Trojaner-Board - Entfernung Live Security Platinum

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Entfernung Live Security Platinum (https://www.trojaner-board.de/124411-entfernung-live-security-platinum.html)

Sagmal ist das eigentlich ein Büro-Rechner?
Du hast ein eine Professional Edition von Windows und ein CS5 drauf, das ist für Privatanwender rel. teure Software!

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

FF - user.js - File not found

O4 - HKU\S-1-5-21-3116581633-292937149-348431909-1000..\Run: []  File not found

O4 - HKU\S-1-5-21-3116581633-292937149-348431909-1000..\Run: [AdobeBridge]  File not found

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]

MsConfig - StartUpFolder: C:^Users^lothar^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OpenOffice.org 3.2.lnk -  - File not found

SafeBootMin: 50212813.sys - Driver

SafeBootNet: 50212813.sys - Driver

:Files

C:\ProgramData\036E192F03DCB4C260AE46CFF875EF7E

C:\Users\lothar\AppData\Local\{*

ipconfig /flushdns /c

:Commands

[purity]

[emptytemp]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Nee is mein privater Rechner. Bildbearbeitung interessiert mich, deshalb ist etwas von der CS5 installiert.

Code:

All processes killed

========== OTL ==========

Registry value HKEY_USERS\S-1-5-21-3116581633-292937149-348431909-1000\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.

Registry value HKEY_USERS\S-1-5-21-3116581633-292937149-348431909-1000\Software\Microsoft\Windows\CurrentVersion\Run\\AdobeBridge deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!

C:\autoexec.bat moved successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\StartUpFolder\C:^Users^lothar^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OpenOffice.org 3.2.lnk\ deleted successfully.

C:\Windows\pss\OpenOffice.org 3.2.lnk.Startup moved successfully.

Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\50212813.sys\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\50212813.sys\ deleted successfully.

========== FILES ==========

C:\ProgramData\036E192F03DCB4C260AE46CFF875EF7E folder moved successfully.

C:\Users\lothar\AppData\Local\{046465AB-D78B-4C0F-B16E-34965E5B02D8} folder moved successfully.

C:\Users\lothar\AppData\Local\{05AF3F6D-5114-44D1-AD9C-CDB667D95F4B} folder moved successfully.

C:\Users\lothar\AppData\Local\{0AD3CCDB-D3C0-4D61-9E4D-2A6BA3328B5C} folder moved successfully.

C:\Users\lothar\AppData\Local\{14382669-0CEB-4021-9D5B-A0BFB48C3EB1} folder moved successfully.

C:\Users\lothar\AppData\Local\{19AC820D-1AE3-4131-B72C-4B71EA02B1CB} folder moved successfully.

C:\Users\lothar\AppData\Local\{1C157800-5721-428A-A301-92A03B1D9A26} folder moved successfully.

C:\Users\lothar\AppData\Local\{2AA48005-A6AD-419C-A74A-D65BF7FCE3ED} folder moved successfully.

C:\Users\lothar\AppData\Local\{2BB760ED-8E3B-476F-8670-90A34394938B} folder moved successfully.

C:\Users\lothar\AppData\Local\{2D205F75-5C51-41C2-92A7-502DA02B397A} folder moved successfully.

C:\Users\lothar\AppData\Local\{38D6E43D-6CF2-4B68-BDC3-25BFDA41A1D2} folder moved successfully.

C:\Users\lothar\AppData\Local\{3A8E1AD6-D857-43FD-A2D0-7AF661CA2814} folder moved successfully.

C:\Users\lothar\AppData\Local\{41E863C8-19F0-41B8-8C9A-43182BFFA8FD} folder moved successfully.

C:\Users\lothar\AppData\Local\{41F82B8A-8B3A-4497-ADFE-9281BA3DDE3C} folder moved successfully.

C:\Users\lothar\AppData\Local\{48535A7E-2CF2-4013-93A1-1578B6864BEC} folder moved successfully.

C:\Users\lothar\AppData\Local\{4878F5A1-8A1D-4B14-8579-A1BCB05A5295} folder moved successfully.

C:\Users\lothar\AppData\Local\{4C5C6BCE-9967-438F-82C2-473BEE323E6A} folder moved successfully.

C:\Users\lothar\AppData\Local\{4F4813CE-F8A2-4B81-913E-042A8A5E1F0B} folder moved successfully.

C:\Users\lothar\AppData\Local\{50B32ABA-4488-4DBF-9E72-8197E3AD718D} folder moved successfully.

C:\Users\lothar\AppData\Local\{53C85F3A-D923-419C-9811-54789C9E513C} folder moved successfully.

C:\Users\lothar\AppData\Local\{58E68A00-BB69-4740-BF21-78729A65C55B} folder moved successfully.

C:\Users\lothar\AppData\Local\{5D5BE788-517E-47DB-A3C3-20ABC48A6632} folder moved successfully.

C:\Users\lothar\AppData\Local\{60626ED3-2C2A-4A7A-A3CD-ECAF247AA478} folder moved successfully.

C:\Users\lothar\AppData\Local\{6B8E03A0-331E-404D-BE0B-906DCFE47DDA} folder moved successfully.

C:\Users\lothar\AppData\Local\{6F6A2807-4266-41ED-B68F-F59A5B78F70E} folder moved successfully.

C:\Users\lothar\AppData\Local\{7417247E-E0BC-4C0E-B1B8-12F2195F1399} folder moved successfully.

C:\Users\lothar\AppData\Local\{7806597F-EC34-4B90-A337-6974E7AD1C57} folder moved successfully.

C:\Users\lothar\AppData\Local\{7EFFEBCA-10AB-46CD-9A8D-EDBD7A6F4F8B} folder moved successfully.

C:\Users\lothar\AppData\Local\{8670A2D4-ED96-4E69-8480-D15E4E44E873} folder moved successfully.

C:\Users\lothar\AppData\Local\{8F474C1B-99F1-47F7-A2FD-1DB66FD42348} folder moved successfully.

C:\Users\lothar\AppData\Local\{921D7B77-0562-429C-B894-178C46461BB6} folder moved successfully.

C:\Users\lothar\AppData\Local\{93878204-0FE5-437E-99ED-DF6A770C219C} folder moved successfully.

C:\Users\lothar\AppData\Local\{96F4EF8E-CFED-41B0-9947-E225D461BA9A} folder moved successfully.

C:\Users\lothar\AppData\Local\{9CA25365-8B06-45EC-8C1B-247A40E19DF9} folder moved successfully.

C:\Users\lothar\AppData\Local\{A24EEE9F-7752-4DFC-B118-3BD731A81A99} folder moved successfully.

C:\Users\lothar\AppData\Local\{AA2B6DAF-BC66-408F-A54B-EBACEB191681} folder moved successfully.

C:\Users\lothar\AppData\Local\{AFF942CD-6234-4024-902B-B6FCC0E2F647} folder moved successfully.

C:\Users\lothar\AppData\Local\{B5EAD3E6-2795-495E-BC49-371C54F9BE94} folder moved successfully.

C:\Users\lothar\AppData\Local\{B92B8448-0A1E-4622-82E4-3DCEF0BCBD9D} folder moved successfully.

C:\Users\lothar\AppData\Local\{BFB768B4-FC5F-4C7B-8CCD-F28931B904ED} folder moved successfully.

C:\Users\lothar\AppData\Local\{C26F6D4E-BD98-439A-90CF-3E737B095A1B} folder moved successfully.

C:\Users\lothar\AppData\Local\{CE0907E6-782F-47B0-92E5-AF185880C7B2} folder moved successfully.

C:\Users\lothar\AppData\Local\{DF76ECD5-BBB7-4C7F-81E2-AC9A978F9FE9} folder moved successfully.

C:\Users\lothar\AppData\Local\{E1A020F8-0AD3-48F5-A3D2-5F8E71B9338A} folder moved successfully.

C:\Users\lothar\AppData\Local\{E4A72C58-9AAF-4F1A-B236-6E51E29E67CD} folder moved successfully.

C:\Users\lothar\AppData\Local\{E885C50E-355F-405C-A2C1-C9B7A31DE4E4} folder moved successfully.

C:\Users\lothar\AppData\Local\{E8C924B1-965E-42F9-9AF8-74E8D8002BC1} folder moved successfully.

C:\Users\lothar\AppData\Local\{F2DA674B-1CD2-47E3-8555-C01FA5551202} folder moved successfully.

C:\Users\lothar\AppData\Local\{F3201425-D949-4887-97BC-9EB8734BEED3} folder moved successfully.

C:\Users\lothar\AppData\Local\{F3C32301-2E45-4117-963A-83EE40DE95D2} folder moved successfully.

C:\Users\lothar\AppData\Local\{F7A10261-CE2C-49C4-BA21-6B581E1BA6D9} folder moved successfully.

C:\Users\lothar\AppData\Local\{F855FF93-5F14-4E1D-B19B-83C587694844} folder moved successfully.

C:\Users\lothar\AppData\Local\{F998CBA4-768C-4E3D-AB45-715CEFC3D5AD} folder moved successfully.

C:\Users\lothar\AppData\Local\{F9C6157E-DDCC-4D41-A5FA-3BDA707DCF92} folder moved successfully.
 < ipconfig /flushdns /c >

Windows-IP-Konfiguration

Der DNS-Aufl”sungscache wurde geleert.

C:\Users\lothar\Desktop\cmd.bat deleted successfully.

C:\Users\lothar\Desktop\cmd.txt deleted successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 56466 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: lothar

->Temp folder emptied: 11477663677 bytes

->Temporary Internet Files folder emptied: 10110232 bytes

->Java cache emptied: 14899540 bytes

->FireFox cache emptied: 73777063 bytes

->Apple Safari cache emptied: 65778688 bytes

->Flash cache emptied: 177452 bytes

 

User: Public

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 139506052 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 11.236,00 mb

 

C:\Windows\System32\drivers\etc\Hosts moved successfully.

HOSTS file reset successfully

 

OTL by OldTimer - Version 3.2.68.0 log created on 09272012_193038
 

Files\Folders moved on Reboot...

C:\Windows\temp\vmware-SYSTEM\vmware-usbarb-SYSTEM-1960.log moved successfully.
 

PendingFileRenameOperations files...
 

Registry entries deleted on Reboot...

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Das ComboFix Log ist als .7z angehängt, da es die max Länge von 120000 Zeichen übersteigt und die unkomprimierte Datei zu groß für den upload war.

So wie ich das log interpretiere war die Datei C:\Windows\system32\user32.dll betroffen.

Das Log ist leider unvollständig

Habe Combofix noch einmal ausgeführt. Diesmal ist das Log ausführlicher.

Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Noch ein Hinweis: Sollte aswMBR abstürzen und es kommt eine Meldung wie "aswMBR.exe funktioniert nicht mehr, dann mach Folgendes:
Starte aswMBR neu, wähle unten links im Drop-Down-Menü (unten links im Fenster von aswMBR) bei "AV scan" (none) aus und klick nochmal auf den Scan-Button.

Das GMER log ist dieses:

Code:

GMER 1.0.15.15641 - hxxp://www.gmer.net

Rootkit scan 2012-10-01 22:39:24

Windows 6.1.7601 Service Pack 1 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-3 FUJITSU_MHZ2320BH_G2 rev.8909

Running: fkkxigy6.exe; Driver: C:\Users\lothar\AppData\Local\Temp\fgkiqkow.sys
 
 

---- System - GMER 1.0.15 ----
 

SSDT            8EAA83D6                                                                                           ZwCreateSection

SSDT            8EAA83E0                                                                                           ZwRequestWaitReplyPort

SSDT            8EAA83DB                                                                                           ZwSetContextThread

SSDT            8EAA83E5                                                                                           ZwSetSecurityObject

SSDT            8EAA83EA                                                                                           ZwSystemDebugControl

SSDT            8EAA8377                                                                                           ZwTerminateProcess
 

---- Kernel code sections - GMER 1.0.15 ----
 

.text           ntkrnlpa.exe!ZwRollbackEnlistment + 140D                                                           830933C9 1 Byte  [06]

.text           ntkrnlpa.exe!KiDispatchInterrupt + 5A2                                                             830CCD52 19 Bytes  [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}

.text           ntkrnlpa.exe!KeRemoveQueueEx + 11F7                                                                830D3EAC 4 Bytes  [D6, 83, AA, 8E]

.text           ntkrnlpa.exe!KeRemoveQueueEx + 1553                                                                830D4208 4 Bytes  [E0, 83, AA, 8E]

.text           ntkrnlpa.exe!KeRemoveQueueEx + 1597                                                                830D424C 4 Bytes  [DB, 83, AA, 8E]

.text           ntkrnlpa.exe!KeRemoveQueueEx + 1613                                                                830D42C8 4 Bytes  [E5, 83, AA, 8E]

.text           ntkrnlpa.exe!KeRemoveQueueEx + 1667                                                                830D431C 4 Bytes  [EA, 83, AA, 8E]

.text           ...                                                                                                
 

---- User IAT/EAT - GMER 1.0.15 ----
 

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipAlloc]                    [74A624CB] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusStartup]               [74A4562E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusShutdown]              [74A456EC] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipFree]                     [74A62546] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDeleteGraphics]           [74A585AA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDisposeImage]             [74A54D5E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageWidth]            [74A55105] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageHeight]           [74A551DA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromHBITMAP]  [74A56707] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateFromHDC]            [74A58301] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetCompositingMode]       [74A58850] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetInterpolationMode]     [74A590B1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDrawImageRectI]           [74A5E254] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

IAT             C:\Windows\Explorer.EXE[2472] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCloneImage]               [74A54C90] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17825_none_72d273598668a06b\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
 

---- Devices - GMER 1.0.15 ----
 

AttachedDevice  \Driver\kbdclass \Device\KeyboardClass0                                                            VMkbd.sys
 

Device          \Driver\usbohci \Device\USBPDO-0                                                                   hcmon.sys

Device          \Driver\usbehci \Device\USBPDO-1                                                                   hcmon.sys

Device          \Driver\usbhub \Device\USBPDO-3                                                                    hcmon.sys
 

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume1                                                             fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume1                                                             rdyboost.sys (ReadyBoost Driver/Microsoft Corporation)
 

Device          \Driver\usbhub \Device\00000084                                                                    hcmon.sys

Device          \Driver\usbhub \Device\00000085                                                                    hcmon.sys

Device          \Driver\ACPI_HAL \Device\0000005e                                                                  halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation)

Device          \Driver\usbohci \Device\USBFDO-0                                                                   hcmon.sys

Device          \Driver\usbehci \Device\USBFDO-1                                                                   hcmon.sys
 

---- Registry - GMER 1.0.15 ----
 

Reg             HKLM\SYSTEM\CurrentControlSet\services\BTHPORT\Parameters\Keys\001e37eb7d1d                        

Reg             HKLM\SYSTEM\ControlSet002\services\BTHPORT\Parameters\Keys\001e37eb7d1d (not active ControlSet)    
 

---- EOF - GMER 1.0.15 ----

Das OSAM log ist dieses:

Code:

Report of OSAM: Autorun Manager v5.0.11926.0

hxxp://www.online-solutions.ru/en/

Saved at 22:54:57 on 01.10.2012
 

OS: Windows 7  Service Pack 1 (Build 7601), 32-bit

Default Browser: Mozilla Corporation Firefox 15.0.1
 

Scanner Settings

[x] Rootkits detection (hidden registry)

[x] Rootkits detection (hidden files)

[x] Retrieve files information

[x] Check Microsoft signatures
 

Filters

[ ] Trusted entries

[ ] Empty entries

[x] Hidden registry entries (rootkit activity)

[x] Exclusively opened files

[x] Not found files

[x] Files without detailed information

[x] Existing files

[ ] Non-startable services

[ ] Non-startable drivers

[x] Active entries

[x] Disabled entries
 
 

[Common]

-----( %SystemRoot%\Tasks )-----

"Adobe Flash Player Updater.job" - "Adobe Systems Incorporated" - C:\Windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe
 

[Control Panel Objects]

-----( %SystemRoot%\system32 )-----

"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\Windows\system32\FlashPlayerCPLApp.cpl

"nvcpl.cpl" - "NVIDIA Corporation" - C:\Windows\system32\nvcpl.cpl

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----

"QuickTime" - "Apple Inc." - C:\Program Files\QuickTime\QTSystem\QuickTime.cpl
 

[Drivers]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"avgntflt" (avgntflt) - "Avira GmbH" - C:\Windows\System32\DRIVERS\avgntflt.sys

"avipbb" (avipbb) - "Avira GmbH" - C:\Windows\System32\DRIVERS\avipbb.sys

"avkmgr" (avkmgr) - "Avira GmbH" - C:\Windows\System32\DRIVERS\avkmgr.sys

"catchme" (catchme) - ? - C:\Users\lothar\AppData\Local\Temp\catchme.sys  (File not found)

"fgkiqkow" (fgkiqkow) - ? - C:\Users\lothar\AppData\Local\Temp\fgkiqkow.sys  (Hidden registry entry, rootkit activity | File not found)

"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\Windows\System32\DRIVERS\ssmdrv.sys

"truecrypt" (truecrypt) - "TrueCrypt Foundation" - C:\Windows\System32\drivers\truecrypt.sys

"VMware hcmon" (hcmon) - "VMware, Inc." - C:\Windows\system32\drivers\hcmon.sys

"VMware kbd" (vmkbd) - "VMware, Inc." - C:\Windows\system32\drivers\VMkbd.sys

"VMware Network Application Interface" (VMnetuserif) - "VMware, Inc." - C:\Windows\system32\drivers\vmnetuserif.sys

"VMware vmci" (vmci) - "VMware, Inc." - C:\Windows\system32\Drivers\vmci.sys

"VMware vmx86" (vmx86) - "VMware, Inc." - C:\Windows\system32\Drivers\vmx86.sys

"Vstor2 WS60 Virtual Storage Driver" (vstor2-ws60) - "VMware, Inc." - C:\Program Files\VMware\VMware Player\vstor2-ws60.sys
 

[Explorer]

-----( HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----

{FB314ED9-A251-47B7-93E1-CDD82E34AF8B} "DropboxExt" - ? -   (File not found | COM-object registry key not found)

{FB314EDA-A251-47B7-93E1-CDD82E34AF8B} "DropboxExt" - ? -   (File not found | COM-object registry key not found)

{FB314EDB-A251-47B7-93E1-CDD82E34AF8B} "DropboxExt" - ? -   (File not found | COM-object registry key not found)

{FB314EDC-A251-47B7-93E1-CDD82E34AF8B} "DropboxExt" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----

{16148659-720A-457d-850B-2DBD87BB129D} "AudibleShlExt Class" - "Audible, Inc." - C:\Program Files\Audible\Bin\AudibleExt.dll

{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\PDFShell.dll

{30351349-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

-----( HKLM\Software\Classes\Protocols\Handler )-----

{E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} "Album Download IE Asynchronous Pluggable Protocol Interface" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\AlbumDownloadProtocolHandler.dll

{5B290518-830E-4C57-A66B-E4F748900C27} "DB2XMLPlugProt Class" - "Microsoft Corporation" - C:\Program Files\Microsoft\SMIME Client (2010)\mimectl.dll

{FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

{828030A1-22C1-4009-854F-8E305202313F} "livecall" - "Microsoft Corporation" - C:\Program Files\Windows Live\Messenger\msgrapp.dll

{828030A1-22C1-4009-854F-8E305202313F} "msnim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Messenger\msgrapp.dll

{91774881-D725-4E58-B298-07617B9B86A8} "Skype IE add-on Pluggable Protocol" - "Skype Technologies S.A." - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----

{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - C:\Program Files\7-Zip\7-zip.dll

{16148659-720A-457d-850B-2DBD87BB129D} "AudibleShlExt Class" - "Audible, Inc." - C:\Program Files\Audible\Bin\AudibleExt.dll

{4CF20B46-D006-4B90-A64B-DBAA9470EFBE} "ContextMenuHandler Class" - "Brice Lambson" - C:\Program Files\Image Resizer\ImageResizer.dll

{A70C977A-BF00-412C-90B7-034C51DA2439} "DesktopContext Class" - "NVIDIA Corporation" - C:\Windows\system32\nvcpl.dll

{AE424E85-F6DF-4910-A6A9-438797986431} "LibreOffice Property Handler" - "The Document Foundation" - C:\Program Files\LibreOffice 3.5\program\shlxthdl\propertyhdl.dll

{3D1975AF-48C6-4f8e-A182-BE0E08FA86A9} "NVIDIA CPL Context Menu Extension" - "NVIDIA Corporation" - C:\Windows\system32\nvshext.dll

{FFB699E0-306A-11d3-8BD1-00104B6F7516} "NVIDIA CPL Extension" - "NVIDIA Corporation" - C:\Windows\system32\nvcpl.dll

{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\shlext.dll

{30351346-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{30351347-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{30351348-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{30351349-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{3035134A-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{3035134B-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{3035134C-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{3035134D-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{3035134E-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{3035134F-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{30351350-7B7D-4FCC-81B4-1E394CA267EB} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\TortoiseSVN\bin\TortoiseStub.dll

{C5994560-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{C5994561-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{C5994562-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{C5994563-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{C5994564-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{C5994565-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{C5994566-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{C5994567-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{C5994568-53D9-4125-87C9-F193FC689CB2} "TortoiseSVN" - "hxxp://tortoisesvn.net" - C:\Program Files\Common Files\TortoiseOverlays\TortoiseOverlays.dll

{2BE99FD4-A181-4996-BFA9-58C5FFD11F6C} "Windows Live Photo Gallery Autoplay Drop Target" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\WLXPhotoGallery.exe

{00F30F64-AC33-42F5-8FD1-5DC2D3FDE06C} "Windows Live Photo Gallery Editor Drop Target" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\WLXPhotoGallery.exe

{00F3712A-CA79-45B4-9E4D-D7891E7F8B9D} "Windows Live Photo Gallery Editor Shim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll

{00F30F90-3E96-453B-AFCD-D71989ECC2C7} "Windows Live Photo Gallery Viewer Autoplay Shim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll

{00F33137-EE26-412F-8D71-F84E4C2C6625} "Windows Live Photo Gallery Viewer Autoplay Shim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll

{00F374B7-B390-4884-B372-2FC349F2172B} "Windows Live Photo Gallery Viewer Drop Target" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\WLXPhotoGallery.exe

{00F346CB-35A4-465B-8B8F-65A29DBAB1F6} "Windows Live Photo Gallery Viewer Shim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll

{06A2568A-CED6-4187-BB20-400B8C02BE5A} "{06A2568A-CED6-4187-BB20-400B8C02BE5A}" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\WLXPhotoAcquireWizard.exe
 

[Internet Explorer]

-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----

ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----

{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_21" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\jp2iexp.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab

{CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} "Java Plug-in 1.6.0_21" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\jp2iexp.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab

{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_21" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\npjpi160_21.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----

{898EA8C8-E7FF-479B-8935-AEC46303B9E5} "Skype Click to Call" - "Skype Technologies S.A." - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----

{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\jp2ssv.dll

{AE805869-2E5C-4ED4-8F7B-F1F7851A4497} "Skype Browser Helper" - "Skype Technologies S.A." - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll

{9030D464-4C02-4ABF-8ECC-5164760863C6} "Windows Live ID Sign-in Helper" - "Microsoft Corp." - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
 

[LSA Providers]

-----( HKLM\SYSTEM\CurrentControlSet\Control\Lsa )-----

"Security Packages" - "Microsoft Corp." - C:\Windows\system32\livessp.dll
 

[Logon]

-----( %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup )-----

"desktop.ini" - ? - C:\Users\lothar\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini

-----( %AllUsersProfile%\Microsoft\Windows\Start Menu\Programs\Startup )-----

"ColorVisionStartup.lnk" - "ColorVision Inc." - C:\Program Files\ColorVision\Utility\ColorVisionStartup.exe  (Shortcut exists | File exists)

"desktop.ini" - ? - C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----

"avgnt" - "Avira Operations GmbH & Co. KG" - "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
 

[Print Monitors]

-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----

"eDocPortMonitor" - "May Software" - C:\Windows\system32\eDocPort.dll
 

[Services]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"Adobe Flash Player Update Service" (AdobeFlashPlayerUpdateSvc) - "Adobe Systems Incorporated" - C:\Windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe

"Apache2.2" (Apache2.2) - "Apache Software Foundation" - C:\Program Files\Apache Software Foundation\Apache2.2\bin\httpd.exe

"Avira Echtzeit Scanner" (AntiVirService) - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

"Avira Planer" (AntiVirSchedulerService) - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\sched.exe

"Cyberlink RichVideo Service(CRVS)" (RichVideo) - ? - C:\Program Files\CyberLink\Shared files\RichVideo.exe

"Freemake Improver" (Freemake Improver) - "Freemake" - C:\ProgramData\Freemake\FreemakeUtilsService\FreemakeUtilsService.exe

"Internet Pass-Through Service" (PassThru Service) - ? - C:\Program Files\HTC\Internet Pass-Through\PassThruSvr.exe

"Microsoft .NET Framework NGEN v4.0.30319_X86" (clr_optimization_v4.0.30319_32) - "Microsoft Corporation" - C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe

"Mozilla Maintenance Service" (MozillaMaintenance) - "Mozilla Foundation" - C:\Program Files\Mozilla Maintenance Service\maintenanceservice.exe

"MySQL" (MySQL) - ? - C:\Program Files\MySQL\MySQL Server 5.1\bin\mysqld.exe  (File found, but it contains no detailed information)

"NVIDIA Display Driver Service" (nvsvc) - "NVIDIA Corporation" - C:\Windows\system32\nvvsvc.exe

"ServiceLayer" (ServiceLayer) - "Nokia" - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

"Skype Updater" (SkypeUpdate) - "Skype Technologies" - C:\Program Files\Skype\Updater\Updater.exe

"SwitchBoard" (SwitchBoard) - "Adobe Systems Incorporated" - C:\Program Files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe

"VMware Agent Service" (ufad-ws60) - "VMware, Inc." - C:\Program Files\VMware\VMware Player\vmware-ufad.exe

"VMware Authorization Service" (VMAuthdService) - "VMware, Inc." - C:\Program Files\VMware\VMware Player\vmware-authd.exe

"VMware DHCP Service" (VMnetDHCP) - "VMware, Inc." - C:\Windows\system32\vmnetdhcp.exe

"VMware NAT Service" (VMware NAT Service) - "VMware, Inc." - C:\Windows\system32\vmnat.exe

"VMware USB Arbitration Service" (VMUSBArbService) - "VMware, Inc." - C:\Program Files\Common Files\VMware\USB\vmware-usbarbitrator.exe

"Windows Live ID Sign-in Assistant" (wlidsvc) - "Microsoft Corp." - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
 

[Winsock Providers]

-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries )-----

"WindowsLive Local NSP" - "Microsoft Corp." - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDNSP.DLL

"WindowsLive NSP" - "Microsoft Corp." - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDNSP.DLL

-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries )-----

"VMCI sockets DGRAM" - "VMware, Inc." - C:\Program Files\VMware\VMware Player\vsocklib.dll

"VMCI sockets STREAM" - "VMware, Inc." - C:\Program Files\VMware\VMware Player\vsocklib.dll
 

===[ Logfile end ]=========================================[ Logfile end ]===
 

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

Das aswMBR log ist dieses:

Code:

aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software

Run date: 2012-10-01 23:05:06

-----------------------------

23:05:06.907    OS Version: Windows 6.1.7601 Service Pack 1

23:05:06.907    Number of processors: 2 586 0x6802

23:05:06.907    ComputerName: LOTHAR-LAPTOPHP  UserName: lothar

23:05:07.921    Initialize success

23:20:47.230    AVAST engine defs: 12100100

23:24:43.952    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-3

23:24:43.952    Disk 0 Vendor: FUJITSU_MHZ2320BH_G2 8909 Size: 305245MB BusType: 3

23:24:43.967    Disk 0 MBR read successfully

23:24:43.967    Disk 0 MBR scan

23:24:43.999    Disk 0 unknown MBR code

23:24:43.999    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS            305244 MB offset 63

23:24:44.014    Disk 0 scanning sectors +625139775

23:24:44.092    Disk 0 scanning C:\Windows\system32\drivers

23:24:44.092    Service scanning

23:27:14.835    Modules scanning

23:27:16.208    Disk 0 trace - called modules:

23:27:16.255    ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys halmacpi.dll ataport.SYS pciide.sys PCIIDEX.SYS atapi.sys 

23:27:16.270    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x8658a400]

23:27:16.769    3 CLASSPNP.SYS[8b20459e] -> nt!IofCallDriver -> [0x860b7888]

23:27:16.769    5 ACPI.sys[8b2333d4] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP2T0L0-3[0x860b3030]

23:27:17.565    AVAST engine scan C:\Windows

23:27:17.596    AVAST engine scan C:\Windows\system32

23:27:17.596    AVAST engine scan C:\Windows\system32\drivers

23:27:17.612    AVAST engine scan C:\Users\lothar

23:27:17.612    AVAST engine scan C:\ProgramData

23:27:17.627    Scan finished successfully

23:27:41.870    Disk 0 MBR has been saved successfully to "C:\Users\lothar\Desktop\MBR.dat"

23:27:41.870    The log file has been saved successfully to "C:\Users\lothar\Desktop\aswMBR.txt"

Wir sollten den MBR fixen, sichere für den Fall der Fälle ALLE wichtigen Daten, auch wenn meistens alles glatt geht.

Hinweis: Mach bitte NICHT den MBR-Fix, wenn du noch andere Betriebssysteme wie zB Ubuntu installiert hast, ein MBR-Fix mit Windows-Tools macht ein parallel installiertes (Dualboot) Linux unbootbar.
Mach den Fix auch dann nicht, wenn du zB mit TrueCrypt oder anderen Verschlüsselungsprogrammen eine Vollverschlüsselung der Windowspartition bzw. gesamten Festplatte hast

Starte nach der Datensicherung aswmbr erneut und klick auf den Button FIXMBR.

Hinweis: Bitte den Virenscanner abstellen bevor du aswMBR ausführst, denn v.a. Avira meldet darin oft einen Fehalalrm!

Anschließend Windows neu starten und ein neues Log mit aswMBR machen.

Zitat:

Mach den Fix auch dann nicht, wenn du zB mit TrueCrypt oder anderen Verschlüsselungsprogrammen eine Vollverschlüsselung der Windowspartition bzw. gesamten Festplatte hast

Das ist bei mir der Fall. Die gesamte Festplatte ist per TrueCrypt verschlüselt.

Dann lass den Fix sein

Wir sollten fast durch sein. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Das Malwarebytes Anti-Malware Log:

Code:

Malwarebytes Anti-Malware 1.65.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.10.07.03
 

Windows 7 Service Pack 1 x86 NTFS

Internet Explorer 9.0.8112.16421

lothar :: [Administrator]
 

07.10.2012 15:17:06

mbam-log-2012-10-07 (15-17-06).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 586231

Laufzeit: 3 Stunde(n), 56 Minute(n), 41 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

Das SASW log:

Code:

SUPERAntiSpyware Scan Log

hxxp://www.superantispyware.com
 

Generated 10/07/2012 at 11:18 PM
 

Application Version : 5.5.1022
 

Core Rules Database Version : 9354

Trace Rules Database Version: 7166
 

Scan type       : Complete Scan

Total Scan Time : 02:17:58
 

Operating System Information

Windows 7 Professional 32-bit, Service Pack 1 (Build 6.01.7601)

UAC On - Limited User
 

Memory items scanned      : 754

Memory threats detected   : 0

Registry items scanned    : 37631

Registry threats detected : 0

File items scanned        : 123783

File threats detected     : 10
 

Adware.Tracking Cookie

        C:\Users\lothar\AppData\Roaming\Microsoft\Windows\Cookies\XTBTAW9S.txt [ /adfarm1.adition.com ]

        C:\Users\lothar\AppData\Roaming\Microsoft\Windows\Cookies\ZX6LF619.txt [ /apmebf.com ]

        C:\Users\lothar\AppData\Roaming\Microsoft\Windows\Cookies\68AUD28B.txt [ /fastclick.net ]

        C:\Users\lothar\AppData\Roaming\Microsoft\Windows\Cookies\HMDOSSMI.txt [ /mediaplex.com ]

        C:\Users\lothar\AppData\Roaming\Microsoft\Windows\Cookies\30TAK2EH.txt [ /ad1.adfarm1.adition.com ]

        C:\USERS\LOTHAR\Cookies\ZX6LF619.txt [ Cookie:lothar@apmebf.com/ ]

        C:\USERS\LOTHAR\Cookies\68AUD28B.txt [ Cookie:lothar@fastclick.net/ ]

        C:\USERS\LOTHAR\Cookies\HMDOSSMI.txt [ Cookie:lothar@mediaplex.com/ ]

        C:\USERS\LOTHAR\Cookies\30TAK2EH.txt [ Cookie:lothar@ad1.adfarm1.adition.com/ ]
 

Trojan.Agent/Gen-Sisproc

        C:\USERS\LOTHAR\DOCUMENTS\SOFTWARE\DIGITALFOTO\2007_10\FSCOMMAND\SETUP_SHOCKVIEW.EXE

Alle Threats die SASW gefunden hat, habe ich in Quarantäne geschickt. Cookies können sowieso gelöscht werden. Die SETUP_SHOCKVIEW.EXE aus einer Softwaresammlung die auf einer Software CD der Zeitschrift Digitalfoto dabei war, konnte auch gelöscht werden.

Code:

UAC On - Limited User

Wie hast du sasw gestartet? Einfach per Doppelklick? Oder so wie es in der Anleitung steht?

Zitat:

Zitat von cosinus (Beitrag 324870)

Teil 2: Programm ausführen
Das Programm wurde nun installiert, eine Verknüpfung auf dem Desktop sollte erstellt worden sein. Nachdem du es gestartet hast, wird es sich erstmalig beim Updateserver nach neuen Schädlingssignaturen umsehen und Updates installieren. Diesen Vorgang NICHT abbrechen!

Benutzer mit Windows Vista und Windows 7 starten das Tool bitte wieder per Rechtsklick => als Administrator ausführen!

Offensichtlich hatte ich es per Doppelklick installiert und gestartet.

Dann habe ich es mit Administrator Rechten installiert und gestartet und dieses Log wurde erstellt:

Code:

SUPERAntiSpyware Scan Log

hxxp://www.superantispyware.com
 

Generated 10/10/2012 at 00:41 AM
 

Application Version : 5.5.1022
 

Core Rules Database Version : 9369

Trace Rules Database Version: 7181
 

Scan type       : Complete Scan

Total Scan Time : 03:04:12
 

Operating System Information

Windows 7 Professional 32-bit, Service Pack 1 (Build 6.01.7601)

UAC On - Administrator
 

Memory items scanned      : 737

Memory threats detected   : 0

Registry items scanned    : 37758

Registry threats detected : 0

File items scanned        : 123677

File threats detected     : 0

Sieht ok aus, da wurden nur Cookies gefunden, die können alle weg, der angebliche Fund bei SETUP_SHOCKVIEW.EXE ist ein imho Fehlalarm.

Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller http://filepony.de/download-cookie_culler/
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ich halte es so, dass ich zum "wilden Surfen" den Opera-Browser oder Chromium unter meinem Linux verwende. Mein Hauptbrowser (Firefox) speichert nur die Cookies von den Sites die ich auch will, alles andere lehne ich manuell ab (der FF fragt mich immer) - die anderen Browser nehmen alles an Cookies zwar an, aber spätestens beim nächsten Start von Opera oder Chromium sind keine Cookies mehr da.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?