|
Plagegeister aller Art und deren Bekämpfung: Spaß mit TR/ATRAPS.Gen2, TR/Kazy.mekml.1 und Crypt.XPACK.Gen2Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
28.04.2011, 22:01 | #1 |
| Spaß mit TR/ATRAPS.Gen2, TR/Kazy.mekml.1 und Crypt.XPACK.Gen2 Hallo und Gruß an alle Helfer vom Trojaner-Board! [Smalltalk]Auch ich habe mir den doch sehr beliebten "TR/Kazy.mekml.1" und seine Freunde "TR/ATRAPS.Gen2" und "Crypt.XPACK.Gen2" geholt. Quelle war bei mir sowohl Facebook als auch eine nicht jugendfreihe Internetseite deren Titel an Youtube erinnert Der typische AdobeFlash-Fake-Effekt, wenn ihr wisst was ich meine, trat auf und sogleich gab's System Beeps von Avira mit Meldung von Kazy und Atraps. Würde mich mal interessieren was die beiden denn nun eigentlich wirklich so anstellen...[/Smalltalk] Im abgesicherten Modus ließ ich Avira einen Komplettcheck machen mit Fund der im Thema angesprochenen Trojanern (- CryptXPACK, der kam später) und verschob die Dateien in Quarantäne. Phänomene: In normalem Modus meines Windows XP - Kein Desktop-Kontextmenu - Ordner auf Partitionen weg (fixed, Ordneroptionen in Systemsteuerung geändert, alle versteckten Ordner per Rechtsklick und Entf. des Hakens wieder auftauchen lassen) -kein Taskmanager (fixed, Trojaner scheinen ordentlich in der Registry zu wüten) Avira fand: Typ: Datei Quelle: C:\Dokumente und Einstellungen\DerGeilePowertrashUser\Lokale Einstellungen\Temp\Adobe_Flash_Player.exe Status: Infiziert Quarantäne-Objekt: 4b7cd928.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.214 Virendefinitionsdatei: 7.11.06.251 Meldung: Ist das Trojanische Pferd TR/ATRAPS.Gen2 Datum/Uhrzeit: 27.04.2011, 22:32 Typ: Datei Quelle: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\15458100.exe Status: Infiziert Quarantäne-Objekt: 5654c646.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.214 Virendefinitionsdatei: 7.11.06.251 Meldung: Ist das Trojanische Pferd TR/Kazy.mekml.1 Datum/Uhrzeit: 27.04.2011, 19:07 Typ: Datei Quelle: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\UFBiGpkhwXos.dll Status: Infiziert Quarantäne-Objekt: 4ed5e910.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows 2000/XP/VISTA Workstation Suchengine: 8.02.04.214 Virendefinitionsdatei: 7.11.06.251 Meldung: Ist das Trojanische Pferd TR/Crypt.XPACK.Gen2 Datum/Uhrzeit: 27.04.2011, 19:07 Ist vielleicht interessant für alle anderen Kazy-Freunde, ich jedenfalls würde ganz gern mehr über diesen Plagegeist erfahren. Desweiteren habe ich natürlich Logfiles machen lassen. MalwareBytes sagt: Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 6408 Windows 5.1.2600 Service Pack 2 Internet Explorer 6.0.2900.2180 28.04.2011 20:52:28 mbam-log-2011-04-28 (20-52-28).txt Art des Suchlaufs: Quick-Scan Durchsuchte Objekte: 161632 Laufzeit: 10 Minute(n), 37 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 3 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: HKEY_CLASSES_ROOT\regfile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> No action taken. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\NoChangingWallpaper (PUM.Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (PUM.Hijack.TaskManager) -> Bad: (1) Good: (0) -> No action taken. Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) OTL sagt auch ein paar Dinge: OTL logfile created on: 28.04.2011 22:09:44 - Run 2 OTL by OldTimer - Version 3.2.22.3 Folder = D:\ Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 6.0.2900.2180) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 991,00 Mb Total Physical Memory | 450,00 Mb Available Physical Memory | 45,00% Memory free 2,00 Gb Paging File | 1,00 Gb Available in Paging File | 58,00% Paging File free Paging file location(s): C:\pagefile.sys 1488 2976 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | xxx Gb NTFS Drive D: | xxx Gb NTFS Drive E: | xxx Gb NTFS Drive G: | xxx| Partition Type: FAT Computer Name: PowertrashPrivateDataBla | User Name: Messiah - Powertrash Demo | Logged in as Administrator. Boot Mode: Normal | Scan Mode: Current user Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days ========== Processes (SafeList) ========== PRC - D:\OTL.exe (OldTimer Tools) PRC - D:\ProcessMonitor\Procmon.exe (Sysinternals - www.sysinternals.com) PRC - C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation) PRC - C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH) PRC - C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\OCS\SM\SearchAnonymizerHelper.exe () PRC - C:\Programme\ICQ7.2\ICQ.exe (ICQ, LLC.) PRC - C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QipGuard\QipGuard.exe () PRC - C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH) PRC - C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) PRC - c:\Programme\Avira\AntiVir Desktop\avcenter.exe (Avira GmbH) PRC - C:\Programme\ICQ6Toolbar\ICQ Service.exe () PRC - C:\Programme\Avira\AntiVir Desktop\avshadow.exe (Avira GmbH) PRC - C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.) PRC - C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe (RealNetworks, Inc.) PRC - C:\Programme\Winamp\winamp.exe (Nullsoft) PRC - C:\Programme\Winamp\winampa.exe () PRC - C:\Programme\avmwlanstick\WLanGUI.exe (AVM Berlin) PRC - C:\Programme\avmwlanstick\WLanNetService.exe (AVM Berlin) PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation) PRC - C:\WINDOWS\system32\mmc.exe (Microsoft Corporation) PRC - C:\WINDOWS\SOUNDMAN.EXE (Realtek Semiconductor Corp.) PRC - C:\Programme\Lexmark X1100 Series\lxbkbmon.exe (Lexmark International, Inc.) PRC - C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe (Lexmark International, Inc.) ========== Modules (SafeList) ========== MOD - D:\OTL.exe (OldTimer Tools) MOD - C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9\comctl32.dll (Microsoft Corporation) ========== Win32 Services (SafeList) ========== SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH) SRV - (SearchAnonymizer) -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\OCS\SM\SearchAnonymizerHelper.exe () SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH) SRV - (ICQ Service) -- C:\Programme\ICQ6Toolbar\ICQ Service.exe () SRV - (AVM WLAN Connection Service) -- C:\Programme\avmwlanstick\WLanNetService.exe (AVM Berlin) ========== Driver Services (SafeList) ========== DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH) DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH) DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH) DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH) DRV - (FWLANUSB) -- C:\WINDOWS\system32\drivers\fwlanusb.sys (AVM GmbH) DRV - (avmeject) -- C:\WINDOWS\system32\drivers\avmeject.sys (AVM Berlin) DRV - (SiS315) -- C:\WINDOWS\system32\drivers\sisgrp.sys (Silicon Integrated Systems Corporation) DRV - (SiSkp) -- C:\WINDOWS\system32\drivers\srvkp.sys (Silicon Integrated Systems Corporation) DRV - (rtl8139) NT-Treiber für Realtek RTL8139(A/B/C) -- C:\WINDOWS\system32\drivers\RTL8139.sys (Realtek Semiconductor Corporation) DRV - (AN983) -- C:\WINDOWS\system32\drivers\an983.sys (ADMtek Incorporated.) DRV - (ALCXWDM) Service for Realtek AC97 Audio (WDM) -- C:\WINDOWS\system32\drivers\ALCXWDM.SYS (Realtek Semiconductor Corp.) DRV - (ALCXSENS) -- C:\WINDOWS\system32\drivers\ALCXSENS.SYS (Sensaura Ltd) ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = IE - HKLM\..\URLSearchHook: - Reg Error: Key error. File not found IE - HKLM\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ) IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://qip.ru IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://search.qip.ru IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://search.qip.ru IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://qip.ru IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://search.qip.ru/ie IE - HKCU\..\URLSearchHook: - Reg Error: Key error. File not found IE - HKCU\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ) IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 ========== FireFox ========== FF - prefs.js..browser.search.defaultenginename: "QIP Search" FF - prefs.js..browser.search.selectedEngine: "QIP Search" FF - prefs.js..browser.startup.homepage: "hxxp://devilssoldiers.forum0.net/forum.htm" FF - prefs.js..extensions.enabledItems: {E2883E8F-472F-4fb0-9522-AC9BF37916A7}:1 FF - prefs.js..extensions.enabledItems: 6 FF - prefs.js..extensions.enabledItems: 2 FF - prefs.js..extensions.enabledItems: 41 FF - prefs.js..extensions.enabledItems: {e001c731-5e37-4538-a5cb-8168736a2360}:0.9.9.38 FF - prefs.js..extensions.enabledItems: jqs@sun.com:1.0 FF - prefs.js..extensions.enabledItems: {32a1fd71-835e-4b11-8e54-886fda0b4c89}:1.1 FF - prefs.js..extensions.enabledItems: QipCounter@qip.ru:1.0 FF - prefs.js..extensions.enabledItems: {ABDE892B-13A8-4d1b-88E6-365A6E755758}:1.0 FF - prefs.js..extensions.enabledItems: witchhammer@andrewbuntine.com:1.5 FF - prefs.js..keyword.URL: "hxxp://search.qip.ru/search?from=FF&query=" FF - HKLM\software\mozilla\Mozilla Firefox 3.5.18\extensions\\Components: C:\Programme\Mozilla Firefox\components [2011.04.10 15:45:00 | 000,000,000 | ---D | M] FF - HKLM\software\mozilla\Mozilla Firefox 3.5.18\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2011.04.10 15:45:00 | 000,000,000 | ---D | M] [2009.09.07 11:35:12 | 000,000,000 | -H-D | M] (No name found) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Extensions [2011.04.28 11:19:14 | 000,000,000 | -H-D | M] (No name found) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions [2011.02.10 22:45:03 | 000,000,000 | -H-D | M] (QipAuthorizer) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\{32a1fd71-835e-4b11-8e54-886fda0b4c89} [2010.09.19 12:57:31 | 000,000,000 | -H-D | M] ("BitDefender QuickScan") -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\{e001c731-5e37-4538-a5cb-8168736a2360} [2009.09.07 11:51:58 | 000,000,000 | -H-D | M] (Adobe DLM (powered by getPlus(R))) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\{E2883E8F-472F-4fb0-9522-AC9BF37916A7} [2011.02.10 22:45:14 | 000,000,000 | -H-D | M] ("QipCounter") -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\QipCounter@qip.ru [2010.10.25 21:56:21 | 000,000,000 | -H-D | M] (Witchhammer) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\witchhammer@andrewbuntine.com [2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-1.xml [2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-2.xml [2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-3.xml [2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-4.xml [2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-5.xml [2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-6.xml [2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-7.xml [2011.02.10 23:13:10 | 000,001,180 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin.xml [2011.02.10 23:13:10 | 000,002,314 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\qip-search.xml [2011.02.10 23:13:10 | 000,001,864 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\{0DB18096-74C8-41A4-A28F-2F973F63DC12}.xml [2011.02.10 23:13:10 | 000,002,182 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\{7B2FDA2B-2333-4F27-AD94-EEFD3F88111A}.xml [2011.02.10 23:13:10 | 000,002,071 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\{CF8BF219-E8E8-4910-8178-025FEDAAD11F}.xml [2011.04.28 11:19:14 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions [2010.02.10 23:13:00 | 000,000,000 | ---D | M] (Java Quick Starter) -- C:\PROGRAMME\JAVA\JRE6\LIB\DEPLOY\JQS\FF [2009.09.21 21:11:14 | 000,000,000 | ---D | M] (RealPlayer Browser Record Plugin) -- C:\PROGRAMME\REAL\REALPLAYER\BROWSERRECORD\FIREFOX\EXT [2011.02.10 23:13:09 | 000,001,678 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml [2011.02.10 23:13:10 | 000,002,647 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml [2011.02.10 23:13:10 | 000,007,045 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\leo_ende_de.xml [2011.02.10 23:13:10 | 000,001,272 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml [2011.02.10 23:13:10 | 000,000,860 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml O1 HOSTS File: ([2011.02.10 23:13:27 | 000,001,017 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O1 - Hosts: 127.0.0.1 im.adtech.de O1 - Hosts: 127.0.0.1 adserver.adtech.de O1 - Hosts: 127.0.0.1 adtech.de O1 - Hosts: 127.0.0.1 ar.atwola.com O1 - Hosts: 127.0.0.1 atwola.com O1 - Hosts: 127.0.0.1 adserver.71i.de O1 - Hosts: 127.0.0.1 adicqserver.71i.de O1 - Hosts: 127.0.0.1 71i.de O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated) O2 - BHO: (RealPlayer Download and Record Plugin for Internet Explorer) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\Real\RealPlayer\rpbrowserrecordplugin.dll (RealPlayer) O2 - BHO: (QipLI Class) - {6B5863A0-C43F-4C0A-982B-CC0E9125783F} - C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Microsoft\Internet Explorer\qstatsrv.dll (TODO: <Company name>) O2 - BHO: (QIPBHO Class) - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Microsoft\Internet Explorer\qipsearchbar.dll (qip.ru) O3 - HKLM\..\Toolbar: (ICQToolBar) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ) O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) O4 - HKLM..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\WLanGUI.exe (AVM Berlin) O4 - HKLM..\Run: [Lexmark X1100 Series] C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe (Lexmark International, Inc.) O4 - HKLM..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe (Ahead Software Gmbh) O4 - HKLM..\Run: [Ocs_SM] C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\OCS\SM\SearchAnonymizer.exe (OCS) O4 - HKLM..\Run: [SiSPower] C:\WINDOWS\System32\SiSPower.dll (Silicon Integrated Systems Corporation) O4 - HKLM..\Run: [SoundMan] C:\WINDOWS\SOUNDMAN.EXE (Realtek Semiconductor Corp.) O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.) O4 - HKLM..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe (RealNetworks, Inc.) O4 - HKLM..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe () O4 - HKCU..\Run: [2kkBcCllW8weD] File not found O4 - HKCU..\Run: [Driver Updater] File not found O4 - HKCU..\Run: [QIP Internet Guardian] C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QipGuard\QipGuard.exe () O4 - HKCU..\Run: [RSxWcWRakP] File not found O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe (Adobe Systems, Inc.) O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe (Silicon Integrated Systems Corporation) O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\control panel present O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\restrictions present O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1 O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\control panel present O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\restrictions present O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 91 00 00 00 [binary data] O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1 O9 - Extra Button: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe (ICQ, LLC.) O9 - Extra 'Tools' menuitem : ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe (ICQ, LLC.) O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} hxxp://download.eset.com/special/eos/OnlineScanner.cab (OnlineScanner Control) O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O16 - DPF: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18) O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.2.1 O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation) O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2009.09.07 10:48:33 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ] O32 - AutoRun File - [2006.11.06 12:48:00 | 000,000,000 | ---- | M] () - D:\AUTOEXEC.BAT -- [ NTFS ] O34 - HKLM BootExecute: (autocheck autochk *) - File not found O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* O37 - HKCU\...exe [@ = exefile] -- Reg Error: Key error. File not found ========== Files/Folders - Created Within 30 Days ========== [2011.04.28 21:14:22 | 000,000,000 | -H-D | C] -- C:\WINDOWS\System32\GroupPolicy [2011.04.28 21:05:33 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\XXX\Desktop\Nicht verwendete Desktopverknüpfungen [2011.04.28 21:03:55 | 000,000,000 | ---D | C] -- C:\WINDOWS\LastGood [2011.04.28 20:10:59 | 000,000,000 | ---D | C] -- C:\WINDOWS\ServicePackFiles [2011.04.28 12:30:33 | 000,000,000 | -H-D | C] -- C:\WINDOWS\$MSI31Uninstall_KB893803v2$ [2011.04.28 12:29:50 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\PreInstall [2011.04.28 12:29:49 | 000,026,488 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\spupdsvc.exe [2011.04.28 11:10:27 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\SoftwareDistribution [2011.04.26 21:48:15 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\XXX\Recent [2011.04.25 21:48:49 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\XXX\Ostereiersuche_2011 [2011.04.25 17:46:44 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\XXX\Desktop\SQL_Klausuren [2011.04.24 23:21:44 | 000,005,632 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\ptpusb.dll [2011.04.24 23:21:43 | 000,159,232 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\ptpusd.dll [2011.04.24 22:54:23 | 000,016,384 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\ipsink.ax [2011.04.24 22:54:03 | 000,091,136 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\kswdmcap.ax [2011.04.24 22:54:03 | 000,061,952 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\kstvtune.ax [2011.04.24 22:54:03 | 000,028,672 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\vidcap.ax [2011.04.24 22:54:02 | 000,054,272 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\vfwwdm32.dll [2011.04.24 22:54:00 | 000,043,008 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\ksxbar.ax [2011.04.24 22:54:00 | 000,020,992 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\dshowext.ax [2011.04.23 13:55:29 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\XXX\mmm82 [2011.04.16 11:31:13 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\XXX\1971_-_magic_theatre [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2011.04.28 21:10:54 | 000,405,118 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat [2011.04.28 21:10:54 | 000,392,296 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat [2011.04.28 21:10:54 | 000,070,580 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat [2011.04.28 21:10:54 | 000,058,596 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat [2011.04.28 21:01:12 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2011.04.28 20:16:31 | 000,001,374 | ---- | M] () -- C:\WINDOWS\imsins.BAK [2011.04.27 19:54:37 | 000,033,280 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [2011.04.26 13:08:53 | 000,510,354 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Desktop\riff.mp3 [2011.04.25 18:35:56 | 000,049,571 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Desktop\217999_211423908882149_100000436258770_744381_3176872_n.jpg [2011.04.24 20:04:30 | 006,743,379 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Desktop\Kindergarten.mp3 [2011.04.22 12:47:05 | 000,013,646 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2011.04.14 10:23:30 | 000,029,639 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Eigene Dateien\l.jpg [2011.04.10 11:32:37 | 000,002,594 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Desktop\catacombs.gp5 [2011.04.02 15:34:40 | 000,137,656 | ---- | M] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avipbb.sys [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files Created - No Company Name ========== [2011.04.26 13:08:49 | 000,510,354 | ---- | C] () -- C:\Dokumente und Einstellungen\XXX\Desktop\riff.mp3 [2011.04.25 18:35:55 | 000,049,571 | ---- | C] () -- C:\Dokumente und Einstellungen\XXX\Desktop\217999_211423908882149_100000436258770_744381_3176872_n.jpg [2011.03.14 18:45:59 | 000,075,230 | ---- | C] () -- C:\WINDOWS\VGAsetup.ini [2011.03.14 18:45:56 | 000,036,864 | R--- | C] () -- C:\WINDOWS\InstFunc.exe [2011.03.14 18:45:49 | 000,065,536 | R--- | C] () -- C:\WINDOWS\System32\sis760.bin [2011.03.14 18:45:49 | 000,065,536 | R--- | C] () -- C:\WINDOWS\System32\sis741.bin [2011.03.14 18:45:48 | 000,049,152 | R--- | C] () -- C:\WINDOWS\System32\sis660.bin [2011.03.14 18:45:26 | 000,073,999 | ---- | C] () -- C:\WINDOWS\System32\VGAunistlog.ini [2011.03.14 18:41:39 | 000,000,164 | ---- | C] () -- C:\WINDOWS\avrack.ini [2010.08.11 18:09:22 | 000,068,640 | ---- | C] () -- C:\WINDOWS\unTMV.exe [2010.07.26 21:14:44 | 000,000,101 | ---- | C] () -- C:\WINDOWS\lexstat.ini [2010.05.31 21:54:49 | 000,000,048 | ---- | C] () -- C:\WINDOWS\scmate.ini [2010.01.04 19:41:44 | 000,000,552 | ---- | C] () -- C:\WINDOWS\System32\d3d8caps.dat [2009.11.18 14:21:32 | 000,000,652 | ---- | C] () -- C:\WINDOWS\cdplayer.ini [2009.10.07 12:41:39 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI [2009.09.08 12:32:29 | 000,033,280 | -H-- | C] () -- C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [2009.09.07 16:36:57 | 000,004,096 | ---- | C] () -- C:\WINDOWS\d3dx.dat [2009.09.07 16:18:13 | 000,000,266 | ---- | C] () -- C:\WINDOWS\System32\lxbkcoin.ini [2009.09.07 13:18:47 | 000,000,664 | ---- | C] () -- C:\WINDOWS\System32\d3d9caps.dat [2009.09.07 11:35:29 | 000,004,161 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI [2009.09.07 11:35:04 | 000,000,000 | ---- | C] () -- C:\WINDOWS\nsreg.dat [2009.09.07 11:34:07 | 000,146,016 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2009.09.07 10:55:19 | 000,097,360 | ---- | C] () -- C:\WINDOWS\System32\drivers\Fwusb1b.bin [2009.09.07 10:51:55 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat [2009.09.07 10:44:40 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat [2006.02.28 14:00:00 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin [2006.02.28 14:00:00 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat [2006.02.28 14:00:00 | 000,405,118 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat [2006.02.28 14:00:00 | 000,392,296 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat [2006.02.28 14:00:00 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat [2006.02.28 14:00:00 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat [2006.02.28 14:00:00 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat [2006.02.28 14:00:00 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\ieencode.dll [2006.02.28 14:00:00 | 000,070,580 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat [2006.02.28 14:00:00 | 000,058,596 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat [2006.02.28 14:00:00 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin [2006.02.28 14:00:00 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat [2006.02.28 14:00:00 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat [2006.02.28 14:00:00 | 000,027,440 | ---- | C] () -- C:\WINDOWS\System32\drivers\secdrv.sys [2006.02.28 14:00:00 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat [2006.02.28 14:00:00 | 000,004,461 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat [2006.02.28 14:00:00 | 000,001,788 | ---- | C] () -- C:\WINDOWS\System32\Dcache.bin [2006.02.28 14:00:00 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat [2003.08.18 16:55:48 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\LXBKIH.EXE [2003.08.18 16:46:38 | 000,077,824 | ---- | C] () -- C:\WINDOWS\System32\LXBKLCNP.DLL [2002.11.13 21:40:22 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\lxbkvs.dll [2001.01.19 21:50:20 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\INSTMON.EXE ========== LOP Check ========== [2010.01.25 22:24:01 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ashampoo [2010.07.26 21:16:19 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BVRP Software [2010.06.23 07:37:47 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ICQ [2010.05.17 21:48:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SITEguard [2010.05.18 11:56:07 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\STOPzilla! [2010.01.26 21:03:30 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Ashampoo [2011.02.02 23:54:45 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Audacity [2010.05.25 16:57:10 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Desktopicon [2011.04.28 21:51:00 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\ICQ [2009.12.21 13:09:42 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Nvu [2011.02.10 23:12:58 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\OCS [2011.02.10 23:13:10 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Opera [2011.02.10 22:45:35 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QIP [2011.02.10 22:45:16 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QipGuard [2010.12.19 18:55:54 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QuickScan [2010.07.12 00:48:48 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\ScummVM [2010.11.04 14:38:08 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\TeamViewer [2009.11.19 15:50:13 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Toolbars ========== Purity Check ========== < End of report > Danke bereits im Vorraus! Warscheinlich werd ich das (steinzeitliche) System eh komplett crashen, aber bevor ich mich an Datensicherung etc. mache, wäre es toll für mein Ego Kazy mit euerer Hilfe zu bezwingen. - Entschuldigt die doofen Bemerkungen - ____________ POWERTRASH ____________ |
30.04.2011, 03:01 | #2 |
/// Winkelfunktion /// TB-Süch-Tiger™ | Spaß mit TR/ATRAPS.Gen2, TR/Kazy.mekml.1 und Crypt.XPACK.Gen2 Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.
__________________
__________________ |
Themen zu Spaß mit TR/ATRAPS.Gen2, TR/Kazy.mekml.1 und Crypt.XPACK.Gen2 |
0x00000001, antivir, avgntflt.sys, avira, bho, crypt.xpack.gen, crypt.xpack.gen2, datensicherung, defender, disabletaskmgr, einstellungen, error, explorer, firefox, format, location, mmc.exe, mozilla, oldtimer, pdf, plug-in, realtek, registry, sched.exe, searchplugins, software, stick, system, taskmanager, temp, tr/crypt.xpack.ge, tr/crypt.xpack.gen, trojaner-board, usb, windows, windows xp |