = Audiograbber 1.83 SE
"Audiograbber-Lame" = Audiograbber Lame-MP3-Plugin
"CCleaner" = CCleaner
"CSV-Import_is1" = CSV-Import 3.6
"DivX Plus DirectShow Filters" = DivX Plus DirectShow Filters
"DVDFab (Platinum/Gold/HD Decrypter) (Option: Mobile) 5_is1" = DVDFab (Platinum/Gold/HD Decrypter) (Option: Mobile) 5.2.5.0
"EasyCash&Tax_is1" = EasyCash&Tax 1.48
"FileZilla Server" = FileZilla Server (remove only)
"F-Secure Product 444" = F-Secure Internet Security 2009
"GUT 1" = GUT 1
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie8" = Windows Internet Explorer 8
"IrfanView" = IrfanView (remove only)
"JTL-Wawi_is1" = JTL-Wawi
"Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware
"Microsoft .NET Framework 2.0 Language Pack - DEU" = Microsoft .NET Framework 2.0 Language Pack - DEU
"Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1
"Microsoft SQL Server 2005" = Microsoft SQL Server 2005
"Mozilla Firefox (3.6.8)" = Mozilla Firefox (3.6.8)
"Mozilla Thunderbird (3.1.2)" = Mozilla Thunderbird (3.1.2)
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"ProtectDisc Driver 11" = ProtectDisc Driver, Version 11
"RealFlightG3Pro" = RealFlight G3 R/C Simulator
"Samsung ML-2010 Series" = Samsung ML-2010 Series
"SpeedFan" = SpeedFan (remove only)
"ST6UNST #1" = CubeInterpreter (C:\Programme\CubeInterpreter\)
"Virtual RC Racing_is1" = Virtual RC Racing 3.5
"VLC media player" = VLC media player 0.9.8a
"Windows XP Service Pack" = Windows XP Service Pack 3
"WinGimp-2.0_is1" = GIMP 2.6.6
"WinRAR archiver" = WinRAR
"Zahlenbuch 2" = Zahlenbuch 2
========== HKEY_CURRENT_USER Uninstall List ==========
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"UnityWebPlayer" = Unity Web Player
========== Last 10 Event Log Errors ==========
[ Application Events ]
Error - 06.09.2010 20:51:56 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 3 2010-09-07 02:51:56+02:00 meiner MEINER\T****** F-Secure Anti-Virus
Malicious code found in file C:\oldFP\Dokumente und Einstellungen\All Users\Anwendungsdaten\dmxmlwnm.dll_.
Infection: Trojan.Win32.Obfuscated.mi
Error - 06.09.2010 20:52:26 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 4 2010-09-07 02:52:26+02:00 meiner MEINER\T****** F-Secure Anti-Virus
Malicious code found in file C:\oldFP\Dokumente und Einstellungen\Liane\Lokale
Einstellungen\Temp\aalotqno.0ll. Infection: Trojan.Win32.Monder.gen
Error - 06.09.2010 20:52:27 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 5 2010-09-07 02:52:27+02:00 meiner MEINER\T****** F-Secure Anti-Virus
Malicious code found in file C:\oldFP\Dokumente und Einstellungen\Liane\Lokale
Einstellungen\Temp\aalotqno.0ll. Infection: Trojan.Win32.Monder.gen
Error - 06.09.2010 21:30:44 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 6 2010-09-07 03:30:44+02:00 meiner MEINER\T****** F-Secure Anti-Virus
Malicious code found in file C:\System Volume Information\_restore{6C789EAE-DA21-4A94-85C3-2954727FC57B}\RP314\A0056312.exe.
Infection: Packed.Win32.Krap.hc
Error - 06.09.2010 21:30:44 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 7 2010-09-07 03:30:44+02:00 meiner MEINER\T****** F-Secure Anti-Virus
Malicious code found in file C:\System Volume Information\_restore{6C789EAE-DA21-4A94-85C3-2954727FC57B}\RP314\A0056312.exe.
Infection: Packed.Win32.Krap.hc
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 26023
Description = Fehler beim TCP-Anbieter des Servers beim Überwachen von [ 'any' <ipv4>
4271]. Der TCP-Port wird bereits verwendet.
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 17182
Description = Fehler bei der TDSSNIClient-Initialisierung. Fehler 0x271d, Statuscode
0xa.
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 17182
Description = Fehler bei der TDSSNIClient-Initialisierung. Fehler 0x271d, Statuscode
0x1.
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 17826
Description = Aufgrund eines internen Fehlers in einer Netzwerkbibliothek konnte
die Netzwerkbibliothek nicht gestartet werden. Überprüfen Sie zum Bestimmen der
Ursache die diesem Fehler unmittelbar vorhergehenden Fehler im Fehlerprotokoll.
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 17120
Description = SQL Server konnte den Thread FRunCM nicht erzeugen. Suchen Sie im
SQL Server-Fehlerprotokoll und in den Windows-Ereignisprotokollen nach Informationen
zu möglichen verwandten Problemen.
[ System Events ]
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:59 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:59 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
Error - 07.09.2010 16:13:59 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
< End of report >
------------------- ----------------- OTL OTL.txt -----------------OTL Logfile: OTL EXTRAS Logfile: Code:
ATTFilter OTL logfile created on: 07.09.2010 22:42:44 - Run 1 OTL by OldTimer - Version 3.2.11.0 Folder = C:\Dokumente und Einstellungen\T******\Eigene Dateien\Downloads Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 8.0.6001.18702) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 3,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 75,00% Memory free 6,00 Gb Paging File | 5,00 Gb Available in Paging File | 85,00% Paging File free Paging file location(s): C:\pagefile.sys 3096 3096 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 127,99 Gb Total Space | 17,96 Gb Free Space | 14,03% Space Free | Partition Type: NTFS Drive D: | 9,31 Gb Total Space | 8,96 Gb Free Space | 96,26% Space Free | Partition Type: FAT32 Drive E: | 21,06 Gb Total Space | 18,96 Gb Free Space | 90,05% Space Free | Partition Type: NTFS F: Drive not present or media not loaded G: Drive not present or media not loaded H: Drive not present or media not loaded I: Drive not present or media not loaded Computer Name: MEINER Current User Name: T****** Logged in as Administrator. Current Boot Mode: Normal Scan Mode: Current user Company Name Whitelist: Off Skip Microsoft Files: Off File Age = 30 Days Output = Minimal ========== Processes (SafeList) ========== PRC - C:\Dokumente und Einstellungen\T******\Eigene Dateien\Downloads\OTL.exe (OldTimer Tools) PRC - C:\Programme\Mozilla Firefox\plugin-container.exe (Mozilla Corporation) PRC - C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation) PRC - C:\Programme\F-Secure\Anti-Virus\fssm32.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\Anti-Virus\fsgk32.exe (F-Secure Corporation) PRC - C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.) PRC - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe (Nero AG) PRC - C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe (Microsoft Corporation) PRC - C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe (Microsoft Corporation) PRC - C:\Programme\F-Secure\FSAUA\program\fsus.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\ORSP Client\fsorsp.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\FSPC\fspc.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\Common\FSMB32.EXE (F-Secure Corporation) PRC - C:\Programme\F-Secure\Common\FSMA32.EXE (F-Secure Corporation) PRC - C:\Programme\F-Secure\Common\FSM32.EXE (F-Secure Corporation) PRC - C:\Programme\F-Secure\Common\FAMEH32.EXE (F-Secure Corporation) PRC - C:\Programme\F-Secure\Common\FCH32.EXE (F-Secure Corporation) PRC - C:\Programme\F-Secure\FSGUI\fsguidll.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\FSGUI\fsavgui.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\FWES\program\fsdfwd.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\Anti-Virus\fsgk32st.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\Anti-Virus\fsqh.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\Anti-Virus\fsav32.exe (F-Secure Corporation) PRC - C:\Programme\F-Secure\FSAUA\program\fsaua.exe (F-Secure Corporation) PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation) PRC - C:\WINDOWS\Samsung\ComSMMgr\SSMMgr.exe (Samsung Electronics.) ========== Modules (SafeList) ========== MOD - C:\Dokumente und Einstellungen\T******\Eigene Dateien\Downloads\OTL.exe (OldTimer Tools) MOD - C:\WINDOWS\system32\logainst.dll () MOD - C:\Programme\F-Secure\Spam Control\fsscoepl.dll (F-Secure Corporation) MOD - C:\WINDOWS\system32\msscript.ocx (Microsoft Corporation) ========== Win32 Services (SafeList) ========== SRV - (AppMgmt) -- C:\WINDOWS\System32\appmgmts.dll File not found SRV - (FileZilla Server) -- C:\Programme\FileZilla Server\FileZilla Server.exe (FileZilla Project) SRV - (Nero BackItUp Scheduler 4.0) -- C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe (Nero AG) SRV - (MSSQL$JTLWAWI) SQL Server (JTLWAWI) -- C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe (Microsoft Corporation) SRV - (SQLWriter) -- C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe (Microsoft Corporation) SRV - (SQLBrowser) -- C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe (Microsoft Corporation) SRV - (MSSQLServerADHelper) -- C:\Programme\Microsoft SQL Server\90\Shared\sqladhlp90.exe (Microsoft Corporation) SRV - (FSORSPClient) -- C:\Programme\F-Secure\ORSP Client\fsorsp.exe (F-Secure Corporation) SRV - (FSMA) -- C:\Programme\F-Secure\Common\FSMA32.EXE (F-Secure Corporation) SRV - (FSDFWD) -- C:\Programme\F-Secure\FWES\Program\fsdfwd.exe (F-Secure Corporation) SRV - (F-Secure Gatekeeper Handler Starter) -- C:\Programme\F-Secure\Anti-Virus\fsgk32st.exe (F-Secure Corporation) SRV - (FSAUA) -- C:\Programme\F-Secure\FSAUA\program\fsaua.exe (F-Secure Corporation) SRV - (IDriverT) -- C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe (Macrovision Corporation) ========== Driver Services (SafeList) ========== DRV - (ialm) -- C:\WINDOWS\System32\DRIVERS\igxpmp32.sys File not found DRV - (fsbts) -- C:\WINDOWS\system32\Drivers\fsbts.sys () DRV - (F-Secure Gatekeeper) -- C:\Programme\F-Secure\Anti-Virus\minifilter\fsgk.sys () DRV - (gdrv) -- C:\WINDOWS\gdrv.sys (Windows (R) 2000 DDK provider) DRV - (ati2mtag) -- C:\WINDOWS\system32\drivers\ati2mtag.sys (ATI Technologies Inc.) DRV - (FTDIBUS) -- C:\WINDOWS\system32\drivers\ftdibus.sys (FTDI Ltd.) DRV - (FTSER2K) -- C:\WINDOWS\system32\drivers\ftser2k.sys (FTDI Ltd.) DRV - (IntcAzAudAddService) Service for Realtek HD Audio (WDM) -- C:\WINDOWS\system32\drivers\RtkHDAud.sys (Realtek Semiconductor Corp.) DRV - (AtiHdmiService) -- C:\WINDOWS\system32\drivers\AtiHdmi.sys (ATI Research Inc.) DRV - (acedrv11) -- C:\WINDOWS\system32\drivers\acedrv11.sys (Protect Software GmbH) DRV - (F-Secure HIPS) -- C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure Corporation) DRV - (FSFW) -- C:\WINDOWS\System32\drivers\fsdfw.sys (F-Secure Corporation) DRV - (F-Secure Filter) -- C:\Programme\F-Secure\Anti-Virus\win2k\fsfilter.sys () DRV - (F-Secure Recognizer) -- C:\Programme\F-Secure\Anti-Virus\win2k\fsrec.sys () DRV - (Ambfilt) -- C:\WINDOWS\system32\drivers\Ambfilt.sys (Creative) DRV - (61883) -- C:\WINDOWS\system32\drivers\61883.sys (Microsoft Corporation) DRV - (Avc) -- C:\WINDOWS\system32\drivers\avc.sys (Microsoft Corporation) DRV - (MSDV) -- C:\WINDOWS\system32\drivers\msdv.sys (Microsoft Corporation) DRV - (HDAudBus) -- C:\WINDOWS\system32\drivers\hdaudbus.sys (Windows (R) Server 2003 DDK provider) DRV - (yukonwxp) -- C:\WINDOWS\system32\drivers\yk51x86.sys (Marvell) DRV - (speedfan) -- C:\WINDOWS\system32\speedfan.sys (Windows (R) 2000 DDK provider) DRV - (Monfilt) -- C:\WINDOWS\system32\drivers\Monfilt.sys (Creative Technology Ltd.) DRV - (Ser2pl) -- C:\WINDOWS\system32\drivers\ser2pl.sys (Prolific Technology Inc.) DRV - (DgiVecp) -- C:\WINDOWS\system32\drivers\DGIVECP.SYS (DeviceGuys, Inc.) DRV - (giveio) -- C:\WINDOWS\system32\giveio.sys () ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 FF - HKLM\software\mozilla\Mozilla Firefox 3.6.8\extensions\\Components: C:\Programme\Mozilla Firefox\components [2010.09.07 22:21:34 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Mozilla Firefox 3.6.8\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2010.08.31 00:33:15 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Mozilla Thunderbird 3.1.2\extensions\\Components: C:\Programme\Mozilla Thunderbird\components [2010.08.21 16:23:20 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Mozilla Thunderbird 3.1.2\extensions\\Plugins: C:\Programme\Mozilla Thunderbird\plugins [2010.08.31 00:33:15 | 000,000,000 | ---D | M] [2010.08.21 16:23:30 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Extensions [2010.08.21 16:23:30 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Extensions\{3550f703-e582-4d05-9a08-453d09bdfdc6} [2010.09.07 01:18:24 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions [2010.08.02 23:20:13 | 000,000,000 | ---D | M] (FireFTP) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{a7c6cf7f-112c-4500-a7ea-39801a327e5f} [2010.08.19 16:38:05 | 000,000,000 | ---D | M] (Adblock Plus) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} [2010.08.28 23:56:29 | 000,000,000 | ---D | M] (Download Statusbar) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{D4DD63FA-01E4-46a7-B6B1-EDAB7D6AD389} [2010.03.12 12:37:00 | 000,000,000 | ---D | M] (Mouse Gestures Redox) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{FFA36170-80B1-4535-B0E3-A4569E497DD0} [2010.07.05 08:15:21 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\toolbar@ask.com [2010.09.07 01:18:24 | 000,000,000 | ---D | M] -- C:\Programme\Mozilla Firefox\extensions [2010.03.26 02:16:32 | 000,000,000 | ---D | M] (Skype extension for Firefox) -- C:\Programme\Mozilla Firefox\extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1} [2008.09.15 11:52:06 | 000,376,832 | ---- | M] ( ) -- C:\Programme\Mozilla Firefox\plugins\npsnapfish.dll [2010.08.02 19:33:23 | 000,001,392 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml [2010.08.02 19:33:23 | 000,002,344 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml [2010.08.02 19:33:23 | 000,006,805 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\leo_ende_de.xml [2010.08.02 19:33:23 | 000,001,178 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml [2010.08.02 19:33:23 | 000,001,105 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml O1 HOSTS File: ([2001.08.18 12:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated) O2 - BHO: (Nero Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask.com) O3 - HKLM\..\Toolbar: (Nero Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask.com) O3 - HKCU\..\Toolbar\WebBrowser: (Nero Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask.com) O4 - HKLM..\Run: [] C:\Programme\WiFi Engine\WIFI_Engine.exe 1.exe File not found O4 - HKLM..\Run: [Adobe ARM] C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe (Adobe Systems Incorporated) O4 - HKLM..\Run: [FileZilla Server Interface] C:\Programme\FileZilla Server\FileZilla Server Interface.exe (FileZilla Project) O4 - HKLM..\Run: [F-Secure Manager] C:\Programme\F-Secure\Common\FSM32.EXE (F-Secure Corporation) O4 - HKLM..\Run: [F-Secure TNB] C:\Programme\F-Secure\FSGUI\TNBUtil.exe (F-Secure Corporation) O4 - HKLM..\Run: [LexwareInfoService] C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe (Lexware GmbH & Co. KG) O4 - HKLM..\Run: [Samsung Common SM] C:\WINDOWS\Samsung\ComSMMgr\ssmmgr.exe (Samsung Electronics.) O4 - HKLM..\Run: [StartCCC] C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe (Advanced Micro Devices, Inc.) O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.) O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoCDBurning = 0 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 O9 - Extra Button: Erwachsene... - {200DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programme\F-Secure\FSPC\fspcmsie.dll (F-Secure Corporation) O9 - Extra 'Tools' menuitem : Erwachsene... - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Programme\F-Secure\FSPC\fspcmsie.dll (F-Secure Corporation) O10 - Protocol_Catalog9\Catalog_Entries\000000000001 - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL (F-Secure Corporation) O10 - Protocol_Catalog9\Catalog_Entries\000000000002 - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL (F-Secure Corporation) O10 - Protocol_Catalog9\Catalog_Entries\000000000003 - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL (F-Secure Corporation) O10 - Protocol_Catalog9\Catalog_Entries\000000000019 - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL (F-Secure Corporation) O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} hxxp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1233963213977 (WUWebControl Class) O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Java Plug-in 1.6.0_07) O16 - DPF: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object) O18 - Protocol\Handler\haufereader - No CLSID value found O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Programme\Gemeinsame Dateien\Skype\Skype4COM.dll (Skype Technologies) O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation) O20 - Winlogon\Notify\AtiExtEvent: DllName - Ati2evxx.dll - C:\WINDOWS\System32\ati2evxx.dll (ATI Technologies Inc.) O20 - Winlogon\Notify\igfxcui: DllName - igfxdev.dll - File not found O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2009.02.07 01:31:09 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ] O33 - MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\Shell - "" = Autorun O33 - MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\Shell\AutoRun\command - "" = G:\Install_Nokia_Ovi_Suite.exe -- File not found O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell - "" = AutoRun O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell\AutoRun\command - "" = I:\LaunchU3.exe -- File not found O33 - MountPoints2\{fd859203-0039-11de-8579-00148572b077}\Shell\AutoRun\command - "" = G:\.\_autorun\autorun_win.exe -- File not found O34 - HKLM BootExecute: (autocheck autochk *) - File not found O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O36 - AppCertDlls: fingrate - (C:\WINDOWS\system32\logainst.dll) - C:\WINDOWS\system32\logainst.dll () O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* ========== Files/Folders - Created Within 30 Days ========== [2010.09.07 02:11:00 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Malwarebytes [2010.09.07 02:10:47 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys [2010.09.07 02:10:45 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes [2010.09.07 02:10:43 | 000,020,952 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys [2010.09.07 02:10:42 | 000,000,000 | ---D | C] -- C:\Programme\MalwarebytesAnti-Malware [2010.09.02 23:36:55 | 000,000,000 | ---D | C] -- C:\Programme\DIFX [2009.02.24 02:12:52 | 000,047,360 | ---- | C] (VSO Software) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\pcouffin.sys [5 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2010.09.07 22:06:54 | 000,000,548 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled scanning task.job [2010.09.07 22:01:02 | 000,000,230 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled Update for Ask Toolbar.job [2010.09.07 21:55:33 | 004,980,736 | -H-- | M] () -- C:\Dokumente und Einstellungen\T******\NTUSER.DAT [2010.09.07 21:48:41 | 000,002,422 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2010.09.07 21:48:17 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT [2010.09.07 21:48:12 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2010.09.07 08:12:58 | 000,000,190 | -HS- | M] () -- C:\Dokumente und Einstellungen\T******\ntuser.ini [2010.09.07 02:10:51 | 000,000,666 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk [2010.09.02 00:02:39 | 000,046,592 | -H-- | M] () -- C:\WINDOWS\System32\logainst.dll [2010.09.01 08:00:04 | 000,041,624 | ---- | M] () -- C:\WINDOWS\System32\drivers\fsbts.sys [2010.08.31 00:33:16 | 000,001,709 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Adobe Reader 9.lnk [2010.08.20 01:45:58 | 000,016,504 | ---- | M] () -- C:\error.fstmp [2010.08.20 00:04:44 | 000,000,467 | ---- | M] () -- C:\infect.fstmp [2010.08.19 22:29:18 | 000,130,888 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2010.08.19 17:23:26 | 000,001,374 | ---- | M] () -- C:\WINDOWS\imsins.BAK [2010.08.19 17:22:17 | 001,163,900 | ---- | M] () -- C:\WINDOWS\System32\PerfStringBackup.INI [2010.08.19 17:22:17 | 000,512,130 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat [2010.08.19 17:22:17 | 000,485,754 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat [2010.08.19 17:22:17 | 000,106,360 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat [2010.08.19 17:22:17 | 000,087,758 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat [5 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files Created - No Company Name ========== [2010.09.07 02:10:51 | 000,000,666 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk [2010.09.02 00:02:39 | 000,046,592 | -H-- | C] () -- C:\WINDOWS\System32\logainst.dll [2010.08.20 00:00:27 | 000,016,504 | ---- | C] () -- C:\error.fstmp [2010.08.20 00:00:27 | 000,000,467 | ---- | C] () -- C:\infect.fstmp [2010.02.11 10:26:46 | 000,000,288 | ---- | C] () -- C:\WINDOWS\ODBC.INI [2009.12.17 21:38:26 | 000,000,041 | ---- | C] () -- C:\WINDOWS\COMDH.INI [2009.12.09 21:32:45 | 000,000,376 | ---- | C] () -- C:\WINDOWS\EasyCT.INI [2009.11.25 01:57:05 | 000,000,099 | ---- | C] () -- C:\WINDOWS\RealFlight.INI [2009.11.24 22:42:34 | 000,354,816 | ---- | C] () -- C:\WINDOWS\System32\psisdecd.dll [2009.11.10 02:04:01 | 000,041,624 | ---- | C] () -- C:\WINDOWS\System32\drivers\fsbts.sys [2009.11.08 18:27:59 | 000,003,006 | ---- | C] () -- C:\WINDOWS\Wickie.ini [2009.08.30 22:02:25 | 000,000,010 | ---- | C] () -- C:\WINDOWS\WININIT.INI [2009.04.05 15:31:26 | 000,001,315 | ---- | C] () -- C:\WINDOWS\cdplayer.ini [2009.03.06 18:33:26 | 000,143,360 | ---- | C] () -- C:\WINDOWS\System32\epdf0407.dll [2009.03.06 18:31:38 | 000,135,168 | ---- | C] () -- C:\WINDOWS\System32\epdf0406.dll [2009.02.24 02:13:15 | 000,000,668 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\vso_ts_preview.xml [2009.02.24 02:13:02 | 000,000,034 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\pcouffin.log [2009.02.24 02:12:53 | 000,087,608 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\inst.exe [2009.02.24 02:12:53 | 000,007,887 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\pcouffin.cat [2009.02.24 02:12:52 | 000,001,144 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\pcouffin.inf [2009.02.09 03:19:02 | 000,023,552 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [2009.02.07 18:17:06 | 000,024,944 | ---- | C] () -- C:\WINDOWS\System32\drivers\GVTDrv.sys [2008.07.23 17:41:16 | 000,344,064 | ---- | C] () -- C:\WINDOWS\System32\BH_DATA110VC8.dll [2007.11.15 22:27:40 | 000,303,104 | ---- | C] () -- C:\WINDOWS\System32\dnt27VC8.dll [2007.11.15 22:25:28 | 000,090,112 | ---- | C] () -- C:\WINDOWS\System32\dntvmc27VC8.dll [2007.11.15 22:25:12 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\dntvm27VC8.dll [2007.11.13 10:39:30 | 000,057,344 | ---- | C] () -- C:\WINDOWS\System32\FKStampPainter20.dll [2007.11.09 16:18:10 | 000,208,896 | ---- | C] () -- C:\WINDOWS\System32\LXPrnUtil10.dll [2005.11.09 13:13:48 | 000,282,624 | ---- | C] () -- C:\WINDOWS\System32\dnt27VC7.dll [2005.11.09 13:11:46 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\dntvmc27VC7.dll [2005.11.09 13:11:30 | 000,077,824 | ---- | C] () -- C:\WINDOWS\System32\dntvm27VC7.dll [2002.03.21 15:39:02 | 000,073,728 | ---- | C] () -- C:\WINDOWS\System32\UNACEV2.DLL [1996.04.03 21:33:26 | 000,005,248 | ---- | C] () -- C:\WINDOWS\System32\giveio.sys ========== LOP Check ========== [2009.09.01 19:08:09 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ACD Systems [2010.01.04 01:54:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BTrieve [2009.12.11 12:09:43 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\EasyCash&Tax [2009.11.10 01:45:45 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\F-Secure [2009.11.10 01:46:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\fssg [2009.12.21 09:07:13 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Haufe [2009.12.11 00:50:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\jtl-software [2010.03.16 22:43:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware [2009.11.25 00:43:45 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\VRCGameUpdater [2009.04.30 14:15:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\vsosdk [2010.09.07 22:06:54 | 000,000,548 | ---- | M] () -- C:\WINDOWS\Tasks\Scheduled scanning task.job [2010.09.07 22:01:02 | 000,000,230 | ---- | M] () -- C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job ========== Purity Check ========== < End of report > --- --- --- ------------------- Malwarebytes habe ich 2 mal laufen lassen, einmal mit normalen Scan da hat er etwas gefunden und dann als Vollständigen Scan und da hat er dann nichts mehr gefunden. Hier die Logs --------- Quick Scan --------- Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4557 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 07.09.2010 02:21:29 mbam-log-2010-09-07 (02-21-29).txt Art des Suchlaufs: Quick-Scan Durchsuchte Objekte: 157854 Laufzeit: 8 Minute(n), 40 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 1 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\RECYCLER\S-1-5-21-1844237615-2147130017-725345543-1004\Dc22.exe (Trojan.Agent) -> Quarantined and deleted successfully. ----------------- 2ter Vollständiger Scan ----------------- Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4557 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 07.09.2010 03:56:25 mbam-log-2010-09-07 (03-56-25).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|) Durchsuchte Objekte: 273953 Laufzeit: 1 Stunde(n), 26 Minute(n), 22 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) ----------------- Ich hoffe das ihr mir helfen könnt mehr Details zu erfahren. EDIT: Und gerade kam wieder die F-Secure Meldung das Echtzeit-Scanning etwas blokiert hat. Der Trojaner war dieser : Backdoor.Win32.Papras.pb Ist das der selbe wie mein TAN Trojaner, tarnt er sich so, oder habe ich ein multiple infiziertes System :shock: EDIT2: Und der: Trojan.win32.monder.gen Oder liegt das am Malware Scan den ich im moment durchlaufen lasse ? Denkt da F-Secure das ein Problem besteht ? Danke und Gruß Toddie Geändert von toddie (07.09.2010 um 22:37 Uhr) |
|
08.09.2010, 21:07
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | Auch ich habe so einen TAN Schädling Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)
__________________Code:
ATTFilter :OTL
MOD - C:\WINDOWS\system32\logainst.dll ()
O33 - MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\Shell - "" = Autorun
O33 - MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\Shell\AutoRun\command - "" = G:\Install_Nokia_Ovi_Suite.exe -- File not found
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell - "" = AutoRun
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell\AutoRun\command - "" = I:\LaunchU3.exe -- File not found
O33 - MountPoints2\{fd859203-0039-11de-8579-00148572b077}\Shell\AutoRun\command - "" = G:\.\_autorun\autorun_win.exe -- File not found
O36 - AppCertDlls: fingrate - (C:\WINDOWS\system32\logainst.dll) - C:\WINDOWS\system32\logainst.dll ()
[2010.08.20 01:45:58 | 000,016,504 | ---- | M] () -- C:\error.fstmp
[2010.08.20 00:04:44 | 000,000,467 | ---- | M] () -- C:\infect.fstmp
:Commands
[purity]
[resethosts]
[emptytemp]
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.
__________________ |
|
08.09.2010, 21:32
| #3 |
| | Auch ich habe so einen TAN Schädling Hallo Arne,
__________________super das ihr euch meines Problems annimmt. Diese TAN Trojaner poppen ja im Moment zu hauf hier im Forum auf. Hab das mal alles gemacht und hier ist das neue OTL Log ---------------- All processes killed ========== OTL ========== Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7fc3d78a-b609-11df-b9d9-00148572b077}\ not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7fc3d78a-b609-11df-b9d9-00148572b077}\ not found. File G:\Install_Nokia_Ovi_Suite.exe not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd859202-0039-11de-8579-00148572b077}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fd859202-0039-11de-8579-00148572b077}\ not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd859202-0039-11de-8579-00148572b077}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fd859202-0039-11de-8579-00148572b077}\ not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd859202-0039-11de-8579-00148572b077}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fd859202-0039-11de-8579-00148572b077}\ not found. File I:\LaunchU3.exe not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd859203-0039-11de-8579-00148572b077}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fd859203-0039-11de-8579-00148572b077}\ not found. File G:\.\_autorun\autorun_win.exe not found. Registry value HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls\\fingrate:C:\WINDOWS\system32\logainst.dll deleted successfully. C:\WINDOWS\system32\logainst.dll moved successfully. C:\error.fstmp moved successfully. C:\infect.fstmp moved successfully. ========== COMMANDS ========== C:\WINDOWS\System32\drivers\etc\Hosts moved successfully. HOSTS file reset successfully [EMPTYTEMP] User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: eMule_Secure ->Temp folder emptied: 617185 bytes ->Temporary Internet Files folder emptied: 52405 bytes User: Liane ->Temp folder emptied: 2663981 bytes ->Temporary Internet Files folder emptied: 33170 bytes ->Java cache emptied: 1189022 bytes ->FireFox cache emptied: 49262205 bytes ->Flash cache emptied: 18417 bytes User: LocalService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: NetworkService ->Temp folder emptied: 98304 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Tom ->Temp folder emptied: 1381799 bytes ->Temporary Internet Files folder emptied: 47091 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 50563555 bytes ->Flash cache emptied: 602 bytes User: Torsten ->Temp folder emptied: 3914348040 bytes ->Temporary Internet Files folder emptied: 33170 bytes ->Java cache emptied: 39286836 bytes ->FireFox cache emptied: 16130320 bytes ->Flash cache emptied: 47244 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 1138908 bytes %systemroot%\System32 .tmp files removed: 2951 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 5616598122 bytes RecycleBin emptied: 711065961 bytes Total Files Cleaned = 9.923,00 mb OTL by OldTimer - Version 3.2.11.0 log created on 09082010_221619 Files\Folders moved on Reboot... File\Folder C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temp\Perflib_Perfdata_710.dat not found! Registry entries deleted on Reboot... --------------- Bevor ihr fragt, nein emule läuft nicht mehr, diese Sturm, Drang und sammelzeit ist vorbei. Meint ihr das System ist schon sauber ? Ich traue mich nicht es mal bei der Sparkasse mit dem Testaccount zu versuchen. Ich habe hier auch schon einige Kollegen gesehen die den MBR verseucht hatten, kommt das auch bei mir in Frage ? Gruß Torsten |
|
08.09.2010, 22:02
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Auch ich habe so einen TAN Schädling Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
08.09.2010, 22:47
| #5 |
| | Auch ich habe so einen TAN Schädling Hi, CCleaner habe ich schon gemacht bevor du gepostet hast...ich habe in anderen Threads gestöbert. ComboFix habe ich mich erstmal nicht getraut, da ich dieses Tool gar nicht kenne und nicht weiß was es alles machen könnte. Naja nun habe ich es gemacht und hier ist das Log: ---------------------- Combofix Logfile: Code:
ATTFilter ComboFix 10-09-08.01 - Torsten 08.09.2010 23:37:00.1.2 - x86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.49.1031.18.3071.2271 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Torsten\Desktop\cofi.exe
AV: F-Secure Internet Security 2009 9.00 *On-access scanning disabled* (Updated) {E7512ED5-4245-4B4D-AF3A-382D3F313F15}
FW: F-Secure Internet Security 2009 9.00 *disabled* {D4747503-0346-49EB-9262-997542F79BF4}
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
c:\dokumente und einstellungen\Torsten\Anwendungsdaten\inst.exe
.
((((((((((((((((((((((( Dateien erstellt von 2010-08-08 bis 2010-09-08 ))))))))))))))))))))))))))))))
.
2010-09-08 20:19 . 2010-09-08 20:19 -------- d-----w- c:\windows\system32\Lang
2010-09-08 20:16 . 2010-09-08 20:16 -------- d-----w- C:\_OTL
2010-09-07 00:11 . 2010-09-07 00:11 -------- d-----w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Malwarebytes
2010-09-07 00:10 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-07 00:10 . 2010-09-07 00:10 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-09-07 00:10 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-09-07 00:10 . 2010-09-07 00:21 -------- d-----w- c:\programme\MalwarebytesAnti-Malware
2010-09-02 21:36 . 2010-09-02 21:36 -------- d-----w- c:\programme\DIFX
2010-09-01 06:57 . 2010-09-01 06:57 348160 ----a-w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-6bdfa75b-n\msvcr71.dll
2010-09-01 06:57 . 2010-09-01 06:57 503808 ----a-w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-6bdfa75b-n\msvcp71.dll
2010-09-01 06:57 . 2010-09-01 06:57 499712 ----a-w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-6bdfa75b-n\jmc.dll
2010-09-01 06:57 . 2010-09-01 06:57 61440 ----a-w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-13d32af3-n\decora-sse.dll
2010-09-01 06:57 . 2010-09-01 06:57 12800 ----a-w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-13d32af3-n\decora-d3d.dll
2010-08-21 14:30 . 2010-06-20 02:21 214016 ----a-w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Thunderbird\Profiles\arlt\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\components\calbscmp.dll
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-08 21:40 . 2009-02-22 22:31 -------- d-----w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Skype
2010-09-08 20:56 . 2009-11-27 07:52 -------- d-----w- c:\programme\CCleaner
2010-09-08 20:48 . 2009-02-07 14:42 -------- d-----w- c:\programme\Mozilla Thunderbird
2010-09-08 20:20 . 2009-02-09 16:01 -------- d-----w- c:\programme\F-Secure
2010-09-08 19:29 . 2009-02-22 22:32 -------- d-----w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\skypePM
2010-09-08 19:26 . 2010-03-11 00:22 -------- d-----w- c:\programme\Microsoft Silverlight
2010-09-07 20:12 . 2010-05-26 22:33 -------- d-----w- c:\programme\1&1
2010-09-07 20:11 . 2010-02-11 08:17 -------- d-----w- c:\programme\CubeInterpreter
2010-09-07 20:02 . 2009-02-09 16:14 -------- d-----w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\F-Secure
2010-09-06 09:23 . 2009-02-22 22:36 -------- d-----w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\Skype
2010-09-06 07:12 . 2009-02-22 22:40 -------- d-----w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\skypePM
2010-09-02 20:15 . 2009-02-07 15:48 1 ----a-w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-09-01 06:58 . 2009-11-29 21:37 1 ----a-w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-09-01 06:00 . 2009-11-10 00:04 41624 ----a-w- c:\windows\system32\drivers\fsbts.sys
2010-08-31 06:40 . 2010-06-06 19:11 -------- d-----w- c:\programme\JTL-Software
2010-08-21 14:23 . 2009-02-07 14:43 -------- d-----w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Thunderbird
2010-08-19 15:22 . 2001-08-18 10:00 512130 ----a-w- c:\windows\system32\perfh007.dat
2010-08-19 15:22 . 2001-08-18 10:00 106360 ----a-w- c:\windows\system32\perfc007.dat
2010-08-03 18:44 . 2010-08-03 18:44 348160 ----a-w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-26becca6-n\msvcr71.dll
2010-08-03 18:44 . 2010-08-03 18:44 503808 ----a-w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-26becca6-n\msvcp71.dll
2010-08-03 18:44 . 2010-08-03 18:44 499712 ----a-w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-26becca6-n\jmc.dll
2010-08-03 18:44 . 2010-08-03 18:44 61440 ----a-w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-6ba3575b-n\decora-sse.dll
2010-08-03 18:44 . 2010-08-03 18:44 12800 ----a-w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-6ba3575b-n\decora-d3d.dll
2010-08-03 18:44 . 2009-02-24 00:34 1324 ----a-w- c:\windows\system32\d3d9caps.dat
2010-08-03 08:26 . 2010-08-03 08:25 -------- d-----w- c:\programme\FileZilla Server
2010-07-25 16:54 . 2010-07-25 16:54 -------- d-----w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Unity
2010-07-17 20:45 . 2010-07-17 20:45 -------- d-----w- c:\dokumente und einstellungen\Liane\Anwendungsdaten\eDocPrintPro
2010-07-12 11:49 . 2010-07-12 11:49 67400 ----a-w- c:\windows\system32\ftcserco.dll
2010-06-30 12:28 . 2001-08-18 10:00 149504 ----a-w- c:\windows\system32\schannel.dll
2010-06-24 12:22 . 2001-08-18 10:00 916480 ----a-w- c:\windows\system32\wininet.dll
2010-06-24 09:02 . 2001-08-18 10:00 1852032 ----a-w- c:\windows\system32\win32k.sys
2010-06-23 22:02 . 2010-06-23 22:02 2728840 ----a-w- c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\toolbar@ask.com\chrome\temp\askToolbar.exe
2010-06-21 15:27 . 2001-08-18 10:00 354304 ----a-w- c:\windows\system32\drivers\srv.sys
2010-06-17 14:03 . 2001-08-18 10:00 80384 ----a-w- c:\windows\system32\iccvid.dll
2010-06-14 14:31 . 2009-02-06 23:29 744448 ----a-w- c:\windows\PCHEALTH\HELPCTR\Binaries\helpsvc.exe
2010-06-14 07:41 . 2001-08-18 10:00 1172480 ----a-w- c:\windows\system32\msxml3.dll
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}]
2010-06-10 15:28 1233288 ----a-w- c:\programme\Ask.com\GenericAskToolbar.dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"= "c:\programme\Ask.com\GenericAskToolbar.dll" [2010-06-10 1233288]
[HKEY_CLASSES_ROOT\clsid\{d4027c7f-154a-4066-a1ad-4243d8127440}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd.1]
[HKEY_CLASSES_ROOT\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"= "c:\programme\Ask.com\GenericAskToolbar.dll" [2010-06-10 1233288]
[HKEY_CLASSES_ROOT\clsid\{d4027c7f-154a-4066-a1ad-4243d8127440}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd.1]
[HKEY_CLASSES_ROOT\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Skype"="c:\programme\Skype\\Phone\Skype.exe" [2010-05-13 26192168]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"F-Secure Manager"="c:\programme\F-Secure\Common\FSM32.EXE" [2008-10-14 182936]
"F-Secure TNB"="c:\programme\F-Secure\FSGUI\TNBUtil.exe" [2008-10-14 957024]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2009-01-05 413696]
"Samsung Common SM"="c:\windows\Samsung\ComSMMgr\ssmmgr.exe" [2005-07-03 372736]
"RTHDCPL"="RTHDCPL.EXE" [2009-10-16 18782720]
"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2009-11-24 98304]
"LexwareInfoService"="c:\programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe" [2008-09-11 339240]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-06-20 35760]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-01-11 246504]
"FileZilla Server Interface"="c:\programme\FileZilla Server\FileZilla Server Interface.exe" [2010-07-18 1258496]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]
"DWQueuedReporting"="c:\progra~1\GEMEIN~1\MICROS~1\DW\dwtrig20.exe" [2007-03-13 39264]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
R0 fsbts;fsbts;c:\windows\system32\drivers\fsbts.sys [10.11.2009 02:04 41624]
R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [09.02.2009 18:02 79904]
R1 F-Secure HIPS;F-Secure HIPS;c:\programme\F-Secure\HIPS\drivers\fshs.sys [10.11.2009 01:48 66720]
R2 acedrv11;acedrv11;c:\windows\system32\drivers\acedrv11.sys [19.01.2009 20:31 277544]
R2 MSSQL$JTLWAWI;SQL Server (JTLWAWI);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [27.05.2009 04:27 29262680]
R3 F-Secure Gatekeeper;F-Secure Gatekeeper;c:\programme\F-Secure\Anti-Virus\minifilter\fsgk.sys [09.02.2009 18:01 113864]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [07.02.2009 02:35 1684736]
S3 FSORSPClient;F-Secure ORSP Client;c:\programme\F-Secure\ORSP Client\fsorsp.exe [10.11.2009 01:48 55904]
S4 F-Secure Filter;F-Secure File System Filter;c:\programme\F-Secure\Anti-Virus\win2k\fsfilter.sys [09.02.2009 18:01 39776]
S4 F-Secure Recognizer;F-Secure File System Recognizer;c:\programme\F-Secure\Anti-Virus\win2k\fsrec.sys [09.02.2009 18:01 25184]
.
Inhalt des "geplante Tasks" Ordners
2010-09-08 c:\windows\Tasks\Scheduled scanning task.job
- c:\progra~1\F-Secure\ANTI-V~1\fsav.exe [2009-02-09 13:00]
2010-09-08 c:\windows\Tasks\Scheduled Update for Ask Toolbar.job
- c:\programme\Ask.com\UpdateTask.exe [2010-06-10 15:28]
.
.
------- Zusätzlicher Suchlauf -------
.
LSP: c:\programme\F-Secure\FSPS\program\FSLSP.DLL
FF - ProfilePath - c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\
FF - prefs.js: browser.startup.homepage - hxxp://adac.24h-rennen.de/|https://signin.ebay.de/ws/eBayISAPI.dll?SignIn&UsingSSL=1&pUserId=&co_partnerId=2&siteid=77&ru=http%3A%2F%2Fmy.ebay.de%2Fws%2FeBayISAPI.dll%3FMyEbayBeta%26migrateVisitor%3D3%26CurrentPage%3DMyeBaySummary%26guest%3D1%26guest%3D1&pageType=3984|hxxp://www.naviboard.de/vb/|hxxp://www.rcweb.de/forum/search.php?search_id=newposts&sid=c00d4a7e0f56e356d304f52a67a0812a|hxxp://www.invertoforum.de/index.php|hxxp://www.virtualrc.com/messages/messages.aspx|hxxp://www.rc-heli.de/index.php|hxxp://www.rc-heli-fan.org/|hxxp://walkera-raptor-forum.de/search.php?action=results&sid=84ba1ddbcba89abc95aae5b3d485524d|hxxp://helistammtisch.de/
FF - component: c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{a7c6cf7f-112c-4500-a7ea-39801a327e5f}\platform\WINNT_x86-msvc\components\ipc_fireftp.dll
FF - component: c:\programme\Mozilla Firefox\extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1}\components\SkypeFfComponent.dll
FF - plugin: c:\dokumente und einstellungen\Torsten\Lokale Einstellungen\Anwendungsdaten\Unity\WebPlayer\loader\npUnity3D32.dll
FF - plugin: c:\programme\DivX\DivX Plus Web Player\npdivx32.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
**************************************************************************
Scanne versteckte Prozesse...
Scanne versteckte Autostarteinträge...
Scanne versteckte Dateien...
Scan erfolgreich abgeschlossen
versteckte Dateien:
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
- - - - - - - > 'winlogon.exe'(716)
c:\windows\system32\Ati2evxx.dll
c:\programme\F-Secure\FWES\Program\fsdc32.dll
- - - - - - - > 'lsass.exe'(772)
c:\programme\F-Secure\FSPS\program\FSLSP.DLL
c:\programme\F-Secure\FWES\Program\fsdc32.dll
- - - - - - - > 'csrss.exe'(684)
c:\programme\F-Secure\FWES\Program\fsdc32.dll
.
Zeit der Fertigstellung: 2010-09-08 23:41:54
ComboFix-quarantined-files.txt 2010-09-08 21:41
Vor Suchlauf: 17 Verzeichnis(se), 28.963.598.336 Bytes frei
Nach Suchlauf: 18 Verzeichnis(se), 28.986.920.960 Bytes frei
WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /NoExecute=OptIn
- - End Of File - - 81B0DBFA1216994A22BE92B0C695BF5E
--------------------- Gruß Torsten |
|
10.09.2010, 12:54
| #6 |
| | Auch ich habe so einen TAN Schädling Hallo zusammen, ich habe mal weitergemacht mit den Scans, hier ist OSAM, GMER and bootkit_remover.exe. Der bootkit remover zeigt komische Werte, daher habe ich mal den MBR gedumpt. Ich benutze übrigens noch Win XP GMER logfile ------------------------- GMER Logfile: Code:
ATTFilter GMER 1.0.15.15281 - hxxp://www.gmer.net
Rootkit scan 2010-09-10 13:12:24
Windows 5.1.2600 Service Pack 3
Running: gmer.exe; Driver: C:\DOKUME~1\Torsten\LOKALE~1\Temp\uftdypog.sys
---- System - GMER 1.0.15 ----
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwCreateProcess [0xB8A97C26]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwCreateProcessEx [0xB8A97C40]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwCreateThread [0xB8A96DE4]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwLoadDriver [0xB8A9710C]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwMapViewOfSection [0xB8A96B30]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwOpenSection [0xB8A9753E]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwRenameKey [0xB8A987DC]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwSetSystemInformation [0xB8A9738E]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwSuspendProcess [0xB8A969B6]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwSuspendThread [0xB8A96E18]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwSystemDebugControl [0xB8A96F92]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwTerminateProcess [0xB8A96916]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwTerminateThread [0xB8A96A6C]
SSDT \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation) ZwWriteVirtualMemory [0xB8A96EDC]
Code fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation) IoCreateDevice
---- Kernel code sections - GMER 1.0.15 ----
PAGE ntkrnlpa.exe!IoCreateDevice 805758EE 5 Bytes JMP B9E52FA8 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENPNP NDIS.SYS!NdisRegisterProtocol B9E2317F 5 Bytes JMP B9E52DBA fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENPNP NDIS.SYS!NdisOpenAdapter B9E23399 5 Bytes JMP B9E53342 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENPNP NDIS.SYS!NdisCloseAdapter B9E2D642 5 Bytes JMP B9E52EC6 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENPNP NDIS.SYS!NdisDeregisterProtocol B9E2D821 5 Bytes JMP B9E5315E fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP NDIS.SYS!NdisReturnPackets B9E30810 5 Bytes JMP B9E53BF4 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP NDIS.SYS!NdisRequest B9E3097B 5 Bytes JMP B9E5355A fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP NDIS.SYS!NdisSend B9E33986 5 Bytes JMP B9E54574 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP NDIS.SYS!NdisSendPackets B9E339A3 5 Bytes JMP B9E54646 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP NDIS.SYS!NdisTransferData B9E339BE 5 Bytes JMP B9E53CF2 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDCO NDIS.SYS!NdisCoCreateVc B9E3A186 5 Bytes JMP B9E52E24 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDCO NDIS.SYS!NdisCoDeleteVc B9E3B557 5 Bytes JMP B9E52E92 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDCO NDIS.SYS!NdisCoSendPackets B9E3BAF1 5 Bytes JMP B9E5435E fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
.text C:\WINDOWS\system32\DRIVERS\ati2mtag.sys section is writeable [0xB8603000, 0x2191E7, 0xE8000020]
.reloc C:\WINDOWS\system32\drivers\acedrv11.sys section is executable [0xA8D06300, 0x25D4C, 0xE0000060]
---- Devices - GMER 1.0.15 ----
Device \Driver\Tcpip \Device\Ip fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
Device \Driver\Tcpip \Device\Tcp fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
Device \Driver\Tcpip \Device\Udp fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
Device \Driver\Tcpip \Device\RawIp fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
Device \Driver\Tcpip \Device\IPMULTICAST fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- EOF - GMER 1.0.15 ----
-------------------- OSAM Logfile -------------------- OSAM Logfile: Code:
ATTFilter Report of OSAM: Autorun Manager v5.0.11926.0 hxxp://www.online-solutions.ru/en/ Saved at 13:39:15 on 10.09.2010 OS: Windows XP Home Edition Service Pack 3 (Build 2600) Default Browser: Mozilla Corporation Firefox 3.6.9 Scanner Settings [x] Rootkits detection (hidden registry) [x] Rootkits detection (hidden files) [x] Retrieve files information [x] Check Microsoft signatures Filters [ ] Trusted entries [ ] Empty entries [x] Hidden registry entries (rootkit activity) [x] Exclusively opened files [x] Not found files [x] Files without detailed information [x] Existing files [ ] Non-startable services [ ] Non-startable drivers [x] Active entries [x] Disabled entries [Common] -----( %SystemRoot%\Tasks )----- "Scheduled Update for Ask Toolbar.job" - ? - C:\Programme\Ask.com\UpdateTask.exe (File found, but it contains no detailed information) "Scheduled scanning task.job" - "F-Secure Corporation" - C:\PROGRA~1\F-Secure\ANTI-V~1\fsav.exe [Control Panel Objects] -----( %SystemRoot%\system32 )----- "infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl "ISUSPM.cpl" - "Macrovision Corporation" - C:\WINDOWS\system32\ISUSPM.cpl "javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )----- "Nero BurnRights" - "Nero AG" - C:\Programme\Nero\Nero 9\Nero BurnRights\NeroBurnRights_cpl.cpl "QuickTime" - "Apple Inc." - C:\Programme\QuickTime\QTSystem\QuickTime.cpl [Drivers] -----( HKLM\SYSTEM\CurrentControlSet\Services )----- "acedrv11" (acedrv11) - "Protect Software GmbH" - C:\WINDOWS\system32\drivers\acedrv11.sys "catchme" (catchme) - ? - C:\DOKUME~1\Torsten\LOKALE~1\Temp\catchme.sys (File not found) "Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys (File not found) "F-Secure Firewall Driver" (FSFW) - "F-Secure Corporation" - C:\WINDOWS\System32\drivers\fsdfw.sys "F-Secure Gatekeeper" (F-Secure Gatekeeper) - "F-Secure Corporation" - C:\Programme\F-Secure\Anti-Virus\minifilter\fsgk.sys "F-Secure HIPS" (F-Secure HIPS) - "F-Secure Corporation" - C:\Programme\F-Secure\HIPS\drivers\fshs.sys "fsbts" (fsbts) - "F-Secure Corporation" - C:\WINDOWS\System32\Drivers\fsbts.sys "gdrv" (gdrv) - "Windows (R) 2000 DDK provider" - C:\WINDOWS\gdrv.sys "giveio" (giveio) - ? - C:\WINDOWS\System32\giveio.sys (File found, but it contains no detailed information) "i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys (File not found) "ialm" (ialm) - ? - C:\WINDOWS\System32\DRIVERS\igxpmp32.sys (File not found) "lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys (File not found) "PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys (File not found) "PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys (File not found) "PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys (File not found) "PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys (File not found) "PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys (File not found) "PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys "SASDIFSV" (SASDIFSV) - "SUPERAdBlocker.com and SUPERAntiSpyware.com" - C:\Programme\SUPERAntiSpyware\SASDIFSV.SYS "SASKUTIL" (SASKUTIL) - "SUPERAdBlocker.com and SUPERAntiSpyware.com" - C:\Programme\SUPERAntiSpyware\SASKUTIL.SYS "speedfan" (speedfan) - "Windows (R) 2000 DDK provider" - C:\WINDOWS\System32\speedfan.sys "Team MFP Comm Driver" (DgiVecp) - "DeviceGuys, Inc." - C:\WINDOWS\System32\Drivers\DgiVecp.sys "VSO Software pcouffin" (pcouffin) - "VSO Software" - C:\WINDOWS\System32\Drivers\pcouffin.sys "WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys (File not found) [Explorer] -----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )----- {89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install -----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )----- {F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll {C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll -----( HKLM\Software\Classes\Protocols\Filter )----- {1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll {1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll {1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll -----( HKLM\Software\Classes\Protocols\Handler )----- {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks )----- {5AE067D3-9AFB-48E0-853A-EBB7F4A000DA} "SABShellExecuteHook Class" - "SuperAdBlocker.com" - C:\Programme\SUPERAntiSpyware\SASSEH.DLL -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )----- {42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? - deskpan.dll (File not found) {872A9397-E0D6-4e28-B64D-52B8D0A7EA35} "DisplayCplExt Class" - "Advanced Micro Devices, Inc." - C:\Programme\ATI Technologies\ATI.ACE\Core-Static\atiamaxx.dll {853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? - (File not found | COM-object registry key not found) {32683183-48a0-441b-a342-7c2a440a9478} "Media Band" - ? - (File not found | COM-object registry key not found) {97F68CE3-7146-45FF-BE24-D9A7DD7CB8A2} "NeroCoverEdLiveIcons Class" - "Nero AG" - C:\Programme\Nero\Nero 9\Nero CoverDesigner\CoverEdExtension.dll {C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll {087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll {63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll {3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll {E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll {764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? - (File not found | COM-object registry key not found) {e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll {5E2121EE-0300-11D4-8D3B-444553540000} "SimpleShlExt Class" - "Advanced Micro Devices, Inc." - C:\Programme\ATI Technologies\ATI.ACE\Core-Static\atiacmxx.dll {B41DB860-8EE4-11D2-9906-E49FADC173CA} "WinRAR" - "Alexander Roshal" - C:\Programme\WinRAR\rarext.dll [Internet Explorer] -----( HKCU\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars )----- {32683183-48a0-441b-a342-7c2a440a9478} "{32683183-48a0-441b-a342-7c2a440a9478}" - ? - (File not found | COM-object registry key not found) -----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )----- ITBar7Height "ITBar7Height" - ? - (File not found | COM-object registry key not found) <binary data> "ITBar7Layout" - ? - (File not found | COM-object registry key not found) <binary data> "ITBarLayout" - ? - (File not found | COM-object registry key not found) <binary data> "Nero Toolbar" - "Ask.com" - C:\Programme\Ask.com\GenericAskToolbar.dll -----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )----- {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} "Java Plug-in 1.6.0_07" - "Sun Microsystems, Inc." - C:\Programme\Java\jre1.6.0_07\bin\npjpi160_07.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab {8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_18" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_18.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} "Java Plug-in 1.6.0_18" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_18.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_18" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_18.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab {D27CDB6E-AE6D-11CF-96B8-444553540000} "Shockwave Flash Object" - "Adobe Systems, Inc." - C:\WINDOWS\system32\Macromed\Flash\Flash10b.ocx / hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab -----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )----- {D68926FD-18FD-4B0E-A1C7-917D13FAB760} "ClsidExtension" - "F-Secure Corporation" - C:\Programme\F-Secure\FSPC\fspcmsie.dll {D68926FD-18FD-4B0E-A1C7-917D13FAB760} "Erwachsene..." - "F-Secure Corporation" - C:\Programme\F-Secure\FSPC\fspcmsie.dll -----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )----- <binary data> "Nero Toolbar" - "Ask.com" - C:\Programme\Ask.com\GenericAskToolbar.dll -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )----- {18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll {DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll {E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll {D4027C7F-154A-4066-A1AD-4243D8127440} "Nero Toolbar" - "Ask.com" - C:\Programme\Ask.com\GenericAskToolbar.dll [Logon] -----( %AllUsersProfile%\Startmenü\Programme\Autostart )----- "desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini -----( %UserProfile%\Startmenü\Programme\Autostart )----- "desktop.ini" - ? - C:\Dokumente und Einstellungen\Torsten\Startmenü\Programme\Autostart\desktop.ini -----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )----- "Skype" - "Skype Technologies S.A." - "C:\Programme\Skype\\Phone\Skype.exe" /nosplash /minimized -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )----- "Adobe ARM" - "Adobe Systems Incorporated" - "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" "Adobe Reader Speed Launcher" - "Adobe Systems Incorporated" - "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" "F-Secure Manager" - "F-Secure Corporation" - "C:\Programme\F-Secure\Common\FSM32.EXE" /splash "F-Secure TNB" - "F-Secure Corporation" - "C:\Programme\F-Secure\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW "FileZilla Server Interface" - "FileZilla Project" - "C:\Programme\FileZilla Server\FileZilla Server Interface.exe" "LexwareInfoService" - "Lexware GmbH & Co. KG" - C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe /autostart "QuickTime Task" - "Apple Inc." - "C:\Programme\QuickTime\QTTask.exe" -atboottime "Samsung Common SM" - "Samsung Electronics." - "C:\WINDOWS\Samsung\ComSMMgr\ssmmgr.exe" /autorun "StartCCC" - "Advanced Micro Devices, Inc." - "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun "SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [Print Monitors] -----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )----- "eDocPDF" - "ITEKSOFT Corporation" - C:\WINDOWS\system32\epdfmon.dll "eDocPortMonitor" - "May Software" - C:\Programme\Gemeinsame Dateien\MAYComputer\eDocPrintPro\eDocPort.dll [Services] -----( HKLM\SYSTEM\CurrentControlSet\Services )----- ".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe "Anwendungsverwaltung" (AppMgmt) - ? - C:\WINDOWS\System32\appmgmts.dll (File not found) "ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe "ATI Smart" (ATI Smart) - ? - C:\WINDOWS\system32\ati2sgag.exe "F-Secure Anti-Virus Firewall Daemon" (FSDFWD) - "F-Secure Corporation" - C:\Programme\F-Secure\FWES\Program\fsdfwd.exe "F-Secure Automatic Update Agent" (FSAUA) - "F-Secure Corporation" - C:\Programme\F-Secure\FSAUA\program\fsaua.exe "F-Secure ORSP Client" (FSORSPClient) - "F-Secure Corporation" - C:\Programme\F-Secure\ORSP Client\fsorsp.exe "FileZilla Server FTP server" (FileZilla Server) - "FileZilla Project" - C:\Programme\FileZilla Server\FileZilla Server.exe "FSGKHS" (F-Secure Gatekeeper Handler Starter) - "F-Secure Corporation" - C:\Programme\F-Secure\Anti-Virus\fsgk32st.exe "FSMA" (FSMA) - "F-Secure Corporation" - C:\Programme\F-Secure\Common\FSMA32.EXE "HID Input Service" (HidServ) - ? - C:\WINDOWS\System32\hidserv.dll (File not found) "InstallDriver Table Manager" (IDriverT) - "Macrovision Corporation" - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe "Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe "Nero BackItUp Scheduler 4.0" (Nero BackItUp Scheduler 4.0) - "Nero AG" - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe "SQL Server (JTLWAWI)" (MSSQL$JTLWAWI) - "Microsoft Corporation" - C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe "SQL Server VSS Writer" (SQLWriter) - "Microsoft Corporation" - C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe "SQL Server-Browser" (SQLBrowser) - "Microsoft Corporation" - C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe "Windows CardSpace" (idsvc) - "Microsoft Corporation" - c:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe "Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - c:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe [Winlogon] -----( HKCU\Control Panel\IOProcs )----- "MVB" - ? - mvfs32.dll (File not found) -----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )----- {c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll (File not found) -----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )----- "!SASWinLogon" - "SUPERAntiSpyware.com" - C:\Programme\SUPERAntiSpyware\SASWINLO.DLL "igfxcui" - ? - igfxdev.dll (File not found) [Winsock Providers] -----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries )----- "F-Secure Protocol Scanner" - "F-Secure Corporation" - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL ===[ Logfile end ]=========================================[ Logfile end ]=== If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru -------------------- bootkit_remover ------------------ C:\temp\bootkit_remover>bootkit_remover.exe Bootkit Remover (c) 2009 eSage Lab www.esagelab.com Program version: 1.2.0.0 OS Version: Microsoft Windows XP Home Edition Service Pack 3 (build 2600) System volume is \\.\C: \\.\C: -> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 Boot sector MD5 is: 5ddc20efcc4d1dab37c348c7db7289cf Size Device Name MBR Status -------------------------------------------- 149 GB \\.\PhysicalDrive0 Unknown boot code Unknown boot code has been found on some of your physical disks. To inspect the boot code manually, dump the master boot sector: remover.exe dump <device_name> [output_file] To disinfect the master boot sector, use the following command: remover.exe fix <device_name> Done; Press any key to quit... ---------- Dump des bootkit ---------------- C:\temp\bootkit_remover>bootkit_remover.exe dump \\.\PhysicalDrive0 dump.txt Bootkit Remover (c) 2009 eSage Lab www.esagelab.com Program version: 1.2.0.0 OS Version: Microsoft Windows XP Home Edition Service Pack 3 (build 2600) System volume is \\.\C: \\.\C: -> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 Dumping master boot sector of \\.\PhysicalDrive0... 00000000: 33 c0 8e d0 bc 00 7c fb 50 07 50 1f fc be 1b 7c | 3.....|.P.P....| 00000010: bf 1b 06 50 57 b9 e5 01 f3 a4 cb bd be 07 b1 04 | ...PW........... 00000020: 38 6e 00 7c 09 75 13 83 c5 10 e2 f4 cd 18 8b f5 | 8n.|.u.......... 00000030: 83 c6 10 49 74 19 38 2c 74 f6 a0 b5 07 b4 07 8b | ...It.8,t....... 00000040: f0 ac 3c 00 74 fc bb 07 00 b4 0e cd 10 eb f2 88 | ..<.t........... 00000050: 4e 10 e8 46 00 73 2a fe 46 10 80 7e 04 0b 74 0b | N..F.s*.F..~..t. 00000060: 80 7e 04 0c 74 05 a0 b6 07 75 d2 80 46 02 06 83 | .~..t....u..F... 00000070: 46 08 06 83 56 0a 00 e8 21 00 73 05 a0 b6 07 eb | F...V...!.s..... 00000080: bc 81 3e fe 7d 55 aa 74 0b 80 7e 10 00 74 c8 a0 | ..>.}U.t..~..t.. 00000090: b7 07 eb a9 8b fc 1e 57 8b f5 cb bf 05 00 8a 56 | .......W.......V 000000a0: 00 b4 08 cd 13 72 23 8a c1 24 3f 98 8a de 8a fc | .....r#..$?..... 000000b0: 43 f7 e3 8b d1 86 d6 b1 06 d2 ee 42 f7 e2 39 56 | C..........B..9V 000000c0: 0a 77 23 72 05 39 46 08 73 1c b8 01 02 bb 00 7c | .w#r.9F.s......| 000000d0: 8b 4e 02 8b 56 00 cd 13 73 51 4f 74 4e 32 e4 8a | .N..V...sQOtN2.. 000000e0: 56 00 cd 13 eb e4 8a 56 00 60 bb aa 55 b4 41 cd | V......V.`..U.A. 000000f0: 13 72 36 81 fb 55 aa 75 30 f6 c1 01 74 2b 61 60 | .r6..U.u0...t+a` 00000100: 6a 00 6a 00 ff 76 0a ff 76 08 6a 00 68 00 7c 6a | j.j..v..v.j.h.|j 00000110: 01 6a 10 b4 42 8b f4 cd 13 61 61 73 0e 4f 74 0b | .j..B....aas.Ot. 00000120: 32 e4 8a 56 00 cd 13 eb d6 61 f9 c3 55 6e 67 81 | 2..V.....a..Ung. 00000130: 6c 74 69 67 65 20 50 61 72 74 69 74 69 6f 6e 73 | ltige Partitions 00000140: 74 61 62 65 6c 6c 65 00 46 65 68 6c 65 72 20 62 | tabelle.Fehler b 00000150: 65 69 6d 20 4c 61 64 65 6e 20 64 65 73 20 42 65 | eim Laden des Be 00000160: 74 72 69 65 62 73 73 79 73 74 65 6d 73 00 42 65 | triebssystems.Be 00000170: 74 72 69 65 62 73 73 79 73 74 65 6d 20 6e 69 63 | triebssystem nic 00000180: 68 74 20 76 6f 72 68 61 6e 64 65 6e 00 00 00 00 | ht vorhanden.... 00000190: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................ 000001a0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................ 000001b0: 00 00 00 00 00 2c 48 6e ff c1 0d 00 00 00 80 01 | .....,Hn........ 000001c0: 01 00 07 fe ff ff 3f 00 00 00 05 ac ff 0f 00 fe | ......?......... 000001d0: ff ff 07 fe ff ff 44 ac ff 0f 7d de a1 02 00 00 | ......D...}..... 000001e0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................ 000001f0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 55 aa | ..............U. 512 bytes written to dump.txt Done; Press any key to quit... --------- Sieht komisch aus, das System läuft ja :-) umd im MBR steht das kein BS drauf ist :-) Nach GMER musste ich aber rebooten und beim ersten reboot wollte er nicht richtig, daher ausgemacht und wieder eingeschaltet. Dann bootete er. -Torsten |
|
10.09.2010, 13:06
| #7 |
| | Auch ich habe so einen TAN Schädling Hi nochmals, so ich habe noch den MBR Checker ausprobiert und der passt besser. Die 10GB Platte ist eine alte aus meinem vorherigen Rechner. Sollte eigendlich auch XP sein...oder war es noch Win 95 ? Naja die 150er Platte zeigt ja einen richtigen XP Sektor. Dumps der beiden Platten habe ich auch, könnte ich auch hochladen wenn nötig. Und ? Ideen was zu machen ? ----------------------------- MBRCheck, version 1.2.3 (c) 2010, AD Command-line: Windows Version: Windows XP Home Edition Windows Information: Service Pack 3 (build 2600) Logical Drives Mask: 0x0000003d Kernel Drivers (total 128): 0x804D7000 \WINDOWS\system32\ntkrnlpa.exe 0x806E5000 \WINDOWS\system32\hal.dll 0xBA5A8000 \WINDOWS\system32\KDCOM.DLL 0xBA4B8000 \WINDOWS\system32\BOOTVID.dll 0xB9F78000 ACPI.sys 0xBA5AA000 \WINDOWS\System32\DRIVERS\WMILIB.SYS 0xB9F67000 pci.sys 0xBA0A8000 isapnp.sys 0xBA0B8000 ohci1394.sys 0xBA0C8000 \WINDOWS\System32\DRIVERS\1394BUS.SYS 0xBA670000 pciide.sys 0xBA328000 \WINDOWS\System32\DRIVERS\PCIIDEX.SYS 0xBA0D8000 MountMgr.sys 0xB9F48000 ftdisk.sys 0xBA330000 PartMgr.sys 0xBA0E8000 VolSnap.sys 0xB9F30000 atapi.sys 0xBA0F8000 disk.sys 0xBA108000 \WINDOWS\System32\DRIVERS\CLASSPNP.SYS 0xB9F10000 fltmgr.sys 0xB9EFE000 sr.sys 0xBA118000 PxHelp20.sys 0xB9EE7000 KSecDD.sys 0xB9E5A000 Ntfs.sys 0xB9E48000 fsdfw.sys 0xB9E1B000 \WINDOWS\System32\drivers\NDIS.SYS 0xBA5AC000 speedfan.sys 0xB9E01000 Mup.sys 0xBA671000 giveio.sys 0xBA128000 fsbts.sys 0xBA158000 \SystemRoot\System32\DRIVERS\nic1394.sys 0xBA288000 \SystemRoot\System32\DRIVERS\intelppm.sys 0xB8610000 \SystemRoot\system32\DRIVERS\ati2mtag.sys 0xB85FC000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS 0xB85D4000 \SystemRoot\system32\DRIVERS\HDAudBus.sys 0xBA380000 \SystemRoot\System32\DRIVERS\usbuhci.sys 0xB85B0000 \SystemRoot\System32\DRIVERS\USBPORT.SYS 0xBA390000 \SystemRoot\system32\DRIVERS\usbehci.sys 0xBA398000 \SystemRoot\System32\DRIVERS\fdc.sys 0xBA2A8000 \SystemRoot\System32\DRIVERS\serial.sys 0xB9DCD000 \SystemRoot\System32\DRIVERS\serenum.sys 0xB859C000 \SystemRoot\System32\DRIVERS\parport.sys 0xBA2B8000 \SystemRoot\System32\DRIVERS\i8042prt.sys 0xBA3A8000 \SystemRoot\System32\DRIVERS\kbdclass.sys 0xBA2D8000 \SystemRoot\system32\DRIVERS\imapi.sys 0xBA2F8000 \SystemRoot\System32\DRIVERS\cdrom.sys 0xB8B33000 \SystemRoot\System32\DRIVERS\redbook.sys 0xB8579000 \SystemRoot\System32\DRIVERS\ks.sys 0xBA71B000 \SystemRoot\System32\DRIVERS\audstub.sys 0xB8B13000 \SystemRoot\System32\DRIVERS\rasl2tp.sys 0xB9DBD000 \SystemRoot\System32\DRIVERS\ndistapi.sys 0xB8562000 \SystemRoot\System32\DRIVERS\ndiswan.sys 0xB8AF3000 \SystemRoot\System32\DRIVERS\raspppoe.sys 0xB8AE3000 \SystemRoot\System32\DRIVERS\raspptp.sys 0xBA3C0000 \SystemRoot\System32\DRIVERS\TDI.SYS 0xB8551000 \SystemRoot\System32\DRIVERS\psched.sys 0xB8AC3000 \SystemRoot\System32\DRIVERS\msgpc.sys 0xBA3D0000 \SystemRoot\System32\DRIVERS\ptilink.sys 0xBA3E0000 \SystemRoot\System32\DRIVERS\raspti.sys 0xB8AA3000 \SystemRoot\System32\Drivers\pcouffin.sys 0xBA318000 \SystemRoot\System32\DRIVERS\termdd.sys 0xBA3F0000 \SystemRoot\System32\DRIVERS\mouclass.sys 0xBA604000 \SystemRoot\System32\DRIVERS\swenum.sys 0xB84F3000 \SystemRoot\System32\DRIVERS\update.sys 0xB92E5000 \SystemRoot\System32\DRIVERS\mssmbios.sys 0xBA1C8000 \SystemRoot\System32\Drivers\NDProxy.SYS 0xAC4B8000 \SystemRoot\system32\drivers\AtiHdmi.sys 0xAC494000 \SystemRoot\system32\drivers\portcls.sys 0xBA1D8000 \SystemRoot\system32\drivers\drmk.sys 0xABEBE000 \SystemRoot\system32\drivers\RtkHDAud.sys 0xBA238000 \SystemRoot\System32\DRIVERS\usbhub.sys 0xBA648000 \SystemRoot\System32\DRIVERS\USBD.SYS 0xBA448000 \SystemRoot\System32\DRIVERS\flpydisk.sys 0xBA652000 \SystemRoot\System32\Drivers\Fs_Rec.SYS 0xBA6F2000 \SystemRoot\System32\Drivers\Null.SYS 0xBA656000 \SystemRoot\System32\Drivers\Beep.SYS 0xBA460000 \SystemRoot\System32\drivers\vga.sys 0xBA65A000 \SystemRoot\System32\Drivers\mnmdd.SYS 0xBA65E000 \SystemRoot\System32\DRIVERS\RDPCDD.sys 0xBA468000 \SystemRoot\System32\Drivers\Msfs.SYS 0xBA478000 \SystemRoot\System32\Drivers\Npfs.SYS 0xB92DD000 \SystemRoot\System32\DRIVERS\rasacd.sys 0xABE3B000 \SystemRoot\System32\DRIVERS\ipsec.sys 0xABDE2000 \SystemRoot\System32\DRIVERS\tcpip.sys 0xABD1A000 \SystemRoot\System32\DRIVERS\netbt.sys 0xABCF4000 \SystemRoot\System32\DRIVERS\ipnat.sys 0xBA278000 \SystemRoot\System32\DRIVERS\wanarp.sys 0xABCD2000 \SystemRoot\System32\drivers\afd.sys 0xBA2C8000 \SystemRoot\System32\DRIVERS\arp1394.sys 0xB8B23000 \SystemRoot\System32\DRIVERS\netbios.sys 0xABC88000 \??\C:\Programme\SUPERAntiSpyware\SASKUTIL.SYS 0xBA490000 \??\C:\Programme\SUPERAntiSpyware\SASDIFSV.SYS 0xABC5D000 \SystemRoot\System32\DRIVERS\rdbss.sys 0xABBED000 \SystemRoot\System32\DRIVERS\mrxsmb.sys 0xBA308000 \SystemRoot\System32\Drivers\Fips.SYS 0xBA178000 \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys 0xABBC9000 \SystemRoot\System32\Drivers\Fastfat.SYS 0xABE9A000 \SystemRoot\System32\DRIVERS\hidusb.sys 0xBA198000 \SystemRoot\System32\DRIVERS\HIDCLASS.SYS 0xBA498000 \SystemRoot\System32\DRIVERS\HIDPARSE.SYS 0xBA58C000 \SystemRoot\System32\DRIVERS\mouhid.sys 0xABBB1000 \SystemRoot\System32\Drivers\dump_atapi.sys 0xBA664000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS 0xBF800000 \SystemRoot\System32\win32k.sys 0xABE8A000 \SystemRoot\System32\drivers\Dxapi.sys 0xBA340000 \SystemRoot\System32\watchdog.sys 0xBF000000 \SystemRoot\System32\drivers\dxg.sys 0xBA7C4000 \SystemRoot\System32\drivers\dxgthk.sys 0xBF012000 \SystemRoot\System32\ati2dvag.dll 0xBF060000 \SystemRoot\System32\ati2cqag.dll 0xBF0FC000 \SystemRoot\System32\atikvmag.dll 0xBF196000 \SystemRoot\System32\atiok3x2.dll 0xBF1FC000 \SystemRoot\System32\ati3duag.dll 0xBF55C000 \SystemRoot\System32\ativvaxx.dll 0xBFFA0000 \SystemRoot\System32\ATMFD.DLL 0xA907C000 \SystemRoot\System32\DRIVERS\ndisuio.sys 0xA8E03000 \SystemRoot\System32\DRIVERS\mrxdav.sys 0xBA60E000 \SystemRoot\System32\Drivers\ParVdm.SYS 0xA8CF8000 \??\C:\WINDOWS\system32\drivers\acedrv11.sys 0xA8F00000 \SystemRoot\System32\Drivers\DgiVecp.sys 0xA8B89000 \SystemRoot\System32\DRIVERS\srv.sys 0xA8781000 \??\C:\Programme\F-Secure\Anti-Virus\minifilter\fsgk.sys 0xA8396000 \SystemRoot\system32\drivers\wdmaud.sys 0xA8529000 \SystemRoot\system32\drivers\sysaudio.sys 0xA8599000 \SystemRoot\System32\Drivers\Cdfs.SYS 0xA7F8F000 \SystemRoot\System32\Drivers\HTTP.sys 0xA7B4A000 \SystemRoot\System32\DRIVERS\yk51x86.sys 0x7C910000 \WINDOWS\system32\ntdll.dll Processes (total 56): 0 System Idle Process 4 System 448 C:\WINDOWS\system32\smss.exe 500 csrss.exe 532 C:\WINDOWS\system32\winlogon.exe 576 C:\WINDOWS\system32\services.exe 588 C:\WINDOWS\system32\lsass.exe 748 C:\WINDOWS\system32\ati2evxx.exe 768 C:\WINDOWS\system32\svchost.exe 852 svchost.exe 892 C:\WINDOWS\system32\svchost.exe 940 svchost.exe 976 svchost.exe 1088 C:\WINDOWS\system32\ati2evxx.exe 1148 C:\WINDOWS\system32\spoolsv.exe 1232 svchost.exe 1316 C:\Programme\F-Secure\Anti-Virus\fsgk32st.exe 1332 C:\Programme\F-Secure\Common\FSMA32.EXE 1352 C:\Programme\F-Secure\Anti-Virus\fsgk32.exe 1364 C:\Programme\Java\jre6\bin\jqs.exe 1432 C:\Programme\F-Secure\Common\FSMB32.EXE 1480 sqlservr.exe 1556 C:\Programme\F-Secure\Common\FCH32.EXE 1648 C:\Programme\F-Secure\Common\FAMEH32.EXE 1672 C:\Programme\F-Secure\Anti-Virus\fsqh.exe 1700 C:\Programme\F-Secure\FSPC\fspc.exe 1788 C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe 1832 sqlbrowser.exe 1848 C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe 1896 C:\WINDOWS\system32\svchost.exe 920 C:\Programme\F-Secure\FSAUA\program\fsaua.exe 988 C:\Programme\F-Secure\Anti-Virus\fssm32.exe 1108 fsorsp.exe 1204 C:\Programme\F-Secure\FWES\program\fsdfwd.exe 2088 alg.exe 2196 C:\Programme\F-Secure\FSAUA\program\fsus.exe 3128 C:\Programme\F-Secure\Anti-Virus\fsav32.exe 3288 C:\WINDOWS\explorer.exe 3348 C:\Programme\F-Secure\Common\FSM32.EXE 3460 C:\PROGRA~1\F-Secure\FSGUI\fsguidll.exe 3468 C:\WINDOWS\Samsung\ComSMMgr\SSMMgr.exe 3744 C:\WINDOWS\RTHDCPL.EXE 3832 C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe 4088 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe 1716 C:\Programme\Skype\Phone\Skype.exe 2192 C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CCC.exe 876 C:\Programme\Skype\Plugin Manager\skypePM.exe 2840 C:\WINDOWS\system32\svchost.exe 2812 C:\Programme\Mozilla Firefox\firefox.exe 4028 C:\Programme\Skype\Toolbars\Shared\SkypeNames2.exe 1200 C:\Programme\Mozilla Firefox\plugin-container.exe 3376 C:\temp\osam_autorun_manager_5_0_portable\osam.exe 1720 C:\WINDOWS\system32\notepad.exe 2712 C:\WINDOWS\system32\cmd.exe 2176 C:\WINDOWS\system32\notepad.exe 3180 C:\Dokumente und Einstellungen\Torsten\Desktop\MBRCheck.exe \\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS) \\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (FAT32) \\.\E: --> \\.\PhysicalDrive0 at offset 0x0000001f`ff588800 (NTFS) PhysicalDrive0 Model Number: ST3160812AS, Rev: 3.AAH PhysicalDrive1 Model Number: WDCWD100BA, Rev: 16.13M16 Size Device Name MBR Status -------------------------------------------- 149 GB \\.\PhysicalDrive0 Windows XP MBR code detected SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11 9 GB \\.\PhysicalDrive1 Unknown MBR code SHA1: AD3FC4CB6E48EBDEBB99DD11DC0DACE60E32274C Found non-standard or infected MBR. Enter 'Y' and hit ENTER for more options, or 'N' to exit: Options: [1] Dump the MBR of a physical disk to file. [2] Restore the MBR of a physical disk with a standard boot code. [3] Exit. Enter your choice: Enter the physical disk number to dump (0-99, -1 to exit): 1Dumping \\.\PhysicalDisk1... Enter filename to dump to: disk1.txtDumped successfully! Enter the physical disk number to dump (0-99, -1 to exit): 0Dumping \\.\PhysicalDisk0... Enter filename to dump to: disk0.txtDumped successfully! Enter the physical disk number to dump (0-99, -1 to exit): -1 Done! ------------- Torsten |
|
10.09.2010, 13:43
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Auch ich habe so einen TAN Schädling Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
10.09.2010, 15:49
| #9 |
| | Auch ich habe so einen TAN Schädling Hi, Malwares logfile --------- Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4589 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 10.09.2010 16:27:28 mbam-log-2010-09-10 (16-27-28).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|) Durchsuchte Objekte: 271427 Laufzeit: 1 Stunde(n), 18 Minute(n), 10 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) ----------- SuperAntiSpyware sucht noch.. -Torsten |
|
10.09.2010, 17:53
| #10 |
| | Auch ich habe so einen TAN Schädling Hi, und hier ist SuperantiSpy. -------------- SUPERAntiSpyware Scan Log SUPERAntiSpyware.com | Remove Malware | Remove Spyware - AntiMalware, AntiSpyware, AntiAdware! Generated 09/10/2010 at 05:25 PM Application Version : 4.42.1000 Core Rules Database Version : 5410 Trace Rules Database Version: 3296 Scan type : Complete Scan Total Scan Time : 00:35:26 Memory items scanned : 718 Memory threats detected : 0 Registry items scanned : 6541 Registry threats detected : 0 File items scanned : 25175 File threats detected : 0 ------------ Ich teste das nun mal... -Torsten |
|
10.09.2010, 17:57
| #11 |
| | Auch ich habe so einen TAN Schädling Hi nochmals, Das Ding ist weg ! Danke! Da ist doch mal eine Spende fällig, werde das mal später anleiern ! Kann man nun nachvollziehen welche Datei die Schadhafte war ? -Torsten |
|
11.09.2010, 14:12
| #12 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Auch ich habe so einen TAN Schädling Dann wären wir durch!  Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink => http://filepony.de/?q=Flash+Player Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
| Themen zu Auch ich habe so einen TAN Schädling |
| 0x00000001, adblock, audiograbber, bho, blokiert, components, decrypter, desktop, entfernen, error, fehler, firefox.exe, flash player, help, home, homepage, jusched.exe, lexware, location, logfile, malware, mozilla, mozilla thunderbird, object, oldtimer, otl scan, otl.exe, plug-in, problem, realtek, registry, rundll, saver, scan, schädling, searchplugins, security, server, shell32.dll, software, systemadministrator, tan trojaner, tojaner, trojan.win32.monder.gen, trojaner, trojaner endeckt, vlc media player, windows internet, windows internet explorer |
Linear-Darstellung
