TR/Jorik.SpyEyes.nc + EXP/CVE-2010-4452.A

dmeder · 29.05.2011, 13:58

Mein neuer Rechner wurd imo ein wenig langsamer,deshalb mal ein Scan gemacht mit AV und das ist dabei raus gekommen:

Zitat:

Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\35\27b84623-4668a097
[FUND] Enthält Erkennungsmuster des Exploits EXP/CVE-2010-4452.A
C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\63\5b3f757f-1323791b
[FUND] Ist das Trojanische Pferd TR/Jorik.SpyEyes.nc
C:\Recycle.Bin\Recycle.Bin.exe
[FUND] Ist das Trojanische Pferd TR/Jorik.SpyEyes.nc

Nun bräucht ich mal eure Hilfe und eine Schritt für Schritt Anleitung zum eleminieren der Schädlinge

Ich habe die Schädlinge erst einmal nicht in die Quarantäne geschickt!

cosinus · 29.05.2011, 15:28

Hallo und

Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL-Custom:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die Textbox.

Code:

ATTFilter

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
wininit.exe
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf .
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

dmeder · 29.05.2011, 19:28

Hi

Hab nu alles gescannt,hoffe ist korrekt so

OTL-Scan
OTL Logfile:

Code:

ATTFilter

OTL logfile created on: 29.05.2011 20:20:33 - Run 1
OTL by OldTimer - Version 3.2.23.0     Folder = C:\Dokumente und Einstellungen\cruncher\Desktop
Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 7.0.5730.13)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,25 Gb Total Physical Memory | 2,86 Gb Available Physical Memory | 88,01% Memory free
5,09 Gb Paging File | 4,76 Gb Available in Paging File | 93,64% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINXP | %ProgramFiles% = C:\Programme
Drive C: | 97,65 Gb Total Space | 89,76 Gb Free Space | 91,91% Space Free | Partition Type: NTFS
Drive D: | 367,19 Gb Total Space | 349,12 Gb Free Space | 95,08% Space Free | Partition Type: NTFS
 
Computer Name: BIE | User Name: cruncher | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - [2011.05.29 20:10:28 | 000,580,096 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\cruncher\Desktop\OTL.exe
PRC - [2011.05.18 21:11:44 | 000,136,360 | ---- | M] (Avira GmbH) -- D:\Programme\Avira\AntiVir Desktop\sched.exe
PRC - [2011.03.25 13:31:23 | 000,269,480 | ---- | M] (Avira GmbH) -- D:\Programme\Avira\AntiVir Desktop\avguard.exe
PRC - [2010.12.13 09:39:19 | 000,281,768 | ---- | M] (Avira GmbH) -- D:\Programme\Avira\AntiVir Desktop\avgnt.exe
PRC - [2010.10.29 14:49:28 | 000,249,064 | ---- | M] (Sun Microsystems, Inc.) -- C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
PRC - [2010.01.14 22:10:53 | 000,076,968 | ---- | M] (Avira GmbH) -- D:\Programme\Avira\AntiVir Desktop\avshadow.exe
PRC - [2008.01.24 17:29:52 | 002,981,328 | ---- | M] (Hansenet) -- D:\Programme\Alice Software\AliceEinwahl.exe
PRC - [2007.10.09 17:05:16 | 001,036,288 | ---- | M] (Microsoft Corporation) -- C:\WINXP\explorer.exe
PRC - [2007.08.15 09:49:25 | 000,063,040 | ---- | M] () -- D:\Spiele\MOHA\UnrealEngine3\MOHAGame\pb\PnkBstrA.exe
 
 
========== Modules (SafeList) ==========
 
MOD - [2011.05.29 20:10:28 | 000,580,096 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\cruncher\Desktop\OTL.exe
MOD - [2006.08.25 05:46:46 | 001,054,208 | R--- | M] (Microsoft Corporation) -- C:\WINXP\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2982_x-ww_ac3f9c03\comctl32.dll
 
 
========== Win32 Services (SafeList) ==========
 
SRV - [2011.05.18 21:11:44 | 000,136,360 | ---- | M] (Avira GmbH) [Auto | Running] -- D:\Programme\Avira\AntiVir Desktop\sched.exe -- (AntiVirSchedulerService)
SRV - [2011.03.25 13:31:23 | 000,269,480 | ---- | M] (Avira GmbH) [Auto | Running] -- D:\Programme\Avira\AntiVir Desktop\avguard.exe -- (AntiVirService)
SRV - [2007.08.15 09:49:25 | 000,063,040 | ---- | M] () [Auto | Running] -- D:\Spiele\MOHA\UnrealEngine3\MOHAGame\pb\PnkBstrA.exe -- (PnkBstrA)
 
 
========== Driver Services (SafeList) ==========
 
DRV - [2011.03.25 13:31:26 | 000,137,656 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINXP\system32\drivers\avipbb.sys -- (avipbb)
DRV - [2010.12.13 09:39:38 | 000,061,960 | ---- | M] (Avira GmbH) [File_System | Auto | Running] -- C:\WINXP\system32\drivers\avgntflt.sys -- (avgntflt)
DRV - [2010.06.17 15:27:02 | 000,028,520 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINXP\system32\drivers\ssmdrv.sys -- (ssmdrv)
DRV - [2010.06.17 15:26:52 | 000,011,608 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- D:\Programme\Avira\AntiVir Desktop\avgio.sys -- (avgio)
DRV - [2010.01.11 12:00:10 | 002,106,880 | R--- | M] (VIA Technologies, Inc.) [Kernel | On_Demand | Running] -- C:\WINXP\system32\drivers\viahduaa.sys -- (VIAHdAudAddService)
DRV - [2009.07.31 23:22:44 | 004,411,392 | ---- | M] (ATI Technologies Inc.) [Kernel | On_Demand | Running] -- C:\WINXP\system32\drivers\ati2mtag.sys -- (ati2mtag)
DRV - [2009.07.28 10:55:00 | 000,143,360 | R--- | M] (Realtek Semiconductor Corporation                           ) [Kernel | On_Demand | Running] -- C:\WINXP\system32\drivers\Rtenicxp.sys -- (RTLE8023xp)
DRV - [2004.08.14 04:56:20 | 000,005,810 | R--- | M] () [Kernel | On_Demand | Running] -- C:\WINXP\system32\drivers\ASACPI.sys -- (MTsensor)
DRV - [2004.08.09 13:33:26 | 000,114,016 | ---- | M] (Protection Technology) [Kernel | Boot | Running] -- C:\WINXP\System32\drivers\prohlp02.sys -- (prohlp02)
DRV - [2004.08.09 13:29:28 | 000,053,920 | ---- | M] (Protection Technology) [Kernel | System | Running] -- C:\WINXP\System32\drivers\prodrv06.sys -- (prodrv06)
DRV - [2004.07.19 16:49:54 | 000,007,040 | ---- | M] (Protection Technology) [Kernel | Boot | Running] -- C:\WINXP\System32\drivers\prosync1.sys -- (prosync1)
DRV - [2003.12.01 17:20:52 | 000,004,832 | ---- | M] (Protection Technology) [Kernel | Boot | Running] -- C:\WINXP\System32\drivers\sfhlp01.sys -- (sfhlp01)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = C:\WINXP\system32\blank.htm
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.defaultenginename: "Ask.com"
FF - prefs.js..browser.search.order.1: "Ask.com"
FF - prefs.js..browser.search.selectedEngine: "Ask.com"
FF - prefs.js..browser.search.update: false
FF - prefs.js..browser.search.useDBForOrder: true
FF - prefs.js..browser.startup.homepage: "www.klamm.de"
FF - prefs.js..extensions.enabledItems: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}:1.3.3
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}:6.0.22
FF - prefs.js..extensions.enabledItems: jqs@sun.com:1.0
FF - prefs.js..extensions.enabledItems: {6F0976E6-26F3-4AFE-BBEC-9E99E27E4DF3}:1.4.14
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}:6.0.24
 
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.13\extensions\\Components: D:\Programme\Feuerfuchs\components [2011.01.28 20:27:52 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.13\extensions\\Plugins: D:\Programme\Feuerfuchs\plugins [2011.04.25 17:33:08 | 000,000,000 | ---D | M]
 
[2011.01.28 20:27:56 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Mozilla\Extensions
[2011.05.22 11:05:44 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Mozilla\Firefox\Profiles\92rdzlgw.default\extensions
[2011.04.25 17:43:12 | 000,000,000 | ---D | M] (Fire.fm) -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Mozilla\Firefox\Profiles\92rdzlgw.default\extensions\{6F0976E6-26F3-4AFE-BBEC-9E99E27E4DF3}
[2011.03.06 20:19:25 | 000,000,000 | ---D | M] (ReloadEvery) -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Mozilla\Firefox\Profiles\92rdzlgw.default\extensions\{888d99e7-e8b5-46a3-851e-1ec45da1e644}
[2011.02.01 16:07:29 | 000,000,000 | ---D | M] (Adblock Plus) -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Mozilla\Firefox\Profiles\92rdzlgw.default\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}
[2011.02.01 16:07:29 | 000,000,000 | ---D | M] ("Tab Mix Plus") -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Mozilla\Firefox\Profiles\92rdzlgw.default\extensions\{dc572301-7619-498c-a57d-39143191b318}
[2011.05.08 11:42:32 | 000,002,567 | ---- | M] () -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Mozilla\Firefox\Profiles\92rdzlgw.default\searchplugins\askcom.xml
[2011.04.23 13:13:22 | 000,000,000 | ---D | M] (Java Quick Starter) -- C:\PROGRAMME\JAVA\JRE6\LIB\DEPLOY\JQS\FF
[2011.04.23 13:13:30 | 000,000,000 | ---D | M] (Java Console) -- D:\PROGRAMME\FEUERFUCHS\EXTENSIONS\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
[2011.05.21 20:38:50 | 000,000,000 | ---D | M] (Java Console) -- D:\PROGRAMME\FEUERFUCHS\EXTENSIONS\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}
 
O1 HOSTS File: ([2001.08.23 11:00:00 | 000,000,820 | ---- | M]) - C:\WINXP\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated)
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.
O4 - HKLM..\Run: [Adobe ARM] C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe (Adobe Systems Incorporated)
O4 - HKLM..\Run: [Adobe Reader Speed Launcher] D:\Programme\Adope\Reader\Reader_sl.exe (Adobe Systems Incorporated)
O4 - HKLM..\Run: [avgnt] D:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O4 - HKLM..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O9 - Extra Button: ICQ7.5 - {7578ADEA-D65F-4C89-A249-B1C88B6FFC20} - C:\Programme\ICQ7.5\ICQ.exe (ICQ, LLC.)
O9 - Extra 'Tools' menuitem : ICQ7.5 - {7578ADEA-D65F-4C89-A249-B1C88B6FFC20} - C:\Programme\ICQ7.5\ICQ.exe (ICQ, LLC.)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object)
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINXP\explorer.exe (Microsoft Corporation)
O20 - Winlogon\Notify\AtiExtEvent: DllName - Ati2evxx.dll - C:\WINXP\System32\ati2evxx.dll (ATI Technologies Inc.)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2011.01.28 23:07:37 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
NetSvcs: 6to4 -  File not found
NetSvcs: Ias -  File not found
NetSvcs: Iprip -  File not found
NetSvcs: Irmon -  File not found
NetSvcs: NWCWorkstation -  File not found
NetSvcs: Nwsapagent -  File not found
NetSvcs: WmdmPmSp -  File not found
 
 
SafeBootMin: Base - Driver Group
SafeBootMin: Boot Bus Extender - Driver Group
SafeBootMin: Boot file system - Driver Group
SafeBootMin: File system - Driver Group
SafeBootMin: Filter - Driver Group
SafeBootMin: PCI Configuration - Driver Group
SafeBootMin: PNP Filter - Driver Group
SafeBootMin: Primary disk - Driver Group
SafeBootMin: SCSI Class - Driver Group
SafeBootMin: sermouse.sys - Driver
SafeBootMin: System Bus Extender - Driver Group
SafeBootMin: vga.sys - Driver
SafeBootMin: {36FC9E60-C465-11CF-8056-444553540000} - Universal Serial Bus controllers
SafeBootMin: {4D36E965-E325-11CE-BFC1-08002BE10318} - CD-ROM Drive
SafeBootMin: {4D36E967-E325-11CE-BFC1-08002BE10318} - DiskDrive
SafeBootMin: {4D36E969-E325-11CE-BFC1-08002BE10318} - Standard floppy disk controller
SafeBootMin: {4D36E96A-E325-11CE-BFC1-08002BE10318} - Hdc
SafeBootMin: {4D36E96B-E325-11CE-BFC1-08002BE10318} - Keyboard
SafeBootMin: {4D36E96F-E325-11CE-BFC1-08002BE10318} - Mouse
SafeBootMin: {4D36E977-E325-11CE-BFC1-08002BE10318} - PCMCIA Adapters
SafeBootMin: {4D36E97B-E325-11CE-BFC1-08002BE10318} - SCSIAdapter
SafeBootMin: {4D36E97D-E325-11CE-BFC1-08002BE10318} - System
SafeBootMin: {4D36E980-E325-11CE-BFC1-08002BE10318} - Floppy disk drive
SafeBootMin: {71A27CDD-812A-11D0-BEC7-08002BE2092F} - Volume
SafeBootMin: {745A17A0-74D3-11D0-B6FE-00A0C90F57DA} - Human Interface Devices
 
SafeBootNet: Base - Driver Group
SafeBootNet: Boot Bus Extender - Driver Group
SafeBootNet: Boot file system - Driver Group
SafeBootNet: File system - Driver Group
SafeBootNet: Filter - Driver Group
SafeBootNet: NDIS Wrapper - Driver Group
SafeBootNet: NetBIOSGroup - Driver Group
SafeBootNet: NetDDEGroup - Driver Group
SafeBootNet: Network - Driver Group
SafeBootNet: NetworkProvider - Driver Group
SafeBootNet: PCI Configuration - Driver Group
SafeBootNet: PNP Filter - Driver Group
SafeBootNet: PNP_TDI - Driver Group
SafeBootNet: Primary disk - Driver Group
SafeBootNet: SCSI Class - Driver Group
SafeBootNet: sermouse.sys - Driver
SafeBootNet: Streams Drivers - Driver Group
SafeBootNet: System Bus Extender - Driver Group
SafeBootNet: TDI - Driver Group
SafeBootNet: vga.sys - Driver
SafeBootNet: {36FC9E60-C465-11CF-8056-444553540000} - Universal Serial Bus controllers
SafeBootNet: {4D36E965-E325-11CE-BFC1-08002BE10318} - CD-ROM Drive
SafeBootNet: {4D36E967-E325-11CE-BFC1-08002BE10318} - DiskDrive
SafeBootNet: {4D36E969-E325-11CE-BFC1-08002BE10318} - Standard floppy disk controller
SafeBootNet: {4D36E96A-E325-11CE-BFC1-08002BE10318} - Hdc
SafeBootNet: {4D36E96B-E325-11CE-BFC1-08002BE10318} - Keyboard
SafeBootNet: {4D36E96F-E325-11CE-BFC1-08002BE10318} - Mouse
SafeBootNet: {4D36E972-E325-11CE-BFC1-08002BE10318} - Net
SafeBootNet: {4D36E973-E325-11CE-BFC1-08002BE10318} - NetClient
SafeBootNet: {4D36E974-E325-11CE-BFC1-08002BE10318} - NetService
SafeBootNet: {4D36E975-E325-11CE-BFC1-08002BE10318} - NetTrans
SafeBootNet: {4D36E977-E325-11CE-BFC1-08002BE10318} - PCMCIA Adapters
SafeBootNet: {4D36E97B-E325-11CE-BFC1-08002BE10318} - SCSIAdapter
SafeBootNet: {4D36E97D-E325-11CE-BFC1-08002BE10318} - System
SafeBootNet: {4D36E980-E325-11CE-BFC1-08002BE10318} - Floppy disk drive
SafeBootNet: {71A27CDD-812A-11D0-BEC7-08002BE2092F} - Volume
SafeBootNet: {745A17A0-74D3-11D0-B6FE-00A0C90F57DA} - Human Interface Devices
 
ActiveX: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} - Java (Sun)
ActiveX: {10072CEC-8CC1-11D1-986E-00A0C955B42F} - Vektorgrafik-Rendering (VML)
ActiveX: {2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} - NetShow
ActiveX: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 6.4
ActiveX: {283807B5-2C60-11D0-A31D-00AA00B92C03} - DirectAnimation
ActiveX: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll
ActiveX: {36f8ec70-c29a-11d1-b5c7-0000f8051515} - Dynamic HTML-Datenbindung für Java
ActiveX: {3af36230-a269-11d1-b5bf-0000f8051515} - Offline Browsing Pack
ActiveX: {3bf42070-b3b1-11d1-b5c5-0000f8051515} - Uniscribe
ActiveX: {4278c270-a269-11d1-b5bf-0000f8051515} - Erweitertes Authoring
ActiveX: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install
ActiveX: {44BBA842-CC51-11CF-AAFA-00AA00B6015B} - rundll32.exe advpack.dll,LaunchINFSection C:\WINXP\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT
ActiveX: {44BBA848-CC51-11CF-AAFA-00AA00B6015C} - DirectShow
ActiveX: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx
ActiveX: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer Help
ActiveX: {4f216970-c90c-11d1-b5c7-0000f8051515} - DirectAnimation Java Classes
ActiveX: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.7
ActiveX: {5056b317-8d4c-43ee-8543-b9d1e234b8f4} - Sicherheitsupdate für Windows XP (KB923789)
ActiveX: {5945c046-1e7d-11d1-bc44-00c04fd912be} - rundll32.exe advpack.dll,LaunchINFSection C:\WINXP\INF\msmsgs.inf,BLC.QuietInstall.PerUser
ActiveX: {5A8D6EE0-3E18-11D0-821E-444553540000} - ICW
ActiveX: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools
ActiveX: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsing Enhancements
ActiveX: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player
ActiveX: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - MSN Site Access
ActiveX: {7131646D-CD3C-40F4-97B9-CD9E4E6262EF} - .NET Framework
ActiveX: {7790769C-0471-11d2-AF11-00C04FA35D02} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install
ActiveX: {8937FCB2-2FC6-4FC3-9FB5-DE2C92DB9C38} - .NET Framework
ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll
ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4383} - C:\WINXP\system32\ie4uinit.exe -BaseSettings
ActiveX: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - C:\WINXP\system32\Rundll32.exe C:\WINXP\system32\mscories.dll,Install
ActiveX: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML Data Binding
ActiveX: {ACC563BC-4266-43f0-B6ED-9D38C4202C7E} - 
ActiveX: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer Core Fonts
ActiveX: {CC2A9BA0-3BDD-11D0-821E-444553540000} - Taskplaner
ActiveX: {CDD7975E-60F8-41d5-8149-19E51D6F71D0} - Windows Movie Maker v2.1
ActiveX: {D27CDB6E-AE6D-11cf-96B8-444553540000} - Shockwave Flash
ActiveX: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML Help
ActiveX: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface
ActiveX: <{12d0ed0d-0ee0-4f90-8827-78cefb8f4988} - C:\WINXP\system32\ieudinit.exe
ActiveX: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - C:\WINXP\inf\unregmp2.exe /ShowWMP
ActiveX: >{26923b43-4d38-484f-9b9e-de460746276c} - C:\WINXP\system32\ie4uinit.exe -UserIconConfig
ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS - RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP
ActiveX: >{881dd1c5-3dcf-431b-b061-f3f88e8be88a} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigOE
ActiveX: Microsoft Base Smart Card Crypto Provider Package - 
 
Drivers32: msacm.iac2 - C:\WINXP\system32\iac25_32.ax (Intel Corporation)
Drivers32: msacm.l3acm - C:\WINXP\system32\l3codeca.acm (Fraunhofer Institut Integrierte Schaltungen IIS)
Drivers32: msacm.sl_anet - C:\WINXP\System32\sl_anet.acm (Sipro Lab Telecom Inc.)
Drivers32: msacm.trspch - C:\WINXP\System32\tssoft32.acm (DSP GROUP, INC.)
Drivers32: vidc.cvid - C:\WINXP\System32\iccvid.dll (Radius Inc.)
Drivers32: vidc.iv31 - C:\WINXP\System32\ir32_32.dll ()
Drivers32: vidc.iv32 - C:\WINXP\System32\ir32_32.dll ()
Drivers32: vidc.iv41 - C:\WINXP\System32\ir41_32.ax (Intel Corporation)
Drivers32: vidc.iv50 - C:\WINXP\System32\ir50_32.dll (Intel Corporation)
 
CREATERESTOREPOINT
Restore point Set: OTL Restore Point (78826604230344704)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2011.05.29 20:11:28 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Malwarebytes
[2011.05.29 20:11:22 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\WINXP\System32\drivers\mbamswissarmy.sys
[2011.05.29 20:11:22 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Malwarebytes' Anti-Malware
[2011.05.29 20:11:21 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
[2011.05.29 20:10:27 | 000,580,096 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\cruncher\Desktop\OTL.exe
[2011.05.29 20:08:47 | 000,020,952 | ---- | C] (Malwarebytes Corporation) -- C:\WINXP\System32\drivers\mbam.sys
[2011.05.29 20:08:47 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware
[2011.05.29 19:56:44 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\cruncher\Recent
[2011.05.29 14:55:32 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Avira
[2011.05.29 12:43:52 | 000,000,000 | ---D | C] -- C:\WINXP\pss
[2011.05.28 21:56:32 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Mozilla
[2011.05.28 21:56:32 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Mozilla
[2011.05.28 21:55:34 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Macromedia
[2011.05.28 21:52:47 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Adobe
[2011.05.22 14:14:51 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\cruncher\Lokale Einstellungen\Anwendungsdaten\IPaid
[2011.05.22 14:13:00 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Paradiesbar
[2011.05.22 14:11:17 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\IPaid-Surfbar
[2011.05.22 13:52:53 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\20Dollars2Surf
[2011.05.22 13:52:19 | 000,000,000 | ---D | C] -- C:\Programme\20Dollars2Surf
[2011.05.21 20:38:59 | 000,000,000 | ---D | C] -- C:\Programme\Gemeinsame Dateien\Java
[2011.05.13 21:39:38 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\cruncher\Eigene Dateien\Meine Musik
[2011.05.13 21:39:04 | 000,000,000 | ---D | C] -- C:\Programme\MUSICMATCH
[2011.05.09 20:42:31 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\ICQ7.5
[2011.05.09 20:41:55 | 000,000,000 | ---D | C] -- C:\Programme\ICQ7.5
[2011.01.28 21:48:57 | 000,254,000 | R--- | C] ( ) -- C:\WINXP\System32\Audio3D.dll
[2011.01.28 21:48:57 | 000,254,000 | R--- | C] ( ) -- C:\WINXP\System32\A3D.dll
[3 C:\WINXP\*.tmp files -> C:\WINXP\*.tmp -> ]
[1 C:\WINXP\System32\*.tmp files -> C:\WINXP\System32\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2011.05.29 20:11:22 | 000,000,756 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2011.05.29 20:10:28 | 000,580,096 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\cruncher\Desktop\OTL.exe
[2011.05.29 19:00:48 | 000,442,770 | ---- | M] () -- C:\WINXP\System32\perfh007.dat
[2011.05.29 19:00:48 | 000,427,592 | ---- | M] () -- C:\WINXP\System32\perfh009.dat
[2011.05.29 19:00:48 | 000,078,360 | ---- | M] () -- C:\WINXP\System32\perfc007.dat
[2011.05.29 19:00:48 | 000,066,376 | ---- | M] () -- C:\WINXP\System32\perfc009.dat
[2011.05.29 18:55:36 | 000,002,048 | --S- | M] () -- C:\WINXP\bootstat.dat
[2011.05.29 12:31:40 | 000,002,206 | ---- | M] () -- C:\WINXP\System32\wpa.dbl
[2011.05.22 14:13:00 | 000,000,530 | ---- | M] () -- C:\Dokumente und Einstellungen\cruncher\Desktop\Paradiesbar.lnk
[2011.05.22 14:11:57 | 000,000,686 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\IPaid-Surfbar.lnk
[2011.05.22 13:52:53 | 000,000,670 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\20Dollars2Surf.lnk
[2011.05.09 20:42:31 | 000,001,451 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ICQ7.5.lnk
[3 C:\WINXP\*.tmp files -> C:\WINXP\*.tmp -> ]
[1 C:\WINXP\System32\*.tmp files -> C:\WINXP\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2011.05.29 20:11:22 | 000,000,756 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2011.05.22 14:13:00 | 000,000,530 | ---- | C] () -- C:\Dokumente und Einstellungen\cruncher\Desktop\Paradiesbar.lnk
[2011.05.22 14:11:17 | 000,000,686 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\IPaid-Surfbar.lnk
[2011.05.22 13:52:53 | 000,000,670 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\20Dollars2Surf.lnk
[2011.05.09 20:42:31 | 000,001,451 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ICQ7.5.lnk
[2011.03.25 13:33:05 | 000,070,760 | ---- | C] () -- C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
[2011.03.14 12:28:04 | 000,000,394 | ---- | C] () -- C:\WINXP\ODBC.INI
[2011.02.12 00:20:57 | 000,000,110 | ---- | C] () -- C:\WINXP\GMouse.ini
[2011.02.04 16:51:09 | 000,000,068 | ---- | C] () -- C:\WINXP\pennyhorse.ini
[2011.01.28 23:41:21 | 000,073,728 | R--- | C] () -- C:\WINXP\System32\RtNicProp32.dll
[2011.01.28 23:40:17 | 000,005,810 | R--- | C] () -- C:\WINXP\System32\drivers\ASACPI.sys
[2011.01.28 23:40:10 | 000,001,769 | ---- | C] () -- C:\WINXP\Language_trs.ini
[2011.01.28 23:40:07 | 000,036,538 | ---- | C] () -- C:\WINXP\Ascd_tmp.ini
[2011.01.28 23:40:07 | 000,010,296 | ---- | C] () -- C:\WINXP\System32\drivers\ASUSHWIO.SYS
[2011.01.28 23:08:23 | 000,002,048 | --S- | C] () -- C:\WINXP\bootstat.dat
[2011.01.28 23:05:01 | 000,021,740 | ---- | C] () -- C:\WINXP\System32\emptyregdb.dat
[2011.01.28 22:59:36 | 000,004,243 | ---- | C] () -- C:\WINXP\ODBCINST.INI
[2011.01.28 22:58:26 | 000,109,400 | ---- | C] () -- C:\WINXP\System32\FNTCACHE.DAT
[2011.01.28 22:29:33 | 000,000,737 | ---- | C] () -- C:\WINXP\CoD.INI
[2011.01.28 20:27:53 | 000,000,000 | ---- | C] () -- C:\WINXP\nsreg.dat
[2011.01.28 20:20:51 | 000,000,000 | ---- | C] () -- C:\WINXP\ativpsrm.bin
[2011.01.28 20:15:28 | 000,887,724 | R--- | C] () -- C:\WINXP\System32\ativva6x.dat
[2011.01.28 20:15:28 | 000,197,655 | R--- | C] () -- C:\WINXP\System32\atiicdxx.dat
[2011.01.28 20:15:28 | 000,000,003 | R--- | C] () -- C:\WINXP\System32\ativva5x.dat
[2009.04.22 01:19:06 | 000,172,173 | ---- | C] () -- C:\WINXP\System32\xlive.dll.cat
[2009.02.20 03:55:22 | 000,294,912 | ---- | C] () -- C:\WINXP\System32\ATIODE.exe
[2009.02.05 06:52:04 | 000,045,056 | ---- | C] () -- C:\WINXP\System32\ATIODCLI.exe
[2007.06.19 09:59:36 | 000,070,400 | ---- | C] () -- C:\WINXP\System32\PhysXLoader.dll
[2007.04.20 08:57:30 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelTraditionalChinese.dll
[2007.04.20 08:57:28 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelSwedish.dll
[2007.04.20 08:57:28 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelSpanish.dll
[2007.04.20 08:57:28 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelSimplifiedChinese.dll
[2007.04.20 08:57:28 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelPortugese.dll
[2007.04.20 08:57:28 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelKorean.dll
[2007.04.20 08:57:28 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelJapanese.dll
[2007.04.20 08:57:28 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelGerman.dll
[2007.04.20 08:57:28 | 000,053,248 | ---- | C] () -- C:\WINXP\System32\AgCPanelFrench.dll
[2004.08.03 22:12:38 | 000,001,788 | ---- | C] () -- C:\WINXP\System32\Dcache.bin
[2004.08.02 11:20:40 | 000,004,569 | ---- | C] () -- C:\WINXP\System32\secupd.dat
[2001.08.23 11:00:00 | 013,107,200 | ---- | C] () -- C:\WINXP\System32\oembios.bin
[2001.08.23 11:00:00 | 000,673,088 | ---- | C] () -- C:\WINXP\System32\mlang.dat
[2001.08.23 11:00:00 | 000,442,770 | ---- | C] () -- C:\WINXP\System32\perfh007.dat
[2001.08.23 11:00:00 | 000,427,592 | ---- | C] () -- C:\WINXP\System32\perfh009.dat
[2001.08.23 11:00:00 | 000,272,128 | ---- | C] () -- C:\WINXP\System32\perfi009.dat
[2001.08.23 11:00:00 | 000,269,480 | ---- | C] () -- C:\WINXP\System32\perfi007.dat
[2001.08.23 11:00:00 | 000,218,003 | ---- | C] () -- C:\WINXP\System32\dssec.dat
[2001.08.23 11:00:00 | 000,078,360 | ---- | C] () -- C:\WINXP\System32\perfc007.dat
[2001.08.23 11:00:00 | 000,066,376 | ---- | C] () -- C:\WINXP\System32\perfc009.dat
[2001.08.23 11:00:00 | 000,046,258 | ---- | C] () -- C:\WINXP\System32\mib.bin
[2001.08.23 11:00:00 | 000,034,478 | ---- | C] () -- C:\WINXP\System32\perfd007.dat
[2001.08.23 11:00:00 | 000,028,626 | ---- | C] () -- C:\WINXP\System32\perfd009.dat
[2001.08.23 11:00:00 | 000,004,463 | ---- | C] () -- C:\WINXP\System32\oembios.dat
[2001.08.23 11:00:00 | 000,000,741 | ---- | C] () -- C:\WINXP\System32\noise.dat
 
========== LOP Check ==========
 
[2011.04.05 19:04:59 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Hansenet
[2011.05.28 16:50:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\ICQ
 
========== Purity Check ==========
 
 
 
========== Custom Scans ==========
 
 
< %ALLUSERSPROFILE%\Application Data\*. >
 
< %ALLUSERSPROFILE%\Application Data\*.exe /s >
 
< %APPDATA%\*. >
[2011.03.19 14:20:55 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Adobe
[2011.01.28 20:21:00 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\ATI
[2011.01.30 12:10:51 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Avira
[2011.04.05 19:04:59 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Hansenet
[2011.05.28 16:50:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\ICQ
[2011.01.28 23:11:44 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Identities
[2011.01.28 21:01:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Macromedia
[2011.05.29 20:11:28 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Malwarebytes
[2011.05.22 14:22:12 | 000,000,000 | --SD | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Microsoft
[2011.02.05 22:05:36 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Microsoft Games
[2011.03.14 12:26:47 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Microsoft Web Folders
[2011.01.28 20:27:56 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Mozilla
[2011.03.10 20:33:31 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Sun
[2011.04.05 12:48:56 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\vlc
[2011.05.14 11:51:23 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\cruncher\Anwendungsdaten\Winamp
 
< %APPDATA%\*.exe /s >
 
< %SYSTEMDRIVE%\*.exe >
[2003.10.15 15:57:02 | 001,322,496 | ---- | M] () -- C:\Spaß am Turnierreiten.exe
 
 
< MD5 for: AGP440.SYS  >
[2007.10.09 17:15:40 | 016,734,399 | ---- | M] () .cab file -- C:\WINXP\Driver Cache\i386\sp2.cab:AGP440.sys
 
< MD5 for: ATAPI.SYS  >
[2007.10.09 17:15:40 | 016,734,399 | ---- | M] () .cab file -- C:\WINXP\Driver Cache\i386\sp2.cab:atapi.sys
[2004.08.03 19:59:44 | 000,095,360 | ---- | M] (Microsoft Corporation) MD5=CDFE4411A69C224BD1D11B2DA92DAC51 -- C:\WINXP\system32\drivers\atapi.sys
 
< MD5 for: EVENTLOG.DLL  >
[2004.08.03 21:57:20 | 000,055,808 | ---- | M] (Microsoft Corporation) MD5=B932C077D5A65B71B4512544AC404CB4 -- C:\WINXP\system32\eventlog.dll
 
< MD5 for: NETLOGON.DLL  >
[2004.08.03 21:57:32 | 000,407,040 | ---- | M] (Microsoft Corporation) MD5=D27395EDCD3416AFD125A9370DCB585C -- C:\WINXP\system32\netlogon.dll
 
< MD5 for: SCECLI.DLL  >
[2004.08.03 21:57:34 | 000,186,880 | ---- | M] (Microsoft Corporation) MD5=64DC26B3CF7BCCAD431CE360A4C625D5 -- C:\WINXP\system32\scecli.dll
 
< MD5 for: USER32.DLL  >
[2007.10.09 17:06:46 | 000,579,584 | ---- | M] (Microsoft Corporation) MD5=78785EFF8CB90CEC1862A4CCFD9A3C3A -- C:\WINXP\system32\user32.dll
 
< MD5 for: USERINIT.EXE  >
[2004.08.03 21:58:18 | 000,025,088 | ---- | M] (Microsoft Corporation) MD5=D1E53DC57143F2584B1DD53B036C0633 -- C:\WINXP\system32\userinit.exe
 
< MD5 for: WINLOGON.EXE  >
[2004.08.03 21:58:20 | 000,507,392 | ---- | M] (Microsoft Corporation) MD5=2B6A0BAF33A9918F09442D873848FF72 -- C:\WINXP\system32\winlogon.exe
 
< MD5 for: WS2IFSL.SYS  >
[2001.08.23 11:00:00 | 000,012,032 | ---- | M] (Microsoft Corporation) MD5=6ABE6E225ADB5A751622A9CC3BC19CE8 -- C:\WINXP\system32\drivers\ws2ifsl.sys
 
< %systemroot%\system32\drivers\*.sys /lockedfiles >
 
< %systemroot%\System32\config\*.sav >
[2011.01.28 23:57:27 | 000,094,208 | ---- | M] () -- C:\WINXP\system32\config\default.sav
[2011.01.28 23:57:27 | 000,663,552 | ---- | M] () -- C:\WINXP\system32\config\software.sav
[2011.01.28 23:57:27 | 000,458,752 | ---- | M] () -- C:\WINXP\system32\config\system.sav
 
< %systemroot%\*. /mp /s >
 
< %systemroot%\system32\*.dll /lockedfiles >
[1 C:\WINXP\system32\*.tmp files -> C:\WINXP\system32\*.tmp -> ]

< End of report >

--- --- ---

MBAM-Scan

Zitat:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6717

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

29.05.2011 20:18:59
mbam-log-2011-05-29 (20-18-47).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 134775
Laufzeit: 1 Minute(n), 35 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 1
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Infizierte Verzeichnisse:
c:\recycle.bin (Trojan.Spyeyes) -> No action taken.

Infizierte Dateien:
c:\recycle.bin\recycle.bin.exe (Trojan.SpyEyes) -> No action taken.
c:\recycle.bin\config.bin (Trojan.Spyeyes) -> No action taken.

Hoffe das passt so und schon mal Danke für deine Hilfe

dmeder · 29.05.2011, 21:29

Sorry wegen dem Nachtrag,hab leider wieder Tomaten auf den Augen gehabt

Du wolltest einen Vollscan von MBAM,unten im Post #3 ist aber nur ein Quick-Scan gewesen,deshalb hier noch mal der Vollscan:

Zitat:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6717

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

29.05.2011 22:27:01
mbam-log-2011-05-29 (20-18-47).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 173396
Laufzeit: 11 Minute(n), 50 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 1
Infizierte Dateien: 4

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MANSION Casino (PUP.Casino) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Infizierte Verzeichnisse:
c:\recycle.bin (Trojan.Spyeyes) -> No action taken.

Infizierte Dateien:
c:\Casino\mansioncasino\_setupmansioncasino_b72057.exe (PUP.Casino) -> No action taken.
d:\downloads\setupmansioncasino_b72057.exe (PUP.Casino) -> No action taken.
c:\recycle.bin\recycle.bin.exe (Trojan.SpyEyes) -> No action taken.
c:\recycle.bin\config.bin (Trojan.Spyeyes) -> No action taken.

Der OTL Scan hab ich aber nun im #3 gelassen

cosinus · 30.05.2011, 11:01

Zitat:

-> No action taken.

Die Funde mit Malwarebytes immer entfernen! Bitte nachholen, falls noch nicht getan.

dmeder · 31.05.2011, 16:23

Ok hab ich nun getan,soll ich dann noch mal nen Scan machen oder wie gehts weiter?

cosinus · 31.05.2011, 16:26

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )

Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen!

dmeder · 01.06.2011, 20:40

Ok,soll ich das so alles ausführen wie hier : ! http://www.trojaner-board.de/82358-t...entfernen.html ! beschrieben,punkt für punkt,oder soll ich nur den Scan machen und dann den Report hier posten ohne die Befunde zu entfernen?

dmeder · 01.06.2011, 21:39

Naja mit Befunde entfernen war wohl doch nichts,war nichts da was er gefunden hat

Zitat:

2011/06/01 22:12:44.0906 0504 TDSS rootkit removing tool 2.5.3.0 May 25 2011 07:09:24
2011/06/01 22:12:45.0109 0504 ================================================================================
2011/06/01 22:12:45.0109 0504 SystemInfo:
2011/06/01 22:12:45.0109 0504
2011/06/01 22:12:45.0109 0504 OS Version: 5.1.2600 ServicePack: 2.0
2011/06/01 22:12:45.0109 0504 Product type: Workstation
2011/06/01 22:12:45.0109 0504 ComputerName: BIE
2011/06/01 22:12:45.0109 0504 UserName: cruncher
2011/06/01 22:12:45.0109 0504 Windows directory: C:\WINXP
2011/06/01 22:12:45.0109 0504 System windows directory: C:\WINXP
2011/06/01 22:12:45.0109 0504 Processor architecture: Intel x86
2011/06/01 22:12:45.0109 0504 Number of processors: 2
2011/06/01 22:12:45.0109 0504 Page size: 0x1000
2011/06/01 22:12:45.0109 0504 Boot type: Normal boot
2011/06/01 22:12:45.0109 0504 ================================================================================
2011/06/01 22:12:46.0093 0504 Initialize success
2011/06/01 22:12:52.0062 3180 ================================================================================
2011/06/01 22:12:52.0062 3180 Scan started
2011/06/01 22:12:52.0062 3180 Mode: Manual;
2011/06/01 22:12:52.0062 3180 ================================================================================
2011/06/01 22:12:52.0312 3180 ACPI (94b4741d2cf9ed38140b831293d1601a) C:\WINXP\system32\DRIVERS\ACPI.sys
2011/06/01 22:12:52.0343 3180 ACPIEC (9e1ca3160dafb159ca14f83b1e317f75) C:\WINXP\system32\drivers\ACPIEC.sys
2011/06/01 22:12:52.0390 3180 aec (841f385c6cfaf66b58fbd898722bb4f0) C:\WINXP\system32\drivers\aec.sys
2011/06/01 22:12:52.0421 3180 AFD (5ac495f4cb807b2b98ad2ad591e6d92e) C:\WINXP\System32\drivers\afd.sys
2011/06/01 22:12:52.0578 3180 AsyncMac (02000abf34af4c218c35d257024807d6) C:\WINXP\system32\DRIVERS\asyncmac.sys
2011/06/01 22:12:52.0593 3180 atapi (cdfe4411a69c224bd1d11b2da92dac51) C:\WINXP\system32\DRIVERS\atapi.sys
2011/06/01 22:12:52.0687 3180 ati2mtag (c4828a671467c6fb43f2e6d54b5950ee) C:\WINXP\system32\DRIVERS\ati2mtag.sys
2011/06/01 22:12:52.0718 3180 Atmarpc (ec88da854ab7d7752ec8be11a741bb7f) C:\WINXP\system32\DRIVERS\atmarpc.sys
2011/06/01 22:12:52.0750 3180 audstub (d9f724aa26c010a217c97606b160ed68) C:\WINXP\system32\DRIVERS\audstub.sys
2011/06/01 22:12:52.0859 3180 avgio (0b497c79824f8e1bf22fa6aacd3de3a0) D:\Programme\Avira\AntiVir Desktop\avgio.sys
2011/06/01 22:12:52.0937 3180 avgntflt (47b879406246ffdced59e18d331a0e7d) C:\WINXP\system32\DRIVERS\avgntflt.sys
2011/06/01 22:12:52.0953 3180 avipbb (5fedef54757b34fb611b9ec8fb399364) C:\WINXP\system32\DRIVERS\avipbb.sys
2011/06/01 22:12:53.0000 3180 Beep (da1f27d85e0d1525f6621372e7b685e9) C:\WINXP\system32\drivers\Beep.sys
2011/06/01 22:12:53.0031 3180 cbidf2k (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINXP\system32\drivers\cbidf2k.sys
2011/06/01 22:12:53.0046 3180 Cdaudio (c1b486a7658353d33a10cc15211a873b) C:\WINXP\system32\drivers\Cdaudio.sys
2011/06/01 22:12:53.0062 3180 Cdfs (cd7d5152df32b47f4e36f710b35aae02) C:\WINXP\system32\drivers\Cdfs.sys
2011/06/01 22:12:53.0093 3180 Cdrom (af9c19b3100fe010496b1a27181fbf72) C:\WINXP\system32\DRIVERS\cdrom.sys
2011/06/01 22:12:53.0218 3180 Disk (00ca44e4534865f8a3b64f7c0984bff0) C:\WINXP\system32\DRIVERS\disk.sys
2011/06/01 22:12:53.0265 3180 dmboot (5789b83ba87fc84c3568cf86cacef8ce) C:\WINXP\system32\drivers\dmboot.sys
2011/06/01 22:12:53.0265 3180 dmio (084eb0a50a4f7b4705c8a57f234e5291) C:\WINXP\system32\drivers\dmio.sys
2011/06/01 22:12:53.0296 3180 dmload (e9317282a63ca4d188c0df5e09c6ac5f) C:\WINXP\system32\drivers\dmload.sys
2011/06/01 22:12:53.0328 3180 DMusic (a6f881284ac1150e37d9ae47ff601267) C:\WINXP\system32\drivers\DMusic.sys
2011/06/01 22:12:53.0359 3180 drmkaud (1ed4dbbae9f5d558dbba4cc450e3eb2e) C:\WINXP\system32\drivers\drmkaud.sys
2011/06/01 22:12:53.0390 3180 Fastfat (3117f595e9615e04f05a54fc15a03b20) C:\WINXP\system32\drivers\Fastfat.sys
2011/06/01 22:12:53.0406 3180 Fdc (ced2e8396a8838e59d8fd529c680e02c) C:\WINXP\system32\drivers\Fdc.sys
2011/06/01 22:12:53.0468 3180 Fips (9e9af89f9b14aa6249065c309ce73bd8) C:\WINXP\system32\drivers\Fips.sys
2011/06/01 22:12:53.0468 3180 Flpydisk (0dd1de43115b93f4d85e889d7a86f548) C:\WINXP\system32\drivers\Flpydisk.sys
2011/06/01 22:12:53.0500 3180 FltMgr (5a85cd3d07273e3f6fe72ee9c6431632) C:\WINXP\system32\DRIVERS\fltMgr.sys
2011/06/01 22:12:53.0515 3180 Fs_Rec (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINXP\system32\drivers\Fs_Rec.sys
2011/06/01 22:12:53.0531 3180 Ftdisk (8f1955ce42e1484714b542f341647778) C:\WINXP\system32\DRIVERS\ftdisk.sys
2011/06/01 22:12:53.0562 3180 Gpc (c0f1d4a21de5a415df8170616703debf) C:\WINXP\system32\DRIVERS\msgpc.sys
2011/06/01 22:12:53.0593 3180 HDAudBus (3fcc124b6e08ee0e9351f717dd136939) C:\WINXP\system32\DRIVERS\HDAudBus.sys
2011/06/01 22:12:53.0640 3180 hidusb (1de6783b918f540149aa69943bdfeba8) C:\WINXP\system32\DRIVERS\hidusb.sys
2011/06/01 22:12:53.0656 3180 HTTP (909d110c9634b0f1487eaaea837317d9) C:\WINXP\system32\Drivers\HTTP.sys
2011/06/01 22:12:53.0718 3180 i8042prt (7c575018d0413440d75432a78b88c899) C:\WINXP\system32\drivers\i8042prt.sys
2011/06/01 22:12:53.0734 3180 Imapi (f8aa320c6a0409c0380e5d8a99d76ec6) C:\WINXP\system32\DRIVERS\imapi.sys
2011/06/01 22:12:53.0812 3180 Ip6Fw (4448006b6bc60e6c027932cfc38d6855) C:\WINXP\system32\DRIVERS\Ip6Fw.sys
2011/06/01 22:12:53.0859 3180 IpFilterDriver (731f22ba402ee4b62748adaf6363c182) C:\WINXP\system32\DRIVERS\ipfltdrv.sys
2011/06/01 22:12:53.0875 3180 IpInIp (e1ec7f5da720b640cd8fb8424f1b14bb) C:\WINXP\system32\DRIVERS\ipinip.sys
2011/06/01 22:12:53.0890 3180 IpNat (5191673215c91ff13ceaa83ef8e9653f) C:\WINXP\system32\DRIVERS\ipnat.sys
2011/06/01 22:12:53.0906 3180 IPSec (64537aa5c003a6afeee1df819062d0d1) C:\WINXP\system32\DRIVERS\ipsec.sys
2011/06/01 22:12:53.0937 3180 IRENUM (50708daa1b1cbb7d6ac1cf8f56a24410) C:\WINXP\system32\DRIVERS\irenum.sys
2011/06/01 22:12:53.0968 3180 isapnp (ce9b7afdf0a3d7dd8d1487262316b959) C:\WINXP\system32\DRIVERS\isapnp.sys
2011/06/01 22:12:54.0031 3180 Kbdclass (b128fc0a5cd83f669d5de4b58f77c7d6) C:\WINXP\system32\DRIVERS\kbdclass.sys
2011/06/01 22:12:54.0031 3180 kbdhid (7ec877aa899323b92874fe62c7ddcde7) C:\WINXP\system32\DRIVERS\kbdhid.sys
2011/06/01 22:12:54.0062 3180 kmixer (d93cad07c5683db066b0b2d2d3790ead) C:\WINXP\system32\drivers\kmixer.sys
2011/06/01 22:12:54.0078 3180 KSecDD (eb7ffe87fd367ea8fca0506f74a87fbb) C:\WINXP\system32\drivers\KSecDD.sys
2011/06/01 22:12:54.0156 3180 mnmdd (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINXP\system32\drivers\mnmdd.sys
2011/06/01 22:12:54.0187 3180 Modem (91a3da4b12f6f1d760463a7f7857f748) C:\WINXP\system32\drivers\Modem.sys
2011/06/01 22:12:54.0203 3180 Mouclass (71e15ca47fd947552054afb28536268f) C:\WINXP\system32\DRIVERS\mouclass.sys
2011/06/01 22:12:54.0234 3180 mouhid (66a6f73c74e1791464160a7065ce711a) C:\WINXP\system32\DRIVERS\mouhid.sys
2011/06/01 22:12:54.0234 3180 MountMgr (65653f3b4477f3c63e68a9659f85ee2e) C:\WINXP\system32\drivers\MountMgr.sys
2011/06/01 22:12:54.0265 3180 MRxDAV (46edcc8f2db2f322c24f48785cb46366) C:\WINXP\system32\DRIVERS\mrxdav.sys
2011/06/01 22:12:54.0281 3180 MRxSmb (7412ce77c6fd823f8889b4df420c680b) C:\WINXP\system32\DRIVERS\mrxsmb.sys
2011/06/01 22:12:54.0296 3180 Msfs (561b3a4333ca2dbdba28b5b956822519) C:\WINXP\system32\drivers\Msfs.sys
2011/06/01 22:12:54.0343 3180 MSKSSRV (ae431a8dd3c1d0d0610cdbac16057ad0) C:\WINXP\system32\drivers\MSKSSRV.sys
2011/06/01 22:12:54.0359 3180 MSPCLOCK (13e75fef9dfeb08eeded9d0246e1f448) C:\WINXP\system32\drivers\MSPCLOCK.sys
2011/06/01 22:12:54.0390 3180 MSPQM (1988a33ff19242576c3d0ef9ce785da7) C:\WINXP\system32\drivers\MSPQM.sys
2011/06/01 22:12:54.0406 3180 mssmbios (469541f8bfd2b32659d5d463a6714bce) C:\WINXP\system32\DRIVERS\mssmbios.sys
2011/06/01 22:12:54.0453 3180 MTsensor (d48659bb24c48345d926ecb45c1ebdf5) C:\WINXP\system32\DRIVERS\ASACPI.sys
2011/06/01 22:12:54.0468 3180 Mup (82035e0f41c2dd05ae41d27fe6cf7de1) C:\WINXP\system32\drivers\Mup.sys
2011/06/01 22:12:54.0484 3180 NDIS (558635d3af1c7546d26067d5d9b6959e) C:\WINXP\system32\drivers\NDIS.sys
2011/06/01 22:12:54.0500 3180 NdisTapi (08d43bbdacdf23f34d79e44ed35c1b4c) C:\WINXP\system32\DRIVERS\ndistapi.sys
2011/06/01 22:12:54.0531 3180 Ndisuio (34d6cd56409da9a7ed573e1c90a308bf) C:\WINXP\system32\DRIVERS\ndisuio.sys
2011/06/01 22:12:54.0546 3180 NdisWan (0b90e255a9490166ab368cd55a529893) C:\WINXP\system32\DRIVERS\ndiswan.sys
2011/06/01 22:12:54.0546 3180 NDProxy (59fc3fb44d2669bc144fd87826bb571f) C:\WINXP\system32\drivers\NDProxy.sys
2011/06/01 22:12:54.0562 3180 NetBIOS (3a2aca8fc1d7786902ca434998d7ceb4) C:\WINXP\system32\DRIVERS\netbios.sys
2011/06/01 22:12:54.0578 3180 NetBT (0c80e410cd2f47134407ee7dd19cc86b) C:\WINXP\system32\DRIVERS\netbt.sys
2011/06/01 22:12:54.0609 3180 Npfs (4f601bcb8f64ea3ac0994f98fed03f8e) C:\WINXP\system32\drivers\Npfs.sys
2011/06/01 22:12:54.0625 3180 Ntfs (05ab81909514bfd69cbb1f2c147cf6b9) C:\WINXP\system32\drivers\Ntfs.sys
2011/06/01 22:12:54.0671 3180 Null (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINXP\system32\drivers\Null.sys
2011/06/01 22:12:54.0703 3180 NwlnkFlt (b305f3fad35083837ef46a0bbce2fc57) C:\WINXP\system32\DRIVERS\nwlnkflt.sys
2011/06/01 22:12:54.0703 3180 NwlnkFwd (c99b3415198d1aab7227f2c88fd664b9) C:\WINXP\system32\DRIVERS\nwlnkfwd.sys
2011/06/01 22:12:54.0734 3180 Parport (b2f17a2edb5450e61973a037f63a595b) C:\WINXP\system32\DRIVERS\parport.sys
2011/06/01 22:12:54.0750 3180 PartMgr (3334430c29dc338092f79c38ef7b4cd0) C:\WINXP\system32\drivers\PartMgr.sys
2011/06/01 22:12:54.0781 3180 ParVdm (c2bf987829099a3eaa2ca6a0a90ecb4f) C:\WINXP\system32\drivers\ParVdm.sys
2011/06/01 22:12:54.0796 3180 PCI (6fb463e5b243fbd6f3d3c83f914d94fb) C:\WINXP\system32\DRIVERS\pci.sys
2011/06/01 22:12:54.0828 3180 PCIIde (59ba86d9a61cbcf4df8e598c331f5b82) C:\WINXP\system32\DRIVERS\pciide.sys
2011/06/01 22:12:54.0859 3180 Pcmcia (e2363f4c1daff89abee5f593e13d8a05) C:\WINXP\system32\drivers\Pcmcia.sys
2011/06/01 22:12:55.0000 3180 PptpMiniport (1c5cc65aac0783c344f16353e60b72ac) C:\WINXP\system32\DRIVERS\raspptp.sys
2011/06/01 22:12:55.0015 3180 Processor (3d7f196e77f986c106e9320b81a5ebbf) C:\WINXP\system32\DRIVERS\processr.sys
2011/06/01 22:12:55.0046 3180 prodrv06 (18d9789a4664bf417eea944d2776091a) C:\WINXP\System32\drivers\prodrv06.sys
2011/06/01 22:12:55.0062 3180 prohlp02 (8cc9671a7ed2902e747ee0892e1c8575) C:\WINXP\system32\drivers\prohlp02.sys
2011/06/01 22:12:55.0078 3180 prosync1 (960bce3ed38761b446aabac06c76badf) C:\WINXP\system32\drivers\prosync1.sys
2011/06/01 22:12:55.0109 3180 PSched (48671f327553dcf1d27f6197f622a668) C:\WINXP\system32\DRIVERS\psched.sys
2011/06/01 22:12:55.0140 3180 Ptilink (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINXP\system32\DRIVERS\ptilink.sys
2011/06/01 22:12:55.0171 3180 PxHelp20 (153d02480a0a2f45785522e814c634b6) C:\WINXP\system32\Drivers\PxHelp20.sys
2011/06/01 22:12:55.0250 3180 RasAcd (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINXP\system32\DRIVERS\rasacd.sys
2011/06/01 22:12:55.0265 3180 Rasl2tp (98faeb4a4dcf812ba1c6fca4aa3e115c) C:\WINXP\system32\DRIVERS\rasl2tp.sys
2011/06/01 22:12:55.0281 3180 RasPppoe (7306eeed8895454cbed4669be9f79faa) C:\WINXP\system32\DRIVERS\raspppoe.sys
2011/06/01 22:12:55.0296 3180 Raspti (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINXP\system32\DRIVERS\raspti.sys
2011/06/01 22:12:55.0312 3180 Rdbss (ed375ce745c42a14f10753f7022ecd6a) C:\WINXP\system32\DRIVERS\rdbss.sys
2011/06/01 22:12:55.0328 3180 RDPCDD (4912d5b403614ce99c28420f75353332) C:\WINXP\system32\DRIVERS\RDPCDD.sys
2011/06/01 22:12:55.0359 3180 rdpdr (a2cae2c60bc37e0751ef9dda7ceaf4ad) C:\WINXP\system32\DRIVERS\rdpdr.sys
2011/06/01 22:12:55.0390 3180 RDPWD (047bea21274c8a4a233674a76c958c2c) C:\WINXP\system32\drivers\RDPWD.sys
2011/06/01 22:12:55.0421 3180 redbook (aa56702e230860565cb8d43680f57f33) C:\WINXP\system32\DRIVERS\redbook.sys
2011/06/01 22:12:55.0453 3180 RTLE8023xp (cb9310a5a910648d359c99a857e22a54) C:\WINXP\system32\DRIVERS\Rtenicxp.sys
2011/06/01 22:12:55.0484 3180 Secdrv (90a3935d05b494a5a39d37e71f09a677) C:\WINXP\system32\DRIVERS\secdrv.sys
2011/06/01 22:12:55.0500 3180 serenum (a2d868aeeff612e70e213c451a70cafb) C:\WINXP\system32\DRIVERS\serenum.sys
2011/06/01 22:12:55.0515 3180 Serial (cd5b9995afcdb466c9efc048d167e3be) C:\WINXP\system32\DRIVERS\serial.sys
2011/06/01 22:12:55.0578 3180 sfhlp01 (462aee0ea0481ea8bd45cac876a4ccc4) C:\WINXP\system32\drivers\sfhlp01.sys
2011/06/01 22:12:55.0609 3180 Sfloppy (0d13b6df6e9e101013a7afb0ce629fe0) C:\WINXP\system32\drivers\Sfloppy.sys
2011/06/01 22:12:55.0671 3180 splitter (8e186b8f23295d1e42c573b82b80d548) C:\WINXP\system32\drivers\splitter.sys
2011/06/01 22:12:55.0703 3180 sr (e4200cb2f418d8fc4acdd7e38c419d6a) C:\WINXP\system32\DRIVERS\sr.sys
2011/06/01 22:12:55.0718 3180 Srv (5230953c21c811b5fc1ff31ae2b48097) C:\WINXP\system32\DRIVERS\srv.sys
2011/06/01 22:12:55.0750 3180 ssmdrv (a36ee93698802cd899f98bfd553d8185) C:\WINXP\system32\DRIVERS\ssmdrv.sys
2011/06/01 22:12:55.0765 3180 swenum (03c1bae4766e2450219d20b993d6e046) C:\WINXP\system32\DRIVERS\swenum.sys
2011/06/01 22:12:55.0781 3180 swmidi (94abc808fc4b6d7d2bbf42b85e25bb4d) C:\WINXP\system32\drivers\swmidi.sys
2011/06/01 22:12:55.0859 3180 sysaudio (650ad082d46bac0e64c9c0e0928492fd) C:\WINXP\system32\drivers\sysaudio.sys
2011/06/01 22:12:55.0906 3180 Tcpip (64798ecfa43d78c7178375fcdd16d8c8) C:\WINXP\system32\DRIVERS\tcpip.sys
2011/06/01 22:12:55.0937 3180 TDPIPE (38d437cf2d98965f239b0abcd66dcb0f) C:\WINXP\system32\drivers\TDPIPE.sys
2011/06/01 22:12:55.0984 3180 TDTCP (ed0580af02502d00ad8c4c066b156be9) C:\WINXP\system32\drivers\TDTCP.sys
2011/06/01 22:12:56.0015 3180 TermDD (a540a99c281d933f3d69d55e48727f47) C:\WINXP\system32\DRIVERS\termdd.sys
2011/06/01 22:12:56.0062 3180 Udfs (12f70256f140cd7d52c58c7048fde657) C:\WINXP\system32\drivers\Udfs.sys
2011/06/01 22:12:56.0093 3180 Update (aff2e5045961bbc0a602bb6f95eb1345) C:\WINXP\system32\DRIVERS\update.sys
2011/06/01 22:12:56.0125 3180 usbccgp (bffd9f120cc63bcbaa3d840f3eef9f79) C:\WINXP\system32\DRIVERS\usbccgp.sys
2011/06/01 22:12:56.0140 3180 usbehci (15e993ba2f6946b2bfbbfcd30398621e) C:\WINXP\system32\DRIVERS\usbehci.sys
2011/06/01 22:12:56.0156 3180 usbhub (c72f40947f92cea56a8fb532edf025f1) C:\WINXP\system32\DRIVERS\usbhub.sys
2011/06/01 22:12:56.0171 3180 usbohci (bdfe799a8531bad8a5a985821fe78760) C:\WINXP\system32\DRIVERS\usbohci.sys
2011/06/01 22:12:56.0203 3180 USBSTOR (6cd7b22193718f1d17a47a1cd6d37e75) C:\WINXP\system32\DRIVERS\USBSTOR.SYS
2011/06/01 22:12:56.0234 3180 VgaSave (8a60edd72b4ea5aea8202daf0e427925) C:\WINXP\System32\drivers\vga.sys
2011/06/01 22:12:56.0296 3180 VIAHdAudAddService (80952920d6fdd8d65d37f488de340b5d) C:\WINXP\system32\drivers\viahduaa.sys
2011/06/01 22:12:56.0328 3180 VolSnap (d6888520ff56d72a50437e371ca25fc9) C:\WINXP\system32\drivers\VolSnap.sys
2011/06/01 22:12:56.0359 3180 Wanarp (984ef0b9788abf89974cfed4bfbaacbc) C:\WINXP\system32\DRIVERS\wanarp.sys
2011/06/01 22:12:56.0406 3180 wdmaud (2797f33ebf50466020c430ee4f037933) C:\WINXP\system32\drivers\wdmaud.sys
2011/06/01 22:12:56.0453 3180 WmiAcpi (ae2c8544e747c20062db27456ea2d67a) C:\WINXP\system32\DRIVERS\wmiacpi.sys
2011/06/01 22:12:56.0515 3180 WudfPf (f15feafffbb3644ccc80c5da584e6311) C:\WINXP\system32\DRIVERS\WudfPf.sys
2011/06/01 22:12:56.0515 3180 WudfRd (28b524262bce6de1f7ef9f510ba3985b) C:\WINXP\system32\DRIVERS\wudfrd.sys
2011/06/01 22:12:56.0546 3180 MBR (0x1B8) (72b8ce41af0de751c946802b3ed844b4) \Device\Harddisk0\DR0
2011/06/01 22:12:56.0625 3180 ================================================================================
2011/06/01 22:12:56.0625 3180 Scan finished
2011/06/01 22:12:56.0625 3180 ================================================================================
2011/06/01 22:12:56.0640 3120 Detected object count: 0
2011/06/01 22:12:56.0640 3120 Actual detected object count: 0

Hier noch einen aktuellen Voll-Scan mit MBAM:

Zitat:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6717

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

01.06.2011 22:33:27
mbam-log-2011-06-01 (22-33-27).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 172823
Laufzeit: 8 Minute(n), 2 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\4E3E0230AEBB4E96 (Trojan.SpyEyes) -> Value: 4E3E0230AEBB4E96 -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\Casino\mansioncasino\_setupmansioncasino_b72057.exe (PUP.Casino) -> Quarantined and deleted successfully.
d:\downloads\setupmansioncasino_b72057.exe (PUP.Casino) -> Quarantined and deleted successfully.

Hoffe mit dem MBAM war ich nicht zu voreillig

Mir ist aber noch was komisches aufgefallen,nachdem ich den TdssKiller durchlaufen gelassen hab!

Im Autostart ist was dazu gekommen,was vorher nicht da war (dick makiert):

Zitat:

Ja HKCU:Run ctfmon.exe C:\WINXP\system32\ctfmon.exe
Ja HKCU:Run 4E3E0230AEBB4E96 C:\Recycle.Bin\Recycle.Bin.exe
Ja HKLM:Run avgnt "D:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
Ja HKLM:Run Adobe Reader Speed Launcher "D:\Programme\Adope\Reader\Reader_sl.exe"
Ja HKLM:Run Adobe ARM "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
Ja HKLM:Run SunJavaUpdateSched "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

Die C:\Recycle.Bin\Recycle.Bin.exe war infiziert,wenn ich mich recht erinnere aus den vorherigen Scan von MBAM und vorher nicht im Autostart drin

Danke für deine Hilfe bis hier hin erst mal

cosinus · 01.06.2011, 22:38

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

dmeder · 01.06.2011, 23:18

Ok

Hier die Combo-Log

Combofix Logfile:

Code:

ATTFilter

ComboFix 11-06-01.04 - cruncher 02.06.2011   0:03.1.2 - x86
Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.3326.2711 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\cruncher\Desktop\cofi.exe
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
 * Neuer Wiederherstellungspunkt wurde erstellt
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\dokumente und einstellungen\cruncher\WINDOWS
C:\readme.txt
c:\winxp\system32\drivers\ddncvyld.sys
.
.
(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Service_cnjveg
.
.
(((((((((((((((((((((((   Dateien erstellt von 2011-05-01 bis 2011-06-01  ))))))))))))))))))))))))))))))
.
.
2011-06-01 22:05 . 2011-06-01 22:05	--------	d-----w-	c:\winxp\system32\xircom
2011-06-01 22:05 . 2011-06-01 22:05	--------	d-----w-	c:\winxp\system32\wbem\snmp
2011-06-01 22:05 . 2011-06-01 22:05	--------	d-----w-	c:\programme\microsoft frontpage
2011-05-29 18:11 . 2011-05-29 18:11	--------	d-----w-	c:\dokumente und einstellungen\cruncher\Anwendungsdaten\Malwarebytes
2011-05-29 18:11 . 2010-12-20 16:09	38224	----a-w-	c:\winxp\system32\drivers\mbamswissarmy.sys
2011-05-29 18:11 . 2011-05-29 18:11	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-05-29 18:08 . 2011-05-29 18:11	--------	d-----w-	c:\programme\Malwarebytes' Anti-Malware
2011-05-29 18:08 . 2010-12-20 16:08	20952	----a-w-	c:\winxp\system32\drivers\mbam.sys
2011-05-29 12:55 . 2011-05-29 12:55	--------	d-----w-	c:\dokumente und einstellungen\LocalService\Anwendungsdaten\Avira
2011-05-28 19:56 . 2011-05-28 19:56	--------	d-----w-	c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Mozilla
2011-05-22 12:14 . 2011-05-22 12:14	--------	d-----w-	c:\dokumente und einstellungen\cruncher\Lokale Einstellungen\Anwendungsdaten\IPaid
2011-05-22 11:52 . 2011-05-22 11:52	--------	d-----w-	c:\programme\20Dollars2Surf
2011-05-22 11:52 . 2004-08-05 11:00	59904	----a-w-	c:\winxp\system32\wbemdisp.tlb
2011-05-21 18:38 . 2011-05-21 18:38	--------	d-----w-	c:\programme\Gemeinsame Dateien\Java
2011-05-13 19:39 . 2011-05-13 19:39	--------	d-----w-	c:\programme\MUSICMATCH
2011-05-09 18:41 . 2011-05-09 18:42	--------	d-----w-	c:\programme\ICQ7.5
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-03-25 11:31 . 2011-01-28 19:42	137656	----a-w-	c:\winxp\system32\drivers\avipbb.sys
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2007-10-09 . 6D60483EBCF29203C9B3B453471D3706 . 1548288 . . [5.1.2600.2180] . . c:\winxp\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="d:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-12-13 281768]
"Adobe Reader Speed Launcher"="d:\programme\Adope\Reader\Reader_sl.exe" [2011-01-30 35736]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-11-10 932288]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-10-29 249064]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]
"nltide_3"="advpack.dll" [2007-12-11 124928]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"Taskman"=""
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"d:\\Spiele\\Call of Duty\\CoDMP.exe"=
"d:\\Spiele\\MOHA\\UnrealEngine3\\Binaries\\MOHA.exe"=
"d:\\Programme\\Winamp\\winamp.exe"=
"d:\\Spiele\\Zoo Tycoon 2\\zt.exe"=
"d:\\Spiele\\Resident Evil 5\\RE5DX9.EXE"=
"d:\\Spiele\\Resident Evil 5\\RE5DX10.EXE"=
"c:\\Programme\\ICQ7.5\\ICQ.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3302:TCP"= 3302:TCP:xxpkeyf
.
R2 AntiVirSchedulerService;Avira AntiVir Planer;d:\programme\Avira\AntiVir Desktop\sched.exe [28.01.2011 21:42 136360]
R3 VIAHdAudAddService;VIA High Definition Audio Driver Service;c:\winxp\system32\drivers\viahduaa.sys [28.01.2011 21:48 2106880]
S2 wahhttnv;Time Server;c:\winxp\system32\svchost.exe -k netsvcs [03.08.2004 21:58 14336]
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - WAHHTTNV
.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
wahhttnv
.
.
------- Zusätzlicher Suchlauf -------
.
IE: {{7578ADEA-D65F-4C89-A249-B1C88B6FFC20} - c:\programme\ICQ7.5\ICQ.exe
FF - ProfilePath - c:\dokumente und einstellungen\cruncher\Anwendungsdaten\Mozilla\Firefox\Profiles\92rdzlgw.default\
FF - prefs.js: browser.search.selectedEngine - Ask.com
FF - prefs.js: browser.startup.homepage - www.klamm.de
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - d:\programme\Feuerfuchs\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} - d:\programme\Feuerfuchs\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} - d:\programme\Feuerfuchs\extensions\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}
FF - Ext: Fire.fm: {6F0976E6-26F3-4AFE-BBEC-9E99E27E4DF3} - %profile%\extensions\{6F0976E6-26F3-4AFE-BBEC-9E99E27E4DF3}
FF - Ext: Adblock Plus: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} - %profile%\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}
FF - Ext: Java Quick Starter: jqs@sun.com - c:\programme\Java\jre6\lib\deploy\jqs\ff
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
WebBrowser-{D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-06-02 00:07
Windows 5.1.2600 Service Pack 2 NTFS
.
Scanne versteckte Prozesse... 
.
Scanne versteckte Autostarteinträge... 
.
Scanne versteckte Dateien... 
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\wahhttnv]
"ServiceDll"="c:\winxp\system32\ulhiom.dll"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(696)
c:\winxp\system32\Ati2evxx.dll
.
- - - - - - - > 'explorer.exe'(2276)
c:\winxp\system32\wpdshserviceobj.dll
c:\winxp\system32\portabledevicetypes.dll
c:\winxp\system32\portabledeviceapi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\winxp\system32\Ati2evxx.exe
c:\winxp\system32\Ati2evxx.exe
d:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Java\jre6\bin\jqs.exe
d:\spiele\MOHA\UnrealEngine3\MOHAGame\pb\PnkBstrA.exe
d:\programme\Avira\AntiVir Desktop\avshadow.exe
c:\winxp\system32\wscntfy.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2011-06-02  00:07:54 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2011-06-01 22:07
.
Vor Suchlauf: 11 Verzeichnis(se), 97.466.241.024 Bytes frei
Nach Suchlauf: 12 Verzeichnis(se), 97.420.804.096 Bytes frei
.
WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINXP
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINXP="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
.
- - End Of File - - 4E1937FFAEC6CCEDE3850387044F1E56

--- --- ---

Ich sag nun erst mal eine erholsame Nacht

Ich schau morgen früh noch mal vorbei,danke für deine schnelle Antwort

Gut das ich über mein PC kein Online-Banking oder ähnliches betreibe,aber meine ganzen PW für die Foren und sonstige Seiten werd ich wohl mal ändern,sobald dieser Troja von meinem Rechner verschwunden ist endgültig,dachte eigendlich ich wäre ausreichend geschützt,aber ich denke vor diesen kleinen Bestien ist man nie wirklich sicher

Würd nur mal zu gerne wissen wie der sich an mir vorbei schleichen konnte,hast du da vielleicht für mich einen Hinweis?

Wünsche einen schönen Vatertag erst mal an allen

Dank dir

cosinus · 02.06.2011, 00:32

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

ATTFilter

Folder::
c:\winxp\system32\wbem\snmp
c:\programme\20Dollars2Surf

File::
c:\winxp\system32\ulhiom.dll

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-
"DisableUnicastResponsesToMulticastBroadcast"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3302:TCP"=-
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\wahhttnv]

Netsvc::
wahhttnv

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

dmeder · 02.06.2011, 12:35

Wie erwünscht hier der Scan:

Combofix Logfile:

Code:

ATTFilter

ComboFix 11-06-01.04 - cruncher 02.06.2011  13:24:46.2.2 - x86
Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.3326.2834 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\cruncher\Desktop\cofi.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\cruncher\Desktop\CFScript.txt
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
FILE ::
"c:\winxp\system32\ulhiom.dll"
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\programme\20Dollars2Surf
c:\programme\20Dollars2Surf\20d2s.exe
c:\programme\20Dollars2Surf\20dollars2surf.exe
c:\programme\20Dollars2Surf\unins000.dat
c:\programme\20Dollars2Surf\unins000.exe
c:\winxp\system32\ulhiom.dll
c:\winxp\system32\wbem\snmp . . . . Nicht in der Lage zu löschen
.
.
(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_wahhttnv
-------\Service_wahhttnv
.
.
(((((((((((((((((((((((   Dateien erstellt von 2011-05-02 bis 2011-06-02  ))))))))))))))))))))))))))))))
.
.
2011-06-01 22:05 . 2011-06-01 22:05	--------	d-----w-	c:\winxp\system32\xircom
2011-06-01 22:05 . 2011-06-01 22:05	--------	d-----w-	c:\winxp\system32\wbem\snmp
2011-06-01 22:05 . 2011-06-01 22:05	--------	d-----w-	c:\programme\microsoft frontpage
2011-06-01 22:01 . 2011-06-01 22:07	--------	d-----w-	C:\cofi
2011-05-29 18:11 . 2011-05-29 18:11	--------	d-----w-	c:\dokumente und einstellungen\cruncher\Anwendungsdaten\Malwarebytes
2011-05-29 18:11 . 2010-12-20 16:09	38224	----a-w-	c:\winxp\system32\drivers\mbamswissarmy.sys
2011-05-29 18:11 . 2011-05-29 18:11	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-05-29 18:08 . 2011-05-29 18:11	--------	d-----w-	c:\programme\Malwarebytes' Anti-Malware
2011-05-29 18:08 . 2010-12-20 16:08	20952	----a-w-	c:\winxp\system32\drivers\mbam.sys
2011-05-29 12:55 . 2011-05-29 12:55	--------	d-----w-	c:\dokumente und einstellungen\LocalService\Anwendungsdaten\Avira
2011-05-28 19:56 . 2011-05-28 19:56	--------	d-----w-	c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Mozilla
2011-05-22 12:14 . 2011-05-22 12:14	--------	d-----w-	c:\dokumente und einstellungen\cruncher\Lokale Einstellungen\Anwendungsdaten\IPaid
2011-05-22 11:52 . 2004-08-05 11:00	59904	----a-w-	c:\winxp\system32\wbemdisp.tlb
2011-05-21 18:38 . 2011-05-21 18:38	--------	d-----w-	c:\programme\Gemeinsame Dateien\Java
2011-05-13 19:39 . 2011-05-13 19:39	--------	d-----w-	c:\programme\MUSICMATCH
2011-05-09 18:41 . 2011-05-09 18:42	--------	d-----w-	c:\programme\ICQ7.5
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-03-25 11:31 . 2011-01-28 19:42	137656	----a-w-	c:\winxp\system32\drivers\avipbb.sys
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2007-10-09 . 6D60483EBCF29203C9B3B453471D3706 . 1548288 . . [5.1.2600.2180] . . c:\winxp\system32\sfcfiles.dll
.
(((((((((((((((((((((((((((((   SnapShot@2011-06-01_22.06.04   )))))))))))))))))))))))))))))))))))))))))
.
- 2001-08-23 09:00 . 2011-06-01 20:11	66376              c:\winxp\system32\perfc009.dat
+ 2001-08-23 09:00 . 2011-06-02 09:02	66376              c:\winxp\system32\perfc009.dat
- 2001-08-23 09:00 . 2011-06-01 20:11	78360              c:\winxp\system32\perfc007.dat
+ 2001-08-23 09:00 . 2011-06-02 09:02	78360              c:\winxp\system32\perfc007.dat
+ 2001-08-23 09:00 . 2011-06-02 09:02	427592              c:\winxp\system32\perfh009.dat
- 2001-08-23 09:00 . 2011-06-01 20:11	427592              c:\winxp\system32\perfh009.dat
+ 2001-08-23 09:00 . 2011-06-02 09:02	442770              c:\winxp\system32\perfh007.dat
- 2001-08-23 09:00 . 2011-06-01 20:11	442770              c:\winxp\system32\perfh007.dat
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="d:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-12-13 281768]
"Adobe Reader Speed Launcher"="d:\programme\Adope\Reader\Reader_sl.exe" [2011-01-30 35736]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-11-10 932288]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-10-29 249064]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]
"nltide_3"="advpack.dll" [2007-12-11 124928]
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"d:\\Spiele\\Call of Duty\\CoDMP.exe"=
"d:\\Spiele\\MOHA\\UnrealEngine3\\Binaries\\MOHA.exe"=
"d:\\Programme\\Winamp\\winamp.exe"=
"d:\\Spiele\\Zoo Tycoon 2\\zt.exe"=
"d:\\Spiele\\Resident Evil 5\\RE5DX9.EXE"=
"d:\\Spiele\\Resident Evil 5\\RE5DX10.EXE"=
"c:\\Programme\\ICQ7.5\\ICQ.exe"=
.
R2 AntiVirSchedulerService;Avira AntiVir Planer;d:\programme\Avira\AntiVir Desktop\sched.exe [28.01.2011 21:42 136360]
R3 VIAHdAudAddService;VIA High Definition Audio Driver Service;c:\winxp\system32\drivers\viahduaa.sys [28.01.2011 21:48 2106880]
S2 wahhttnv;Time Server;c:\winxp\system32\svchost.exe -k netsvcs [03.08.2004 21:58 14336]
.
.
------- Zusätzlicher Suchlauf -------
.
IE: {{7578ADEA-D65F-4C89-A249-B1C88B6FFC20} - c:\programme\ICQ7.5\ICQ.exe
FF - ProfilePath - c:\dokumente und einstellungen\cruncher\Anwendungsdaten\Mozilla\Firefox\Profiles\92rdzlgw.default\
FF - prefs.js: browser.search.selectedEngine - Ask.com
FF - prefs.js: browser.startup.homepage - www.klamm.de
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - d:\programme\Feuerfuchs\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} - d:\programme\Feuerfuchs\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} - d:\programme\Feuerfuchs\extensions\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}
FF - Ext: Fire.fm: {6F0976E6-26F3-4AFE-BBEC-9E99E27E4DF3} - %profile%\extensions\{6F0976E6-26F3-4AFE-BBEC-9E99E27E4DF3}
FF - Ext: Adblock Plus: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} - %profile%\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}
FF - Ext: Java Quick Starter: jqs@sun.com - c:\programme\Java\jre6\lib\deploy\jqs\ff
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
AddRemove-{1EE9BBA1-312F-4EC0-9DEA-A8FE22BBABAA}_is1 - c:\programme\20Dollars2Surf\unins000.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-06-02 13:29
Windows 5.1.2600 Service Pack 2 NTFS
.
Scanne versteckte Prozesse... 
.
Scanne versteckte Autostarteinträge... 
.
Scanne versteckte Dateien... 
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\wahhttnv]
"ServiceDll"="c:\winxp\system32\ulhiom.dll"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(688)
c:\winxp\system32\Ati2evxx.dll
.
- - - - - - - > 'explorer.exe'(3172)
c:\winxp\system32\wpdshserviceobj.dll
c:\winxp\system32\portabledevicetypes.dll
c:\winxp\system32\portabledeviceapi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\winxp\system32\Ati2evxx.exe
c:\winxp\system32\Ati2evxx.exe
d:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Java\jre6\bin\jqs.exe
d:\spiele\MOHA\UnrealEngine3\MOHAGame\pb\PnkBstrA.exe
d:\programme\Avira\AntiVir Desktop\avshadow.exe
c:\winxp\system32\wscntfy.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2011-06-02  13:29:56 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2011-06-02 11:29
ComboFix2.txt  2011-06-01 22:07
.
Vor Suchlauf: 12 Verzeichnis(se), 97.489.707.008 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 97.482.203.136 Bytes frei
.
- - End Of File - - 0DF332DC19751DAC05F6E802D19A4F3F

--- --- ---

Sehe ich das richtig das die Surfbar der Verursacher des Trojaners war/ist?

Xd...
Wenn das geklärt ist alles dann werd ich wohl mal eine Bewerbung raus schicken an euch,vor ca. 2 Jahren hatte ich schon mal ein üblen Wurm auf meinem alten PC,wo mir hier auch geholfen wurde,langsam hab ich die Nase voll von diesen Plagegeistern

cosinus · 03.06.2011, 09:40

Bitte mal den Avenger anwenden:

1.) Lade Dir von hier Avenger:
Swandog46's Public Anti-Malware Tools (Download, linksseitig)

2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:

3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld:

Code:

ATTFilter

Registry keys to delete:
HKLM\System\ControlSet001\Services\wahhttnv

Files to delete:
c:\winxp\system32\ulhiom.dll

4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.

8.) Die Datei c:\avenger\backup.zip bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und hier verlinken

dmeder · 03.06.2011, 14:07

Ich hab den nächsten Schritt erst mal nicht ausgeführt,weil mein VirenProg grad angeschlagen hat

Das nächste Objekt ist: WORM/Conficker.N

Zitat:

In der Datei 'C:\System Volume Information\_restore{735E7BDF-811A-4096-B426-DAD0FA3645E1}\RP1\A0000111.dll'
wurde ein Virus oder unerwünschtes Programm 'WORM/Conficker.N' [worm] gefunden.

Vor ungefähr 10 min hat mein Prog angeschlagen,obwohl ich nicht im Inet war,keine Progs grad laufen und nichts aktiv ist,bin nur grad verbunden mit dem Inet....

Soll ich nun den nächsten Schritt noch ausführen den du ein Beitrag vor mir beschrieben hast oder soll ich erst noch mal irgendein Scan
ausführen wegen den Conficker.N?

TR/Jorik.SpyEyes.nc + EXP/CVE-2010-4452.A

Plagegeister aller Art und deren Bekämpfung: TR/Jorik.SpyEyes.nc + EXP/CVE-2010-4452.A