Trojaner-Board - Multipler Befall mit ZeroAccess, durch drive-by

Hallo, ich würde mich freuen wenn Ihr mir helfen könntet.

Vorgeschichte:

1. Vor über 2Jahren Verdacht auf conficker, entsprechende Registryblocker(?) installiert.
2. Vor ca. 1 Jahr beim surfen einen Rootkit aufgesackt, der von Avira erkannt wurde, danach eher halbherzige Maßnahmen mit TDSS Killer, Anti-Malwarebytes, Hijackthis, und Gmer durchgeführt
3. Vor 3 Tagen öffnet sich beim surfen auf einer Website plötzlich die Javakonsole, und verschiedene Aktivitäten wurden durchgeführt, kurz darauf springt Avira an und erkennt TR/Sirefef.BP.1
mit Versuchen diese zu löschen.

Anti-Malwarebytes update durchgeführt. Multipler Befall mit ZeroAccess Rootkit und anderen Trojanern. Erstmal nichts gelöscht. Rechner vom Netz genommen.

Zu Punkt 2. Es gibt ältere Gmer Logs.

Mir ist inzwischen klar, das meine Java-Version vermutlich veraltet ist und ich das System komplett neu aufsetzen muss und auch will. Ich möchte gerne mit eurer Hilfe
den Rootkit soweit unter Kontrolle halten, das ich meine Daten retten und meine USB Datenträger reinigen kann.

Die für diesen Post geforderten Aktionen wurden durchgeführt. Sowohl im genutzten UserLogin Bereich (Adminrechte). Als auch im Administratorbereich.

Gmer stürzt im gesicherten Modus - Adminbereich immer ab, wenn das Programm versucht \HarddiskVolume3 zu lesen (haben nur C: und D: Festplatte)

Achso ich habe vergessen Antivir auszuschalten beim Gmer Scan. Müssen die Festplatten nun beide angehakt oder abgehakt sein beim scan?

Gerade beim hochladen dieses Threads bemerkt. WLAN Verbindung aktiviert. Verbindung steht auf "Netzwerkadresse beziehen" mehrere kB Daten werden trotzdem ausgetauscht, trotzdem kann ich schon surfen. Komisch oder?

user-dds

Code:



.

DDS (Ver_2011-08-26.01) - NTFSx86 

Internet Explorer: 8.0.6001.18702  BrowserJavaVersion: 1.6.0_26

Run by *** at 18:14:23 on 2012-02-29

Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.2039.1527 [GMT 1:00]

.

AV: Avira Desktop *Enabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}

.

============== Running Processes ===============

.

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Avira\AntiVir Desktop\avshadow.exe

C:\WINDOWS\system32\svchost -k DcomLaunch

svchost.exe

C:\WINDOWS\System32\svchost.exe -k netsvcs

C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe

svchost.exe

svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

svchost.exe

C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe

C:\Programme\Bonjour\mDNSResponder.exe

C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\svchost.exe -k imgsvc

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\igfxsrvc.exe

C:\WINDOWS\system32\hkcmd.exe

C:\Programme\Elantech\ETDCtrl.exe

C:\Programme\Elantech\ETDDect.exe

C:\Programme\EeePC\ACPI\AsTray.exe

C:\WINDOWS\system32\igfxext.exe

C:\Programme\EeePC\ACPI\AsAcpiSvr.exe

C:\Programme\EeePC\ACPI\AsEPCMon.exe

C:\Programme\Vimicro\Vimicro USB PC Camera (VC0342)\VMonitor.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\*****online\Realtime\CodesServer.exe

C:\Programme\iTunes\iTunesHelper.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Plustek\OpticFilm 7600i\QuickScan.exe

C:\Programme\ASUS\EeePC\Super Hybrid Engine\SuperHybridEngine.exe

C:\PROGRA~1\PETROS~2\Realtime\Watchman.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\Programme\iPod\bin\iPodService.exe

.

============== Pseudo HJT Report ===============

.

uStart Page = hxxp://eeepc.asus.com/global

uInternet Settings,ProxyOverride = *.local

BHO: SSVHelper Class: {761497bb-d6f0-462c-b6eb-d4daf1d92d43} - c:\programme\java\jre6\bin\ssv.dll

uRun: [CTFMON.EXE] c:\windows\system32\ctfmon.exe

mRun: [IgfxTray] c:\windows\system32\igfxtray.exe

mRun: [HotKeysCmds] c:\windows\system32\hkcmd.exe

mRun: [Persistence] c:\windows\system32\igfxpers.exe

mRun: [ETDWare] c:\programme\elantech\ETDCtrl.exe

mRun: [ETDWareDetect] c:\programme\elantech\ETDDect.exe

mRun: [AsusTray] c:\programme\eeepc\acpi\AsTray.exe

mRun: [AsusACPIServer] c:\programme\eeepc\acpi\AsAcpiSvr.exe

mRun: [AsusEPCMonitor] c:\programme\eeepc\acpi\AsEPCMon.exe

mRun: [VMonitorvmuvc] "c:\programme\vimicro\vimicro usb pc camera (vc0342)\VMonitor.exe" vmuvc

mRun: [RTHDCPL] RTHDCPL.EXE

mRun: [Alcmtr] ALCMTR.EXE

mRun: [CodesServer] c:\programme\*****online\realtime\CodesServer.exe

mRun: [AppleSyncNotifier] c:\programme\gemeinsame dateien\apple\mobile device support\AppleSyncNotifier.exe

mRun: [APSDaemon] "c:\programme\gemeinsame dateien\apple\apple application support\APSDaemon.exe"

mRun: [SunJavaUpdateSched] "c:\programme\java\jre6\bin\jusched.exe"

mRun: [QuickTime Task] "c:\programme\quicktime\QTTask.exe" -atboottime

mRun: [iTunesHelper] "c:\programme\itunes\iTunesHelper.exe"

mRun: [avgnt] "c:\programme\avira\antivir desktop\avgnt.exe" /min

dRun: [CTFMON.EXE] c:\windows\system32\CTFMON.EXE

StartupFolder: c:\dokume~1\alluse~1\startm~1\progra~1\autost~1\quicks~1.lnk - c:\programme\plustek\opticfilm 7600i\QuickScan.exe

StartupFolder: c:\dokume~1\alluse~1\startm~1\progra~1\autost~1\superh~1.lnk - c:\programme\asus\eeepc\super hybrid engine\SuperHybridEngine.exe

IE: add to &BOM - c:\\progra~1\\biet-o~1\\\\AddToBOM.hta

IE: Senden an &Bluetooth-Gerät... - c:\programme\widcomm\bluetooth software\btsendto_ie_ctx.htm

IE: Senden an Bluetooth - c:\programme\widcomm\bluetooth software\btsendto_ie.htm

IE: {CCA281CA-C863-46ef-9331-5C8D4460577F} - c:\programme\widcomm\bluetooth software\btsendto_ie.htm

IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\programme\messenger\msmsgs.exe

IE: {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - {CAFEEFAC-0016-0000-0026-ABCDEFFEDCBC} - c:\programme\java\jre6\bin\ssv.dll

LSP: mswsock.dll

DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} - hxxp://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1240910291921

DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} - hxxp://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1240910276578

DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab

DPF: {CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab

DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab

TCP: Interfaces\{01CA8A78-4EB4-4A02-BC8E-5359F9E0CFC3} : DhcpNameServer = 193.254.160.1 10.74.83.22

Notify: igfxcui - igfxdev.dll

SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:\windows\system32\WPDShServiceObj.dll

.

================= FIREFOX ===================

.

FF - ProfilePath - c:\dokumente und einstellungen\***\anwendungsdaten\mozilla\firefox\profiles\73x339nf.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.google.de

FF - plugin: c:\programme\java\jre6\bin\new_plugin\npdeployJava1.dll

FF - plugin: c:\programme\mozilla firefox\plugins\npdeployJava1.dll

.

---- FIREFOX POLICIES ----

FF - user.js: yahoo.homepage.dontask - true

============= SERVICES / DRIVERS ===============

.

R1 avkmgr;avkmgr;c:\windows\system32\drivers\avkmgr.sys [2011-12-27 36000]

R2 AntiVirSchedulerService;Avira Planer;c:\programme\avira\antivir desktop\sched.exe [2011-12-27 86224]

R2 AntiVirService;Avira Echtzeit Scanner;c:\programme\avira\antivir desktop\avguard.exe [2011-12-27 110032]

R2 avgntflt;avgntflt;c:\windows\system32\drivers\avgntflt.sys [2009-4-28 74640]

S2 aaaaanonficker;aaaaanonficker;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 AGV;Pdlndoem;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 avfilter;Psasrv;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 avgarcln;Bc_ngn;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 avgascln;Konfig;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 avgclean;Bc_ip_f;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 ccpwdsvc;Sfrem01;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 CTMMOUNT;MA8032U;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 fsssvc;Wltwo51b;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 gpzgush;Config Image;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 ikfileflt;Service;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 kl1;F700iat;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 LMIRfsDriver;TMBMServer;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 LRMINIPORT;GTWModem;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 mctaskmanager;WNCPKT;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 mfeavfk;Avg7rsw;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 ofcservice;WINFLASH;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 pavatscheduler;Mqdmmdfl;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 RAPIProtocol;Adobeactivefilemonitor5.0;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 symantecantibotfilter;Giveio;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 symantecantibotshim;Crystaloutputfileserver;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S2 veteboot;Bhmonitorservice;c:\windows\system32\svchost.exe -k netsvcs [2008-8-11 14336]

S3 C6U12Scanner;1200 USB Still Image Device Service;c:\windows\system32\drivers\usbscan.sys [2009-7-21 15104]

S3 Netaapl;Apple Mobile Device Ethernet Service;c:\windows\system32\drivers\netaapl.sys [2011-6-12 18432]

S3 RT80x86;Ralink 802.11n Wireless Driver;c:\windows\system32\drivers\rt2860.sys [2008-8-13 625024]

S3 VMUVC;Vimicro Camera Service VMUVC;c:\windows\system32\drivers\VMUVC.sys [2010-5-12 251904]

S3 vvftUVC;Vimicro Camera Filter Service VMUVC;c:\windows\system32\drivers\vvftUVC.sys [2010-5-12 398720]

.

=============== Created Last 30 ================

.

2012-02-27 12:16:11        0        --sha-w-        c:\windows\system32\dds_log_trash.cmd

2012-02-27 12:13:51        --------        d-sh--w-        c:\dokumente und einstellungen\***\lokale einstellungen\anwendungsdaten\71121435

2012-02-20 13:08:51        626688        ----a-w-        c:\programme\mozilla firefox\msvcr80.dll

2012-02-20 13:08:51        548864        ----a-w-        c:\programme\mozilla firefox\msvcp80.dll

2012-02-20 13:08:51        479232        ----a-w-        c:\programme\mozilla firefox\msvcm80.dll

2012-02-20 13:08:51        45016        ----a-w-        c:\programme\mozilla firefox\mozutils.dll

2012-02-17 20:56:41        --------        dc-h--w-        c:\windows\ie8

2012-02-14 20:55:56        3072        -c----w-        c:\windows\system32\dllcache\iacenc.dll

2012-02-14 20:55:56        3072        ------w-        c:\windows\system32\iacenc.dll

2012-02-12 11:52:51        --------        d-----w-        c:\programme\Google SketchUp 8

.

==================== Find3M  ====================

.

2012-01-12 17:20:28        1860096        ----a-w-        c:\windows\system32\win32k.sys

2011-12-17 19:43:23        916992        ----a-w-        c:\windows\system32\wininet.dll

2011-12-17 19:43:23        43520        ----a-w-        c:\windows\system32\licmgr10.dll

2011-12-17 19:43:23        1469440        ----a-w-        c:\windows\system32\inetcpl.cpl

2011-12-16 12:22:58        385024        ----a-w-        c:\windows\system32\html.iec

2011-12-10 14:24:06        20464        ----a-w-        c:\windows\system32\drivers\mbam.sys

2009-02-11 13:50:54        4935680        ------w-        c:\programme\SF Universal Launcher.exe

2008-05-07 14:34:00        15523560        ----a-w-        c:\programme\U1 Setup.exe

.

============= FINISH: 18:15:28,73 ===============

user-GMER

Code:



GMER 1.0.15.15641 - hxxp://www.gmer.net

Rootkit scan 2012-03-01 08:16:38

Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 ST9160310AS rev.0303

Running: 0w2fmuxo.exe; Driver: C:\DOKUME~1\***\LOKALE~1\Temp\pgtdqpoc.sys
 
 

---- System - GMER 1.0.15 ----
 

SSDT                                                                                                                                  BA6B51F4                                                                                                         ZwClose

SSDT                                                                                                                                  BA6B51FE                                                                                                         ZwCreateSection

SSDT                                                                                                                                  BA6B51A4                                                                                                         ZwCreateThread

SSDT                                                                                                                                  BA6B51EF                                                                                                         ZwDuplicateObject

SSDT                                                                                                                                  BA6B5190                                                                                                         ZwOpenProcess

SSDT                                                                                                                                  BA6B5195                                                                                                         ZwOpenThread

SSDT                                                                                                                                  BA6B5217                                                                                                         ZwQueryValueKey

SSDT                                                                                                                                  BA6B5208                                                                                                         ZwRequestWaitReplyPort

SSDT                                                                                                                                  BA6B5203                                                                                                         ZwSetContextThread

SSDT                                                                                                                                  BA6B520D                                                                                                         ZwSetSecurityObject

SSDT                                                                                                                                  BA6B5212                                                                                                         ZwSystemDebugControl

SSDT                                                                                                                                  BA6B519F                                                                                                         ZwTerminateProcess
 

INT 0x06                                                                                                                              \??\C:\WINDOWS\system32\drivers\Haspnt.sys (HASP Kernel Device Driver for Windows NT/Aladdin Knowledge Systems)  A94EC16D

INT 0x0E                                                                                                                              \??\C:\WINDOWS\system32\drivers\Haspnt.sys (HASP Kernel Device Driver for Windows NT/Aladdin Knowledge Systems)  A94EBFC2
 

---- Kernel code sections - GMER 1.0.15 ----
 

.text                                                                                                                                 ipsec.sys                                                                                                        A8F00300 166 Bytes  [90, 90, 90, 90, 90, 90, 90, ...]

.text                                                                                                                                 ipsec.sys                                                                                                        A8F003A7 144 Bytes  JMP A8F020E3 \SystemRoot\system32\DRIVERS\ipsec.sys (IPSec Driver/Microsoft Corporation)

.text                                                                                                                                 ipsec.sys                                                                                                        A8F00438 30 Bytes  [41, 02, 00, 00, 8B, 48, 60, ...]

.text                                                                                                                                 ipsec.sys                                                                                                        A8F00457 52 Bytes  [A8, FF, 15, 04, F9, F0, A8, ...]

.text                                                                                                                                 ipsec.sys                                                                                                        A8F0048C 65 Bytes  [8B, 45, F8, 8B, 38, 8B, 45, ...]

.text                                                                                                                                 ...                                                                                                              

.INIT                                                                                                                                 C:\WINDOWS\system32\DRIVERS\ipsec.sys                                                                            entry point in ".INIT" section [0xA8F0E678]

?                                                                                                                                     C:\WINDOWS\system32\DRIVERS\ipsec.sys                                                                            suspicious PE modification

.text                                                                                                                                 C:\WINDOWS\system32\drivers\hardlock.sys                                                                         section is writeable [0xA83CB400, 0x87EE2, 0xE8000020]

.protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".p" section [0xA846F620]  C:\WINDOWS\system32\drivers\hardlock.sys                                                                         entry point in ".protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".p" section [0xA846F620]

.protectÿÿÿÿhardlockunknown last code section [0xA846F400, 0x5126, 0xE0000020]                                                        C:\WINDOWS\system32\drivers\hardlock.sys                                                                         unknown last code section [0xA846F400, 0x5126, 0xE0000020]

?                                                                                                                                     C:\DOKUME~1\***\LOKALE~1\Temp\mbr.sys                                                                          Das System kann die angegebene Datei nicht finden. !
 

---- Devices - GMER 1.0.15 ----
 

AttachedDevice                                                                                                                        \FileSystem\Fastfat \Fat                                                                                         fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
 

---- Modules - GMER 1.0.15 ----
 

Module                                                                                                                                (noname) (*** hidden *** )                                                                                       BA2E8000-BA2F7000 (61440 bytes)                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                  
 

---- Threads - GMER 1.0.15 ----
 

Thread                                                                                                                                System [4:380]                                                                                                   89F89540

Thread                                                                                                                                System [4:384]                                                                                                   89F89540
 

---- Registry - GMER 1.0.15 ----
 

Reg                                                                                                                                   HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost@netsvcs                                                aaaaanonficker?6to4?AppMgmt?AudioSrv?Browser?CryptSvc?DMServer?DHCP?ERSvc?EventSystem?FastUserSwitchingCompatibility?HidServ?Ias?Iprip?Irmon?LanmanServer?LanmanWorkstation?Messenger?Netman?Nla?Ntmssvc?NWCWorkstation?Nwsapagent?Rasauto?maxbackserviceint?Dfs?aexnsclient?ROOTUSB?EU3_USB?U81xbus?zebrceb?tomcatcws3?imap4d32?ctljystk?mcp?lvsrvlauncher?emclisrv?s3savagenb?USB11LDR?interactivelogon?noipducservice?USBCamera?JGOGO?dwmrcs?ftpqueue?https-admserv61?USB_NDIS_51?tosrfnds?issimon?dptrackerd?se58obex?pcx1nd5?veteboot?ofcservice?VirtualCam?X4HSX32?RivaTuner32?ipodsrv?vmauthdservice?rt73?LUsbFilt?ageresoftmodem?s125mdfl?wampmysqld?rt2500usb?Intels51?tbhsd?openldap-slapd?ziptoa?A88xXBar?isdrv120?cwcwdm?3combootp?orbmediaservice?monfilt?tsircsrv?c-dillasrv?vxsvc?iaimfp3?ibmsmbus?spbbcdrv?prosync1?kodakccs?amfilter?sbp2port?sbhooksvc?hprfdev?mail2ec?MegaSR?avgarcln?pdlnatdl?SRVLOC?TMBUS?de_serv?elockservice?roxwatch9?vpcnets2?tangoservice?dashsvc?ROB_A?agnwifi?sfhlp02?dklogger?RIOXDRV?w550mdm?svv?Wpsnuio?amoagent
 

---- Files - GMER 1.0.15 ----
 

File                                                                                                                                  C:\WINDOWS\system32\fsaa.dll                                                                                     5120 bytes executable

File                                                                                                                                  C:\WINDOWS\system32\SRTSP.dll                                                                                    5120 bytes executable

File                                                                                                                                  C:\WINDOWS\system32\vnxservice.dll                                                                               5120 bytes executable

File                                                                                                                                  C:\WINDOWS\system32\proxyhostservice.dll                                                                         5120 bytes executable

File                                                                                                                                  C:\WINDOWS\system32\alim1541.dll                                                                                 5120 bytes executable

File                                                                                                                                  C:\WINDOWS\system32\lmimaint.dll                                                                                 5120 bytes executable

File                                                                                                                                  C:\WINDOWS\system32\LMIRfsClientNP.dll                                                                           5120 bytes executable

File                                                                                                                                  C:\WINDOWS\system32\symantecantibotfilter.dll                                                                    5120 bytes executable

File                                                                                                                                  C:\WINDOWS\system32\sysaudio.dll                                                                                 5120 bytes executable

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229                                                                       0 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\@                                                                     2048 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\L                                                                     0 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\L\ytadpswn                                                            75264 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\loader.tlb                                                            2632 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U                                                                     0 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U\@00000001                                                           45968 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U\@000000c0                                                           2560 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U\@000000cb                                                           3072 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U\@000000cf                                                           1536 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U\@80000000                                                           73216 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U\@800000c0                                                           43520 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U\@800000cb                                                           25600 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\1897010229\U\@800000cf                                                           31232 bytes

File                                                                                                                                  C:\WINDOWS\$NtUninstallKB39640$\274459751                                                                        0 bytes
 

---- EOF - GMER 1.0.15 ----

Vielen Dank schonmal