3
Code:
Zusätzliches Untersuchungsergebnis von Farbar Recovery Scan Tool (x64) Version: 27-11-2016
durchgeführt von mugger (29-11-2016 13:44:32)
Gestartet von C:\Users\mugger\Desktop\Neuer Ordner
Windows 8.1 (Update) (X64) (2016-11-28 09:12:39)
Start-Modus: Normal
==========================================================
==================== Konten: =============================
Administrator (S-1-5-21-1479790127-220204967-1113009615-500 - Administrator - Disabled)
Gast (S-1-5-21-1479790127-220204967-1113009615-501 - Limited - Disabled)
Ich (S-1-5-21-1479790127-220204967-1113009615-1003 - Limited - Enabled) => C:\Users\Ich
mugger (S-1-5-21-1479790127-220204967-1113009615-1001 - Administrator - Enabled) => C:\Users\mugger
UpdatusUser (S-1-5-21-1479790127-220204967-1113009615-1002 - Limited - Enabled) => C:\Users\UpdatusUser
==================== Sicherheits-Center ========================
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er entfernt.)
AV: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
AS: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
==================== Installierte Programme ======================
(Nur Adware-Programme mit dem Zusatz "Hidden" können in die Fixlist aufgenommen werden, um sie sichtbar zu machen. Die Adware-Programme sollten manuell deinstalliert werden.)
Dolby Home Theater v4 (HKLM-x32\...\{B26438B4-BF51-49C3-9567-7F14A5E40CB9}) (Version: 7.2.8000.17 - Dolby Laboratories Inc)
Intel(R) Management Engine Components (HKLM-x32\...\{65153EA5-8B6E-43B6-857B-C6E4FC25798A}) (Version: 8.1.0.1252 - Intel Corporation)
Intel(R) Processor Graphics (HKLM-x32\...\{F0E3AD40-2BBD-4360-9C76-B9AC9A5886EA}) (Version: 10.18.10.4276 - Intel Corporation)
Intel(R) SDK for OpenCL - CPU Only Runtime Package (HKLM-x32\...\{FCB3772C-B7D0-4933-B1A9-3707EBACC573}) (Version: 2.0.0.37149 - Intel Corporation)
Intel(R) WiDi (HKLM\...\{6097158B-0184-4140-BEC3-7885794D2571}) (Version: 3.5.40.0 - Intel Corporation)
Malwarebytes Anti-Malware Version 2.2.1.1043 (HKLM-x32\...\Malwarebytes Anti-Malware_is1) (Version: 2.2.1.1043 - Malwarebytes)
Microsoft Visual C++ 2010 x64 Redistributable - 10.0.40219 (HKLM\...\{1D8E6291-B0D5-35EC-8441-6616F567A0F7}) (Version: 10.0.40219 - Microsoft Corporation)
Microsoft Visual C++ 2010 x86 Redistributable - 10.0.40219 (HKLM-x32\...\{F0C3E5D1-1ADE-321E-8167-68EF0DE699A5}) (Version: 10.0.40219 - Microsoft Corporation)
Mozilla Firefox 50.0.1 (x64 de) (HKLM\...\Mozilla Firefox 50.0.1 (x64 de)) (Version: 50.0.1 - Mozilla)
Mozilla Maintenance Service (HKLM-x32\...\MozillaMaintenanceService) (Version: 50.0.1 - Mozilla)
NVIDIA 3D Vision Treiber 331.65 (HKLM\...\{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}_Display.3DVision) (Version: 331.65 - NVIDIA Corporation)
NVIDIA Grafiktreiber 331.65 (HKLM\...\{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}_Display.Driver) (Version: 331.65 - NVIDIA Corporation)
NVIDIA Update 1.15.2 (HKLM\...\{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}_Display.Update) (Version: 1.15.2 - NVIDIA Corporation)
Realtek Ethernet Controller Driver (HKLM-x32\...\{8833FFB6-5B0C-4764-81AA-06DFEED9A476}) (Version: 8.3.730.2012 - Realtek)
Realtek High Definition Audio Driver (HKLM-x32\...\{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}) (Version: 6.0.1.6722 - Realtek Semiconductor Corp.)
Reimage Protector (HKLM\...\Reimage Protector) (Version: - Reimage) <==== ACHTUNG
Synaptics Pointing Device Driver (HKLM\...\SynTPDeinstKey) (Version: 16.2.12.12 - Synaptics Incorporated)
==================== Benutzerdefinierte CLSID (Nicht auf der Ausnahmeliste): ==========================
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)
CustomCLSID: HKU\S-1-5-21-1479790127-220204967-1113009615-1001_Classes\CLSID\{820D63D5-8CFF-46DE-86AF-4997DEDD6DB5}\localserver32 -> C:\Windows\system32\igfxEM.exe (Intel Corporation)
==================== Geplante Aufgaben (Nicht auf der Ausnahmeliste) =============
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)
Task: {3D46D3A1-6F9A-4D20-B2B0-56539B4B7122} - System32\Tasks\Dolby Selector => C:\Program Files (x86)\Dolby Home Theater v4\pcee4.exe [2012-08-31] (Dolby Laboratories Inc.)
Task: {80FBC70F-7371-41E9-86F1-5AA7D7FD712D} - System32\Tasks\ReimageUpdater => C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe [2016-11-06] (Reimage®) <==== ACHTUNG
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird die Aufgabe verschoben. Die Datei, die durch die Aufgabe gestartet wird, wird nicht verschoben.)
==================== Verknüpfungen =============================
(Die Einträge können gelistet werden, um sie zurückzusetzen oder zu entfernen.)
==================== Geladene Module (Nicht auf der Ausnahmeliste) ==============
2013-10-27 09:03 - 2013-10-27 09:03 - 00013088 _____ () C:\Program Files\NVIDIA Corporation\CoProcManager\detoured.dll
2016-11-28 11:07 - 2013-10-23 09:20 - 00102176 _____ () C:\Program Files\NVIDIA Corporation\Display\NvSmartMax64.dll
2016-11-28 10:50 - 2013-10-09 13:37 - 01198912 ____R () C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\ACE.dll
==================== Alternate Data Streams (Nicht auf der Ausnahmeliste) =========
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird nur der ADS entfernt.)
==================== Abgesicherter Modus (Nicht auf der Ausnahmeliste) ===================
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Der Wert "AlternateShell" wird wiederhergestellt.)
==================== Verknüpfungen (Nicht auf der Ausnahmeliste) ===============
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird der Registryeintrag auf den Standardwert zurückgesetzt oder entfernt.)
==================== Internet Explorer Vertrauenswürdig/Eingeschränkt ===============
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt.)
==================== Hosts Inhalt: ===============================
(Wenn benötigt kann der Hosts: Schalter in die Fixlist aufgenommen werden um die Hosts Datei zurückzusetzen.)
2013-08-22 14:25 - 2013-08-22 14:25 - 00000824 ____A C:\Windows\system32\Drivers\etc\hosts
==================== Andere Bereiche ============================
(Aktuell gibt es keinen automatisierten Fix für diesen Bereich.)
HKU\S-1-5-21-1479790127-220204967-1113009615-1001\Control Panel\Desktop\\Wallpaper -> C:\Windows\Web\Wallpaper\Theme1\img1.jpg
HKU\S-1-5-21-1479790127-220204967-1113009615-1003\Control Panel\Desktop\\Wallpaper -> C:\Windows\Web\Wallpaper\Theme1\img2.jpg
DNS Servers: 192.168.178.1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System => (ConsentPromptBehaviorAdmin: 2) (ConsentPromptBehaviorUser: 3) (EnableLUA: 1)
Windows Firewall ist aktiviert.
==================== MSCONFIG/TASK MANAGER Deaktivierte Einträge ==
==================== Firewall Regeln (Nicht auf der Ausnahmeliste) ===============
(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)
FirewallRules: [vm-monitoring-nb-session] => (Allow) LPort=139
FirewallRules: [{2AE3A506-3C55-4C62-9ED2-4397B77EAB40}] => (Allow) C:\Program Files\Intel Corporation\Intel WiDi\WiDiApp.exe
FirewallRules: [{74623939-5660-4517-8B72-6520BA767ABA}] => (Allow) C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe
FirewallRules: [{4396D97D-EC9E-45F5-AC70-77431C99C214}] => (Allow) C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe
FirewallRules: [{327966DA-C750-46CB-A6A6-BD439247B3C2}] => (Allow) C:\Program Files\Mozilla Firefox\firefox.exe
FirewallRules: [{4A962F5F-37F3-49F5-A560-AE53ECCABEA3}] => (Allow) C:\Program Files\Mozilla Firefox\firefox.exe
==================== Wiederherstellungspunkte =========================
ACHTUNG: Systemwiederherstellung ist deaktiviert
==================== Fehlerhafte Geräte im Gerätemanager =============
==================== Fehlereinträge in der Ereignisanzeige: =========================
Applikationsfehler:
==================
Error: (11/28/2016 03:31:28 PM) (Source: Software Protection Platform Service) (EventID: 8198) (User: )
Description: Fehler bei der Lizenzaktivierung (slui.exe). Fehlercode:
hr=0xC004E028
Befehlszeilenargumente:
RuleId=31e71c49-8da7-4a2f-ad92-45d98a1c79ba;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=9e4b231b-3e45-41f4-967f-c914f178b6ac;NotificationInterval=1440;Trigger=NetworkAvailable
Error: (11/28/2016 03:18:43 PM) (Source: Software Protection Platform Service) (EventID: 8198) (User: )
Description: Fehler bei der Lizenzaktivierung (slui.exe). Fehlercode:
hr=0x80072EE7
Befehlszeilenargumente:
RuleId=31e71c49-8da7-4a2f-ad92-45d98a1c79ba;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=9e4b231b-3e45-41f4-967f-c914f178b6ac;NotificationInterval=1440;Trigger=UserLogon;SessionId=4
Error: (11/28/2016 03:18:43 PM) (Source: Software Protection Platform Service) (EventID: 1014) (User: )
Description: Fehler beim Erwerb der Endbenutzerlizenz. hr=0x80072EE7
SKU-ID=9e4b231b-3e45-41f4-967f-c914f178b6ac
Error: (11/28/2016 03:18:43 PM) (Source: Software Protection Platform Service) (EventID: 8200) (User: )
Description: Lizenzerwerb-Fehlerdetails.
hr=0x80072EE7
Error: (11/28/2016 01:40:34 PM) (Source: Software Protection Platform Service) (EventID: 8198) (User: )
Description: Fehler bei der Lizenzaktivierung (slui.exe). Fehlercode:
hr=0x80072EE7
Befehlszeilenargumente:
RuleId=31e71c49-8da7-4a2f-ad92-45d98a1c79ba;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=9e4b231b-3e45-41f4-967f-c914f178b6ac;NotificationInterval=1440;Trigger=UserLogon;SessionId=3
Error: (11/28/2016 01:40:33 PM) (Source: Software Protection Platform Service) (EventID: 1014) (User: )
Description: Fehler beim Erwerb der Endbenutzerlizenz. hr=0x80072EE7
SKU-ID=9e4b231b-3e45-41f4-967f-c914f178b6ac
Error: (11/28/2016 01:40:33 PM) (Source: Software Protection Platform Service) (EventID: 8200) (User: )
Description: Lizenzerwerb-Fehlerdetails.
hr=0x80072EE7
Error: (11/28/2016 01:36:50 PM) (Source: Software Protection Platform Service) (EventID: 8198) (User: )
Description: Fehler bei der Lizenzaktivierung (slui.exe). Fehlercode:
hr=0x80072EE7
Befehlszeilenargumente:
RuleId=31e71c49-8da7-4a2f-ad92-45d98a1c79ba;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=9e4b231b-3e45-41f4-967f-c914f178b6ac;NotificationInterval=1440;Trigger=UserLogon;SessionId=2
Error: (11/28/2016 01:36:49 PM) (Source: Software Protection Platform Service) (EventID: 1014) (User: )
Description: Fehler beim Erwerb der Endbenutzerlizenz. hr=0x80072EE7
SKU-ID=9e4b231b-3e45-41f4-967f-c914f178b6ac
Error: (11/28/2016 01:36:49 PM) (Source: Software Protection Platform Service) (EventID: 8200) (User: )
Description: Lizenzerwerb-Fehlerdetails.
hr=0x80072EE7
Systemfehler:
=============
Error: (11/29/2016 07:55:59 AM) (Source: DCOM) (EventID: 10010) (User: mugger_Book)
Description: Der Server "{1B1F472E-3221-4826-97DB-2C2324D389AE}" konnte innerhalb des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
Error: (11/29/2016 07:55:29 AM) (Source: DCOM) (EventID: 10010) (User: mugger_Book)
Description: Der Server "{BF6C1E47-86EC-4194-9CE5-13C15DCB2001}" konnte innerhalb des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
Error: (11/29/2016 07:42:37 AM) (Source: Service Control Manager) (EventID: 7034) (User: )
Description: Dienst "NVIDIA Stereoscopic 3D Driver Service" wurde unerwartet beendet. Dies ist bereits 1 Mal passiert.
Error: (11/29/2016 07:38:31 AM) (Source: DCOM) (EventID: 10010) (User: mugger_Book)
Description: Der Server "{1B1F472E-3221-4826-97DB-2C2324D389AE}" konnte innerhalb des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
Error: (11/29/2016 07:38:01 AM) (Source: DCOM) (EventID: 10010) (User: mugger_Book)
Description: Der Server "{BF6C1E47-86EC-4194-9CE5-13C15DCB2001}" konnte innerhalb des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
Error: (11/29/2016 07:25:58 AM) (Source: BTHUSB) (EventID: 30) (User: )
Description: Der lokale Adapter bietet keine Unterstützung für einen wichtigen Controllerstatus für energiearme Geräte. Die mindestens erforderliche unterstützte Statusmaske ist "0x1f7fffff", vorhanden ist jedoch "0x1f3fffff". Die Funktionalität für energiearme Geräte wird deaktiviert.
Error: (11/28/2016 01:25:36 PM) (Source: BTHUSB) (EventID: 30) (User: )
Description: Der lokale Adapter bietet keine Unterstützung für einen wichtigen Controllerstatus für energiearme Geräte. Die mindestens erforderliche unterstützte Statusmaske ist "0x1f7fffff", vorhanden ist jedoch "0x1f3fffff". Die Funktionalität für energiearme Geräte wird deaktiviert.
Error: (11/28/2016 01:03:17 PM) (Source: Microsoft-Windows-Eventlog) (EventID: 30) (User: NT-AUTORITÄT)
Description: Der Ereignisprotokollierungsdienst hat beim Aktivieren des Herausgebers "{0BF2FB94-7B60-4B4D-9766-E82F658DF540}" für den Kanal "Microsoft-Windows-Kernel-ShimEngine/Operational" einen Fehler (5) erkannt. Dieser Fehler hat keinen Einfluss auf den Betrieb des Kanals, beeinträchtigt jedoch die Fähigkeit des Herausgebers, Ereignisse für den Kanal auszulösen. Dieser Fehler ist oft darauf zurückzuführen, dass der Anbieter die ETW-Anbietersicherheit verwendet und der Ereignisprotokoll-Dienstidentität keine Berechtigungen zum Aktivieren gewährt hat.
Error: (11/28/2016 01:03:14 PM) (Source: Microsoft-Windows-Eventlog) (EventID: 30) (User: NT-AUTORITÄT)
Description: Der Ereignisprotokollierungsdienst hat beim Aktivieren des Herausgebers "{0BF2FB94-7B60-4B4D-9766-E82F658DF540}" für den Kanal "Microsoft-Windows-Kernel-ShimEngine/Operational" einen Fehler (5) erkannt. Dieser Fehler hat keinen Einfluss auf den Betrieb des Kanals, beeinträchtigt jedoch die Fähigkeit des Herausgebers, Ereignisse für den Kanal auszulösen. Dieser Fehler ist oft darauf zurückzuführen, dass der Anbieter die ETW-Anbietersicherheit verwendet und der Ereignisprotokoll-Dienstidentität keine Berechtigungen zum Aktivieren gewährt hat.
Error: (11/28/2016 01:02:59 PM) (Source: BTHUSB) (EventID: 30) (User: )
Description: Der lokale Adapter bietet keine Unterstützung für einen wichtigen Controllerstatus für energiearme Geräte. Die mindestens erforderliche unterstützte Statusmaske ist "0x1f7fffff", vorhanden ist jedoch "0x1f3fffff". Die Funktionalität für energiearme Geräte wird deaktiviert.
==================== Speicherinformationen ===========================
Prozessor: Intel(R) Core(TM) i3-3110M CPU @ 2.40GHz
Prozentuale Nutzung des RAM: 28%
Installierter physikalischer RAM: 8070.51 MB
Verfügbarer physikalischer RAM: 5795.77 MB
Summe virtueller Speicher: 9990.51 MB
Verfügbarer virtueller Speicher: 7846.63 MB
==================== Laufwerke ================================
Drive c: () (Fixed) (Total:116.86 GB) (Free:90.09 GB) NTFS
Drive e: (Win81Recovery) (CDROM) (Total:3.88 GB) (Free:0 GB) UDF
==================== MBR & Partitionstabelle ==================
========================================================
Disk: 0 (MBR Code: Windows 7 or 8) (Size: 117.4 GB) (Disk ID: 00000000)
Partition: GPT.
==================== Ende von Addition.txt ============================
aswMBR Code:
aswMBR version 1.0.1.2252 Copyright(c) 2014 AVAST Software
Run date: 2016-11-29 14:53:16
-----------------------------
14:53:16.327 OS Version: Windows x64 6.2.9200
14:53:16.327 Number of processors: 4 586 0x3A09
14:53:16.342 ComputerName: MUGGER_BOOK UserName: mugger
14:53:16.530 Initialize success
14:53:16.639 VM: initialized successfully
14:53:16.639 VM: Intel CPU supported
14:53:18.428 VM: supported disk I/O storport.sys
14:53:30.745 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\00000032
14:53:30.745 Disk 0 Vendor: SanDisk_SSD_U110_128GB U221000 Size: 120196MB BusType: 11
14:53:30.761 VM: Disk 0 MBR read successfully
14:53:30.761 Disk 0 MBR scan
14:53:30.761 Disk 0 Windows 7 default MBR code
14:53:30.761 Disk 0 Partition 1 00 EE GPT 2097151 MB offset 1
14:53:30.776 Disk 0 scanning C:\Windows\system32\drivers
14:53:32.292 Service scanning
14:53:35.730 Modules scanning
14:53:35.730 Disk 0 trace - called modules:
14:53:35.746 ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys storport.sys hal.dll storahci.sys
14:53:35.761 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xffffe000915595e0]
14:53:35.761 3 CLASSPNP.SYS[fffff8004bc49abb] -> nt!IofCallDriver -> [0xffffe00090bcae50]
14:53:35.761 5 ACPI.sys[fffff8004b4017aa] -> nt!IofCallDriver -> \Device\00000032[0xffffe00090bca060]
14:53:35.761 Disk 0 statistics 131676/0/5 @ 73,57 MB/s
14:53:35.777 Scan finished successfully
14:54:02.430 Disk 0 MBR has been saved successfully to "C:\Users\mugger\Desktop\NEU\MBR.dat"
14:54:02.492 The log file has been saved successfully to "C:\Users\mugger\Desktop\NEU\aswMBR.txt"
avz_log Code:
AVZ Antiviral Toolkit log; AVZ version is 4.46
Scanning started at 29.11.2016 14:24:32
Database loaded: signatures - 297569, NN profile(s) - 2, malware removal microprograms - 56, signature database released 28.11.2016 16:00
Heuristic microprograms loaded: 408
PVS microprograms loaded: 10
Digital signatures of system files loaded: 847090
Heuristic analyzer mode: Medium heuristics mode
Malware removal mode: disabled
Windows version is: 6.3.9600, "Windows 8.1", install date 28.11.2016 10:12:39 ; AVZ is run with administrator rights (+)
System Restore: enabled
1. Searching for Rootkits and other software intercepting API functions
1.1 Searching for user-mode API hooks
Analysis: kernel32.dll, export table found in section .rdata
Function kernel32.dll:ReadConsoleInputExA (1094) intercepted, method - ProcAddressHijack.GetProcAddress ->7595297A->779B1AD0
Function kernel32.dll:ReadConsoleInputExW (1095) intercepted, method - ProcAddressHijack.GetProcAddress ->759529AD->779B1B00
Analysis: ntdll.dll, export table found in section .text
Function ntdll.dll:NtCreateFile (268) intercepted, method - ProcAddressHijack.GetProcAddress ->77B2C780->716CB775
Function ntdll.dll:NtSetInformationFile (549) intercepted, method - ProcAddressHijack.GetProcAddress ->77B2C4A0->716CB6F1
Function ntdll.dll:NtSetValueKey (580) intercepted, method - ProcAddressHijack.GetProcAddress ->77B2C830->716CC69D
Function ntdll.dll:ZwCreateFile (1650) intercepted, method - ProcAddressHijack.GetProcAddress ->77B2C780->716CB775
Function ntdll.dll:ZwSetInformationFile (1929) intercepted, method - ProcAddressHijack.GetProcAddress ->77B2C4A0->716CB6F1
Function ntdll.dll:ZwSetValueKey (1960) intercepted, method - ProcAddressHijack.GetProcAddress ->77B2C830->716CC69D
Analysis: user32.dll, export table found in section .text
Function user32.dll:CallNextHookEx (1531) intercepted, method - ProcAddressHijack.GetProcAddress ->77448DC0->716CB6DB
Function user32.dll:SetWindowsHookExW (2303) intercepted, method - ProcAddressHijack.GetProcAddress ->77454600->716CC801
Analysis: advapi32.dll, export table found in section .text
Analysis: ws2_32.dll, export table found in section .text
Analysis: wininet.dll, export table found in section .text
Analysis: rasapi32.dll, export table found in section .text
Analysis: urlmon.dll, export table found in section .text
Analysis: netapi32.dll, export table found in section .text
1.4 Searching for masking processes and drivers
Checking not performed: extended monitoring driver (AVZPM) is not installed
2. Scanning RAM
Number of processes found: 9
Number of modules loaded: 153
Scanning RAM - complete
3. Scanning disks
4. Checking Winsock Layered Service Provider (SPI/LSP)
LSP settings checked. No errors detected
5. Searching for keyboard/mouse/windows events hooks (Keyloggers, Trojan DLLs)
6. Searching for opened TCP/UDP ports used by malicious software
Checking - disabled by user
7. Heuristic system check
Checking - complete
8. Searching for vulnerabilities
>> Services: potentially dangerous service allowed: TermService (Remotedesktopdienste)
>> Services: potentially dangerous service allowed: SSDPSRV (SSDP-Suche)
>> Services: potentially dangerous service allowed: Schedule (Aufgabenplanung)
> Services: please bear in mind that the set of services depends on the use of the PC (home PC, office PC connected to corporate network, etc)!
>> Security: disk drives' autorun is enabled
>> Security: administrative shares (C$, D$ ...) are enabled
>> Security: anonymous user access is enabled
Checking - complete
9. Troubleshooting wizard
>> HDD autorun is allowed
>> Network drives autorun is allowed
>> Removable media autorun is allowed
Checking - complete
Files scanned: 73240, extracted from archives: 44006, malicious software found 0, suspicions - 0
Scanning finished at 29.11.2016 14:33:57
Time of scanning: 00:09:27
If you have a suspicion on presence of viruses or questions on the suspected objects,
you can address hxxp://forum.kaspersky.com/index.php?showforum=19
For automatic scanning of files from the AVZ quarantine you can use the service hxxp://virusdetector.ru/
EEK.scan Code:
Emsisoft Emergency Kit – Version 11.9
Letztes Update: 29.11.2016 14:59:14
Benutzerkonto: mugger_Book\mugger
Computer name: MUGGER_BOOK
OS version: Windows 8.1x64
Scan-Einstellungen:
Scan-Methode: Eigener Scan
Objekte: Rootkits, Speicher, Traces, C:\
PUPs-Erkennung: An
Archiv-Scan: An
ADS Scan: An
Dateitypen-Filter: Aus
Erweitertes Caching: An
Direkter Festplattenzugriff: An
Scan-Beginn: 29.11.2016 14:59:51
Gescannt: 183302
Gefunden 0
Scan-Ende: 29.11.2016 15:05:52
Scan-Zeit: 0:06:01
GMER Code:
GMER 2.2.19882 - hxxp://www.gmer.net
Rootkit scan 2016-11-29 14:47:18
Windows 6.2.9200 x64 \Device\Harddisk0\DR0 -> \Device\00000032 SanDisk_SSD_U110_128GB rev.U221000 117,38GB
Running: qi2osr0i.exe; Driver: C:\Users\mugger\AppData\Local\Temp\ufdirpod.sys
---- User code sections - GMER 2.2 ----
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNEL32.DLL!K32GetModuleInformation 00007ff89e9828a0 7 bytes JMP 00007ff89c6702d0
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNEL32.DLL!RegQueryValueExW 00007ff89e9843b8 7 bytes JMP 00007ff89c670308
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNEL32.DLL!RegSetValueExA 00007ff89ea31f00 7 bytes JMP 00007ff89c670378
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNEL32.DLL!RegSetValueExW 00007ff89ea34094 7 bytes JMP 00007ff89c6703b0
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNEL32.DLL!RegDeleteValueW 00007ff89ea344f0 7 bytes JMP 00007ff89c670340
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNEL32.DLL!K32GetModuleFileNameExW 00007ff89ea34ad0 7 bytes JMP 00007ff89c670260
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNEL32.DLL!K32EnumProcessModulesEx 00007ff89ea5ce0c 7 bytes JMP 00007ff89c670228
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNEL32.DLL!K32GetMappedFileNameW 00007ff89ea5ce7c 7 bytes JMP 00007ff89c670298
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNELBASE.dll!FreeLibrary 00007ff89c6821d0 5 bytes JMP 00007ff89c670180
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNELBASE.dll!GetModuleHandleW 00007ff89c6829d0 7 bytes JMP 00007ff89c6700d8
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNELBASE.dll!GetModuleHandleExW 00007ff89c684310 5 bytes JMP 00007ff89c670110
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\KERNELBASE.dll!LoadLibraryExW 00007ff89c688c40 5 bytes JMP 00007ff89c670148
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\USER32.dll!CreateWindowExW 00007ff89cc16d80 10 bytes JMP 00007ff89c670490
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\USER32.dll!EnumDisplayDevicesW 00007ff89cc27490 5 bytes JMP 00007ff89c670458
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\USER32.dll!DisplayConfigGetDeviceInfo 00007ff89cc27550 9 bytes JMP 00007ff89c6703e8
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\USER32.dll!EnumDisplayDevicesA 00007ff89cc36b00 5 bytes JMP 00007ff89c670420
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\GDI32.dll!D3DKMTGetDisplayModeList 00007ff89caa1500 8 bytes JMP 00007ff89c6701b8
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\GDI32.dll!D3DKMTQueryAdapterInfo 00007ff89caa1750 8 bytes JMP 00007ff89c6701f0
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\dxgi.dll!CreateDXGIFactory1 00007ff899f97a88 5 bytes JMP 00007ff899de0110
.text C:\Windows\system32\dwm.exe[892] C:\Windows\system32\dxgi.dll!CreateDXGIFactory 00007ff899fa4990 5 bytes JMP 00007ff899de00d8
.text C:\Windows\system32\nvvsvc.exe[976] C:\Windows\system32\PSAPI.DLL!GetModuleBaseNameA + 506 00007ff89eec169a 4 bytes [EC, 9E, F8, 7F]
.text C:\Windows\system32\nvvsvc.exe[976] C:\Windows\system32\PSAPI.DLL!GetModuleBaseNameA + 514 00007ff89eec16a2 4 bytes [EC, 9E, F8, 7F]
.text C:\Windows\system32\nvvsvc.exe[976] C:\Windows\system32\PSAPI.DLL!QueryWorkingSet + 118 00007ff89eec181a 4 bytes [EC, 9E, F8, 7F]
.text C:\Windows\system32\nvvsvc.exe[976] C:\Windows\system32\PSAPI.DLL!QueryWorkingSet + 142 00007ff89eec1832 4 bytes [EC, 9E, F8, 7F]
.text C:\Program Files\Windows Defender\MsMpEng.exe[1968] C:\Windows\system32\psapi.dll!GetModuleBaseNameA + 506 00007ff89eec169a 4 bytes [EC, 9E, F8, 7F]
.text C:\Program Files\Windows Defender\MsMpEng.exe[1968] C:\Windows\system32\psapi.dll!GetModuleBaseNameA + 514 00007ff89eec16a2 4 bytes [EC, 9E, F8, 7F]
.text C:\Program Files\Windows Defender\MsMpEng.exe[1968] C:\Windows\system32\psapi.dll!QueryWorkingSet + 118 00007ff89eec181a 4 bytes [EC, 9E, F8, 7F]
.text C:\Program Files\Windows Defender\MsMpEng.exe[1968] C:\Windows\system32\psapi.dll!QueryWorkingSet + 142 00007ff89eec1832 4 bytes [EC, 9E, F8, 7F]
.text C:\Program Files\Synaptics\SynTP\SynTPEnh.exe[3848] C:\Windows\system32\PSAPI.DLL!GetModuleBaseNameA + 506 00007ff89eec169a 4 bytes [EC, 9E, F8, 7F]
.text C:\Program Files\Synaptics\SynTP\SynTPEnh.exe[3848] C:\Windows\system32\PSAPI.DLL!GetModuleBaseNameA + 514 00007ff89eec16a2 4 bytes [EC, 9E, F8, 7F]
.text C:\Program Files\Synaptics\SynTP\SynTPEnh.exe[3848] C:\Windows\system32\PSAPI.DLL!QueryWorkingSet + 118 00007ff89eec181a 4 bytes [EC, 9E, F8, 7F]
.text C:\Program Files\Synaptics\SynTP\SynTPEnh.exe[3848] C:\Windows\system32\PSAPI.DLL!QueryWorkingSet + 142 00007ff89eec1832 4 bytes [EC, 9E, F8, 7F]
.text C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPHELPER.EXE[3528] C:\Windows\system32\PSAPI.DLL!GetModuleBaseNameA + 506 00007ff89eec169a 4 bytes [EC, 9E, F8, 7F]
.text C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPHELPER.EXE[3528] C:\Windows\system32\PSAPI.DLL!GetModuleBaseNameA + 514 00007ff89eec16a2 4 bytes [EC, 9E, F8, 7F]
.text C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPHELPER.EXE[3528] C:\Windows\system32\PSAPI.DLL!QueryWorkingSet + 118 00007ff89eec181a 4 bytes [EC, 9E, F8, 7F]
.text C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPHELPER.EXE[3528] C:\Windows\system32\PSAPI.DLL!QueryWorkingSet + 142 00007ff89eec1832 4 bytes [EC, 9E, F8, 7F]
---- Threads - GMER 2.2 ----
Thread C:\Windows\system32\csrss.exe [572:596] fffff960009412d0
---- Registry - GMER 2.2 ----
Reg HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Kernel\RNG@RNGAuxiliarySeed -1758615836
Reg HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\6036dd18934e
Reg HKLM\SYSTEM\CurrentControlSet\Services\EventLog\System\mbamchameleon
Reg HKLM\SYSTEM\CurrentControlSet\Services\EventLog\System\mbamchameleon@EventMessageFile C:\Windows\system32\drivers\mbamchameleon.sys
Reg HKLM\SYSTEM\CurrentControlSet\Services\EventLog\System\mbamchameleon@TypesSupported 7
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@Type 2
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@Start 3
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@ErrorControl 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@Tag 3
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@ImagePath \??\C:\Windows\system32\drivers\mbamchameleon.sys
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@DisplayName mbamchameleon
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@Group FSFilter Activity Monitor
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@WOW64 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@Protected C:\Users\mugger\Desktop\mbar\
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@RefCount 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@ProtectedPaths \Device\HarddiskVolume4\Windows\System32\DRIVERS\mbamchameleon.sys?\Device\HarddiskVolume4\Users\mugger\Desktop\mbar\?\Device\HarddiskVolume4\Users\mugger\Desktop\mbar\?\Device\HarddiskVolume4\ProgramData\Malwarebytes' Anti-Malware (portable)\?
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@ProtectedRegistry \REGISTRY\MACHINE\SYSTEM\CONTROLSET*\SERVICES\MBAMCHAMELEON\*?\Registry\MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\mbamchameleon\?
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon@Verified 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon\Instances
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon\Instances@DefaultInstance mbamchameleon Instance
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon\Instances\mbamchameleon Instance
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon\Instances\mbamchameleon Instance@Altitude 400900
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon\Instances\mbamchameleon Instance@Flags 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\mbamchameleon
Reg HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch2@Epoch 43
---- EOF - GMER 2.2 ----
Mbam Code:
Malwarebytes Anti-Malware
www.malwarebytes.org
Suchlaufdatum: 29.11.2016
Suchlaufzeit: 13:59
Protokolldatei: Mbam.txt
Administrator: Ja
Version: 2.2.1.1043
Malware-Datenbank: v2016.11.29.06
Rootkit-Datenbank: v2016.11.20.01
Lizenz: Testversion
Malware-Schutz: Aktiviert
Schutz vor bösartigen Websites: Aktiviert
Selbstschutz: Deaktiviert
Betriebssystem: Windows 8.1
CPU: x64
Dateisystem: NTFS
Benutzer: mugger
Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 334633
Abgelaufene Zeit: 3 Min., 18 Sek.
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert
Prozesse: 0
(keine bösartigen Elemente erkannt)
Module: 0
(keine bösartigen Elemente erkannt)
Registrierungsschlüssel: 0
(keine bösartigen Elemente erkannt)
Registrierungswerte: 0
(keine bösartigen Elemente erkannt)
Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)
Ordner: 0
(keine bösartigen Elemente erkannt)
Dateien: 0
(keine bösartigen Elemente erkannt)
Physische Sektoren: 0
(keine bösartigen Elemente erkannt)
(end)
mbar Code:
Malwarebytes Anti-Rootkit BETA 1.9.3.1001
www.malwarebytes.org
Database version:
main: v2016.11.29.06
rootkit: v2016.11.20.01
Windows 8.1 x64 NTFS
Internet Explorer 11.0.9600.18525
mugger :: MUGGER_BOOK [administrator]
29.11.2016 14:12:55
mbar-log-2016-11-29 (14-12-55).txt
Scan type: Quick scan
Scan options enabled: Anti-Rootkit | Drivers | MBR | Physical Sectors | Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken
Scan options disabled:
Objects scanned: 335491
Time elapsed: 6 minute(s), 48 second(s)
Memory Processes Detected: 0
(No malicious items detected)
Memory Modules Detected: 0
(No malicious items detected)
Registry Keys Detected: 0
(No malicious items detected)
Registry Values Detected: 0
(No malicious items detected)
Registry Data Items Detected: 0
(No malicious items detected)
Folders Detected: 0
(No malicious items detected)
Files Detected: 0
(No malicious items detected)
Physical Sectors Detected: 0
(No malicious items detected)
(end)
Problembehandlung Update Code:
Windows Update
Gefundene Probleme
Es wurde ein potenzieller Fehler der Windows Update - Daten ... Behoben Beschädigung der Windows Update - Datenbank reparieren Abgeschlossen
Windows Update - Komponenten müssen repariert werden. Behoben Windows Update - Komponenten reparieren Abgeschlossen
Überprüfte, potenzielle Probleme
Standardspeicherorte für Windows Update - Daten wurden ge... Thema nicht vorhanden
Gefundene Probleme
< Es wurde ein potenzieller Fehler der Windows Update- Datenbank erkannt: 0x80070490
Behoben
Aufgrund der möglichen Probleme kann verhindert werden, dass Ihr System durch Windows Update auf dem neuesten Stand gehalten wird.
Beschädigung der Windows Update- Datenbank reparieren Abgeschlossen
Windows Update - Datenbank neu erstellen und Windows Update - Dienste neu starten
< Windows Update- Komponenten müssen repariert werden. Behoben
Mindestens eine Windows Update - Komponente ist falsch konfiguriert.
Windows Update- Komponenten reparieren Abgeschlossen
Durch die häufige Reparatur von Windows Update - Komponenten können allgemeine Windows Update - Fehler aufgelöst werden.
Überprüfte, potenzielle Probleme
Standardspeicherorte für Windows Update- Daten wurden geändert.
Thema nicht
vorhanden
Der Ort, an dem Windows Update - Daten gespeichert werden, wurde geändert und muss repariert werden.
Erkennungsdetails
Sammlungsinformationen
Computername: MUGGER_BOOK
Windows -Version: 6.3
Architektur: x64
Zeit: Dienstag, 29. November 2016 15:16:48
Herausgeberdetails
Windows - Netzwerkdiagnose
Ermittelt Probleme mit der Netzwerkkonnektivität.
Paketversion: 1.0
Herausgeber: Microsoft Windows
Seite 1 von 2
29. 11.2016file:///C:/Users/mugger/AppData/Local/ElevatedDiagnostics/2560293460/201611291 ...
Windows Update
Lösen Sie Probleme, durch die ein Update von Windows verhindert wird.
Paketversion: 5.0
Herausgeber: Microsoft Windows
|
Hinweis:
AdwCleaner auf deinen Desktop.
