TR/Crypt.XPACK.Gen2 auch noch nach Malwarescan aktiv

KiLLaLeNiN · 08.10.2010, 11:01

Hallo,

Antivir meldet ständig:
C:\Windows\ehoqoqiw.dll ist das Trojanische Pferd TR/Crypt.XPACK.Gen2.

Und der Firefox funktioniert auch nicht mehr

Habe schon hier im Forum einige Themen diesbezüglich gelesen, doch scheint mir die Vorgehensweise ziemlich individuell und nun will ich nicht einfach etwas kopieren und dadurch verschlimmbesser.

Habe Maleware geladen, aktualisiert und schon 2 x laufen lassen. Die Ergebnisse gelöscht, doch nach jedem Neustart kommt immer noch die oben genannte Warnmeldung. Was kann ich nun noch tun?

Danke für jede Hilfe!

Chris4You · 08.10.2010, 11:05

Hi,

OTL
Lade Dir OTL von Oldtimer herunter (http://filepony.de/download-otl/) und speichere es auf Deinem Desktop

Doppelklick auf die OTL.exe

Vista/Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen

Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output

Unter Extra Registry, wähle bitte Use SafeList

Klicke nun auf Run Scan links oben

Wenn der Scan beendet wurde werden 2 Logfiles erstellt (OTL.TXT und EXTRAS.TXT)

Poste die Logfiles hier in den Thread

Wenn kein 64-Bitsystem:
Gmer:
http://www.trojaner-board.de/74908-a...t-scanner.html
Den Downloadlink findest Du links oben (GMER - Rootkit Detector and Remover), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris
Ps. Bin jetzt erst mal wech.....

KiLLaLeNiN · 08.10.2010, 11:28

Ist ein 32-BitSystem.

Habe mir wie in der Anleitung beschrieben GMER runtergeladen und alle Anwendungen geschlossen. Antivir ebenso deaktiviert und dann die Exe vom Desktop aus gestartet. Der Scan startet und dann schließt sich das Fenster einfach ohne Meldung oder Möglichkeit, irgendwelche Fenster, Reiter oder Logfiles auszuwählen.
Also im abgesicherten Modus ausprobiert doch mit dem selben negativen Ergebnis.

KiLLaLeNiN · 08.10.2010, 12:03

Hier die OTL.TXT:OTL Logfile:

Code:

ATTFilter

OTL logfile created on: 08.10.2010 13:01:01 - Run 2
OTL by OldTimer - Version 3.2.14.1     Folder = C:\Dokumente und Einstellungen\Administrator\Desktop
Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 90,00% Memory free
5,00 Gb Paging File | 5,00 Gb Available in Paging File | 99,00% Paging File free
Paging file location(s): C:\pagefile.sys 3072 3072 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 20,00 Gb Total Space | 2,93 Gb Free Space | 14,63% Space Free | Partition Type: NTFS
Drive D: | 50,00 Gb Total Space | 43,57 Gb Free Space | 87,14% Space Free | Partition Type: NTFS
Drive E: | 50,00 Gb Total Space | 37,63 Gb Free Space | 75,27% Space Free | Partition Type: NTFS
Drive F: | 102,89 Gb Total Space | 59,34 Gb Free Space | 57,67% Space Free | Partition Type: NTFS
G: Drive not present or media not loaded
H: Drive not present or media not loaded
Drive I: | 10,00 Gb Total Space | 0,97 Gb Free Space | 9,66% Space Free | Partition Type: NTFS
 
Computer Name: ROMAN
Current User Name: Administrator
Logged in as Administrator.
 
Current Boot Mode: SafeMode
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 1 Day
Output = Minimal
 
========== Processes (SafeList) ==========
 
PRC - C:\Dokumente und Einstellungen\Administrator\Desktop\OTL.exe (OldTimer Tools)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
 
 
========== Modules (SafeList) ==========
 
MOD - C:\Dokumente und Einstellungen\Administrator\Desktop\OTL.exe (OldTimer Tools)
MOD - C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9\comctl32.dll (Microsoft Corporation)
MOD - C:\WINDOWS\system32\msscript.ocx (Microsoft Corporation)
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
SRV - (MSSQL$ACROSS) SQL Server (ACROSS) -- C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe (Microsoft Corporation)
SRV - (SQLBrowser) -- C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe (Microsoft Corporation)
SRV - (MSSQLServerADHelper) -- C:\Programme\Microsoft SQL Server\90\Shared\sqladhlp90.exe (Microsoft Corporation)
SRV - (AAV UpdateService) -- D:\Programme\AAVUpdateManager\aavus.exe ()
SRV - (O&O Defrag) -- C:\WINDOWS\system32\oodag.exe (O&O Software GmbH)
SRV - (ose) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH)
DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH)
DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH)
DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH)
DRV - (hamachi) -- C:\WINDOWS\system32\drivers\hamachi.sys (LogMeIn, Inc.)
DRV - (HPFXBULK) -- C:\WINDOWS\system32\drivers\hpfxbulk.sys (Hewlett Packard)
DRV - (ati2mtag) -- C:\WINDOWS\system32\drivers\ati2mtag.sys (ATI Technologies Inc.)
DRV - (ATIAVAIW) -- C:\WINDOWS\system32\drivers\atinavt2.sys (ATI Technologies Inc.)
DRV - (ULI5261XP) -- C:\WINDOWS\system32\drivers\ULILAN51.SYS (ULi Electronics Inc.)
DRV - (MPE) -- C:\WINDOWS\system32\drivers\MPE.sys (Microsoft Corporation)
DRV - (gameenum) -- C:\WINDOWS\system32\drivers\gameenum.sys (Microsoft Corporation)
DRV - (atapi) -- C:\WINDOWS\system32\DRIVERS\atapi.sys ()
DRV - (ALCXWDM) Service for Realtek AC97 Audio (WDM) -- C:\WINDOWS\system32\drivers\ALCXWDM.SYS (Realtek Semiconductor Corp.)
DRV - (a347bus) -- C:\WINDOWS\system32\DRIVERS\a347bus.sys ( )
DRV - (a347scsi) -- C:\WINDOWS\System32\Drivers\a347scsi.sys ( )
DRV - (ALCXSENS) -- C:\WINDOWS\system32\drivers\ALCXSENS.SYS (Sensaura)
DRV - (AliIde) -- C:\WINDOWS\system32\DRIVERS\aliide.sys (Acer Laboratories Inc.)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
 
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
 
FF - HKLM\software\mozilla\Firefox\extensions\\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}: C:\Dokumente und Einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F} [2010.09.28 14:27:02 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.10\extensions\\Components: C:\Programme\Mozilla Firefox\components [2010.10.01 09:51:33 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.10\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2010.10.01 10:49:26 | 000,000,000 | ---D | M]
 
[2007.05.05 20:31:19 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\uh87lj6j.default\extensions
[2010.10.04 21:35:43 | 000,000,000 | ---D | M] -- C:\Programme\Mozilla Firefox\extensions
[2010.10.01 10:49:27 | 000,000,000 | ---D | M] (Java Console) -- C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA}
[2010.07.17 05:00:04 | 000,423,656 | ---- | M] (Sun Microsystems, Inc.) -- C:\Programme\Mozilla Firefox\plugins\npdeployJava1.dll
[2010.09.14 23:32:39 | 000,001,392 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml
[2010.09.14 23:32:39 | 000,002,344 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml
[2010.09.14 23:32:39 | 000,006,805 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\leo_ende_de.xml
[2010.09.14 23:32:39 | 000,001,178 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml
[2010.09.14 23:32:39 | 000,001,105 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2001.08.18 14:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O2 - BHO: (Adobe PDF Reader) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated)
O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [Gmebizazizazizaz] C:\WINDOWS\ehoqoqiw.DLL (VoLT, 2010)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O9 - Extra Button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Programme\Microsoft Office\OFFICE11\REFIEBAR.DLL (Microsoft Corporation)
O9 - Extra Button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\PartyPoker\PartyPoker\RunApp.exe File not found
O9 - Extra 'Tools' menuitem : PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\PartyPoker\PartyPoker\RunApp.exe File not found
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O16 - DPF: {CAFEEFAC-0015-0000-0011-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_11-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object)
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation)
O18 - Protocol\Filter\text/xml {807553E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - Winlogon\Notify\AtiExtEvent: DllName - Ati2evxx.dll - C:\WINDOWS\System32\ati2evxx.dll (ATI Technologies Inc.)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop BackupWallPaper: 
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2007.02.09 17:24:11 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O32 - AutoRun File - [2010.02.13 15:23:08 | 000,206,972 | ---- | M] () - F:\AUTO.pat -- [ NTFS ]
O32 - AutoRun File - [2010.02.13 15:23:08 | 000,247,040 | ---- | M] () - F:\AUTO.pst -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O34 - HKLM BootExecute: (OODBS) - C:\WINDOWS\System32\OODBS.exe (O&O Software GmbH)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O36 - AppCertDlls: conv2bin - (C:\WINDOWS\system32\rshdump.dll) - C:\WINDOWS\System32\rshdump.dll File not found
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 1 Day ==========
 
[2010.10.08 12:26:38 | 000,576,512 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Administrator\Desktop\OTL.exe
[2010.10.08 10:45:59 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys
[2010.10.08 10:45:56 | 000,020,952 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2010.10.08 10:45:56 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
[2007.06.08 13:02:39 | 000,774,144 | ---- | C] (RealNetworks, Inc.) -- C:\Programme\RngInterstitial.dll
[2007.02.09 19:22:13 | 000,160,640 | ---- | C] ( ) -- C:\WINDOWS\System32\drivers\a347bus.sys
[2007.02.09 19:22:13 | 000,005,248 | ---- | C] ( ) -- C:\WINDOWS\System32\drivers\a347scsi.sys
[3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 1 Day ==========
 
[2010.10.08 12:49:01 | 000,786,432 | -H-- | M] () -- C:\Dokumente und Einstellungen\Administrator\NTUSER.DAT
[2010.10.08 12:25:48 | 000,576,512 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Administrator\Desktop\OTL.exe
[2010.10.08 12:20:20 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2010.10.08 12:20:06 | 000,740,595 | ---- | M] () -- C:\WINDOWS\System32\OODBS.lor
[2010.10.08 12:19:22 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT
[2010.10.08 12:18:05 | 000,001,098 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
[2010.10.08 12:14:54 | 000,293,376 | ---- | M] () -- C:\Dokumente und Einstellungen\Administrator\Desktop\r86vdk58.exe
[2010.10.08 12:00:25 | 001,110,306 | ---- | M] () -- C:\WINDOWS\System32\PerfStringBackup.INI
[2010.10.08 12:00:25 | 000,467,880 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2010.10.08 12:00:25 | 000,452,404 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2010.10.08 12:00:25 | 000,094,060 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2010.10.08 12:00:25 | 000,080,740 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2010.10.08 11:56:12 | 000,001,094 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
[2010.10.08 11:32:52 | 000,000,000 | ---- | M] () -- C:\WINDOWS\Xlihayiyohuy.bin
[2010.10.08 10:46:01 | 000,000,559 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.10.08 10:32:36 | 000,002,206 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2010.10.08 12:21:22 | 000,293,376 | ---- | C] () -- C:\Dokumente und Einstellungen\Administrator\Desktop\r86vdk58.exe
[2010.10.08 10:46:01 | 000,000,559 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.03.21 21:24:02 | 000,000,763 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\hpzinstall.log
[2009.07.04 08:31:38 | 000,116,224 | ---- | C] () -- C:\WINDOWS\System32\pdfcmnnt.dll
[2008.06.28 16:26:08 | 000,765,952 | ---- | C] () -- C:\WINDOWS\System32\xvidcore.dll
[2008.06.28 16:26:08 | 000,180,224 | ---- | C] () -- C:\WINDOWS\System32\xvidvfw.dll
[2008.04.13 07:18:16 | 000,000,104 | ---- | C] () -- C:\WINDOWS\wiso.ini
[2007.05.16 22:08:50 | 000,043,520 | ---- | C] () -- C:\WINDOWS\System32\CmdLineExt03.dll
[2007.04.03 21:29:28 | 000,008,704 | ---- | C] () -- C:\WINDOWS\System32\CNMVS7M.DLL
[2007.02.28 13:16:52 | 000,000,016 | ---- | C] () -- C:\WINDOWS\wininit.ini
[2007.02.12 18:56:14 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2007.02.10 03:16:15 | 000,000,305 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\addr_file.html
[2007.02.09 18:40:08 | 000,003,972 | ---- | C] () -- C:\WINDOWS\System32\drivers\PciBus.sys
[2007.02.09 17:59:48 | 000,363,520 | ---- | C] () -- C:\WINDOWS\System32\PsisDecd.dll
[2007.02.09 17:34:23 | 000,155,648 | ---- | C] () -- C:\WINDOWS\System32\RTLCPAPI.dll
[2007.02.09 17:33:44 | 000,004,223 | ---- | C] () -- C:\WINDOWS\Ascd_tmp.ini
[2007.02.09 17:33:42 | 000,005,824 | ---- | C] () -- C:\WINDOWS\System32\drivers\ASUSHWIO.SYS
[2004.08.04 00:57:22 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\ieencode.dll
[2004.08.03 22:59:44 | 000,095,360 | ---- | C] () -- C:\WINDOWS\System32\drivers\atapi.sys
[2004.07.17 11:36:38 | 000,027,440 | ---- | C] () -- C:\WINDOWS\System32\drivers\secdrv.sys
< End of report >

--- --- ---

KiLLaLeNiN · 08.10.2010, 12:04

Und hier die Extra.TXT dazu:OTL EXTRAS Logfile:

Code:

ATTFilter

OTL Extras logfile created on: 08.10.2010 13:01:01 - Run 2
OTL by OldTimer - Version 3.2.14.1     Folder = C:\Dokumente und Einstellungen\Administrator\Desktop
Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 90,00% Memory free
5,00 Gb Paging File | 5,00 Gb Available in Paging File | 99,00% Paging File free
Paging file location(s): C:\pagefile.sys 3072 3072 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 20,00 Gb Total Space | 2,93 Gb Free Space | 14,63% Space Free | Partition Type: NTFS
Drive D: | 50,00 Gb Total Space | 43,57 Gb Free Space | 87,14% Space Free | Partition Type: NTFS
Drive E: | 50,00 Gb Total Space | 37,63 Gb Free Space | 75,27% Space Free | Partition Type: NTFS
Drive F: | 102,89 Gb Total Space | 59,34 Gb Free Space | 57,67% Space Free | Partition Type: NTFS
G: Drive not present or media not loaded
H: Drive not present or media not loaded
Drive I: | 10,00 Gb Total Space | 0,97 Gb Free Space | 9,66% Space Free | Partition Type: NTFS
 
Computer Name: ROMAN
Current User Name: Administrator
Logged in as Administrator.
 
Current Boot Mode: SafeMode
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 1 Day
Output = Minimal
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
htmlfile [edit] -- Reg Error: Key error.
http [open] -- "D:\Programme\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" File not found
https [open] -- "D:\Programme\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" File not found
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation)
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002
"6112:TCP" = 6112:TCP:*:Enabled:warcraft3 - the frozen throne
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"D:\Programme\mIRC\mirc.exe" = D:\Programme\mIRC\mirc.exe:*:Enabled:mIRC -- File not found
"D:\Programme\Trillian\trillian.exe" = D:\Programme\Trillian\trillian.exe:*:Enabled:Trillian -- (Cerulean Studios)
"E:\Downloads\utorrent161.exe" = E:\Downloads\utorrent161.exe:*:Enabled:µTorrent -- File not found
"D:\Programme\Mozilla Firefox\firefox.exe" = D:\Programme\Mozilla Firefox\firefox.exe:*:Enabled:Firefox -- File not found
"F:\Wc3\Frozen Throne.exe" = F:\Wc3\Frozen Throne.exe:*:Enabled:Frozen Throne -- File not found
"D:\Programme\Hamachi\hamachi.exe" = D:\Programme\Hamachi\hamachi.exe:*:Enabled:Hamachi -- (LogMeIn Inc.)
"C:\WINDOWS\system32\dplaysvr.exe" = C:\WINDOWS\system32\dplaysvr.exe:*:Enabled:Microsoft DirectPlay Helper -- (Microsoft Corporation)
"F:\Age of Empires 2\age2_x1\age2_x1.exe" = F:\Age of Empires 2\age2_x1\age2_x1.exe:*:Enabled:Age of Empires II Expansion -- (Microsoft Corporation)
"F:\Call of Duty 2\CoD2MP_s.exe" = F:\Call of Duty 2\CoD2MP_s.exe:*:Enabled:CoD2MP_s -- File not found
"D:\Programme\SopCast\SopCast.exe" = D:\Programme\SopCast\SopCast.exe:*:Enabled:SopCast Main Application -- File not found
"D:\Programme\SopCast\adv\SopAdver.exe" = D:\Programme\SopCast\adv\SopAdver.exe:*:Enabled:SopCast Adver -- File not found
"D:\Programme\TVAnts\Tvants.exe" = D:\Programme\TVAnts\Tvants.exe:*:Enabled:TVAnts -- File not found
"D:\Programme\TVUPlayer\TVUPlayer.exe" = D:\Programme\TVUPlayer\TVUPlayer.exe:*:Enabled:TVUPlayer Component -- File not found
"E:\Across\Across\Across.exe" = E:\Across\Across\Across.exe:*:Enabled:across application -- (Across Systems GmbH)
"C:\WINDOWS\explorer.exe" = C:\WINDOWS\explorer.exe:*:Enabled:Windows Explorer -- (Microsoft Corporation)
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{0001B4FD-9EA3-4D90-A79E-FD14BA3AB01D}" = PDFCreator
"{055EE59D-217B-43A7-ABFF-507B966405D8}" = ATI Catalyst Control Center
"{143BE018-D8F8-4014-8CB6-AF63F5799D21}" = ULi LAN Driver
"{255E0D2A-6AC9-40CB-8F5E-84C8FD7E9DA9}" = hppscanCM1312
"{26A24AE4-039D-4CA4-87B4-2F83216016FF}" = Java(TM) 6 Update 21
"{2A09274B-98DE-CB96-1EE9-2436A0D37480}" = CCC Help English
"{2AFFFDD7-ED85-4A90-8C52-5DA9EBDC9B8F}" = Microsoft SQL Server 2005 Express Edition (ACROSS)
"{3248F0A8-6813-11D6-A77B-00B0D0150110}" = J2SE Runtime Environment 5.0 Update 11
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{3C38D421-BC10-4C08-92AB-6C0C8D834275}" = Across Personal Edition
"{46697B13-FCD5-7BC4-78C4-49FE0D60A00B}" = Catalyst Control Center Graphics Light
"{484A13AB-A4C1-41FD-87E0-EBE2DA01250E}" = hppSendFaxCM1312
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{52A69E11-7CEB-4a7d-9607-68BA4F39A89B}" = DeviceDiscovery
"{53480370-6CA2-47EC-BC05-02B4B9271C31}" = O&O Defrag Professional Edition
"{53F5C3EE-05ED-4830-994B-50B2F0D50FCE}" = Microsoft SQL Server Setup Support Files (English)
"{56192D4B-DB85-7029-6E77-E1505FBD5173}" = Catalyst Control Center Core Implementation
"{56B4002F-671C-49F4-984C-C760FE3806B5}" = Microsoft SQL Server VSS Writer
"{583EDB12-4CEA-48B5-A7BA-88069DD47BA2}" = hppQFolderCM1312
"{5ACA9227-30FC-0DFE-B74F-C106F36A50B6}" = Catalyst Control Center Graphics Previews Common
"{5ACE69F0-A3E8-44eb-88C1-0A841E700180}" = TrayApp
"{5DF72004-F4A7-6AA2-0552-F7737199491E}" = ccc-core-static
"{687FEF8A-8597-40b4-832C-297EA3F35817}" = BufferChm
"{74379B6F-C173-F80E-5E3E-6A5F3E523DEC}" = Catalyst Control Center Graphics Full Existing
"{77F45E76-E897-42CA-A9FE-5F56817D875C}" = Locomotion
"{78CC3BAB-DE2A-4FB4-8FBB-E4DADDC26747}" = Ad-Aware SE Personal
"{7985C7FA-B151-4BA7-B19E-1577A7B527F1}" = hppFaxDrvCM1312
"{80533B67-C407-485D-8B5D-63BB8ED9D878}" = Scan
"{80BA9DC6-D628-4752-A1C3-15349C71BB42}" = hppManualsCM1312
"{84ACBCA0-E149-4830-97E6-107D70D9CA0A}" = WISO Steuer 2008
"{8EEDB90E-6ABC-42bb-AD4C-39DEE05E3EEA}" = HP Color LaserJet CM1312 MFP Series 5.0
"{90110407-6000-11D3-8CFE-0150048383C9}" = Microsoft Office Professional Edition 2003
"{987F2E66-35EC-D7CC-02E0-6F7094D35B71}" = ccc-core-preinstall
"{995F2783-8311-49BF-833E-DB659774B4F6}" = hppFonts
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{9DE3F260-B88E-42CE-90E7-73C78C37D95E}" = 32 Bit HP BiDi Channel Components Installer
"{A43BF6A5-D5F0-4AAA-BF41-65995063EC44}" = MSXML 6.0 Parser
"{A49F249F-0C91-497F-86DF-B2585E8E76B7}" = Microsoft Visual C++ 2005 Redistributable
"{A925C778-5E00-477D-A282-B772C9E76DC7}" = hppScanToCM1312
"{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}" = Google Update Helper
"{AB5D51AE-EBC3-438D-872C-705C7C2084B0}" = DeviceManagementQFolder
"{AC76BA86-7AD7-1031-7B44-A81000000003}" = Adobe Reader 8.1.0 - Deutsch
"{B330C431-CDF4-E40D-A9E9-FF275A47AB7E}" = Catalyst Control Center Graphics Full New
"{B480BD2A-F1BA-4FE6-8C8E-34C6111B72C9}" = ElsterFormular 2007/2008
"{B7050CBDB2504B34BC2A9CA0A692CC29}" = DivX Web Player
"{BD68F46D-8A82-4664-8E68-F87C55BDEFD4}" = Microsoft SQL Server Native Client
"{BF638E12-90F1-443D-B93F-51BCCFD487BA}" = hppCLJCM1312
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{CCB9B81A-167F-4832-B305-D2A0430840B3}" = WebReg
"{D050D7362D214723AD585B541FFB6C11}" = DivX Content Uploader
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"{D29E46AC-B703-5A56-A795-12FB8E6C5DFC}" = Skins
"{D8E1DFEE-622B-46BA-AEFF-AB7E541C0B21}" = Steuer-Spar-Erklärung 2010
"{D99A8E3A-AE5A-4692-8B19-6F16D454E240}" = Destination Component
"{DF6FE172-006A-4324-AF7F-ACFE4BA290FE}" = AAVUpdateManager
"{E3EC0A0D-3FA5-9175-F81C-BDD77FC1A087}" = ccc-utility
"{E9F81423-211E-46B6-9AE0-38568BC5CF6F}" =             
"{ECDC2BC0-0449-48EA-9EBA-95048591DA17}" = hppFaxUtilityCM1312
"{F7B0939E-58DF-11DF-B3A6-005056806466}" = Google Earth
"{FB08F381-6533-4108-B7DD-039E11FBC27E}" = Realtek AC'97 Audio
"{FEB690DE-045C-4FAF-A6A6-4DC7376E24EE}" = Tippfix1_1
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11
"All ATI Software" = ATI - Software Uninstall Utility
"ATI Display Driver" = ATI Display Driver
"Avira AntiVir Desktop" = Avira AntiVir Personal - Free Antivirus
"EVEREST Home Edition_is1" = EVEREST Home Edition v2.20
"Hamachi" = Hamachi 1.0.1.5
"Hattrick Organizer" = Hattrick Organizer (remove only)
"HP Imaging Device Functions" = HP Imaging Device Functions 10.0
"Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware
"Microsoft SQL Server 2005" = Microsoft SQL Server 2005
"Mozilla Firefox (3.6.10)" = Mozilla Firefox (3.6.10)
"Rossmann Fotoservice_is1" = Rossmann Fotoservice 2.6
"Spybot - Search & Destroy_is1" = Spybot - Search & Destroy 1.4
"Teamspeak 2 RC2_is1" = TeamSpeak 2 RC2
"VLC media player" = VideoLAN VLC media player 0.8.6a
"Winamp" = Winamp
"Windows Media Format Runtime" = Windows Media Format Runtime
"WinRAR archiver" = WinRAR Archivierer
"Xvid_is1" = Xvid 1.1.3 final uninstall
"Zak McKracken - Between Time and Space" = Zak McKracken - Between Time and Space
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 08.10.2010 05:18:06 | Computer Name = ROMAN | Source = Google Update | ID = 20
Description = 
 
Error - 08.10.2010 06:18:05 | Computer Name = ROMAN | Source = Google Update | ID = 20
Description = 
 
[ System Events ]
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7001
Description = Der Dienst "DHCP-Client" ist vom Dienst "NetBios über TCP/IP" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7001
Description = Der Dienst "DNS-Client" ist vom Dienst "TCP/IP-Protokolltreiber" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7001
Description = Der Dienst "TCP/IP-NetBIOS-Hilfsprogramm" ist vom Dienst "AFD" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7001
Description = Der Dienst "IPSEC-Dienste" ist vom Dienst "IPSEC-Treiber" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7026
Description = Das Laden folgender Boot- oder Systemstarttreiber ist fehlgeschlagen:
   AFD  avgio  avipbb  Fips  IPSec  MRxSmb  NetBIOS  NetBT  Processor  RasAcd  Rdbss  Tcpip
 
Error - 08.10.2010 06:26:28 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
Error - 08.10.2010 06:26:28 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
Error - 08.10.2010 06:48:57 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
Error - 08.10.2010 06:49:07 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
Error - 08.10.2010 07:01:36 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
 
< End of report >

--- --- ---

Chris4You · 08.10.2010, 13:56

Hi,

das gefällt mir nicht, da war ein Banker/Passwort-Spy drauf...
Sofort von einem sauberen Rechner aus alle Passwörter ändern...

Bereinigungsvorlage
--------------------

OTL:

Doppelklick auf die OTL.exe, um das Programm auszuführen.

Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

Code:

ATTFilter

:OTL
O9 - Extra Button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\PartyPoker\PartyPoker\RunApp.exe File not found
O9 - Extra 'Tools' menuitem : PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\PartyPoker\PartyPoker\RunApp.exe File not found
O32 - AutoRun File - [2010.02.13 15:23:08 | 000,206,972 | ---- | M] () - F:\AUTO.pat -- [ NTFS ]
O32 - AutoRun File - [2010.02.13 15:23:08 | 000,247,040 | ---- | M] () - F:\AUTO.pst -- [ NTFS ]
O36 - AppCertDlls: conv2bin - (C:\WINDOWS\system32\rshdump.dll) - C:\WINDOWS\System32\rshdump.dll File not found
[2010.10.08 11:32:52 | 000,000,000 | ---- | M] () -- C:\WINDOWS\Xlihayiyohuy.bin

:Commands
[purity]
[resethosts]
[emptytemp]
[CREATERESTOREPOINT]
[EMPTYFLASH]
[Reboot]

Den roten Run Fixes! Button anklicken.

Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

%systemroot%\_OTL

Combofix
Lade Combo Fix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Antivierenlösung komplett auschalten und zwar so, dass sie sich auch nach einem Reboot NICHT einschaltet!

Achtung: In einigen wenigen Fällen kann es vorkommen, das der Rechner nicht mehr booten kann und Neuaufgesetzt werden muß!

Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report (ComboFix.txt) angezeigt, den bitte kopieren und in deinem Thread einfuegen.

Cureit:
http://www.trojaner-board.de/59299-a...eb-cureit.html
Nach Beendigung des Scans findes Du das Log unter %USERPROFILE%\DoctorWeb\CureIt.log.
Bevor du irgendwelche Aktionen unternimmst, kopiere bitte den Inhalt des Logs und poste ihn.
Die Log Datei ist sehr groß, ca. über 5MB Text. Benutzt einfach die Suche nach "infiziert" und kopiert betreffende Teile heraus, bevor Du sie postet.

chris

KiLLaLeNiN · 09.10.2010, 07:53

Hier die Results nach dem ersten Bereinigungsschritt mit deinem OTL-Code:

All processes killed
========== OTL ==========
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}\ not found.
F:\AUTO.pat moved successfully.
F:\AUTO.pst moved successfully.
Registry value HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls\\conv2bin:C:\WINDOWS\system32\rshdump.dll deleted successfully.
C:\WINDOWS\Xlihayiyohuy.bin moved successfully.
========== COMMANDS ==========
C:\Dokumente und Einstellungen\billistdoof\Eigene Dateien\ѕystem folder moved successfully.
C:\Dokumente und Einstellungen\billistdoof\Anwendungsdaten\Мicrosoft.NET folder moved successfully.
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 3371 bytes
->Temporary Internet Files folder emptied: 32902 bytes
->FireFox cache emptied: 8166691 bytes
->Flash cache emptied: 348 bytes

User: All Users

User: billistdoof
->Temp folder emptied: 320151181 bytes
->Temporary Internet Files folder emptied: 10535085 bytes
->Java cache emptied: 43443257 bytes
->FireFox cache emptied: 39207817 bytes
->Flash cache emptied: 131397 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 12118713 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 32768 bytes
->Temporary Internet Files folder emptied: 14400499 bytes
->Flash cache emptied: 1536 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2114764 bytes
%systemroot%\System32 .tmp files removed: 2951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 116522390 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 541,00 mb

Restore point Set: OTL Restore Point (0)

[EMPTYFLASH]

User: Administrator
->Flash cache emptied: 0 bytes

User: All Users

User: billistdoof
->Flash cache emptied: 0 bytes

User: Default User

User: LocalService

User: NetworkService
->Flash cache emptied: 0 bytes

Total Flash Files Cleaned = 0,00 mb

OTL by OldTimer - Version 3.2.14.1 log created on 10092010_084232

Files\Folders moved on Reboot...
File move failed. C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temp\Perflib_Perfdata_708.dat scheduled to be moved on reboot.

Registry entries deleted on Reboot...

KiLLaLeNiN · 09.10.2010, 08:28

Und hier der ComboFix Durchlauf:

Combofix Logfile:

Code:

ATTFilter

ComboFix 10-10-07.01 - billistdoof 09.10.2010   9:16.1.1 - x86
Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.2543.2188 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\billistdoof\Desktop\ComboFix.exe

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}
c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}\chrome.manifest
c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}\chrome\content\_cfg.js
c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}\chrome\content\overlay.xul
c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}\install.rdf
c:\windows\ehoqoqiw.dll
c:\windows\system32\spool\prtprocs\w32x86\CNMPD7M.DLL
c:\windows\system32\spool\prtprocs\w32x86\CNMPP7M.DLL

.
(((((((((((((((((((((((   Dateien erstellt von 2010-09-09 bis 2010-10-09  ))))))))))))))))))))))))))))))
.

2010-10-09 07:06 . 2010-10-09 07:06	0	----a-w-	c:\windows\Xlihayiyohuy.bin
2010-10-09 06:42 . 2010-10-09 06:42	--------	d-----w-	C:\_OTL
2010-10-08 08:46 . 2010-10-08 08:46	--------	d-----w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Malwarebytes
2010-10-08 08:45 . 2010-04-29 13:39	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2010-10-08 08:45 . 2010-10-08 08:45	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-10-08 08:45 . 2010-04-29 13:39	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2010-10-01 08:49 . 2010-10-01 08:49	503808	----a-w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-3638bd4a-n\msvcp71.dll
2010-10-01 08:49 . 2010-10-01 08:49	499712	----a-w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-3638bd4a-n\jmc.dll
2010-10-01 08:49 . 2010-10-01 08:49	348160	----a-w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-3638bd4a-n\msvcr71.dll
2010-10-01 08:49 . 2010-10-01 08:49	61440	----a-w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-69f27243-n\decora-sse.dll
2010-10-01 08:49 . 2010-10-01 08:49	12800	----a-w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-69f27243-n\decora-d3d.dll
2010-10-01 08:49 . 2010-07-17 03:00	423656	----a-w-	c:\windows\system32\deployJava1.dll
2010-09-28 12:35 . 2010-09-28 12:35	--------	d-s---w-	c:\dokumente und einstellungen\NetworkService\UserData
2010-09-28 12:27 . 2010-10-01 07:43	120	----a-w-	c:\windows\Mmapehib.dat
2010-09-28 12:23 . 2004-08-03 22:58	25088	----a-w-	c:\windows\system32\stu2.exe

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-10-09 07:18 . 2001-08-18 12:00	94060	----a-w-	c:\windows\system32\perfc007.dat
2010-10-09 07:18 . 2001-08-18 12:00	467880	----a-w-	c:\windows\system32\perfh007.dat
2010-10-08 09:22 . 2010-05-31 17:15	--------	d-----w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Vikaos
2010-10-08 09:22 . 2010-04-06 22:06	--------	d-----w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Asmu
2010-10-04 19:28 . 2007-02-28 13:54	--------	d-----w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Skype
2010-10-01 08:49 . 2007-02-12 01:13	--------	d-----w-	c:\programme\Gemeinsame Dateien\Java
2010-10-01 08:49 . 2010-01-22 13:05	--------	d-----w-	c:\programme\Java
2010-09-10 12:56 . 2008-12-13 10:20	188346	----a-w-	c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\mdbu.bin
2010-08-10 18:17 . 2010-08-10 18:17	6884	----a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\AAV\SSE\15\UpdateFiles\SSEStandard_Patch_15.12.bat
2007-06-08 11:02 . 2007-06-08 11:02	774144	----a-w-	c:\programme\RngInterstitial.dll
.

------- Sigcheck -------

[7] 2004-08-03 . CDFE4411A69C224BD1D11B2DA92DAC51 . 95360 . . [5.1.2600.2180] . . c:\windows\system32\dllcache\atapi.sys
[-] 2004-08-03 18:59 . !HASH: COULD NOT OPEN FILE !!!!! . 95360 . . [------] . . c:\windows\system32\drivers\atapi.sys

[-] 2004-08-09 . 7B11118B078B88F87183FE69EDA43137 . 359040 . . [5.1.2600.2180] . . c:\windows\system32\drivers\tcpip.sys
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-05-14 248552]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-03 15360]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk *\0OODBS

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk
backup=c:\windows\pss\Adobe Reader - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader Synchronizer.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk
backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^HP Digital Imaging Monitor.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\HP Digital Imaging Monitor.lnk
backup=c:\windows\pss\HP Digital Imaging Monitor.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^InterVideo WinCinema Manager.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\InterVideo WinCinema Manager.lnk
backup=c:\windows\pss\InterVideo WinCinema Manager.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
c:\windows\system32\dumprep 0 -k [X]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATIModeChange]
2007-05-18 01:50	26112	----a-w-	c:\windows\system32\Ati2mdxx.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan]
2004-07-27 16:01	68096	----a-w-	c:\windows\SOUNDMAN.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]
2005-05-30 23:04	1415824	----a-w-	d:\programme\Spybot - Search & Destroy\TeaTimer.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]
2006-11-10 10:35	90112	----a-w-	c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
2010-05-14 09:44	248552	----a-w-	c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"d:\\Programme\\Trillian\\trillian.exe"=
"d:\\Programme\\Hamachi\\hamachi.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"f:\\Age of Empires 2\\age2_x1\\age2_x1.exe"=
"e:\\Across\\Across\\Across.exe"=
"d:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"6112:TCP"= 6112:TCP:warcraft3 - the frozen throne

R0 a347bus;a347bus;c:\windows\system32\drivers\a347bus.sys [09.02.2007 19:22 160640]
R0 a347scsi;a347scsi;c:\windows\system32\drivers\a347scsi.sys [09.02.2007 19:22 5248]
R2 AAV UpdateService;AAV UpdateService;d:\programme\AAVUpdateManager\aavus.exe [24.10.2008 16:35 128296]
R2 MSSQL$ACROSS;SQL Server (ACROSS);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [24.11.2008 22:31 29263712]
R3 ULI5261XP;ULi M526X Ethernet NT Driver;c:\windows\system32\drivers\ULILAN51.SYS [09.02.2007 17:34 28672]
S?2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [14.03.2010 22:03 135664]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12	REG_MULTI_SZ   	Pml Driver HPZ12 Net Driver HPZ12
hpdevmgmt	REG_MULTI_SZ   	hpqcxs08 hpqddsvc
.
Inhalt des "geplante Tasks" Ordners

2010-10-09 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-03-14 20:03]

2010-10-09 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-03-14 20:03]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = https://owa.ezag.de/CookieAuth.dll?GetLogon?reason=0&formdir=1&curl=Z2Fowa
uInternet Settings,ProxyOverride = *.local
IE: Nach Microsoft &Excel exportieren - d:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Mozilla\Firefox\Profiles\b3iminv1.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.hattrick.org/
FF - plugin: c:\programme\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\Google\Update\1.2.183.29\npGoogleOneClick8.dll
FF - plugin: c:\programme\Java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: d:\programme\DivX\DivX Content Uploader\npUpload.dll
FF - plugin: d:\programme\DivX\DivX Web Player\npdivx32.dll

---- FIREFOX Richtlinien ----
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); 
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); 
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

HKLM-Run-Gmebizazizazizaz - c:\windows\ehoqoqiw.dll
MSConfigStartUp-WinampAgent - d:\programme\Winamp\winampa.exe
MSConfigStartUp-WinDVR SchSvr - c:\programme\Gemeinsame Dateien\InterVideo\SchSvr\SchSvr.exe
AddRemove-EVEREST Home Edition_is1 - d:\programme\Lavalys\EVEREST Home Edition\unins000.exe
AddRemove-Hattrick Organizer - d:\programme\HattrickOrganizer\Uninstall.exe



Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, hxxp://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x8AB03EC5]<< 
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xba8ecfc3
\Driver\ACPI -> ACPI.sys @ 0xba756cb8
\Driver\atapi -> 0x8a92c820
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x80577d44
 ParseProcedure -> ntkrnlpa.exe @ 0x80576964
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x80577d44
 ParseProcedure -> ntkrnlpa.exe @ 0x80576964
NDIS: ULi PCI Fast Ethernet Controller -> SendCompleteHandler -> NDIS.sys @ 0xba5ddba0
 PacketIndicateHandler -> NDIS.sys @ 0xba5cca0b
 SendHandler -> NDIS.sys @ 0xba5e0b31
Warning: possible MBR rootkit infection !
user & kernel MBR OK 

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\System*]
"OODEFRAG08.00.00.01WORKSTATION"="51EE02BDB36D6AC39E9789714972912BEC6061EFDCB463AF1550328919D329883C9E655B9B28D09267F6CED74DB118C317195FA4CE604D73813B6EC4F1189D6B50470F1B459EF4FEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74C8EDD5E5BE2F6E667A6171C11EC38DE3DFEBC9E127BECC74C5D575E7D6A3B98087CB6997108D4C127C3D346D46853B04BE8F45C971D082A5E71712410201A86E50B7767E09109A2B09ED3A652B43BC032B6C225B43E1234EFB0CFC05D6F1C6582C54F1BA682C7A4A559D70F876933C350A3DD7C3E57850E6AA3CDDF021D5A040660C4BACD59376BB28450CA32719C3656BD4193405F9D29A0F08DB87BCE09E40541C4A2E60626B2CF6412F892A97E24BB444AED4CC13886A87718D2CC9900215682A17F846E854532EED60F6EE40231B62CBEE6F85D59BE5CC8D68D7C8C3BE493F20DD4BE69E885D6503CD20DE6F592C69D41286084267CDA2A1B1A15275B6F1E9521FA32460BE8FD67C3E1BB6DCA94ABF5DDB41F7F6B7F849496FEA55C2317179F5A9B7D46C677ACC952AA4BA39613EA4582605788961A0137E21541147A42E6FC17B4431C1F51A9BCB2F10FAC1502CD4F8154AE4E3CB5B9F2798AFC2B6EED38CB9E992DF2B72481BC104FE11E22E6618E138CCEF4924B5DDBBA61F471AEAA7ADC97F16666D9B785F97C2D1E0241DCF6AD4F5B6413F3EA5E3D696FC62B0D1DDF3A0FB79E09F0E4C8D66FCC26D61691A38EB4E322B25FB87193AD5E158F04FB611BF43987DE9098A26B3FC15E8D6D464044289F3E53F7E91291122B88CAAE1439709D99DB606C53B0832C73AE8EB3D26A98ECDAF069844C7D1C8628C9FDCBC666DA4251557BDCAC521E559D03317AA00307AFB7F85A703D37CB5EFB073D41082CB2FDA8B391604B2C6EC1D04F45F7AE2FC1FDA91782C93183EED01FF48E95DF1100533F3C7695EDA65DD9EF048B860FD8AB4A7A12AF44AEED8779E049EFF46AE1042488B3F44265EC056B339DBB23672CDDE94633A5B5D1444A58E03E50AF57AB303A4AE847CF96EFB528A6967E7073992519FC471A1BC898214F17129439EB432AC221A821CB7B63F1A4A9EEF1347FD8817565A03A11D6C12A28CB8993A980BE4DCB79492765A2BFF2DAEE2DA7D7EE60A7819795A35CD458B50B1D681ABD01F9294C97A070F2AAC12328015927E9376F00A3FEFD69E1AC3CC98A7C7C69536D94FD1A110A0CEB4AE7A24D397FE91DE406A7A6DDB913AE5E0E21973112B36FD970447452667B6F4AF644704831DC4593E8EEB7C8A79B6F7DB5A78B537B21BA6FB526F99899B03B09F7101BB002E35D76225AE927B071F82F5CFEA0D191CD00E94E802F770A97B7F537C03ACC8BD384D47FA1B3383C77C1316FFCF6ED2E4B301AEA68FB56A40C6B184347"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(684)
c:\windows\system32\Ati2evxx.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\Ati2evxx.exe
c:\windows\system32\Ati2evxx.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\system32\oodag.exe
c:\programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe
c:\windows\system32\wdfmgr.exe
c:\windows\system32\wscntfy.exe
c:\\?\c:\windows\system32\WBEM\WMIADAP.EXE
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-10-09  09:23:34 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2010-10-09 07:23

Vor Suchlauf: 3.675.467.776 Bytes frei
Nach Suchlauf: 3.638.202.368 Bytes frei

- - End Of File - - 9BB3D38B4BCF34C0D513D658FE83EB2C

--- --- ---

KiLLaLeNiN · 09.10.2010, 09:01

So, der Trojaner samt Rootkit scheinen nun weg zu sein. Doch beim Starten des Systems braucht er ziemlich lange und es erscheint anfänglich auch der Hinweis, dass Antivir deaktiviert und die Windowsfirewall nicht aktiv ist. Nach ca. 1 Minute rattert dann die Festplatte und die Firewall samt Antivir sind aktiv. Das ist doch auch nicht gut oder? In der "ungeschützten" Zeit kann doch ganz leicht wieder etwas auf den Rechner gelangen?!

KiLLaLeNiN · 09.10.2010, 13:35

Hm...nun hat Antivir den nächsten Fund:

TR/Dldr.Sinmis.A.25

Und in E:\System Volume Information\...\A0112603.exe hat Antivir noch einen Fund: TR/Trash.Gen

DJ-D · 09.10.2010, 14:03

Lade Dir Malwarebytes Anti-Malware herunter und installiere es.

Nach der Installation bitte updaten, danach einen vollständigen Scan ausführen, die gefundenen Ergebnisse "alle entfernen" und dann das Logfile hier posten.

Edit: Falls Du noch Fragen zu Malwarebytes hast, klick in meine Notiz unter dem Punkt "Malwarebytes" und Du siehst eine ausführliche Anleitung.

Romy1309 · 09.10.2010, 19:28

sorry, ich weiss, dass man hier nicht auf fremde beiträge anworten soll, aber ich habe den selben trojaner auf meinem rechner und nach deinen feststellungen krieg ich langsam angst.. kannst du (sofern du zeit hast) mein olt und so ansehen? lieben gruss, r

Chris4You · 09.10.2010, 19:50

@Romy1309
Bitte einen eigenen Thread eröffnen...

chris

KiLLaLeNiN · 09.10.2010, 20:04

Hi Chris4You, hier der erste Report, genau wie du gesagt hast. Die atapi ist locked und Rootkit wird bemängelt

2010/10/09 20:58:04.0578 TDSS rootkit removing tool 2.4.4.0 Oct 4 2010 09:06:59
2010/10/09 20:58:04.0578 ================================================================================
2010/10/09 20:58:04.0578 SystemInfo:
2010/10/09 20:58:04.0578
2010/10/09 20:58:04.0578 OS Version: 5.1.2600 ServicePack: 2.0
2010/10/09 20:58:04.0578 Product type: Workstation
2010/10/09 20:58:04.0578 ComputerName: ROMAN
2010/10/09 20:58:04.0578 UserName: billistdoof
2010/10/09 20:58:04.0578 Windows directory: C:\WINDOWS
2010/10/09 20:58:04.0578 System windows directory: C:\WINDOWS
2010/10/09 20:58:04.0578 Processor architecture: Intel x86
2010/10/09 20:58:04.0578 Number of processors: 1
2010/10/09 20:58:04.0578 Page size: 0x1000
2010/10/09 20:58:04.0578 Boot type: Normal boot
2010/10/09 20:58:04.0578 ================================================================================
2010/10/09 20:58:05.0062 Initialize success
2010/10/09 20:58:07.0421 ================================================================================
2010/10/09 20:58:07.0421 Scan started
2010/10/09 20:58:07.0421 Mode: Manual;
2010/10/09 20:58:07.0421 ================================================================================
2010/10/09 20:58:08.0375 a347bus (1f61cacacb521215f39061789147968c) C:\WINDOWS\system32\DRIVERS\a347bus.sys
2010/10/09 20:58:08.0406 a347scsi (113e4b318bbaa7483ca4e582a4d63f49) C:\WINDOWS\system32\Drivers\a347scsi.sys
2010/10/09 20:58:08.0515 ACPI (94b4741d2cf9ed38140b831293d1601a) C:\WINDOWS\system32\DRIVERS\ACPI.sys
2010/10/09 20:58:08.0562 ACPIEC (9e1ca3160dafb159ca14f83b1e317f75) C:\WINDOWS\system32\drivers\ACPIEC.sys
2010/10/09 20:58:08.0640 aec (841f385c6cfaf66b58fbd898722bb4f0) C:\WINDOWS\system32\drivers\aec.sys
2010/10/09 20:58:08.0687 AFD (5ac495f4cb807b2b98ad2ad591e6d92e) C:\WINDOWS\System32\drivers\afd.sys
2010/10/09 20:58:08.0812 ALCXSENS (ba88534a3ceb6161e7432438b9ea4f54) C:\WINDOWS\system32\drivers\ALCXSENS.SYS
2010/10/09 20:58:08.0906 ALCXWDM (4d4593c10f2c90d48da9fd1b14ace825) C:\WINDOWS\system32\drivers\ALCXWDM.SYS
2010/10/09 20:58:08.0953 AliIde (1140ab9938809700b46bb88e46d72a96) C:\WINDOWS\system32\DRIVERS\aliide.sys
2010/10/09 20:58:09.0140 AsyncMac (02000abf34af4c218c35d257024807d6) C:\WINDOWS\system32\DRIVERS\asyncmac.sys
2010/10/09 20:58:09.0187 atapi (cdfe4411a69c224bd1d11b2da92dac51) C:\WINDOWS\system32\DRIVERS\atapi.sys
2010/10/09 20:58:09.0187 Suspicious file (NoAccess): C:\WINDOWS\system32\DRIVERS\atapi.sys. md5: cdfe4411a69c224bd1d11b2da92dac51
2010/10/09 20:58:09.0203 atapi - detected Locked file (1)
2010/10/09 20:58:09.0328 ati2mtag (33b6866fbf4bf0ad3c97e7b55513e5ab) C:\WINDOWS\system32\DRIVERS\ati2mtag.sys
2010/10/09 20:58:09.0406 ATIAVAIW (9ec2b4fb45a9b90a31eca8245bed28b3) C:\WINDOWS\system32\DRIVERS\atinavt2.sys
2010/10/09 20:58:09.0453 Atmarpc (ec88da854ab7d7752ec8be11a741bb7f) C:\WINDOWS\system32\DRIVERS\atmarpc.sys
2010/10/09 20:58:09.0515 audstub (d9f724aa26c010a217c97606b160ed68) C:\WINDOWS\system32\DRIVERS\audstub.sys
2010/10/09 20:58:09.0593 avgio (0b497c79824f8e1bf22fa6aacd3de3a0) C:\Programme\Avira\AntiVir Desktop\avgio.sys
2010/10/09 20:58:09.0640 avgntflt (a88d29d928ad2b830e87b53e3f9bc182) C:\WINDOWS\system32\DRIVERS\avgntflt.sys
2010/10/09 20:58:09.0687 avipbb (524b9e78e396c00968c5629ed5bbfab0) C:\WINDOWS\system32\DRIVERS\avipbb.sys
2010/10/09 20:58:09.0734 Beep (da1f27d85e0d1525f6621372e7b685e9) C:\WINDOWS\system32\drivers\Beep.sys
2010/10/09 20:58:09.0859 cbidf2k (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINDOWS\system32\drivers\cbidf2k.sys
2010/10/09 20:58:09.0890 CCDECODE (6163ed60b684bab19d3352ab22fc48b2) C:\WINDOWS\system32\DRIVERS\CCDECODE.sys
2010/10/09 20:58:09.0953 Cdaudio (c1b486a7658353d33a10cc15211a873b) C:\WINDOWS\system32\drivers\Cdaudio.sys
2010/10/09 20:58:10.0000 Cdfs (cd7d5152df32b47f4e36f710b35aae02) C:\WINDOWS\system32\drivers\Cdfs.sys
2010/10/09 20:58:10.0031 Cdrom (af9c19b3100fe010496b1a27181fbf72) C:\WINDOWS\system32\DRIVERS\cdrom.sys
2010/10/09 20:58:10.0265 Disk (00ca44e4534865f8a3b64f7c0984bff0) C:\WINDOWS\system32\DRIVERS\disk.sys
2010/10/09 20:58:10.0312 dmboot (5789b83ba87fc84c3568cf86cacef8ce) C:\WINDOWS\system32\drivers\dmboot.sys
2010/10/09 20:58:10.0390 dmio (084eb0a50a4f7b4705c8a57f234e5291) C:\WINDOWS\system32\drivers\dmio.sys
2010/10/09 20:58:10.0406 dmload (5909b79955c2b22c9d9104af56c25665) C:\WINDOWS\system32\drivers\dmload.sys
2010/10/09 20:58:10.0406 Suspicious file (Forged): C:\WINDOWS\system32\drivers\dmload.sys. Real md5: 5909b79955c2b22c9d9104af56c25665, Fake md5: e9317282a63ca4d188c0df5e09c6ac5f
2010/10/09 20:58:10.0421 dmload - detected Rootkit.Win32.TDSS.tdl3 (0)
2010/10/09 20:58:10.0468 DMusic (a6f881284ac1150e37d9ae47ff601267) C:\WINDOWS\system32\drivers\DMusic.sys
2010/10/09 20:58:10.0546 drmkaud (1ed4dbbae9f5d558dbba4cc450e3eb2e) C:\WINDOWS\system32\drivers\drmkaud.sys
2010/10/09 20:58:10.0578 ENTECH (fd9fc82f134b1c91004ffc76a5ae494b) C:\WINDOWS\system32\DRIVERS\ENTECH.sys
2010/10/09 20:58:10.0656 Fastfat (3117f595e9615e04f05a54fc15a03b20) C:\WINDOWS\system32\drivers\Fastfat.sys
2010/10/09 20:58:10.0703 Fdc (ced2e8396a8838e59d8fd529c680e02c) C:\WINDOWS\system32\DRIVERS\fdc.sys
2010/10/09 20:58:10.0734 Fips (9e9af89f9b14aa6249065c309ce73bd8) C:\WINDOWS\system32\drivers\Fips.sys
2010/10/09 20:58:10.0781 Flpydisk (0dd1de43115b93f4d85e889d7a86f548) C:\WINDOWS\system32\DRIVERS\flpydisk.sys
2010/10/09 20:58:10.0828 FltMgr (157754f0df355a9e0a6f54721914f9c6) C:\WINDOWS\system32\DRIVERS\fltMgr.sys
2010/10/09 20:58:10.0859 Fs_Rec (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINDOWS\system32\drivers\Fs_Rec.sys
2010/10/09 20:58:10.0906 Ftdisk (8f1955ce42e1484714b542f341647778) C:\WINDOWS\system32\DRIVERS\ftdisk.sys
2010/10/09 20:58:10.0937 gameenum (5f92fd09e5610a5995da7d775eadcd12) C:\WINDOWS\system32\DRIVERS\gameenum.sys
2010/10/09 20:58:10.0984 Gpc (c0f1d4a21de5a415df8170616703debf) C:\WINDOWS\system32\DRIVERS\msgpc.sys
2010/10/09 20:58:11.0046 hamachi (d30b31375c40309425c21efe75db90bb) C:\WINDOWS\system32\DRIVERS\hamachi.sys
2010/10/09 20:58:11.0093 HidUsb (1de6783b918f540149aa69943bdfeba8) C:\WINDOWS\system32\DRIVERS\hidusb.sys
2010/10/09 20:58:11.0125 HPFXBULK (299683d4c8aaa3f6f5d5d226a1782a6e) C:\WINDOWS\system32\drivers\hpfxbulk.sys
2010/10/09 20:58:11.0218 HTTP (c19b522a9ae0bbc3293397f3055e80a1) C:\WINDOWS\system32\Drivers\HTTP.sys
2010/10/09 20:58:11.0328 i8042prt (7c575018d0413440d75432a78b88c899) C:\WINDOWS\system32\DRIVERS\i8042prt.sys
2010/10/09 20:58:11.0375 Imapi (f8aa320c6a0409c0380e5d8a99d76ec6) C:\WINDOWS\system32\DRIVERS\imapi.sys
2010/10/09 20:58:11.0468 Ip6Fw (4448006b6bc60e6c027932cfc38d6855) C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys
2010/10/09 20:58:11.0500 IpFilterDriver (731f22ba402ee4b62748adaf6363c182) C:\WINDOWS\system32\DRIVERS\ipfltdrv.sys
2010/10/09 20:58:11.0531 IpInIp (e1ec7f5da720b640cd8fb8424f1b14bb) C:\WINDOWS\system32\DRIVERS\ipinip.sys
2010/10/09 20:58:11.0562 IpNat (b5a8e215ac29d24d60b4d1250ef05ace) C:\WINDOWS\system32\DRIVERS\ipnat.sys
2010/10/09 20:58:11.0609 IPSec (64537aa5c003a6afeee1df819062d0d1) C:\WINDOWS\system32\DRIVERS\ipsec.sys
2010/10/09 20:58:11.0640 IRENUM (50708daa1b1cbb7d6ac1cf8f56a24410) C:\WINDOWS\system32\DRIVERS\irenum.sys
2010/10/09 20:58:11.0687 isapnp (ce9b7afdf0a3d7dd8d1487262316b959) C:\WINDOWS\system32\DRIVERS\isapnp.sys
2010/10/09 20:58:11.0734 Kbdclass (b128fc0a5cd83f669d5de4b58f77c7d6) C:\WINDOWS\system32\DRIVERS\kbdclass.sys
2010/10/09 20:58:11.0765 kbdhid (7ec877aa899323b92874fe62c7ddcde7) C:\WINDOWS\system32\DRIVERS\kbdhid.sys
2010/10/09 20:58:11.0812 kmixer (d93cad07c5683db066b0b2d2d3790ead) C:\WINDOWS\system32\drivers\kmixer.sys
2010/10/09 20:58:11.0875 KSecDD (eb7ffe87fd367ea8fca0506f74a87fbb) C:\WINDOWS\system32\drivers\KSecDD.sys
2010/10/09 20:58:11.0968 mnmdd (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINDOWS\system32\drivers\mnmdd.sys
2010/10/09 20:58:12.0000 Modem (91a3da4b12f6f1d760463a7f7857f748) C:\WINDOWS\system32\drivers\Modem.sys
2010/10/09 20:58:12.0046 Mouclass (71e15ca47fd947552054afb28536268f) C:\WINDOWS\system32\DRIVERS\mouclass.sys
2010/10/09 20:58:12.0093 mouhid (66a6f73c74e1791464160a7065ce711a) C:\WINDOWS\system32\DRIVERS\mouhid.sys
2010/10/09 20:58:12.0140 MountMgr (65653f3b4477f3c63e68a9659f85ee2e) C:\WINDOWS\system32\drivers\MountMgr.sys
2010/10/09 20:58:12.0171 MPE (55a9a7e6bb297bf0f5b144029dcb79cc) C:\WINDOWS\system32\DRIVERS\MPE.sys
2010/10/09 20:58:12.0218 MRxDAV (46edcc8f2db2f322c24f48785cb46366) C:\WINDOWS\system32\DRIVERS\mrxdav.sys
2010/10/09 20:58:12.0250 MRxSmb (1fd607fc67f7f7c633c3da65bfc53d18) C:\WINDOWS\system32\DRIVERS\mrxsmb.sys
2010/10/09 20:58:12.0312 Msfs (561b3a4333ca2dbdba28b5b956822519) C:\WINDOWS\system32\drivers\Msfs.sys
2010/10/09 20:58:12.0359 MSKSSRV (ae431a8dd3c1d0d0610cdbac16057ad0) C:\WINDOWS\system32\drivers\MSKSSRV.sys
2010/10/09 20:58:12.0375 MSPCLOCK (13e75fef9dfeb08eeded9d0246e1f448) C:\WINDOWS\system32\drivers\MSPCLOCK.sys
2010/10/09 20:58:12.0406 MSPQM (1988a33ff19242576c3d0ef9ce785da7) C:\WINDOWS\system32\drivers\MSPQM.sys
2010/10/09 20:58:12.0437 mssmbios (469541f8bfd2b32659d5d463a6714bce) C:\WINDOWS\system32\DRIVERS\mssmbios.sys
2010/10/09 20:58:12.0468 MSTEE (bf13612142995096ab084f2db7f40f77) C:\WINDOWS\system32\drivers\MSTEE.sys
2010/10/09 20:58:12.0515 Mup (82035e0f41c2dd05ae41d27fe6cf7de1) C:\WINDOWS\system32\drivers\Mup.sys
2010/10/09 20:58:12.0562 NABTSFEC (5c8dc6429c43dc6177c1fa5b76290d1a) C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys
2010/10/09 20:58:12.0625 NDIS (558635d3af1c7546d26067d5d9b6959e) C:\WINDOWS\system32\drivers\NDIS.sys
2010/10/09 20:58:12.0656 NdisIP (520ce427a8b298f54112857bcf6bde15) C:\WINDOWS\system32\DRIVERS\NdisIP.sys
2010/10/09 20:58:12.0687 NdisTapi (08d43bbdacdf23f34d79e44ed35c1b4c) C:\WINDOWS\system32\DRIVERS\ndistapi.sys
2010/10/09 20:58:12.0734 Ndisuio (34d6cd56409da9a7ed573e1c90a308bf) C:\WINDOWS\system32\DRIVERS\ndisuio.sys
2010/10/09 20:58:12.0765 NdisWan (0b90e255a9490166ab368cd55a529893) C:\WINDOWS\system32\DRIVERS\ndiswan.sys
2010/10/09 20:58:12.0796 NDProxy (59fc3fb44d2669bc144fd87826bb571f) C:\WINDOWS\system32\drivers\NDProxy.sys
2010/10/09 20:58:12.0843 NetBIOS (3a2aca8fc1d7786902ca434998d7ceb4) C:\WINDOWS\system32\DRIVERS\netbios.sys
2010/10/09 20:58:12.0875 NetBT (0c80e410cd2f47134407ee7dd19cc86b) C:\WINDOWS\system32\DRIVERS\netbt.sys
2010/10/09 20:58:12.0937 Npfs (4f601bcb8f64ea3ac0994f98fed03f8e) C:\WINDOWS\system32\drivers\Npfs.sys
2010/10/09 20:58:13.0015 Ntfs (b78be402c3f63dd55521f73876951cdd) C:\WINDOWS\system32\drivers\Ntfs.sys
2010/10/09 20:58:13.0078 Null (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINDOWS\system32\drivers\Null.sys
2010/10/09 20:58:13.0125 NwlnkFlt (b305f3fad35083837ef46a0bbce2fc57) C:\WINDOWS\system32\DRIVERS\nwlnkflt.sys
2010/10/09 20:58:13.0156 NwlnkFwd (c99b3415198d1aab7227f2c88fd664b9) C:\WINDOWS\system32\DRIVERS\nwlnkfwd.sys
2010/10/09 20:58:13.0218 Parport (b2f17a2edb5450e61973a037f63a595b) C:\WINDOWS\system32\DRIVERS\parport.sys
2010/10/09 20:58:13.0234 PartMgr (3334430c29dc338092f79c38ef7b4cd0) C:\WINDOWS\system32\drivers\PartMgr.sys
2010/10/09 20:58:13.0265 ParVdm (c2bf987829099a3eaa2ca6a0a90ecb4f) C:\WINDOWS\system32\drivers\ParVdm.sys
2010/10/09 20:58:13.0312 PCI (6fb463e5b243fbd6f3d3c83f914d94fb) C:\WINDOWS\system32\DRIVERS\pci.sys
2010/10/09 20:58:13.0359 PCIIde (59ba86d9a61cbcf4df8e598c331f5b82) C:\WINDOWS\system32\DRIVERS\pciide.sys
2010/10/09 20:58:13.0406 Pcmcia (e2363f4c1daff89abee5f593e13d8a05) C:\WINDOWS\system32\drivers\Pcmcia.sys
2010/10/09 20:58:13.0640 PptpMiniport (1c5cc65aac0783c344f16353e60b72ac) C:\WINDOWS\system32\DRIVERS\raspptp.sys
2010/10/09 20:58:13.0671 Processor (3d7f196e77f986c106e9320b81a5ebbf) C:\WINDOWS\system32\DRIVERS\processr.sys
2010/10/09 20:58:13.0703 PSched (48671f327553dcf1d27f6197f622a668) C:\WINDOWS\system32\DRIVERS\psched.sys
2010/10/09 20:58:13.0734 Ptilink (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINDOWS\system32\DRIVERS\ptilink.sys
2010/10/09 20:58:13.0781 PxHelp20 (d86b4a68565e444d76457f14172c875a) C:\WINDOWS\system32\Drivers\PxHelp20.sys
2010/10/09 20:58:14.0187 RasAcd (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINDOWS\system32\DRIVERS\rasacd.sys
2010/10/09 20:58:14.0343 Rasl2tp (98faeb4a4dcf812ba1c6fca4aa3e115c) C:\WINDOWS\system32\DRIVERS\rasl2tp.sys
2010/10/09 20:58:14.0375 RasPppoe (7306eeed8895454cbed4669be9f79faa) C:\WINDOWS\system32\DRIVERS\raspppoe.sys
2010/10/09 20:58:14.0421 Raspti (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINDOWS\system32\DRIVERS\raspti.sys
2010/10/09 20:58:14.0437 Rdbss (29d66245adba878fff574cd66abd2884) C:\WINDOWS\system32\DRIVERS\rdbss.sys
2010/10/09 20:58:14.0468 RDPCDD (4912d5b403614ce99c28420f75353332) C:\WINDOWS\system32\DRIVERS\RDPCDD.sys
2010/10/09 20:58:14.0515 rdpdr (a2cae2c60bc37e0751ef9dda7ceaf4ad) C:\WINDOWS\system32\DRIVERS\rdpdr.sys
2010/10/09 20:58:14.0562 RDPWD (d4f5643d7714ef499ae9527fdcd50894) C:\WINDOWS\system32\drivers\RDPWD.sys
2010/10/09 20:58:14.0593 redbook (aa56702e230860565cb8d43680f57f33) C:\WINDOWS\system32\DRIVERS\redbook.sys
2010/10/09 20:58:14.0671 Secdrv (d26e26ea516450af9d072635c60387f4) C:\WINDOWS\system32\DRIVERS\secdrv.sys
2010/10/09 20:58:14.0750 serenum (a2d868aeeff612e70e213c451a70cafb) C:\WINDOWS\system32\DRIVERS\serenum.sys
2010/10/09 20:58:14.0781 Serial (cd5b9995afcdb466c9efc048d167e3be) C:\WINDOWS\system32\DRIVERS\serial.sys
2010/10/09 20:58:14.0812 Sfloppy (0d13b6df6e9e101013a7afb0ce629fe0) C:\WINDOWS\system32\drivers\Sfloppy.sys
2010/10/09 20:58:14.0875 SLIP (5caeed86821fa2c6139e32e9e05ccdc9) C:\WINDOWS\system32\DRIVERS\SLIP.sys
2010/10/09 20:58:14.0937 splitter (8e186b8f23295d1e42c573b82b80d548) C:\WINDOWS\system32\drivers\splitter.sys
2010/10/09 20:58:15.0000 sr (e4200cb2f418d8fc4acdd7e38c419d6a) C:\WINDOWS\system32\DRIVERS\sr.sys
2010/10/09 20:58:15.0046 Srv (20b7e396720353e4117d64d9dcb926ca) C:\WINDOWS\system32\DRIVERS\srv.sys
2010/10/09 20:58:15.0093 ssmdrv (a36ee93698802cd899f98bfd553d8185) C:\WINDOWS\system32\DRIVERS\ssmdrv.sys
2010/10/09 20:58:15.0125 streamip (284c57df5dc7abca656bc2b96a667afb) C:\WINDOWS\system32\DRIVERS\StreamIP.sys
2010/10/09 20:58:15.0171 swenum (03c1bae4766e2450219d20b993d6e046) C:\WINDOWS\system32\DRIVERS\swenum.sys
2010/10/09 20:58:15.0218 swmidi (94abc808fc4b6d7d2bbf42b85e25bb4d) C:\WINDOWS\system32\drivers\swmidi.sys
2010/10/09 20:58:15.0343 sysaudio (650ad082d46bac0e64c9c0e0928492fd) C:\WINDOWS\system32\drivers\sysaudio.sys
2010/10/09 20:58:15.0390 Tcpip (7b11118b078b88f87183fe69eda43137) C:\WINDOWS\system32\DRIVERS\tcpip.sys
2010/10/09 20:58:15.0453 TDPIPE (38d437cf2d98965f239b0abcd66dcb0f) C:\WINDOWS\system32\drivers\TDPIPE.sys
2010/10/09 20:58:15.0484 TDTCP (ed0580af02502d00ad8c4c066b156be9) C:\WINDOWS\system32\drivers\TDTCP.sys
2010/10/09 20:58:15.0500 TermDD (a540a99c281d933f3d69d55e48727f47) C:\WINDOWS\system32\DRIVERS\termdd.sys
2010/10/09 20:58:15.0593 Udfs (12f70256f140cd7d52c58c7048fde657) C:\WINDOWS\system32\drivers\Udfs.sys
2010/10/09 20:58:15.0640 ULI5261XP (ce2dd5efb0f773382376faaf9f506542) C:\WINDOWS\system32\DRIVERS\ULILAN51.SYS
2010/10/09 20:58:15.0703 Update (aff2e5045961bbc0a602bb6f95eb1345) C:\WINDOWS\system32\DRIVERS\update.sys
2010/10/09 20:58:15.0765 usbccgp (bffd9f120cc63bcbaa3d840f3eef9f79) C:\WINDOWS\system32\DRIVERS\usbccgp.sys
2010/10/09 20:58:15.0796 usbehci (15e993ba2f6946b2bfbbfcd30398621e) C:\WINDOWS\system32\DRIVERS\usbehci.sys
2010/10/09 20:58:15.0828 usbhub (c72f40947f92cea56a8fb532edf025f1) C:\WINDOWS\system32\DRIVERS\usbhub.sys
2010/10/09 20:58:15.0859 usbohci (bdfe799a8531bad8a5a985821fe78760) C:\WINDOWS\system32\DRIVERS\usbohci.sys
2010/10/09 20:58:15.0890 usbprint (a42369b7cd8886cd7c70f33da6fcbcf5) C:\WINDOWS\system32\DRIVERS\usbprint.sys
2010/10/09 20:58:15.0937 usbscan (a6bc71402f4f7dd5b77fd7f4a8ddba85) C:\WINDOWS\system32\DRIVERS\usbscan.sys
2010/10/09 20:58:15.0968 USBSTOR (6cd7b22193718f1d17a47a1cd6d37e75) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
2010/10/09 20:58:16.0015 VgaSave (8a60edd72b4ea5aea8202daf0e427925) C:\WINDOWS\System32\drivers\vga.sys
2010/10/09 20:58:16.0093 VolSnap (d6888520ff56d72a50437e371ca25fc9) C:\WINDOWS\system32\drivers\VolSnap.sys
2010/10/09 20:58:16.0140 Wanarp (984ef0b9788abf89974cfed4bfbaacbc) C:\WINDOWS\system32\DRIVERS\wanarp.sys
2010/10/09 20:58:16.0203 wdmaud (2797f33ebf50466020c430ee4f037933) C:\WINDOWS\system32\drivers\wdmaud.sys
2010/10/09 20:58:16.0281 WpdUsb (1385e5aa9c9821790d33a9563b8d2dd0) C:\WINDOWS\system32\Drivers\wpdusb.sys
2010/10/09 20:58:16.0328 WSTCODEC (d5842484f05e12121c511aa93f6439ec) C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS
2010/10/09 20:58:16.0468 ================================================================================
2010/10/09 20:58:16.0468 Scan finished
2010/10/09 20:58:16.0468 ================================================================================
2010/10/09 20:58:16.0500 Detected object count: 2
2010/10/09 21:00:56.0656 Locked file(atapi) - User select action: Skip
2010/10/09 21:00:56.0718 dmload (5909b79955c2b22c9d9104af56c25665) C:\WINDOWS\system32\drivers\dmload.sys
2010/10/09 21:00:56.0718 Suspicious file (Forged): C:\WINDOWS\system32\drivers\dmload.sys. Real md5: 5909b79955c2b22c9d9104af56c25665, Fake md5: e9317282a63ca4d188c0df5e09c6ac5f
2010/10/09 21:01:02.0671 Backup copy found, using it..
2010/10/09 21:01:02.0687 C:\WINDOWS\system32\drivers\dmload.sys - will be cured after reboot
2010/10/09 21:01:02.0687 Rootkit.Win32.TDSS.tdl3(dmload) - User select action: Cure

KiLLaLeNiN · 09.10.2010, 20:09

Und hier ist die MBRCheck:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 2 (build 2600)
Logical Drives Mask: 0x000003fc

Kernel Drivers (total 121):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806CE000 \WINDOWS\system32\hal.dll
0xBADA8000 \WINDOWS\system32\KDCOM.DLL
0xBACB8000 \WINDOWS\system32\BOOTVID.dll
0xBA77F000 a347bus.sys
0xBA750000 ACPI.sys
0xBADAA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xBA73F000 pci.sys
0xBA8A8000 isapnp.sys
0xBAE70000 pciide.sys
0xBAB28000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xBADAC000 aliide.sys
0xBA8B8000 MountMgr.sys
0xBA720000 ftdisk.sys
0xBADAE000 dmload.sys
0xBA6FA000 dmio.sys
0xBAB30000 PartMgr.sys
0xBA8C8000 VolSnap.sys
0xBA6E2000
0xBADB0000 a347scsi.sys
0xBA6CA000 \WINDOWS\System32\Drivers\SCSIPORT.SYS
0xBA8D8000 disk.sys
0xBA8E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xBA6AB000 fltMgr.sys
0xBA699000 sr.sys
0xBA8F8000 PxHelp20.sys
0xBA682000 KSecDD.sys
0xBA5F5000 Ntfs.sys
0xBA5C8000 NDIS.sys
0xBA5AD000 Mup.sys
0xBA948000 \SystemRoot\system32\DRIVERS\processr.sys
0xBA323000 \SystemRoot\system32\DRIVERS\ati2mtag.sys
0xBA30F000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xBA2FB000 \SystemRoot\system32\DRIVERS\parport.sys
0xBAD64000 \SystemRoot\system32\DRIVERS\gameenum.sys
0xBA958000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xBAC18000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xBA2EA000 \SystemRoot\system32\DRIVERS\serial.sys
0xBAD68000 \SystemRoot\system32\DRIVERS\serenum.sys
0xBA251000 \SystemRoot\system32\drivers\ALCXWDM.SYS
0xBA22D000 \SystemRoot\system32\drivers\portcls.sys
0xBA968000 \SystemRoot\system32\drivers\drmk.sys
0xBA20A000 \SystemRoot\system32\drivers\ks.sys
0xBA1A8000 \SystemRoot\system32\drivers\ALCXSENS.SYS
0xBAC20000 \SystemRoot\system32\DRIVERS\ULILAN51.SYS
0xBA978000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xBA988000 \SystemRoot\system32\DRIVERS\redbook.sys
0xBA998000 \SystemRoot\system32\DRIVERS\imapi.sys
0xBAC28000 \SystemRoot\system32\DRIVERS\usbohci.sys
0xBA15D000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xBAC30000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xBAF3D000 \SystemRoot\system32\DRIVERS\audstub.sys
0xBA9A8000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xBAD74000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xBA146000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xBA9B8000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xBA9C8000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xBAC38000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xBA135000 \SystemRoot\system32\DRIVERS\psched.sys
0xBA9D8000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xBAC40000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xBAC48000 \SystemRoot\system32\DRIVERS\raspti.sys
0xBA104000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xBA9E8000 \SystemRoot\system32\DRIVERS\termdd.sys
0xBAC50000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xBADBC000 \SystemRoot\system32\DRIVERS\swenum.sys
0xBA0D0000 \SystemRoot\system32\DRIVERS\update.sys
0xBAD90000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xBA9F8000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xBADBE000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xBAA08000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xBADC0000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xBAF79000 \SystemRoot\System32\Drivers\Null.SYS
0xBADC2000 \SystemRoot\System32\Drivers\Beep.SYS
0xBAC68000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xBAC70000 \SystemRoot\System32\drivers\vga.sys
0xBADC4000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xBADC6000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xBAC78000 \SystemRoot\System32\Drivers\Msfs.SYS
0xBAC80000 \SystemRoot\System32\Drivers\Npfs.SYS
0xBAD50000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xADF8D000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xADF35000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xADF0D000 \SystemRoot\system32\DRIVERS\netbt.sys
0xADEEB000 \SystemRoot\System32\drivers\afd.sys
0xBAA38000 \SystemRoot\system32\DRIVERS\netbios.sys
0xADEBF000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xADE50000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xBAA48000 \SystemRoot\System32\Drivers\Fips.SYS
0xADE2F000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xBAA58000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xADE0D000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xBADCE000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xBA0C8000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xBAAF8000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xBA0C0000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xBA088000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xBAC00000 \SystemRoot\System32\watchdog.sys
0xBA0AC000 \SystemRoot\System32\drivers\Dxapi.sys
0xBF9C1000 \SystemRoot\System32\drivers\dxg.sys
0xBAF82000 \SystemRoot\System32\drivers\dxgthk.sys
0xAC8A4000 \SystemRoot\system32\DRIVERS\atinavt2.sys
0xADC46000 \SystemRoot\system32\DRIVERS\BdaSup.SYS
0xBF9D3000 \SystemRoot\System32\ati2dvag.dll
0xBFA18000 \SystemRoot\System32\ati2cqag.dll
0xBFA72000 \SystemRoot\System32\atikvmag.dll
0xBFAC2000 \SystemRoot\System32\ati3duag.dll
0xBFD8C000 \SystemRoot\System32\ativvaxx.dll
0xAA68F000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xAA673000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xAA522000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xBADFC000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xAA46D000 \SystemRoot\system32\drivers\wdmaud.sys
0xBAAA8000 \SystemRoot\system32\drivers\sysaudio.sys
0xAA062000 \SystemRoot\system32\DRIVERS\srv.sys
0xA996F000 \SystemRoot\System32\Drivers\HTTP.sys
0xA98CD000 \SystemRoot\system32\drivers\kmixer.sys
0xA98AA000 \SystemRoot\System32\Drivers\Fastfat.SYS
0xA9898000 \SystemRoot\system32\drivers\klmd.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 37):
0 System Idle Process
4 System
584 C:\WINDOWS\system32\smss.exe
664 csrss.exe
692 C:\WINDOWS\system32\winlogon.exe
740 C:\WINDOWS\system32\services.exe
752 C:\WINDOWS\system32\lsass.exe
932 C:\WINDOWS\system32\ati2evxx.exe
952 C:\WINDOWS\system32\svchost.exe
1064 svchost.exe
1252 svchost.exe
1392 C:\WINDOWS\system32\ati2evxx.exe
1452 svchost.exe
1624 C:\WINDOWS\system32\spoolsv.exe
1680 C:\Programme\Avira\AntiVir Desktop\sched.exe
1824 D:\Programme\AAVUpdateManager\aavus.exe
1848 C:\Programme\Avira\AntiVir Desktop\avguard.exe
232 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
236 C:\WINDOWS\explorer.exe
436 C:\WINDOWS\system32\svchost.exe
608 C:\Programme\Java\jre6\bin\jqs.exe
668 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
1144 sqlservr.exe
1224 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
1248 D:\Programme\FileHippo.com\UpdateChecker.exe
1264 C:\WINDOWS\system32\ctfmon.exe
1404 C:\WINDOWS\system32\svchost.exe
1548 C:\WINDOWS\system32\oodag.exe
1808 C:\WINDOWS\system32\svchost.exe
2020 sqlbrowser.exe
352 C:\WINDOWS\system32\svchost.exe
568 wdfmgr.exe
2812 C:\WINDOWS\system32\wscntfy.exe
3168 alg.exe
1908 C:\WINDOWS\system32\svchost.exe
3508 wmiprvse.exe
3580 C:\Dokumente und Einstellungen\billistdoof\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive0 at offset 0x00000007`7fe11600 (NTFS)
\\.\E: --> \\.\PhysicalDrive0 at offset 0x00000013`ffd69400 (NTFS)
\\.\F: --> \\.\PhysicalDrive0 at offset 0x00000020`7fcc1200 (NTFS)
\\.\I: --> \\.\PhysicalDrive0 at offset 0x00000005`0014e600 (NTFS)

PhysicalDrive0 Model Number: ST3250620AS, Rev: 3.AAE

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A

Done!

TR/Crypt.XPACK.Gen2 auch noch nach Malwarescan aktiv

Plagegeister aller Art und deren Bekämpfung: TR/Crypt.XPACK.Gen2 auch noch nach Malwarescan aktiv