Trojaner-Board
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Aus Sicherhitsgründen wurde Windowssystem blockiert! (https://www.trojaner-board.de/107862-sicherhitsgruenden-wurde-windowssystem-blockiert.html)

McGeifer 12.01.2012 22:36
Code:
Report of OSAM: Autorun Manager v5.0.11926.0
hxxp://www.online-solutions.ru/en/
Saved at 21:57:31 on 12.01.2012

OS: Windows XP Home Edition Service Pack 3 (Build 2600)
Default Browser: Mozilla Corporation Firefox 7.0.1

Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures

Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries


[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\WINDOWS\system32\FlashPlayerCPLApp.cpl
"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl
"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"mlcfg32.cpl" - "Microsoft Corporation" - D:\Software\Office14\MLCFG32.CPL
"QuickTime" - "Apple Inc." - C:\Programme\QuickTime\QTSystem\QuickTime.cpl
"SMAX4CP" - "Analog Devices, Inc." - C:\Programme\Analog Devices\SoundMAX\SMax4.cpl

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"atksgt" (atksgt) - ? - C:\WINDOWS\System32\DRIVERS\atksgt.sys  (File found, but it contains no detailed information)
"avgntflt" (avgntflt) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avgntflt.sys
"avipbb" (avipbb) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avipbb.sys
"avkmgr" (avkmgr) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avkmgr.sys
"catchme" (catchme) - ? - C:\DOKUME~1\M1054~1.SCH\LOKALE~1\Temp\catchme.sys  (File not found)
"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)
"i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)
"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)
"lirsgt" (lirsgt) - ? - C:\WINDOWS\System32\DRIVERS\lirsgt.sys  (File found, but it contains no detailed information)
"MBAMProtector" (MBAMProtector) - "Malwarebytes Corporation" - C:\WINDOWS\system32\drivers\mbam.sys
"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)
"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)
"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)
"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)
"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)
"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys
"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys
"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)

[Explorer]
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll
-----( HKLM\Software\Classes\Protocols\Filter )-----
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{807573E5-5146-11D5-A672-00B0D022E945} "Microsoft Office InfoPath XML Mime Filter" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
-----( HKLM\Software\Classes\Protocols\Handler )-----
{314111c7-a502-11d2-bbca-00c04f8ec294} "HxProtocol Class" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? -  (File not found | COM-object registry key not found)
{872A9397-E0D6-4e28-B64D-52B8D0A7EA35} "DisplayCplExt Class" - "Advanced Micro Devices, Inc." - C:\Programme\ATI Technologies\ATI.ACE\Core-Static\atiamaxx.dll
{FAC3CBF6-8697-43d0-BAB9-DCD1FCE19D75} "IE User Assist" - ? -  (File not found | COM-object registry key not found)
{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -  (File not found | COM-object registry key not found)
{42042206-2D85-11D3-8CFF-005004838597} "Microsoft Office HTML Icon Handler" - "Microsoft Corporation" - D:\Software\Office14\msohevi.dll
{993BE281-6695-4BA5-8A2A-7AACBFAAB69E} "Microsoft Office Metadata Handler" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE14\msoshext.dll
{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97} "Microsoft Office Thumbnail Handler" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE14\msoshext.dll
{00020D75-0000-0000-C000-000000000046} "Microsoft Outlook" - "Microsoft Corporation" - D:\Software\Office14\MLSHEXT.DLL
{F764812A-132C-4013-9960-5CBBEB408A0E} "NeroShellExt Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Nero\NeroShellExt\NeroShellExt.dll
{0006F045-0000-0000-C000-000000000046} "Outlook File Icon Extension" - "Microsoft Corporation" - D:\Software\Office14\OLKFSTUB.DLL
{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\shlext.dll
{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll
{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -  (File not found | COM-object registry key not found)
{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll
{5E2121EE-0300-11D4-8D3B-444553540000} "SimpleShlExt Class" - "Advanced Micro Devices, Inc." - C:\Programme\ATI Technologies\ATI.ACE\Core-Static\atiacmxx.dll
{BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Web Folders" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\MSONSEXT.DLL
{B41DB860-8EE4-11D2-9906-E49FADC173CA} "WinRAR" - "Alexander Roshal" - C:\Programme\WinRAR\rarext.dll

[Internet Explorer]
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
ITBar7Height "ITBar7Height" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBarLayout" - ? -  (File not found | COM-object registry key not found)
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab
{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab
{7530BFB8-7293-4D34-9923-61A11451AFC5} "OnlineScanner Control" - "ESET" - C:\PROGRA~1\ESET\ESETON~1\ONLINE~1.OCX / hxxp://download.eset.com/special/eos/OnlineScanner.cab
{D27CDB6E-AE6D-11CF-96B8-444553540000} "Shockwave Flash Object" - "Adobe Systems, Inc." - C:\WINDOWS\system32\Macromed\Flash\Flash11e.ocx / hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
{53707962-6F74-2D53-2644-206D7942484F} "ClsidExtension" - "Safer Networking Limited" - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} "Adobe PDF Reader" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll
{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
{B4F3A835-0E21-4959-BA22-42B3008E02FF} "Office Document Cache Handler" - "Microsoft Corporation" - D:\Software\Office14\URLREDIR.DLL
{53707962-6F74-2D53-2644-206D7942484F} "Spybot-S&D IE Protection" - "Safer Networking Limited" - C:\Programme\Spybot - Search & Destroy\SDHelper.dll

[Logon]
-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----
"Adobe Gamma Loader.lnk" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe  (Shortcut exists | File exists)
"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
"t@x aktuell.lnk" - "Buhl Tax Service, Hannover" - D:\Software\Tax\taxaktuell.exe  (Shortcut exists | File exists)
-----( %UserProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\M.Schiller\Startmenü\Programme\Autostart\desktop.ini
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"Adobe Reader Speed Launcher" - "Adobe Systems Incorporated" - "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
"avgnt" - "Avira Operations GmbH & Co. KG" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
"BCSSync" - "Microsoft Corporation" - "D:\Software\Office14\BCSSync.exe" /DelayServices
"Malwarebytes' Anti-Malware" - "Malwarebytes Corporation" - "C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
"QuickTime Task" - "Apple Inc." - "C:\Programme\QuickTime\QTTask.exe" -atboottime
"StartCCC" - "Advanced Micro Devices, Inc." - "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
"Anwendungsverwaltung" (AppMgmt) - ? - C:\WINDOWS\System32\appmgmts.dll  (File not found)
"ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe
"Avira Echtzeit Scanner" (AntiVirService) - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\avguard.exe
"Avira Planer" (AntiVirSchedulerService) - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\sched.exe
"Canon Camera Access Library 8" (CCALib8) - "Canon Inc." - C:\Programme\Canon\CAL\CALMAIN.exe
"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe
"MBAMService" (MBAMService) - "Malwarebytes Corporation" - C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
"Office  Source Engine" (ose) - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE
"Office Software Protection Platform" (osppsvc) - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE
"Prime95 Service" (Prime95 Service) - ? - D:\Software\Prime\prime95.exe
"Windows CardSpace" (idsvc) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe
"Windows Presentation Foundation Font Cache 4.0.0.0" (WPFFontCache_v0400) - ? - C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe  (File not found)

[Winlogon]
-----( HKCU\Control Panel\IOProcs )-----
"MVB" - ? - mvfs32.dll  (File not found)
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )-----
{c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll  (File not found)

===[ Logfile end ]=========================================[ Logfile end ]===

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

Code:
aswMBR version 0.9.9.1297 Copyright(c) 2011 AVAST Software
Run date: 2012-01-12 21:58:34
-----------------------------
21:58:34.390    OS Version: Windows 5.1.2600 Service Pack 3
21:58:34.390    Number of processors: 2 586 0x4303
21:58:34.390    ComputerName: DATENMIETZE  UserName: M.Schiller
21:58:34.859    Initialize success
22:11:11.921    AVAST engine defs: 12011200
22:30:06.640    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Scsi\nvgts1Port2Path0Target0Lun0
22:30:06.640    Disk 0 Vendor: ST325082 3.AE Size: 238475MB BusType: 3
22:30:06.640    Disk 1  \Device\Harddisk1\DR1 -> \Device\Scsi\nvgts1Port2Path1Target1Lun0
22:30:06.640    Disk 1 Vendor: ST330062 3.AA Size: 286168MB BusType: 3
22:30:06.640    Device \Driver\nvgts -> DriverStartIo SCSIPORT.SYS b9ef040e
22:30:06.671    Disk 0 MBR read successfully
22:30:06.671    Disk 0 MBR scan
22:30:06.687    Disk 0 Windows XP default MBR code
22:30:06.687    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS        40962 MB offset 63
22:30:06.703    Disk 0 scanning sectors +83891430
22:30:06.734    Disk 0 scanning C:\WINDOWS\system32\drivers
22:30:14.843    Service scanning
22:30:15.640    Modules scanning
22:30:20.312    Disk 0 trace - called modules:
22:30:20.328    ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll SCSIPORT.SYS nvgts.sys
22:30:20.328    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x8a23d110]
22:30:20.328    3 CLASSPNP.SYS[ba0e8fd7] -> nt!IofCallDriver -> \Device\00000061[0x8a2699e8]
22:30:20.328    5 ACPI.sys[b9f7e620] -> nt!IofCallDriver -> \Device\Scsi\nvgts1Port2Path0Target0Lun0[0x8a258a38]
22:30:20.687    AVAST engine scan C:\WINDOWS
22:30:27.500    File: C:\WINDOWS\PEV.exe  **INFECTED** Win32:Rootkit-gen [Rtk]
22:30:29.656    AVAST engine scan C:\WINDOWS\system32
22:31:34.578    AVAST engine scan C:\WINDOWS\system32\drivers
22:31:44.343    AVAST engine scan C:\Dokumente und Einstellungen\M.Schiller
22:34:01.031    AVAST engine scan C:\Dokumente und Einstellungen\All Users
22:34:14.968    Scan finished successfully
22:34:28.250    Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\M.Schiller\Desktop\MBR.dat"
22:34:28.250    The log file has been saved successfully to "C:\Dokumente und Einstellungen\M.Schiller\Desktop\aswMBR.log"

cosinus 12.01.2012 23:22
Ist ok. GMER ging aber nicht?

McGeifer 13.01.2012 00:13
jupp is 3 mal abgeschiert ...

cosinus 13.01.2012 12:03
Ok. Combofix/PEV.exe ist ein Fehlalarm.
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!


Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:


ESET Online Scanner

  • Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
  • Lade und starte Eset Online Scanner
  • Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
  • Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
  • Klicke auf Starten.
  • Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
  • Klicke am Ende des Suchlaufs auf Fertig stellen.
  • Schließe das Fenster von ESET.
  • Explorer öffnen.
  • C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
  • Logfile hier posten.
  • Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
  • Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset


McGeifer 13.01.2012 18:57
Code:
SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 01/13/2012 at 06:21 PM

Application Version : 5.0.1142

Core Rules Database Version : 8131
Trace Rules Database Version: 5943

Scan type      : Complete Scan
Total Scan Time : 01:04:18

Operating System Information
Windows XP Home Edition 32-bit, Service Pack 3 (Build 5.01.2600)
Administrator

Memory items scanned      : 668
Memory threats detected  : 0
Registry items scanned    : 36493
Registry threats detected : 3
File items scanned        : 70935
File threats detected    : 39

Disabled.SecurityCenterOption
        HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER#ANTIVIRUSDISABLENOTIFY
        HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER#FIREWALLDISABLENOTIFY
        HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER#UPDATESDISABLENOTIFY

Adware.Tracking Cookie
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\GWHR8IYF.txt [ /amazon-adsystem.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\H992D1O5.txt [ /banner.testberichte.de ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\K9YYR45M.txt [ /adtech.de ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\9VBD1Z9V.txt [ /collective-media.net ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\W0QIHHT9.txt [ /specificclick.net ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\8LDMKG9O.txt [ /ad.ad-srv.net ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\JMURQFVG.txt [ /advertising.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\RHMESGKN.txt [ /www.googleadservices.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\0PO60HUQ.txt [ /serving-sys.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\HA1VERXB.txt [ /atwola.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\9OMJT39A.txt [ /zanox.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\TKR0PXJY.txt [ /at.atwola.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\Q3DP76JD.txt [ /clicks.pangora.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\O2S0CAEZ.txt [ /webmasterplan.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\XY0KYOR0.txt [ /ad2.adfarm1.adition.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\1ODSRRGS.txt [ /tacoda.at.atwola.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\6857028I.txt [ /zanox-affiliate.de ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\NIM2QUXA.txt [ /stats.clicktracks.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\F3YCRN6N.txt [ /ar.atwola.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\S736WU3H.txt [ /atdmt.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\ODL4UTWL.txt [ /invitemedia.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\ZSW1341U.txt [ /revsci.net ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\CNZ5HXW0.txt [ /hightraffic.hugoboss.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\EB1OQI1K.txt [ /ad1.dyntracker.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\R06DQYCS.txt [ /adfarm1.adition.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\3TU3BCCQ.txt [ /tracking.quisma.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\1PKN50VR.txt [ /adx.chip.de ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\22MP8D12.txt [ /ad.zanox.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\QDV4Z5PO.txt [ /microsoftsto.112.2o7.net ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\Z4HH7ZOA.txt [ /bs.serving-sys.com ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\ISVCV2TH.txt [ /traffictrack.de ]
        C:\Dokumente und Einstellungen\M.Schiller\Cookies\YR8N6STN.txt [ /ad3.adfarm1.adition.com ]
        .yadro.ru [ C:\DOKUMENTE UND EINSTELLUNGEN\M.SCHILLER\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\B9Z8TN8L.DEFAULT\COOKIES.SQLITE ]
        go.trafficshop.com [ C:\DOKUMENTE UND EINSTELLUNGEN\M.SCHILLER\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\B9Z8TN8L.DEFAULT\COOKIES.SQLITE ]
        go.trafficshop.com [ C:\DOKUMENTE UND EINSTELLUNGEN\M.SCHILLER\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\B9Z8TN8L.DEFAULT\COOKIES.SQLITE ]
        go.trafficshop.com [ C:\DOKUMENTE UND EINSTELLUNGEN\M.SCHILLER\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\B9Z8TN8L.DEFAULT\COOKIES.SQLITE ]
        go.trafficshop.com [ C:\DOKUMENTE UND EINSTELLUNGEN\M.SCHILLER\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\B9Z8TN8L.DEFAULT\COOKIES.SQLITE ]
        go.trafficshop.com [ C:\DOKUMENTE UND EINSTELLUNGEN\M.SCHILLER\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\B9Z8TN8L.DEFAULT\COOKIES.SQLITE ]

Trojan.Agent/Gen-SoftonicDownloader
        D:\SOFTWARE\PHOTOIMPRESSION\SOFTONICDOWNLOADER_FUER_ARCSOFT-PHOTOIMPRESSION.EXE
Code:
ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=472b515e19cba44c9a5162cf609c8e88
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-01-10 05:50:44
# local_time=2012-01-10 06:50:44 (+0100, Westeuropäische Normalzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=1792 16777175 100 0 6403877 6403877 0 0
# compatibility_mode=8192 67108863 100 0 3892 3892 0 0
# scanned=82816
# found=4
# cleaned=0
# scan_time=2664
C:\Dokumente und Einstellungen\M.Schiller\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\b9z8tn8l.default\Cache\3\96\6FE32d01        JS/Kryptik.FP trojan (unable to clean)        00000000000000000000000000000000        I
C:\Dokumente und Einstellungen\M.Schiller\Lokale Einstellungen\Temporary Internet Files\Content.IE5\0SN98V0T\info[1].exe        a variant of Win32/Injector.MYH trojan (unable to clean)        00000000000000000000000000000000        I
C:\Dokumente und Einstellungen\M.Schiller\Lokale Einstellungen\Temporary Internet Files\Content.IE5\52T4DXV3\readme[1].exe        a variant of Win32/Injector.MYH trojan (unable to clean)        00000000000000000000000000000000        I
D:\Software\Photoimpression\SoftonicDownloader_fuer_arcsoft-photoimpression.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=472b515e19cba44c9a5162cf609c8e88
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-01-13 03:47:25
# local_time=2012-01-13 04:47:25 (+0100, Westeuropäische Normalzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=1792 16777191 100 0 6655856 6655856 0 0
# compatibility_mode=8192 67108863 100 0 255871 255871 0 0
# scanned=81548
# found=2
# cleaned=0
# scan_time=2487
C:\System Volume Information\_restore{234EC1AE-0FED-456E-A1FE-91D74C3C1BA1}\RP98\A0019789.exe        a variant of Win32/Injector.MYH trojan (unable to clean)        00000000000000000000000000000000        I
D:\Software\Photoimpression\SoftonicDownloader_fuer_arcsoft-photoimpression.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
Code:
Malwarebytes Anti-Malware (Test) 1.60.0.1800
www.malwarebytes.org

Datenbank Version: v2012.01.12.05

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
M.Schiller :: DATENMIETZE [Administrator]

Schutz: Deaktiviert

13.01.2012 15:21:02
mbam.txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 254080
Laufzeit: 30 Minute(n), 46 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 3
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Keine Aktion durchgeführt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

McGeifer 13.01.2012 18:59
Die gefunden Eintrage/dateien bei SUPERAntiSpyware hab ich erst mal nicht gelöscht oder verschoben. Das Fenster sieht komplett anders aus wie in der Anleitung. War mir nicht sicher was ich da machen sollte. Keine Lust dann evt. mehr Schaden anzurichten.

cosinus 13.01.2012 19:28
Nur Überreste und Cookies.
Rechner soweit wieder im Lot?

McGeifer 13.01.2012 20:37
Ah ok ..

Ansonsten alles beim alten so weit ich das beurteilen kann.

cosinus 13.01.2012 23:18
Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update


PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:

Adobe - Andere Version des Adobe Flash Player installieren

Notfalls kann man auch von Chip.de runterladen => http://filepony.de/?q=Flash+Player

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

McGeifer 14.01.2012 00:17
Super... !

Dann erst mal vielen danke für die ganze Arbeit. Schon echt klasse was ihr hier leistet aber mir währe das zu stressig :D ...


Also dann schönen Abend noch und nen dickes fettes DANKE .. :applaus:


Alle Zeitangaben in WEZ +1. Es ist jetzt 02:07 Uhr.
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131