Ein Hacker hat mir den Krieg erklaert
 

Hallo,
nun bin ich also hier gelandet, vielleicht kann jemand was hilfreiches Kommentieren.

Problembeschreibung:
Ein selbsternannter Hacker behauptet, in eine Datei die mir (irgendwann) ein Bekannter geschickt hat schadhaften code eingebaut zu haben. Da Zugang zum Rechner des Bekannten denkbar ist könnte das durchaus der Fall sein.
Die lange Reihe an Beschimpfungen und die Ankündigung alles an Daten auf meinem Rechner zu löschen spare ich mir hier, man muss wahnsinnigen ja nicht noch publicity geben.

Mit Virensignaturen von gestern hat ein kompletter Systemscan nichts gefunden, was ja bei einem speziellen, neuen Schädling nicht viel heißen muss. Prinzipiell kann eine mögliche Infektion nur über Bilddateien erfolgt sein (zu 95%, vielleicht gab es irgendwann einen anderen Dateityp.) Ein paar der Bilder waren visuell beschädigt, was natürlich auch andere Gründe haben kann. Es ist davon auszugehen dass der Übeltäter auch an die Standortdaten und IP Adresse gelangt ist.

Backups sind vorhanden aber wenig hilfreich da die Infektion irgendwann im vorigen halben Jahr passiert sein könnte. Laut "Hacker" ist das Programm derzeit inaktiv. An entschlossenheit dürfte es dem Angreifer nicht mangeln.

Ziemlich miese Situation.
Wie finde ich also heraus ob da was auf den Rechner eingeschleust wurde?

Logs:
Das System wird eh bald neu aufgesetzt, einige der Prozesse kommen mir schon seit einer weile verdächtig vor.

.
DDS (Ver_2011-08-26.01) - NTFSAMD64
Internet Explorer: 8.0.6001.19170 BrowserJavaVersion: 1.6.0_30
Run by MaxMustermann at 14:22:37 on 2012-02-07
Microsoft® Windows Vista™ Ultimate 6.0.6002.2.1252.49.1031.18.4086.1588 [GMT 1:00]
.
AV: Microsoft Security Essentials *Enabled/Updated* {108DAC43-C256-20B7-BB05-914135DA5160}
SP: Microsoft Security Essentials *Enabled/Updated* {ABEC4DA7-E46C-2F39-81B5-AA334E5D1BDD}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
============== Running Processes ===============
.
C:\Windows\system32\wininit.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe -k DcomLaunch
C:\Windows\system32\nvvsvc.exe
C:\Windows\system32\svchost.exe -k rpcss
c:\Program Files\Microsoft Security Client\Antimalware\MsMpEng.exe
C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
C:\Windows\system32\svchost.exe -k netsvcs
C:\Windows\system32\AUDIODG.EXE
C:\Windows\system32\svchost.exe -k GPSvcGroup
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe -k LocalService
C:\Windows\system32\nvvsvc.exe
C:\Windows\system32\svchost.exe -k NetworkService
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork
C:\Program Files (x86)\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
C:\Program Files (x86)\Common Files\AOL\ACS\AOLAcsd.exe
C:\Program Files (x86)\Application Updater\ApplicationUpdater.exe
C:\Program Files (x86)\ICQ6Toolbar\ICQ Service.exe
C:\Program Files\Common Files\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Program Files (x86)\Common Files\LogiShrd\LVMVFM\LVPrS64H.exe
C:\Program Files (x86)\CDBurnerXP\NMSAccessU.exe
C:\Windows\system32\svchost.exe -k NetworkServiceNetworkRestricted
C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
C:\Windows\system32\svchost.exe -k imgsvc
C:\Windows\System32\svchost.exe -k WerSvcGroup
C:\Windows\system32\SearchIndexer.exe
c:\Program Files\Microsoft Security Client\Antimalware\NisSrv.exe
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Microsoft Security Client\msseces.exe
C:\Windows\ehome\ehtray.exe
C:\programsstandard\Steam\steam.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files (x86)\VIA\VIAudioi\VDeck\VDeck.exe
C:\Program Files (x86)\OpenOffice.org 3\program\soffice.exe
C:\Program Files (x86)\Common Files\aol\1253318524\ee\aolsoftware.exe
C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin
C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
C:\Program Files\Logitech\Logitech WebCam Software\LWS.exe
C:\Program Files (x86)\Common Files\Spigot\Search Settings\SearchSettings.exe
C:\Program Files (x86)\Common Files\Logishrd\LQCVFX\COCIManager.exe
C:\Windows\system32\svchost.exe -k LocalServiceAndNoImpersonation
C:\Program Files (x86)\Common Files\Steam\SteamService.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
C:\Program Files (x86)\Miranda IM\miranda32.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Users\MaxMustermann\Downloads\Defogger.exe
C:\Windows\SysWOW64\conime.exe
c:\Program Files\Microsoft Security Client\Antimalware\MpCmdRun.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\DllHost.exe
C:\Windows\system32\DllHost.exe
C:\Windows\SysWOW64\cmd.exe
C:\Windows\SysWOW64\cscript.exe
C:\Windows\system32\wbem\wmiprvse.exe
.
============== Pseudo HJT Report ===============
.
uStart Page = hxxp://start.icq.com/
uURLSearchHooks: H - No File
uURLSearchHooks: YouTube Downloader Toolbar: {f3fee66e-e034-436a-86e4-9690573bee8a} - C:\Program Files (x86)\YouTube Downloader Toolbar\IE\4.9\youtubedownloaderToolbarIE.dll
uURLSearchHooks: H - No File
uURLSearchHooks: ICQToolBar: {855f3b16-6d32-4fe6-8a56-bbb695989046} - C:\Program Files (x86)\ICQ6Toolbar\ICQToolBar.dll
mWinlogon: Userinit=userinit.exe
BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
BHO: Java(tm) Plug-In SSV Helper: {761497bb-d6f0-462c-b6eb-d4daf1d92d43} - C:\Program Files (x86)\Java\jre6\bin\ssv.dll
BHO: AOL Toolbar Launcher: {7c554162-8cb7-45a4-b8f4-8ea1c75885f9} - C:\Program Files (x86)\AOL\AOL Toolbar 4.0\aoltb.dll
BHO: Skype Browser Helper: {ae805869-2e5c-4ed4-8f7b-f1f7851a4497} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
TB: AOL Toolbar: {de9c389f-3316-41a7-809b-aa305ed9d922} - C:\Program Files (x86)\AOL\AOL Toolbar 4.0\aoltb.dll
EB: ICQToolBar: {855f3b16-6d32-4fe6-8a56-bbb695989046} - C:\Program Files (x86)\ICQ6Toolbar\ICQToolBar.dll
uRun: [ehTray.exe] C:\Windows\ehome\ehTray.exe
uRun: [Steam] "C:\programsstandard\Steam\Steam.exe" -silent
mRun: [HDAudDeck] "C:\Program Files (x86)\VIA\VIAudioi\VDeck\VDeck.exe" -r
mRun: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime
mRun: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
mRun: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\Logitech WebCam Software\LWS.exe" /hide
mRun: [<NO NAME>]
mRun: [PlusService] "C:\Program Files (x86)\Yuna Software\Messenger Plus!\PlusService.exe"
StartupFolder: C:\Users\MaxMustermann\AppData\Roaming\MICROS~1\Windows\STARTM~1\Programs\Startup\OPENOF~1.LNK - C:\Program Files (x86)\OpenOffice.org 3\program\quickstart.exe
mPolicies-explorer: NoActiveDesktop = 1 (0x1)
mPolicies-explorer: NoActiveDesktopChanges = 1 (0x1)
mPolicies-explorer: BindDirectlyToPropertySetStorage = 0 (0x0)
mPolicies-system: EnableUIADesktopToggle = 0 (0x0)
IE: &AOL Toolbar-Suche - c:\program files (x86)\aol\aol toolbar 4.0\resources\de-DE\local\search.html
IE: Nach Microsoft E&xel exportieren - C:\PROGRA~2\MICROS~3\Office12\EXCEL.EXE/3000
IE: {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files (x86)\ICQ6.5\ICQ.exe
IE: {3369AF0D-62E9-4bda-8103-B4C75499B578} - {DE9C389F-3316-41A7-809B-AA305ED9D922} - C:\Program Files (x86)\AOL\AOL Toolbar 4.0\aoltb.dll
IE: {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab
DPF: {CAFEEFAC-0016-0000-0030-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab
DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
TCP: DhcpNameServer = 192.168.2.1 192.168.2.1
TCP: Interfaces\{2D57BB78-04E9-4FE6-9EE7-E02C7FA45635} : DhcpNameServer = 192.168.178.1
TCP: Interfaces\{5989A8A2-7CDD-4D2B-B678-8F0996B3A2FE} : DhcpNameServer = 192.168.2.1 192.168.2.1
TCP: Interfaces\{8788D2CE-56B3-4831-B121-D02EF78B6AAA} : DhcpNameServer = 192.168.178.1
TCP: Interfaces\{FF9973E9-EF8F-4490-AE15-0F695A451479} : DhcpNameServer = 192.168.178.1
Handler: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
{18DF081C-E8AD-4283-A596-FA578C2EBDC3}
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}
{7C554162-8CB7-45A4-B8F4-8EA1C75885F9}
{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
{DBC80044-A445-435b-BC74-9C25C1C588A9}
{DE9C389F-3316-41A7-809B-AA305ED9D922}
EB-X64: {855F3B16-6D32-4fe6-8A56-BBB695989046} - No File
mRun-x64: [HDAudDeck] "C:\Program Files (x86)\VIA\VIAudioi\VDeck\VDeck.exe" -r
mRun-x64: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime
mRun-x64: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
mRun-x64: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\Logitech WebCam Software\LWS.exe" /hide
mRun-x64: [(Standard)]
mRun-x64: [PlusService] "C:\Program Files (x86)\Yuna Software\Messenger Plus!\PlusService.exe"
IE-X64: {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files (x86)\ICQ6.5\ICQ.exe
.
================= FIREFOX ===================
.
FF - ProfilePath - C:\Users\MaxMustermann\AppData\Roaming\Mozilla\Firefox\Profiles\sxmskuue.default\
FF - prefs.js: browser.search.selectedEngine - Yahoo
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - prefs.js: keyword.URL - hxxp://de.search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&ilc=12&type=937811&p=
FF - component: C:\Program Files (x86)\Mozilla Firefox\extensions\{82AF8DCA-6DE9-405D-BD5E-43525BDAD38A}\components\SkypeFfComponent.dll
FF - plugin: C:\Program Files (x86)\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: C:\Program Files (x86)\Google\Update\1.3.21.99\npGoogleUpdate3.dll
FF - plugin: C:\Program Files (x86)\Java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: c:\Program Files (x86)\Microsoft Silverlight\4.0.60831.0\npctrlui.dll
FF - plugin: C:\Program Files (x86)\Mozilla Firefox\plugins\npdeployJava1.dll
FF - plugin: C:\Program Files (x86)\Unity\WebPlayer\loader\npUnity3D32.dll
FF - plugin: C:\Program Files (x86)\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll
FF - plugin: C:\programsstandard\Canon\MyCamera Download Plugin\NPCIG.dll
FF - plugin: C:\Windows\SysWOW64\Macromed\Flash\NPSWF32.dll
.
============= SERVICES / DRIVERS ===============
.
R0 PxHlpa64;PxHlpa64;C:\Windows\system32\Drivers\PxHlpa64.sys --> C:\Windows\system32\Drivers\PxHlpa64.sys [?]
R1 MpFilter;Microsoft Malware Protection Driver;C:\Windows\system32\DRIVERS\MpFilter.sys --> C:\Windows\system32\DRIVERS\MpFilter.sys [?]
R1 VBoxDrv;VirtualBox Service;C:\Windows\system32\DRIVERS\VBoxDrv.sys --> C:\Windows\system32\DRIVERS\VBoxDrv.sys [?]
R2 Application Updater;Application Updater;C:\Program Files (x86)\Application Updater\ApplicationUpdater.exe [2011-12-14 748440]
R2 FontCache;Windows-Dienst für Schriftartencache;C:\Windows\system32\svchost.exe -k LocalServiceAndNoImpersonation [2008-1-21 21504]
R2 LVPrcS64;Process Monitor;C:\Program Files\Common Files\LogiShrd\LVMVFM\LVPrcSrv.exe [2009-4-30 190488]
R2 Stereo Service;NVIDIA Stereoscopic 3D Driver Service;C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe [2009-7-14 239648]
R3 LVPr2M64;Logitech LVPr2M64 Driver;C:\Windows\system32\DRIVERS\LVPr2M64.sys --> C:\Windows\system32\DRIVERS\LVPr2M64.sys [?]
R3 LVRS64;Logitech RightSound Filter Driver;C:\Windows\system32\DRIVERS\lvrs64.sys --> C:\Windows\system32\DRIVERS\lvrs64.sys [?]
R3 LVUVC64;Logitech Webcam 300(UVC);C:\Windows\system32\DRIVERS\lvuvc64.sys --> C:\Windows\system32\DRIVERS\lvuvc64.sys [?]
R3 NisDrv;Microsoft Network Inspection System;C:\Windows\system32\DRIVERS\NisDrvWFP.sys --> C:\Windows\system32\DRIVERS\NisDrvWFP.sys [?]
R3 NisSrv;Microsoft-Netzwerkinspektion;C:\Program Files\Microsoft Security Client\Antimalware\NisSrv.exe [2011-4-27 288272]
R3 VIAHdAudAddService;VIA High Definition Audio Driver Service;C:\Windows\system32\drivers\viahduaa.sys --> C:\Windows\system32\drivers\viahduaa.sys [?]
R4 ICQ Service;ICQ Service;C:\Program Files (x86)\ICQ6Toolbar\ICQ Service.exe [2009-9-21 222968]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-3-18 130384]
S2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;C:\Windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-3-18 138576]
S2 gupdate;Google Update Service (gupdate);C:\Program Files (x86)\Google\Update\GoogleUpdate.exe [2010-1-8 135664]
S3 AVMUNET;AVM FRITZ!Box;C:\Windows\system32\DRIVERS\avmunet.sys --> C:\Windows\system32\DRIVERS\avmunet.sys [?]
S3 gupdatem;Google Update-Dienst (gupdatem);C:\Program Files (x86)\Google\Update\GoogleUpdate.exe [2010-1-8 135664]
S3 lvpopf64;Logitech POP Suppression Filter;C:\Windows\system32\DRIVERS\lvpopf64.sys --> C:\Windows\system32\DRIVERS\lvpopf64.sys [?]
S3 MpNWMon;Microsoft Malware Protection Network Driver;C:\Windows\system32\DRIVERS\MpNWMon.sys --> C:\Windows\system32\DRIVERS\MpNWMon.sys [?]
S3 PerfHost;Leistungsindikator-DLL-Host;C:\Windows\SysWOW64\perfhost.exe [2008-1-21 19968]
S3 PORTMON;PORTMON;C:\Users\MaxMustermann\Desktop\sysinternals\PORTMSYS.SYS [2012-2-6 28656]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;C:\Windows\Microsoft.NET\Framework64\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-3-18 1020768]
S4 clr_optimization_v2.0.50727_64;Microsoft .NET Framework NGEN v2.0.50727_X64;C:\Windows\Microsoft.NET\Framework64\v2.0.50727\mscorsvw.exe [2009-7-14 89920]
.
=============== File Associations ===============
.
JSEFile=C:\Windows\SysWOW64\WScript.exe "%1" %*
.
=============== Created Last 30 ================
.
2012-02-06 14:50:04 69000 ----a-w- C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{A844DE5A-2DD2-4D5E-88DD-89FC034F2E00}\offreg.dll
2012-02-06 14:46:00 -------- d-----w- C:\Windows\SysWow64\spool
2012-02-06 14:46:00 -------- d-----w- C:\Program Files\Windows Portable Devices
2012-02-06 14:46:00 -------- d-----w- C:\Program Files (x86)\Windows Portable Devices
2012-02-06 13:23:37 92672 ----a-w- C:\Windows\SysWow64\UIAnimation.dll
2012-02-06 13:23:37 103424 ----a-w- C:\Windows\System32\UIAnimation.dll
2012-02-06 13:23:36 1164800 ----a-w- C:\Windows\System32\UIRibbonRes.dll
2012-02-06 13:23:35 3815424 ----a-w- C:\Windows\System32\UIRibbon.dll
2012-02-06 13:23:35 3023360 ----a-w- C:\Windows\SysWow64\UIRibbon.dll
2012-02-06 13:23:35 1164800 ----a-w- C:\Windows\SysWow64\UIRibbonRes.dll
2012-02-06 13:21:27 167424 ----a-w- C:\Program Files\Windows Portable Devices\sqmapi.dll
2012-02-06 13:17:33 231936 ----a-w- C:\Windows\System32\XpsRasterService.dll
2012-02-06 13:10:03 -------- d-----w- C:\Users\MaxMustermann\AppData\Local\{3C9405EA-5210-4AE1-8C13-393F99D23A4B}
2012-02-06 13:07:42 -------- d-----w- C:\Users\MaxMustermann\AppData\Local\{498160B2-ADEC-4985-90DE-1FE484ED7B58}
2012-02-06 13:05:23 -------- d-----w- C:\Program Files (x86)\BrowserCompanion
2012-02-06 13:05:19 -------- d-----w- C:\Program Files (x86)\Yuna Software
2012-02-06 10:32:46 8602168 ----a-w- C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{A844DE5A-2DD2-4D5E-88DD-89FC034F2E00}\mpengine.dll
2012-01-31 12:57:39 94720 ----a-w- C:\Windows\System32\secur32.dll
2012-01-31 12:57:39 77312 ----a-w- C:\Windows\SysWow64\secur32.dll
2012-01-31 12:57:39 515968 ----a-w- C:\Windows\System32\drivers\ksecdd.sys
2012-01-31 12:57:39 442368 ----a-w- C:\Windows\System32\winhttp.dll
2012-01-31 12:57:39 377344 ----a-w- C:\Windows\SysWow64\winhttp.dll
2012-01-31 12:57:39 347136 ----a-w- C:\Windows\System32\schannel.dll
2012-01-31 12:57:39 278528 ----a-w- C:\Windows\SysWow64\schannel.dll
2012-01-31 12:57:39 1689600 ----a-w- C:\Windows\System32\lsasrv.dll
2012-01-31 12:57:39 11264 ----a-w- C:\Windows\System32\lsass.exe
.
==================== Find3M ====================
.
2012-01-31 12:44:20 279656 ------w- C:\Windows\System32\MpSigStub.exe
2011-12-27 13:31:11 414368 ----a-w- C:\Windows\SysWow64\FlashPlayerCPLApp.cpl
2011-11-25 16:25:32 451072 ----a-w- C:\Windows\System32\winsrv.dll
2011-11-23 13:57:38 2764800 ----a-w- C:\Windows\System32\win32k.sys
2011-11-18 20:55:05 1585152 ----a-w- C:\Windows\System32\ntdll.dll
2011-11-18 20:55:05 1167984 ----a-w- C:\Windows\SysWow64\ntdll.dll
2011-11-18 18:07:45 76800 ----a-w- C:\Windows\System32\packager.dll
2011-11-18 17:47:03 66560 ----a-w- C:\Windows\SysWow64\packager.dll
2011-11-10 04:54:13 472808 ----a-w- C:\Windows\SysWow64\deployJava1.dll
2009-10-08 15:00:28 2401486 ----a-w- C:\Program Files\uninstall.exe
2006-11-06 23:00:00 95232 ----a-w- C:\Program Files\avmadd64.DLL
2006-11-06 23:00:00 554040 ----a-w- C:\Program Files\usbsetup.exe
2006-11-06 23:00:00 30208 ----a-w- C:\Program Files\avmunet.sys
2006-11-06 23:00:00 134144 ----a-w- C:\Program Files\avmacc64.dll
2006-05-03 09:06:54 163328 --sh--r- C:\Windows\SysWOW64\flvDX.dll
2007-02-21 10:47:16 31232 --sh--r- C:\Windows\SysWOW64\msfDX.dll
2008-03-16 12:30:52 216064 --sh--r- C:\Windows\SysWOW64\nbDX.dll
.
============= FINISH: 14:23:18,03 ===============

.
UNLESS SPECIFICALLY INSTRUCTED, DO NOT POST THIS LOG.
IF REQUESTED, ZIP IT UP & ATTACH IT
.
DDS (Ver_2011-08-26.01)
.
Microsoft® Windows Vista™ Ultimate
Boot Device: \Device\HarddiskVolume1
Install Date: 17.09.2009 23:25:44
System Uptime: 06.02.2012 15:47:02 (23 hours ago)
.
Motherboard: ASUSTeK Computer INC. | | P7P55D
Processor: Intel(R) Core(TM) i5 CPU 750 @ 2.67GHz | LGA1156 | 2668/133mhz
.
==== Disk Partitions =========================
.
C: is FIXED (NTFS) - 466 GiB total, 129,829 GiB free.
D: is CDROM ()
.
==== Disabled Device Manager Items =============
.
Class GUID: {ff646f80-8def-11d2-9449-00105a075f6b}
Description: ezplay device ...
Device ID: ROOT\EZPLAY\0000
Manufacturer:
Name: ezplay device ...
PNP Device ID: ROOT\EZPLAY\0000
Service:
.
==== System Restore Points ===================
.
.
==== Installed Programs ======================
.
.
Activation Assistant for the 2007 Microsoft Office suites
Adobe AIR
Adobe Flash Player 10 ActiveX
Adobe Flash Player 11 Plugin
Adobe Photoshop Elements 6.0
Adobe Reader 9.1 - Deutsch
Aegisub 2.1.7
Amazon Kindle
Amazon MP3-Downloader 1.0.9
AOL Deinstallation
AOL Installations-Manager
Apple Application Support
Apple Software Update
ARMA 2 Operation Arrowhead Uninstall
ArmA2 Uninstall
Audacity 1.2.6
AVS Media Player 3.1
AVS Update Manager 1.0
AVS4YOU Software Navigator 1.3
Battlelords
BattlEye for OA Uninstall
BattlEye Uninstall
BI's Tools drive Uninstall
BinMake Uninstall
BinPBO Personal Edition Uninstall
Birth of the Empires 0.71
BlindWrite 6
CANON iMAGE GATEWAY MyCamera Download Plugin
CANON iMAGE GATEWAY Task for ZoomBrowser EX
Canon Internet Library for ZoomBrowser EX
Canon MOV Decoder
Canon MOV Encoder
Canon MovieEdit Task for ZoomBrowser EX
Canon Utilities Digital Photo Professional 3.9
Canon Utilities EOS Utility
Canon Utilities PhotoStitch
Canon Utilities Picture Style Editor
Canon Utilities WFT Utility
Canon Utilities ZoomBrowser EX
Canon ZoomBrowser EX Memory Card Utility
CDBurnerXP
CombineZP
DDS Converter 2.1
Deep Space Nine The Fallen
DVD Flick 1.3.0.7
DVDStyler v2.1
EVE Online (remove only)
EveHQ
Fraps
Freddy's Texture Patch BETA
Frontplatten Designer 3.51
FSM Editor Personal Edition Uninstall
GIMP 2.6.8
Google Chrome
Google Earth
Google Update Helper
Gothic
Gothic 2 Gold
Gothic 3
Gothic_Patch
Haskell Platform 2011.2.0.1
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)
Hotfix for Microsoft Visual C++ 2010 Express - DEU (KB2542054)
Icewind Dale II
ICQ Toolbar
ICQ6.5
IrfanView (remove only)
Java Auto Updater
Java(TM) 6 Update 30
JoJoThumb 2.11.0
LEGO Digital Designer
Medieval II Total War
Medieval II Total War : Kingdoms : Americas
Medieval II Total War : Kingdoms : Britannia
Medieval II Total War : Kingdoms : Crusades
Medieval II Total War : Kingdoms : Teutonic
Messenger Plus!
Microsoft .NET Framework 4 Multi-Targeting Pack
Microsoft Application Error Reporting
Microsoft Silverlight
Microsoft SQL Server Compact 3.5 SP2 DEU
Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053
Microsoft Visual C++ 2005 Redistributable
Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4974
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
Microsoft Visual C++ 2010 x86 Redistributable - 10.0.40219
Microsoft Visual C++ 2010 Express - DEU
Miranda IM 0.9.39
Morrowind
Mozilla Firefox 10.0 (x86 de)
NVIDIA PhysX
NVIDIA Stereoscopic 3D Driver
Oblivion
OpenOffice.org 3.1
Oxygen 2 Personal Edition Uninstall
PhotoME
Planescape - Torment
Platform
pyfa 1.0 nighty build
Qt Creator 1.3.0
Qt SDK 2010.05
QuickTime
RAD Video Tools
Realtek 8136 8168 8169 Ethernet Driver
RTC Client API v1.2
Saal Design Software
Security Update for CAPICOM (KB931906)
Security Update for Microsoft .NET Framework 3.5 SP1 (KB2657424)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2160841)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2446708)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2478663)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2518870)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2539636)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2572078)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2656351)
Security Update for Microsoft .NET Framework 4 Client Profile DEU Language Pack (KB2478663)
Security Update for Microsoft .NET Framework 4 Client Profile DEU Language Pack (KB2518870)
Security Update for Microsoft .NET Framework 4 Extended (KB2416472)
Security Update for Microsoft .NET Framework 4 Extended (KB2487367)
Security Update for Microsoft .NET Framework 4 Extended (KB2656351)
Security Update for Microsoft Visual C++ 2010 Express - DEU (KB2251489)
Skype Click to Call
Skype™ 5.5
Sound Tools Uninstall
SPEC Viewperf
Star Trek Armada II
Star Trek Armada II: Fleet Operations
Star Wars(tm) Knights of the Old Republic(tm) II: The Sith Lords(tm)
Steam
Stronghold Crusader Extreme
Sun(TM) Download Manager 2.0
SUPER © Version 2009.bld.36 (June 10, 2009)
SWI-Prolog (remove only)
Terragen 2 Free Edition
TES Construction Set
TexView 2 Uninstall
The Elder Scrolls V: Skyrim
ThielHater's Texturepatch v1.0.1
Third Age - Total War 2.0 (Part1of2)
Third Age - Total War 2.0 (Part2of2)
Third Age - Total War 3.0 (Part 1of2)
Third Age - Total War 3.0 (Part 2of2)
TypingMaster TypingTest
Unity Web Player (All users)
Update for Microsoft .NET Framework 3.5 SP1 (KB963707)
Update for Microsoft .NET Framework 4 Client Profile (KB2473228)
VDFManager v1.0.2
VIA Platform Device Manager
Viewpoint Media Player
Visitor 3 Uninstall
VLC media player 1.0.2
WinHTTrack Website Copier 3.44-1
Wippien 2.3
Wisdom-soft Set up ASR 3.1 Free
YouTube Downloader Toolbar v4.9
.
==== End Of File ===========================



Einige der als Installiert gemeldeten Programme sind schon funktionsuntüchtig gemacht, über die Jahre sammelt sich allerlei kram an.
Entschuldigung für die Unordnung.

Wie? Gute Frage. Ob? Vllt mit Glück. Man hat leider keinen Ansatz wann was genau "ausgeführt" wurde. Du schriebst was davon, dass es zu 95% Wahrscheinlichkeit wohl ein Bild war, in dem der mutmaßliche Hacker seinen Code abgeladen haben könnte? :wtf:
Nun gut Bilder sind nicht ausführbar, aber wenn der Code eine Schwachstelle in einem bestimmten Programm ausnutzt bingt die prinzipielle Nicht-Ausführbarkeit von Bildern da auch nichts.

Hast du schon mal Malwarebytes und ESET laufen lassen?

Danke fürs antworten.
Kaspersky findet nichts ausser ein paar möglichen Sicherheitslücken, das windows bordmittel findet gar nichts, ein paar andere onlinescans finden auch nichts. Malwarebytes läuft gerade für einen kompletten scan.
Die kritischen Daten auf dem System sind auf Backups auch vorhanden und die wichtigen Sachen die noch da waren hab ich gelöscht. Den Schaden durch ein Datenleck begrenzen. Natürlich würde ich gerne rausfinden ob und wenn ja was eingschleust wurde. Ob die Ursprungsdatei eines möglichen schädlings noch infiziert ist lässt sich kaum sagen. Vielleicht wars ja nur eine leere Drohung aber besser safe als sorry. Lasse noch ein paar Tests laufen, vielleicht ergibt sich ja da was. Noch irgendwelche Tipps?

Zeig erstmal die Logs von MBAM und ESET....

Eset findet manches. Interessant was eset findet das bei kaspersky nicht auffällt. Seltsam.

Eset
C:\Program Files (x86)\Application Updater\ApplicationUpdater.exe probably a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\Program Files (x86)\Common Files\Spigot\Search Settings\SearchSettings.exe a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\Program Files (x86)\Common Files\Spigot\wtxpcom\components\WidgiToolbarFF.dll a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting (after the next restart) - quarantined
C:\Program Files (x86)\Common Files\Spigot\wtxpcom\components\WidgiToolbarFF.dll.10 a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\Program Files (x86)\Common Files\Spigot\wtxpcom\components\WidgiToolbarFF.dll.5 a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\Program Files (x86)\Common Files\Spigot\wtxpcom\components\WidgiToolbarFF.dll.6 a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\Program Files (x86)\Common Files\Spigot\wtxpcom\components\WidgiToolbarFF.dll.7 a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\Program Files (x86)\Common Files\Spigot\wtxpcom\components\WidgiToolbarFF.dll.8 a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\Program Files (x86)\Common Files\Spigot\wtxpcom\components\WidgiToolbarFF.dll.9 a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\programsstandard\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced10stable\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced2\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced200350peacetimeicthebetterversionisicmod\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced3\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced37releasecandidate1\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced60releasecandidate2\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced95maybeunstable\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced95maybeunstablenukesareactive\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced96\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\programsstandard\hoi2003enhanced96nukeacti\Doomsday13\TNW_NTL_patch.exe a variant of Win32/HackTool.Patcher.A application cleaned by deleting - quarantined
C:\Users\MaxMustermann\AppData\Local\Temp\NOD950E.tmp a variant of Win32/Adware.Toolbar.Dealio application cleaned by deleting - quarantined
C:\Users\MaxMustermann\AppData\Local\TempDIR\BetterInstaller.exe Win32/Adware.Somoto.A application cleaned by deleting - quarantined
C:\Users\MaxMustermann\Downloads\Setup-MsgPlus-510.exe a variant of Win32/MessengerPlus.A application deleted - quarantined
C:\Users\MaxMustermann\Downloads\YouTubeDownloaderSetup34.exe a variant of Win32/Toolbar.Widgi application deleted - quarantined

Malwarebytes Anti-Malware (Test) 1.60.1.1000
www.malwarebytes.org

Datenbank Version: v2012.02.08.02

Windows Vista Service Pack 2 x64 NTFS
Internet Explorer 8.0.6001.19170
**** :: ***** [Administrator]

Schutz: Aktiviert

08.02.2012 14:53:39
mbam-log-2012-02-08 (14-53-39).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 1216009
Laufzeit: 3 Stunde(n), 18 Minute(n), 23 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Malwarebytes Anti-Malware (Test) 1.60.1.1000
www.malwarebytes.org

Datenbank Version: v2012.02.08.02

Windows Vista Service Pack 2 x64 NTFS
Internet Explorer 8.0.6001.19170
**** :: ***** [Administrator]

Schutz: Aktiviert

08.02.2012 14:52:11
mbam-log-2012-02-08 (14-52-11).txt

Art des Suchlaufs: Flash-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: Registrierung | Dateisystem | P2P
Durchsuchte Objekte: 168164
Laufzeit: 49 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

ESET ist "etwas" empfindlicher/hysterischer was Adware bzw. Toolbars angeht. Fast jede Toolbar wird als Adware eingestuft (garnicht mal zu Unrecht :D ) und dementsprechend auch die Setups von Programmen, da sie ja Toolbars huckepack transportieren ;)

Äh wasndas? :balla:

Die Datei NTL patch verändert die exe von hearts of iron 2 so dass sich das Spiel auch in andere epochen als den 2. Weltkrieg modden lässt. Das wird vom hersteller toleriert. Da es eine exe ändert wird es wohl als Virus erkannt, ist aber schon seit jahren da, naja, jetzt ist es weg. Die geänderte exe an sich ist nicht entdeckt worden, bei der meckerte mal eine antike version von norton.

Viele Grüße
Unixoidesdin

Moment mal, sprechen wir von einer Heim- oder Büroumgebung? :wtf:

Das lässt sich nicht trennen, beides.
Firefox hat mir heute ne Palette von "Sie möchten.... herunterladen" präsentiert. "search" von google, passierte beim eintippen aller suchbegriffe, vielleicht eine google instant fehlfunktion? Oder doch was sicherheitskritisches?
Ist noch nie vorher passiert.

Na ich find das schon etwas subobtimal so riskante Hacks auf einem Rechner auszuführen, den man auch beruflich einsetzt. Solche riskanten Spielereien kann man doch in einer VM oder auf einem anderen Rechner auslagern, meinst du nicht auch?

Falls du diesen angeblich gefährlichen Hearts of iron patch meinst, der wurde auf diesem rechner nie ausgeführt sondern nur mit rüberkopiert, hab ich auch irgendwo im quelltext. Der stammt von 2006 oder so und ist harmlos, auch wenn er von irgendwelchen paramilitärs geschrieben wurde.
Das Problem ist viel mehr dass da wo schadsoftware sein könnte von der ich nichts weiß.

Mir fällt noch etwas ein.
Die Dateien die ich von dem Bekannten erhalten habe und von denen laut "Hacker" eine oder mehrere präpariert waren wurden teils falsch angezeigt, Bildfehler wie z.B. Farbstich. Eine verkleinerte danach geschickte Version des gleichen Bilds wurde aber korrekt angezeigt. Könnte es sein dass Teile der änderung in den Bilddatenteil geschrieben wurden und als Farbwert fehlinterpretiert wurden, dann aber beim runtersaklieren verschwunden sind?
Verdächtig ist es jedenfalls.

Weiß ich nicht. Das ist wilde Spekulation.

Mach bitte ein neues OTL-Log. Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Setze oben mittig den Haken bei Scanne alle Benutzer
• Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox von OTL - wenn OTL auf deutsch ist wird sie mit http://larusso.trojaner-board.de/Images/otlfix.jpg beschriftet

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
• Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

Ich hoffe der Boardcode bindet das richtig ein.
Das Log: persönliches ist nach kontrolle mit ***censored*** ersetzt.


OTL Logfile:
--- --- ---

Schädlinge seh ich da nciht, aber etwas Müll würde ich rausschmeißen. Sollen wir das machen? Oder willste es dabei belassen? Weil du nun doch neu aufsetzt oder nicht? :wtf: