Trojaner-Board - Bundestrojaner o.ä.

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Bundestrojaner o.ä. - weisser Bildschirm (https://www.trojaner-board.de/134214-bundestrojaner-o-ae-weisser-bildschirm.html)

Bundestrojaner o.ä. - weisser Bildschirm

Liebes Board,
ich habe mir vermeintlich den Bundestrojaner oder etwas ähnliches eingefangen. Jedenfalls wir der Bildschrim auf meiner Dell-Kiste, Windows 7, 64-bit Version nach der Anmeldung weiss und ich habe keine Chance mehr, aufs System zuzugreifen. Auch der Task Manager reagiert nicht mehr. Überschreiben des Registry-Shell Eintrags im WinLogon mit "Explorer.exe" führt zu nichts, da nach einem Neustart wieder "cmd.exe /k start cmd.exe" drin steht.

Ich habe bereits ein Log mit FRST64.exe erstellt, den ich hier gerne poste.

Code:

Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 27-04-2013 07

Ran by SYSTEM on 27-04-2013 22:22:42

Running from E:\

WIN_7 Service Pack 1 (X64) OS Language: English(US)

Boot Mode: RecoveryAttention: Could not load system hive.

Attention: System hive is missing.
 

==================== Registry (Whitelisted) ==================
 

Attention: Software hive is missing.
 

ATTENTION: Software hive is not loaded.
 

BootExecute: 
 

==================== Services (Whitelisted) =================
 
 

==================== Drivers (Whitelisted) ====================
 
 

==================== NetSvcs (Whitelisted) ===================
 
 

==================== One Month Created Files and Folders ========
 
 

==================== One Month Modified Files and Folders =======
 
 

==================== Known DLLs (Whitelisted) ================
 
 

==================== Bamital & volsnap Check =================
 

C:\Windows\System32\winlogon.exe IS MISSING <==== ATTENTION!.

C:\Windows\System32\wininit.exe IS MISSING <==== ATTENTION!.

C:\Windows\SysWOW64\wininit.exe IS MISSING <==== ATTENTION!.

C:\Windows\explorer.exe IS MISSING <==== ATTENTION!.

C:\Windows\SysWOW64\explorer.exe IS MISSING <==== ATTENTION!.

C:\Windows\System32\svchost.exe IS MISSING <==== ATTENTION!.

C:\Windows\SysWOW64\svchost.exe IS MISSING <==== ATTENTION!.

C:\Windows\System32\services.exe IS MISSING <==== ATTENTION!.

C:\Windows\System32\User32.dll IS MISSING <==== ATTENTION!.

C:\Windows\SysWOW64\User32.dll IS MISSING <==== ATTENTION!.

C:\Windows\System32\userinit.exe IS MISSING <==== ATTENTION!.

C:\Windows\SysWOW64\userinit.exe IS MISSING <==== ATTENTION!.

C:\Windows\System32\Drivers\volsnap.sys IS MISSING <==== ATTENTION!.

C:\Windows\system32\codeintegrity\Bootcat.cache IS MISSING <==== ATTENTION!.

C:\Windows\System32\winsrv.dll IS MISSING <==== ATTENTION!.
 

==================== EXE ASSOCIATION =====================
 

HKLM\...\.exe:  <===== ATTENTION!

HKLM\...\exefile\DefaultIcon:  <===== ATTENTION!

HKLM\...\exefile\open\command:  <===== ATTENTION!
 

==================== Restore Points  =========================
 
 

==================== Memory info =========================== 
 

Percentage of memory in use: 12%

Total physical RAM: 3977.01 MB

Available physical RAM: 3474.81 MB

Total Pagefile: 3975.21 MB

Available Pagefile: 3457.85 MB

Total Virtual: 8192 MB

Available Virtual: 8191.89 MB
 

==================== Drives ================================
 

Drive e: (ROTZEK) (Removable) (Total:3.74 GB) (Free:3.16 GB) FAT32 (Disk=1 Partition=1)

Drive x: (Boot) (Fixed) (Total:0.03 GB) (Free:0.03 GB) NTFS

Drive y: (BDEDrive) (Fixed) (Total:0.29 GB) (Free:0.09 GB) NTFS (Disk=0 Partition=2) ==>[System with boot components (obtained from reading drive)]
 

  Disk ###  Status         Size     Free     Dyn  Gpt

  --------  -------------  -------  -------  ---  ---

  Disk 0    Online          298 GB    11 MB         

  Disk 1    Online         3840 MB      0 B         
 

Partitions of Disk 0:

===============
 

Disk ID: 6850967B
 

  Partition ###  Type              Size     Offset

  -------------  ----------------  -------  -------

  Partition 1    Primary            297 GB  1024 KB

  Partition 2    Primary            300 MB   297 GB
 

==================================================================================
 

Disk: 0

Partition 1

Type  : 07

Hidden: No

Active: No
 

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info

  ----------  ---  -----------  -----  ----------  -------  ---------  --------

* Volume 0     D                Unkno  Partition    297 GB  Healthy            
 

=========================================================
 

Disk: 0

Partition 2

Type  : 07

Hidden: No

Active: Yes
 

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info

  ----------  ---  -----------  -----  ----------  -------  ---------  --------

* Volume 1     Y   BDEDrive     NTFS   Partition    300 MB  Healthy            
 

=========================================================
 

Partitions of Disk 1:

===============
 

Disk ID: C3072E18
 

  Partition ###  Type              Size     Offset

  -------------  ----------------  -------  -------

  Partition 1    Primary           3839 MB    16 KB
 

==================================================================================
 

Disk: 1

Partition 1

Type  : 0C

Hidden: No

Active: Yes
 

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info

  ----------  ---  -----------  -----  ----------  -------  ---------  --------

* Volume 2     E   ROTZEK       FAT32  Removable   3839 MB  Healthy            
 

=========================================================

============================== MBR & Partition Table ==================
 

====================================================================

Disk: 0 (MBR Code: Windows 7 or 8) (Size: 298 GB) (Disk ID: 6850967B)

Partition 1: (Not Active) - (Size=298 GB) - (Type=07) (NTFS)

Partition 2: (Active) - (Size=300 MB) - (Type=07) (NTFS)
 

====================================================================

Disk: 1 (Size: 4 GB) (Disk ID: C3072E18)

Partition 1: (Active) - (Size=4 GB) - (Type=0C)
 

==================== End Of Log ============================

Übrigens habe ich vor ein paar Minuten das Ganze schon an LEO per PN geschrieben. Bis ich gemerkt habe, dass es eine PN ist, habe ichs schon abgeschickt. Ich hoffe, dass ich deshalb keine allzu große Verwirrung gestiftet habe und mir trotzdem irgendwer helfen kann und will :-)

Ihr seid wirklich mmeine letzte Hilfe, bitte helft mir aus der Patsche! Vielen Dank und Grüße von Rolexralle

Hi,

dieses FRST-Log hilft leider auch noch nicht weiter...
Funktioniert der abgesicherte Modus mit Eingabeaufforderung noch, so dass du dort auf das schwarze Konsolenfenster kommst?

Hallo zusammen,

habe jetzt schonmal die OTLPE ausgeführt. Musste allerdings direkt die .exe vom Stick starten, da er keine Windows-Installatioon über das "Browse Folder" Menü gefunden hat...

Anbei die Scans. Hoffentlich kann mir jemand helfen! Danke!

Hallo,

sorry, habe eben erst gesehen, dass ich eine Antwort bekommen hab! :-) Ja, ich komm über den abgesicherten Modus an ein DOS-Fenster und kann auch in die Registry etc.

Viele Grüße,
Rolexralle

Kannst du die OTLpe-Logs bitte noch schnell in Code-Tags posten?
(Die Logfiles bitte nicht anhängen (das erschwert mir das Auswerten massiv), sondern deren Inhalt direkt innerhalb von Codetags einfügen: [code]Inhalt Logfile[/code].)
Danke.

Code:

OTL Extras logfile created on: 4/28/2013 6:47:33 PM - Run 

OTLPE by OldTimer - Version 3.1.48.0     Folder = X:\PROGRAMS\OTLPE

Microsoft Windows XP  (Version = 5.1.2600) - Type = System

Internet Explorer (Version = 6.0.2800.2180)

Locale: 00000409 | Country: United States | Language: ENU | Date Format: M/d/yyyy

 

3.00 Gb Total Physical Memory | 3.00 Gb Available Physical Memory | 93.00% Memory free

3.00 Gb Paging File | 3.00 Gb Available in Paging File | 98.00% Paging File free

Paging file location(s): NUL: 0 0 [binary data]

 

%SystemDrive% = X: | %SystemRoot% = X:\minint | %ProgramFiles% = C:\Program Files

Drive C: | 300.00 Mb Total Space | 100.45 Mb Free Space | 33.48% Space Free | Partition Type: NTFS

Drive X: | 3.75 Gb Total Space | 3.35 Gb Free Space | 89.31% Space Free | Partition Type: FAT

 

Computer Name: REATOGO | User Name: SYSTEM

Boot Mode: Normal | Scan Mode: All users

Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days

Using ControlSet: ControlSet001

 
 ========== Extra Registry (SafeList) ==========

 

 
 ========== File Associations ==========

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]

.chm [@ = chm.file] -- X:\minint\System32\HH.EXE (Microsoft Corporation)

.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*

.hlp [@ = helpfile] -- X:\minint\winhlp32.exe (Microsoft Corporation)

.html [@ = htmlfile] -- X:\minint\iexplore.exe (Microsoft Corporation)

.url [@ = InternetShortcut] -- rundll32.exe shdocvw.dll,OpenURL %l

 
 ========== Shell Spawning ==========

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]

batfile [open] -- "%1" %*

chm.file [open] -- hh.exe %1 (Microsoft Corporation)

cmdfile [open] -- "%1" %*

comfile [open] -- "%1" %*

cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*

exefile [open] -- "%1" %*

helpfile [open] -- %SystemRoot%\winhlp32.exe %1 (Microsoft Corporation)

htmlfile [edit] -- Reg Error: Key error.

htmlfile [open] -- "X:\minint\iexplore.exe" -nohome (Microsoft Corporation)

htmlfile [opennew] -- "X:\minint\iexplore.exe" %1 (Microsoft Corporation)

htmlfile [print] -- rundll32.exe mshtml.dll,PrintHTML "%1"

http [open] -- "X:\minint\iexplore.exe" -nohome (Microsoft Corporation)

https [open] -- "X:\minint\iexplore.exe" -nohome (Microsoft Corporation)

InternetShortcut [open] -- rundll32.exe shdocvw.dll,OpenURL %l

InternetShortcut [print] -- rundll32.exe mshtml.dll,PrintHTML "%1"

piffile [open] -- "%1" %*

regfile [merge] -- Reg Error: Key error.

scrfile [config] -- "%1"

scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l

scrfile [open] -- "%1" /S

txtfile [edit] -- Reg Error: Key error.

Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1

Directory [cmd] -- cmd.exe /k cd %L (Microsoft Corporation)

Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)

Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)

Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)

Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)

Applications\iexplore.exe [open] -- "X:\minint\iexplore.exe" %1 (Microsoft Corporation)

CLSID\{871C5380-42A0-1069-A2EA-08002B30309D} [OpenHomePage] -- "X:\minint\iexplore.exe" (Microsoft Corporation)

 
 ========== Security Center Settings ==========

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]

"FirstRunDisabled" = 1

 
 ========== Firewall Settings ==========

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]

"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007

"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008

"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004

"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005

"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001

"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]

"EnableFirewall" = 0

"DisableNotifications" = 1

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]

"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007

"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008

"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004

"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005

"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001

"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002

 
 ========== Authorized Applications List ==========

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]

"%windir%\system32\sessmgr.exe" = %windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

"%windir%\system32\sessmgr.exe" = %windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019

 

 

< End of report >

...hmmm, die OTL.txt will er mir nicht einbetten... Zu groß vielleicht?

Dann pack die OTL.txt bitte in ein zip-Archiv (nicht *.7z) und hänge sie an.

Ok, hier als .zip.

Vielen Dank übrigens für deine Mühen! Und das am Sonntag!

Das ist wieder nix...
Noch ein anderer Versuch:

Schritt 1

Lade dir auf einem Zweitrechner bitte OTL (von Oldtimer) herunter und speichere es auf einen USB-Stick (nicht in einen Unterordner!).

Schliesse diesen USB-Stick nun an den infizierten Rechner an.
Starte den infizierten Computer in den abgesicherten Modus mit Eingabeaufforderung. (Anleitung)
In der Kommandozeile gib nun notepad ein und drücke Enter.
- Es öffnet sich ein Textdokument. Klicke auf Datei -> Speichern unter und wähle Arbeitsplatz.
- Lese hier nun den Laufwerksbuchstaben deines USB Sticks (z.B. e:\) ab.
- Schliesse Notepad wieder.
Gib nun bitte folgenden Befehl in die Kommandozeile ein und drücke Enter:
e:\OTL.exe
Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks. Wenn es bei dir ein anderer Buchstabe ist, dann passe den Befehl entsprechend an.
Es sollte sich nun das Fenster von OTL öffnen.
Unter Extra Registry, wähle bitte Use SafeList.
Setze den Haken bei Scan all Users.
Klicke nun auf Run Scan.
Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) angezeigt und auf den USB-Stick gespeichert.
Poste bitte auf dem Zweitrechner den Inhalt dieser Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort:

Logs von OTL

Habe ich probiert, bekomme dann aber in der Eingabeaufforderung die Meldung:

"The subsystem needed to support the image type is not present".

Was nun?

Irgendwas ist da ziemlich verbogen.
Was hast du zuvor schon auf eigene Faust alles gemacht gehabt?

Bislang gar nihcts, ausser in der WinLogon Shell mehrmals den Wert mit "Explorer.exe" überschriebenchDas wars... Ansonsten kann ich ja nicht wirklich viel machen, da ich nur in die eingabeaufforderung komme..

Glaubst du denn, dass ich wenigstens noch an meine daten komme, um die irgendwie zu sichern?

Kann ich in der Zwischenzeit noch irgend etwas anderes probieren? Immerhin kann ich ja vom Stick booten und somit ggf. noch ein anderes Scan-Tool o.ä. laufen lassen?!

Hallo Leo,
kann ich heute noch mit einer Lösung rechnen, was meinst du? Ich muss heute noch verreisen und habe daher noch ca. 2 h Zeit, was zu machen. Dann erst wieder ab ca. 21:00 Uhr... Würde mich sehr freuen, von Dir zu hören. Vielen Dank!

Hallo,

wenn es bei dir wirklich eilt, dann schau mal, ob du ein Linux Live-System booten kannst (über CD oder bootbaren USB-Stick) und so deine Daten auf ein externes Speichermedium sichern kannst: http://www.trojaner-board.de/82533-d...ted-magic.html

Naja,
wann eilt es schon nicht... :-) Ich benötige eben die wichtigsten Daten morgen Früh wieder zum Arbeiten. Daher wäre mir schon sehr geholfen, wenn ich wenigstens den Teil der Arbeit schonmal weg hätte. Ok, ihc werde die Variante mit Linux testen.
Nochmals: vielen herzlichen Dank für deine Unterstützung und ich hoffe, dass Du trotzdem noch eine Lösung findest, wie ich den rechner wieder in Gang bringe.

Beste Grüße,
Rolexralle

Und am besten sicherst du mit dem Linux-System grad alle deine Daten, nicht nur die paar wichtigsten, so dass du keine Daten verlieren würdest, wenn der Rechner nicht mehr hochkommt.
Denn irgendwas ist hier krumm.. Du hast OTL auch wirklich im abgesicherten Modus zu starten versucht und nicht im Reperaturmodus wie FRST?

Vielleicht zur Erklärung: ich starte den Rechner im abgesicherten Modus mit Eingabeaufforderung. Dann wird ein Recovery Key verlangt, dden ich nicht habe. Wenn ich hier esc drücke, komm ich in den Reparatur-Modus, den ich aber gleich mit cancel abbreche. Wenn ich das getan habe, kommt ein Fenster mit verschiedenen Reparatur-Möglichkeiten etc. und unter anderem eben mit der Möglichkeit, den DOS Modus zu starten. Das ist bislang die einzige Möglichkeit, in den Eingabemodus zu gelangen. Was anderes funktioniert nicht, leider. Ist dies vielleicht ein "falscher" Modus, was kann ich denn sonst noch versuchen?
Werde jetzt die Linux-Nummer angehen.

Grüße,
Rolexralle

Das sieht unerfreulich aus.
Sichere jetzt wie gesagt mal alle deine Daten, danach sehen wir weiter.

Ok, ich melde mich wieder, wenn ich die Daten im trockenen habe! Vielen Dank!

...hmmm, srry, dass ich schon wieder ankomme... Also ich hab die Linux-Installation efolgreich durchgebracht. habe jetzt den Desktop vor mir, allerdings kein Icon "My Documents", sondern nur "File Manager". Hier habe ich mehrere Auswahlen: sda1, sda2 (BDEDrive) und db1. Nirgends sind Daten da und wenn ich die sda1 anklicke, kommt ein Fehler "udevil: errr64: unable to determine device fstype - specify with -t"...
Ich kann damit leider überhaupt nichts anfangen, wo muss ich denn hin, um an meine Daten zu kommen? Entschuldige nochmals, aber ich komm da echt nicht mehr weiter...

Im Partition Editor bekomme ich für die sda1 die Meldung:
"Warning! Unable to detect file system! Possible reasons are: the file system is damaged/unknown to GParted/no file system available (unformatted)/device/entry /dev/sda1 is missing".
Vielleicht hilft dir das weiter?!

Status: Not mounted. Da es 297.79 GiB sind, könnte es vielleicht sein, dass das meine Partition ist?

So, also ich habe nun immerhin mal den USB-Stick unter Linux erkannt. Allerdings sind sämtliche Ordner auf dem System leer. Ich komme somit leider nicht an meine Daten, oder zumindest weiß ich nicht, wie.

So, das nennt man dann also Kapitulation!
Ich kann nicht mehr, ich komm nicht weiter, keine Spur von meinen Daten, keine Ergebnisse der Scans... Seit zwei Tagen nur DOS-Fenster und Booten, bis der Arzt kommt... Solls echt so enden?

Das war leider zu befürchten, der Griff nach dem Strohhalm ging ins Leere.. :(

Zitat:

Status: Not mounted. Da es 297.79 GiB sind, könnte es vielleicht sein, dass das meine Partition ist?

Das ist sie, ja.

Zitat:

So, das nennt man dann also Kapitulation!
Solls echt so enden?

Noch nicht aufgeben. Ich frage intern um Hilfe an, wie man das noch retten kann.
Um nochmals klar zu gehen: Du hast auf dieser Festplatte wichtige Daten drauf, von welchen du kein externes Backup besitzt, korrekt?

Bitte mach in der Zwischenzeit keine weiteren Rettungsversuche auf gut Glück. Wenn du nicht wirklich weisst, was du tust, kannst du unter Umständen mehr Schaden als Nutzen anrichten.

Ok, ich weiß ja eh nicht, was noch zu machen wäre. Ja, es sind im Wesentlichen Daten, die ich in den letzten Tagen erstellt habe und von denen ich kein Backup hab.
Kann es eigentlich sein, dass ich an die Daten nicht mehr rankomme, weil ich nicht mehr in mein Benutzerprofil komme? Und falls ja, kann man das nicht irgendwie umgehen?
Danke nochmals für die Unterstützung und ich freue mich über jeden Strohhalm! :-)

Hi,

das Problem scheint nicht nur dein Benutzerprofil zu sein..
Mach bitte Folgendes:

Boote den Rechner erneut mit dem Parted Magic Live-System.
Mache einen Doppelklick auf das Symbol Keyboard Layout auf dem Desktop von Parted Magic, wähle ein deutsches Layout (z.B. "de:qwetz") und bestätige das.
Öffne dann eine Konsole (Bildschirmsymbol "ROXTerm" unten links in der Taskleiste).
Gib folgenden Befehl ein und bestätige mit Enter:
fdisk -l
(Der Parameter nach fdisk ist ein kleines L.)
Kopiere den gesamten Output (markieren -> Rechtsklick -> Edit -> Copy), so dass du ihn hier posten kannst (entweder direkt über den integrierten Firefox, oder in ein File auf einem USB-Stick kopieren und über einen Zweitrechner hier einfügen).
Öffne dann den Partition Editor GParted.
Speichere einen Screenshot von diesem Fenster ("Startbutton" (links unten) -> Accessories -> Screenshot) und hänge das Bild hier an.

Hi Leo,

anbei der Auszug aus dem Editor nach Absetzen des Kommandos fdisk -l:

Code:

WWelcome - Parted Magic (Linux 3.7.9-pmagic)
 

root@partedmagic:~# fdisk -l
 

Disk /dev/sda: 320.1 GB, 320072933376 bytes

255 heads, 63 sectors/track, 38913 cylinders, total 625142448 sectors

Units = sectors of 1 * 512 = 512 bytes

Sector size (logical/physical): 512 bytes / 4096 bytes

I/O size (minimum/optimal): 4096 bytes / 4096 bytes

Disk identifier: 0x6850967b
 

   Device Boot      Start         End      Blocks   Id  System

/dev/sda1            2048   624502783   312250368    7  HPFS/NTFS/exFAT

/dev/sda2   *   624502784   625117183      307200    7  HPFS/NTFS/exFAT
 

Disk /dev/sdb: 4026 MB, 4026531840 bytes

255 heads, 63 sectors/track, 489 cylinders, total 7864320 sectors

Units = sectors of 1 * 512 = 512 bytes

Sector size (logical/physical): 512 bytes / 512 bytes

I/O size (minimum/optimal): 512 bytes / 512 bytes

Disk identifier: 0x0217934c
 

   Device Boot      Start         End      Blocks   Id  System

/dev/sdb1   *          63     7864319     3932128+   e  W95 FAT16 (LBA)

root@partedmagic:~# ^C

root@partedmagic:~#

Und dann noch der Scrrenshot wie gewünscht. Hoffe, das hilft weiter. Danke!

Hi,

weiter:

Boote den Rechner in das Parted Magic Live-System.
Öffne dann eine Konsole (Bildschirmsymbol "ROXTerm" unten links in der Taskleiste).
Gib dort testdisk ein und bestätige mit Enter.
Wähle die Option Create und drücke Enter.
Markiere deine interne Festplatte (/dev/sda) und drücke Enter.
Bestätige den ausgewählten Partitionstabellentyp (sollte Intel sein).
Wähle Analyse und drücke Enter. Danach Quick Search und Enter.
Drücke Enter, wähle Deeper Search und Enter.
Wenn der Scan abgeschlossen ist, drücke wiederholt q, bis du testdisk beendet hast.
Starte dann den File Manager (Symbol oben links auf dem Desktop), suche die testdisk.log im root-Verzeichnis und poste dessen Inhalt hier.
Öffne dann nochmals den Partition Editor GParted.
Speichere einen Screenshot von diesem Fenster ("Startbutton" (links unten) -> Accessories -> Screenshot) und hänge das Bild hier an.

Hi Leo, Scan läuft.
Vielen Dank und bis später!

Hi Leo,

hier das Ergebnis des Scans

Code:



Tue Apr 30 15:42:49 2013

Command line: TestDisk
 

TestDisk 6.14-WIP, Data Recovery Utility, September 2012

Christophe GRENIER <grenier@cgsecurity.org>

hxxp://www.cgsecurity.org

OS: Linux, kernel 3.7.9-pmagic (#1 SMP PREEMPT Sun Feb 17 18:16:24 CST 2013) i686

Compiler: GCC 4.7

Compilation date: 2013-02-16T11:38:45

ext2fs lib: 1.42.7, ntfs lib: libntfs-3g, reiserfs lib: 0.3.0.5, ewf lib: none

/dev/sda: LBA, HPA, LBA48, DCO support

/dev/sda: size       625142448 sectors

/dev/sda: user_max   625142448 sectors

/dev/sda: native_max 625142448 sectors

/dev/sda: dco        625142448 sectors

Warning: can't get size for Disk /dev/mapper/control - 0 B - 1 sectors, sector size=512

Hard disk list

Disk /dev/sda - 320 GB / 298 GiB - CHS 38913 255 63, sector size=512 - ST320LT007-9ZV142, S/N:W0Q42FLS, FW:0003DEM1

Disk /dev/sdb - 4026 MB / 3840 MiB - CHS 1022 124 62, sector size=512 - SMI USB DISK, FW:1100
 

Partition table type (auto): Intel

Disk /dev/sda - 320 GB / 298 GiB - ST320LT007-9ZV142

Partition table type: Intel
 

Analyse Disk /dev/sda - 320 GB / 298 GiB - CHS 38913 255 63

Geometry from i386 MBR: head=255 sector=63

check_part_i386 failed for partition type 07

NTFS at 38873/127/39

Current partition structure:

Invalid NTFS or EXFAT boot

 1 P HPFS - NTFS              0  32 33 38873 127 38  624500736

 1 P HPFS - NTFS              0  32 33 38873 127 38  624500736

 2 * HPFS - NTFS          38873 127 39 38911 189 62     614400 [BDEDrive]
 

search_part()

Disk /dev/sda - 320 GB / 298 GiB - CHS 38913 255 63

Search for partition aborted
 

Results
 

interface_write()

 

No partition found or selected for recovery
 

search_part()

Disk /dev/sda - 320 GB / 298 GiB - CHS 38913 255 63

NTFS at 38873/127/39

filesystem size           614400

sectors_per_cluster       8

mft_lcn                   25600

mftmirr_lcn               2

clusters_per_mft_record   -10

clusters_per_index_record 1

     HPFS - NTFS          38873 127 39 38911 189 62     614400 [BDEDrive]

     NTFS, blocksize=4096, 314 MB / 300 MiB

NTFS at 38911/189/62

filesystem size           614400

sectors_per_cluster       8

mft_lcn                   25600

mftmirr_lcn               2

clusters_per_mft_record   -10

clusters_per_index_record 1

     HPFS - NTFS          38873 127 39 38911 189 62     614400 [BDEDrive]

     NTFS found using backup sector, blocksize=4096, 314 MB / 300 MiB

NTFS at 38913/37/36

filesystem size           623517696

sectors_per_cluster       8

mft_lcn                   786432

mftmirr_lcn               2

clusters_per_mft_record   -10

clusters_per_index_record 1

     HPFS - NTFS            100 246 19 38913  37 36  623517696

     NTFS found using backup sector, blocksize=4096, 319 GB / 297 GiB
 

Results

     HPFS - NTFS            100 246 19 38913  37 36  623517696

     NTFS found using backup sector, blocksize=4096, 319 GB / 297 GiB

     HPFS - NTFS          38873 127 39 38911 189 62     614400 [BDEDrive]

     NTFS, blocksize=4096, 314 MB / 300 MiB
 

interface_write()

 

No partition found or selected for recovery

simulate write!
 

write_mbr_i386: starting...

write_all_log_i386: starting...

No extended partition
 

TestDisk exited normally.

Und der Screenshot:

Boote den Rechner in das Parted Magic Live-System.
Öffne dann eine Konsole (Bildschirmsymbol "ROXTerm" unten links in der Taskleiste).
Gib dort testdisk ein und bestätige mit Enter.
Wähle die Option No Log und drücke Enter.
Markiere deine interne Festplatte (/dev/sda) und drücke Enter.
Bestätige den ausgewählten Partitionstabellentyp (sollte Intel sein).
Wähle Advanced und drücke Enter.
Selektiere

Code:

1 P HPFS - NTFS 0 32 33 38873 127 38 624500736

wähle die Option Boot und drücke Enter.
Wähle dort Backup BS und bestätige es mit Enter und y.
Gehe dann auf Quit und bestätige den Neustart.
Starte dann den Rechner beim Neustart gleich erneut mit Parted Magic.
Öffne den Partition Editor GParted.
Speichere einen Screenshot von diesem Fenster ("Startbutton" (links unten) -> Accessories -> Screenshot) und hänge das Bild hier an.

So, also ich komme bis zum Schritt, die Platte auszuwählen. Aber bis zum booten komme ich dann nicht mehr:

Code:

TestDisk 6.14-WIP, Data Recovery Utility, September 2012

Christophe GRENIER <grenier@cgsecurity.org>

hxxp://www.cgsecurity.org
 

Disk /dev/sda - 320 GB / 298 GiB - CHS 38913 255 63

     Partition                  Start        End    Size in sectors

 1 P HPFS - NTFS              0  32 33 38873 127 38  624500736
 

Boot sector

Status: Bad
 

Backup boot sector

Status: Bad
 

Sectors are not identical.
 

A valid NTFS Boot sector must be present in order to access

any data; even if the partition is not bootable.

Die Optionen, die ich unten am Rand des Fensters nun habe sind: Quit, Rebuild BS und Dump.

Zitat:

Die Optionen, die ich unten am Rand des Fensters nun habe sind: Quit, Rebuild BS und Dump.

Wähle dort die Option Rebuild BS.

Habe jetzt Rebuild BS durchgaführt. Allerdings hat die verarbeitung nach ca. 30 Minuten abgebrochen und nun steht ROXTerm wieder mit exakt der gleichen Meldung wie in meinem Post von 15:38.

Was nun?

Boote den Rechner in das Parted Magic Live-System.
Öffne dann eine Konsole (Bildschirmsymbol "ROXTerm" unten links in der Taskleiste).
Gib dort testdisk ein und bestätige mit Enter.
Wähle die Option Create und drücke Enter.
Markiere deine interne Festplatte (/dev/sda) und drücke Enter.
Bestätige den ausgewählten Partitionstabellentyp (sollte Intel sein).
Wähle Advanced und drücke Enter.
Selektiere

Code:

1 P HPFS - NTFS 0 32 33 38873 127 38 624500736

wähle die Option Boot und drücke Enter.
Wähle dort Repair MFT und bestätige es mit Enter und y.
Verlasse danach testdisk durch mehrfaches Drücken von q.
Starte dann den File Manager (Symbol oben links auf dem Desktop), suche die testdisk.log im root-Verzeichnis und poste dessen Inhalt hier.

Ich komme bei Auswahl der Option "Boot" direkt in die gleiche Meldung (s.o.) und kann dann nur wieder die o.g. Befehle ausführen (Quit, Rebuild BS, Dump).

Ok, dann versuchen wir mal, ob man so deine Daten von der beschädigten Systempartition auf eine externe Platte rausholen kann:

Schliesse eine externe Festplatte mit ausreichend freiem Speicherplatz an und starte nach Parted Magic.
Im File Manager (Symbol oben links auf dem Desktop) schau, unter welchem Pfad (z.B. /media/sdb1) diese externe Platte zu finden ist.
Öffne dann eine Konsole (Bildschirmsymbol "ROXTerm" unten links in der Taskleiste).
Gib dort photorec ein und bestätige mit Enter.
Markiere deine interne Festplatte (/dev/sda) und drücke Enter.
Wähle dann die Partition

Code:

1 P HPFS - NTFS 0 32 33 38873 127 38 624500736

und bestätige die Option Search mit Enter.
Markiere beim Dateisystemtyp Other und drücke Enter.
Danach musst du die Option Whole auswählen.
Die nächste Einstellung ist der Speicherort, wohin die Daten gespeichert werden sollten (also deine externe Platte):
Wähle so lange ".." aus (mit Enter), bis zu zuoberst angekommen bist. Gehe dort ins Verzeichnis "media" und dann in dasjenige für deine externe Platte (z.B. sdb1).
Bestätige den Speicherplatz mit c und lass dann die wiederherstellung laufen.
Wenn der Durchlauf beendet ist, verlasse das Programm mit mehrfachem Drücken von q.

Wie ist das gelaufen?

Leider findet photorec nur meine externe Platte und eine no partition 0 0 1 121597 37 40 etc. Das dürfte linux sein ... ?!

Ok, jetzt ist photorec fertig. Hier der Status:

Code:

hotoRec 6.14-WIP, Data Recovery Utility, September 2012

Christophe GRENIER <grenier@cgsecurity.org>

hxxp://www.cgsecurity.org
 

Disk /dev/sda - 320 GB / 298 GiB (RO) - ST320LT007-9ZV142

     Partition                  Start        End    Size in sectors

 1 P HPFS - NTFS              0  32 33 38873 127 38  624500736
 
 

0 files saved in /root/recup_dir directory.

Recovery completed.

Ich fürchte allerdings, dass ich beim Initialisieren etwas verkehrt gemacht habe... Ich versuchs nochmals. Sorry.

Jetzt versteh ich die Lage nicht ganz..
Das ist doch schon die richtige Partition, die photorec hier anzeigt. Oder was meinst du genau mit "photorec findet nur die externe Platte"?

Hast du alle Einstellungen genau so wie oben beschrieben vorgenommen?

Was sicher nicht stimmt ist der Speicherort:

Zitat:

0 files saved in /root/recup_dir directory.

Dort sollte deine erwähnte externe Festplatte stehen. Wenn du es einfach in das root-Verzeichnis speicherst, dann landet das Zeugs nur im (flüchtigen) Speicher, denn das ist ja ein Live-System.

Jep, das hab ich jetzt auch kapiert. Habe das System neu gestartet, der Scan läuft im Moment noch und ich bin sicher, dass ich diesmal meine externe Platte erwischt hab :-) Jedenfalls legt photorec derzeit verschiedene reg-, gpg, asp-files etc. im Verzeichnis "recup_dir.1" ab. Passt das? Wir werden sehen.

Danke für deine Geduld!

Zitat:

Passt das? Wir werden sehen.

Wir werden sehen. ;)

Kopiere und poste dann bitte wieder wie zuvor die Zusammenfassung am Schluss.

Also 11 files hat er bislang gefunden... Hoffnung?!

Ich hoffe mit dir mit, aber ich kann es wirklich nicht sagen, was da herauskommen wird..

Guten Morgen!

Also viel hat sich leider nicht getan...

Code:

hotoRec 6.14-WIP, Data Recovery Utility, September 2012

Christophe GRENIER <grenier@cgsecurity.org>

hxxp://www.cgsecurity.org
 

Disk /dev/sda - 320 GB / 298 GiB (RO) - ST320LT007-9ZV142

     Partition                  Start        End    Size in sectors

 1 P HPFS - NTFS              0  32 33 38873 127 38  624500736
 
 

21 files saved in /root/Media/My Passport/recup_dir directory.

Recovery completed.

Anbei noch der Screenshot meiner externen Platte mit den geretteten Files.

Was meinst Du, gibt es noch eine andere Möglichkeit?

Hallo Leo,

ich hab mir nun den Bitlocker Key organisiert und die Platte damit freigeschaltet. Nun geht der abgesicherte Modus und ich habe OTL laufen gelassen.

Hier die Logs:

Code:

OTL logfile created on: 01.05.2013 21:41:29 - Run 1

OTL by OldTimer - Version 3.2.69.0     Folder = D:\

64bit- Enterprise Edition Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation

Internet Explorer (Version = 8.0.7601.17514)

Locale: 00000407 | Country: Germany | Language: DEU | Date Format: dd.MM.yyyy

 

3,88 Gb Total Physical Memory | 2,95 Gb Available Physical Memory | 76,05% Memory free

7,77 Gb Paging File | 6,96 Gb Available in Paging File | 89,64% Paging File free

Paging file location(s): ?:\pagefile.sys [binary data]

 

%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)

Drive C: | 297,79 Gb Total Space | 133,29 Gb Free Space | 44,76% Space Free | Partition Type: NTFS

Drive D: | 931,48 Gb Total Space | 875,66 Gb Free Space | 94,01% Space Free | Partition Type: NTFS

 

Computer Name: MW7GT9G94ZUZYG | User Name: ralf.rotzek | NOT logged in as Administrator.

Boot Mode: SafeMode | Scan Mode: All users | Include 64bit Scans

Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days

 
 ========== Processes (SafeList) ==========

 

PRC - [2013.05.01 14:30:50 | 000,602,112 | ---- | M] (OldTimer Tools) -- D:\OTL.exe

 

 
 ========== Modules (No Company Name) ==========

 

 
 ========== Services (SafeList) ==========

 

SRV:64bit: - [2012.08.15 16:38:04 | 002,280,504 | ---- | M] (Dell Inc.) [Auto | Stopped] -- C:\Program Files\Dell\Feature Enhancement Pack\DFEPService.exe -- (DFEPService)

SRV:64bit: - [2012.07.11 23:51:36 | 000,080,448 | ---- | M] (Microsoft Corporation) [Auto | Stopped] -- C:\Program Files\Microsoft Forefront Identity Manager\2010\Password Reset Client Service\PwdMgmtProxy.exe -- (FIMPasswordReset)

SRV:64bit: - [2012.02.15 21:05:08 | 000,048,128 | ---- | M] (Dell Inc.) [Auto | Stopped] -- C:\Program Files\Dell\DW WLAN Card\WLTRYSVC.EXE -- (wltrysvc)

SRV:64bit: - [2011.04.27 17:21:18 | 000,288,272 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- c:\Program Files\Microsoft Security Client\Antimalware\NisSrv.exe -- (NisSrv)

SRV:64bit: - [2011.04.27 17:21:18 | 000,012,784 | ---- | M] (Microsoft Corporation) [Auto | Running] -- c:\Program Files\Microsoft Security Client\Antimalware\MsMpEng.exe -- (MsMpSvc)

SRV:64bit: - [2011.01.25 08:57:18 | 000,296,448 | ---- | M] (IDT, Inc.) [Auto | Stopped] -- C:\Program Files\IDT\WDM\stacsv64.exe -- (STacSV)

SRV:64bit: - [2010.10.28 14:05:50 | 000,036,768 | ---- | M] (Broadcom Corporation) [Auto | Stopped] -- C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostStorageService.exe -- (Credential Vault Host Storage)

SRV:64bit: - [2010.10.28 14:05:48 | 001,035,680 | ---- | M] (Broadcom Corporation) [Auto | Stopped] -- C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostControlService.exe -- (Credential Vault Host Control Service)

SRV:64bit: - [2010.05.25 15:13:06 | 000,018,432 | ---- | M] (Accenture) [Auto | Stopped] -- C:\Program Files\Accenture\Mobile Media Reminder\MobileMediaReminderService.exe -- (Accenture Mobile Media Reminder Service)

SRV:64bit: - [2010.03.23 04:31:06 | 000,613,288 | ---- | M] (Dell Inc.) [Auto | Stopped] -- C:\Program Files\Dell\OpenManage\Client\Iap.exe -- (Iap)

SRV:64bit: - [2010.02.11 01:50:50 | 000,072,296 | ---- | M] (O2Micro International) [Auto | Stopped] -- C:\Windows\SysNative\drivers\o2flash.exe -- (O2FLASH)

SRV:64bit: - [2009.07.14 03:41:27 | 001,011,712 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Program Files\Windows Defender\MpSvc.dll -- (WinDefend)

SRV:64bit: - [2009.07.14 03:40:01 | 000,193,536 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysNative\appmgmts.dll -- (AppMgmt)

SRV:64bit: - [2009.03.03 09:42:58 | 000,089,600 | ---- | M] (Andrea Electronics Corporation) [Auto | Stopped] -- C:\Program Files\IDT\WDM\AESTSr64.exe -- (AESTFilters)

SRV - [2013.04.12 19:13:50 | 000,256,904 | ---- | M] (Adobe Systems Incorporated) [On_Demand | Stopped] -- C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe -- (AdobeFlashPlayerUpdateSvc)

SRV - [2013.01.08 16:20:06 | 000,147,464 | ---- | M] (H+H Software GmbH) [Auto | Stopped] -- C:\Program Files (x86)\Virtual CD v10\System\VC10SecS.exe -- (VC10SecS)

SRV - [2012.12.18 21:08:28 | 000,065,192 | ---- | M] (Adobe Systems Incorporated) [Auto | Stopped] -- C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe -- (AdobeARMservice)

SRV - [2012.11.13 19:04:10 | 000,070,152 | ---- | M] (Nalpeiron Ltd.) [Auto | Stopped] -- C:\Windows\SysWOW64\NLSSRV32.EXE -- (nlsX86cc)

SRV - [2012.10.03 16:51:04 | 000,725,400 | ---- | M] (Nokia) [On_Demand | Stopped] -- C:\Program Files (x86)\PC Connectivity Solution\ServiceLayer.exe -- (ServiceLayer)

SRV - [2012.01.19 11:41:46 | 002,594,584 | ---- | M] (Intel Corporation) [Auto | Stopped] -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe -- (UNS)

SRV - [2012.01.19 11:41:42 | 000,325,912 | ---- | M] (Intel Corporation) [Auto | Stopped] -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe -- (LMS)

SRV - [2011.11.02 11:23:02 | 000,149,400 | ---- | M] (Dell Inc.) [Auto | Stopped] -- C:\Program Files (x86)\Dell\SysMgt\dsia\bin\DsiaSrv32.exe -- (dsiasrv)

SRV - [2010.03.18 14:16:28 | 000,130,384 | ---- | M] (Microsoft Corporation) [Auto | Stopped] -- C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe -- (clr_optimization_v4.0.30319_32)

SRV - [2010.03.18 11:19:26 | 000,113,152 | ---- | M] (ArcSoft Inc.) [Auto | Stopped] -- C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACService.exe -- (ACDaemon)

SRV - [2009.09.18 04:00:00 | 000,764,768 | ---- | M] (Microsoft Corporation) [Auto | Stopped] -- C:\Windows\SysWOW64\CCM\CcmExec.exe -- (CcmExec)

SRV - [2009.09.18 04:00:00 | 000,246,624 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysWOW64\CCM\TSManager.exe -- (smstsmgr)

SRV - [2009.06.10 23:23:09 | 000,066,384 | ---- | M] (Microsoft Corporation) [Disabled | Stopped] -- C:\Windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe -- (clr_optimization_v2.0.50727_32)

SRV - [2009.05.14 17:07:14 | 000,759,048 | ---- | M] (ABBYY) [Auto | Stopped] -- C:\Program Files (x86)\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe -- (ABBYY.Licensing.FineReader.Sprint.9.0)

 

 
 ========== Driver Services (SafeList) ==========

 

DRV:64bit: - [2013.04.01 20:51:16 | 000,283,200 | ---- | M] (DT Soft Ltd) [Kernel | System | Running] -- C:\Windows\SysNative\drivers\dtsoftbus01.sys -- (dtsoftbus01)

DRV:64bit: - [2013.02.22 09:17:06 | 000,203,544 | ---- | M] (DEVGURU Co., LTD.(www.devguru.co.kr)) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssudmdm.sys -- (ssudmdm)

DRV:64bit: - [2013.02.22 09:17:06 | 000,102,936 | ---- | M] (DEVGURU Co., LTD.(www.devguru.co.kr)) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssudbus.sys -- (dg_ssudbus)

DRV:64bit: - [2013.02.22 09:17:04 | 000,188,232 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\sscdmdm.sys -- (sscdmdm)

DRV:64bit: - [2013.02.22 09:17:04 | 000,169,288 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\sscdbus.sys -- (sscdbus)

DRV:64bit: - [2013.02.22 09:17:04 | 000,021,320 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\sscdmdfl.sys -- (sscdmdfl)

DRV:64bit: - [2013.02.22 09:16:54 | 000,188,232 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssadmdm.sys -- (ssadmdm)

DRV:64bit: - [2013.02.22 09:16:54 | 000,169,288 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssadbus.sys -- (ssadbus)

DRV:64bit: - [2013.02.22 09:16:54 | 000,021,320 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssadmdfl.sys -- (ssadmdfl)

DRV:64bit: - [2013.02.12 06:12:06 | 000,019,968 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\usb8023x.sys -- (usb_rndisx)

DRV:64bit: - [2012.12.06 11:09:24 | 000,226,080 | ---- | M] (H+H Software GmbH) [Kernel | System | Stopped] -- C:\Windows\SysNative\drivers\vdrv1000.sys -- (vdrv1000)

DRV:64bit: - [2012.08.23 16:12:16 | 000,029,696 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\terminpt.sys -- (terminpt)

DRV:64bit: - [2012.08.23 16:10:20 | 000,019,456 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\rdpvideominiport.sys -- (RdpVideoMiniport)

DRV:64bit: - [2012.08.23 16:08:26 | 000,030,208 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\TsUsbGD.sys -- (TsUsbGD)

DRV:64bit: - [2012.08.23 16:07:35 | 000,057,856 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\TsUsbFlt.sys -- (TsUsbFlt)

DRV:64bit: - [2012.08.21 13:01:20 | 000,033,240 | ---- | M] (GEAR Software Inc.) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\GEARAspiWDM.sys -- (GEARAspiWDM)

DRV:64bit: - [2012.07.09 13:42:54 | 000,052,736 | ---- | M] (Apple, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\usbaapl64.sys -- (USBAAPL64)

DRV:64bit: - [2012.06.27 16:18:52 | 000,026,112 | ---- | M] (Nokia) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\pccsmcfdx64.sys -- (pccsmcfd)

DRV:64bit: - [2012.04.09 22:11:36 | 004,746,304 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\BCMWL664.SYS -- (BCM43XX)

DRV:64bit: - [2012.03.01 08:46:16 | 000,023,408 | ---- | M] (Microsoft Corporation) [Recognizer | Boot | Unknown] -- C:\Windows\SysNative\drivers\fs_rec.sys -- (Fs_Rec)

DRV:64bit: - [2012.02.15 21:05:08 | 000,022,592 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\bcm42rly.sys -- (BCM42RLY)

DRV:64bit: - [2011.09.22 08:19:56 | 000,056,600 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\HECIx64.sys -- (MEIx64)

DRV:64bit: - [2011.07.22 12:28:56 | 000,027,760 | ---- | M] (ST Microelectronics) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\accelern.sys -- (Acceler)

DRV:64bit: - [2011.07.15 21:31:22 | 000,022,128 | ---- | M] (ST Microelectronics) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\stdcfltn.sys -- (stdcfltn)

DRV:64bit: - [2011.06.11 01:16:10 | 012,230,912 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\igdkmd64.sys -- (igfx)

DRV:64bit: - [2011.05.26 07:25:02 | 000,368,464 | ---- | M] (Alps Electric Co., Ltd.) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\Apfiltr.sys -- (ApfiltrService)

DRV:64bit: - [2011.04.27 15:25:24 | 000,084,864 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\NisDrvWFP.sys -- (NisDrv)

DRV:64bit: - [2011.03.23 20:52:16 | 000,083,560 | ---- | M] (O2Micro ) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\o2sdjxpx64.sys -- (O2SDJRDR)

DRV:64bit: - [2011.03.11 08:41:12 | 000,107,904 | ---- | M] (Advanced Micro Devices) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\amdsata.sys -- (amdsata)

DRV:64bit: - [2011.03.11 08:41:12 | 000,027,008 | ---- | M] (Advanced Micro Devices) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\amdxata.sys -- (amdxata)

DRV:64bit: - [2011.01.25 08:57:18 | 000,520,192 | ---- | M] (IDT, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\stwrt64.sys -- (STHDA)

DRV:64bit: - [2011.01.04 10:58:06 | 000,071,968 | ---- | M] (O2Micro ) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\o2mdfxpx64.sys -- (O2MDFRDR)

DRV:64bit: - [2011.01.03 23:14:22 | 000,032,768 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\usbser.sys -- (usbser)

DRV:64bit: - [2011.01.03 23:14:20 | 000,378,952 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Mbm3CBus.sys -- (Mbm3CBus)

DRV:64bit: - [2011.01.03 22:19:56 | 000,074,984 | ---- | M] (O2Micro ) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\O2MDRw7x64.sys -- (O2MDRRDR)

DRV:64bit: - [2010.12.17 00:58:14 | 000,040,816 | ---- | M] (Elaborate Bytes AG) [Kernel | System | Stopped] -- C:\Windows\SysNative\drivers\ElbyCDIO.sys -- (ElbyCDIO)

DRV:64bit: - [2010.12.01 23:02:16 | 000,101,416 | ---- | M] (Ericsson AB) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\d554gps64.sys -- (d554gps)

DRV:64bit: - [2010.11.21 05:23:48 | 000,117,248 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\tsusbhub.sys -- (tsusbhub)

DRV:64bit: - [2010.11.21 05:23:48 | 000,088,960 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Synth3dVsc.sys -- (Synth3dVsc)

DRV:64bit: - [2010.11.21 05:23:48 | 000,071,168 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\dmvsc.sys -- (dmvsc)

DRV:64bit: - [2010.11.21 05:23:48 | 000,022,528 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\VMBusVideoM.sys -- (SynthVid)

DRV:64bit: - [2010.11.21 05:23:47 | 000,078,720 | ---- | M] (Hewlett-Packard Company) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\HpSAMD.sys -- (HpSAMD)

DRV:64bit: - [2010.11.06 06:45:48 | 000,438,808 | ---- | M] (Intel Corporation) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\iaStor.sys -- (iaStor)

DRV:64bit: - [2010.10.31 23:43:10 | 000,419,912 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Mbm3DevMt.sys -- (Mbm3DevMt)

DRV:64bit: - [2010.10.28 14:42:32 | 000,315,568 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\e1c62x64.sys -- (e1cexpress)

DRV:64bit: - [2010.10.15 15:28:18 | 000,317,440 | ---- | M] (Intel(R) Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\IntcDAud.sys -- (IntcDAud)

DRV:64bit: - [2010.08.24 14:46:02 | 000,038,440 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\cvusbdrv.sys -- (cvusbdrv)

DRV:64bit: - [2010.03.08 22:58:36 | 000,026,624 | ---- | M] (Dell Inc.) [Kernel | System | Running] -- C:\Windows\SysNative\drivers\omci.sys -- (omci)

DRV:64bit: - [2010.02.27 06:32:14 | 000,158,976 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Impcd.sys -- (Impcd)

DRV:64bit: - [2010.02.24 02:25:30 | 000,030,248 | ---- | M] (Ericsson AB) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\wwussf64.sys -- (ecnssndisfltr)

DRV:64bit: - [2010.02.24 02:25:30 | 000,026,664 | ---- | M] (Ericsson AB) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\wwuss64.sys -- (ecnssndis)

DRV:64bit: - [2009.07.14 03:52:20 | 000,194,128 | ---- | M] (AMD Technologies Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\amdsbs.sys -- (amdsbs)

DRV:64bit: - [2009.07.14 03:48:04 | 000,065,600 | ---- | M] (LSI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\lsi_sas2.sys -- (LSI_SAS2)

DRV:64bit: - [2009.07.14 03:45:55 | 000,024,656 | ---- | M] (Promise Technology) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\stexstor.sys -- (stexstor)

DRV:64bit: - [2009.07.14 01:21:48 | 000,038,400 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\tpm.sys -- (TPM)

DRV:64bit: - [2009.06.10 22:34:41 | 000,057,344 | ---- | M] (Microsoft Corp.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\dc21x4vm.sys -- (dc21x4vm)

DRV:64bit: - [2009.06.10 22:34:33 | 003,286,016 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\evbda.sys -- (ebdrv)

DRV:64bit: - [2009.06.10 22:34:28 | 000,468,480 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\bxvbda.sys -- (b06bdrv)

DRV:64bit: - [2009.06.10 22:34:23 | 000,270,848 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\b57nd60a.sys -- (b57nd60a)

DRV:64bit: - [2009.06.10 22:31:59 | 000,031,232 | ---- | M] (Hauppauge Computer Works, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\hcw85cir.sys -- (hcw85cir)

DRV:64bit: - [2008.06.17 08:22:24 | 000,040,464 | ---- | M] (H+H Software GmbH) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\vcd10bus.sys -- (vcd10bus)

DRV - [2013.03.20 10:07:16 | 000,037,344 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\Windows\SysWOW64\FsUsbExDisk.Sys -- (FsUsbExDisk)

DRV - [2009.09.18 04:00:00 | 000,026,992 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysWOW64\CCM\PrepDrv.sys -- (prepdrvr)

DRV - [2009.07.14 03:19:10 | 000,019,008 | ---- | M] (Microsoft Corporation) [File_System | On_Demand | Stopped] -- C:\Windows\SysWOW64\drivers\wimmount.sys -- (WIMMount)

 

 
 ========== Standard Registry (SafeList) ==========

 

 
 ========== Internet Explorer ==========

 

IE:64bit: - HKLM\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990}

IE:64bit: - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC

IE:64bit: - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e

IE - HKLM\..\SearchScopes,DefaultScope = {006ee092-9658-4fd6-bd8e-a21a348e59f5}

IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC

IE - HKLM\..\SearchScopes\{68BD5F88-07A9-4740-B336-B0E565542C60}: "URL" = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms}

IE - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7

 

 

IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

 

 

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = https://portal.accenture.com

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Main,SearchDefaultBranded = 1

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = about:blank

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\URLSearchHook: {00000000-6E41-4FD3-8538-502F5495E5FC} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes,bProtectorDefaultScope = {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes,DefaultScope = {006ee092-9658-4fd6-bd8e-a21a348e59f5}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{006ee092-9658-4fd6-bd8e-a21a348e59f5}: "URL" = hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e&q={searchTerms}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = hxxp://search.babylon.com/?q={searchTerms}&affID=114874&tt=4312_2&babsrc=SP_ss&mntrId=5ac2f6890000000000009cb70d55773e

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{4C504782-F716-4D48-9FFD-293E29EA6700}: "URL" = hxxp://websearch.ask.com/redirect?client=ie&tb=ORJ&o=100000027&src=crm&q={searchTerms}&locale=en_US&apn_ptnrs=^U3&apn_dtid=^OSJ000^YY^AT&apn_uid=3FA59303-FE62-4F00-BD98-09D8216D9412&apn_sauid=6DE58E54-8126-46C8-9AC3-CB5CBB18C811

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{68BD5F88-07A9-4740-B336-B0E565542C60}: "URL" = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{89B447DD-0276-4EA3-BABE-45BBA6FE3B84}: "URL" = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:{language}:{referrer:source}&ie={inputEncoding?}&oe={outputEncoding?}&rlz=1I7RNRB_enAT505

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "AutoConfigURL" = hxxp://set-proxy.accenture.com/bin/setup.proxy

 
 ========== FireFox ==========

 

FF - prefs.js..browser.search.selectedEngine: "Privitize VPN"

FF - prefs.js..browser.startup.homepage: "hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e"

FF - prefs.js..extensions.enabledItems: helperbar@helperbar.com:1.0

FF - prefs.js..extensions.enabledItems: {0153E448-190B-4987-BDE1-F256CADA672F}:15.0.6

FF - prefs.js..keyword.URL: "hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e&q="

FF - prefs.js..network.proxy.autoconfig_url: "hxxp://set-proxy.accenture.com/bin/setup.proxy"

FF - prefs.js..network.proxy.no_proxies_on: "*.local"

FF - prefs.js..network.proxy.type: 2

FF - prefs.js..browser.search.order.1: "Privitize VPN"

FF - prefs.js..browser.search.defaultengine: "Privitize VPN"

FF - prefs.js..browser.search.defaultenginename: "Privitize VPN"

FF - prefs.js..network.proxy.autoconfig_url: "hxxp://set-proxy.accenture.com/bin/setup.proxy"

FF - prefs.js..network.proxy.no_proxies_on: "*.local"

FF - prefs.js..network.proxy.type: 2

FF - prefs.js..browser.search.order.1: "Privitize VPN"

FF - prefs.js..browser.search.defaultengine: "Privitize VPN"

FF - prefs.js..browser.search.defaultenginename: "Privitize VPN"

 

 

FF:64bit: - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found

FF:64bit: - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: c:\Program Files\Microsoft Silverlight\5.1.20125.0\npctrl.dll ( Microsoft Corporation)

FF:64bit: - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeAuthz,version=14.0: C:\PROGRA~1\MICROS~1\Office14\NPAUTHZ.DLL (Microsoft Corporation)

FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=:  File not found

FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=1.0: C:\Program Files (x86)\iTunes\Mozilla Plugins\npitunes.dll ()

FF - HKLM\Software\MozillaPlugins\@java.com/DTPlugin,version=10.17.2: C:\Windows\SysWOW64\npDeployJava1.dll (Oracle Corporation)

FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin,version=10.17.2: C:\Program Files (x86)\Java\jre7\bin\plugin2\npjp2.dll (Oracle Corporation)

FF - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found

FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: c:\Program Files (x86)\Microsoft Silverlight\5.1.20125.0\npctrl.dll ( Microsoft Corporation)

FF - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeAuthz,version=14.0: C:\PROGRA~2\MICROS~1\Office14\NPAUTHZ.DLL (Microsoft Corporation)

FF - HKLM\Software\MozillaPlugins\@microsoft.com/SharePoint,version=14.0: C:\PROGRA~2\MICROS~1\Office14\NPSPWRAP.DLL (Microsoft Corporation)

FF - HKLM\Software\MozillaPlugins\@nokia.com/EnablerPlugin: C:\Program Files (x86)\Nokia\Nokia Suite\npNokiaSuiteEnabler.dll ( )

FF - HKLM\Software\MozillaPlugins\@real.com/nppl3260;version=15.0.6.14: C:\Program Files (x86)\Real\RealPlayer\Netscape6\nppl3260.dll (RealNetworks, Inc.)

FF - HKLM\Software\MozillaPlugins\@real.com/nprjplug;version=15.0.6.14: C:\Program Files (x86)\Real\RealPlayer\Netscape6\nprjplug.dll (RealNetworks, Inc.)

FF - HKLM\Software\MozillaPlugins\@real.com/nprpchromebrowserrecordext;version=15.0.6.14: C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins\nprpchromebrowserrecordext.dll (RealNetworks, Inc.)

FF - HKLM\Software\MozillaPlugins\@real.com/nprphtml5videoshim;version=15.0.6.14: C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins\nprphtml5videoshim.dll (RealNetworks, Inc.)

FF - HKLM\Software\MozillaPlugins\@real.com/nprpplugin;version=15.0.6.14: C:\Program Files (x86)\Real\RealPlayer\Netscape6\nprpplugin.dll (RealPlayer)

FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Program Files (x86)\Google\Update\1.3.21.135\npGoogleUpdate3.dll (Google Inc.)

FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Program Files (x86)\Google\Update\1.3.21.135\npGoogleUpdate3.dll (Google Inc.)

FF - HKLM\Software\MozillaPlugins\@videolan.org/vlc,version=2.0.4: C:\Program Files (x86)\VideoLAN\VLC\npvlc.dll (VideoLAN)

FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Program Files (x86)\Adobe\Reader 11.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)

FF - HKCU\Software\MozillaPlugins\amazon.com/AmazonMP3DownloaderPlugin: C:\Program Files (x86)\Amazon\MP3 Downloader\npAmazonMP3DownloaderPlugin101721.dll (Amazon.com, Inc.)

 

FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{0153E448-190B-4987-BDE1-F256CADA672F}: C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\Firefox\Ext [2012.10.13 18:05:30 | 000,000,000 | ---D | M]

FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.6.3\extensions\\Components: C:\Program Files (x86)\Mozilla Firefox\components [2012.12.23 17:02:31 | 000,000,000 | ---D | M]

FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.6.3\extensions\\Plugins: C:\Program Files (x86)\Mozilla Firefox\plugins [2013.04.04 22:37:00 | 000,000,000 | ---D | M]

 

[2012.10.12 13:08:26 | 000,000,000 | ---D | M] (No name found) -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\Extensions

[2012.12.02 21:20:52 | 000,000,000 | ---D | M] (No name found) -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\Firefox\Profiles\eg4ufdd8.default\extensions

[2012.11.18 21:12:29 | 000,000,000 | ---D | M] (No name found) -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\Firefox\Profiles\eg4ufdd8.default\extensions\staged

[2012.12.02 21:21:04 | 000,000,000 | ---D | M] (Ask Toolbar) -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\Firefox\Profiles\eg4ufdd8.default\extensions\toolbar@ask.com

[2012.12.02 21:21:04 | 000,002,308 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\firefox\profiles\eg4ufdd8.default\searchplugins\askcom.xml

[2012.10.25 11:19:49 | 000,002,536 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\firefox\profiles\eg4ufdd8.default\searchplugins\browsemngr.xml

[2013.01.26 22:44:38 | 000,002,090 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\firefox\profiles\eg4ufdd8.default\searchplugins\Searchab.xml

[2012.11.18 20:34:21 | 000,002,395 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\firefox\profiles\eg4ufdd8.default\searchplugins\Web Search.xml

[2012.10.03 20:20:22 | 000,000,000 | ---D | M] (No name found) -- C:\Program Files (x86)\Mozilla Firefox\extensions

[2012.10.13 18:05:30 | 000,000,000 | ---D | M] (RealPlayer Browser Record Plugin) -- C:\PROGRAMDATA\REAL\REALPLAYER\BROWSERRECORDPLUGIN\FIREFOX\EXT

File not found (No name found) -- C:\USERS\RALF.ROTZEK\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\EG4UFDD8.DEFAULT\EXTENSIONS\HELPERBAR@HELPERBAR.COM

[2012.07.27 22:37:30 | 000,031,848 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\plugins\npMeetingJoinPluginOC.dll

[2012.10.13 18:05:17 | 000,129,176 | ---- | M] (RealPlayer) -- C:\Program Files (x86)\mozilla firefox\plugins\nprpplugin.dll

[2010.04.01 18:54:38 | 000,001,392 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\amazondotcom-de.xml

[2012.10.25 11:19:27 | 000,002,349 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml

[2010.04.01 18:54:38 | 000,002,344 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\eBay-de.xml

[2010.04.01 18:54:38 | 000,006,805 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\leo_ende_de.xml

[2010.04.01 18:54:38 | 000,001,178 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\wikipedia-de.xml

[2010.04.01 18:54:38 | 000,001,105 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\yahoo-de.xml

 
 ========== Chrome  ==========

 

CHR - homepage: hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e

CHR - default_search_provider:  ()

CHR - default_search_provider: search_url = 

CHR - default_search_provider: suggest_url = 

CHR - homepage: hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo\4.2_0\

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\cbnocfnjkmlljbfgpkbhefnlpbiemhif\1.0\

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf\0.0.0.14_0\

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\jfmjfhklogoienhpfnppmbcbjfjnkonk\1.5_0\

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia\6.1.3_0\

 

O1 HOSTS File: ([2009.06.10 23:00:26 | 000,000,824 | ---- | M]) - C:\Windows\SysNative\drivers\etc\hosts

O2:64bit: - BHO: (Google Toolbar Helper) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_64.dll (Google Inc.)

O2:64bit: - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.7.8313.1002\swg64.dll (Google Inc.)

O2 - BHO: (RealPlayer Download and Record Plugin for Internet Explorer) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll (RealPlayer)

O2 - BHO: (Lync Browser Helper) - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - C:\Program Files (x86)\Microsoft Lync\OCHelper.dll (Microsoft Corporation)

O2 - BHO: (Java(tm) Plug-In SSV Helper) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre7\bin\ssv.dll (Oracle Corporation)

O2 - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files (x86)\Google\GoogleToolbarNotifier\5.7.8313.1002\swg.dll (Google Inc.)

O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)

O2 - BHO: (Java(tm) Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre7\bin\jp2ssv.dll (Oracle Corporation)

O3:64bit: - HKLM\..\Toolbar: (Google Toolbar) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_64.dll (Google Inc.)

O3:64bit: - HKLM\..\Toolbar: (no name) - {ae07101b-46d4-4a98-af68-0333ea26e113} - No CLSID value found.

O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.

O3 - HKLM\..\Toolbar: (no name) - {ae07101b-46d4-4a98-af68-0333ea26e113} - No CLSID value found.

O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)

O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.

O3:64bit: - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\Toolbar\WebBrowser: (Google Toolbar) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_64.dll (Google Inc.)

O3 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\Toolbar\WebBrowser: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)

O4:64bit: - HKLM..\Run: []  File not found

O4:64bit: - HKLM..\Run: [Accenture Mobile Media Reminder] C:\Program Files\Accenture\Mobile Media Reminder\AccentureMobileMediaReminderClient.exe (Accenture)

O4:64bit: - HKLM..\Run: [Apoint] C:\Program Files\DellTPad\Apoint.exe (Alps Electric Co., Ltd.)

O4:64bit: - HKLM..\Run: [Broadcom Wireless Manager UI] C:\Program Files\Dell\DW WLAN Card\WLTRAY.EXE (Dell Inc.)

O4:64bit: - HKLM..\Run: [DFEPApplication] C:\Program Files\Dell\Feature Enhancement Pack\DFEPApplication.exe (Dell Inc.)

O4:64bit: - HKLM..\Run: [FreeFallProtection] C:\Program Files (x86)\STMicroelectronics\AccelerometerP11\FF_Protection.exe ()

O4:64bit: - HKLM..\Run: [HotKeysCmds] C:\Windows\SysNative\hkcmd.exe (Intel Corporation)

O4:64bit: - HKLM..\Run: [IgfxTray] C:\Windows\SysNative\igfxtray.exe (Intel Corporation)

O4:64bit: - HKLM..\Run: [MSC] c:\Program Files\Microsoft Security Client\msseces.exe (Microsoft Corporation)

O4:64bit: - HKLM..\Run: [Persistence] C:\Windows\SysNative\igfxpers.exe (Intel Corporation)

O4:64bit: - HKLM..\Run: [SysTrayApp] C:\Program Files\IDT\WDM\sttray64.exe (IDT, Inc.)

O4 - HKLM..\Run: []  File not found

O4 - HKLM..\Run: [ApnUpdater] C:\Program Files (x86)\Ask.com\Updater\Updater.exe (Ask)

O4 - HKLM..\Run: [APSDaemon] C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.)

O4 - HKLM..\Run: [ArcSoft Connection Service] C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACDaemon.exe (ArcSoft Inc.)

O4 - HKLM..\Run: [Communicator] C:\Program Files (x86)\Microsoft Lync\communicator.exe (Microsoft Corporation)

O4 - HKLM..\Run: [EEventManager] C:\Program Files (x86)\Epson Software\Event Manager\EEventManager.exe (SEIKO EPSON CORPORATION)

O4 - HKLM..\Run: [FreePDF Assistant] C:\Program Files (x86)\FreePDF_XP\fpassist.exe (shbox.de)

O4 - HKLM..\Run: [KiesTrayAgent] C:\Program Files (x86)\Samsung\Kies\KiesTrayAgent.exe (Samsung Electronics Co., Ltd.)

O4 - HKLM..\Run: [PDFPrint] C:\Program Files (x86)\PDF24\pdf24.exe (Geek Software GmbH)

O4 - HKLM..\Run: [TkBellExe] C:\Program Files (x86)\Real\RealPlayer\update\realsched.exe (RealNetworks, Inc.)

O4 - HKLM..\Run: [VC10Player] C:\Program Files (x86)\Virtual CD v10\System\VC10Play.exe (H+H Software GmbH)

O4 - HKU\S-1-5-19..\Run: [Sidebar] C:\Program Files (x86)\Windows Sidebar\Sidebar.exe (Microsoft Corporation)

O4 - HKU\S-1-5-20..\Run: [Sidebar] C:\Program Files (x86)\Windows Sidebar\Sidebar.exe (Microsoft Corporation)

O4 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096..\Run: [] C:\Program Files (x86)\Samsung\Kies\External\FirmwareUpdate\KiesPDLR.exe (Samsung)

O4 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096..\Run: [DAEMON Tools Lite] C:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe (Disc Soft Ltd)

O4 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096..\Run: [KiesAirMessage] C:\Program Files (x86)\Samsung\Kies\KiesAirMessage.exe (Samsung Electronics)

O4 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096..\Run: [KiesPreload] C:\Program Files (x86)\Samsung\Kies\Kies.exe (Samsung)

O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found

O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found

O4 - Startup: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk =  File not found

O4 - Startup: C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk =  File not found

O4 - Startup: C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk =  File not found

O4 - Startup: C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk = C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\Dropbox.exe (Dropbox, Inc.)

O4 - Startup: C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk =  File not found

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Main present

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: DontSetAutoplayCheckbox = 1

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: disablecad = 1

O7 - HKU\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-18\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-18\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\S-1-5-18\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: ForceRunOnStartMenu = 1

O9 - Extra Button: Lync add-on - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - C:\Program Files (x86)\Microsoft Lync\OCHelper.dll (Microsoft Corporation)

O9 - Extra 'Tools' menuitem : Lync add-on - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - C:\Program Files (x86)\Microsoft Lync\OCHelper.dll (Microsoft Corporation)

O10:64bit: - NameSpace_Catalog5\Catalog_Entries64\000000000008 [] - C:\Program Files\Bonjour\mdnsNSP.dll (Apple Inc.)

O10 - NameSpace_Catalog5\Catalog_Entries\000000000008 [] - C:\Program Files (x86)\Bonjour\mdnsNSP.dll (Apple Inc.)

O1364bit: - gopher Prefix: missing

O13 - gopher Prefix: missing

O15:64bit: - ..Trusted Domains: accenture.com ([]* in Local intranet)

O15:64bit: - ..Trusted Domains: avanade.com ([rm] https in Local intranet)

O15:64bit: - ..Trusted Domains: avanade.org ([rm] https in Local intranet)

O15:64bit: - ..Trusted Domains: questionmark.com ([]* in Local intranet)

O15:64bit: - ..Trusted Domains: skillport.com ([]* in Local intranet)

O15:64bit: - ..Trusted Domains: taleo.net ([]* in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: accenture.com ([]* in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: avanade.com ([rm] https in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: avanade.org ([rm] https in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: questionmark.com ([]* in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: skillport.com ([]* in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: taleo.net ([]* in Local intranet)

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_34-windows-i586.cab (Reg Error: Value error.)

O16 - DPF: {BF17C411-9ADA-4C73-B12C-BD814BDE187F} https://mylearning.accenture.com/accenture/core/common/ScheduleServices/ScheduleServices.cab (ScheduleServices.CtlScheduleServices)

O16 - DPF: {CAFEEFAC-0016-0000-0034-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_34-windows-i586.cab (Java Plug-in 1.6.0_34)

O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_34-windows-i586.cab (Java Plug-in 10.17.2)

O16 - DPF: {E06E2E99-0AA1-11D4-ABA6-0060082AA75C} https://sasmeetings.webex.com/client/WBXclient-T27L10NSP32EP12-14923/webex/ieatgpc1.cab (GpcContainer Class)

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 212.186.211.21 195.34.133.21

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = dir.svc.accenture.com

O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{32DE3750-FB26-4907-A0AC-C4E985703723}: DhcpNameServer = 10.0.134.1 10.0.135.1

O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{50FF573F-2CFE-4B9A-8C0A-330B89BCB079}: DhcpNameServer = 212.186.211.21 195.34.133.21

O18:64bit: - Protocol\Handler\ms-help - No CLSID value found

O18:64bit: - Protocol\Handler\skype4com - No CLSID value found

O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Program Files (x86)\Common Files\Skype\Skype4COM.dll (Skype Technologies)

O20 - AppInit_DLLs: (c:\progra~3\browse~1\23796~1.11\{16cdf~1\browse~1.dll) - c:\ProgramData\Browser Manager\2.3.796.11\{16cdff19-861d-48e3-a751-d99a27784753}\browsemngr.dll ()

O20:64bit: - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)

O20:64bit: - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\SysNative\userinit.exe (Microsoft Corporation)

O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\SysWow64\explorer.exe (Microsoft Corporation)

O20 - HKLM Winlogon: UserInit - (userinit.exe) - C:\Windows\SysWow64\userinit.exe (Microsoft Corporation)

O20 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096 Winlogon: Shell - (explorer.exe) - C:\Windows\SysWow64\explorer.exe (Microsoft Corporation)

O20 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096 Winlogon: Shell - (C:\Users\ralf.rotzek\AppData\Roaming\skype.dat) - C:\Users\ralf.rotzek\AppData\Roaming\skype.dat ()

O20:64bit: - Winlogon\Notify\igfxcui: DllName - (igfxdev.dll) - C:\Windows\SysNative\igfxdev.dll (Intel Corporation)

O21:64bit: - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.

O31 - SafeBoot: UseAlternatShell - 1

O32 - HKLM CDRom: AutoRun - 1

O33 - MountPoints2\{4bf50303-5d98-11e2-8993-9cb70d55773e}\Shell - "" = AutoRun

O33 - MountPoints2\{4bf50303-5d98-11e2-8993-9cb70d55773e}\Shell\AutoRun\command - "" = D:\LaunchU3.exe -a

O34 - HKLM BootExecute: (autocheck autochk *)

O35:64bit: - HKLM\..comfile [open] -- "%1" %*

O35:64bit: - HKLM\..exefile [open] -- "%1" %*

O35 - HKLM\..comfile [open] -- "%1" %*

O35 - HKLM\..exefile [open] -- "%1" %*

O37:64bit: - HKLM\...com [@ = comfile] -- "%1" %*

O37:64bit: - HKLM\...exe [@ = exefile] -- "%1" %*

O37 - HKLM\...com [@ = comfile] -- "%1" %*

O37 - HKLM\...exe [@ = exefile] -- "%1" %*

O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)

O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)

O38 - SubSystems\\Windows: (ServerDll=sxssrv,4)

 
 ========== Files/Folders - Created Within 30 Days ==========

 

[2013.04.29 17:11:08 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Dell

[2013.04.27 13:41:03 | 000,000,000 | -HSD | C] -- C:\found.000

[2013.04.23 07:47:36 | 000,000,000 | ---D | C] -- C:\ProgramData\Intel

[2013.04.23 07:39:20 | 000,000,000 | R--D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Intel

[2013.04.23 07:39:12 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Common Files\postureAgent

[2013.04.21 21:56:42 | 000,000,000 | ---D | C] -- C:\Users\Public\Documents\CrashDump

[2013.04.21 21:55:19 | 000,203,544 | ---- | C] (DEVGURU Co., LTD.(www.devguru.co.kr)) -- C:\Windows\SysNative\drivers\ssudmdm.sys

[2013.04.21 21:55:19 | 000,102,936 | ---- | C] (DEVGURU Co., LTD.(www.devguru.co.kr)) -- C:\Windows\SysNative\drivers\ssudbus.sys

[2013.04.21 21:54:51 | 000,188,232 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadmdm.sys

[2013.04.21 21:54:51 | 000,021,320 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadmdfl.sys

[2013.04.21 21:54:51 | 000,017,736 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadwhnt.sys

[2013.04.21 21:54:51 | 000,017,736 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadwh.sys

[2013.04.21 21:54:51 | 000,017,224 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadcmnt.sys

[2013.04.21 21:54:51 | 000,017,224 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadcm.sys

[2013.04.21 21:54:50 | 000,169,288 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadbus.sys

[2013.04.21 21:54:34 | 000,188,232 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdmdm.sys

[2013.04.21 21:54:34 | 000,169,288 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdbus.sys

[2013.04.21 21:54:34 | 000,021,320 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdmdfl.sys

[2013.04.21 21:54:34 | 000,017,736 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdwhnt.sys

[2013.04.21 21:54:34 | 000,017,736 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdwh.sys

[2013.04.21 21:54:34 | 000,017,224 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdcmnt.sys

[2013.04.21 21:54:34 | 000,017,224 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdcm.sys

[2013.04.21 21:53:49 | 000,233,472 | ---- | C] (Teruten) -- C:\Windows\SysWow64\FsUsbExService.Exe

[2013.04.12 19:13:06 | 000,006,656 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\apisetschema.dll

[2013.04.12 19:13:05 | 005,550,424 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\ntoskrnl.exe

[2013.04.12 19:13:04 | 003,968,856 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\ntkrnlpa.exe

[2013.04.12 19:13:04 | 003,913,560 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\ntoskrnl.exe

[2013.04.12 19:13:04 | 000,043,520 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\csrsrv.dll

[2013.04.12 19:13:03 | 000,112,640 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\smss.exe

[2013.04.12 19:12:31 | 000,097,792 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\mshtmled.dll

[2013.04.12 19:12:31 | 000,067,584 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\mshtmled.dll

[2013.04.12 19:12:29 | 000,735,232 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\msfeeds.dll

[2013.04.12 19:12:26 | 000,247,808 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\ieui.dll

[2013.04.12 19:12:26 | 000,176,640 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\ieui.dll

[2013.04.12 19:12:26 | 000,134,144 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\url.dll

[2013.04.12 19:12:26 | 000,132,096 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\url.dll

[2013.04.04 22:36:41 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Common Files\Adobe

[2 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ]

 
 ========== Files - Modified Within 30 Days ==========

 

[2013.05.01 21:35:36 | 000,799,822 | ---- | M] () -- C:\Windows\SysNative\PerfStringBackup.INI

[2013.05.01 21:35:36 | 000,665,388 | ---- | M] () -- C:\Windows\SysNative\perfh009.dat

[2013.05.01 21:35:36 | 000,127,228 | ---- | M] () -- C:\Windows\SysNative\perfc009.dat

[2013.05.01 21:04:25 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat

[2013.05.01 21:04:23 | 3127,648,256 | -HS- | M] () -- C:\hiberfil.sys

[2013.05.01 17:27:38 | 000,019,328 | -H-- | M] () -- C:\Windows\SysNative\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

[2013.05.01 17:27:38 | 000,019,328 | -H-- | M] () -- C:\Windows\SysNative\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

[2013.05.01 17:26:44 | 000,000,463 | ---- | M] () -- C:\Windows\SMSCFG.ini

[2013.05.01 17:26:22 | 000,001,116 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineCore.job

[2013.05.01 17:25:59 | 000,000,004 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\skype.ini

[2013.04.29 17:15:00 | 000,000,830 | ---- | M] () -- C:\Windows\tasks\Adobe Flash Player Updater.job

[2013.04.29 17:11:09 | 000,001,077 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk

[2013.04.27 13:43:00 | 000,003,288 | ---- | M] () -- C:\bootsqm.dat

[2013.04.26 23:25:07 | 000,297,170 | RHS- | M] () -- C:\ProgramData\ntuser.pol

[2013.04.26 23:18:01 | 000,001,120 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineUA.job

[2013.04.26 05:37:09 | 000,015,260 | RHS- | M] () -- C:\Users\ralf.rotzek\ntuser.pol

[2013.04.19 13:31:08 | 000,172,451 | ---- | M] () -- C:\Users\ralf.rotzek\Desktop\Telefonrechnung März.xps

[2013.04.14 12:40:12 | 000,343,592 | ---- | M] () -- C:\Windows\SysNative\FNTCACHE.DAT

[2013.04.12 19:13:49 | 000,691,592 | ---- | M] (Adobe Systems Incorporated) -- C:\Windows\SysWow64\FlashPlayerApp.exe

[2013.04.12 19:13:49 | 000,071,048 | ---- | M] (Adobe Systems Incorporated) -- C:\Windows\SysWow64\FlashPlayerCPLApp.cpl

[2013.04.11 08:29:51 | 000,001,023 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk

[2013.04.07 19:52:40 | 000,001,754 | ---- | M] () -- C:\Users\ralf.rotzek\Desktop\EP_20130407.lnk

[2 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ]

 
 ========== Files Created - No Company Name ==========

 

[2013.04.29 17:11:28 | 000,001,077 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk

[2013.04.27 13:43:00 | 000,003,288 | ---- | C] () -- C:\bootsqm.dat

[2013.04.26 23:33:27 | 000,000,004 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Roaming\skype.ini

[2013.04.23 07:39:18 | 000,008,192 | ---- | C] () -- C:\Windows\SysNative\drivers\IntelMEFWVer.dll

[2013.04.21 21:53:49 | 000,110,592 | ---- | C] () -- C:\Windows\SysWow64\FsUsbExDevice.Dll

[2013.04.21 21:53:49 | 000,037,344 | ---- | C] () -- C:\Windows\SysWow64\FsUsbExDisk.Sys

[2013.04.19 13:31:07 | 000,172,451 | ---- | C] () -- C:\Users\ralf.rotzek\Desktop\Telefonrechnung März.xps

[2013.04.07 19:52:40 | 000,001,754 | ---- | C] () -- C:\Users\ralf.rotzek\Desktop\EP_20130407.lnk

[2013.04.04 22:37:00 | 000,002,441 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Reader XI.lnk

[2012.11.05 11:34:38 | 000,000,085 | -HS- | C] () -- C:\ProgramData\.zreglib

[2012.10.29 12:45:06 | 003,189,760 | ---- | C] () -- C:\Windows\SysWow64\hpbcfgre.DLL

[2012.10.28 22:27:45 | 000,040,448 | ---- | C] () -- C:\Windows\SysWow64\regobj.dll

[2012.10.14 20:50:43 | 000,000,426 | ---- | C] () -- C:\Windows\BRWMARK.INI

[2012.10.14 20:50:43 | 000,000,034 | ---- | C] () -- C:\Windows\SysWow64\BD2030.DAT

[2012.10.10 12:40:24 | 000,007,603 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Local\Resmon.ResmonCfg

[2012.10.08 08:02:38 | 000,004,764 | ---- | C] () -- C:\Windows\SysWow64\CcmFramework.ini

[2012.10.04 10:45:26 | 000,000,099 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Local\fusioncache.dat

[2012.10.03 20:06:31 | 000,017,776 | ---- | C] () -- C:\Windows\EvtMessage.dll

[2012.10.02 12:58:17 | 000,015,260 | RHS- | C] () -- C:\Users\ralf.rotzek\ntuser.pol

[2012.10.02 12:52:55 | 000,000,463 | ---- | C] () -- C:\Windows\SMSCFG.ini

[2012.09.26 20:57:16 | 000,030,568 | ---- | C] () -- C:\Windows\MusiccityDownload.exe

[2012.09.26 20:57:14 | 000,974,848 | ---- | C] () -- C:\Windows\SysWow64\cis-2.4.dll

[2012.09.26 20:57:14 | 000,081,920 | ---- | C] () -- C:\Windows\SysWow64\issacapi_bs-2.3.dll

[2012.09.26 20:57:14 | 000,065,536 | ---- | C] () -- C:\Windows\SysWow64\issacapi_pe-2.3.dll

[2012.09.26 20:57:14 | 000,057,344 | ---- | C] () -- C:\Windows\SysWow64\issacapi_se-2.3.dll

[2012.08.28 21:47:39 | 000,963,116 | ---- | C] () -- C:\Windows\SysWow64\igkrng600.bin

[2012.08.28 21:47:38 | 000,218,304 | ---- | C] () -- C:\Windows\SysWow64\igfcg600m.bin

[2012.08.28 21:47:36 | 000,056,832 | ---- | C] () -- C:\Windows\SysWow64\igdde32.dll

[2012.08.28 21:47:35 | 000,145,804 | ---- | C] () -- C:\Windows\SysWow64\igcompkrng600.bin

[2012.08.28 21:47:34 | 013,906,944 | ---- | C] () -- C:\Windows\SysWow64\ig4icd32.dll

[2012.08.28 12:06:20 | 000,297,170 | RHS- | C] () -- C:\ProgramData\ntuser.pol

[2012.08.15 13:45:27 | 000,087,040 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Roaming\skype.dat

[2012.08.15 11:15:35 | 000,785,734 | ---- | C] () -- C:\Windows\SysWow64\PerfStringBackup.INI

[2012.08.15 11:01:34 | 000,000,051 | ---- | C] () -- C:\Windows\smsts.ini

 
 ========== ZeroAccess Check ==========

 

[2009.07.14 06:55:00 | 000,000,227 | RHS- | M] () -- C:\Windows\assembly\Desktop.ini

 

[HKEY_CURRENT_USER\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] /64

 

[HKEY_CURRENT_USER\Software\Classes\Wow6432node\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

 

[HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32] /64

 

[HKEY_CURRENT_USER\Software\Classes\Wow6432node\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32]

 

[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] /64

"" = C:\Windows\SysNative\shell32.dll -- [2012.06.09 07:43:10 | 014,172,672 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Apartment

 

[HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

"" = %SystemRoot%\system32\shell32.dll -- [2012.06.09 06:41:00 | 012,873,728 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Apartment

 

[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32] /64

"" = C:\Windows\SysNative\wbem\fastprox.dll -- [2012.08.21 15:11:31 | 000,857,088 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Free

 

[HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32]

"" = %systemroot%\system32\wbem\fastprox.dll -- [2012.08.21 15:37:44 | 000,636,928 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Free

 

[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32] /64

"" = C:\Windows\SysNative\wbem\wbemess.dll -- [2012.08.21 15:08:38 | 000,453,120 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Both

 

[HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32]

 
 ========== Alternate Data Streams ==========

 

@Alternate Data Stream - 192 bytes -> C:\Windows:nlsPreferences

@Alternate Data Stream - 121 bytes -> C:\ProgramData\TEMP:264B2CC4
 

< End of report >

Hallo Leo,

ich hab mir nun den Bitlocker Key organisiert und die Platte damit freigeschaltet. Nun geht der abgesicherte Modus und ich habe OTL laufen gelassen.

Hier die Logs:

Hallo,

mach folgenden OTL-Fix und schau danach, ob du den Rechner wieder normal starten kannst.

Schritt 1

Erstelle zuerst auf einem Zweitrechner das Fixskript:

Drücke dazu bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, schreibe "notepad" in das Ausführen Fenster und drücke OK.
Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument:
(Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.)

Code:

:OTL [2013.04.26 23:33:27 | 000,000,004 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Roaming\skype.ini O20 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096 Winlogon: Shell - (C:\Users\ralf.rotzek\AppData\Roaming\skype.dat) - C:\Users\ralf.rotzek\AppData\Roaming\skype.dat ()
Speichere dann die Datei als fix.txt auf den USB-Stick, wo die OTL.exe liegt.

Danach führe folgendermassen den Fix aus:

Schliesse den USB-Stick wieder an den infizierten Rechner an und starte diesen in den abgesicherten Modus mit Eingabeaufforderung.
Gib nun bitte folgenden Befehl in die Kommandozeile ein und drücke Enter:
e:\OTL.exe
Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks. Wenn es bei dir ein anderer Buchstabe ist, dann passe den Befehl entsprechend an.
Es sollte sich nun das Fenster von OTL öffnen.
Klicke auf den Fix Button.
Drücke dann OK, um den Fix von einem File zu laden.
Wähle die erstellte fix.txt auf dem USB-Stick aus. Ihr Inhalt wird in die Textbox eingefügt.
Klicke nun erneut auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Diesen bitte zulassen.
Nach einem Neustart versuche wieder in den normalen Modus zu booten.
Auf deinem USB-Stick sollte im Ordner _OTL ein Log-File (\_OTL\MovedFiles\<time_date>.txt) erstellt worden sein.
Kopiere nun dessen Inhalt hier in deinen Thread.

Bitte poste in deiner nächsten Antwort:

Fixlog von OTL

Hi Leo,

danke für die Nachricht. Ich habe in der Zwischenzeit mal den ESET Online Scanner angeworfen, der mittlerweile seit gut 3,5h läuft und werde anschließend OTL laufen lassen. ESET hat mittlerweile bereits 2 Infected Files gefunden.

Startet denn der Rechner nach obigem Fix wieder normal oder nicht?
(Wenn ich dir bei der Malware-Entfernung helfen soll, dann bitte keine Alleingänge ohne Absprache.)

Ok, ich dachte, ein Scan zwischenzeitlich kann nicht schaden... Sorry! Den obigen Fix würde ich erst machen, wenn ESET fertig gescannt hat. Oder soll ich den laufenden Scan beenden?

ESET abbrechen - OTL-Fix durchführen - schauen, ob wieder in den normalen Modus gestartet werden kann.

Hi Leo,

juhuu, also erst einmal: der Rechner startet wieder normal! Allerdings braucht er ziemlich lange nach der Anmeldung, bis der Desktop erscheint (ca. 1 Minute). Das ging früher in wenigen Sekunden.

Anbei das LogFile nach dem Fix:

Code:

========== OTL ==========

File C:\Users\ralf.rotzek\AppData\Roaming\skype.ini not found.

Registry value HKEY_USERS\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell not found.

File C:\Users\ralf.rotzek\AppData\Roaming\skype.dat not found.

 

OTL by OldTimer - Version 3.2.69.0 log created on 05022013_041915

Gut. Dann mach bitte so weiter:

Schritt 1

Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2

Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

WICHTIG: Speichere Combofix auf deinem Desktop.

Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!

Wenn Combofix fertig ist, wird es ein Logfile erstellen.

Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

Schritt 3

Verschiebe die OTL.exe vom USB-Stick auf deinen Desktop und starte sie.

Setze den Haken bei Scan all Users.
Drücke auf den Quick Scan Button.
Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

Log von Adwcleaner
Log von Combofix
Log von OTL

Anbei die Logs von Adwcleaner, ComboFix und OTL:

Code:

# AdwCleaner v2.300 - Logfile created 05/01/2013 at 23:54:51

# Updated 28/04/2013 by Xplode

# Operating system : Windows 7 Enterprise Service Pack 1 (64 bits)

# User : ralf.rotzek - MW7GT9G94ZUZYG

# Boot Mode : Normal

# Running from : D:\adwcleaner.exe

# Option [Delete]
 
 

***** [Services] *****
 
 

***** [Files / Folders] *****
 

File Deleted : C:\Program Files (x86)\Mozilla Firefox\searchplugins\babylon.xml

File Deleted : C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\iLivid.lnk

File Deleted : C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\searchplugins\Askcom.xml

File Deleted : C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\searchplugins\browsemngr.xml

File Deleted : C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\searchplugins\Searchab.xml

File Deleted : C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\searchplugins\Web Search.xml

Folder Deleted : C:\Program Files (x86)\Ask.com

Folder Deleted : C:\ProgramData\Ask

Folder Deleted : C:\ProgramData\Babylon

Folder Deleted : C:\ProgramData\Browser Manager

Folder Deleted : C:\ProgramData\Tarma Installer

Folder Deleted : C:\Users\ralf.rotzek\AppData\Local\APN

Folder Deleted : C:\Users\ralf.rotzek\AppData\Local\Ilivid

Folder Deleted : C:\Users\ralf.rotzek\AppData\LocalLow\AskToolbar

Folder Deleted : C:\Users\ralf.rotzek\AppData\LocalLow\BabylonToolbar

Folder Deleted : C:\Users\ralf.rotzek\AppData\Roaming\Babylon

Folder Deleted : C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\extensions\staged

Folder Deleted : C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\extensions\toolbar@ask.com

Folder Deleted : C:\Users\ralf.rotzek\AppData\Roaming\pdfforge

Folder Deleted : C:\Windows\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
 

***** [Registry] *****
 

Key Deleted : HKCU\Software\APN

Key Deleted : HKCU\Software\AppDataLow\Software\AskToolbar

Key Deleted : HKCU\Software\Ask.com

Key Deleted : HKCU\Software\DataMngr

Key Deleted : HKCU\Software\DataMngr_Toolbar

Key Deleted : HKCU\Software\ilivid

Key Deleted : HKCU\Software\InstallCore

Key Deleted : HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\bProtectSettings

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{16ADEA98-D215-4F51-80AF-5E5ED660B9C0}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{31AD400D-1B06-4E33-A59A-90C2C140CBA0}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{FD72061E-9FDE-484D-A58A-0BAB4151CAD8}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{00000000-6E41-4FD3-8538-502F5495E5FC}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{16ADEA98-D215-4F51-80AF-5E5ED660B9C0}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{31AD400D-1B06-4E33-A59A-90C2C140CBA0}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49DD-99D7-DC866BE87DBC}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{AE07101B-46D4-4A98-AF68-0333EA26E113}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{DF7770F7-832F-4BDF-B144-100EDDD0C3AE}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FD72061E-9FDE-484D-A58A-0BAB4151CAD8}

Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\{79A765E1-C399-405B-85AF-466F52E918B0}

Key Deleted : HKCU\Software\StartSearch

Key Deleted : HKCU\Software\5e578ddbe23ae448

Key Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{006EE092-9658-4FD6-BD8E-A21A348E59F5}

Key Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}

Key Deleted : HKLM\Software\APN

Key Deleted : HKLM\Software\AskToolbar

Key Deleted : HKLM\Software\Babylon

Key Deleted : HKLM\SOFTWARE\Classes\AppID\{4D076AB4-7562-427A-B5D2-BD96E19DEE56}

Key Deleted : HKLM\SOFTWARE\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}

Key Deleted : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}

Key Deleted : HKLM\SOFTWARE\Classes\AppID\GenericAskToolbar.DLL

Key Deleted : HKLM\SOFTWARE\Classes\AppID\secman.DLL

Key Deleted : HKLM\SOFTWARE\Classes\Applications\ilividsetup.exe

Key Deleted : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd

Key Deleted : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd.1

Key Deleted : HKLM\Software\Classes\Installer\Features\A28B4D68DEBAA244EB686953B7074FEF

Key Deleted : HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF

Key Deleted : HKLM\SOFTWARE\Classes\Prod.cap

Key Deleted : HKLM\SOFTWARE\Classes\TypeLib\{11549FE4-7C5A-4C17-9FC3-56FC5162A994}

Key Deleted : HKLM\SOFTWARE\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}

Key Deleted : HKLM\Software\DataMngr

Key Deleted : HKLM\SOFTWARE\Microsoft\Tracing\iLividSetup_RASAPI32

Key Deleted : HKLM\SOFTWARE\Microsoft\Tracing\iLividSetup_RASMANCS

Key Deleted : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASAPI32

Key Deleted : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASMANCS

Key Deleted : HKLM\SOFTWARE\Microsoft\Tracing\SnapDo_RASAPI32

Key Deleted : HKLM\SOFTWARE\Microsoft\Tracing\SnapDo_RASMANCS

Key Deleted : HKLM\SOFTWARE\Wow6432Node\5e578ddbe23ae448

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{80922EE0-8A76-46AE-95D5-BD3C3FE0708D}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{826D7151-8D99-434B-8540-082B8C2AE556}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{AE07101B-46D4-4A98-AF68-0333EA26E113}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{10DE7085-6A1E-4D41-A7BF-9AF93E351401}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{1AD27395-1659-4DFF-A319-2CFA243861A5}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\aaaaojmikegpiepcfdkkjaplodkpfmlo

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\pgafcinpmmpklohkojmllohdhomoefph

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}

Key Deleted : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\ilivid

Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{AE07101B-46D4-4A98-AF68-0333EA26E113}

Key Deleted : HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}

Key Deleted : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}

Key Deleted : HKLM\SOFTWARE\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}

Key Deleted : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}

Key Deleted : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}

Key Deleted : HKLM\SOFTWARE\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}

Key Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF

Key Deleted : HKLM\SOFTWARE\Tarma Installer

Value Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes [bProtectorDefaultScope]

Value Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]

Value Deleted : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{00000000-6E41-4FD3-8538-502F5495E5FC}]

Value Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [ApnUpdater]

Value Deleted : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{AE07101B-46D4-4A98-AF68-0333EA26E113}]

Value Deleted : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{D4027C7F-154A-4066-A1AD-4243D8127440}]

Value Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{AE07101B-46D4-4A98-AF68-0333EA26E113}]
 

***** [Internet Browsers] *****
 

-\\ Internet Explorer v8.0.7601.17514
 

Replaced : [HKCU\Software\Microsoft\Internet Explorer\Main - Search Page] = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms} --> hxxp://www.google.com

Replaced : [HKCU\Software\Microsoft\Internet Explorer\Main - Search Bar] = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms} --> hxxp://www.google.com

Replaced : [HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls - Tabs] = hxxp://search.babylon.com/?affID=114874&tt=4312_2&babsrc=NT_ss&mntrId=5ac2f6890000000000009cb70d55773e --> hxxp://www.google.com

Replaced : [HKCU\Software\Microsoft\Internet Explorer\Search - Default_Search_URL] = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms} --> hxxp://www.google.com

Replaced : [HKCU\Software\Microsoft\Internet Explorer\Search - SearchAssistant] = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms} --> hxxp://www.google.com

Replaced : [HKCU\Software\Microsoft\Internet Explorer\SearchUrl - Default] = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms} --> hxxp://www.google.com

Replaced : [HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchUrl - Default] = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms} --> hxxp://www.google.com
 

-\\ Mozilla Firefox v3.6.3 (de)
 

File : C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\prefs.js
 

C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\user.js ... Deleted !
 

Deleted : user_pref("browser.startup.homepage", "hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d[...]

Deleted : user_pref("extensions.BabylonToolbar.admin", false);

Deleted : user_pref("extensions.BabylonToolbar.aflt", "babsst");

Deleted : user_pref("extensions.BabylonToolbar.appId", "{BDB69379-802F-4eaf-B541-F8DE92DD98DB}");

Deleted : user_pref("extensions.BabylonToolbar.autoRvrt", "false");

Deleted : user_pref("extensions.BabylonToolbar.dfltLng", "en");

Deleted : user_pref("extensions.BabylonToolbar.excTlbr", false);

Deleted : user_pref("extensions.BabylonToolbar.id", "5ac2f6890000000000009cb70d55773e");

Deleted : user_pref("extensions.BabylonToolbar.instlDay", "15638");

Deleted : user_pref("extensions.BabylonToolbar.instlRef", "na");

Deleted : user_pref("extensions.BabylonToolbar.prdct", "BabylonToolbar");

Deleted : user_pref("extensions.BabylonToolbar.prtnrId", "babylon");

Deleted : user_pref("extensions.BabylonToolbar.tlbrId", "base");

Deleted : user_pref("extensions.BabylonToolbar.tlbrSrchUrl", "hxxp://search.babylon.com/?babsrc=TB_def&mntrId=[...]

Deleted : user_pref("extensions.BabylonToolbar.vrsn", "1.8.3.8");

Deleted : user_pref("extensions.BabylonToolbar.vrsni", "1.8.3.8");

Deleted : user_pref("extensions.BabylonToolbar_i.babExt", "");

Deleted : user_pref("extensions.BabylonToolbar_i.babTrack", "affID=114874&tt=4312_2");

Deleted : user_pref("extensions.BabylonToolbar_i.newTab", false);

Deleted : user_pref("extensions.BabylonToolbar_i.smplGrp", "none");

Deleted : user_pref("extensions.BabylonToolbar_i.srcExt", "ss");

Deleted : user_pref("extensions.BabylonToolbar_i.vrsnTs", "1.8.3.811:19:40");

Deleted : user_pref("keyword.URL", "hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e&q=");

Deleted : user_pref("extensions.asktb.ff-original-keyword-url", "hxxp://feed.snap.do/?publisher=SnapdoIMonetiz[...]

Deleted : user_pref("extensions.asktb.ff-original-keyword-url", "hxxp://feed.snap.do/?publisher=SnapdoIMonetiz[...]
 

-\\ Google Chrome v26.0.1410.64
 

File : C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Preferences
 

[OK] File is clean.
 

*************************
 

AdwCleaner[R3].txt - [13813 octets] - [01/05/2013 23:53:41]

AdwCleaner[R4].txt - [13874 octets] - [01/05/2013 23:54:19]

AdwCleaner[S1].txt - [14155 octets] - [01/05/2013 23:54:51]
 

########## EOF - C:\AdwCleaner[S1].txt - [14216 octets] ##########

Code:

ComboFix 13-05-01.03 - ralf.rotzek 02.05.2013   0:10:37.1.4 - x64

Microsoft Windows 7 Enterprise   6.1.7601.1.1252.49.1033.18.3977.1975 [GMT 2:00]

ausgeführt von:: D:\ComboFix.exe

AV: Microsoft Forefront Endpoint Protection *Enabled/Updated* {108DAC43-C256-20B7-BB05-914135DA5160}

SP: Microsoft Forefront Endpoint Protection *Enabled/Updated* {ABEC4DA7-E46C-2F39-81B5-AA334E5D1BDD}

SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 
  ADS - Windows: deleted 192 bytes in 1 streams. 
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
 
 

C:\data

C:\data\RCC\DATABASE\BACKUP\EmptyRCC.mdb

C:\data\RCC\DATABASE\RCC.mdb

C:\Users\ralf.rotzek\AppData\Local\assembly\tmp

C:\Users\ralf.rotzek\AppData\Roaming\skype.ini

C:\Windows\security\Database\tmp.edb

C:\Windows\SysWow64\muzapp.exe

C:\Windows\SysWow64\regobj.dll

C:\Windows\SysWow64\URTTemp

C:\Windows\SysWow64\URTTemp\regtlib.exe
 
 

(((((((((((((((((((((((   Dateien erstellt von 2013-04-01 bis 2013-05-01  ))))))))))))))))))))))))))))))
 
 

2013-05-01 22:21:58 . 2013-05-01 22:21:58        --------        d-----w-        C:\Users\Default\AppData\Local\temp

2013-05-01 22:21:58 . 2013-05-01 22:21:58        --------        d-----w-        C:\Users\Administrator\AppData\Local\temp

2013-05-01 20:25:48 . 2013-05-01 20:25:48        --------        d-----w-        C:\Users\ralf.rotzek\AppData\Roaming\Malwarebytes

2013-05-01 20:25:36 . 2013-05-01 20:25:37        --------        d-----w-        C:\Program Files (x86)\Malwarebytes' Anti-Malware

2013-05-01 20:25:36 . 2013-05-01 20:25:36        --------        d-----w-        C:\ProgramData\Malwarebytes

2013-05-01 20:25:36 . 2013-04-04 12:50:32        25928        ----a-w-        C:\Windows\system32\drivers\mbam.sys

2013-04-29 15:05:51 . 2013-04-10 03:46:09        9317456        ----a-w-        C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{F40F9F49-2CA3-4A4F-8224-002860DC8B49}\mpengine.dll

2013-04-27 11:41:03 . 2013-04-27 11:41:03        --------        d-----w-        C:\found.000

2013-04-23 05:47:36 . 2013-04-23 05:47:36        --------        d-----w-        C:\ProgramData\Intel

2013-04-23 05:39:18 . 2012-02-21 09:47:38        8192        ----a-w-        C:\Windows\system32\drivers\IntelMEFWVer.dll

2013-04-23 05:39:12 . 2013-04-23 05:39:12        --------        d-----w-        C:\Program Files (x86)\Common Files\postureAgent

2013-04-21 19:55:19 . 2013-02-22 07:17:06        203544        ----a-w-        C:\Windows\system32\drivers\ssudmdm.sys

2013-04-21 19:55:19 . 2013-02-22 07:17:06        102936        ----a-w-        C:\Windows\system32\drivers\ssudbus.sys

2013-04-21 19:53:49 . 2013-03-20 08:07:18        233472        ----a-w-        C:\Windows\SysWow64\FsUsbExService.Exe

2013-04-21 19:53:49 . 2013-03-20 08:07:16        37344        ----a-w-        C:\Windows\SysWow64\FsUsbExDisk.Sys

2013-04-21 19:53:49 . 2012-09-26 18:57:48        110592        ----a-w-        C:\Windows\SysWow64\FsUsbExDevice.Dll

2013-04-12 17:13:56 . 2013-01-24 06:01:01        223752        ----a-w-        C:\Windows\system32\drivers\fvevol.sys

2013-04-12 17:13:06 . 2013-03-19 04:47:50        6656        ----a-w-        C:\Windows\SysWow64\apisetschema.dll

2013-04-12 17:13:05 . 2013-03-19 06:04:06        5550424        ----a-w-        C:\Windows\system32\ntoskrnl.exe

2013-04-12 17:13:04 . 2013-03-19 05:46:56        43520        ----a-w-        C:\Windows\system32\csrsrv.dll

2013-04-12 17:13:04 . 2013-03-19 05:04:13        3968856        ----a-w-        C:\Windows\SysWow64\ntkrnlpa.exe

2013-04-12 17:13:04 . 2013-03-19 05:04:10        3913560        ----a-w-        C:\Windows\SysWow64\ntoskrnl.exe

2013-04-12 17:13:03 . 2013-03-19 03:06:33        112640        ----a-w-        C:\Windows\system32\smss.exe

2013-04-12 17:11:50 . 2013-03-02 06:04:53        1655656        ----a-w-        C:\Windows\system32\drivers\ntfs.sys

2013-04-04 20:36:41 . 2013-04-04 20:36:50        --------        d-----w-        C:\Program Files (x86)\Common Files\Adobe

.
 
 

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
 

2013-04-12 17:13:49 . 2012-08-15 09:36:47        71048        ----a-w-        C:\Windows\SysWow64\FlashPlayerCPLApp.cpl

2013-04-12 17:13:49 . 2012-08-15 09:36:47        691592        ----a-w-        C:\Windows\SysWow64\FlashPlayerApp.exe

2013-04-12 17:05:24 . 2012-08-15 09:34:44        72702784        ----a-w-        C:\Windows\system32\MRT.exe

2013-04-10 03:46:09 . 2012-08-28 10:15:47        9317456        ----a-w-        C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll

2013-04-02 10:34:28 . 2010-11-21 03:27:21        282744        ------w-        C:\Windows\system32\MpSigStub.exe

2013-04-01 18:51:16 . 2013-04-01 18:51:16        283200        ----a-w-        C:\Windows\system32\drivers\dtsoftbus01.sys

2013-03-10 22:41:54 . 2013-03-10 22:41:58        95648        ----a-w-        C:\Windows\SysWow64\WindowsAccessBridge-32.dll

2013-03-10 22:41:51 . 2012-08-15 09:38:23        861088        ----a-w-        C:\Windows\SysWow64\npdeployJava1.dll

2013-03-10 22:41:51 . 2012-08-15 09:38:23        782240        ----a-w-        C:\Windows\SysWow64\deployJava1.dll

2013-02-12 05:45:24 . 2013-03-15 16:10:38        135168        ----a-w-        C:\Windows\apppatch\AppPatch64\AcXtrnal.dll

2013-02-12 05:45:22 . 2013-03-15 16:10:39        111104        ----a-w-        C:\Windows\apppatch\AppPatch64\acspecfc.dll

2013-02-12 05:45:22 . 2013-03-15 16:10:38        308736        ----a-w-        C:\Windows\apppatch\AppPatch64\AcGenral.dll

2013-02-12 05:45:22 . 2013-03-15 16:10:36        350208        ----a-w-        C:\Windows\apppatch\AppPatch64\AcLayers.dll

2013-02-12 04:48:31 . 2013-03-15 16:10:37        474112        ----a-w-        C:\Windows\apppatch\AcSpecfc.dll

2013-02-12 04:48:26 . 2013-03-15 16:10:37        2176512        ----a-w-        C:\Windows\apppatch\AcGenral.dll

2013-02-12 04:12:06 . 2013-03-15 16:20:23        19968        ----a-w-        C:\Windows\system32\drivers\usb8023x.sys

2013-02-12 04:12:05 . 2013-03-15 16:20:23        19968        ----a-w-        C:\Windows\system32\drivers\usb8023.sys
 
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
 
 

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt1]

@="{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}]

2012-11-13 23:32:48        129272        ----a-w-        C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\DropboxExt.17.dll
 

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt2]

@="{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}]

2012-11-13 23:32:48        129272        ----a-w-        C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\DropboxExt.17.dll
 

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt3]

@="{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}]

2012-11-13 23:32:48        129272        ----a-w-        C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\DropboxExt.17.dll
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"KiesPreload"="C:\Program Files (x86)\Samsung\Kies\Kies.exe" [2013-03-28 09:32:32 1511792]

"KiesAirMessage"="C:\Program Files (x86)\Samsung\Kies\KiesAirMessage.exe" [2013-03-20 08:08:36 578560]

"swg"="C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2012-10-13 16:06:20 39408]

"OfficeSyncProcess"="C:\Program Files (x86)\Microsoft Office\Office14\MSOSYNC.EXE" [2012-01-21 02:03:48 719672]

"DAEMON Tools Lite"="C:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe" [2013-03-14 08:23:30 3672640]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]

"BCSSync"="C:\Program Files (x86)\Microsoft Office\Office14\BCSSync.exe" [2010-03-13 19:54:26 91520]

"Communicator"="C:\Program Files (x86)\Microsoft Lync\communicator.exe" [2012-07-27 20:40:12 12100696]

"FreePDF Assistant"="C:\Program Files (x86)\FreePDF_XP\fpassist.exe" [2007-04-25 19:05:34 311296]

"APSDaemon"="C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2012-10-11 20:56:08 59280]

"iTunesHelper"="C:\Program Files (x86)\iTunes\iTunesHelper.exe" [2012-09-09 21:30:34 421776]

"TkBellExe"="C:\Program Files (x86)\Real\RealPlayer\update\realsched.exe" [2012-10-13 16:05:07 296096]

"ArcSoft Connection Service"="C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACDaemon.exe" [2010-10-27 17:17:52 207424]

"EEventManager"="C:\Program Files (x86)\Epson Software\Event Manager\EEventManager.exe" [2009-12-17 17:50:18 976832]

"KiesTrayAgent"="C:\Program Files (x86)\Samsung\Kies\KiesTrayAgent.exe" [2013-03-28 09:32:34 310640]

"PDFPrint"="C:\Program Files (x86)\PDF24\pdf24.exe" [2012-11-16 11:05:24 162408]

"QuickTime Task"="C:\Program Files (x86)\QuickTime\QTTask.exe" [2012-10-25 02:12:14 421888]

"SunJavaUpdateSched"="C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe" [2012-07-03 07:04:54 252848]

"VC10Player"="C:\Program Files (x86)\Virtual CD v10\System\VC10Play.exe" [2013-01-08 14:20:12 409608]

"Adobe ARM"="C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-12-18 19:08:28 946352]
 

C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

Smart Settings.lnk - C:\Program Files\Dell\Feature Enhancement Pack\SmartSettings.exe [2012-8-15 507448]
 

C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

Dropbox.lnk - C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\Dropbox.exe [2013-3-12 29106336]

OneNote 2010 Screen Clipper and Launcher.lnk - C:\Program Files (x86)\Microsoft Office\Office14\ONENOTEM.EXE [2013-1-8 228448]

Smart Settings.lnk - C:\Program Files\Dell\Feature Enhancement Pack\SmartSettings.exe [2012-8-15 507448]
 

C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

Smart Settings.lnk - C:\Program Files\Dell\Feature Enhancement Pack\SmartSettings.exe [2012-8-15 507448]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 5 (0x5)

"ConsentPromptBehaviorUser"= 3 (0x3)

"EnableUIADesktopToggle"= 0 (0x0)

"disablecad"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]

"DontSetAutoplayCheckbox"= 1 (0x1)
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"ForceRunOnStartMenu"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\windows]

"LoadAppInit_DLLs"=1 (0x1)
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]

@="Service"
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"
 

R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;C:\Windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 13:27:14 138576]

R2 dsiasrv;DSM CM Inventory Agent;C:\Program Files (x86)\Dell\SysMgt\dsia\bin\DsiaSrv32.exe [2011-11-02 09:23:02 149400]

R3 d554gps;Dell Wireless  HSPA Mini-Card GPS Port;C:\Windows\system32\drivers\d554gps64.sys [2010-12-01 21:02:16 101416]

R3 dc21x4vm;dc21x4vm;C:\Windows\system32\DRIVERS\dc21x4vm.sys [2009-06-10 20:34:41 57344]

R3 dg_ssudbus;SAMSUNG Mobile USB Composite Device Driver (DEVGURU Ver.);C:\Windows\system32\DRIVERS\ssudbus.sys [2013-02-22 07:17:06 102936]

R3 dgderdrv;dgderdrv;C:\Windows\system32\drivers\dgderdrv.sys [x]

R3 dmvsc;dmvsc;C:\Windows\system32\drivers\dmvsc.sys [2010-11-21 03:23:48 71168]

R3 ecnssndis; Mobile Broadband Driver;C:\Windows\System32\Drivers\wwuss64.sys [2010-02-24 00:25:30 26664]

R3 ecnssndisfltr; Mobile Broadband Driver Filter;C:\Windows\System32\Drivers\wwussf64.sys [2010-02-24 00:25:30 30248]

R3 FsUsbExDisk;FsUsbExDisk;C:\Windows\SysWOW64\FsUsbExDisk.SYS [2013-03-20 08:07:16 37344]

R3 HH10Help.sys;HH10Help.sys;C:\Windows\system32\drivers\HH10Help.sys [x]

R3 Impcd;Impcd;C:\Windows\system32\drivers\Impcd.sys [2010-02-27 04:32:14 158976]

R3 Mbm3CBus;Ericsson MobileBroadband Module (WDM);C:\Windows\system32\drivers\Mbm3CBus.sys [2011-01-03 21:14:20 378952]

R3 Mbm3DevMt;Dell Wireless  HSPA Mini-Card Device Management Driver (WDM);C:\Windows\system32\drivers\Mbm3DevMt.sys [2010-10-31 21:43:10 419912]

R3 O2MDRRDR;O2MDRRDR;C:\Windows\system32\drivers\O2MDRw7x64.sys [2011-01-03 20:19:56 74984]

R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;C:\Windows\system32\drivers\rdpvideominiport.sys [2012-08-23 14:10:20 19456]

R3 ssadbus;SAMSUNG Android USB Composite Device driver (WDM);C:\Windows\system32\DRIVERS\ssadbus.sys [2013-02-22 07:16:54 169288]

R3 ssadmdfl;SAMSUNG Android USB Modem (Filter);C:\Windows\system32\DRIVERS\ssadmdfl.sys [2013-02-22 07:16:54 21320]

R3 ssadmdm;SAMSUNG Android USB Modem Drivers;C:\Windows\system32\DRIVERS\ssadmdm.sys [2013-02-22 07:16:54 188232]

R3 ssudmdm;SAMSUNG  Mobile USB Modem Drivers (DEVGURU Ver.);C:\Windows\system32\DRIVERS\ssudmdm.sys [2013-02-22 07:17:06 203544]

R3 Synth3dVsc;Microsoft Virtual 3D Video Transport Driver;C:\Windows\system32\drivers\Synth3dVsc.sys [2010-11-21 03:23:48 88960]

R3 SynthVid;SynthVid;C:\Windows\system32\DRIVERS\VMBusVideoM.sys [2010-11-21 03:23:48 22528]

R3 terminpt;Microsoft Remote Desktop Input Driver;C:\Windows\system32\drivers\terminpt.sys [2012-08-23 14:12:16 29696]

R3 TsUsbFlt;TsUsbFlt;C:\Windows\system32\drivers\tsusbflt.sys [2012-08-23 14:07:35 57856]

R3 TsUsbGD;Remote Desktop Generic USB Device;C:\Windows\system32\drivers\TsUsbGD.sys [2012-08-23 14:08:26 30208]

R3 tsusbhub;Remote Deskotop USB Hub;C:\Windows\system32\drivers\tsusbhub.sys [2010-11-21 03:23:48 117248]

R3 USBAAPL64;Apple Mobile USB Driver;C:\Windows\system32\Drivers\usbaapl64.sys [2012-07-09 11:42:54 52736]

R3 VGPU;VGPU;C:\Windows\system32\drivers\rdvgkmd.sys [x]

R3 WatAdminSvc;Windows Activation Technologies Service;C:\Windows\system32\Wat\WatAdminSvc.exe [2012-08-15 11:52:26 1255736]

S0 stdcfltn;Disk Class Filter Driver for Accelerometer;C:\Windows\system32\DRIVERS\stdcfltn.sys [2011-07-15 19:31:22 22128]

S1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;C:\Windows\system32\DRIVERS\dtsoftbus01.sys [2013-04-01 18:51:16 283200]

S1 vdrv1000;vdrv1000;C:\Windows\system32\DRIVERS\vdrv1000.sys [2012-12-06 09:09:24 226080]

S2 ABBYY.Licensing.FineReader.Sprint.9.0;ABBYY FineReader 9.0 Sprint Licensing Service;C:\Program Files (x86)\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe [2009-05-14 15:07:14 759048]

S2 Accenture Mobile Media Reminder Service;Accenture Mobile Media Reminder Service;C:\Program Files\Accenture\Mobile Media Reminder\MobileMediaReminderService.exe [2010-05-25 13:13:06 18432]

S2 AESTFilters;Andrea ST Filters Service;C:\Program Files\IDT\WDM\AESTSr64.exe [2009-03-03 07:42:58 89600]

S2 Credential Vault Host Control Service;Credential Vault Host Control Service;C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostControlService.exe [2010-10-28 12:05:48 1035680]

S2 Credential Vault Host Storage;Credential Vault Host Storage;C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostStorageService.exe [2010-10-28 12:05:50 36768]

S2 DFEPService;Dell Feature Enhancement Pack Service;C:\Program Files\Dell\Feature Enhancement Pack\DFEPService.exe [2012-08-15 14:38:04 2280504]

S2 FIMPasswordReset;Forefront Identity Manager Password Reset Client Service;C:\Program Files\Microsoft Forefront Identity Manager\2010\Password Reset Client Service\PwdMgmtProxy.exe [2012-07-11 21:51:36 80448]

S2 MBAMScheduler;MBAMScheduler;C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe [2013-04-04 12:50:32 418376]

S2 MBAMService;MBAMService;C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe [2013-04-04 12:50:32 701512]

S2 nlsX86cc;Nalpeiron Licensing Service;C:\Windows\SysWOW64\NLSSRV32.EXE [2012-11-13 17:04:10 70152]

S2 UNS;Intel(R) Management and Security Application User Notification Service;C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [2012-01-19 09:41:46 2594584]

S2 VC10SecS;Virtual CD v10 Management Service;C:\Program Files (x86)\Virtual CD v10\System\VC10SecS.exe [2013-01-08 14:20:06 147464]

S3 Acceler;Accelerometer Service;C:\Windows\system32\DRIVERS\Accelern.sys [2011-07-22 10:28:56 27760]

S3 cvusbdrv;Dell ControlVault;C:\Windows\system32\Drivers\cvusbdrv.sys [2010-08-24 12:46:02 38440]

S3 IntcDAud;Intel(R) Display Audio;C:\Windows\system32\DRIVERS\IntcDAud.sys [2010-10-15 13:28:18 317440]

S3 MBAMProtector;MBAMProtector;C:\Windows\system32\drivers\mbam.sys [2013-04-04 12:50:32 25928]

S3 MpNWMon;Microsoft Malware Protection Network Driver;C:\Windows\system32\DRIVERS\MpNWMon.sys [2011-04-18 11:18:50 40832]

S3 NisDrv;Microsoft Network Inspection System;C:\Windows\system32\DRIVERS\NisDrvWFP.sys [2011-04-27 13:25:24 84864]

S3 NisSrv;Microsoft Network Inspection;c:\Program Files\Microsoft Security Client\Antimalware\NisSrv.exe [2011-04-27 15:21:18 288272]

S3 O2MDFRDR;O2MDFRDR;C:\Windows\system32\DRIVERS\O2MDFxpx64.sys [2011-01-04 08:58:06 71968]

S3 O2SDJRDR;O2SDJRDR;C:\Windows\system32\DRIVERS\o2sdjxpx64.sys [2011-03-23 18:52:16 83560]

S3 vcd10bus;Virtual CD v10 Bus Enumerator;C:\Windows\system32\DRIVERS\vcd10bus.sys [2008-06-17 06:22:24 40464]
 
 

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\active setup\installed components\{8A69D345-D564-463c-AFF1-A69D9E530F96}]

2013-04-11 06:01:47        1642448        ----a-w-        C:\Program Files (x86)\Google\Chrome\Application\26.0.1410.64\Installer\chrmstp.exe
 

Inhalt des "geplante Tasks" Ordners
 

2013-05-01 C:\Windows\Tasks\Adobe Flash Player Updater.job

- C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe [2012-08-15 09:36:48 . 2013-04-12 17:13:50]
 

2013-05-01 C:\Windows\Tasks\GoogleUpdateTaskMachineCore.job

- C:\Program Files (x86)\Google\Update\GoogleUpdate.exe [2012-10-13 16:03:57 . 2012-10-13 16:03:50]
 

2013-05-01 C:\Windows\Tasks\GoogleUpdateTaskMachineUA.job

- C:\Program Files (x86)\Google\Update\GoogleUpdate.exe [2012-10-13 16:03:57 . 2012-10-13 16:03:50]
 
 

--------- X64 Entries -----------
 
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt1]

@="{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}]

2012-11-13 23:32:48        162552        ----a-w-        C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\DropboxExt64.17.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt2]

@="{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}]

2012-11-13 23:32:48        162552        ----a-w-        C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\DropboxExt64.17.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt3]

@="{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}]

2012-11-13 23:32:48        162552        ----a-w-        C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\DropboxExt64.17.dll
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Accenture Mobile Media Reminder"="C:\Program Files\Accenture\Mobile Media Reminder\AccentureMobileMediaReminderClient.exe" [2010-06-23 21:27:24 98816]

"Apoint"="C:\Program Files\DellTPad\Apoint.exe" [2011-07-20 09:40:48 611192]

"IgfxTray"="C:\Windows\system32\igfxtray.exe" [2011-06-28 13:20:38 167704]

"HotKeysCmds"="C:\Windows\system32\hkcmd.exe" [2011-06-28 13:20:24 392472]

"Persistence"="C:\Windows\system32\igfxpers.exe" [2011-06-28 13:20:32 416024]

"SysTrayApp"="C:\Program Files\IDT\WDM\sttray64.exe" [2011-01-25 06:57:18 525312]

"FreeFallProtection"="C:\Program Files (x86)\STMicroelectronics\AccelerometerP11\FF_Protection.exe" [2011-07-25 07:43:18 686704]

"MSC"="c:\Program Files\Microsoft Security Client\msseces.exe" [2011-06-15 12:35:24 1436736]

"Broadcom Wireless Manager UI"="C:\Program Files\Dell\DW WLAN Card\WLTRAY.exe" [2012-02-15 19:05:08 7469568]

"DFEPApplication"="C:\Program Files\Dell\Feature Enhancement Pack\DFEPApplication.exe" [2012-08-15 14:38:00 7077432]
 

------- Zusätzlicher Suchlauf -------
 

uLocal Page = C:\Windows\system32\blank.htm

uStart Page = about:blank

mStart Page = hxxp://www.google.com

mLocal Page = C:\Windows\SysWOW64\blank.htm

uInternet Settings,ProxyOverride = *.local

uSearchAssistant = hxxp://www.google.com

IE: E&xport to Microsoft Excel - C:\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000

IE: Se&nd to OneNote - C:\PROGRA~2\MICROS~1\Office14\ONBttnIE.dll/105

TCP: DhcpNameServer = 212.186.211.21 195.34.133.21

FF - ProfilePath - C:\Users\ralf.rotzek\AppData\Roaming\Mozilla\Firefox\Profiles\eg4ufdd8.default\

FF - prefs.js: browser.search.selectedEngine - Privitize VPN

FF - prefs.js: network.proxy.type - 2

FF - prefs.js: network.proxy.type - 2
 

- - - - Entfernte verwaiste Registrierungseinträge - - - -
 

Toolbar-Locked - (no file)

Wow6432Node-HKLM-Run-<NO NAME> - (no file)

Toolbar-Locked - (no file)

Code:

OTL logfile created on: 02.05.2013 04:36:37 - Run 2

OTL by OldTimer - Version 3.2.69.0     Folder = C:\Users\ralf.rotzek\Desktop

64bit- Enterprise Edition Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation

Internet Explorer (Version = 8.0.7601.17514)

Locale: 00000407 | Country: Germany | Language: DEU | Date Format: dd.MM.yyyy

 

3,88 Gb Total Physical Memory | 1,88 Gb Available Physical Memory | 48,45% Memory free

7,77 Gb Paging File | 5,50 Gb Available in Paging File | 70,81% Paging File free

Paging file location(s): ?:\pagefile.sys [binary data]

 

%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)

Drive C: | 297,79 Gb Total Space | 129,26 Gb Free Space | 43,41% Space Free | Partition Type: NTFS

Drive D: | 931,48 Gb Total Space | 875,64 Gb Free Space | 94,00% Space Free | Partition Type: NTFS

 

Computer Name: MW7GT9G94ZUZYG | User Name: ralf.rotzek | NOT logged in as Administrator.

Boot Mode: Normal | Scan Mode: All users | Quick Scan | Include 64bit Scans

Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days

 
 ========== Processes (SafeList) ==========

 

PRC - File not found -- 

PRC - [2013.05.01 14:30:50 | 000,602,112 | ---- | M] (OldTimer Tools) -- C:\Users\ralf.rotzek\Desktop\OTL.exe

PRC - [2013.04.12 19:13:49 | 000,812,424 | ---- | M] (Adobe Systems Incorporated) -- C:\Windows\SysWOW64\Macromed\Flash\FlashUtil32_11_7_700_169_ActiveX.exe

PRC - [2013.04.04 14:50:32 | 000,701,512 | ---- | M] (Malwarebytes Corporation) -- C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe

PRC - [2013.04.04 14:50:32 | 000,532,040 | ---- | M] (Malwarebytes Corporation) -- C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe

PRC - [2013.04.04 14:50:32 | 000,418,376 | ---- | M] (Malwarebytes Corporation) -- C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe

PRC - [2013.03.28 11:32:34 | 000,310,640 | ---- | M] (Samsung Electronics Co., Ltd.) -- C:\Program Files (x86)\Samsung\Kies\KiesTrayAgent.exe

PRC - [2013.03.28 11:32:32 | 001,511,792 | ---- | M] (Samsung) -- C:\Program Files (x86)\Samsung\Kies\Kies.exe

PRC - [2013.03.20 10:08:36 | 000,578,560 | ---- | M] (Samsung Electronics) -- C:\Program Files (x86)\Samsung\Kies\KiesAirMessage.exe

PRC - [2013.03.12 09:05:50 | 029,106,336 | ---- | M] (Dropbox, Inc.) -- C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\Dropbox.exe

PRC - [2013.01.08 16:20:12 | 000,409,608 | ---- | M] (H+H Software GmbH) -- C:\Program Files (x86)\Virtual CD v10\System\VC10Play.exe

PRC - [2013.01.08 16:20:12 | 000,325,128 | ---- | M] (H+H Software GmbH) -- C:\Program Files (x86)\Virtual CD v10\System\vc10tray.exe

PRC - [2013.01.08 16:20:06 | 000,147,464 | ---- | M] (H+H Software GmbH) -- C:\Program Files (x86)\Virtual CD v10\System\VC10SecS.exe

PRC - [2012.12.18 21:08:28 | 000,065,192 | ---- | M] (Adobe Systems Incorporated) -- C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe

PRC - [2012.11.16 13:05:24 | 000,162,408 | ---- | M] (Geek Software GmbH) -- C:\Program Files (x86)\PDF24\pdf24.exe

PRC - [2012.11.13 19:04:10 | 000,070,152 | ---- | M] (Nalpeiron Ltd.) -- C:\Windows\SysWOW64\NLSSRV32.EXE

PRC - [2012.10.13 18:05:07 | 000,296,096 | ---- | M] (RealNetworks, Inc.) -- C:\Program Files (x86)\Real\RealPlayer\Update\realsched.exe

PRC - [2012.08.21 16:58:22 | 000,328,704 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysWOW64\wbem\WmiPrvSE.exe

PRC - [2012.01.19 11:41:46 | 002,594,584 | ---- | M] (Intel Corporation) -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe

PRC - [2012.01.19 11:41:42 | 000,325,912 | ---- | M] (Intel Corporation) -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe

PRC - [2011.07.25 09:43:18 | 000,686,704 | ---- | M] () -- C:\Program Files (x86)\STMicroelectronics\AccelerometerP11\FF_Protection.exe

PRC - [2010.10.27 19:17:52 | 000,207,424 | ---- | M] (ArcSoft Inc.) -- C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACDaemon.exe

PRC - [2010.08.25 11:27:44 | 000,309,824 | ---- | M] (ArcSoft Inc.) -- C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ArcCon.ac

PRC - [2010.03.18 11:19:26 | 000,113,152 | ---- | M] (ArcSoft Inc.) -- C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACService.exe

PRC - [2009.12.17 19:50:18 | 000,976,832 | ---- | M] (SEIKO EPSON CORPORATION) -- C:\Program Files (x86)\Epson Software\Event Manager\EEventManager.exe

PRC - [2009.09.18 04:00:00 | 000,764,768 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysWOW64\CCM\CcmExec.exe

PRC - [2009.05.14 17:07:14 | 000,759,048 | ---- | M] (ABBYY) -- C:\Program Files (x86)\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe

PRC - [2007.04.25 21:05:34 | 000,311,296 | ---- | M] (shbox.de) -- C:\Program Files (x86)\FreePDF_XP\fpassist.exe

 

 
 ========== Modules (No Company Name) ==========

 

MOD - [2013.02.15 23:22:34 | 000,221,696 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\System.ServiceProce#\40ec6eb5a95de56636ea90f638d1eb2c\System.ServiceProcess.ni.dll

MOD - [2013.01.11 21:32:48 | 000,771,584 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\System.Runtime.Remo#\f62409df88e3dde635df0808c7177097\System.Runtime.Remoting.ni.dll

MOD - [2013.01.11 21:31:52 | 001,812,480 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\System.Xaml\2297aa4cb17f43a679db50ea05b2b811\System.Xaml.ni.dll

MOD - [2013.01.11 21:17:24 | 018,022,400 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\PresentationFramewo#\c627e9b7f10b01db43645284e601f255\PresentationFramework.ni.dll

MOD - [2013.01.11 21:17:14 | 011,522,560 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\PresentationCore\6e5a88684e45c45cddf654a902b9c789\PresentationCore.ni.dll

MOD - [2013.01.11 21:17:07 | 000,982,528 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\System.Configuration\7600fa0122191abced58b5e98303dfb3\System.Configuration.ni.dll

MOD - [2013.01.11 21:17:06 | 007,070,208 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\System.Core\5434074a2458956c9a421cf3a8aab676\System.Core.ni.dll

MOD - [2013.01.11 21:17:05 | 005,617,664 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\System.Xml\353fd535963fff2f9086c2f655a47ace\System.Xml.ni.dll

MOD - [2013.01.11 21:17:01 | 003,883,008 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\WindowsBase\54fef0787e00fc172cf386ba94bb7f10\WindowsBase.ni.dll

MOD - [2013.01.11 21:16:58 | 009,095,168 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\System\73507c607e4c46f5e04122de0cc5f3fd\System.ni.dll

MOD - [2013.01.11 21:16:53 | 014,417,408 | ---- | M] () -- C:\Windows\assembly\NativeImages_v4.0.30319_32\mscorlib\3ef97e67e8d2c09fd2495ed952e1afbc\mscorlib.ni.dll

MOD - [2012.08.27 21:33:32 | 000,087,912 | ---- | M] () -- C:\Program Files (x86)\Common Files\Apple\Apple Application Support\zlib1.dll

MOD - [2012.08.27 21:33:08 | 001,242,512 | ---- | M] () -- C:\Program Files (x86)\Common Files\Apple\Apple Application Support\libxml2.dll

MOD - [2011.07.25 09:43:18 | 000,686,704 | ---- | M] () -- C:\Program Files (x86)\STMicroelectronics\AccelerometerP11\FF_Protection.exe

MOD - [2011.03.17 07:11:16 | 004,297,568 | ---- | M] () -- C:\Program Files (x86)\Common Files\microsoft shared\OFFICE14\Cultures\OFFICE.ODF

MOD - [2010.10.20 22:45:26 | 008,801,120 | ---- | M] () -- C:\Program Files (x86)\Microsoft Office\Office14\1033\GrooveIntlResource.dll

MOD - [2008.08.18 15:11:24 | 001,237,504 | ---- | M] () -- C:\Program Files (x86)\Virtual CD v10\System\vorbis.dll

MOD - [2008.08.18 15:08:10 | 000,050,688 | ---- | M] () -- C:\Program Files (x86)\Virtual CD v10\System\ogg.dll

 

 
 ========== Services (SafeList) ==========

 

SRV:64bit: - [2012.08.15 16:38:04 | 002,280,504 | ---- | M] (Dell Inc.) [Auto | Running] -- C:\Program Files\Dell\Feature Enhancement Pack\DFEPService.exe -- (DFEPService)

SRV:64bit: - [2012.07.11 23:51:36 | 000,080,448 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Program Files\Microsoft Forefront Identity Manager\2010\Password Reset Client Service\PwdMgmtProxy.exe -- (FIMPasswordReset)

SRV:64bit: - [2012.02.15 21:05:08 | 000,048,128 | ---- | M] (Dell Inc.) [Auto | Running] -- C:\Program Files\Dell\DW WLAN Card\WLTRYSVC.EXE -- (wltrysvc)

SRV:64bit: - [2011.04.27 17:21:18 | 000,288,272 | ---- | M] (Microsoft Corporation) [On_Demand | Running] -- c:\Program Files\Microsoft Security Client\Antimalware\NisSrv.exe -- (NisSrv)

SRV:64bit: - [2011.04.27 17:21:18 | 000,012,784 | ---- | M] (Microsoft Corporation) [Auto | Running] -- c:\Program Files\Microsoft Security Client\Antimalware\MsMpEng.exe -- (MsMpSvc)

SRV:64bit: - [2011.01.25 08:57:18 | 000,296,448 | ---- | M] (IDT, Inc.) [Auto | Running] -- C:\Program Files\IDT\WDM\stacsv64.exe -- (STacSV)

SRV:64bit: - [2010.10.28 14:05:50 | 000,036,768 | ---- | M] (Broadcom Corporation) [Auto | Running] -- C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostStorageService.exe -- (Credential Vault Host Storage)

SRV:64bit: - [2010.10.28 14:05:48 | 001,035,680 | ---- | M] (Broadcom Corporation) [Auto | Running] -- C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostControlService.exe -- (Credential Vault Host Control Service)

SRV:64bit: - [2010.05.25 15:13:06 | 000,018,432 | ---- | M] (Accenture) [Auto | Running] -- C:\Program Files\Accenture\Mobile Media Reminder\MobileMediaReminderService.exe -- (Accenture Mobile Media Reminder Service)

SRV:64bit: - [2010.03.23 04:31:06 | 000,613,288 | ---- | M] (Dell Inc.) [Auto | Running] -- C:\Program Files\Dell\OpenManage\Client\Iap.exe -- (Iap)

SRV:64bit: - [2010.02.11 01:50:50 | 000,072,296 | ---- | M] (O2Micro International) [Auto | Running] -- C:\Windows\SysNative\drivers\o2flash.exe -- (O2FLASH)

SRV:64bit: - [2009.07.14 03:41:27 | 001,011,712 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Program Files\Windows Defender\MpSvc.dll -- (WinDefend)

SRV:64bit: - [2009.07.14 03:40:01 | 000,193,536 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysNative\appmgmts.dll -- (AppMgmt)

SRV:64bit: - [2009.03.03 09:42:58 | 000,089,600 | ---- | M] (Andrea Electronics Corporation) [Auto | Running] -- C:\Program Files\IDT\WDM\AESTSr64.exe -- (AESTFilters)

SRV - [2013.04.12 19:13:50 | 000,256,904 | ---- | M] (Adobe Systems Incorporated) [On_Demand | Stopped] -- C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe -- (AdobeFlashPlayerUpdateSvc)

SRV - [2013.04.04 14:50:32 | 000,701,512 | ---- | M] (Malwarebytes Corporation) [Auto | Running] -- C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe -- (MBAMService)

SRV - [2013.04.04 14:50:32 | 000,418,376 | ---- | M] (Malwarebytes Corporation) [Auto | Running] -- C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe -- (MBAMScheduler)

SRV - [2013.01.08 16:20:06 | 000,147,464 | ---- | M] (H+H Software GmbH) [Auto | Running] -- C:\Program Files (x86)\Virtual CD v10\System\VC10SecS.exe -- (VC10SecS)

SRV - [2012.12.18 21:08:28 | 000,065,192 | ---- | M] (Adobe Systems Incorporated) [Auto | Running] -- C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe -- (AdobeARMservice)

SRV - [2012.11.13 19:04:10 | 000,070,152 | ---- | M] (Nalpeiron Ltd.) [Auto | Running] -- C:\Windows\SysWOW64\NLSSRV32.EXE -- (nlsX86cc)

SRV - [2012.10.03 16:51:04 | 000,725,400 | ---- | M] (Nokia) [On_Demand | Stopped] -- C:\Program Files (x86)\PC Connectivity Solution\ServiceLayer.exe -- (ServiceLayer)

SRV - [2012.01.19 11:41:46 | 002,594,584 | ---- | M] (Intel Corporation) [Auto | Running] -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe -- (UNS)

SRV - [2012.01.19 11:41:42 | 000,325,912 | ---- | M] (Intel Corporation) [Auto | Running] -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe -- (LMS)

SRV - [2011.11.02 11:23:02 | 000,149,400 | ---- | M] (Dell Inc.) [Auto | Stopped] -- C:\Program Files (x86)\Dell\SysMgt\dsia\bin\DsiaSrv32.exe -- (dsiasrv)

SRV - [2010.03.18 14:16:28 | 000,130,384 | ---- | M] (Microsoft Corporation) [Auto | Stopped] -- C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe -- (clr_optimization_v4.0.30319_32)

SRV - [2010.03.18 11:19:26 | 000,113,152 | ---- | M] (ArcSoft Inc.) [Auto | Running] -- C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACService.exe -- (ACDaemon)

SRV - [2009.09.18 04:00:00 | 000,764,768 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Windows\SysWOW64\CCM\CcmExec.exe -- (CcmExec)

SRV - [2009.09.18 04:00:00 | 000,246,624 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysWOW64\CCM\TSManager.exe -- (smstsmgr)

SRV - [2009.06.10 23:23:09 | 000,066,384 | ---- | M] (Microsoft Corporation) [Disabled | Stopped] -- C:\Windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe -- (clr_optimization_v2.0.50727_32)

SRV - [2009.05.14 17:07:14 | 000,759,048 | ---- | M] (ABBYY) [Auto | Running] -- C:\Program Files (x86)\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe -- (ABBYY.Licensing.FineReader.Sprint.9.0)

 

 
 ========== Driver Services (SafeList) ==========

 

DRV:64bit: - [2013.04.04 14:50:32 | 000,025,928 | ---- | M] (Malwarebytes Corporation) [File_System | On_Demand | Running] -- C:\Windows\SysNative\drivers\mbam.sys -- (MBAMProtector)

DRV:64bit: - [2013.04.01 20:51:16 | 000,283,200 | ---- | M] (DT Soft Ltd) [Kernel | System | Running] -- C:\Windows\SysNative\drivers\dtsoftbus01.sys -- (dtsoftbus01)

DRV:64bit: - [2013.02.22 09:17:06 | 000,203,544 | ---- | M] (DEVGURU Co., LTD.(www.devguru.co.kr)) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssudmdm.sys -- (ssudmdm)

DRV:64bit: - [2013.02.22 09:17:06 | 000,102,936 | ---- | M] (DEVGURU Co., LTD.(www.devguru.co.kr)) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssudbus.sys -- (dg_ssudbus)

DRV:64bit: - [2013.02.22 09:17:04 | 000,188,232 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\sscdmdm.sys -- (sscdmdm)

DRV:64bit: - [2013.02.22 09:17:04 | 000,169,288 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\sscdbus.sys -- (sscdbus)

DRV:64bit: - [2013.02.22 09:17:04 | 000,021,320 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\sscdmdfl.sys -- (sscdmdfl)

DRV:64bit: - [2013.02.22 09:16:54 | 000,188,232 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssadmdm.sys -- (ssadmdm)

DRV:64bit: - [2013.02.22 09:16:54 | 000,169,288 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssadbus.sys -- (ssadbus)

DRV:64bit: - [2013.02.22 09:16:54 | 000,021,320 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\ssadmdfl.sys -- (ssadmdfl)

DRV:64bit: - [2013.02.12 06:12:06 | 000,019,968 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\usb8023x.sys -- (usb_rndisx)

DRV:64bit: - [2012.12.06 11:09:24 | 000,226,080 | ---- | M] (H+H Software GmbH) [Kernel | System | Running] -- C:\Windows\SysNative\drivers\vdrv1000.sys -- (vdrv1000)

DRV:64bit: - [2012.08.23 16:12:16 | 000,029,696 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\terminpt.sys -- (terminpt)

DRV:64bit: - [2012.08.23 16:10:20 | 000,019,456 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\rdpvideominiport.sys -- (RdpVideoMiniport)

DRV:64bit: - [2012.08.23 16:08:26 | 000,030,208 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\TsUsbGD.sys -- (TsUsbGD)

DRV:64bit: - [2012.08.23 16:07:35 | 000,057,856 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\TsUsbFlt.sys -- (TsUsbFlt)

DRV:64bit: - [2012.08.21 13:01:20 | 000,033,240 | ---- | M] (GEAR Software Inc.) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\GEARAspiWDM.sys -- (GEARAspiWDM)

DRV:64bit: - [2012.07.09 13:42:54 | 000,052,736 | ---- | M] (Apple, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\usbaapl64.sys -- (USBAAPL64)

DRV:64bit: - [2012.06.27 16:18:52 | 000,026,112 | ---- | M] (Nokia) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\pccsmcfdx64.sys -- (pccsmcfd)

DRV:64bit: - [2012.04.09 22:11:36 | 004,746,304 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\BCMWL664.SYS -- (BCM43XX)

DRV:64bit: - [2012.03.01 08:46:16 | 000,023,408 | ---- | M] (Microsoft Corporation) [Recognizer | Boot | Unknown] -- C:\Windows\SysNative\drivers\fs_rec.sys -- (Fs_Rec)

DRV:64bit: - [2012.02.15 21:05:08 | 000,022,592 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\bcm42rly.sys -- (BCM42RLY)

DRV:64bit: - [2011.09.22 08:19:56 | 000,056,600 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\HECIx64.sys -- (MEIx64)

DRV:64bit: - [2011.07.22 12:28:56 | 000,027,760 | ---- | M] (ST Microelectronics) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\accelern.sys -- (Acceler)

DRV:64bit: - [2011.07.15 21:31:22 | 000,022,128 | ---- | M] (ST Microelectronics) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\stdcfltn.sys -- (stdcfltn)

DRV:64bit: - [2011.06.11 01:16:10 | 012,230,912 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\igdkmd64.sys -- (igfx)

DRV:64bit: - [2011.05.26 07:25:02 | 000,368,464 | ---- | M] (Alps Electric Co., Ltd.) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\Apfiltr.sys -- (ApfiltrService)

DRV:64bit: - [2011.04.27 15:25:24 | 000,084,864 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\NisDrvWFP.sys -- (NisDrv)

DRV:64bit: - [2011.03.23 20:52:16 | 000,083,560 | ---- | M] (O2Micro ) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\o2sdjxpx64.sys -- (O2SDJRDR)

DRV:64bit: - [2011.03.11 08:41:12 | 000,107,904 | ---- | M] (Advanced Micro Devices) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\amdsata.sys -- (amdsata)

DRV:64bit: - [2011.03.11 08:41:12 | 000,027,008 | ---- | M] (Advanced Micro Devices) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\amdxata.sys -- (amdxata)

DRV:64bit: - [2011.01.25 08:57:18 | 000,520,192 | ---- | M] (IDT, Inc.) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\stwrt64.sys -- (STHDA)

DRV:64bit: - [2011.01.04 10:58:06 | 000,071,968 | ---- | M] (O2Micro ) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\o2mdfxpx64.sys -- (O2MDFRDR)

DRV:64bit: - [2011.01.03 23:14:22 | 000,032,768 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\usbser.sys -- (usbser)

DRV:64bit: - [2011.01.03 23:14:20 | 000,378,952 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Mbm3CBus.sys -- (Mbm3CBus)

DRV:64bit: - [2011.01.03 22:19:56 | 000,074,984 | ---- | M] (O2Micro ) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\O2MDRw7x64.sys -- (O2MDRRDR)

DRV:64bit: - [2010.12.17 00:58:14 | 000,040,816 | ---- | M] (Elaborate Bytes AG) [Kernel | System | Running] -- C:\Windows\SysNative\drivers\ElbyCDIO.sys -- (ElbyCDIO)

DRV:64bit: - [2010.12.01 23:02:16 | 000,101,416 | ---- | M] (Ericsson AB) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\d554gps64.sys -- (d554gps)

DRV:64bit: - [2010.11.21 05:23:48 | 000,117,248 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\tsusbhub.sys -- (tsusbhub)

DRV:64bit: - [2010.11.21 05:23:48 | 000,088,960 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Synth3dVsc.sys -- (Synth3dVsc)

DRV:64bit: - [2010.11.21 05:23:48 | 000,071,168 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\dmvsc.sys -- (dmvsc)

DRV:64bit: - [2010.11.21 05:23:48 | 000,022,528 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\VMBusVideoM.sys -- (SynthVid)

DRV:64bit: - [2010.11.21 05:23:47 | 000,078,720 | ---- | M] (Hewlett-Packard Company) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\HpSAMD.sys -- (HpSAMD)

DRV:64bit: - [2010.11.06 06:45:48 | 000,438,808 | ---- | M] (Intel Corporation) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\iaStor.sys -- (iaStor)

DRV:64bit: - [2010.10.31 23:43:10 | 000,419,912 | ---- | M] (MCCI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Mbm3DevMt.sys -- (Mbm3DevMt)

DRV:64bit: - [2010.10.28 14:42:32 | 000,315,568 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\e1c62x64.sys -- (e1cexpress)

DRV:64bit: - [2010.10.15 15:28:18 | 000,317,440 | ---- | M] (Intel(R) Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\IntcDAud.sys -- (IntcDAud)

DRV:64bit: - [2010.08.24 14:46:02 | 000,038,440 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\cvusbdrv.sys -- (cvusbdrv)

DRV:64bit: - [2010.03.08 22:58:36 | 000,026,624 | ---- | M] (Dell Inc.) [Kernel | System | Running] -- C:\Windows\SysNative\drivers\omci.sys -- (omci)

DRV:64bit: - [2010.02.27 06:32:14 | 000,158,976 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Impcd.sys -- (Impcd)

DRV:64bit: - [2010.02.24 02:25:30 | 000,030,248 | ---- | M] (Ericsson AB) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\wwussf64.sys -- (ecnssndisfltr)

DRV:64bit: - [2010.02.24 02:25:30 | 000,026,664 | ---- | M] (Ericsson AB) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\wwuss64.sys -- (ecnssndis)

DRV:64bit: - [2009.07.14 03:52:20 | 000,194,128 | ---- | M] (AMD Technologies Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\amdsbs.sys -- (amdsbs)

DRV:64bit: - [2009.07.14 03:48:04 | 000,065,600 | ---- | M] (LSI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\lsi_sas2.sys -- (LSI_SAS2)

DRV:64bit: - [2009.07.14 03:45:55 | 000,024,656 | ---- | M] (Promise Technology) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\stexstor.sys -- (stexstor)

DRV:64bit: - [2009.07.14 01:21:48 | 000,038,400 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\tpm.sys -- (TPM)

DRV:64bit: - [2009.06.10 22:34:41 | 000,057,344 | ---- | M] (Microsoft Corp.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\dc21x4vm.sys -- (dc21x4vm)

DRV:64bit: - [2009.06.10 22:34:33 | 003,286,016 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\evbda.sys -- (ebdrv)

DRV:64bit: - [2009.06.10 22:34:28 | 000,468,480 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\bxvbda.sys -- (b06bdrv)

DRV:64bit: - [2009.06.10 22:34:23 | 000,270,848 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\b57nd60a.sys -- (b57nd60a)

DRV:64bit: - [2009.06.10 22:31:59 | 000,031,232 | ---- | M] (Hauppauge Computer Works, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\hcw85cir.sys -- (hcw85cir)

DRV:64bit: - [2008.06.17 08:22:24 | 000,040,464 | ---- | M] (H+H Software GmbH) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\vcd10bus.sys -- (vcd10bus)

DRV - [2013.03.20 10:07:16 | 000,037,344 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\Windows\SysWOW64\FsUsbExDisk.Sys -- (FsUsbExDisk)

DRV - [2009.09.18 04:00:00 | 000,026,992 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysWOW64\CCM\PrepDrv.sys -- (prepdrvr)

DRV - [2009.07.14 03:19:10 | 000,019,008 | ---- | M] (Microsoft Corporation) [File_System | On_Demand | Stopped] -- C:\Windows\SysWOW64\drivers\wimmount.sys -- (WIMMount)

 

 
 ========== Standard Registry (SafeList) ==========

 

 
 ========== Internet Explorer ==========

 

IE:64bit: - HKLM\..\SearchScopes,DefaultScope = 

IE:64bit: - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC

IE:64bit: - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.com

IE - HKLM\..\SearchScopes,DefaultScope = 

IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC

IE - HKLM\..\SearchScopes\{68BD5F88-07A9-4740-B336-B0E565542C60}: "URL" = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms}

IE - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7

 

 

IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

IE - HKU\S-1-5-19\..\SearchScopes,DefaultScope = 

 

IE - HKU\S-1-5-20\..\SearchScopes,DefaultScope = 

 

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Main,SearchDefaultBranded = 1

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = about:blank

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = hxxp://www.google.com

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\SearchScopes\{89B447DD-0276-4EA3-BABE-45BBA6FE3B84}: "URL" = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:{language}:{referrer:source}&ie={inputEncoding?}&oe={outputEncoding?}&rlz=1I7RNRB_enAT505

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

IE - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local

 
 ========== FireFox ==========

 

FF - prefs.js..browser.search.selectedEngine: "Privitize VPN"

FF - prefs.js..extensions.enabledItems: helperbar@helperbar.com:1.0

FF - prefs.js..extensions.enabledItems: {0153E448-190B-4987-BDE1-F256CADA672F}:15.0.6

FF - prefs.js..network.proxy.autoconfig_url: "hxxp://set-proxy.accenture.com/bin/setup.proxy"

FF - prefs.js..network.proxy.no_proxies_on: "*.local"

FF - prefs.js..network.proxy.type: 2

FF - prefs.js..browser.search.order.1: "Privitize VPN"

FF - prefs.js..browser.search.defaultengine: "Privitize VPN"

FF - prefs.js..browser.search.defaultenginename: "Privitize VPN"

FF - prefs.js..network.proxy.autoconfig_url: "hxxp://set-proxy.accenture.com/bin/setup.proxy"

FF - prefs.js..network.proxy.no_proxies_on: "*.local"

FF - prefs.js..network.proxy.type: 2

FF - prefs.js..browser.search.order.1: "Privitize VPN"

FF - prefs.js..browser.search.defaultengine: "Privitize VPN"

FF - prefs.js..browser.search.defaultenginename: "Privitize VPN"

FF - user.js - File not found

 

FF:64bit: - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found

FF:64bit: - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: c:\Program Files\Microsoft Silverlight\5.1.20125.0\npctrl.dll ( Microsoft Corporation)

FF:64bit: - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeAuthz,version=14.0: C:\PROGRA~1\MICROS~1\Office14\NPAUTHZ.DLL (Microsoft Corporation)

FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=:  File not found

FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=1.0: C:\Program Files (x86)\iTunes\Mozilla Plugins\npitunes.dll ()

FF - HKLM\Software\MozillaPlugins\@java.com/DTPlugin,version=10.17.2: C:\Windows\SysWOW64\npDeployJava1.dll (Oracle Corporation)

FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin,version=10.17.2: C:\Program Files (x86)\Java\jre7\bin\plugin2\npjp2.dll (Oracle Corporation)

FF - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found

FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: c:\Program Files (x86)\Microsoft Silverlight\5.1.20125.0\npctrl.dll ( Microsoft Corporation)

FF - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeAuthz,version=14.0: C:\PROGRA~2\MICROS~1\Office14\NPAUTHZ.DLL (Microsoft Corporation)

FF - HKLM\Software\MozillaPlugins\@microsoft.com/SharePoint,version=14.0: C:\PROGRA~2\MICROS~1\Office14\NPSPWRAP.DLL (Microsoft Corporation)

FF - HKLM\Software\MozillaPlugins\@nokia.com/EnablerPlugin: C:\Program Files (x86)\Nokia\Nokia Suite\npNokiaSuiteEnabler.dll ( )

FF - HKLM\Software\MozillaPlugins\@real.com/nppl3260;version=15.0.6.14: C:\Program Files (x86)\Real\RealPlayer\Netscape6\nppl3260.dll (RealNetworks, Inc.)

FF - HKLM\Software\MozillaPlugins\@real.com/nprjplug;version=15.0.6.14: C:\Program Files (x86)\Real\RealPlayer\Netscape6\nprjplug.dll (RealNetworks, Inc.)

FF - HKLM\Software\MozillaPlugins\@real.com/nprpchromebrowserrecordext;version=15.0.6.14: C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins\nprpchromebrowserrecordext.dll (RealNetworks, Inc.)

FF - HKLM\Software\MozillaPlugins\@real.com/nprphtml5videoshim;version=15.0.6.14: C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins\nprphtml5videoshim.dll (RealNetworks, Inc.)

FF - HKLM\Software\MozillaPlugins\@real.com/nprpplugin;version=15.0.6.14: C:\Program Files (x86)\Real\RealPlayer\Netscape6\nprpplugin.dll (RealPlayer)

FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Program Files (x86)\Google\Update\1.3.21.135\npGoogleUpdate3.dll (Google Inc.)

FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Program Files (x86)\Google\Update\1.3.21.135\npGoogleUpdate3.dll (Google Inc.)

FF - HKLM\Software\MozillaPlugins\@videolan.org/vlc,version=2.0.4: C:\Program Files (x86)\VideoLAN\VLC\npvlc.dll (VideoLAN)

FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Program Files (x86)\Adobe\Reader 11.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)

FF - HKCU\Software\MozillaPlugins\amazon.com/AmazonMP3DownloaderPlugin: C:\Program Files (x86)\Amazon\MP3 Downloader\npAmazonMP3DownloaderPlugin101721.dll (Amazon.com, Inc.)

 

FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{0153E448-190B-4987-BDE1-F256CADA672F}: C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\Firefox\Ext [2012.10.13 18:05:30 | 000,000,000 | ---D | M]

FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.6.3\extensions\\Components: C:\Program Files (x86)\Mozilla Firefox\components [2012.12.23 17:02:31 | 000,000,000 | ---D | M]

FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.6.3\extensions\\Plugins: C:\Program Files (x86)\Mozilla Firefox\plugins [2013.04.04 22:37:00 | 000,000,000 | ---D | M]

 

[2012.10.12 13:08:26 | 000,000,000 | ---D | M] (No name found) -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\Extensions

[2013.05.01 23:55:08 | 000,000,000 | ---D | M] (No name found) -- C:\Users\ralf.rotzek\AppData\Roaming\mozilla\Firefox\Profiles\eg4ufdd8.default\extensions

[2012.10.03 20:20:22 | 000,000,000 | ---D | M] (No name found) -- C:\Program Files (x86)\Mozilla Firefox\extensions

[2012.10.13 18:05:30 | 000,000,000 | ---D | M] (RealPlayer Browser Record Plugin) -- C:\PROGRAMDATA\REAL\REALPLAYER\BROWSERRECORDPLUGIN\FIREFOX\EXT

File not found (No name found) -- C:\USERS\RALF.ROTZEK\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\EG4UFDD8.DEFAULT\EXTENSIONS\HELPERBAR@HELPERBAR.COM

[2012.07.27 22:37:30 | 000,031,848 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\plugins\npMeetingJoinPluginOC.dll

[2012.10.13 18:05:17 | 000,129,176 | ---- | M] (RealPlayer) -- C:\Program Files (x86)\mozilla firefox\plugins\nprpplugin.dll

[2010.04.01 18:54:38 | 000,001,392 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\amazondotcom-de.xml

[2010.04.01 18:54:38 | 000,002,344 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\eBay-de.xml

[2010.04.01 18:54:38 | 000,006,805 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\leo_ende_de.xml

[2010.04.01 18:54:38 | 000,001,178 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\wikipedia-de.xml

[2010.04.01 18:54:38 | 000,001,105 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\yahoo-de.xml

 
 ========== Chrome  ==========

 

CHR - homepage: hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e

CHR - default_search_provider:  ()

CHR - default_search_provider: search_url = 

CHR - default_search_provider: suggest_url = 

CHR - homepage: hxxp://searchab.com/?aff=7&uid=83c17542-67f6-11e2-870e-9cb70d55773e

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo\4.2_0\

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\cbnocfnjkmlljbfgpkbhefnlpbiemhif\1.0\

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf\0.0.0.14_0\

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\jfmjfhklogoienhpfnppmbcbjfjnkonk\1.5_0\

CHR - Extension: No name found = C:\Users\ralf.rotzek\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia\6.1.3_0\

 

O1 HOSTS File: ([2013.05.02 00:22:04 | 000,000,027 | ---- | M]) - C:\Windows\SysNative\drivers\etc\hosts

O1 - Hosts: 127.0.0.1       localhost

O2:64bit: - BHO: (Google Toolbar Helper) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_64.dll (Google Inc.)

O2:64bit: - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.7.8313.1002\swg64.dll (Google Inc.)

O2 - BHO: (RealPlayer Download and Record Plugin for Internet Explorer) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll (RealPlayer)

O2 - BHO: (Lync Browser Helper) - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - C:\Program Files (x86)\Microsoft Lync\OCHelper.dll (Microsoft Corporation)

O2 - BHO: (Java(tm) Plug-In SSV Helper) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre7\bin\ssv.dll (Oracle Corporation)

O2 - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files (x86)\Google\GoogleToolbarNotifier\5.7.8313.1002\swg.dll (Google Inc.)

O2 - BHO: (Java(tm) Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre7\bin\jp2ssv.dll (Oracle Corporation)

O3:64bit: - HKLM\..\Toolbar: (Google Toolbar) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_64.dll (Google Inc.)

O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.

O3:64bit: - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..\Toolbar\WebBrowser: (Google Toolbar) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_64.dll (Google Inc.)

O4:64bit: - HKLM..\Run: [Accenture Mobile Media Reminder] C:\Program Files\Accenture\Mobile Media Reminder\AccentureMobileMediaReminderClient.exe (Accenture)

O4:64bit: - HKLM..\Run: [Apoint] C:\Program Files\DellTPad\Apoint.exe (Alps Electric Co., Ltd.)

O4:64bit: - HKLM..\Run: [Broadcom Wireless Manager UI] C:\Program Files\Dell\DW WLAN Card\WLTRAY.EXE (Dell Inc.)

O4:64bit: - HKLM..\Run: [DFEPApplication] C:\Program Files\Dell\Feature Enhancement Pack\DFEPApplication.exe (Dell Inc.)

O4:64bit: - HKLM..\Run: [FreeFallProtection] C:\Program Files (x86)\STMicroelectronics\AccelerometerP11\FF_Protection.exe ()

O4:64bit: - HKLM..\Run: [HotKeysCmds] C:\Windows\SysNative\hkcmd.exe (Intel Corporation)

O4:64bit: - HKLM..\Run: [IgfxTray] C:\Windows\SysNative\igfxtray.exe (Intel Corporation)

O4:64bit: - HKLM..\Run: [MSC] c:\Program Files\Microsoft Security Client\msseces.exe (Microsoft Corporation)

O4:64bit: - HKLM..\Run: [Persistence] C:\Windows\SysNative\igfxpers.exe (Intel Corporation)

O4:64bit: - HKLM..\Run: [SysTrayApp] C:\Program Files\IDT\WDM\sttray64.exe (IDT, Inc.)

O4 - HKLM..\Run: []  File not found

O4 - HKLM..\Run: [APSDaemon] C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.)

O4 - HKLM..\Run: [ArcSoft Connection Service] C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACDaemon.exe (ArcSoft Inc.)

O4 - HKLM..\Run: [Communicator] C:\Program Files (x86)\Microsoft Lync\communicator.exe (Microsoft Corporation)

O4 - HKLM..\Run: [EEventManager] C:\Program Files (x86)\Epson Software\Event Manager\EEventManager.exe (SEIKO EPSON CORPORATION)

O4 - HKLM..\Run: [FreePDF Assistant] C:\Program Files (x86)\FreePDF_XP\fpassist.exe (shbox.de)

O4 - HKLM..\Run: [KiesTrayAgent] C:\Program Files (x86)\Samsung\Kies\KiesTrayAgent.exe (Samsung Electronics Co., Ltd.)

O4 - HKLM..\Run: [PDFPrint] C:\Program Files (x86)\PDF24\pdf24.exe (Geek Software GmbH)

O4 - HKLM..\Run: [TkBellExe] C:\Program Files (x86)\Real\RealPlayer\update\realsched.exe (RealNetworks, Inc.)

O4 - HKLM..\Run: [VC10Player] C:\Program Files (x86)\Virtual CD v10\System\VC10Play.exe (H+H Software GmbH)

O4 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096..\Run: [DAEMON Tools Lite] C:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe (Disc Soft Ltd)

O4 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096..\Run: [KiesAirMessage] C:\Program Files (x86)\Samsung\Kies\KiesAirMessage.exe (Samsung Electronics)

O4 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096..\Run: [KiesPreload] C:\Program Files (x86)\Samsung\Kies\Kies.exe (Samsung)

O4 - Startup: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk =  File not found

O4 - Startup: C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk =  File not found

O4 - Startup: C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk =  File not found

O4 - Startup: C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk = C:\Users\ralf.rotzek\AppData\Roaming\Dropbox\bin\Dropbox.exe (Dropbox, Inc.)

O4 - Startup: C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk =  File not found

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Main present

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: DontSetAutoplayCheckbox = 1

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: disablecad = 1

O7 - HKU\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-18\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-18\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\S-1-5-18\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Policies\Microsoft\Internet Explorer\Main present

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\Software\Policies\Microsoft\Internet Explorer\Suggested Sites present

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: ForceRunOnStartMenu = 1

O7 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0

O9 - Extra Button: Lync add-on - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - C:\Program Files (x86)\Microsoft Lync\OCHelper.dll (Microsoft Corporation)

O9 - Extra 'Tools' menuitem : Lync add-on - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - C:\Program Files (x86)\Microsoft Lync\OCHelper.dll (Microsoft Corporation)

O10:64bit: - NameSpace_Catalog5\Catalog_Entries64\000000000008 [] - C:\Program Files\Bonjour\mdnsNSP.dll (Apple Inc.)

O10 - NameSpace_Catalog5\Catalog_Entries\000000000008 [] - C:\Program Files (x86)\Bonjour\mdnsNSP.dll (Apple Inc.)

O13 - gopher Prefix: missing

O15:64bit: - ..Trusted Domains: accenture.com ([]* in Local intranet)

O15:64bit: - ..Trusted Domains: avanade.com ([rm] https in Local intranet)

O15:64bit: - ..Trusted Domains: avanade.org ([rm] https in Local intranet)

O15:64bit: - ..Trusted Domains: questionmark.com ([]* in Local intranet)

O15:64bit: - ..Trusted Domains: skillport.com ([]* in Local intranet)

O15:64bit: - ..Trusted Domains: taleo.net ([]* in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: accenture.com ([]* in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: avanade.com ([rm] https in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: avanade.org ([rm] https in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: questionmark.com ([]* in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: skillport.com ([]* in Local intranet)

O15 - HKU\S-1-5-21-329068152-1454471165-1417001333-346096\..Trusted Domains: taleo.net ([]* in Local intranet)

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_34-windows-i586.cab (Reg Error: Value error.)

O16 - DPF: {BF17C411-9ADA-4C73-B12C-BD814BDE187F} https://mylearning.accenture.com/accenture/core/common/ScheduleServices/ScheduleServices.cab (ScheduleServices.CtlScheduleServices)

O16 - DPF: {CAFEEFAC-0016-0000-0034-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_34-windows-i586.cab (Java Plug-in 1.6.0_34)

O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_34-windows-i586.cab (Java Plug-in 10.17.2)

O16 - DPF: {E06E2E99-0AA1-11D4-ABA6-0060082AA75C} https://sasmeetings.webex.com/client/WBXclient-T27L10NSP32EP12-14923/webex/ieatgpc1.cab (GpcContainer Class)

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 212.186.211.21 195.34.133.21

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = dir.svc.accenture.com

O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{32DE3750-FB26-4907-A0AC-C4E985703723}: DhcpNameServer = 10.0.134.1 10.0.135.1

O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{50FF573F-2CFE-4B9A-8C0A-330B89BCB079}: DhcpNameServer = 212.186.211.21 195.34.133.21

O18:64bit: - Protocol\Handler\ms-help - No CLSID value found

O18:64bit: - Protocol\Handler\skype4com - No CLSID value found

O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Program Files (x86)\Common Files\Skype\Skype4COM.dll (Skype Technologies)

O20:64bit: - HKLM Winlogon: Shell - (Explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)

O20:64bit: - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\SysNative\userinit.exe (Microsoft Corporation)

O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\SysWow64\explorer.exe (Microsoft Corporation)

O20 - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\SysWOW64\userinit.exe (Microsoft Corporation)

O20:64bit: - Winlogon\Notify\igfxcui: DllName - (igfxdev.dll) - C:\Windows\SysNative\igfxdev.dll (Intel Corporation)

O21:64bit: - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.

O32 - HKLM CDRom: AutoRun - 1

O34 - HKLM BootExecute: (autocheck autochk *)

O35:64bit: - HKLM\..comfile [open] -- "%1" %*

O35:64bit: - HKLM\..exefile [open] -- "%1" %*

O35 - HKLM\..comfile [open] -- "%1" %*

O35 - HKLM\..exefile [open] -- "%1" %*

O37:64bit: - HKLM\...com [@ = ComFile] -- "%1" %*

O37:64bit: - HKLM\...exe [@ = exefile] -- "%1" %*

O37 - HKLM\...com [@ = ComFile] -- "%1" %*

O37 - HKLM\...exe [@ = exefile] -- "%1" %*

O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)

O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)

O38 - SubSystems\\Windows: (ServerDll=sxssrv,4)

 
 ========== Files/Folders - Created Within 30 Days ==========

 

[2013.05.02 04:36:26 | 000,602,112 | ---- | C] (OldTimer Tools) -- C:\Users\ralf.rotzek\Desktop\OTL.exe

[2013.05.02 04:23:02 | 000,000,000 | -HSD | C] -- C:\$RECYCLE.BIN

[2013.05.02 00:29:27 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\ESET

[2013.05.02 00:06:30 | 000,518,144 | ---- | C] (SteelWerX) -- C:\Windows\SWREG.exe

[2013.05.02 00:06:30 | 000,406,528 | ---- | C] (SteelWerX) -- C:\Windows\SWSC.exe

[2013.05.02 00:06:30 | 000,060,416 | ---- | C] (NirSoft) -- C:\Windows\NIRCMD.exe

[2013.05.02 00:06:11 | 000,000,000 | ---D | C] -- C:\ComboFix

[2013.05.01 23:48:40 | 000,000,000 | ---D | C] -- C:\Qoobox

[2013.05.01 23:48:24 | 000,000,000 | ---D | C] -- C:\Windows\erdnt

[2013.05.01 22:25:48 | 000,000,000 | ---D | C] -- C:\Users\ralf.rotzek\AppData\Roaming\Malwarebytes

[2013.05.01 22:25:36 | 000,025,928 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\SysNative\drivers\mbam.sys

[2013.05.01 22:25:36 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Malwarebytes' Anti-Malware

[2013.05.01 22:25:36 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Malwarebytes' Anti-Malware

[2013.05.01 22:25:36 | 000,000,000 | ---D | C] -- C:\ProgramData\Malwarebytes

[2013.04.29 17:11:08 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Dell

[2013.04.27 13:41:03 | 000,000,000 | ---D | C] -- C:\found.000

[2013.04.23 07:47:36 | 000,000,000 | ---D | C] -- C:\ProgramData\Intel

[2013.04.23 07:39:20 | 000,000,000 | R--D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Intel

[2013.04.23 07:39:12 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Common Files\postureAgent

[2013.04.21 21:56:42 | 000,000,000 | ---D | C] -- C:\Users\Public\Documents\CrashDump

[2013.04.21 21:55:19 | 000,203,544 | ---- | C] (DEVGURU Co., LTD.(www.devguru.co.kr)) -- C:\Windows\SysNative\drivers\ssudmdm.sys

[2013.04.21 21:55:19 | 000,102,936 | ---- | C] (DEVGURU Co., LTD.(www.devguru.co.kr)) -- C:\Windows\SysNative\drivers\ssudbus.sys

[2013.04.21 21:54:51 | 000,188,232 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadmdm.sys

[2013.04.21 21:54:51 | 000,021,320 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadmdfl.sys

[2013.04.21 21:54:51 | 000,017,736 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadwhnt.sys

[2013.04.21 21:54:51 | 000,017,736 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadwh.sys

[2013.04.21 21:54:51 | 000,017,224 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadcmnt.sys

[2013.04.21 21:54:51 | 000,017,224 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadcm.sys

[2013.04.21 21:54:50 | 000,169,288 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\ssadbus.sys

[2013.04.21 21:54:34 | 000,188,232 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdmdm.sys

[2013.04.21 21:54:34 | 000,169,288 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdbus.sys

[2013.04.21 21:54:34 | 000,021,320 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdmdfl.sys

[2013.04.21 21:54:34 | 000,017,736 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdwhnt.sys

[2013.04.21 21:54:34 | 000,017,736 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdwh.sys

[2013.04.21 21:54:34 | 000,017,224 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdcmnt.sys

[2013.04.21 21:54:34 | 000,017,224 | ---- | C] (MCCI Corporation) -- C:\Windows\SysNative\drivers\sscdcm.sys

[2013.04.21 21:53:49 | 000,233,472 | ---- | C] (Teruten) -- C:\Windows\SysWow64\FsUsbExService.Exe

[2013.04.04 22:36:41 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Common Files\Adobe

[2 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ]

 
 ========== Files - Modified Within 30 Days ==========

 

[2013.05.02 04:36:45 | 000,019,328 | -H-- | M] () -- C:\Windows\SysNative\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

[2013.05.02 04:36:45 | 000,019,328 | -H-- | M] () -- C:\Windows\SysNative\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

[2013.05.02 04:30:41 | 000,799,822 | ---- | M] () -- C:\Windows\SysNative\PerfStringBackup.INI

[2013.05.02 04:30:41 | 000,665,598 | ---- | M] () -- C:\Windows\SysNative\perfh009.dat

[2013.05.02 04:30:41 | 000,127,438 | ---- | M] () -- C:\Windows\SysNative\perfc009.dat

[2013.05.02 04:24:33 | 000,000,463 | ---- | M] () -- C:\Windows\SMSCFG.ini

[2013.05.02 04:22:53 | 000,001,116 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineCore.job

[2013.05.02 04:21:17 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat

[2013.05.02 04:21:10 | 3127,648,256 | -HS- | M] () -- C:\hiberfil.sys

[2013.05.02 03:18:02 | 000,001,120 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineUA.job

[2013.05.02 03:15:08 | 000,000,830 | ---- | M] () -- C:\Windows\tasks\Adobe Flash Player Updater.job

[2013.05.02 00:22:04 | 000,000,027 | ---- | M] () -- C:\Windows\SysNative\drivers\etc\hosts

[2013.05.01 14:30:50 | 000,602,112 | ---- | M] (OldTimer Tools) -- C:\Users\ralf.rotzek\Desktop\OTL.exe

[2013.04.29 17:11:09 | 000,001,077 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk

[2013.04.27 13:43:00 | 000,003,288 | ---- | M] () -- C:\bootsqm.dat

[2013.04.26 23:25:07 | 000,297,170 | RHS- | M] () -- C:\ProgramData\ntuser.pol

[2013.04.26 05:37:09 | 000,015,260 | RHS- | M] () -- C:\Users\ralf.rotzek\ntuser.pol

[2013.04.14 12:40:12 | 000,343,592 | ---- | M] () -- C:\Windows\SysNative\FNTCACHE.DAT

[2013.04.11 08:29:51 | 000,001,023 | ---- | M] () -- C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk

[2013.04.07 19:52:40 | 000,001,754 | ---- | M] () -- C:\Users\ralf.rotzek\Desktop\EP_20130407.lnk

[2013.04.04 14:50:32 | 000,025,928 | ---- | M] (Malwarebytes Corporation) -- C:\Windows\SysNative\drivers\mbam.sys

[2 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ]

 
 ========== Files Created - No Company Name ==========

 

[2013.05.02 00:06:31 | 000,208,896 | ---- | C] () -- C:\Windows\MBR.exe

[2013.05.02 00:06:30 | 000,256,000 | ---- | C] () -- C:\Windows\PEV.exe

[2013.05.02 00:06:30 | 000,098,816 | ---- | C] () -- C:\Windows\sed.exe

[2013.05.02 00:06:30 | 000,080,412 | ---- | C] () -- C:\Windows\grep.exe

[2013.05.02 00:06:30 | 000,068,096 | ---- | C] () -- C:\Windows\zip.exe

[2013.04.29 17:11:28 | 000,001,077 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Smart Settings.lnk

[2013.04.27 13:43:00 | 000,003,288 | ---- | C] () -- C:\bootsqm.dat

[2013.04.23 07:39:18 | 000,008,192 | ---- | C] () -- C:\Windows\SysNative\drivers\IntelMEFWVer.dll

[2013.04.21 21:53:49 | 000,110,592 | ---- | C] () -- C:\Windows\SysWow64\FsUsbExDevice.Dll

[2013.04.21 21:53:49 | 000,037,344 | ---- | C] () -- C:\Windows\SysWow64\FsUsbExDisk.Sys

[2013.04.07 19:52:40 | 000,001,754 | ---- | C] () -- C:\Users\ralf.rotzek\Desktop\EP_20130407.lnk

[2013.04.04 22:37:00 | 000,002,441 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Reader XI.lnk

[2012.11.05 11:34:38 | 000,000,085 | -HS- | C] () -- C:\ProgramData\.zreglib

[2012.10.29 12:45:06 | 003,189,760 | ---- | C] () -- C:\Windows\SysWow64\hpbcfgre.DLL

[2012.10.14 20:50:43 | 000,000,426 | ---- | C] () -- C:\Windows\BRWMARK.INI

[2012.10.14 20:50:43 | 000,000,034 | ---- | C] () -- C:\Windows\SysWow64\BD2030.DAT

[2012.10.10 12:40:24 | 000,007,603 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Local\Resmon.ResmonCfg

[2012.10.08 08:02:38 | 000,004,764 | ---- | C] () -- C:\Windows\SysWow64\CcmFramework.ini

[2012.10.04 10:45:26 | 000,000,099 | ---- | C] () -- C:\Users\ralf.rotzek\AppData\Local\fusioncache.dat

[2012.10.03 20:06:31 | 000,017,776 | ---- | C] () -- C:\Windows\EvtMessage.dll

[2012.10.02 12:58:17 | 000,015,260 | RHS- | C] () -- C:\Users\ralf.rotzek\ntuser.pol

[2012.10.02 12:52:55 | 000,000,463 | ---- | C] () -- C:\Windows\SMSCFG.ini

[2012.09.26 20:57:16 | 000,030,568 | ---- | C] () -- C:\Windows\MusiccityDownload.exe

[2012.09.26 20:57:14 | 000,974,848 | ---- | C] () -- C:\Windows\SysWow64\cis-2.4.dll

[2012.09.26 20:57:14 | 000,081,920 | ---- | C] () -- C:\Windows\SysWow64\issacapi_bs-2.3.dll

[2012.09.26 20:57:14 | 000,065,536 | ---- | C] () -- C:\Windows\SysWow64\issacapi_pe-2.3.dll

[2012.09.26 20:57:14 | 000,057,344 | ---- | C] () -- C:\Windows\SysWow64\issacapi_se-2.3.dll

[2012.08.28 21:47:39 | 000,963,116 | ---- | C] () -- C:\Windows\SysWow64\igkrng600.bin

[2012.08.28 21:47:38 | 000,218,304 | ---- | C] () -- C:\Windows\SysWow64\igfcg600m.bin

[2012.08.28 21:47:36 | 000,056,832 | ---- | C] () -- C:\Windows\SysWow64\igdde32.dll

[2012.08.28 21:47:35 | 000,145,804 | ---- | C] () -- C:\Windows\SysWow64\igcompkrng600.bin

[2012.08.28 21:47:34 | 013,906,944 | ---- | C] () -- C:\Windows\SysWow64\ig4icd32.dll

[2012.08.28 12:06:20 | 000,297,170 | RHS- | C] () -- C:\ProgramData\ntuser.pol

[2012.08.15 11:15:35 | 000,785,734 | ---- | C] () -- C:\Windows\SysWow64\PerfStringBackup.INI

[2012.08.15 11:01:34 | 000,000,051 | ---- | C] () -- C:\Windows\smsts.ini

 
 ========== ZeroAccess Check ==========

 

[2009.07.14 06:55:00 | 000,000,227 | RHS- | M] () -- C:\Windows\assembly\Desktop.ini

 

[HKEY_CURRENT_USER\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] /64

 

[HKEY_CURRENT_USER\Software\Classes\Wow6432node\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

 

[HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32] /64

 

[HKEY_CURRENT_USER\Software\Classes\Wow6432node\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32]

 

[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] /64

"" = C:\Windows\SysNative\shell32.dll -- [2012.06.09 07:43:10 | 014,172,672 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Apartment

 

[HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

"" = %SystemRoot%\system32\shell32.dll -- [2012.06.09 06:41:00 | 012,873,728 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Apartment

 

[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32] /64

"" = C:\Windows\SysNative\wbem\fastprox.dll -- [2012.08.21 15:11:31 | 000,857,088 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Free

 

[HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32]

"" = %systemroot%\system32\wbem\fastprox.dll -- [2012.08.21 15:37:44 | 000,636,928 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Free

 

[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32] /64

"" = C:\Windows\SysNative\wbem\wbemess.dll -- [2012.08.21 15:08:38 | 000,453,120 | ---- | M] (Microsoft Corporation)

"ThreadingModel" = Both

 

[HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32]

 
 ========== LOP Check ==========

 

[2012.10.02 12:39:31 | 000,000,000 | ---D | M] -- C:\Users\Administrator\AppData\Roaming\Accenture

[2012.10.03 19:57:39 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Accenture

[2013.02.04 11:20:45 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Amazon

[2012.11.18 19:38:30 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Anvsoft

[2012.11.05 11:59:36 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Any DVD Cloner

[2012.11.18 16:12:42 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\com.essexreddevelopment.mergepdfmac

[2013.04.01 20:52:01 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\DAEMON Tools Lite

[2012.11.27 12:25:53 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Downloaded Installations

[2013.05.02 04:23:41 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Dropbox

[2012.10.17 16:54:09 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Epson

[2012.11.27 12:28:32 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\FileOpen

[2012.11.27 12:29:47 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Nitro

[2012.11.29 12:56:18 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Nitro PDF

[2012.11.19 12:03:24 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Nokia

[2012.11.19 12:03:25 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Nokia Suite

[2012.11.19 12:00:59 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\PC Suite

[2012.11.18 20:00:38 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\PDFCreatorPackages

[2012.10.25 10:56:35 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Samsung

[2012.11.16 11:49:21 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\SmartTools

[2013.04.01 20:44:33 | 000,000,000 | --SD | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Virtual CD v10

[2013.01.07 11:01:23 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\webex

[2012.12.10 13:29:49 | 000,000,000 | ---D | M] -- C:\Users\ralf.rotzek\AppData\Roaming\Wondershare

 
 ========== Purity Check ==========

 

 

 
 ========== Alternate Data Streams ==========

 

@Alternate Data Stream - 121 bytes -> C:\ProgramData\TEMP:264B2CC4
 

< End of report >

So nebenbei: Ist das ein Firmenrechner?

Schritt 1

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

:OTL

IE - HKLM\..\SearchScopes\{68BD5F88-07A9-4740-B336-B0E565542C60}: "URL" = hxxp://feed.snap.do/?publisher=SnapdoIMonetizer&dpid=SnapdoEMon&co=AT&userid=9137ee7b-1a5c-49d7-b5d6-301d150c73c6&searchtype=ds&q={searchTerms}
 

:commands

[emptytemp]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Schritt 2

Öffne das Programm Malwarebytes Anti-Malware.
Vista und Win7 User mit Rechtsklick "als Administrator starten".
Klicke auf Aktualisierung --> Suche nach Aktualisierung.
Wenn das Update beendet wurde, aktiviere im Reiter Suchlauf die Option Quick-Scan durchführen und drücke auf Scannen.
Wenn der Scan fertig ist, klicke auf Ergebnisse anzeigen.
Versichere dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
Nachträglich kannst du den Bericht unter dem Reiter Logdateien finden.

Schritt 3

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 4

Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Bitte poste in deiner nächsten Antwort:

Fixlog von OTL
Log von MBAM
Log von ESET
Log von SecurityCheck

Hi, hier das Log von OTL:

Code:

All processes killed

========== OTL ==========

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{68BD5F88-07A9-4740-B336-B0E565542C60}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{68BD5F88-07A9-4740-B336-B0E565542C60}\ not found.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: Administrator

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 328041 bytes

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 328041 bytes

->Flash cache emptied: 58734 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Public

->Temp folder emptied: 0 bytes

 

User: ralf.rotzek

->Temp folder emptied: 1007586 bytes

->Temporary Internet Files folder emptied: 523307595 bytes

->Java cache emptied: 185537 bytes

->FireFox cache emptied: 52033955 bytes

->Google Chrome cache emptied: 6407037 bytes

->Flash cache emptied: 58792 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32 (64bit) .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 74847 bytes

%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 83503 bytes

RecycleBin emptied: 726780 bytes

 

Total Files Cleaned = 558,00 mb

 

 

OTL by OldTimer - Version 3.2.69.0 log created on 05022013_045648
 

Files\Folders moved on Reboot...

C:\Users\ralf.rotzek\AppData\Local\Temp\ExchangePerflog_8484fa31fe807b52cfcccd43.dat moved successfully.

C:\Users\ralf.rotzek\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

C:\Users\ralf.rotzek\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\LKUO9FP4\134214-bundestrojaner-o-ae-weisser-bildschirm-6[1].html moved successfully.

C:\Users\ralf.rotzek\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\AntiPhishing\2CEDBFBC-DBA8-43AA-B1FD-CC8E6316E3E2.dat moved successfully.

C:\Users\ralf.rotzek\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\MSIMGSIZ.DAT moved successfully.

File\Folder C:\Users\ralf.rotzek\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{2A4F034C-3238-4E18-A677-C852D967FBC5}.tmp not found!

File\Folder C:\Users\ralf.rotzek\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{4D48D6C1-F408-4816-80D3-80871AD14509}.tmp not found!

File\Folder C:\Users\ralf.rotzek\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{D91A701E-61F4-49C0-9BF2-D71D876CC9BB}.tmp not found!

File\Folder C:\Users\ralf.rotzek\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{FEC8DFA6-7640-4822-A2FE-6D73AF6090D8}.tmp not found!
 

PendingFileRenameOperations files...
 

Registry entries deleted on Reboot...

Edit: ja, das ist ein Firmenrechner, den ich für meine Zweittätigkeit sowie privat nutze. Problem hierbei ist, dass die IT-Jungs kein Interesse an Datenrettung haben und mir das letzte Mal auch den Rechner komplett geleert haben und meine Daten futsch waren. Deshalb versuche ich nun erst alles, was ich selber machen kann, um nicht wieder alle Daten zu verlieren...

Malwarebytes-Log:

Code:

Malwarebytes Anti-Malware (Test) 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2013.05.01.07
 

Windows 7 Service Pack 1 x64 NTFS

Internet Explorer 8.0.7601.17514

ralf.rotzek :: MW7GT9G94ZUZYG [Administrator]
 

Schutz: Aktiviert
 

02.05.2013 05:11:18

mbam-log-2013-05-02 (05-11-18).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 241635

Laufzeit: 4 Minute(n), 10 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

Hi Leo, ist es normal, dass der ESET Scanner dermaßen lange läuft? Bin mittlerweile bei 4,5h und er steht seit ca. 3h auf 99% Completion... Aber er scant fröhlich weiter und hat auch bereits einen Treffer.
Danke und Grüße!

Edit: ok :-) Jetzt im Moment hat ers fertig gebracht. Hier der gefundene Threat:

Code:

C:\Users\ralf.rotzek\Videos\product_download.php Win32/Adware.1ClickDownload.Q application

Und das Log:

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=c1d3a512181f9e46bb5fbb787f062d86

# engine=13733

# end=stopped

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-05-02 02:07:35

# local_time=2013-05-02 04:07:35 (+0100, W. Europe Daylight Time)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=5893 16776574 100 94 22435783 119090305 0 0

# scanned=136380

# found=2

# cleaned=0

# scan_time=12990

sh=BA08CA1FA3C2AEED708E943D0803F2F1CF134E9A ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="C:\Users\ralf.rotzek\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\8\15dbe188-5455a213"

sh=6B329CD93474E1FC0769C612B38A083F2F428E03 ft=1 fh=4881b7bfd40b2e13 vn="Win32/Adware.1ClickDownload.Q application" ac=I fn="C:\Users\ralf.rotzek\Videos\product_download.php"

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=c1d3a512181f9e46bb5fbb787f062d86

# engine=13735

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-05-02 07:45:43

# local_time=2013-05-02 09:45:43 (+0100, W. Europe Daylight Time)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=5893 16776574 100 94 22456071 119110593 0 0

# scanned=192851

# found=1

# cleaned=0

# scan_time=15997

sh=6B329CD93474E1FC0769C612B38A083F2F428E03 ft=1 fh=4881b7bfd40b2e13 vn="Win32/Adware.1ClickDownload.Q application" ac=I fn="C:\Users\ralf.rotzek\Videos\product_download.php"

Und der Security Check:

Code:

 Results of screen317's Security Check version 0.99.62  

 Windows 7 Service Pack 1 x64 (UAC is enabled)  

 Internet Explorer 8 Out of date! 
 ``````````````Antivirus/Firewall Check:`````````````` 

 Windows Firewall Enabled!  

Microsoft Forefront Endpoint Protection   

 Antivirus up to date!  
 `````````Anti-malware/Other Utilities Check:````````` 

 Malwarebytes Anti-Malware Version 1.75.0.1300  

 Java(TM) 6 Update 34  

 Java 7 Update 17  

 Adobe Reader XI  

 Mozilla Firefox (3.6.3) Firefox out of Date!  

 Google Chrome 26.0.1410.43  

 Google Chrome 26.0.1410.64  
 ````````Process Check: objlist.exe by Laurent````````  

 Microsoft Security Essentials msseces.exe 

 Windows Defender MSMpEng.exe 

 Malwarebytes Anti-Malware mbamservice.exe  

 Malwarebytes Anti-Malware mbamgui.exe  

 Microsoft Forefront Identity Manager 2010 Password Reset Client Service PwdMgmtProxy.exe 

 Microsoft Security Client Antimalware MsMpEng.exe  

 Microsoft Security Client Antimalware NisSrv.exe  

 Malwarebytes' Anti-Malware mbamscheduler.exe   
 `````````````````System Health check````````````````` 

 Total Fragmentation on Drive C: 0% 
 ````````````````````End of Log``````````````````````

Hi,

ja der ESET-Scan dauert so lange, das ist normal. Und er hat auch nichts Schlimmes mehr gefunden. Diesen Adware-Fund kannst du einfach löschen.

Wegen des Firmenrechners.. Dazu poste ich normalerweise Folgendes (auch wenn es jetzt schon ein bisschen spät dafür ist):

Hinweise zu gewerblich genutzten Rechnern

Für gewerblich genutzte Rechner sind in erster Linie nicht wir sondern der firmeneigene IT-Support zuständig. Bei kleinen Unternehmen ohne einen eigenen IT-Support machen wir aber gerne eine Ausnahme und schauen uns den Rechner an.
Es gilt aber zu bedenken, dass eine Malware-Bereinigung prinzipiell keine absolute Sicherheit bieten kann und immer ein kleines Restrisiko bestehen bleibt. Speziell wenn sich sensible Firmen- oder Kundendaten auf dem Rechner befinden, sollte man bei Anzeichen von schwerwiegendem Malwarebefall ein Formatieren der Festplatte und Neuinstallieren des Systems ins Auge fassen.
Weiter weisen wir darauf hin, dass wir keinerlei Haftung übernehmen für den Fall, dass etwas schief läuft. Auch bist du selbst dafür verantwortlich, dass in den geposteten Logfiles keine internen Informationen auftauchen, welche nicht öffentlich einsehbar sein dürfen. Solche Einträge aber bitte nicht einfach ganz löschen, sondern klar erkennbar zensieren.
Die Hilfestellung erfolgt auch in diesem Fall kostenlos. Es besteht aber die Möglichkeit, das Forum mit einer kleinen Spende zu unterstützen.

Wie gesagt können wir hier keine Garantien für irgendwas abgeben. Jetzt wo du wieder Zugang zu deinen Daten hast und diese extern sichern konntest, würd ich das weitere Vorgehen trotzdem noch mit euren "IT-Jungs" anschauen.

Ich für meinen Teil geb jetzt noch die Schritte zum Absichern und Aufräumen an:

Schritt 1

Downloade und installiere den Internet Explorer 10.
Der Internet Explorer sollte auch dann aktuell gehalten werden, wenn er nicht zum Surfen verwendet wird.

Schritt 2

Downloade und installiere dir die neuste Version des Mozilla Firefox, falls du ihn weiterhin verwenden möchtest. Ansonsten deinstalliere die alte Version.

Schritt 3

Dein Java ist nicht mehr aktuell. Ältere Versionen enthalten Sicherheitslücken, die von Malware zur Infizierung per Drive-by Download missbraucht werden können.

Die aktuelle Version ist Java 7 Update 21.

Gehe zu
Start --> Systemsteuerung --> Programme und Funktionen (bei Vista / Win 7)
Start --> Systemsteuerung --> Software (bei Win XP)
und deinstalliere alle älteren Java-Versionen.

In wenigen Fällen wird Java wirklich benötigt. Auch werden immer wieder neue, noch nicht geschlossene Sicherheitslücken ausgenutzt.
Überleg dir also, ob du eine Java-Installation wirklich brauchst.
Falls du Java weiterhin verwenden möchtest, dann:

Lade dir die neueste Java-Version herunter.
Schliesse alle laufenden Programme, speziell den Browser.
Starte die heruntergeladene jxpiinstall.exe und folge den Anweisungen.
Entferne während der Installation den Haken bei "Installieren Sie die Ask-Toolbar ...".

Überprüfe dann mit diesem Plugin-Check, ob nun alle deine verwendeten Versionen aktuell sind und update sie anderenfalls.

Cleanup

Zum Schluss werden wir jetzt noch unsere Tools (inklusive der Quarantäne-Ordner) wegräumen, die verseuchten Systemwiederherstellungspunkte löschen und alle Einstellungen wieder herrichten. Auch diese Schritte sind noch wichtig und sollten in der angegebenen Reihenfolge ausgeführt werden.

Deaktiviere jetzt temporär das Antivirenprogramm, benenne bei der auf dem Desktop vorhandenen Combofix.exe das "Combofix" im Dateinamen um in Uninstall und führe sie mit Doppelklick aus.
Bei MBAM würd ich dir unbedingt empfehlen, es zu behalten und wöchentlich einen Quick-Scan durchzuführen. Wenn du es nicht weiter verwenden möchtest, kannst du es jetzt normal über die Systemsteuerung deinstallieren.
Auch den ESET Online Scanner kannst du behalten, um ab und zu (monatlich) für eine Zweitmeinung dein System damit zu scannen. Falls du ESET deinstallieren möchtest, dann kannst du das ebenfalls über die Systemsteuerung tun.
Downloade dir bitte auf jeden Fall DelFix auf deinen Desktop.
- Schliesse alle offenen Programme.
- Starte die delfix.exe mit einem Doppelklick.
- Setze vor jede Funktion ein Häkchen.
- Klicke auf Start.
- DelFix entfernt u.a. alle von uns verwendeten Programme und löscht sich anschliessend selbst.
Wenn jetzt noch etwas übriggeblieben ist, dann kannst du es einfach manuell löschen.

>> OK <<
Wir sind durch, deine Logs sehen für mich im Moment sauber aus. :daumenhoc

Ich habe dir nachfolgend ein paar Hinweise und Tipps zusammengestellt, die dazu beitragen sollen, dass du in Zukunft unsere Hilfe nicht mehr brauchen wirst.

Bitte gib mir danach noch eine kurze Rückmeldung, wenn auch von deiner Seite keine Probleme oder Fragen mehr offen sind, damit ich dieses Thema als erledigt betrachten kann.

Epilog: Tipps, Dos & Don'ts

Aktualität von System und Software

Das Betriebsystem Windows muss zwingend immer auf dem neusten Stand sein. Stelle sicher, dass die automatischen Updates aktiviert sind:

Windows XP: Start --> Systemsteuerung --> Doppelklick auf Automatische Updates
Windows Vista / 7: Start --> Systemsteuerung --> System und Sicherheit --> Automatische Updates aktivieren oder deaktivieren

Auch die installierte Software sollte immer in der aktuellsten Version vorliegen.
Speziell gilt das für den Browser, Java, Flash-Player und PDF-Reader, denn bekannte Sicherheitslücken in deren alten Versionen werden dazu ausgenutzt, um beim blossen Besuch einer präparierten Website per Drive-by Download Malware zu installieren. Das kann sogar auf normalerweise legitimen Websites geschehen, wenn es einem Angreifer gelungen ist, seinen Code in die Seite einzuschleusen, und ist deshalb relativ unberechenbar.

Mit diesem kleinen Plugin-Check kannst du regelmässig diese Komponenten auf deren Aktualität überprüfen.
Achte auch darauf, dass alte, nicht mehr verwendete Versionen deinstalliert sind.
Optional: Das Programm Secunia Personal Software Inspector kann dich dabei unterstützen, stets die aktuellen Versionen sämtlicher installierter Software zu nutzen.

Sicherheits-Software

Eine Bemerkung vorneweg: Jede Softwarelösung hat ihre Schwächen. Die gesamte Verantwortung für die Sicherheit auf Software zu übertragen und einen Rundum-Schutz zu erwarten, wäre eine gefährliche Illusion. Bei unbedachtem oder bewusst risikoreichem Verhalten wird auch das beste Programm früher oder später seinen Dienst versagen (z.B. ein Virenscanner, der eine verseuchte Datei nicht erkennt).
Trotzdem ist entsprechende Software natürlich wichtig und hilft dir in Kombination mit einem gut gewarteten (up-to-date) System und durchdachtem Verhalten, deinen Rechner sauber zu halten.

Nutze einen Virenscanner mit Hintergrundwächter mit stets aktueller Datenbank. Welches Produkt gewählt wird, spielt keine so entscheidende Rolle. Es gibt kommerzielle Versionen, aber ein kostenloser Scanner mit den Grundfunktionen wie beispielsweise Avast! Free Antivirus sollte ausreichen. Betreibe aber keinesfalls zwei Wächter parallel, die würden sich gegenseitig behindern.
Aktiviere eine Firewall. Die in Windows integrierte genügt im Normalfall völlig.
Zusätzlich zum Virenscanner kannst du dein System regelmässig mit einem On-Demand Antimalwareprogramm scannen. Empfehlenswert ist die Free-Version von Malwarebytes Anti-Malware. Vor jedem Scan die Datenbank updaten.
Optional: Das Programm Sandboxie führt Anwendungen in einer isolierten Umgebung ("Sandkasten") aus, so dass keine Änderungen am System vorgenommen werden können. Wenn du deinen Browser darin startest, vermindert sich die Chance, dass beim Surfen eingefangene Malware sich dauerhaft im System festsetzen kann.
Optional: Das Addon WOT (web of trust) warnt dich vor einer als schädlich gemeldeten Website, bevor sie geladen wird. Für verschiedene Browser erhältlich.

Es liegt in der Natur der Sache, dass die am weitesten verbreitete Anwendungs-Software auch am häufigsten von Malware-Autoren attackiert wird. Es kann daher bereits einen kleinen Sicherheitsgewinn darstellen, wenn man alternative Software (z.B. einen alternativen PDF Reader) benutzt.
Anstelle des Internet Explorers kann man beispielsweise den Mozilla Firefox einsetzen, für welchen es zwei nützliche Addons zur Empfehlung gibt:

NoScript verhindert standardmässig das Ausführen von aktiven Inhalten (Java, JavaScript, Flash, ..) für sämtliche Websites. Du kannst selber nach dem Prinzip einer Whitelist festlegen, welchen Seiten du vertrauen und Scripts erlauben willst, auch temporär.
Adblock Plus blockt die meisten Werbebanner weg. Solche Banner können nebst ihrer störenden Erscheinung auch als Infektionsherde fungieren.

(Un-)Sicheres Verhalten im Internet

Nebst unbemerkten Drive-by Installationen wird Malware aber auch oft mehr oder weniger aktiv vom Benutzer selbst installiert.

Der Besuch zwielichtiger Websites kann bereits Risiken bergen. Und Downloads aus dubiosen Quellen sind immer russisches Roulette. Auch wenn der Virenscanner im Moment darin keine Bedrohung erkennt, muss das nichts bedeuten.

Illegale Cracks, Keygens und Serials sind ein ausgesprochen einfacher (und ein beliebter) Weg, um Malware zu verbreiten.
Bei Dateien aus Peer-to-Peer- und Filesharingprogrammen oder von Filehostern kannst du dir nie sicher sein, ob auch wirklich drin ist, was drauf steht.

Oft wird auch versucht, den Benutzer mit mehr oder weniger trickreichen Methoden dazu zu bringen, eine für ihn verhängnisvolle Handlung selbst auszuführen (Überbegriff Social Engineering).

Surfe mit Vorsicht und lass dich nicht von irgendwie interessant erscheinenden Elementen zu einem vorschnellen Klick verleiten. Lass dich nicht von Popups täuschen, die aussehen wie System- oder Virenmeldungen.
Sei skeptisch bei unerwarteten E-Mails, insbesondere wenn sie Anhänge enthalten. Auch wenn sie auf den ersten Blick authentisch wirken, persönliche Daten von dir enthalten oder vermeintlich von einem bekannten Absender stammen: Lieber nochmals in Ruhe überdenken oder nachfragen, anstatt einfach mal Links oder ausführbare Anhänge öffnen oder irgendwo deine Daten eingeben.
Auch in sozialen Netzwerken oder über Instant Messaging Systeme können schädliche Links oder Dateien die Runde machen. Erhältst du von einem deiner Freunde eine Nachricht, die merkwürdig ist oder so sensationell interessant oder skandalös tönt, dass man einfach draufklicken muss, dann hat bei ihm/ihr wahrscheinlich Neugier über Verstand gesiegt und du solltest nicht denselben Fehler machen.
Lass die Dateiendungen anzeigen, so dass du dich nicht täuschen lässt, wenn eine ausführbare Datei über ein doppelte Dateiendung kaschiert wird, z.B. Nacktfoto.jpg.exe.

Nervige Adware (Werbung) und unnötige Toolbars werden auch meist durch den Benutzer selbst mitinstalliert.

Lade Software in erster Priorität immer direkt vom Hersteller herunter. Viele Softwareportale (z.B. Softonic) packen noch unnützes Zeug mit in die Installation. Alternativ dazu wähle ein sauberes Portal wie Filepony oder heise.
Wähle beim Installieren von Software immer die benutzerdefinierte Option und entferne den Haken bei allen optional angebotenen Toolbars oder sonstigen fürs Programm irrelevanten Ergänzungen.

Allgemeine Hinweise

Abschliessend noch ein paar grundsätzliche Bemerkungen:

Dein Benutzerkonto für den alltäglichen Gebrauch sollte nicht über Administratorenrechte verfügen. Nutze ein Konto mit eingeschränkten Rechten (Windows XP) bzw. aktiviere die Benutzerkontensteuerung (UAC) auf der höchsten Stufe (Windows Vista / 7).
Erstelle regelmässig Backups deiner Daten und Dokumente auf externen Datenträgern, bei wichtigen Dateien mindestens zweifach. Nicht nur ein Malwarebefall kann schmerzhaften Datenverlust nach sich ziehen sondern auch ein gewöhnlicher Festplattendefekt.
Die Autorun/Autoplay-Funktion stellt ein Risiko dar, denn sie ermöglicht es, dass beispielsweise beim Einstecken eines entsprechend infizierten USB-Sticks der Befall auf den Rechner überspringt. Überlege dir, ob du diese Funktion nicht besser deaktivieren möchtest.
Wähle deine Passwörter gemäss den gängigen Regeln, um besser gegen Brute-Force- und Wörterbuchattacken gewappnet zu sein. Benutze jedes deiner Passwörter nur einmal und ändere sie regelmässig.
Der Nutzen von Registry-Cleanern zur Performancesteigerung ist umstritten. Auf jeden Fall lässt sich damit grosser Schaden anrichten, wenn man nicht weiss, was man tut. Wir empfehlen deshalb, die Finger von der Registry zu lassen. Um von Zeit zu Zeit die temporären Dateien zu löschen, genügt TFC.

Wenn du möchtest, kannst du das Forum mit einer kleinen Spende unterstützen.
Es bleibt mir nur noch, dir unbeschwertes und sicheres Surfen zu wünschen und dass wir uns hier so bald nicht wiedersehen. ;)

Lieber Leo,

was soll ich sagen...: VIELEN DANK! Es war wirklich super, wie Du es mit stoischer Geduld geschafft hast, meine Daten zu retten! Echt klasse!

Ich werde nun ohnehin das System neu aufsetzen lassen, aber mein primäres Ziel der Datensicherung habe ich jetzt erreicht. Und das hätte wahrscheinlich nicht funktioniert, wenn ich den Rechner gleich meinen "IT Jungs" gegeben hätte... Die Bezeichnung "IT Jungs" findest lustig, was?! :-)

Auf jeden Fall werdet Ihr sehr bald eine Spende von mir erhalten, denn Ihr Jungs mit Eurem unermüdlichen Einsatz seid einfach SPITZE!

Also in diesem Sinne: nochmals herzlichen Dank und alles Gute und ich werd jetzt mal mit dem "Aufräumen" anfangen... :-)

Ciao und Daumen hoch,
Rolexralle

Danke für die Rückmeldung.
Und im Namen des Teams vielen Dank für die Spende!

Freut mich, dass wir helfen konnten. :abklatsch:

Falls du dem Forum noch Verbesserungsvorschläge, Kritik oder ein Lob mitgeben möchtest, kannst du das hier tun.

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.