Trojaner-Board - xp security center

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - xp security center (https://www.trojaner-board.de/100155-xp-security-center.html)

xp security center

Hallo und Gruß an alle Fachleute !

Bitte im Vorfeld zu entschuldigen, wenn ich mich nicht 100% regelkonform ausdrücke - ich bin (systemtechnisch und Forenerfahrung) absoluter LAIE !

Habe mir auf meinen Asus EeePC, WinXP SP3, eine Menge unerwünschter "Gäste" eingefangen.

Bis zum Befall hatte ich ausschliesslich das Microsoft Security Center als Schutz installiert.

Vor rund zwei Wochen ist dann nach Hochfahren des Rechners das Taskleistensymbol des Microsoft Security Centers verschwunden und das, fast gleich aussehende, Symbol des XP Security 2011 erschienen.
Habe dann den Rechner schnell runtergefahren - mit dem Ergebnis, das ich mir eine Bootsektor Beschädigung eingefangen habe und der Rechner nicht mehr startete. Nur ein blinkender Cursor - sonst nichts.
Das Trojaner Board kannte ich noch nicht - also selber versucht...
Erster Schritt:
Durch endloses probieren fand ich heraus, das der Asus nach ziehen des Akkus nach Start wieder hochfuhr.
Kasperskys TDSSKILLER mit anderem Rechner auf SD Karte gezogen(anderes Laufwerk habe ich nicht am EeePC) und den Bootsektor repariert.
Dann habe ich die Infos zum Problem und deren Lösung im Netz (und hier!) gefunden und folgende Schritte vorgenommen:
RKILL ausgeführt
OTH : alle Prozesse gestoppt
Malwarebytes (14 Tage Vollversion, läuft noch 7 Tage...) komplett scannen lassen, auch Flash-Scan, und den Echtzeitschutz eingeschaltet.
Avira installiert und scannen lassen.
Beide Prg. haben VIELE infizierte Dateien gefunden und in Quarantäne verschoben.
Die o.a. Prozedur habe ich mehrfach wiederholt und es wurden auch immer wieder vereinzelt Schädlinge gefunden.
Da in einigen Threats von unauffordertem posten von Log-Files abgeraten wurde, hänge ich hier noch keine an.
Im Moment SCHEINT der Rechner sauber - ABER ein wichtiger Punkt funktioniert noch immer nicht - das Windows Update.
Die Meldung "Automatische Updates sind deaktiviert" erscheint und läßt sich nicht ändern.
Manuelles Update ist auch unmöglich, es gibt die Meldung "die gewünschte Seite kann nicht angezeigt werden" Fehler Nr. 0x80070474.
Bevor ich den Malwarebytes Echtzeitschutz aktiviert hatte, führte der Versuch , die IE8 Einstellungen zu ändern, zum erneuten Systemabsturz und beschädigtem Bootsektor.

Ich hoffe, das mein laienhaftes Auftreten bis hierher nicht zum Ausschluß von Hilfe führt - bitte helft mir...!!! Ich bedanke mich bereits im Vorfeld für jede Unterstützung und Anleitung zur Problemlösung !!! Danke !!!

Zitat:

Malwarebytes (14 Tage Vollversion, läuft noch 7 Tage...) komplett scannen lassen, auch Flash-Scan, und den Echtzeitschutz eingeschaltet.
Avira installiert und scannen lassen.

Was wurde wo genau gefunden? Solche Angaben reichen nicht aus, bitte poste alle Logs der Scanner vollständig!

Hallo Arne !
Vielen Dank für Deine Mitteilung !
Nachfolgend die Lofiles von Avira, Malwarebytes und OTL.

Habe noch ein weiteren Fehler vergessen zu posten:
Mein(zuvor) benutzer Router mit DSL Modem Netgear DGN1000B war mit einem Open DNS Acount(wg.Jugendschutz) seit dem Angriff mit merkwürdigen Effekten behaftet - so wechselte der WLAN kanal selbstständig(obwohl FEST eingestellt) und WLAN schaltete sich selbstständig ab. Ich habe einen Hardreset am Router durchgeführt und ihn dann abgeklemmt; nutze nub mein altes Telekom Equipment...

Nun die Logs:

Das wird ja ne Klickorgie. Pack bitte ALLE Logs in eine ZIP und lad diese hier hoch

Ok, gezippt hatte ich bisher noch nicht...sorry.
Hier nochmal alle Logs (und zwei neue von heute) als zip:

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

[2011.06.02 16:20:03 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\EeePC 1\Anwendungsdaten\Zyver

[2011.06.02 16:20:03 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\EeePC 1\Anwendungsdaten\Amdy

[2011.05.25 18:21:52 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\EeePC 1\Anwendungsdaten\Ufuxk

[2011.05.25 18:21:52 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\EeePC 1\Anwendungsdaten\Riuvge

[2011.06.02 16:08:51 | 000,000,000 | ---- | M] () -- C:\WINDOWS\System32\drivers\34255654.sys

[2011.05.25 06:58:09 | 000,274,432 | ---- | M] () -- C:\Dokumente und Einstellungen\EeePC 1\l4iLHPoe4Bqe4hS87qY1.exe

[2011.05.26 20:18:20 | 000,469,050 | ---- | C] () -- C:\Dokumente und Einstellungen\EeePC 1\peays.exe

[2011.05.25 18:22:04 | 000,016,316 | -HS- | C] () -- C:\Dokumente und Einstellungen\EeePC 1\Lokale Einstellungen\Anwendungsdaten\ag7u1x14qml062ua10fo35

[2011.05.25 18:22:04 | 000,016,316 | -HS- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ag7u1x14qml062ua10fo35

[2011.05.25 18:21:14 | 000,274,432 | ---- | C] () -- C:\Dokumente und Einstellungen\EeePC 1\l4iLHPoe4Bqe4hS87qY1.exe

:Commands

[purity]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hallo Arne !

Habe die Virenprogramme (und alle Prozesse mit OTH) beendet, OTL gestartet, den Text in die Box kopiert und FIX gedrückt.
Im Anhang der Logfile.

Gruß,
Ulrich

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

http://www.trojaner-board.de/attachm...rnen-start.png

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

Habe den Scan mit TDSS gemacht und den Log angehängt. Kein Fund...
Habe zuvor noch einen Komplettscan aller Datein mit AntiVir gemacht; dort gab es einen Fund. Habe den Bericht auch mit angehängt.
Sonst alles wie gehabt; Rechner läuft, aber kein Update von Windows möglich...

Gruß,
Ulrich

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Combofix ausgeführt, Wiederherstellungskonsole installiert, Hier der Logfile:

Combofix Logfile:

Code:

ComboFix 11-06-13.04 - EeePC 1 14.06.2011  12:05:40.1.2 - x86

Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1015.491 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\EeePC 1\Desktop\cofi.exe

AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}

AV: Microsoft Security Essentials *Disabled/Updated* {BCF43643-A118-4432-AEDE-D861FCBCFCDF}

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\Adobe\plugs

c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\Adobe\shed

c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\SCleaner

c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\SCleaner\config

c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\SCleaner\scleaner.exe

c:\dokumente und einstellungen\Ulrich\Anwendungsdaten\Loub

c:\dokumente und einstellungen\Ulrich\Anwendungsdaten\Loub\elqy.tmp

c:\windows\system32\Thumbs.db

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-05-14 bis 2011-06-14  ))))))))))))))))))))))))))))))

.

.

2011-06-13 11:13 . 2011-06-13 11:13        --------        d-----w-        C:\_OTL

2011-06-09 20:56 . 2011-06-09 20:56        404640        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2011-06-02 20:04 . 2011-06-02 20:06        --------        d-----w-        c:\dokumente und einstellungen\Ulrich

2011-05-26 12:36 . 2011-05-26 12:36        --------        d-----w-        c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\Malwarebytes

2011-05-26 12:28 . 2011-05-29 07:11        39984        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-05-26 12:27 . 2011-05-26 12:27        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-05-26 12:26 . 2011-05-29 07:11        22712        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-05-26 12:26 . 2011-06-02 14:13        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2011-05-25 23:26 . 2011-05-25 23:26        --------        d-----r-        c:\dokumente und einstellungen\LocalService\Eigene Dateien

2011-05-25 23:26 . 2011-05-25 23:27        --------        d-----r-        c:\dokumente und einstellungen\LocalService\Favoriten

2011-05-25 23:26 . 2011-05-25 23:26        --------        d-----w-        c:\dokumente und einstellungen\LocalService\Startmenü

2011-05-23 21:44 . 2011-06-13 23:56        --------        d-----w-        c:\windows\system32\NtmsData

2011-05-23 21:43 . 2011-05-23 21:43        --------        d-----w-        c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\Avira

2011-05-23 21:41 . 2011-04-01 15:07        137656        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2011-05-23 21:41 . 2010-06-17 13:27        45416        ----a-w-        c:\windows\system32\drivers\avgntdd.sys

2011-05-23 21:41 . 2010-06-17 13:27        22360        ----a-w-        c:\windows\system32\drivers\avgntmgr.sys

2011-05-23 21:41 . 2011-05-23 21:41        --------        d-----w-        c:\programme\Avira

2011-05-23 21:41 . 2011-05-23 21:41        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira

2011-05-23 20:46 . 2011-05-23 20:46        --------        d-----w-        c:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Adobe

2011-05-23 20:15 . 2011-05-23 20:15        --------        d-----r-        c:\dokumente und einstellungen\NetworkService\Favoriten

2011-05-23 19:59 . 2011-05-23 19:59        --------        d-sh--w-        c:\dokumente und einstellungen\NetworkService\IETldCache

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-04-13 22:40 . 2011-04-13 22:40        4284416        ----a-w-        c:\windows\system32\GPhotos.scr

2011-04-01 15:07 . 2009-12-24 13:32        61960        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-12-25 39408]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-12-19 135168]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-12-19 159744]

"Persistence"="c:\windows\system32\igfxpers.exe" [2007-12-19 131072]

"AsusACPIServer"="c:\programme\EeePC\ACPI\AsAcpiSvr.exe" [2009-04-16 630784]

"AsusEPCMonitor"="c:\programme\EeePC\ACPI\AsEPCMon.exe" [2009-03-13 98304]

"AsusTray"="c:\programme\EeePC\ACPI\AsTray.exe" [2009-04-16 118784]

"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2009-04-09 1512744]

"SynAsusAcpi"="c:\programme\Synaptics\SynTP\SynAsusAcpi.exe" [2009-04-09 79144]

"LiveUpdate"="c:\programme\Asus\LiveUpdate\LiveUpdate.exe" [2010-01-29 751592]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]

"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-10-11 149280]

"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-11-10 417792]

"RTHDCPL"="RTHDCPL.EXE" [2009-04-27 17881088]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2011-03-28 281768]

"Malwarebytes' Anti-Malware"="c:\programme\Malwarebytes' Anti-Malware\mbamgui.exe" [2011-05-29 449584]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

"DWQueuedReporting"="c:\progra~1\GEMEIN~1\MICROS~1\DW\dwtrig20.exe" [2007-02-25 437160]

.

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

 SuperHybridEngine.lnk - c:\programme\ASUS\EeePC\Super Hybrid Engine\SuperHybridEngine.exe [2009-8-14 376832]

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"DisableNotifications"= 1 (0x1)

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=

"c:\\Programme\\Skype\\Phone\\Skype.exe"=

"c:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\sessmgr.exe"=

"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Programme\\Windows Live\\Sync\\WindowsLiveSync.exe"=

.

R1 AsUpIO;AsUpIO;c:\windows\system32\drivers\AsUpIO.sys [03.06.2010 08:59 11448]

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [23.05.2011 23:41 136360]

R2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [26.05.2011 14:28 366640]

R3 L1c;NDIS Miniport Driver for Atheros AR8131/AR8132 PCI-E Ethernet Controller;c:\windows\system32\drivers\l1c51x86.sys [28.04.2009 03:59 38912]

R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [26.05.2011 14:26 22712]

R3 uvclf;uvclf;c:\windows\system32\drivers\uvclf.sys [28.04.2009 07:47 39040]

S1 fanjudzv;fanjudzv;\??\c:\windows\system32\drivers\fanjudzv.sys --> c:\windows\system32\drivers\fanjudzv.sys [?]

S1 MpKsl5b0479e8;MpKsl5b0479e8;\??\c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Microsoft Antimalware\Definition Updates\{FBE1FE8E-A06D-4352-8351-5B92BD738BB8}\MpKsl5b0479e8.sys --> c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Microsoft Antimalware\Definition Updates\{FBE1FE8E-A06D-4352-8351-5B92BD738BB8}\MpKsl5b0479e8.sys [?]

S1 nsyanlps;nsyanlps;\??\c:\windows\system32\drivers\nsyanlps.sys --> c:\windows\system32\drivers\nsyanlps.sys [?]

S1 ohngnwej;ohngnwej;\??\c:\windows\system32\drivers\ohngnwej.sys --> c:\windows\system32\drivers\ohngnwej.sys [?]

S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [26.12.2009 00:38 135664]

S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [14.08.2009 11:32 1684736]

S3 AmUStor;AM USB Stroage Driver;c:\windows\system32\drivers\AmUStor.SYS --> c:\windows\system32\drivers\AmUStor.SYS [?]

S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [26.12.2009 00:38 135664]

.

Inhalt des "geplante Tasks" Ordners

.

2011-06-14 c:\windows\Tasks\Google Software Updater.job

- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-12-25 15:33]

.

2011-06-14 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\programme\Google\Update\GoogleUpdate.exe [2009-12-25 22:38]

.

2011-06-13 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\programme\Google\Update\GoogleUpdate.exe [2009-12-25 22:38]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.de/

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

TCP: DhcpNameServer = 217.237.149.142 217.237.150.205 217.0.43.1

FF - ProfilePath - c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\Mozilla\Firefox\Profiles\vmzfwpl9.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA}

FF - Ext: DownloadHelper: {b9db16a4-6edc-47ec-a1f4-b86292ed211d} - %profile%\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension

FF - user.js: network.cookie.cookieBehavior - 0

FF - user.js: privacy.clearOnShutdown.cookies - false

FF - user.js: security.warn_viewing_mixed - false

FF - user.js: security.warn_viewing_mixed.show_once - false

FF - user.js: security.warn_submit_insecure - false

FF - user.js: security.warn_submit_insecure.show_once - false

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

Toolbar-Locked - (no file)

HKLM-Run-snp2uvc - c:\windows\vsnp2uvc.exe

MSConfigStartUp-Adobe Reader Speed Launcher - c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe

MSConfigStartUp-MsnMsgr - c:\program files\Windows Live\Messenger\MsnMsgr.Exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-06-14 12:11

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-06-14  12:14:14

ComboFix-quarantined-files.txt  2011-06-14 10:14

.

Vor Suchlauf: 7 Verzeichnis(se), 51.926.007.808 Bytes frei

Nach Suchlauf: 8 Verzeichnis(se), 52.379.021.312 Bytes frei

.

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

.

- - End Of File - - FBAA0F326DDB64AF5BA9DF1A8A3123F3

--- --- ---

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

Firefox::

FF - user.js: privacy.clearOnShutdown.cookies - false

FF - user.js: security.warn_viewing_mixed - false

FF - user.js: security.warn_viewing_mixed.show_once - false

FF - user.js: security.warn_submit_insecure - false

FF - user.js: security.warn_submit_insecure.show_once - false
 

File::

c:\windows\system32\drivers\uvclf.sys

c:\windows\system32\drivers\fanjudzv.sys

c:\windows\system32\drivers\nsyanlps.sys

c:\windows\system32\drivers\ohngnwej.sys
 

Driver::

uvclf

fanjudzv

nsyanlps

ohngnwej

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hallp Arne,

Combofix Script ausgeführt - hier das Log:

Combofix Logfile:

Code:

ComboFix 11-06-13.04 - EeePC 1 14.06.2011  20:31:04.2.2 - x86

Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1015.463 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\EeePC 1\Desktop\cofi.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\EeePC 1\Desktop\CFScript.txt

AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}

AV: Microsoft Security Essentials *Disabled/Updated* {BCF43643-A118-4432-AEDE-D861FCBCFCDF}

.

FILE ::

"c:\windows\system32\drivers\fanjudzv.sys"

"c:\windows\system32\drivers\nsyanlps.sys"

"c:\windows\system32\drivers\ohngnwej.sys"

"c:\windows\system32\drivers\uvclf.sys"

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\windows\system32\drivers\uvclf.sys

.

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

-------\Service_fanjudzv

-------\Service_nsyanlps

-------\Service_ohngnwej

-------\Service_uvclf

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-05-14 bis 2011-06-14  ))))))))))))))))))))))))))))))

.

.

2011-06-13 11:13 . 2011-06-13 11:13        --------        d-----w-        C:\_OTL

2011-06-09 20:56 . 2011-06-09 20:56        404640        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2011-06-02 20:04 . 2011-06-02 20:06        --------        d-----w-        c:\dokumente und einstellungen\Ulrich

2011-05-26 12:36 . 2011-05-26 12:36        --------        d-----w-        c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\Malwarebytes

2011-05-26 12:28 . 2011-05-29 07:11        39984        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-05-26 12:27 . 2011-05-26 12:27        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-05-26 12:26 . 2011-05-29 07:11        22712        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-05-26 12:26 . 2011-06-02 14:13        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2011-05-25 23:26 . 2011-05-25 23:26        --------        d-----r-        c:\dokumente und einstellungen\LocalService\Eigene Dateien

2011-05-25 23:26 . 2011-05-25 23:27        --------        d-----r-        c:\dokumente und einstellungen\LocalService\Favoriten

2011-05-25 23:26 . 2011-05-25 23:26        --------        d-----w-        c:\dokumente und einstellungen\LocalService\Startmenü

2011-05-23 21:44 . 2011-06-13 23:56        --------        d-----w-        c:\windows\system32\NtmsData

2011-05-23 21:43 . 2011-05-23 21:43        --------        d-----w-        c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\Avira

2011-05-23 21:41 . 2011-04-01 15:07        137656        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2011-05-23 21:41 . 2010-06-17 13:27        45416        ----a-w-        c:\windows\system32\drivers\avgntdd.sys

2011-05-23 21:41 . 2010-06-17 13:27        22360        ----a-w-        c:\windows\system32\drivers\avgntmgr.sys

2011-05-23 21:41 . 2011-05-23 21:41        --------        d-----w-        c:\programme\Avira

2011-05-23 21:41 . 2011-05-23 21:41        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira

2011-05-23 20:46 . 2011-05-23 20:46        --------        d-----w-        c:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Adobe

2011-05-23 20:15 . 2011-05-23 20:15        --------        d-----r-        c:\dokumente und einstellungen\NetworkService\Favoriten

2011-05-23 19:59 . 2011-05-23 19:59        --------        d-sh--w-        c:\dokumente und einstellungen\NetworkService\IETldCache

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-04-13 22:40 . 2011-04-13 22:40        4284416        ----a-w-        c:\windows\system32\GPhotos.scr

2011-04-01 15:07 . 2009-12-24 13:32        61960        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-12-25 39408]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-12-19 135168]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-12-19 159744]

"Persistence"="c:\windows\system32\igfxpers.exe" [2007-12-19 131072]

"AsusACPIServer"="c:\programme\EeePC\ACPI\AsAcpiSvr.exe" [2009-04-16 630784]

"AsusEPCMonitor"="c:\programme\EeePC\ACPI\AsEPCMon.exe" [2009-03-13 98304]

"AsusTray"="c:\programme\EeePC\ACPI\AsTray.exe" [2009-04-16 118784]

"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2009-04-09 1512744]

"SynAsusAcpi"="c:\programme\Synaptics\SynTP\SynAsusAcpi.exe" [2009-04-09 79144]

"LiveUpdate"="c:\programme\Asus\LiveUpdate\LiveUpdate.exe" [2010-01-29 751592]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]

"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-10-11 149280]

"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-11-10 417792]

"RTHDCPL"="RTHDCPL.EXE" [2009-04-27 17881088]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2011-03-28 281768]

"Malwarebytes' Anti-Malware"="c:\programme\Malwarebytes' Anti-Malware\mbamgui.exe" [2011-05-29 449584]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

"DWQueuedReporting"="c:\progra~1\GEMEIN~1\MICROS~1\DW\dwtrig20.exe" [2007-02-25 437160]

.

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

 SuperHybridEngine.lnk - c:\programme\ASUS\EeePC\Super Hybrid Engine\SuperHybridEngine.exe [2009-8-14 376832]

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

"DisableNotifications"= 1 (0x1)

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=

"c:\\Programme\\Skype\\Phone\\Skype.exe"=

"c:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\sessmgr.exe"=

"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Programme\\Windows Live\\Sync\\WindowsLiveSync.exe"=

.

R1 AsUpIO;AsUpIO;c:\windows\system32\drivers\AsUpIO.sys [03.06.2010 08:59 11448]

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [23.05.2011 23:41 136360]

R2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [26.05.2011 14:28 366640]

R3 L1c;NDIS Miniport Driver for Atheros AR8131/AR8132 PCI-E Ethernet Controller;c:\windows\system32\drivers\l1c51x86.sys [28.04.2009 03:59 38912]

R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [26.05.2011 14:26 22712]

S1 MpKsl5b0479e8;MpKsl5b0479e8;\??\c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Microsoft Antimalware\Definition Updates\{FBE1FE8E-A06D-4352-8351-5B92BD738BB8}\MpKsl5b0479e8.sys --> c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Microsoft Antimalware\Definition Updates\{FBE1FE8E-A06D-4352-8351-5B92BD738BB8}\MpKsl5b0479e8.sys [?]

S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [26.12.2009 00:38 135664]

S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [14.08.2009 11:32 1684736]

S3 AmUStor;AM USB Stroage Driver;c:\windows\system32\drivers\AmUStor.SYS --> c:\windows\system32\drivers\AmUStor.SYS [?]

S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [26.12.2009 00:38 135664]

.

Inhalt des "geplante Tasks" Ordners

.

2011-06-14 c:\windows\Tasks\Google Software Updater.job

- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-12-25 15:33]

.

2011-06-14 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\programme\Google\Update\GoogleUpdate.exe [2009-12-25 22:38]

.

2011-06-13 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\programme\Google\Update\GoogleUpdate.exe [2009-12-25 22:38]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.de/

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

FF - ProfilePath - c:\dokumente und einstellungen\EeePC 1\Anwendungsdaten\Mozilla\Firefox\Profiles\vmzfwpl9.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA}

FF - Ext: DownloadHelper: {b9db16a4-6edc-47ec-a1f4-b86292ed211d} - %profile%\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension

FF - user.js: network.cookie.cookieBehavior - 0

FF - user.js: privacy.clearOnShutdown.cookies - false

FF - user.js: security.warn_viewing_mixed - false

FF - user.js: security.warn_viewing_mixed.show_once - false

FF - user.js: security.warn_submit_insecure - false

FF - user.js: security.warn_submit_insecure.show_once - false

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-06-14 20:38

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'explorer.exe'(1780)

c:\windows\system32\webcheck.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\programme\Avira\AntiVir Desktop\avshadow.exe

c:\windows\system32\igfxsrvc.exe

c:\windows\system32\igfxext.exe

c:\windows\RTHDCPL.EXE

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-06-14  20:41:50 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-06-14 18:41

ComboFix2.txt  2011-06-14 10:14

.

Vor Suchlauf: 7 Verzeichnis(se), 52.390.469.632 Bytes frei

Nach Suchlauf: 8 Verzeichnis(se), 52.310.597.632 Bytes frei

.

- - End Of File - - 5442CE170529D0F7D73451B545A9450C

--- --- ---

Gruß,
Ulrich

Nachtrag:
Habe gerade festgestellt, das Windows Update wieder funktioniert.
Darf ich die (zahlreichen) noch nicht installierten Updates schon installieren ?

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Hallo Arne,

hier die Logs:

GMER

GMER Logfile:

Code:

GMER 1.0.15.15640 - hxxp://www.gmer.net

Rootkit scan 2011-06-14 23:32:12

Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 ST916031 rev.0002

Running: 95veyit7.exe; Driver: C:\DOKUME~1\EEEPC1~1\LOKALE~1\Temp\pxtdapoc.sys
 
 

---- System - GMER 1.0.15 ----
 

SSDT            A49B1E04                                 ZwClose

SSDT            A49B1DBE                                 ZwCreateKey

SSDT            A49B1E0E                                 ZwCreateSection

SSDT            A49B1DB4                                 ZwCreateThread

SSDT            A49B1DC3                                 ZwDeleteKey

SSDT            A49B1DCD                                 ZwDeleteValueKey

SSDT            A49B1DFF                                 ZwDuplicateObject

SSDT            A49B1DD2                                 ZwLoadKey

SSDT            A49B1DA0                                 ZwOpenProcess

SSDT            A49B1DA5                                 ZwOpenThread

SSDT            A49B1DDC                                 ZwReplaceKey

SSDT            A49B1DD7                                 ZwRestoreKey

SSDT            A49B1E13                                 ZwSetContextThread

SSDT            A49B1DC8                                 ZwSetValueKey

SSDT            A49B1DAF                                 ZwTerminateProcess
 

---- Devices - GMER 1.0.15 ----
 

AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0  wdf01000.sys (WDF Dynamic/Microsoft Corporation)

AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass1  wdf01000.sys (WDF Dynamic/Microsoft Corporation)

AttachedDevice  \Driver\Tcpip \Device\Tcp                fssfltr_tdi.sys (Family Safety Filter Driver (TDI)/Microsoft Corporation)
 

Device                                                   mrxsmb.sys (Windows NT SMB Minirdr/Microsoft Corporation)

Device                                                   A2BCDD20
 

AttachedDevice                                           fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
 

---- EOF - GMER 1.0.15 ----

--- --- ---

OSAM:

OSAM Logfile:

Code:

Report of OSAM: Autorun Manager v5.0.11926.0

hxxp://www.online-solutions.ru/en/

Saved at 23:45:58 on 14.06.2011
 

OS: Windows XP Home Edition Service Pack 3 (Build 2600)

Default Browser: Microsoft Corporation Internet Explorer 8.00.6001.18702
 

Scanner Settings

[x] Rootkits detection (hidden registry)

[x] Rootkits detection (hidden files)

[x] Retrieve files information

[x] Check Microsoft signatures
 

Filters

[ ] Trusted entries

[ ] Empty entries

[x] Hidden registry entries (rootkit activity)

[x] Exclusively opened files

[x] Not found files

[x] Files without detailed information

[x] Existing files

[ ] Non-startable services

[ ] Non-startable drivers

[x] Active entries

[x] Disabled entries
 
 

[Common]

-----( %SystemRoot%\Tasks )-----

"GoogleUpdateTaskMachineCore.job" - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe

"GoogleUpdateTaskMachineUA.job" - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe

"Google Software Updater.job" - "Google" - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
 

[Control Panel Objects]

-----( %SystemRoot%\system32 )-----

"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\WINDOWS\system32\FlashPlayerCPLApp.cpl

"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl

"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----

"Avira AntiVir Personal" - "Avira GmbH" - C:\PROGRA~1\Avira\ANTIVI~1\avconfig.cpl

"QuickTime" - "Apple Inc." - C:\Programme\QuickTime\QTSystem\QuickTime.cpl
 

[Drivers]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"AM USB Stroage Driver" (AmUStor) - ? - C:\WINDOWS\System32\drivers\AmUStor.SYS  (File not found)

"AsUpIO" (AsUpIO) - ? - C:\WINDOWS\System32\drivers\AsUpIO.sys  (File found, but it contains no detailed information)

"avgio" (avgio) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avgio.sys

"avgntflt" (avgntflt) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avgntflt.sys

"avipbb" (avipbb) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avipbb.sys

"Bluetooth-Audiogerät" (btaudio) - ? - C:\WINDOWS\System32\drivers\btaudio.sys  (File not found)

"Bluetooth-LAN-Zugangsserver" (BTWDNDIS) - ? - C:\WINDOWS\System32\DRIVERS\btwdndis.sys  (File not found)

"btwhid" (btwhid) - ? - C:\WINDOWS\System32\DRIVERS\btwhid.sys  (File not found)

"catchme" (catchme) - ? - C:\cofi\catchme.sys  (File not found)

"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)

"FssFltr" (fssfltr) - "Microsoft Corporation" - C:\WINDOWS\System32\DRIVERS\fssfltr_tdi.sys

"i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)

"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)

"MBAMProtector" (MBAMProtector) - "Malwarebytes Corporation" - C:\WINDOWS\system32\drivers\mbam.sys

"MpKsl5b0479e8" (MpKsl5b0479e8) - ? - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Microsoft Antimalware\Definition Updates\{FBE1FE8E-A06D-4352-8351-5B92BD738BB8}\MpKsl5b0479e8.sys  (File not found)

"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)

"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)

"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)

"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)

"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)

"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys

"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys

"Virtueller Bluetooth-Kommunikationstreiber" (BTDriver) - ? - C:\WINDOWS\System32\DRIVERS\btport.sys  (File not found)

"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)

"WIDCOMM USB Bluetooth Driver" (BTWUSB) - ? - C:\WINDOWS\System32\Drivers\btwusb.sys  (File not found)
 

[Explorer]

-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----

{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install

-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----

{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll

{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

-----( HKLM\Software\Classes\Protocols\Filter )-----

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

-----( HKLM\Software\Classes\Protocols\Handler )-----

{FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

{828030A1-22C1-4009-854F-8E305202313F} "livecall" - "Microsoft Corporation" - C:\PROGRA~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

{0A9007C0-4076-11D3-8789-0000F8105754} "Microsoft Infotech Storage Protocol for IE 4.0" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Information Retrieval\msitss.dll

{828030A1-22C1-4009-854F-8E305202313F} "msnim" - "Microsoft Corporation" - C:\PROGRA~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

{03C514A3-1EFB-4856-9F99-10D7BE1653C0} "Windows Live Mail HTML Asynchronous Pluggable Protocol Handler" - "Microsoft Corporation" - C:\Programme\Windows Live\Mail\mailcomm.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----

{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - C:\Programme\7-Zip\7-zip.dll

{0563DB41-F538-4B37-A92D-4659049B7766} "CLSID_WLMCMimeFilter" - "Microsoft Corporation" - C:\Programme\Windows Live\Mail\mailcomm.dll

{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? - deskpan.dll  (File not found)

{1D2680C9-0E2A-469d-B787-065558BC7D43} "Fusion Cache" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{FAC3CBF6-8697-43d0-BAB9-DCD1FCE19D75} "IE User Assist" - ? -   (File not found | COM-object registry key not found)

{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -   (File not found | COM-object registry key not found)

{993BE281-6695-4BA5-8A2A-7AACBFAAB69E} "Microsoft Office Metadata Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll

{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97} "Microsoft Office Thumbnail Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll

{7842554E-6BED-11D2-8CDB-B05550C10000} "Monitor" - ? -   (File not found | COM-object registry key not found)

{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\shlext.dll

{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll

{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -   (File not found | COM-object registry key not found)

{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll

{BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Web Folders" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\MSONSEXT.DLL

{2BE99FD4-A181-4996-BFA9-58C5FFD11F6C} "Windows Live Photo Gallery Autoplay Drop Target" - "Microsoft Corporation" - C:\Programme\Windows Live\Photo Gallery\WLXPhotoGallery.exe

{00F30F64-AC33-42F5-8FD1-5DC2D3FDE06C} "Windows Live Photo Gallery Editor Drop Target" - "Microsoft Corporation" - C:\Programme\Windows Live\Photo Gallery\WLXPhotoGallery.exe

{00F3712A-CA79-45B4-9E4D-D7891E7F8B9D} "Windows Live Photo Gallery Editor Shim" - "Microsoft Corporation" - C:\Programme\Windows Live\Photo Gallery\PhotoViewerShim.dll

{00F30F90-3E96-453B-AFCD-D71989ECC2C7} "Windows Live Photo Gallery Viewer Autoplay Shim" - "Microsoft Corporation" - C:\Programme\Windows Live\Photo Gallery\PhotoViewerShim.dll

{00F33137-EE26-412F-8D71-F84E4C2C6625} "Windows Live Photo Gallery Viewer Autoplay Shim" - "Microsoft Corporation" - C:\Programme\Windows Live\Photo Gallery\PhotoViewerShim.dll

{00F374B7-B390-4884-B372-2FC349F2172B} "Windows Live Photo Gallery Viewer Drop Target" - "Microsoft Corporation" - C:\Programme\Windows Live\Photo Gallery\WLXPhotoGallery.exe

{00F346CB-35A4-465B-8B8F-65A29DBAB1F6} "Windows Live Photo Gallery Viewer Shim" - "Microsoft Corporation" - C:\Programme\Windows Live\Photo Gallery\PhotoViewerShim.dll

{06A2568A-CED6-4187-BB20-400B8C02BE5A} "{06A2568A-CED6-4187-BB20-400B8C02BE5A}" - "Microsoft Corporation" - C:\Programme\Windows Live\Photo Gallery\WLXPhotoAcquireWizard.exe
 

[Internet Explorer]

-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----

<binary data> "&Windows Live Toolbar" - "Microsoft Corporation" - C:\Programme\Windows Live\Toolbar\wltcore.dll

<binary data> "Gutscheinmieze" - "Synatix GmbH" - C:\Dokumente und Einstellungen\EeePC 1\Anwendungsdaten\Gutscheinmieze\toolbar.dll

ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----

{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_17" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_17.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

{CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA} "Java Plug-in 1.6.0_17" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_17.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_17" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_17.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----

{77BF5300-1474-4EC7-9980-D32B190E9B07} "ClsidExtension" - "Skype Technologies S.A." - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

{5F7B1267-94A9-47F5-98DB-E99415F33AEC} "In Blog veröffentlichen" - "Microsoft Corporation" - C:\Programme\Windows Live\Writer\WriterBrowserExtension.dll

{77BF5300-1474-4EC7-9980-D32B190E9B07} "Skype" - "Skype Technologies S.A." - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----

<binary data> "&Windows Live Toolbar" - "Microsoft Corporation" - C:\Programme\Windows Live\Toolbar\wltcore.dll

{DFEFCDEE-CF1A-4FC8-88AD-48514E463B27} "Gutscheinmieze" - "Synatix GmbH" - C:\Dokumente und Einstellungen\EeePC 1\Anwendungsdaten\Gutscheinmieze\toolbar.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----

{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

{AF69DE43-7D58-4638-B6FA-CE66B5AD205D} "Google Toolbar Notifier BHO" - "Google Inc." - C:\Programme\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll

{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll

{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} "Search Helper" - "Microsoft Corp." - C:\Programme\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll

{22BF413B-C6D2-4d91-82A9-A0F997BA588C} "Skype add-on (mastermind)" - "Skype Technologies S.A." - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

{9030D464-4C02-4ABF-8ECC-5164760863C6} "Windows Live Anmelde-Hilfsprogramm" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

{E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} "Windows Live Toolbar Helper" - "Microsoft Corporation" - C:\Programme\Windows Live\Toolbar\wltcore.dll

{5C255C8A-E604-49b4-9D64-90988571CECB} "{5C255C8A-E604-49b4-9D64-90988571CECB}" - ? -   (File not found | COM-object registry key not found)
 

[Logon]

-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----

" SuperHybridEngine.lnk" - "ASUSTeK Computer Inc." - C:\Programme\ASUS\EeePC\Super Hybrid Engine\SuperHybridEngine.exe  (Shortcut exists | File exists)

"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini

-----( %UserProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\EeePC 1\Startmenü\Programme\Autostart\desktop.ini

-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----

"swg" - "Google Inc." - C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----

"Adobe Reader Speed Launcher" - "Adobe Systems Incorporated" - "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"

"AsusACPIServer" - "ASUSTeK Computer Inc." - C:\Programme\EeePC\ACPI\AsAcpiSvr.exe

"AsusEPCMonitor" - "ASUSTeK Computer Inc." - C:\Programme\EeePC\ACPI\AsEPCMon.exe

"AsusTray" - "ASUSTeK Computer Inc." - C:\Programme\EeePC\ACPI\AsTray.exe

"avgnt" - "Avira GmbH" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

"LiveUpdate" - ? - C:\Programme\Asus\LiveUpdate\LiveUpdate.exe auto  (File found, but it contains no detailed information)

"Malwarebytes' Anti-Malware" - "Malwarebytes Corporation" - "C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray

"QuickTime Task" - "Apple Inc." - "C:\Programme\QuickTime\qttask.exe" -atboottime

"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Java\jre6\bin\jusched.exe"
 

[Services]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe

"Anwendungsverwaltung" (AppMgmt) - ? - C:\WINDOWS\System32\appmgmts.dll  (File not found)

"ASP.NET State Service" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe

"Avira AntiVir Guard" (AntiVirService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avguard.exe

"Avira AntiVir Planer" (AntiVirSchedulerService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\sched.exe

"Google Software Updater" (gusvc) - "Google" - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

"Google Update Service (gupdate)" (gupdate) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe

"Google Update-Dienst (gupdatem)" (gupdatem) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe

"MBAMService" (MBAMService) - "Malwarebytes Corporation" - C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe

"Windows CardSpace" (idsvc) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe

"Windows Live Family Safety" (fsssvc) - "Microsoft Corporation" - C:\Programme\Windows Live\Family Safety\fsssvc.exe

"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe
 

[Winlogon]

-----( HKCU\Control Panel\IOProcs )-----

"MVB" - ? - mvfs32.dll  (File not found)

-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )-----

{c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll  (File not found)
 

===[ Logfile end ]=========================================[ Logfile end ]===

--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

MBRcheck:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Home Edition
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000000c

Kernel Drivers (total 115):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806E6000 \WINDOWS\system32\hal.dll
0xF7A88000 \WINDOWS\system32\KDCOM.DLL
0xF7998000 \WINDOWS\system32\BOOTVID.dll
0xF7458000 ACPI.sys
0xF7A8A000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xF7447000 pci.sys
0xF7588000 isapnp.sys
0xF799C000 compbatt.sys
0xF79A0000 \WINDOWS\system32\DRIVERS\BATTC.SYS
0xF7598000 MountMgr.sys
0xF7428000 ftdisk.sys
0xF7808000 PartMgr.sys
0xF79A4000 ACPIEC.sys
0xF7B50000 \WINDOWS\system32\DRIVERS\OPRGHDLR.SYS
0xF75A8000 VolSnap.sys
0xF734E000 iaStor.sys
0xF75B8000 disk.sys
0xF75C8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xF732E000 fltMgr.sys
0xF731C000 sr.sys
0xF75D8000 PxHelp20.sys
0xF7305000 KSecDD.sys
0xF7278000 Ntfs.sys
0xF724B000 NDIS.sys
0xF7231000 Mup.sys
0xF76F8000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xF626C000 \SystemRoot\system32\DRIVERS\igxpmp32.sys
0xF6258000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xF6230000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xF60BA000 \SystemRoot\system32\DRIVERS\athw.sys
0xF7708000 \SystemRoot\system32\DRIVERS\l1c51x86.sys
0xF7838000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xF6096000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xF7840000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xF7718000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xF7848000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xF6064000 \SystemRoot\system32\DRIVERS\SynTP.sys
0xF7AA4000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xF7728000 \SystemRoot\system32\DRIVERS\WDFLDR.SYS
0xF5FE8000 \SystemRoot\System32\Drivers\wdf01000.sys
0xF7850000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xF7A74000 \SystemRoot\system32\DRIVERS\CmBatt.sys
0xF7A78000 \SystemRoot\system32\DRIVERS\ASUSACPI.sys
0xF7C31000 \SystemRoot\system32\DRIVERS\audstub.sys
0xF7738000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xF7A7C000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xF5FD1000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xF7748000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xF7758000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xF7858000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xF5FC0000 \SystemRoot\system32\DRIVERS\psched.sys
0xF7768000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xF7860000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xF7868000 \SystemRoot\system32\DRIVERS\raspti.sys
0xF7778000 \SystemRoot\system32\DRIVERS\termdd.sys
0xF7AA6000 \SystemRoot\system32\DRIVERS\swenum.sys
0xF5F9D000 \SystemRoot\system32\DRIVERS\ks.sys
0xF5F3F000 \SystemRoot\system32\DRIVERS\update.sys
0xF720D000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xF7788000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xA79F1000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xA6C17000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xA6BF3000 \SystemRoot\system32\drivers\portcls.sys
0xA79E1000 \SystemRoot\system32\drivers\drmk.sys
0xA7125000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xA4B77000 \SystemRoot\System32\Drivers\Null.SYS
0xA7123000 \SystemRoot\System32\Drivers\Beep.SYS
0xF7990000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF7818000 \SystemRoot\System32\drivers\vga.sys
0xF7AA8000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF7AAA000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF7820000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF7828000 \SystemRoot\System32\Drivers\Npfs.SYS
0xA9EE8000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xA38AC000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xA3853000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xA382B000 \SystemRoot\system32\DRIVERS\netbt.sys
0xA3805000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xA37E3000 \SystemRoot\System32\drivers\afd.sys
0xA936B000 \SystemRoot\system32\DRIVERS\netbios.sys
0xA9097000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0xA37B8000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xA3748000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xA933B000 \SystemRoot\System32\Drivers\Fips.SYS
0xA3722000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xA93D8000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xA931B000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xA93D4000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xF7AB4000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xF7AB6000 \SystemRoot\system32\drivers\AsUpIO.sys
0xA3648000 \SystemRoot\System32\Drivers\dump_iaStor.sys
0xBF800000 \SystemRoot\System32\win32k.sys
0xA39F1000 \SystemRoot\System32\drivers\Dxapi.sys
0xA8088000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xF7B99000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF024000 \SystemRoot\System32\igxpgd32.dll
0xBF012000 \SystemRoot\System32\igxprd32.dll
0xBF04F000 \SystemRoot\System32\igxpdv32.DLL
0xA77A8000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xBF1E7000 \SystemRoot\System32\igxpdx32.DLL
0xBF47A000 \SystemRoot\System32\ATMFD.DLL
0xA3633000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xF5F37000 \??\C:\WINDOWS\system32\drivers\mbam.sys
0xA9C42000 \SystemRoot\system32\DRIVERS\fssfltr_tdi.sys
0xA76C8000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xA3566000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xA346E000 \SystemRoot\system32\DRIVERS\srv.sys
0xA32F8000 \SystemRoot\system32\drivers\wdmaud.sys
0xA8797000 \SystemRoot\system32\drivers\sysaudio.sys
0xA2E2F000 \SystemRoot\System32\Drivers\HTTP.sys
0xA2CAF000 \SystemRoot\system32\DRIVERS\ipfltdrv.sys
0xA2BFC000 \SystemRoot\system32\drivers\kmixer.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 36):
0 System Idle Process
4 System
432 C:\WINDOWS\system32\smss.exe
480 csrss.exe
712 C:\WINDOWS\system32\winlogon.exe
756 C:\WINDOWS\system32\services.exe
768 C:\WINDOWS\system32\lsass.exe
952 C:\WINDOWS\system32\svchost.exe
1016 svchost.exe
1056 C:\WINDOWS\system32\svchost.exe
1168 svchost.exe
1240 svchost.exe
1424 C:\WINDOWS\system32\spoolsv.exe
1476 C:\Programme\Avira\AntiVir Desktop\sched.exe
1516 svchost.exe
1572 C:\Programme\Avira\AntiVir Desktop\avguard.exe
1740 C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
1840 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
1904 C:\WINDOWS\system32\svchost.exe
624 alg.exe
1828 C:\WINDOWS\explorer.exe
2044 C:\WINDOWS\system32\igfxtray.exe
1628 C:\WINDOWS\system32\igfxsrvc.exe
588 C:\WINDOWS\system32\hkcmd.exe
968 C:\Programme\EeePC\ACPI\AsAcpiSvr.exe
1248 C:\Programme\EeePC\ACPI\AsEPCMon.exe
1152 C:\Programme\EeePC\ACPI\AsTray.exe
1148 C:\Programme\Synaptics\SynTP\SynTPEnh.exe
1132 C:\Programme\ASUS\LiveUpdate\LiveUpdate.exe
1352 C:\WINDOWS\system32\igfxext.exe
2052 C:\WINDOWS\RTHDCPL.EXE
2072 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
2092 C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe
2180 C:\WINDOWS\system32\ctfmon.exe
2308 C:\Programme\ASUS\EeePC\Super Hybrid Engine\SuperHybridEngine.exe
3516 C:\Dokumente und Einstellungen\EeePC 1\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive0 at offset 0x00000012`03ebfe00 (NTFS)

PhysicalDrive0 Model Number: ST9160314AS, Rev: 0002SDM1

Size Device Name MBR Status
--------------------------------------------
149 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A

Done!

Gruß,
Ulrich