Trojaner-Board - Erst Exploit.2010-0840.BC aus Avira, dann Trojan.KillAV aus Malwarebytes

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Erst Exploit.2010-0840.BC aus Avira, dann Trojan.KillAV aus Malwarebytes (https://www.trojaner-board.de/105257-erst-exploit-2010-0840-bc-avira-dann-trojan-killav-malwarebytes.html)

Erst Exploit.2010-0840.BC aus Avira, dann Trojan.KillAV aus Malwarebytes

Hallo zusammen,

hieran fummele ich auf 2 Rechnern seit heute Morgen :crazy:. Da ich kein Experte bin, habe ich versucht, mich möglichst genau an alle Schritte der Checkliste zu halten.

Der Reihe nach:
Gestern gab mir Avira AntiVir Personal die Meldung aus: Malware gefunden!
' Die Datei 'C:\Dokumente und Einstellungen\MeineFrau\Anwendungsdaten\Sun\Java\Deployment\Cache\6.0\41\22e4d429-1f7a1010' enthielt einen Virus oder unerwünschtes Programm 'EXP/2010-0840.BC' [exploit].
Durchgeführte Aktion(en): Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d6c059.qua' verschoben!
Dort liegt sie noch.

Bei den Forschungen zur Bedeutung dieses Dings bin ich auch mal wieder im TB angekommen und habe ein wenig gelesen. Daraufhin den nächsten Check mit Malwarebytes vorgenommen.

Vom EXP/2010-0840.BC keine Meldung, dafür hier die Meldung:
'c:\dokumente und einstellungen\MeinAccount\x.exe (Trojan.KillAV) -> No action taken'
Wird ja immer schlimmer!

Also Checkliste abarbeiten:
1. defogger (log anbei)
2. otl --> Fehlermeldung (siehe txt)
3. gmer (log anbei)

Ich hoffe, dass meine Angaben verständlich und halbwegs korrekt sind und freue mich, wenn mir jemand weiterhilft.

Delrod

Bitte nun routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Danke, Cosinus. Wird so gemacht.
Damit ich es richtig verstehe: Ich gehe dazu mit dem infizierten Rechner ins Netz, oder?
Liebe Grüße
Delrod

Zitat:

Ich gehe dazu mit dem infizierten Rechner ins Netz, oder?

Ja ist die bequemste Methode. Außerdem warst du damit doch auch die ganze Zeit online. :pfeiff:
Mach keine "kritischen" Sachen mehr bis wir durch sind. Keine Spiele, Programme oder so installieren, kein Onlinebanking, keine Bereingungsversuche ohne Abspreche bzw. auf eigene Faust"

:pfeiff: und wenn die Schuhe einmal nass sind, kann man ruhig weiter durch den Bach laufen, hab verstanden.

Beide Scans habe ich nun geschafft, die Logs hängen als zip mit dran.

LG
Stephan

Zitat:

D:\Daten\Dorothe\install_video2615_avi.exe

Woher hsat du diese Datei und was genau soll das sein?

Zitat:

D:\Downloads\Programme\registrybooster.exe

Finger weg von Registry-Bereinigern!!

Die Registry ist das Hirn des Systems. Funktioniert das Hirn nicht, funktioniert der Rest nicht mehr wirklich.
Wir lesen oft genug von Hilfesuchenden, dass deren System nach der Nutzung von Registry Cleanern nicht mehr booted.

Wie soll der Cleaner zu 100% wissen ob der Eintrag benötigt wird oder nicht ?
Es ist vollkommen egal ob ein paar verwaiste Registry Einträge am System sind oder nicht.
Auch die dauernd angepriesene Beschleunigung des Systems ist nur bedingt wahr. Du würdest es nicht merken.

Ein sogenanntes False Positive von einem Cleaner kann auch dein System unbootbar machen.
Zerstörst Du die Registry, zerstörst Du Windows.

Zitat:

D:\Downloads\Programme\SoftonicDownloader_fuer_polyglot-3000.exe

Bitte nicht falsch verstehen, aber irgendwie hab ich den Eindruck es ist ein Volkssport geworden sich sämtlichen Kram von Softonic zu laden. Da ist immer irgendein Müll wie Toolbars oder der sinnlose Softonic Downloader drin. Warum lädst du die Software nicht von der Seite des Herstellers oder notfalls bei chip.de?

Zitat:

Woher hsat du diese Datei und was genau soll das sein?

Die trägt das Datum vom 25.10.2011, 17:14 Uhr und liegt im Verzeichnis der guten Gattin. Wie sie dain gekommen ist und was sie da soll, weiss ich nicht. Löschen?

registrybooster ist vom 17.05.2011, war ein Vorschlag von chip.de und wollte ich testen, ist aber nie installiert worden.

Zitat:

SoftonicDownloader_fuer_polyglot-3000.exe

liegt auch nur im Downloadverzeichnis rum und ist nie installiert worden.

Ich verstehe das so, dass diese Dateien (und wahrscheinlich weitere) aus dem Downloadverzeichnis gelöscht werden sollten. Softonic ist wohl manchmal schneller im Blickfeld als andere Downloadmöglichkeiten und bedient damit die Bequemlichkeit. [:o]

Ist denn mit dem Entfernen der benannten Dateien, v.a. install_video2615_avi.exedas System wieder sauber oder muss ich noch weitere Schritte erledigen, beachten, ...?

LG
Stephan

Die drei einfach löschen. Ist zum Glück nicht installieren worden.
Mach danach ein neues OTL-Log:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox von OTL - wenn OTL auf deutsch ist wird sie mit http://larusso.trojaner-board.de/Images/otlfix.jpg beschriftet

Code:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.exe

/md5start

wininit.exe

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

Hallo Arne,

du gibst da ja echt viel Mühe und ich verstehe überwiegend Bahnhof. Danke nochmal.

Es bleibt das Problem von Montag:OTL mag meinen rechner nicht oder umgekehrt. Jedenfalls erhalte ich weiterhin die Fehlermeldung, dass "OTL hat ein Problem festgestellt und muss beendet werden" --> lässt sich nicht starten. Weitere Info:
"AppName: otl.exe AppVer: 3.2.31.0 ModName: kernel32.dll
ModVer: 5.1.2600.5781 Offset: 00012afb"

Was nun tun? Gibt es eine DOS-Version? und wie geht dann die Befehlszeile?

LG
Stephan

Probier es im abgesicherten Modus aus

Das Problem bleibt gleich.

Zitat:

<?xml version="1.0" encoding="UTF-16"?>
<DATABASE>
<EXE NAME="OTL.exe" FILTER="GRABMI_FILTER_PRIVACY">
<MATCHING_FILE NAME="Defogger.exe" SIZE="50477" CHECKSUM="0x9176719E" MODULE_TYPE="WIN32" PE_CHECKSUM="0x1B022" LINKER_VERSION="0x10000" LINK_DATE="02/23/2010 15:26:08" UPTO_LINK_DATE="02/23/2010 15:26:08" />
<MATCHING_FILE NAME="OTL.exe" SIZE="584192" CHECKSUM="0x7E286C97" BIN_FILE_VERSION="3.2.31.0" BIN_PRODUCT_VERSION="3.2.31.0" PRODUCT_VERSION="3.0.0.0" FILE_DESCRIPTION="" COMPANY_NAME="OldTimer Tools" PRODUCT_NAME="OTL" FILE_VERSION="3.2.31.0" ORIGINAL_FILENAME="OTL.exe" INTERNAL_NAME="OTL.exe" LEGAL_COPYRIGHT="" VERFILEDATEHI="0x0" VERFILEDATELO="0x0" VERFILEOS="0x4" VERFILETYPE="0x1" MODULE_TYPE="WIN32" PE_CHECKSUM="0x93A63" LINKER_VERSION="0x0" UPTO_BIN_FILE_VERSION="3.2.31.0" UPTO_BIN_PRODUCT_VERSION="3.2.31.0" LINK_DATE="06/19/1992 22:22:17" UPTO_LINK_DATE="06/19/1992 22:22:17" VER_LANGUAGE="Englisch (USA) [0x409]" />
<MATCHING_FILE NAME="xip0f167.exe" SIZE="302592" CHECKSUM="0xCC30B510" BIN_FILE_VERSION="1.0.15.15641" BIN_PRODUCT_VERSION="1.0.15.15641" FILE_VERSION="1, 0, 15, 15641" VERFILEDATEHI="0x0" VERFILEDATELO="0x0" VERFILEOS="0x40004" VERFILETYPE="0x2" MODULE_TYPE="WIN32" PE_CHECKSUM="0x0" LINKER_VERSION="0x0" UPTO_BIN_FILE_VERSION="1.0.15.15641" UPTO_BIN_PRODUCT_VERSION="1.0.15.15641" LINK_DATE="07/16/2011 20:21:05" UPTO_LINK_DATE="07/16/2011 20:21:05" VER_LANGUAGE="Polnisch [0x415]" />
</EXE>
<EXE NAME="kernel32.dll" FILTER="GRABMI_FILTER_THISFILEONLY">
<MATCHING_FILE NAME="kernel32.dll" SIZE="1063424" CHECKSUM="0xD288FF05" BIN_FILE_VERSION="5.1.2600.5781" BIN_PRODUCT_VERSION="5.1.2600.5781" PRODUCT_VERSION="5.1.2600.5781" FILE_DESCRIPTION="Client-DLL für Windows NT-Basis-API" COMPANY_NAME="Microsoft Corporation" PRODUCT_NAME="Betriebssystem Microsoft® Windows®" FILE_VERSION="5.1.2600.5781 (xpsp_sp3_gdr.090321-1317)" ORIGINAL_FILENAME="kernel32" INTERNAL_NAME="kernel32" LEGAL_COPYRIGHT="© Microsoft Corporation. Alle Rechte vorbehalten." VERFILEDATEHI="0x0" VERFILEDATELO="0x0" VERFILEOS="0x40004" VERFILETYPE="0x2" MODULE_TYPE="WIN32" PE_CHECKSUM="0x106D93" LINKER_VERSION="0x50001" UPTO_BIN_FILE_VERSION="5.1.2600.5781" UPTO_BIN_PRODUCT_VERSION="5.1.2600.5781" LINK_DATE="03/21/2009 14:06:58" UPTO_LINK_DATE="03/21/2009 14:06:58" VER_LANGUAGE="Deutsch (Deutschland) [0x407]" />
</EXE>
<EXE NAME="kernel32.dll" FILTER="GRABMI_FILTER_THISFILEONLY">
<MATCHING_FILE NAME="kernel32.dll" SIZE="1063424" CHECKSUM="0xD288FF05" BIN_FILE_VERSION="5.1.2600.5781" BIN_PRODUCT_VERSION="5.1.2600.5781" PRODUCT_VERSION="5.1.2600.5781" FILE_DESCRIPTION="Client-DLL für Windows NT-Basis-API" COMPANY_NAME="Microsoft Corporation" PRODUCT_NAME="Betriebssystem Microsoft® Windows®" FILE_VERSION="5.1.2600.5781 (xpsp_sp3_gdr.090321-1317)" ORIGINAL_FILENAME="kernel32" INTERNAL_NAME="kernel32" LEGAL_COPYRIGHT="© Microsoft Corporation. Alle Rechte vorbehalten." VERFILEDATEHI="0x0" VERFILEDATELO="0x0" VERFILEOS="0x40004" VERFILETYPE="0x2" MODULE_TYPE="WIN32" PE_CHECKSUM="0x106D93" LINKER_VERSION="0x50001" UPTO_BIN_FILE_VERSION="5.1.2600.5781" UPTO_BIN_PRODUCT_VERSION="5.1.2600.5781" LINK_DATE="03/21/2009 14:06:58" UPTO_LINK_DATE="03/21/2009 14:06:58" VER_LANGUAGE="Deutsch (Deutschland) [0x407]" />
</EXE>
</DATABASE>

:confused:

Dann lass OTL erstmal weg.

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - klick auf change parameters und setze die Haken wie im folgenden Screenshot abgebildet,
Dann auf Start Scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.
Wenn du das Log nicht findest oder den Inhalt kopieren und in dein Posting übertragen kannst, dann schau bitte direkt auf deiner Windows-Systempartition nach, da speichert der TDSS-Killer seine Logs.

Hinweis: Bitte nichts voreilig mit dem TDSS-Killer löschen! Falls Objekte vom TDSS-Killer bemängelt werden, alle mit der Aktion "skip" behandeln und hier nur das Log posten!

http://saved.im/mtkwmtcxexhp/setting...8_16-25-18.jpg

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

okay

Zitat:

18:53:42.0500 2772 TDSS rootkit removing tool 2.6.21.0 Nov 24 2011 12:32:44
18:53:43.0437 2772 ============================================================
18:53:43.0437 2772 Current date / time: 2011/11/24 18:53:43.0437
18:53:43.0437 2772 SystemInfo:
18:53:43.0437 2772
18:53:43.0437 2772 OS Version: 5.1.2600 ServicePack: 3.0
18:53:43.0437 2772 Product type: Workstation
18:53:43.0437 2772 ComputerName: STE_CHEF
18:53:43.0437 2772 UserName: Admin
18:53:43.0437 2772 Windows directory: C:\WINDOWS
18:53:43.0437 2772 System windows directory: C:\WINDOWS
18:53:43.0437 2772 Processor architecture: Intel x86
18:53:43.0437 2772 Number of processors: 1
18:53:43.0437 2772 Page size: 0x1000
18:53:43.0437 2772 Boot type: Normal boot
18:53:43.0437 2772 ============================================================
18:53:45.0000 2772 Initialize success
18:54:04.0234 3920 ============================================================
18:54:04.0234 3920 Scan started
18:54:04.0234 3920 Mode: Manual; SigCheck; TDLFS;
18:54:04.0234 3920 ============================================================
18:54:04.0765 3920 Abiosdsk - ok
18:54:04.0937 3920 abp480n5 - ok
18:54:05.0156 3920 ACEDRV05 (0a1e97197609f92d2425b67da0bb0a7f) C:\WINDOWS\system32\drivers\ACEDRV05.sys
18:54:05.0421 3920 ACEDRV05 ( UnsignedFile.Multi.Generic ) - warning
18:54:05.0421 3920 ACEDRV05 - detected UnsignedFile.Multi.Generic (1)
18:54:05.0687 3920 ACEDRV07 (4e5451dd0aec8504d7f8030dd2d4c416) C:\WINDOWS\system32\drivers\ACEDRV07.sys
18:54:05.0859 3920 ACEDRV07 ( UnsignedFile.Multi.Generic ) - warning
18:54:05.0859 3920 ACEDRV07 - detected UnsignedFile.Multi.Generic (1)
18:54:06.0156 3920 ACPI (ac407f1a62c3a300b4f2b5a9f1d55b2c) C:\WINDOWS\system32\DRIVERS\ACPI.sys
18:54:06.0375 3920 ACPI - ok
18:54:06.0609 3920 ACPIEC (9e1ca3160dafb159ca14f83b1e317f75) C:\WINDOWS\system32\drivers\ACPIEC.sys
18:54:06.0765 3920 ACPIEC - ok
18:54:06.0984 3920 adpu160m - ok
18:54:07.0218 3920 aec (8bed39e3c35d6a489438b8141717a557) C:\WINDOWS\system32\drivers\aec.sys
18:54:07.0437 3920 aec - ok
18:54:07.0656 3920 AegisP (023867b6606fbabcdd52e089c4a507da) C:\WINDOWS\system32\DRIVERS\AegisP.sys
18:54:07.0703 3920 AegisP ( UnsignedFile.Multi.Generic ) - warning
18:54:07.0703 3920 AegisP - detected UnsignedFile.Multi.Generic (1)
18:54:07.0984 3920 AFD (1e44bc1e83d8fd2305f8d452db109cf9) C:\WINDOWS\System32\drivers\afd.sys
18:54:08.0062 3920 AFD - ok
18:54:08.0265 3920 Aha154x - ok
18:54:08.0437 3920 aic78u2 - ok
18:54:08.0609 3920 aic78xx - ok
18:54:09.0859 3920 ALCXWDM (dd8520280304b6145a6be31008748c7c) C:\WINDOWS\system32\drivers\ALCXWDM.SYS
18:54:12.0484 3920 ALCXWDM - ok
18:54:12.0718 3920 AliIde - ok
18:54:12.0921 3920 AmdPPM (033448d435e65c4bd72e70521fd05c76) C:\WINDOWS\system32\DRIVERS\AmdPPM.sys
18:54:13.0000 3920 AmdPPM - ok
18:54:13.0203 3920 amsint - ok
18:54:13.0390 3920 asc - ok
18:54:13.0562 3920 asc3350p - ok
18:54:13.0718 3920 asc3550 - ok
18:54:13.0937 3920 AsyncMac (b153affac761e7f5fcfa822b9c4e97bc) C:\WINDOWS\system32\DRIVERS\asyncmac.sys
18:54:14.0093 3920 AsyncMac - ok
18:54:14.0359 3920 atapi (9f3a2f5aa6875c72bf062c712cfa2674) C:\WINDOWS\system32\DRIVERS\atapi.sys
18:54:14.0515 3920 atapi - ok
18:54:14.0718 3920 Atdisk - ok
18:54:14.0921 3920 Atmarpc (9916c1225104ba14794209cfa8012159) C:\WINDOWS\system32\DRIVERS\atmarpc.sys
18:54:15.0109 3920 Atmarpc - ok
18:54:15.0343 3920 audstub (d9f724aa26c010a217c97606b160ed68) C:\WINDOWS\system32\DRIVERS\audstub.sys
18:54:15.0515 3920 audstub - ok
18:54:15.0640 3920 avgio (0b497c79824f8e1bf22fa6aacd3de3a0) C:\Programme\Avira\AntiVir Desktop\avgio.sys
18:54:15.0656 3920 avgio - ok
18:54:15.0937 3920 avgntflt (1e4114685de1ffa9675e09c6a1fb3f4b) C:\WINDOWS\system32\DRIVERS\avgntflt.sys
18:54:16.0046 3920 avgntflt - ok
18:54:16.0328 3920 avipbb (0f78d3dae6dedd99ae54c9491c62adf2) C:\WINDOWS\system32\DRIVERS\avipbb.sys
18:54:16.0390 3920 avipbb - ok
18:54:16.0640 3920 Beep (da1f27d85e0d1525f6621372e7b685e9) C:\WINDOWS\system32\drivers\Beep.sys
18:54:16.0812 3920 Beep - ok
18:54:17.0078 3920 cbidf2k (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINDOWS\system32\drivers\cbidf2k.sys
18:54:17.0265 3920 cbidf2k - ok
18:54:17.0500 3920 cd20xrnt - ok
18:54:17.0718 3920 Cdaudio (c1b486a7658353d33a10cc15211a873b) C:\WINDOWS\system32\drivers\Cdaudio.sys
18:54:17.0906 3920 Cdaudio - ok
18:54:18.0171 3920 Cdfs (c885b02847f5d2fd45a24e219ed93b32) C:\WINDOWS\system32\drivers\Cdfs.sys
18:54:18.0390 3920 Cdfs - ok
18:54:18.0656 3920 Cdrom (1f4260cc5b42272d71f79e570a27a4fe) C:\WINDOWS\system32\DRIVERS\cdrom.sys
18:54:18.0843 3920 Cdrom - ok
18:54:19.0078 3920 CmdIde - ok
18:54:19.0265 3920 Cpqarray - ok
18:54:19.0437 3920 dac2w2k - ok
18:54:19.0609 3920 dac960nt - ok
18:54:19.0812 3920 Disk (044452051f3e02e7963599fc8f4f3e25) C:\WINDOWS\system32\DRIVERS\disk.sys
18:54:19.0984 3920 Disk - ok
18:54:20.0421 3920 dmboot (0dcfc8395a99fecbb1ef771cec7fe4ea) C:\WINDOWS\system32\drivers\dmboot.sys
18:54:20.0968 3920 dmboot - ok
18:54:21.0234 3920 dmio (53720ab12b48719d00e327da470a619a) C:\WINDOWS\system32\drivers\dmio.sys
18:54:21.0453 3920 dmio - ok
18:54:21.0687 3920 dmload (e9317282a63ca4d188c0df5e09c6ac5f) C:\WINDOWS\system32\drivers\dmload.sys
18:54:21.0843 3920 dmload - ok
18:54:22.0109 3920 DMusic (8a208dfcf89792a484e76c40e5f50b45) C:\WINDOWS\system32\drivers\DMusic.sys
18:54:22.0296 3920 DMusic - ok
18:54:22.0531 3920 dpti2o - ok
18:54:22.0718 3920 drmkaud (8f5fcff8e8848afac920905fbd9d33c8) C:\WINDOWS\system32\drivers\drmkaud.sys
18:54:22.0875 3920 drmkaud - ok
18:54:23.0109 3920 DTAG (e770f1764dc920ec6be5bbb1488a2cf8) C:\WINDOWS\system32\DRIVERS\DTAGND51.sys
18:54:23.0187 3920 DTAG - ok
18:54:23.0484 3920 Fastfat (38d332a6d56af32635675f132548343e) C:\WINDOWS\system32\drivers\Fastfat.sys
18:54:23.0687 3920 Fastfat - ok
18:54:23.0937 3920 Fdc (92cdd60b6730b9f50f6a1a0c1f8cdc81) C:\WINDOWS\system32\DRIVERS\fdc.sys
18:54:24.0093 3920 Fdc - ok
18:54:24.0328 3920 Fips (b0678a548587c5f1967b0d70bacad6c1) C:\WINDOWS\system32\drivers\Fips.sys
18:54:24.0531 3920 Fips - ok
18:54:24.0765 3920 Flpydisk (9d27e7b80bfcdf1cdd9b555862d5e7f0) C:\WINDOWS\system32\DRIVERS\flpydisk.sys
18:54:24.0921 3920 Flpydisk - ok
18:54:25.0187 3920 FltMgr (b2cf4b0786f8212cb92ed2b50c6db6b0) C:\WINDOWS\system32\drivers\fltmgr.sys
18:54:25.0375 3920 FltMgr - ok
18:54:25.0656 3920 Fs_Rec (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINDOWS\system32\drivers\Fs_Rec.sys
18:54:25.0812 3920 Fs_Rec - ok
18:54:26.0125 3920 Ftdisk (8f1955ce42e1484714b542f341647778) C:\WINDOWS\system32\DRIVERS\ftdisk.sys
18:54:26.0343 3920 Ftdisk - ok
18:54:26.0625 3920 gameenum (065639773d8b03f33577f6cdaea21063) C:\WINDOWS\system32\DRIVERS\gameenum.sys
18:54:26.0781 3920 gameenum - ok
18:54:27.0015 3920 GEARAspiWDM (4ac51459805264affd5f6fdfb9d9235f) C:\WINDOWS\system32\Drivers\GEARAspiWDM.sys
18:54:27.0031 3920 GEARAspiWDM - ok
18:54:27.0281 3920 Gpc (0a02c63c8b144bd8c86b103dee7c86a2) C:\WINDOWS\system32\DRIVERS\msgpc.sys
18:54:27.0468 3920 Gpc - ok
18:54:27.0734 3920 grmnusb (6003bc70f1a8307262bd3c941bda0b7e) C:\WINDOWS\system32\drivers\grmnusb.sys
18:54:27.0796 3920 grmnusb - ok
18:54:28.0046 3920 HidUsb (ccf82c5ec8a7326c3066de870c06daf1) C:\WINDOWS\system32\DRIVERS\hidusb.sys
18:54:28.0203 3920 HidUsb - ok
18:54:28.0406 3920 hpn - ok
18:54:28.0703 3920 HTTP (f80a415ef82cd06ffaf0d971528ead38) C:\WINDOWS\system32\Drivers\HTTP.sys
18:54:28.0750 3920 HTTP - ok
18:54:28.0968 3920 i2omp - ok
18:54:29.0187 3920 i8042prt (e283b97cfbeb86c1d86baed5f7846a92) C:\WINDOWS\system32\DRIVERS\i8042prt.sys
18:54:29.0359 3920 i8042prt - ok
18:54:29.0625 3920 Imapi (083a052659f5310dd8b6a6cb05edcf8e) C:\WINDOWS\system32\DRIVERS\imapi.sys
18:54:29.0781 3920 Imapi - ok
18:54:30.0031 3920 ini910u - ok
18:54:30.0203 3920 IntelIde - ok
18:54:30.0406 3920 Ip6Fw (3bb22519a194418d5fec05d800a19ad0) C:\WINDOWS\system32\drivers\ip6fw.sys
18:54:30.0546 3920 Ip6Fw - ok
18:54:30.0796 3920 IpFilterDriver (731f22ba402ee4b62748adaf6363c182) C:\WINDOWS\system32\DRIVERS\ipfltdrv.sys
18:54:31.0000 3920 IpFilterDriver - ok
18:54:31.0234 3920 IpInIp (b87ab476dcf76e72010632b5550955f5) C:\WINDOWS\system32\DRIVERS\ipinip.sys
18:54:31.0375 3920 IpInIp - ok
18:54:31.0671 3920 IpNat (cc748ea12c6effde940ee98098bf96bb) C:\WINDOWS\system32\DRIVERS\ipnat.sys
18:54:31.0843 3920 IpNat - ok
18:54:32.0093 3920 IPSec (23c74d75e36e7158768dd63d92789a91) C:\WINDOWS\system32\DRIVERS\ipsec.sys
18:54:32.0265 3920 IPSec - ok
18:54:32.0515 3920 IRENUM (c93c9ff7b04d772627a3646d89f7bf89) C:\WINDOWS\system32\DRIVERS\irenum.sys
18:54:32.0671 3920 IRENUM - ok
18:54:32.0937 3920 isapnp (6dfb88f64135c525433e87648bda30de) C:\WINDOWS\system32\DRIVERS\isapnp.sys
18:54:33.0093 3920 isapnp - ok
18:54:33.0343 3920 Kbdclass (1704d8c4c8807b889e43c649b478a452) C:\WINDOWS\system32\DRIVERS\kbdclass.sys
18:54:33.0515 3920 Kbdclass - ok
18:54:33.0750 3920 kbdhid (b6d6c117d771c98130497265f26d1882) C:\WINDOWS\system32\DRIVERS\kbdhid.sys
18:54:33.0906 3920 kbdhid - ok
18:54:34.0187 3920 kmixer (692bcf44383d056aed41b045a323d378) C:\WINDOWS\system32\drivers\kmixer.sys
18:54:34.0406 3920 kmixer - ok
18:54:34.0671 3920 KSecDD (b467646c54cc746128904e1654c750c1) C:\WINDOWS\system32\drivers\KSecDD.sys
18:54:34.0781 3920 KSecDD - ok
18:54:35.0046 3920 L8042Kbd (d88846f9f4f27ae9be584a6e5b6b8753) C:\WINDOWS\system32\DRIVERS\L8042Kbd.sys
18:54:35.0078 3920 L8042Kbd - ok
18:54:35.0328 3920 L8042mou (bea61fda2103f6f51b14eb0872e8a050) C:\WINDOWS\system32\DRIVERS\L8042mou.Sys
18:54:35.0375 3920 L8042mou - ok
18:54:35.0656 3920 LMouKE (cab504e38fced9a56d87d838e9ba13e9) C:\WINDOWS\system32\DRIVERS\LMouKE.Sys
18:54:35.0703 3920 LMouKE - ok
18:54:35.0968 3920 mnmdd (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINDOWS\system32\drivers\mnmdd.sys
18:54:36.0156 3920 mnmdd - ok
18:54:36.0421 3920 Modem (6fb74ebd4ec57a6f1781de3852cc3362) C:\WINDOWS\system32\drivers\Modem.sys
18:54:36.0562 3920 Modem - ok
18:54:36.0812 3920 Mouclass (b24ce8005deab254c0251e15cb71d802) C:\WINDOWS\system32\DRIVERS\mouclass.sys
18:54:37.0046 3920 Mouclass - ok
18:54:37.0296 3920 mouhid (66a6f73c74e1791464160a7065ce711a) C:\WINDOWS\system32\DRIVERS\mouhid.sys
18:54:37.0484 3920 mouhid - ok
18:54:37.0718 3920 MountMgr (a80b9a0bad1b73637dbcbba7df72d3fd) C:\WINDOWS\system32\drivers\MountMgr.sys
18:54:37.0890 3920 MountMgr - ok
18:54:38.0093 3920 mraid35x - ok
18:54:38.0328 3920 MRxDAV (11d42bb6206f33fbb3ba0288d3ef81bd) C:\WINDOWS\system32\DRIVERS\mrxdav.sys
18:54:38.0562 3920 MRxDAV - ok
18:54:38.0906 3920 MRxSmb (7d304a5eb4344ebeeab53a2fe3ffb9f0) C:\WINDOWS\system32\DRIVERS\mrxsmb.sys
18:54:39.0062 3920 MRxSmb - ok
18:54:39.0328 3920 Msfs (c941ea2454ba8350021d774daf0f1027) C:\WINDOWS\system32\drivers\Msfs.sys
18:54:39.0484 3920 Msfs - ok
18:54:39.0718 3920 MSKSSRV (d1575e71568f4d9e14ca56b7b0453bf1) C:\WINDOWS\system32\drivers\MSKSSRV.sys
18:54:39.0875 3920 MSKSSRV - ok
18:54:40.0109 3920 MSPCLOCK (325bb26842fc7ccc1fcce2c457317f3e) C:\WINDOWS\system32\drivers\MSPCLOCK.sys
18:54:40.0265 3920 MSPCLOCK - ok
18:54:40.0500 3920 MSPQM (bad59648ba099da4a17680b39730cb3d) C:\WINDOWS\system32\drivers\MSPQM.sys
18:54:40.0640 3920 MSPQM - ok
18:54:40.0890 3920 mssmbios (af5f4f3f14a8ea2c26de30f7a1e17136) C:\WINDOWS\system32\DRIVERS\mssmbios.sys
18:54:41.0046 3920 mssmbios - ok
18:54:41.0296 3920 Mup (de6a75f5c270e756c5508d94b6cf68f5) C:\WINDOWS\system32\drivers\Mup.sys
18:54:41.0343 3920 Mup - ok
18:54:41.0656 3920 NDIS (1df7f42665c94b825322fae71721130d) C:\WINDOWS\system32\drivers\NDIS.sys
18:54:41.0859 3920 NDIS - ok
18:54:42.0093 3920 NdisTapi (0109c4f3850dfbab279542515386ae22) C:\WINDOWS\system32\DRIVERS\ndistapi.sys
18:54:42.0125 3920 NdisTapi - ok
18:54:42.0375 3920 Ndisuio (f927a4434c5028758a842943ef1a3849) C:\WINDOWS\system32\DRIVERS\ndisuio.sys
18:54:42.0531 3920 Ndisuio - ok
18:54:42.0796 3920 NdisWan (edc1531a49c80614b2cfda43ca8659ab) C:\WINDOWS\system32\DRIVERS\ndiswan.sys
18:54:42.0968 3920 NdisWan - ok
18:54:43.0203 3920 NDProxy (9282bd12dfb069d3889eb3fcc1000a9b) C:\WINDOWS\system32\drivers\NDProxy.sys
18:54:43.0265 3920 NDProxy - ok
18:54:43.0500 3920 NetBIOS (5d81cf9a2f1a3a756b66cf684911cdf0) C:\WINDOWS\system32\DRIVERS\netbios.sys
18:54:43.0671 3920 NetBIOS - ok
18:54:43.0953 3920 NetBT (74b2b2f5bea5e9a3dc021d685551bd3d) C:\WINDOWS\system32\DRIVERS\netbt.sys
18:54:44.0140 3920 NetBT - ok
18:54:44.0437 3920 nm (1e421a6bcf2203cc61b821ada9de878b) C:\WINDOWS\system32\DRIVERS\NMnt.sys
18:54:44.0593 3920 nm - ok
18:54:44.0859 3920 Npfs (3182d64ae053d6fb034f44b6def8034a) C:\WINDOWS\system32\drivers\Npfs.sys
18:54:45.0015 3920 Npfs - ok
18:54:45.0390 3920 Ntfs (78a08dd6a8d65e697c18e1db01c5cdca) C:\WINDOWS\system32\drivers\Ntfs.sys
18:54:45.0781 3920 Ntfs - ok
18:54:46.0046 3920 Null (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINDOWS\system32\drivers\Null.sys
18:54:46.0218 3920 Null - ok
18:54:48.0093 3920 nv (ce34061a298bfb4ebd1a0bb8592dc977) C:\WINDOWS\system32\DRIVERS\nv4_mini.sys
18:54:51.0437 3920 nv - ok
18:54:51.0703 3920 NVENETFD (2a7a2c6ab9631028b6e3a4159aa65705) C:\WINDOWS\system32\DRIVERS\NVENETFD.sys
18:54:51.0765 3920 NVENETFD - ok
18:54:52.0000 3920 nvnetbus (20526a8827dc0956b5526aebcb6751a0) C:\WINDOWS\system32\DRIVERS\nvnetbus.sys
18:54:52.0046 3920 nvnetbus - ok
18:54:52.0296 3920 NwlnkFlt (b305f3fad35083837ef46a0bbce2fc57) C:\WINDOWS\system32\DRIVERS\nwlnkflt.sys
18:54:52.0484 3920 NwlnkFlt - ok
18:54:52.0750 3920 NwlnkFwd (c99b3415198d1aab7227f2c88fd664b9) C:\WINDOWS\system32\DRIVERS\nwlnkfwd.sys
18:54:52.0921 3920 NwlnkFwd - ok
18:54:53.0203 3920 PalmUSBD (803cf09c795290825607505d37819135) C:\WINDOWS\system32\drivers\PalmUSBD.sys
18:54:53.0265 3920 PalmUSBD - ok
18:54:53.0531 3920 Parport (f84785660305b9b903fb3bca8ba29837) C:\WINDOWS\system32\DRIVERS\parport.sys
18:54:53.0703 3920 Parport - ok
18:54:53.0937 3920 PartMgr (beb3ba25197665d82ec7065b724171c6) C:\WINDOWS\system32\drivers\PartMgr.sys
18:54:54.0093 3920 PartMgr - ok
18:54:54.0328 3920 ParVdm (c2bf987829099a3eaa2ca6a0a90ecb4f) C:\WINDOWS\system32\drivers\ParVdm.sys
18:54:54.0500 3920 ParVdm - ok
18:54:54.0765 3920 PCI (387e8dedc343aa2d1efbc30580273acd) C:\WINDOWS\system32\DRIVERS\pci.sys
18:54:54.0937 3920 PCI - ok
18:54:55.0187 3920 PCIIde (59ba86d9a61cbcf4df8e598c331f5b82) C:\WINDOWS\system32\DRIVERS\pciide.sys
18:54:55.0375 3920 PCIIde - ok
18:54:55.0656 3920 Pcmcia (a2a966b77d61847d61a3051df87c8c97) C:\WINDOWS\system32\drivers\Pcmcia.sys
18:54:55.0843 3920 Pcmcia - ok
18:54:56.0093 3920 perc2 - ok
18:54:56.0265 3920 perc2hib - ok
18:54:56.0531 3920 PptpMiniport (efeec01b1d3cf84f16ddd24d9d9d8f99) C:\WINDOWS\system32\DRIVERS\raspptp.sys
18:54:56.0671 3920 PptpMiniport - ok
18:54:56.0921 3920 Processor (2cb55427c58679f49ad600fccba76360) C:\WINDOWS\system32\DRIVERS\processr.sys
18:54:57.0093 3920 Processor - ok
18:54:57.0343 3920 PSched (09298ec810b07e5d582cb3a3f9255424) C:\WINDOWS\system32\DRIVERS\psched.sys
18:54:57.0515 3920 PSched - ok
18:54:57.0750 3920 Ptilink (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINDOWS\system32\DRIVERS\ptilink.sys
18:54:57.0937 3920 Ptilink - ok
18:54:58.0203 3920 PxHelp20 (e42e3433dbb4cffe8fdd91eab29aea8e) C:\WINDOWS\system32\Drivers\PxHelp20.sys
18:54:58.0234 3920 PxHelp20 - ok
18:54:58.0453 3920 ql1080 - ok
18:54:58.0625 3920 Ql10wnt - ok
18:54:58.0812 3920 ql12160 - ok
18:54:58.0968 3920 ql1240 - ok
18:54:59.0140 3920 ql1280 - ok
18:54:59.0328 3920 QV2KUX (0087f01d35a65b32393cc8bba46ee4a6) C:\WINDOWS\system32\DRIVERS\qv2kux.sys
18:54:59.0515 3920 QV2KUX - ok
18:54:59.0781 3920 RasAcd (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINDOWS\system32\DRIVERS\rasacd.sys
18:54:59.0953 3920 RasAcd - ok
18:55:00.0203 3920 Rasl2tp (11b4a627bc9614b885c4969bfa5ff8a6) C:\WINDOWS\system32\DRIVERS\rasl2tp.sys
18:55:00.0359 3920 Rasl2tp - ok
18:55:00.0609 3920 RasPppoe (5bc962f2654137c9909c3d4603587dee) C:\WINDOWS\system32\DRIVERS\raspppoe.sys
18:55:00.0765 3920 RasPppoe - ok
18:55:01.0031 3920 Raspti (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINDOWS\system32\DRIVERS\raspti.sys
18:55:01.0218 3920 Raspti - ok
18:55:01.0515 3920 Rdbss (7ad224ad1a1437fe28d89cf22b17780a) C:\WINDOWS\system32\DRIVERS\rdbss.sys
18:55:01.0718 3920 Rdbss - ok
18:55:01.0968 3920 RDPCDD (4912d5b403614ce99c28420f75353332) C:\WINDOWS\system32\DRIVERS\RDPCDD.sys
18:55:02.0140 3920 RDPCDD - ok
18:55:02.0421 3920 RDPWD (fc105dd312ed64eb66bff111e8ec6eac) C:\WINDOWS\system32\drivers\RDPWD.sys
18:55:02.0484 3920 RDPWD - ok
18:55:02.0750 3920 redbook (ed761d453856f795a7fe056e42c36365) C:\WINDOWS\system32\DRIVERS\redbook.sys
18:55:02.0906 3920 redbook - ok
18:55:03.0156 3920 ROOTMODEM (d8b0b4ade32574b2d9c5cc34dc0dbbe7) C:\WINDOWS\system32\Drivers\RootMdm.sys
18:55:03.0312 3920 ROOTMODEM - ok
18:55:03.0734 3920 RTL8192su (df6b6d628c4a102f4bb7a04b2dc3392f) C:\WINDOWS\system32\DRIVERS\RTL8192su.sys
18:55:04.0000 3920 RTL8192su ( UnsignedFile.Multi.Generic ) - warning
18:55:04.0000 3920 RTL8192su - detected UnsignedFile.Multi.Generic (1)
18:55:04.0265 3920 Secdrv (90a3935d05b494a5a39d37e71f09a677) C:\WINDOWS\system32\DRIVERS\secdrv.sys
18:55:04.0421 3920 Secdrv - ok
18:55:04.0687 3920 serenum (0f29512ccd6bead730039fb4bd2c85ce) C:\WINDOWS\system32\DRIVERS\serenum.sys
18:55:04.0828 3920 serenum - ok
18:55:05.0078 3920 Serial (cf24eb4f0412c82bcd1f4f35a025e31d) C:\WINDOWS\system32\DRIVERS\serial.sys
18:55:05.0234 3920 Serial - ok
18:55:05.0515 3920 Sfloppy (8e6b8c671615d126fdc553d1e2de5562) C:\WINDOWS\system32\DRIVERS\sfloppy.sys
18:55:05.0656 3920 Sfloppy - ok
18:55:05.0890 3920 Simbad - ok
18:55:06.0093 3920 Sparrow - ok
18:55:06.0328 3920 splitter (ab8b92451ecb048a4d1de7c3ffcb4a9f) C:\WINDOWS\system32\drivers\splitter.sys
18:55:06.0484 3920 splitter - ok
18:55:06.0796 3920 sr (50fa898f8c032796d3b1b9951bb5a90f) C:\WINDOWS\system32\DRIVERS\sr.sys
18:55:07.0015 3920 sr - ok
18:55:07.0390 3920 Srv (47ddfc2f003f7f9f0592c6874962a2e7) C:\WINDOWS\system32\DRIVERS\srv.sys
18:55:07.0625 3920 Srv - ok
18:55:07.0921 3920 SSHDRV84 (cfc9b1ca57b41323a721d5f01fb2f899) C:\WINDOWS\system32\drivers\SSHDRV84.sys
18:55:08.0171 3920 SSHDRV84 ( UnsignedFile.Multi.Generic ) - warning
18:55:08.0171 3920 SSHDRV84 - detected UnsignedFile.Multi.Generic (1)
18:55:08.0437 3920 SSHDRV86 (b9e31f2a3640403b0ea3a867bb73b9f4) C:\WINDOWS\system32\drivers\SSHDRV86.sys
18:55:08.0609 3920 SSHDRV86 ( UnsignedFile.Multi.Generic ) - warning
18:55:08.0609 3920 SSHDRV86 - detected UnsignedFile.Multi.Generic (1)
18:55:08.0859 3920 ssmdrv (a36ee93698802cd899f98bfd553d8185) C:\WINDOWS\system32\DRIVERS\ssmdrv.sys
18:55:08.0890 3920 ssmdrv - ok
18:55:09.0125 3920 swenum (3941d127aef12e93addf6fe6ee027e0f) C:\WINDOWS\system32\DRIVERS\swenum.sys
18:55:09.0296 3920 swenum - ok
18:55:09.0546 3920 swmidi (8ce882bcc6cf8a62f2b2323d95cb3d01) C:\WINDOWS\system32\drivers\swmidi.sys
18:55:09.0718 3920 swmidi - ok
18:55:09.0953 3920 symc810 - ok
18:55:10.0156 3920 symc8xx - ok
18:55:10.0328 3920 sym_hi - ok
18:55:10.0500 3920 sym_u3 - ok
18:55:10.0734 3920 sysaudio (8b83f3ed0f1688b4958f77cd6d2bf290) C:\WINDOWS\system32\drivers\sysaudio.sys
18:55:10.0890 3920 sysaudio - ok
18:55:11.0265 3920 Tcpip (9aefa14bd6b182d61e3119fa5f436d3d) C:\WINDOWS\system32\DRIVERS\tcpip.sys
18:55:11.0421 3920 Tcpip - ok
18:55:11.0765 3920 Tcpip6 (4e53bbcc4be37d7a4bd6ef1098c89ff7) C:\WINDOWS\system32\DRIVERS\tcpip6.sys
18:55:11.0828 3920 Tcpip6 - ok
18:55:12.0062 3920 TDPIPE (6471a66807f5e104e4885f5b67349397) C:\WINDOWS\system32\drivers\TDPIPE.sys
18:55:12.0218 3920 TDPIPE - ok
18:55:12.0453 3920 TDTCP (c56b6d0402371cf3700eb322ef3aaf61) C:\WINDOWS\system32\drivers\TDTCP.sys
18:55:12.0593 3920 TDTCP - ok
18:55:12.0984 3920 TermDD (88155247177638048422893737429d9e) C:\WINDOWS\system32\DRIVERS\termdd.sys
18:55:13.0328 3920 TermDD - ok
18:55:13.0546 3920 TosIde - ok
18:55:13.0671 3920 TuneUpUtilitiesDrv (f2107c9d85ec0df116939ccce06ae697) C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesDriver32.sys
18:55:13.0687 3920 TuneUpUtilitiesDrv - ok
18:55:13.0906 3920 tunmp (8f861eda21c05857eb8197300a92501c) C:\WINDOWS\system32\DRIVERS\tunmp.sys
18:55:14.0062 3920 tunmp - ok
18:55:14.0312 3920 U3sHlpDr (f32ca4e68a075476f661dd85234cbdb5) C:\WINDOWS\System32\Drivers\U3sHlpDr.sys
18:55:14.0375 3920 U3sHlpDr ( UnsignedFile.Multi.Generic ) - warning
18:55:14.0375 3920 U3sHlpDr - detected UnsignedFile.Multi.Generic (1)
18:55:14.0703 3920 Udfs (5787b80c2e3c5e2f56c2a233d91fa2c9) C:\WINDOWS\system32\drivers\Udfs.sys
18:55:14.0921 3920 Udfs - ok
18:55:15.0156 3920 UimBus (a25e0481da469c3af6ad18c1534b874c) C:\WINDOWS\system32\DRIVERS\UimBus.sys
18:55:15.0171 3920 UimBus - ok
18:55:15.0453 3920 Uim_IM (ec2ede874e0eb50a509269676cf5f4bd) C:\WINDOWS\system32\Drivers\Uim_IM.sys
18:55:15.0515 3920 Uim_IM - ok
18:55:15.0734 3920 ultra - ok
18:55:16.0015 3920 Update (402ddc88356b1bac0ee3dd1580c76a31) C:\WINDOWS\system32\DRIVERS\update.sys
18:55:16.0359 3920 Update - ok
18:55:16.0734 3920 usbccgp (173f317ce0db8e21322e71b7e60a27e8) C:\WINDOWS\system32\DRIVERS\usbccgp.sys
18:55:16.0875 3920 usbccgp - ok
18:55:17.0140 3920 usbehci (65dcf09d0e37d4c6b11b5b0b76d470a7) C:\WINDOWS\system32\DRIVERS\usbehci.sys
18:55:17.0296 3920 usbehci - ok
18:55:17.0546 3920 usbhub (1ab3cdde553b6e064d2e754efe20285c) C:\WINDOWS\system32\DRIVERS\usbhub.sys
18:55:17.0703 3920 usbhub - ok
18:55:17.0953 3920 usbohci (0daecce65366ea32b162f85f07c6753b) C:\WINDOWS\system32\DRIVERS\usbohci.sys
18:55:18.0109 3920 usbohci - ok
18:55:18.0375 3920 usbprint (a717c8721046828520c9edf31288fc00) C:\WINDOWS\system32\DRIVERS\usbprint.sys
18:55:18.0531 3920 usbprint - ok
18:55:18.0781 3920 usbscan (a0b8cf9deb1184fbdd20784a58fa75d4) C:\WINDOWS\system32\DRIVERS\usbscan.sys
18:55:18.0921 3920 usbscan - ok
18:55:19.0187 3920 USBSTOR (a32426d9b14a089eaa1d922e0c5801a9) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
18:55:19.0359 3920 USBSTOR - ok
18:55:19.0625 3920 VgaSave (0d3a8fafceacd8b7625cd549757a7df1) C:\WINDOWS\System32\drivers\vga.sys
18:55:19.0765 3920 VgaSave - ok
18:55:19.0984 3920 ViaIde - ok
18:55:20.0218 3920 VolSnap (a5a712f4e880874a477af790b5186e1d) C:\WINDOWS\system32\drivers\VolSnap.sys
18:55:20.0390 3920 VolSnap - ok
18:55:20.0718 3920 vsdatant (050c38ebb22512122e54b47dc278bccd) C:\WINDOWS\system32\vsdatant.sys
18:55:21.0015 3920 vsdatant - ok
18:55:21.0296 3920 Wanarp (e20b95baedb550f32dd489265c1da1f6) C:\WINDOWS\system32\DRIVERS\wanarp.sys
18:55:21.0468 3920 Wanarp - ok
18:55:21.0718 3920 wdmaud (6768acf64b18196494413695f0c3a00f) C:\WINDOWS\system32\drivers\wdmaud.sys
18:55:21.0890 3920 wdmaud - ok
18:55:22.0203 3920 WS2IFSL (6abe6e225adb5a751622a9cc3bc19ce8) C:\WINDOWS\System32\drivers\ws2ifsl.sys
18:55:22.0390 3920 WS2IFSL - ok
18:55:22.0437 3920 MBR (0x1B8) (72b8ce41af0de751c946802b3ed844b4) \Device\Harddisk0\DR0
18:55:23.0062 3920 \Device\Harddisk0\DR0 - ok
18:55:23.0109 3920 MBR (0x1B8) (72b8ce41af0de751c946802b3ed844b4) \Device\Harddisk1\DR1
18:55:23.0546 3920 \Device\Harddisk1\DR1 - ok
18:55:23.0562 3920 Boot (0x1200) (71b2b38d8c50357b3fddf06ceb4372bc) \Device\Harddisk0\DR0\Partition0
18:55:23.0578 3920 \Device\Harddisk0\DR0\Partition0 - ok
18:55:23.0578 3920 Boot (0x1200) (035259fcfbd9ca887077e6709bd8b79f) \Device\Harddisk0\DR0\Partition1
18:55:23.0593 3920 \Device\Harddisk0\DR0\Partition1 - ok
18:55:23.0593 3920 Boot (0x1200) (968438d4cfd63250da9d3cc4638b6855) \Device\Harddisk1\DR1\Partition0
18:55:23.0593 3920 \Device\Harddisk1\DR1\Partition0 - ok
18:55:23.0640 3920 Boot (0x1200) (12950666f29e0a2e141ad3c1aa1455e8) \Device\Harddisk1\DR1\Partition1
18:55:23.0640 3920 \Device\Harddisk1\DR1\Partition1 - ok
18:55:23.0656 3920 ============================================================
18:55:23.0656 3920 Scan finished
18:55:23.0656 3920 ============================================================
18:55:23.0781 3912 Detected object count: 7
18:55:23.0781 3912 Actual detected object count: 7

Ich werde wahrscheinlich heute nicht mehr nach deiner Antwort schauen können, also bis morgen.

LG
Stephan

Zitat:

18:55:23.0781 3912 Detected object count: 7
18:55:23.0781 3912 Actual detected object count: 7

Fehlt darunter nicht noch etwas? :wtf:

uuups - sorry, ist wohl beim kopieren verloren gegangen.
So etwa?

Zitat:

18:55:23.0781 3912 Detected object count: 7
18:55:23.0781 3912 Actual detected object count: 7
18:58:44.0296 3912 ACEDRV05 ( UnsignedFile.Multi.Generic ) - skipped by user
18:58:44.0296 3912 ACEDRV05 ( UnsignedFile.Multi.Generic ) - User select action: Skip
18:58:44.0296 3912 ACEDRV07 ( UnsignedFile.Multi.Generic ) - skipped by user
18:58:44.0296 3912 ACEDRV07 ( UnsignedFile.Multi.Generic ) - User select action: Skip
18:58:44.0296 3912 AegisP ( UnsignedFile.Multi.Generic ) - skipped by user
18:58:44.0296 3912 AegisP ( UnsignedFile.Multi.Generic ) - User select action: Skip
18:58:44.0296 3912 RTL8192su ( UnsignedFile.Multi.Generic ) - skipped by user
18:58:44.0296 3912 RTL8192su ( UnsignedFile.Multi.Generic ) - User select action: Skip
18:58:44.0296 3912 SSHDRV84 ( UnsignedFile.Multi.Generic ) - skipped by user
18:58:44.0296 3912 SSHDRV84 ( UnsignedFile.Multi.Generic ) - User select action: Skip
18:58:44.0296 3912 SSHDRV86 ( UnsignedFile.Multi.Generic ) - skipped by user
18:58:44.0296 3912 SSHDRV86 ( UnsignedFile.Multi.Generic ) - User select action: Skip
18:58:44.0296 3912 U3sHlpDr ( UnsignedFile.Multi.Generic ) - skipped by user
18:58:44.0296 3912 U3sHlpDr ( UnsignedFile.Multi.Generic ) - User select action: Skip
18:59:08.0640 2728 Deinitialize success

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

ich schaue jetzt seit etwa 10 Minuten auf die Eieruhr und warte darauf, dass ComboFix startet. Ist das normal? Weiter warten? Oder beenden und neu starten?
Irgendwie geht aber auch gar nichts einfach :killpc:

abbrechen und dann neu starten hat auch funktioniert - jetzt läufts

so, jetzt gehts weiter

Combofix Logfile:

Code:

ComboFix 11-11-25.02 - Admin 25.11.2011  19:42:30.1.1 - x86

Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.959.567 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\Admin\Desktop\ComboFix.exe

AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}

AV: Avira AntiVir PersonalEdition Classic *Disabled/Updated* {805020EC-FFA4-00DA-0D24-347CA8A3377C}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Outdated* {00000000-0000-0000-0000-000000000000}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD0EC-FFA4-00DA-0D24-347CA8A3377C}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD2B8-FFA4-00DA-0D24-347CA8A3377C}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD2B8-FFA4-00EB-0D24-347CA8A3377C}

FW: ZoneAlarm Firewall *Disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\dokumente und einstellungen\Admin\WINDOWS

c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP

c:\dokumente und einstellungen\Matthias\WINDOWS

c:\dokumente und einstellungen\Stephan\WINDOWS

c:\windows\IsUn0407.exe

c:\windows\pi.exe

c:\windows\ST6UNST.000

c:\windows\SYSTEM32\RtlGina\RtlGina.DLL

c:\windows\system32\zip32.dll

c:\windows\unin0407.exe

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-10-25 bis 2011-11-25  ))))))))))))))))))))))))))))))

.

.

2011-11-23 22:43 . 2011-11-23 22:43    --------    d-----w-    c:\programme\Gemeinsame Dateien\Java

2011-11-23 22:42 . 2011-11-23 22:42    73728    ----a-w-    c:\windows\system32\javacpl.cpl

2011-11-22 20:30 . 2011-11-22 20:30    --------    d-----w-    c:\programme\ESET

2011-11-20 11:00 . 2011-11-20 11:00    --------    d-----w-    c:\dokumente und einstellungen\Admin\Anwendungsdaten\Malwarebytes

2011-11-20 10:57 . 2011-11-20 10:57    --------    d-----w-    c:\dokumente und einstellungen\Admin\Anwendungsdaten\Apple Computer

2011-11-20 07:23 . 2011-11-20 07:23    --------    d-----w-    c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-11-20 07:23 . 2011-11-22 20:29    --------    d-----w-    c:\programme\MWB'Anti-Malware

2011-11-20 07:23 . 2011-08-31 16:00    22216    ----a-w-    c:\windows\system32\drivers\mbam.sys

2011-11-20 07:10 . 2010-12-27 18:23    400384    ----a-w-    c:\programme\JavaRa.exe

2011-11-14 15:17 . 2011-11-14 15:17    --------    d-----w-    c:\dokumente und einstellungen\Matthias\Anwendungsdaten\Apple Computer

2011-11-13 12:41 . 2011-11-13 12:41    --------    d-----w-    c:\dokumente und einstellungen\Stephan\.jfreereport

2011-11-07 20:10 . 2011-11-07 20:10    --------    d-----w-    c:\dokumente und einstellungen\Dorothe\Anwendungsdaten\Apple Computer

2011-11-07 20:08 . 2011-11-07 20:09    159744    ----a-w-    c:\programme\Mozilla Firefox\plugins\npqtplugin.dll

2011-11-07 20:07 . 2011-11-23 21:15    --------    d-----w-    c:\programme\QuickTime

2011-11-07 20:06 . 2011-11-07 20:06    --------    d-----w-    c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Apple

2011-11-07 20:06 . 2011-11-07 20:06    --------    d-----w-    c:\programme\Apple Software Update

2011-11-07 20:06 . 2011-11-07 20:06    --------    d-----w-    c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple

2011-11-07 20:06 . 2011-11-07 20:06    --------    d-----w-    c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Apple Computer

2011-11-07 19:58 . 2011-11-07 19:58    --------    d-----w-    c:\dokumente und einstellungen\Dorothe\Lokale Einstellungen\Anwendungsdaten\Apple Computer

2011-10-29 20:24 . 2011-10-29 20:24    --------    d-----w-    c:\programme\Multimedia Keyboard & Mouse Driver

2011-10-29 17:54 . 2011-10-29 17:54    --------    d-----w-    c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Google

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-11-23 22:41 . 2010-04-19 05:52    472808    ----a-w-    c:\windows\system32\deployJava1.dll

2011-11-19 06:50 . 2011-05-19 16:38    414368    ----a-w-    c:\windows\system32\FlashPlayerCPLApp.cpl

2011-10-22 11:50 . 2011-10-22 11:50    21361    ----a-w-    c:\windows\system32\drivers\AegisP.sys

2011-10-10 14:22 . 2006-06-07 14:38    692736    ----a-w-    c:\windows\system32\inetcomm.dll

2011-09-28 07:06 . 2004-08-04 12:00    604160    ----a-w-    c:\windows\system32\crypt32.dll

2011-09-26 09:41 . 2008-07-29 18:59    614912    ----a-w-    c:\windows\system32\uiautomationcore.dll

2011-09-26 09:41 . 2004-08-04 12:00    23040    ----a-w-    c:\windows\system32\oleaccrc.dll

2011-09-26 09:41 . 2004-08-04 12:00    220160    ----a-w-    c:\windows\system32\oleacc.dll

2011-09-06 14:10 . 2004-08-04 12:00    1859072    ----a-w-    c:\windows\system32\win32k.sys

2011-11-08 18:06 . 2011-03-22 20:19    134104    ----a-w-    c:\programme\mozilla firefox\components\browsercomps.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ccleaner"="c:\programme\CCleaner\ccleaner.exe" [2011-08-25 2622784]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe" [2010-06-28 1043968]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2011-04-21 281768]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-25 13680640]

"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2011-06-09 254696]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

.

c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\

LevelOne Wireless LAN Utility.lnk - c:\programme\LevelOne\LevelOne Wireless LAN Utility\RtWLan.exe [2011-10-22 933888]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]

"NoResolveTrack"= 1 (0x1)

"NoFileAssociate"= 0 (0x0)

.

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"MaxRecentDocs"= 11 (0xb)

"GreyMSIAds"= 1 (0x1)

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]

BootExecute    REG_MULTI_SZ       autocheck autochk *\0DfSDKBt

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]

@=""

.

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

"ctfmon.exe"=c:\windows\system32\ctfmon.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

"SoundMan"=SOUNDMAN.EXE

"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe"

"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" -atboottime

"APSDaemon"="c:\programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe"

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]

"DisableMonitoring"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\Programme\\FlashGet\\flashget.exe"=

"c:\\WINDOWS\\system32\\ZoneLabs\\vsmon.exe"=

"c:\\Programme\\Gemeinsame Dateien\\Apple\\Apple Application Support\\WebKit2WebProcess.exe"=

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"3540:UDP"= 3540:UDP:Peer Name Resolution-Protokoll (PNRP)

"1542:TCP"= 1542:TCP:Realtek WPS TCP Prot

"1542:UDP"= 1542:UDP:Realtek WPS UDP Prot

"53:UDP"= 53:UDP:Realtek AP UDP Prot

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]

"AllowInboundEchoRequest"= 1 (0x1)

"AllowInboundTimestampRequest"= 0 (0x0)

"AllowInboundMaskRequest"= 0 (0x0)

"AllowInboundRouterRequest"= 0 (0x0)

"AllowOutboundDestinationUnreachable"= 0 (0x0)

"AllowOutboundSourceQuench"= 0 (0x0)

"AllowOutboundParameterProblem"= 0 (0x0)

"AllowOutboundTimeExceeded"= 0 (0x0)

"AllowRedirect"= 0 (0x0)

"AllowOutboundPacketTooBig"= 0 (0x0)

.

R1 SSHDRV84;SSHDRV84;c:\windows\system32\drivers\SSHDRV84.sys [09.09.2006 16:09 76800]

R1 SSHDRV86;SSHDRV86;c:\windows\system32\drivers\SSHDRV86.sys [22.06.2006 19:02 81408]

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [24.07.2011 23:13 136360]

R2 TuneUp.UtilitiesSvc;TuneUp Utilities Service;c:\programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe [15.07.2011 10:38 1052480]

R3 RTL8192su;LevelOne N Wireless USB Adapter;c:\windows\system32\drivers\RTL8192su.sys [22.10.2011 12:49 589312]

R3 TuneUpUtilitiesDrv;TuneUpUtilitiesDrv;c:\programme\TuneUp Utilities 2010\TuneUpUtilitiesDriver32.sys [24.02.2010 13:41 10064]

S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [18.03.2010 13:16 130384]

S3 DTAG;Teledat Fast Ethernet 100 PCI Windows Driver;c:\windows\system32\drivers\DTAGND51.sys [11.07.2006 15:19 38528]

S3 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [18.05.2010 18:09 136176]

S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [18.05.2010 18:09 136176]

S3 nosGetPlusHelper;getPlus(R) Helper 3004;c:\windows\System32\svchost.exe -k nosGetPlusHelper [04.08.2004 13:00 14336]

S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [18.03.2010 13:16 753504]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

p2psvc    REG_MULTI_SZ       p2psvc p2pimsvc p2pgasvc PNRPSvc

nosGetPlusHelper    REG_MULTI_SZ       nosGetPlusHelper

.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs

UxTuneUp

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.de/

uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8

IE: &Alles mit FlashGet laden - c:\programme\FlashGet\jc_all.htm

IE: &Mit FlashGet laden - c:\programme\FlashGet\jc_link.htm

IE: { - c:\programme\Messenger\msmsgs.exe

TCP: DhcpNameServer = 192.168.2.1

DPF: Garmin Communicator Plug-In - hxxps://static.garmincdn.com/gcp/ie/2.9.3.0/GarminAxControl.CAB

FF - ProfilePath - c:\dokumente und einstellungen\Admin\Anwendungsdaten\Mozilla\Firefox\Profiles\hjywwj0h.default\

FF - user.js: network.http.max-persistent-connections-per-server - 4

FF - user.js: content.max.tokenizing.time - 1800000

FF - user.js: content.notify.interval - 600000

FF - user.js: content.switch.threshold - 600000

FF - user.js: nglayout.initialpaint.delay - 600

FF - user.js: browser.blink_allowed - true

FF - user.js: network.prefetch-next - true

FF - user.js: layout.spellcheckDefault - 1

FF - user.js: browser.urlbar.autoFill - false

FF - user.js: browser.search.openintab - false

FF - user.js: browser.tabs.closeButtons - 1

FF - user.js: browser.tabs.opentabfor.middleclick - true

FF - user.js: browser.tabs.tabMinWidth - 100

FF - user.js: browser.urlbar.hideGoButton - false

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

BHO-{e9911ec6-1bcc-40b0-9993-e0eea7f6953f} - (no file)

Toolbar-{CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)

Toolbar-{e9911ec6-1bcc-40b0-9993-e0eea7f6953f} - (no file)

WebBrowser-{CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)

WebBrowser-{D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)

AddRemove-Adobe Acrobat 5.0 - c:\windows\ISUN0407.EXE

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-11-25 20:29

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'explorer.exe'(2404)

c:\windows\system32\webcheck.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\windows\system32\netdde.exe

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\windows\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe

c:\programme\Avira\AntiVir Desktop\avshadow.exe

c:\programme\Java\jre6\bin\jqs.exe

c:\windows\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe

c:\windows\system32\nvsvc32.exe

c:\windows\system32\locator.exe

c:\windows\system32\tcpsvcs.exe

c:\windows\System32\snmp.exe

c:\programme\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-11-25  21:31:18 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-11-25 20:31

.

Vor Suchlauf: 9 Verzeichnis(se), 13.043.834.880 Bytes frei

Nach Suchlauf: 11 Verzeichnis(se), 13.239.984.128 Bytes frei

.

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /noexecute=optin /noguiboot

.

- - End Of File - - DCE9766B49B1237FBA4DB30584E198B3

--- --- ---

Bis bald.

LG
Stephan

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Also - alles so durchgeführt, wie du es angegeben hast.
GMER ist zweimal abgetürzt bzw. hat den Rechner neu gestartet. Eine Log-Datei finde ich nicht.

OSAM ist gelaufen, hier das Log:
OSAM Logfile:

Code:

Report of OSAM: Autorun Manager v5.0.11926.0

hxxp://www.online-solutions.ru/en/

Saved at 15:56:26 on 26.11.2011
 

OS: Windows XP Home Edition Service Pack 3 (Build 2600)

Default Browser: Mozilla Corporation Firefox 8.0
 

Scanner Settings

[x] Rootkits detection (hidden registry)

[x] Rootkits detection (hidden files)

[x] Retrieve files information

[x] Check Microsoft signatures
 

Filters

[ ] Trusted entries

[ ] Empty entries

[x] Hidden registry entries (rootkit activity)

[x] Exclusively opened files

[x] Not found files

[x] Files without detailed information

[x] Existing files

[ ] Non-startable services

[ ] Non-startable drivers

[x] Active entries

[x] Disabled entries
 
 

[Boot Execute]

-----( HKLM\SYSTEM\CurrentControlSet\Control\Session Manager )-----

"BootExecute" - ? - DfSDKBt  (File not found)
 

[Control Panel Objects]

-----( %SystemRoot%\system32 )-----

"alsndmgr.cpl" - ? - C:\WINDOWS\system32\alsndmgr.cpl  (File signed by Microsoft | File found, but it contains no detailed information)

"bdeadmin.cpl" - ? - C:\WINDOWS\system32\bdeadmin.cpl

"CAMCPL.CPL" - "FotoNation inc." - C:\WINDOWS\system32\CAMCPL.CPL

"ddbaccpl.cpl" - "DataDesign AG" - C:\WINDOWS\system32\ddbaccpl.cpl

"ddbacctm.cpl" - "DataDesign AG" - C:\WINDOWS\system32\ddbacctm.cpl

"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\WINDOWS\system32\FlashPlayerCPLApp.cpl

"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl

"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl

"nvcpl.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvcpl.cpl

"nvtuicpl.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvtuicpl.cpl
 

[Drivers]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"ACEDRV05" (ACEDRV05) - "Protect Software GmbH" - C:\WINDOWS\system32\drivers\ACEDRV05.sys

"ACEDRV07" (ACEDRV07) - "Protect Software GmbH" - C:\WINDOWS\system32\drivers\ACEDRV07.sys

"AEGIS Protocol (IEEE 802.1x) v3.7.5.0" (AegisP) - "Cisco Systems, Inc." - C:\WINDOWS\System32\DRIVERS\AegisP.sys

"catchme" (catchme) - ? - C:\ComboFix\catchme.sys  (File not found)

"GEAR ASPI Filter Driver" (GEARAspiWDM) - "GEAR Software Inc." - C:\WINDOWS\System32\Drivers\GEARAspiWDM.sys

"LevelOne N Wireless USB Adapter" (RTL8192su) - "Realtek Semiconductor Corporation                           " - C:\WINDOWS\System32\DRIVERS\RTL8192su.sys

"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)

"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys

"SSHDRV84" (SSHDRV84) - ? - C:\WINDOWS\system32\drivers\SSHDRV84.sys

"SSHDRV86" (SSHDRV86) - ? - C:\WINDOWS\system32\drivers\SSHDRV86.sys

"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys

"TuneUpUtilitiesDrv" (TuneUpUtilitiesDrv) - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesDriver32.sys

"U3sHlpDr" (U3sHlpDr) - ? - C:\WINDOWS\System32\Drivers\U3sHlpDr.sys  (File found, but it contains no detailed information)

"UIM Drive Backup Image Plugin" (Uim_IM) - "Paragon" - C:\WINDOWS\System32\Drivers\Uim_IM.sys

"Universal Image Mounter Controller" (UimBus) - "Windows (R) 2000 DDK provider" - C:\WINDOWS\System32\DRIVERS\UimBus.sys

"vsdatant" (vsdatant) - "Check Point Software Technologies LTD" - C:\WINDOWS\System32\vsdatant.sys
 

[Explorer]

-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----

{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - c:\WINDOWS\system32\Rundll32.exe c:\WINDOWS\system32\mscories.dll,Install

-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----

{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll

{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

-----( HKLM\Software\Classes\Protocols\Filter )-----

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----

{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - C:\Programme\7-Zip\7-zip.dll

{34F4B935-17DC-4885-8BC9-CCD1ADF42F93} "CISORecorderContextMenu Object" - "Alex Feinman" - C:\Programme\Alex Feinman\ISO Recorder\ISORecorder.dll

{1CDB2949-8F65-4355-8456-263E7C208A5D} "Desktop Explorer" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll

{1E9B04FB-F9E5-4718-997B-B8DA88302A47} "Desktop Explorer Menu" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll

{88895560-9AA2-1069-930E-00AA0030EBC8} "Erweiterung für HyperTerminal-Icons" - ? -   (File not found | COM-object registry key not found)

{1D2680C9-0E2A-469d-B787-065558BC7D43} "Fusion Cache" - "Microsoft Corporation" - c:\WINDOWS\system32\mscoree.dll

{73B24247-042E-4EF5-ADC2-42F62E6FD654} "ICQ Lite Shell Extension" - ? -   (File not found | COM-object registry key not found)

{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -   (File not found | COM-object registry key not found)

{D9872D13-7651-4471-9EEE-F0A00218BEBB} "Multiscan" - ? -   (File not found | COM-object registry key not found)

{1E9B04FB-F9E5-4718-997B-B8DA88302A48} "nView Desktop Context Menu" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll

{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - ? -   (File not found | COM-object registry key not found)

{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll

{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -   (File not found | COM-object registry key not found)

{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll

{4838CD50-7E5D-4811-9B17-C47A85539F28} "TuneUp Disk Space Explorer Shell Extension" - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\DseShExt-x86.dll

{4858E7D9-8E12-45a3-B6A3-1CD128C9D403} "TuneUp Shredder Shell Extension" - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\SDShelEx-win32.dll

{44440D00-FF19-4AFC-B765-9A0970567D97} "TuneUp Theme Extension" - "TuneUp Software" - C:\WINDOWS\System32\uxtuneup.dll
 

[Internet Explorer]

-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----

ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBarLayout" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----

Garmin Communicator Plug-In "Garmin Communicator Plug-In" - ? -   (File not found | COM-object registry key not found) / https://static.garmincdn.com/gcp/ie/2.9.3.0/GarminAxControl.CAB

{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab

{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab

{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab

{31E68DE2-5548-4B23-88F0-C51E6A0F695E} "Microsoft PID Sniffer" - "Microsoft" - C:\WINDOWS\system32\odc.dll / https://support.microsoft.com/OAS/ActiveX/odc.cab

{74DBCB52-F298-4110-951D-AD2FF67BC8AB} "NVIDIA Smart Scan" - "NVIDIA" - C:\WINDOWS\DOWNLO~1\NVIDIA~1.OCX / hxxp://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab

{17492023-C23A-453E-A040-C7C580BBF700} "Windows Genuine Advantage Validation Tool" - "Microsoft Corporation" - C:\WINDOWS\system32\LegitCheckControl.DLL / hxxp://download.microsoft.com/download/C/0/C/C0CBBA88-A6F2-48D9-9B0E-1719D1177202/LegitCheckControl.cab

{54BE6B6F-3056-470B-97E1-BB92E051B6C4} "{54BE6B6F-3056-470B-97E1-BB92E051B6C4}" - ? -   (File not found | COM-object registry key not found) / hxxp://h30155.www3.hp.com/ediags/dd/install/HPDriverDiagnosticsxp2k.cab

{8FFBE65D-2C9C-4669-84BD-5829DC0B603C} "{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}" - ? -   (File not found | COM-object registry key not found) / hxxp://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----

"FlashGet" - "FlashGet.com" - C:\Programme\FlashGet\FlashGet.exe

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----

{E0E899AB-F487-11D5-8D29-0050BA6940E3} "FlashGet Bar" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----

{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} "Adobe PDF Reader" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

{2F364306-AA45-47B5-9F9D-39A8B94E7EF7} "FGCatchUrl" - "www.flashget.com" - C:\Programme\FlashGet\jccatch.dll

{F156768E-81EF-470C-9057-481BA8380DBA} "FlashGet GetFlash Class" - "www.flashget.com" - C:\Programme\FlashGet\getflash.dll

{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll

{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
 

[Logon]

-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini

"LevelOne Wireless LAN Utility.lnk" - "Realtek Semiconductor Corp." - C:\Programme\LevelOne\LevelOne Wireless LAN Utility\RtWLan.exe  (Shortcut exists | File exists)

-----( %UserProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\Admin\Startmenü\Programme\Autostart\desktop.ini

-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----

"ccleaner" - "Piriform Ltd" - "C:\Programme\CCleaner\ccleaner.exe" /AUTO

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----

"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

"ZoneAlarm Client" - "Check Point Software Technologies LTD" - "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
 

[Print Monitors]

-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----

"Redirected Port" - ? - C:\WINDOWS\system32\redmonnt.dll  (File found, but it contains no detailed information)
 

[Services]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe

"ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe

"getPlus(R) Helper 3004" (nosGetPlusHelper) - "NOS Microsystems Ltd." - C:\Programme\NOS\bin\getPlus_Helper_3004.dll

"Google Update Service (gupdate)" (gupdate) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe

"Google Update-Dienst (gupdatem)" (gupdatem) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe

"Imapi Helper" (Imapi Helper) - "Alex Feinman" - C:\Programme\Alex Feinman\ISO Recorder\ImapiHelper.exe

"InstallDriver Table Manager" (IDriverT) - "Macrovision Corporation" - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe

"Microsoft .NET Framework NGEN v4.0.30319_X86" (clr_optimization_v4.0.30319_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe

"Net.Tcp-Portfreigabedienst" (NetTcpPortSharing) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe

"TrueVector Internet Monitor" (vsmon) - "Check Point Software Technologies LTD" - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

"TuneUp Designerweiterung" (UxTuneUp) - "TuneUp Software" - C:\WINDOWS\System32\uxtuneup.dll

"TuneUp Drive Defrag-Dienst" (TuneUp.Defrag) - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\TuneUpDefragService.exe

"TuneUp Utilities Service" (TuneUp.UtilitiesSvc) - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

"Windows CardSpace" (idsvc) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe

"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe

"Windows Presentation Foundation Font Cache 4.0.0.0" (WPFFontCache_v0400) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe
 

[Winlogon]

-----( HKCU\Control Panel\Desktop )-----

"SCRNSAVE.EXE" - ? - H:\OTL.scr  (File not found)

-----( HKCU\Control Panel\IOProcs )-----

"MVB" - ? - mvfs32.dll  (File not found)

-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )-----

{c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll  (File not found)

-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )-----

"WgaLogon" - "Microsoft Corporation" - C:\WINDOWS\system32\WgaLogon.dll
 

===[ Logfile end ]=========================================[ Logfile end ]===

--- --- ---
If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru[/QUOTE]

aswMBR ist auch gelaufen, auch dazu ein Log:

Zitat:

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-11-26 16:29:05
-----------------------------
16:29:05.921 OS Version: Windows 5.1.2600 Service Pack 3
16:29:05.921 Number of processors: 1 586 0x1C00
16:29:05.921 ComputerName: STE_CHEF UserName: Admin
16:29:06.828 Initialize success
16:33:26.171 AVAST engine defs: 11112600
16:33:45.093 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-4
16:33:45.093 Disk 0 Vendor: WDC_WD800BB-60JKC0 05.01C05 Size: 76319MB BusType: 3
16:33:45.093 Disk 1 \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP0T1L0-c
16:33:45.093 Disk 1 Vendor: WDC_WD2000BB-14GUA0 08.02D08 Size: 190782MB BusType: 3
16:33:45.125 Disk 0 MBR read successfully
16:33:45.125 Disk 0 MBR scan
16:33:45.203 Disk 0 Windows XP default MBR code
16:33:45.203 Disk 0 scanning sectors +156280320
16:33:45.312 Disk 0 scanning C:\WINDOWS\system32\drivers
16:34:06.875 Service scanning
16:34:08.359 Service vsdatant C:\WINDOWS\System32\vsdatant.sys **LOCKED** 32
16:34:08.890 Modules scanning
16:34:37.437 Disk 0 trace - called modules:
16:34:37.453 ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys
16:34:37.453 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x85978ab8]
16:34:37.453 3 CLASSPNP.SYS[f757cfd7] -> nt!IofCallDriver -> \Device\0000006e[0x859907c8]
16:34:37.453 5 ACPI.sys[f7412620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-4[0x85934d98]
16:34:37.937 AVAST engine scan C:\WINDOWS
16:34:49.484 AVAST engine scan C:\WINDOWS\system32
16:41:19.109 AVAST engine scan C:\WINDOWS\system32\drivers
16:41:44.406 AVAST engine scan C:\Dokumente und Einstellungen\Admin
16:42:45.359 AVAST engine scan C:\Dokumente und Einstellungen\All Users
16:45:43.390 Scan finished successfully
16:46:19.843 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Admin\Desktop\MBR.dat"
16:46:19.859 The log file has been saved successfully to "C:\Dokumente und Einstellungen\Admin\Desktop\aswMBR.txt"

auf ein Neues
LG
Stephan

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hat ganz schön lange gebraucht, die angegebenen Scans durchzuführen. Also dann, hier die Logs:

1. Malwarebytes

Zitat:

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Datenbank Version: 8251

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

27.11.2011 11:44:44
mbam-log-2011-11-27 (11-44-44).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 322481
Laufzeit: 2 Stunde(n), 58 Minute(n), 58 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

2. SASW

Zitat:

SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 11/27/2011 at 05:52 PM

Application Version : 5.0.1136

Core Rules Database Version : 7988
Trace Rules Database Version: 5800

Scan type : Complete Scan
Total Scan Time : 04:07:45

Operating System Information
Windows XP Home Edition 32-bit, Service Pack 3 (Build 5.01.2600)
Administrator

Memory items scanned : 473
Memory threats detected : 0
Registry items scanned : 36610
Registry threats detected : 0
File items scanned : 140590
File threats detected : 6

Adware.Tracking Cookie
boypornclips.com [ C:\DOKUMENTE UND EINSTELLUNGEN\DOROTHE\ANWENDUNGSDATEN\MACROMEDIA\FLASH PLAYER\#SHAREDOBJECTS\LKL5GQKW ]
hottraffic.nl [ C:\DOKUMENTE UND EINSTELLUNGEN\DOROTHE\ANWENDUNGSDATEN\MACROMEDIA\FLASH PLAYER\#SHAREDOBJECTS\LKL5GQKW ]
s0.2mdn.net [ C:\DOKUMENTE UND EINSTELLUNGEN\DOROTHE\ANWENDUNGSDATEN\MACROMEDIA\FLASH PLAYER\#SHAREDOBJECTS\LKL5GQKW ]
www.ardmediathek.de [ C:\DOKUMENTE UND EINSTELLUNGEN\DOROTHE\ANWENDUNGSDATEN\MACROMEDIA\FLASH PLAYER\#SHAREDOBJECTS\LKL5GQKW ]

Trojan.Agent/Gen-Nullo[Short]
C:\SYSTEM VOLUME INFORMATION\_RESTORE{45BE423C-E279-4689-B562-55A65F958635}\RP850\A0350613.EXE

Trojan.Agent/Gen-SoftonicDownloader
D:\SYSTEM VOLUME INFORMATION\_RESTORE{45BE423C-E279-4689-B562-55A65F958635}\RP853\A0350992.EXE

:pfeiff:manchmal sieht man dann Sachen, die will man gar nicht sehen

3. ESET

Zitat:

ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=1471b91f07e1604d943066303fd488fb
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-11-23 12:28:17
# local_time=2011-11-23 01:28:17 (+0100, Westeuropäische Normalzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 0 0 0 0
# compatibility_mode=1797 16775125 100 93 313054 58526357 13887 0
# compatibility_mode=8192 67108863 100 0 4249 4249 0 0
# compatibility_mode=9217 16777214 75 66 40951798 44271724 0 0
# scanned=94613
# found=3
# cleaned=0
# scan_time=13607
D:\Daten\Dorothe\install_video2615_avi.exe a variant of Win32/Kryptik.UMB trojan (unable to clean) 00000000000000000000000000000000 I
D:\Downloads\Programme\registrybooster.exe Win32/RegistryBooster application (unable to clean) 00000000000000000000000000000000 I
D:\Downloads\Programme\SoftonicDownloader_fuer_polyglot-3000.exe a variant of Win32/SoftonicDownloader.A application (unable to clean) 00000000000000000000000000000000 I
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=1471b91f07e1604d943066303fd488fb
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-11-27 08:25:13
# local_time=2011-11-27 09:25:13 (+0100, Westeuropäische Normalzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 0 0 0 0
# compatibility_mode=8192 67108863 100 0 422882 422882 0 0
# compatibility_mode=9217 16777214 75 66 41370431 44690357 0 0
# scanned=97701
# found=0
# cleaned=0
# scan_time=12388

LG
Stephan

Nur Cookies und ein paar Überreste.
Rechner soweit wieder im Lot?

Im Prinzip ja. :daumenhoc

Ich muss ja gestehen, dass ich nicht viel verstanden habe von dem, was wir gemacht haben, sondern immer nur deine Anweisungen ausgeführt habe. Also, mit meinem Laienverstand sieht das so aus:
Wir haben immer wieder andere (neue) Tests durchgeführt - welchen, wann und warum ist mir unklar. Hat sicher was zu tun mit den Logs, die du ausgewertet hast.

Muss ich jetzt abschließend noch mal was mit dem Defogger machen? Soweit ich das verstanden habe, sind da Dienste oder Prozesse gestoppt oder abgeschaltet worden. Muss ich davon irgendetwas wieder einschalten?

Generell: Die etwas ausführlichere Beschäftigung (Lesen, Lesen, Lesen) mit dem Thema Sicherheit hat mich jetzt dazu gebracht, die ZA-Firewall zu deinstallieren und mit der Windows-Firewall weiter zu arbeiten, Avira zu deinstallieren und Avast zu testen, später vielleicht auch mal MSE. Tune-Up ist auch runter vom Rechner. Was bleibt, ist Revo Uninstaller und CCleaner.

Die Blockierung einzelner Ports und Protokolle über Windows Firewall ist zwar grundsätzlich möglich, allerdings ist mir da nicht hinreichend klar, welche ich brauche und welche ich blockieren könnte. Wo kann ich dazu was lesen? Was meinen beschränkten User-Verstand nicht überfordert.

LG
Stephan

Zitat:

Muss ich davon irgendetwas wieder einschalten?

Hast du überhaupt virtuelle Laufwerke eingerichtet also sowas wie DaemonTools installiert?

Zitat:

mit dem Thema Sicherheit hat mich jetzt dazu gebracht, die ZA-Firewall zu deinstallieren

Das ist schon ein richtiger und wichtiger Schritt. ZA hat rein garnichts mit Sicherheit zu tun.

Zitat:

Die Blockierung einzelner Ports und Protokolle über Windows Firewall ist zwar grundsätzlich möglich

Wie wärs wenn du nur einfach das erlaubst was man auch wirklich benötigt?
Meistens langt das, wenn man die Windows-Firewall auf "keine Ausnahmen zulassen" stellt. Es sei denn du willst irgendwelche Dateifreigaben von deinem Rechner ermöglichen. Wenn du hinter einem Router bist, benötigst du idR nichtmal die Windows-Firewall.

Na dann, für diesmal Tausend Dank, du hast dir echt viel viel Mühe gemacht und ich habe ein wenig lernen können. :abklatsch:

Spende ans TB kommt noch - ist Ehrensache.

Liebe Grüße
Stephan

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink:

Mozilla und andere Browser => http://filepony.de/?q=Flash+Player
Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Zitat:

Zitat von cosinus (Beitrag 726491)

Dann wären wir durch! :abklatsch:

Hmmm - jetzt gibt es doch ein Problem. bis dahin war alles so easy. Also, äh, man traut sich kaum, es zu sagen, aber: Mein Rechner startet nicht richtig:confused:. Nach der üblichen Windows-Anmeldung sehe ich nach einiger Zeit meinen üblichen Desktop mit allen Icons, auch denen, die wir hier installiert haben. Die blaue Windows-Leiste unten bleibt blau, ohne alle Icons, Virensanner etc. wird auch nicht angezeigt. Die Maus kann ich bewegen, aber keine Aktionen damit ausführen.

Was ist das?

Zitat:

Melde dich falls es da Fehlermeldungen zu gibt.

Hiermit geschehen.

Zitat:

Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

wollte ich sowieso, aber danke für den Hinweis

Zitat:

kannst du zB Secunia PSI verwenden.

auf dem Laptop schon installiert, auf dem Desktop-Rechner ... siehe oben

Zitat:

möglichst alle Passwörter ändern.

kommt dann auch noch

Zitat:

Windows XP: ...
PDF-Reader aktualisieren ...
... Aktualität des Flashplayers ..
... Firefox aktuell...
Java-Update ...

ist auch schon geschehen

Aber was mach ich, um die Kiste wieder an den Start zu kriegen?

LG
Stephan

Zitat:

Die Maus kann ich bewegen, aber keine Aktionen damit ausführen.

Was bedeutet Aktionen? Keine Reaktion auf Tastendruck?

genau - ich sehe den Mauszeiger, kann ihn überall hinbewegen, aber keine Reaktion auf Tastendruck.

Noch was - habe ich gerade festgestellt: Den User-Account meiner Frau kann ich bedienen: Netzzugang mit Firefox und IE, Emails mit TB, Programme - alles wie immer.

Mein eigener User-Account und der Admin funktionieren nicht, so wie beschrieben.

LG
Stephan

Zitat:

Zitat von delrod (Beitrag 727714)

Den User-Account meiner Frau kann ich bedienen: Netzzugang mit Firefox und IE, Emails mit TB, ...

sorry, da war ich zu schnell mit posten. Netzzugang FF ist okay, bei TB startet zwar das Programm, es werden aber keine Mails (auch nicht die alten) angezeigt.

Dann liegen da Profilprobleme vor. Warum deiner und der des Admins nicht funktionieren weiß ich nicht.
Dass die Mails im TB deiner Frau nicht angezeigt werden, kann auch verschiedene Ursachen haben. Müsstest du mal abklopfen, ob der Profilordner vom TB überhaupt noch existiert. Profile verwalten

Zitat:

Zitat von cosinus (Beitrag 727893)

Dann liegen da Profilprobleme vor. Warum deiner und der des Admins nicht funktionieren weiß ich nicht.

Vielleicht ist das ja auch kein Thema mehr für die Log-Analyse. Was meinst du - macht es Sinn, die Frage im Windows-Forum zu posten?

LG
Stephan

Schau doch erstmal nach ob das Profil noch vorhanden ist. Wenn du dann nicht weiter kommst, wäre im Windowsforum ein neues Thema vllt ganz sinnvoll.