Trojaner-Board - Unerwünschte Werbeseiten mit IE7

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Unerwünschte Werbeseiten mit IE7 (https://www.trojaner-board.de/64800-unerwuenschte-werbeseiten-ie7.html)

Unerwünschte Werbeseiten mit IE7

Hallo,

ich bin neu hier und bin aufgrund meines Problems auf diese Site aufmerksam geworden.
Ich habe ein neues Notebook auf dem IE7 läuft, seit dem habe ich ständig unerwünschte Werbeseiten die aufgehen. Ich wäre froh wenn ich diese nichtmehr erhalten würde. Es wäre toll wenn mir hier jemand helfen könnte.

Vielen Dank im voraus.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:34:41, on 20.11.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINXP\System32\smss.exe
C:\WINXP\system32\winlogon.exe
C:\WINXP\system32\services.exe
C:\WINXP\system32\lsass.exe
C:\WINXP\system32\ibmpmsvc.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\Programme\Intel\WiFi\bin\S24EvMon.exe
C:\WINXP\Explorer.EXE
C:\WINXP\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe
C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
C:\WINXP\system32\rundll32.exe
C:\Programme\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe
C:\Programme\Lenovo\PkgMgr\HOTKEY_1\TpScrex.exe
C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINXP\system32\TpShocks.exe
C:\WINXP\system32\igfxtray.exe
C:\WINXP\system32\hkcmd.exe
C:\WINXP\system32\igfxpers.exe
C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe
C:\WINXP\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
D:\Thinkpad Treiber\pfcontrol_v0.9.1\fcontrol.exe
C:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Digital Line Detect\DLG.exe
C:\Programme\Gemeinsame Dateien\Sonic Shared\cinetray.exe
C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Intel\WiFi\bin\EvtEng.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINXP\system32\oodag.exe
C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINXP\System32\TPHDEXLG.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
C:\Programme\Lenovo\System Update\SUService.exe
C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\system32\wbem\wmiapsrv.exe
C:\WINXP\system32\wuauclt.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.internetcologne.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=74005
O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - C:\Programme\eBay\eBay Toolbar2\eBayTB.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: RoboForm - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll
O2 - BHO: Password Manager Browser Helper Object - {BF468356-BB7E-42D7-9F15-4F3B9BCFCED2} - C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Programme\eBay\eBay Toolbar2\eBayTB.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\roboform.dll
O4 - HKLM\..\Run: [TVT Scheduler Proxy] C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe
O4 - HKLM\..\Run: [EZEJMNAP] C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog
O4 - HKLM\..\Run: [ACTray] C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
O4 - HKLM\..\Run: [ACWLIcon] C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [TP4EX] tp4ex.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINXP\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINXP\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINXP\system32\igfxpers.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] C:\Programme\Analog Devices\SoundMAX\Smax4.exe /tray
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [eBayToolbar] C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINXP\system32\NeroCheck.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINXP\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [fcontrol] D:\\Thinkpad Treiber\\pfcontrol_v0.9.1\\fcontrol.exe
O4 - HKCU\..\Run: [wpijzrt] "c:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe" wpijzrt
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O4 - Startup: OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk = C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Startup: Sonic CinePlayer Quick Launch.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Digital Line Detect.lnk = C:\Programme\Digital Line Detect\DLG.exe
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: RF - Formular ausfüllen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O8 - Extra context menu item: RF - Formular speichern - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: RF - Menü anpassen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF - RoboForm-Leiste ein/aus - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Suche - res://C:\Programme\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Ausfüllen - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: RF - Formular ausfüllen - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Speichern - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: RF - Formular speichern - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF - RoboForm-Leiste ein/aus - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: (no name) - {F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3} - C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O9 - Extra 'Tools' menuitem: Lenovo Password Manager... - {F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3} - C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://dl8-cdn-03.sun.com/s/ESD5/JSCDL/jre/6u10-b92-b/jinstall-6u10-windows-i586-jc.cab?e=1226361126985&h=5914408a35a25f0110a46d438a552134/&filename=jinstall-6u10-windows-i586-jc.cab
O20 - Winlogon Notify: ACNotify - ACNotify.dll (file missing)
O23 - Service: Ac Profile Manager Service (AcPrfMgrSvc) - Lenovo - C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
O23 - Service: Access Connections Main Service (AcSvc) - Lenovo - C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel(R) Corporation - C:\Programme\Intel\WiFi\bin\EvtEng.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINXP\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINXP\system32\oodag.exe
O23 - Service: Power Manager DBC Service - Unknown owner - C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel(R) Corporation - C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
O23 - Service: Intel® PROSet/Wireless WiFi Service (S24EventMonitor) - Intel(R) Corporation - C:\Programme\Intel\WiFi\bin\S24EvMon.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - C:\Programme\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINXP\System32\TPHDEXLG.exe
O23 - Service: TSS Core Service (TSSCoreService) - Lenovo - C:\Programme\Lenovo\Client Security Solution\tvttcsd.exe
O23 - Service: TVT Scheduler - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe

--
End of file - 13042 bytes

Hallo und :hallo:

Acker diese Punkte für weitere Analysen ab:

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

C:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten. Vor dem Ausführen von Malwarebytes den Wächter Deines Virenscanners abschalten!!

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:

[code] Hier das Logfile rein! [/code]

7.) Mach auch ein Filelisting mit diesem script:

Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
Doppelklick auf listing8.cmd auf dem Desktop
nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

8.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe - editiere die Links und privaten Infos!!

Hallo und vielen Dank für deine ausführliche Anleitung.
ich habe nun die Datei:

C:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe

bei Virustotal.com auswerten lassen.

Code:

Antivirus Version letzte aktualisierung Ergebnis 

AhnLab-V3 2008.11.21.0 2008.11.20 - 

AntiVir 7.9.0.34 2008.11.20 - 

Authentium 5.1.0.4 2008.11.20 - 

Avast 4.8.1281.0 2008.11.20 - 

AVG 8.0.0.199 2008.11.20 - 

BitDefender 7.2 2008.11.20 - 

CAT-QuickHeal 10.00 2008.11.20 - 

ClamAV 0.94.1 2008.11.20 - 

DrWeb 4.44.0.09170 2008.11.20 - 

eSafe 7.0.17.0 2008.11.19 - 

eTrust-Vet 31.6.6219 2008.11.20 - 

Ewido 4.0 2008.11.20 - 

F-Prot 4.4.4.56 2008.11.20 - 

F-Secure 8.0.14332.0 2008.11.20 - 

Fortinet 3.117.0.0 2008.11.20 - 

GData 19 2008.11.20 - 

Ikarus T3.1.1.45.0 2008.11.20 - 

K7AntiVirus 7.10.529 2008.11.20 - 

Kaspersky 7.0.0.125 2008.11.20 - 

McAfee 5439 2008.11.19 - 

Microsoft 1.4104 2008.11.20 Trojan:Win32/Skintrim.gen!D 

NOD32 3627 2008.11.20 - 

Norman 5.80.02 2008.11.20 - 

Panda 9.0.0.4 2008.11.20 - 

PCTools 4.4.2.0 2008.11.20 - 

Prevx1 V2 2008.11.20 - 

Rising 21.04.32.00 2008.11.20 - 

SecureWeb-Gateway 6.7.6 2008.11.20 - 

Sophos 4.35.0 2008.11.20 - 

Sunbelt 3.1.1801.2 2008.11.14 Backdoor.Win32.S (vf) 

Symantec 10 2008.11.20 - 

TheHacker 6.3.1.1.159 2008.11.19 - 

TrendMicro 8.700.0.1004 2008.11.20 - 

VBA32 3.12.8.9 2008.11.20 - 

ViRobot 2008.11.18.1474 2008.11.18 - 

VirusBuster 4.5.11.0 2008.11.20 - 

weitere Informationen 

File size: 303104 bytes 

MD5...: 9b459d84361a588901d7a21efe156fd7 

SHA1..: 233204288a2ad00971dd584ac940183de387e23d 

SHA256: 5c9d9a35d931c04460b2a49fef6c43be7e21717bd93017cfeed5a88d0a2aa96c 

SHA512: bd5c7f9aa8d025182800be47ecefe02d965c78fbd15406e7e03e9df7aa899e18

71714f9c6eda85751cb7b423d47881a65fe41600f4fd092e34888cd6883d518f 

PEiD..: Armadillo v1.71 

TrID..: File type identification

Win32 Executable MS Visual C++ (generic) (65.2%)

Win32 Executable Generic (14.7%)

Win32 Dynamic Link Library (generic) (13.1%)

Generic Win/DOS Executable (3.4%)

DOS Executable Generic (3.4%) 

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x4019d0

timedatestamp.....: 0x469e8766 (Wed Jul 18 21:34:30 2007)

machinetype.......: 0x14c (I386)
 

( 4 sections )

name viradd virsiz rawdsiz ntrpy md5

ycyqqu 0x1000 0xb5c 0x1000 5.26 2d9e91f0a4d0131d227d6d678bede52e

aayucky 0x2000 0x1bea 0x2000 4.95 7a75410a97c119c42687e29e0f8e439c

gkqqc 0x4000 0x436cc 0x44000 7.30 ec6eefa06ab7a115b9750cf33c2cf5a7

wcuwk 0x48000 0x1c5c 0x2000 3.86 4f03f0d45e261b41998161600ddc8e16
 

( 10 imports ) 

> KERNEL32.dll: GlobalFindAtomW, ClearCommBreak, GetConsoleCursorInfo, CompareStringW, GetCommState, GetEnvironmentVariableW, VirtualAllocEx, EndUpdateResourceA, QueryDosDeviceW, GetProfileIntA, _llseek, SetThreadPriorityBoost, GlobalFlags, SetStdHandle, EnumDateFormatsW, CreateFileW, GlobalAddAtomA, GetConsoleMode, IsDBCSLeadByteEx, GetUserDefaultLCID, SetProcessWorkingSetSize, SetTimeZoneInformation, LoadLibraryExA, FillConsoleOutputCharacterA, CreateDirectoryA, GetAtomNameA, GlobalDeleteAtom, lstrcpyA, SetVolumeLabelA, ExitThread, GetCurrentProcessId, _lopen, SetSystemTime, GetTickCount, SetEnvironmentVariableA, GetDiskFreeSpaceExA, SetCurrentDirectoryA, ReadConsoleA, DeleteCriticalSection, SetEnvironmentVariableW, OpenMutexA, GetThreadContext, AllocConsole, FlushFileBuffers, SetMailslotInfo, GetBinaryTypeW, GetCommandLineW, CompareStringA, SetCommTimeouts, GetPrivateProfileStringW, PeekNamedPipe, SetEndOfFile, WritePrivateProfileSectionW, CreateNamedPipeW, FindResourceExA, FindFirstFileW, OutputDebugStringW, TryEnterCriticalSection, GetDriveTypeW, GetSystemTime, GetCurrentProcess, GlobalFindAtomA, CreateDirectoryW, CreateMutexW, GetOEMCP, WaitNamedPipeA, FormatMessageW, OutputDebugStringA, CopyFileExW, GetCPInfo, SizeofResource, GenerateConsoleCtrlEvent, SetConsoleCursorPosition, IsBadReadPtr, GetCompressedFileSizeW, GetVolumeInformationW, FreeLibraryAndExitThread, GetModuleFileNameW, GetPrivateProfileStringA, CloseHandle, LocalLock, SetHandleCount, ReadFileScatter, EraseTape, GetModuleHandleA, CreateIoCompletionPort, Beep, LocalReAlloc, GetWindowsDirectoryA, lstrcatW, IsBadWritePtr, SetLastError, RaiseException, ExpandEnvironmentStringsW, WriteConsoleOutputW, GetFileAttributesExA, MoveFileExA, SetThreadAffinityMask, LoadResource, SystemTimeToFileTime, SetFileTime, SetNamedPipeHandleState, GetTapeParameters, GetPrivateProfileSectionW, ReadFile, MultiByteToWideChar, GetLocaleInfoW, PrepareTape, LCMapStringA, FormatMessageA, lstrlenA, GetStartupInfoA, GetACP, VirtualAlloc

> USER32.dll: GetDC, ShowWindow, GetScrollRange, SendMessageA, UnregisterHotKey, GetKeyboardState, SetProcessDefaultLayout, WinHelpA, DrawFocusRect, MoveWindow, TrackPopupMenuEx, GetClipboardData, LoadCursorFromFileW, DispatchMessageA, GetDCEx, UnionRect, TranslateMessage, PostThreadMessageA, GetLastActivePopup, ChangeDisplaySettingsA, GetClassLongW, GetNextDlgTabItem, MapVirtualKeyW, GetDialogBaseUnits, SetWindowContextHelpId, TranslateAcceleratorA, IsClipboardFormatAvailable, GetKeyState, MsgWaitForMultipleObjects, CharToOemBuffA, SetWinEventHook, SetKeyboardState, SystemParametersInfoA, wvsprintfW, SetClipboardViewer, GetSysColorBrush, OpenDesktopA, IsDlgButtonChecked, UnregisterClassA, SetWindowTextW, ModifyMenuW, LoadImageA, GetWindowWord, IsIconic, SetSysColors, DefMDIChildProcA, DefMDIChildProcW, DrawMenuBar, GetSysColor, EnumChildWindows, InsertMenuItemA, EnableWindow, CreateMenu, CopyRect, TrackPopupMenu, GetCaretBlinkTime, OpenDesktopW

> GDI32.dll: PolyBezierTo, ExtCreateRegion, GetCharWidth32W, RectVisible

> ADVAPI32.dll: GetSecurityDescriptorSacl, EqualSid, CreateServiceW, LogonUserW, QueryServiceObjectSecurity, CloseServiceHandle, RegisterServiceCtrlHandlerA, LookupPrivilegeNameA, RegOpenKeyExW, RegDeleteKeyW, BuildSecurityDescriptorW, AddAccessDeniedAce, CryptImportKey, DeleteAce, GetFileSecurityA, FreeSid, AbortSystemShutdownA, CryptGetKeyParam

> SHELL32.dll: SHBrowseForFolderA, DragAcceptFiles, SHGetSettings, SHFileOperationA, SHChangeNotify, SHGetSpecialFolderPathW, ShellExecuteA

> ole32.dll: CreateBindCtx

> OLEAUT32.dll: -, -, -, -, -, -, -, -, -, -, -

> COMCTL32.dll: ImageList_DragLeave, ImageList_DragEnter, ImageList_Add

> SHLWAPI.dll: StrFormatByteSizeW, PathFindExtensionA, StrPBrkW, SHGetValueA, StrChrW, StrCpyNW, SHRegQueryUSValueW, PathRemoveBackslashA, SHGetValueW, StrRChrA, PathQuoteSpacesW, StrStrW, UrlGetPartW, StrFormatByteSizeA, StrCmpW, PathIsPrefixW

> MSVCRT.dll: _controlfp, _except_handler3, __set_app_type, __p__fmode, __p__commode, _adjust_fdiv, __setusermatherr, _initterm, __getmainargs, _acmdln, exit, _XcptFilter, _exit, _chdir, _wfreopen, isalnum, strcspn, _strdup, wcslen, _lseek, _cexit, _read, _isctype, getc, _chmod, strncat, _wtoi64, bsearch, remove, _eof, _makepath, rewind, free, perror, calloc, mktime, _putws, _mbsrchr
 

( 0 exports )

Auswerung MBR:

Code:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
 

device: opened successfully

user: MBR read successfully

kernel: MBR read successfully

user & kernel MBR OK

Blacklight:

Code:

keine funde

Malwarebytes:

Code:

Malwarebytes' Anti-Malware 1.30

Datenbank Version: 1414

Windows 5.1.2600 Service Pack 3
 

20.11.2008 21:07:55

mbam-log-2008-11-20 (21-07-55).txt
 

Scan-Methode: Vollständiger Scan (C:\|D:\|)

Durchsuchte Objekte: 79129

Laufzeit: 13 minute(s), 8 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

Danke und Grüße

Und weiter geht´s

Silentrunner:

Code:

"Silent Runners.vbs", revision 58, http://www.silentrunners.org/

Operating System: Windows XP

Output limited to non-default values, except where indicated by "{++}"
 
 

Startup items buried in registry:

---------------------------------
 

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}

"ctfmon.exe" = "C:\WINXP\system32\ctfmon.exe" [MS]

"MSMSGS" = ""C:\Programme\Messenger\msmsgs.exe" /background" [MS]

"fcontrol" = "D:\\Thinkpad Treiber\\pfcontrol_v0.9.1\\fcontrol.exe" [empty string]

"wpijzrt" = ""c:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe" wpijzrt" [null data]

"SpybotSD TeaTimer" = "C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" ["Safer Networking Limited"]
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"TVT Scheduler Proxy" = "C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" ["Lenovo Group Limited"]

"avgnt" = ""C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min" ["Avira GmbH"]

"TPHOTKEY" = "C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe" [null data]

"EZEJMNAP" = "C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe" ["Lenovo Group Ltd."]

"PWRMGRTR" = "rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor" [MS]

"BLOG" = "rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog" [MS]

"ACTray" = "C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe" ["Lenovo "]

"ACWLIcon" = "C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" ["Lenovo "]

"SynTPEnh" = "C:\Programme\Synaptics\SynTP\SynTPEnh.exe" ["Synaptics, Inc."]

"(Default)" = "(empty string)" [file not found]

"TpShocks" = "TpShocks.exe" ["Lenovo."]

"TP4EX" = "tp4ex.exe" ["Lenovo Group Limited"]

"igfxtray" = "C:\WINXP\system32\igfxtray.exe" ["Intel Corporation"]

"igfxhkcmd" = "C:\WINXP\system32\hkcmd.exe" ["Intel Corporation"]

"igfxpers" = "C:\WINXP\system32\igfxpers.exe" ["Intel Corporation"]

"SoundMAXPnP" = "C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe" ["Analog Devices, Inc."]

"SoundMAX" = "C:\Programme\Analog Devices\SoundMAX\Smax4.exe /tray" ["Analog Devices, Inc."]

"SunJavaUpdateSched" = ""C:\Programme\Java\jre6\bin\jusched.exe"" ["Sun Microsystems, Inc."]

"eBayToolbar" = "C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe" ["eBay Inc."]

"NeroFilterCheck" = "C:\WINXP\system32\NeroCheck.exe" ["Nero AG"]
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\ {++}

"Malwarebytes' Anti-Malware" = "C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent" ["Malwarebytes Corporation"]
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\

{22D8E815-4A5E-4DFB-845E-AAB64207F5BD}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "eBay Toolbar Helper"

                   \InProcServer32\(Default) = "C:\Programme\eBay\eBay Toolbar2\eBayTB.dll" ["eBay Inc."]

{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Spybot-S&D IE Protection"

                   \InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]

{724d43a9-0d85-11d4-9908-00400523e39a}\(Default) = "RoboForm"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = "C:\Programme\Siber Systems\AI RoboForm\roboform.dll" ["Siber Systems Inc."]

{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Java(tm) Plug-In SSV Helper"

                   \InProcServer32\(Default) = "C:\Programme\Java\jre6\bin\ssv.dll" ["Sun Microsystems, Inc."]

{BF468356-BB7E-42D7-9F15-4F3B9BCFCED2}\(Default) = "Password Manager Browser Helper Object"

  -> {HKLM...CLSID} = "IePasswordManagerHelper Class"

                   \InProcServer32\(Default) = "C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll" ["Lenovo Group Limited"]

{DBC80044-A445-435b-BC74-9C25C1C588A9}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Java(tm) Plug-In 2 SSV Helper"

                   \InProcServer32\(Default) = "C:\Programme\Java\jre6\bin\jp2ssv.dll" ["Sun Microsystems, Inc."]

{E7E6F031-17CE-4C07-BC86-EABFE594F69C}\(Default) = "JQSIEStartDetectorImpl"

  -> {HKLM...CLSID} = "JQSIEStartDetectorImpl Class"

                   \InProcServer32\(Default) = "C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll" ["Sun Microsystems, Inc."]
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\

"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"

  -> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung"

                   \InProcServer32\(Default) = "deskpan.dll" [file not found]

"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"

  -> {HKLM...CLSID} = "HyperTerminal Icon Ext"

                   \InProcServer32\(Default) = "C:\WINXP\system32\hticons.dll" ["Hilgraeve, Inc."]

"{EFA24E62-B078-11d0-89E4-00C04FC9E26E}" = "History Band"

  -> {HKLM...CLSID} = "History Band"

                   \InProcServer32\(Default) = "C:\WINXP\system32\shdocvw.dll" [MS]

"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning"

  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"

                   \InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]

"{2F603045-309F-11CF-9774-0020AFD0CFF6}" = "Synaptics Control Panel"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = "C:\Programme\Synaptics\SynTP\SynTPCpl.dll" ["Synaptics, Inc."]

"{23170F69-40C1-278A-1000-000100020000}" = "7-Zip Shell Extension"

  -> {HKLM...CLSID} = "7-Zip Shell Extension"

                   \InProcServer32\(Default) = "C:\Programme\ThinkVantage\SMA\7z\7-zip.dll" ["Igor Pavlov"]

"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"

  -> {HKLM...CLSID} = "WinRAR"

                   \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

"{92085AD4-F48A-450D-BD93-B28CC7DF67CE}" = "eBay Toolbar"

  -> {HKLM...CLSID} = "eBay Toolbar"

                   \InProcServer32\(Default) = "C:\Programme\eBay\eBay Toolbar2\eBayTB.dll" ["eBay Inc."]

"{5858A72C-C2B4-4dd7-B2BF-B76DB1BD9F6C}" = "Microsoft Office OneNote Namespace Extension for Windows Desktop Search"

  -> {HKLM...CLSID} = "Microsoft Office OneNote Namespace Extension for Windows Desktop Search"

                   \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\Office12\ONFILTER.DLL" [MS]

"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = "C:\Programme\Microsoft Office\Office12\msohevi.dll" [MS]

"{993BE281-6695-4BA5-8A2A-7AACBFAAB69E}" = "Microsoft Office Metadata Handler"

  -> {HKLM...CLSID} = "Microsoft Office Metadata Handler"

                   \InProcServer32\(Default) = "C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll" [MS]

"{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97}" = "Microsoft Office Thumbnail Handler"

  -> {HKLM...CLSID} = "Microsoft Office Thumbnail Handler"

                   \InProcServer32\(Default) = "C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll" [MS]
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\

"WPDShServiceObj" = "{AAA288BA-9A4C-45B0-95D7-94D524869DB5}"

  -> {HKLM...CLSID} = "WPDShServiceObj Class"

                   \InProcServer32\(Default) = "C:\WINXP\system32\wpdshserviceobj.dll" [MS]
 

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\

<<!>> "BootExecute" = "autocheck autochk *"|"OODBS" ["O&O Software GmbH"]
 

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\

<<!>> ACNotify\DLLName = "ACNotify.dll" [file not found]

<<!>> dimsntfy\DLLName = "C:\WINXP\System32\dimsntfy.dll" [MS]

<<!>> igfxcui\DLLName = "igfxdev.dll" ["Intel Corporation"]

<<!>> tpfnf2\DLLName = "notifyf2.dll" [null data]

<<!>> tphotkey\DLLName = "tphklock.dll" [null data]
 

HKLM\SOFTWARE\Classes\PROTOCOLS\Filter\

<<!>> text/xml\CLSID = "{807563E5-5146-11D5-A672-00B0D022E945}"

  -> {HKLM...CLSID} = "Microsoft Office InfoPath XML Mime Filter"

                   \InProcServer32\(Default) = "C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\MSOXMLMF.DLL" [MS]
 

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\

Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"

  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"

                   \InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]

WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"

  -> {HKLM...CLSID} = "WinRAR"

                   \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]
 

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\

WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"

  -> {HKLM...CLSID} = "WinRAR"

                   \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]
 

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\

MBAMShlExt\(Default) = "{57CE581A-0CB6-4266-9CA0-19364C90A0B3}"

  -> {HKLM...CLSID} = "MBAMShlExt Class"

                   \InProcServer32\(Default) = "C:\Programme\Malwarebytes' Anti-Malware\mbamext.dll" ["Malwarebytes Corporation"]

Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"

  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"

                   \InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]

WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"

  -> {HKLM...CLSID} = "WinRAR"

                   \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]
 

HKLM\SOFTWARE\Classes\AllFilesystemObjects\shellex\ContextMenuHandlers\

MBAMShlExt\(Default) = "{57CE581A-0CB6-4266-9CA0-19364C90A0B3}"

  -> {HKLM...CLSID} = "MBAMShlExt Class"

                   \InProcServer32\(Default) = "C:\Programme\Malwarebytes' Anti-Malware\mbamext.dll" ["Malwarebytes Corporation"]
 
 

Group Policies {GPedit.msc branch and setting}:

-----------------------------------------------
 

Note: detected settings may not have any effect.
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\
 

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

Shutdown: Allow system to be shut down without having to log on}
 

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

Devices: Allow undock without having to log on}
 
 

Active Desktop and Wallpaper:

-----------------------------
 

Active Desktop may be disabled at this entry:

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState
 

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:

HKCU\Software\Microsoft\Internet Explorer\Desktop\General\

"Wallpaper" = "C:\WINXP\system32\config\systemprofile\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"
 

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:

HKCU\Control Panel\Desktop\

"Wallpaper" = "C:\Dokumente und Einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"
 
 

Enabled Screen Saver:

---------------------
 

HKCU\Control Panel\Desktop\

"SCRNSAVE.EXE" = "C:\WINXP\system32\ssmypics.scr" [MS]
 
 

Windows Portable Device AutoPlay Handlers

-----------------------------------------
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\Handlers\
 

MSWPDShellNamespaceHandler\

"Provider" = "@%SystemRoot%\System32\WPDShextRes.dll,-501"

"CLSID" = "{A55803CC-4D53-404c-8557-FD63DBA95D24}"

"InitCmdLine" = " "

  -> {HKLM...CLSID} = "WPDShextAutoplay"

                   \LocalServer32\(Default) = "C:\WINXP\system32\WPDShextAutoplay.exe" [MS]
 

VLCPlayCDAudioOnArrival\

"Provider" = "VideoLAN VLC media player"

"InvokeProgID" = "VLC.CDAudio"

"InvokeVerb" = "play"

HKLM\SOFTWARE\Classes\VLC.CDAudio\shell\play\command\(Default) = "C:\Programme\VideoLAN\VLC\vlc.exe --started-from-file cdda://%1" ["the VideoLAN Team"]
 

VLCPlayDVDMovieOnArrival\

"Provider" = "VideoLAN VLC media player"

"InvokeProgID" = "VLC.DVDMovie"

"InvokeVerb" = "play"

HKLM\SOFTWARE\Classes\VLC.DVDMovie\shell\play\command\(Default) = "C:\Programme\VideoLAN\VLC\vlc.exe --started-from-file dvd://%1" ["the VideoLAN Team"]
 
 

Startup items in "Ingodwetrust" & "All Users" startup folders:

--------------------------------------------------------------
 

C:\Dokumente und Einstellungen\Ingodwetrust\Startmenü\Programme\Autostart

"OneNote 2007 Bildschirmausschnitt- und Startprogramm" -> shortcut to: "C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE /tsr" [MS]

"Sonic CinePlayer Quick Launch" -> shortcut to: "C:\Programme\Gemeinsame Dateien\Sonic Shared\cinetray.exe" ["Sonic Solutions"]
 

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart

"Adobe Gamma Loader" -> shortcut to: "C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe" ["Adobe Systems, Inc."]

"Digital Line Detect" -> shortcut to: "C:\Programme\Digital Line Detect\DLG.exe" ["Avanquest Software "]
 
 

Enabled Scheduled Tasks:

------------------------
 

"PMTask" -> launches: "C:\PROGRA~1\ThinkPad\UTILIT~1\PWMIDTSK.EXE" [null data]
 
 

Winsock2 Service Provider DLLs:

-------------------------------
 

Namespace Service Providers
 

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}

000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
 

Transport Service Providers
 

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}

0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:

%SystemRoot%\system32\mswsock.dll [MS], 01 - 04, 07 - 16

%SystemRoot%\system32\rsvpsp.dll [MS], 05 - 06
 
 

Toolbars, Explorer Bars, Extensions:

------------------------------------
 

Toolbars
 

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\

"{724D43A0-0D85-11D4-9908-00400523E39A}"

  -> {HKLM...CLSID} = "&RoboForm"

                   \InProcServer32\(Default) = "C:\Programme\Siber Systems\AI RoboForm\roboform.dll" ["Siber Systems Inc."]
 

HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\

"{92085AD4-F48A-450D-BD93-B28CC7DF67CE}" = (no title provided)

  -> {HKLM...CLSID} = "eBay Toolbar"

                   \InProcServer32\(Default) = "C:\Programme\eBay\eBay Toolbar2\eBayTB.dll" ["eBay Inc."]

"{724D43A0-0D85-11D4-9908-00400523E39A}" = (no title provided)

  -> {HKLM...CLSID} = "&RoboForm"

                   \InProcServer32\(Default) = "C:\Programme\Siber Systems\AI RoboForm\roboform.dll" ["Siber Systems Inc."]
 

Explorer Bars
 

HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\
 

HKLM\SOFTWARE\Classes\CLSID\{FF059E31-CC5A-4E2E-BF3B-96E929D65503}\(Default) = "&Recherchieren"

Implemented Categories\{00021493-0000-0000-C000-000000000046}\ [vertical bar]

InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL" [MS]
 

Extensions (Tools menu items, main toolbar menu buttons)
 

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\

{2670000A-7350-4F3C-8081-5663EE0C6C49}\

"ButtonText" = "An OneNote senden"

"MenuText" = "An OneNote s&enden"

"CLSIDExtension" = "{48E73304-E1D6-4330-914C-F5F514E3486C}"

  -> {HKLM...CLSID} = "Send to OneNote from Internet Explorer button"

                   \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll" [MS]
 

{320AF880-6646-11D3-ABEE-C5DBF3571F46}\

"ButtonText" = "Ausfüllen"

"MenuText" = "RF - Formular ausfüllen"

"Script" = "file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html" [file not found]
 

{320AF880-6646-11D3-ABEE-C5DBF3571F49}\

"ButtonText" = "Speichern"

"MenuText" = "RF - Formular speichern"

"Script" = "file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html" [file not found]
 

{724D43AA-0D85-11D4-9908-00400523E39A}\

"ButtonText" = "RoboForm"

"MenuText" = "RF - RoboForm-Leiste ein/aus"

"Script" = "file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html" [file not found]
 

{92780B25-18CC-41C8-B9BE-3C9C571A8263}\

"ButtonText" = "Research"
 

{DFB852A3-47F8-48C4-A200-58CAB36FD2A2}\

"MenuText" = "Spybot - Search & Destroy Configuration"

"CLSIDExtension" = "{53707962-6F74-2D53-2644-206D7942484F}"

  -> {HKLM...CLSID} = "Spybot-S&D IE Protection"

                   \InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]
 

{E2E2DD38-D088-4134-82B7-F2BA38496583}\

"MenuText" = "@xpsp3res.dll,-20001"

"Exec" = "%windir%\Network Diagnostic\xpnetdiag.exe" [MS]
 

{F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3}\

"MenuText" = "Lenovo Password Manager..."

"CLSIDExtension" = "{F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3}"

  -> {HKLM...CLSID} = "IePasswordManagerMenu Class"

                   \InProcServer32\(Default) = "C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll" ["Lenovo Group Limited"]
 

{FB5F1910-F110-11D2-BB9E-00C04F795683}\

"ButtonText" = "Messenger"

"MenuText" = "Windows Messenger"

"Exec" = "C:\Programme\Messenger\msmsgs.exe" [MS]
 
 

Running Services (Display Name, Service Name, Path {Service DLL}):

------------------------------------------------------------------
 

Ac Profile Manager Service, AcPrfMgrSvc, "C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe" ["Lenovo "]

Access Connections Main Service, AcSvc, "C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe" ["Lenovo "]

Avira AntiVir Personal - Free Antivirus Guard, AntiVirService, ""C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe"" ["Avira GmbH"]

Avira AntiVir Personal - Free Antivirus Planer, AntiVirScheduler, ""C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe"" ["Avira GmbH"]

Intel® PROSet/Wireless Event Log, EvtEng, "C:\Programme\Intel\WiFi\bin\EvtEng.exe" ["Intel(R) Corporation"]

Intel® PROSet/Wireless Registry Service, RegSrvc, "C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe" ["Intel(R) Corporation"]

Intel® PROSet/Wireless WiFi Service, S24EventMonitor, "C:\Programme\Intel\WiFi\bin\S24EvMon.exe" ["Intel(R) Corporation"]

Java Quick Starter, JavaQuickStarterService, ""C:\Programme\Java\jre6\bin\jqs.exe" -service -config "C:\Programme\Java\jre6\lib\deploy\jqs\jqs.conf"" ["Sun Microsystems, Inc."]

O&O Defrag, O&O Defrag, "C:\WINXP\system32\oodag.exe" ["O&O Software GmbH"]

Power Manager DBC Service, Power Manager DBC Service, "C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe" [empty string]

SoundMAX Agent Service, SoundMAX Agent Service (default), "C:\Programme\Analog Devices\SoundMAX\SMAgent.exe" ["Analog Devices, Inc."]

System Update, SUService, ""C:\Programme\Lenovo\System Update\SUService.exe"" [null data]

ThinkPad HDD APS Logging Service, TPHDEXLGSVC, "System32\TPHDEXLG.exe" ["Lenovo."]

ThinkPad PM Service, IBMPMSVC, "C:\WINXP\system32\ibmpmsvc.exe" ["Lenovo"]

TSS Core Service, TSSCoreService, ""C:\Programme\Lenovo\Client Security Solution\tvttcsd.exe"" ["Lenovo"]

TVT Scheduler, TVT Scheduler, ""C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe"" ["Lenovo Group Limited"]

WMI-Leistungsadapter, WmiApSrv, "C:\WINXP\system32\wbem\wmiapsrv.exe" [MS]
 
 

Keyboard Driver Filters:

------------------------
 

HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\

"UpperFilters" = <<!>> "TPInput" ["Lenovo, Ltd. and IBM Corporation."]
 
 

Print Monitors:

---------------
 

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\

Send To Microsoft OneNote Monitor\Driver = "msonpmon.dll" [MS]
 
 

---------- (launch time: 2008-11-20 21:23:40)

<<!>>: Suspicious data at a malware launch point.
 

+ This report excludes default entries except where indicated.

+ To see *everywhere* the script checks and *everything* it finds,

  launch it from a command prompt or a shortcut with the -all parameter.

+ To search all directories of local fixed drives for DESKTOP.INI

  DLL launch points, use the -supp parameter or answer "No" at the

  first message box and "Yes" at the second message box.

---------- (total run time: 48 seconds, including 12 seconds for message boxes)

Filelisting:
File-Upload.net - listing.txt

So jetzt fehlt noch combofix, ich habe noch probleme bei Microsoft eine Wiederherstellungskonsole herunterzuladen. Ich habe XP mit SP3 und auf der Microsoft Website gibt es nur Wiederherstellungskonsolen bis SP2, da weiß ich nicht was ich machen soll. Die XP CD habe ich nicht zu Hand.

Danke und Grüße

:confused:

Eigentlich kannst Du Combofix so ohne Weiteres ausführen, die Wiederherstellungskonsole extra vorher noch manuell zu installieren ist nicht nötig.

Hallo,

hier nun der ComboFix Logfile.

Code:

ComboFix 08-11-21.03 - Ingodwetrust 2008-11-22  2:31:26.2 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.1415 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\Ingodwetrust\Desktop\ComboFix.exe
 
 Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

c:\dokumente und einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\wpijzrt.dat

c:\dokumente und einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\wpijzrt.exe

c:\dokumente und einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\wpijzrt_nav.dat

c:\dokumente und einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\wpijzrt_navps.dat

c:\winxp\system32\polynet.dll
 

.

(((((((((((((((((((((((   Dateien erstellt von 2008-10-22 bis 2008-11-22  ))))))))))))))))))))))))))))))

.
 

2008-11-21 23:43 . 2008-11-21 23:43        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\WINDOWS

2008-11-21 15:33 . 2008-11-21 15:33        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\ScreenSeven

2008-11-21 15:32 . 2008-11-21 23:50        <DIR>        d--------        c:\programme\DEUTSCHLAND SPIELT

2008-11-21 14:36 . 2008-11-21 14:36        <DIR>        d--------        C:\SWSHARE

2008-11-20 21:42 . 2008-11-20 21:42        <DIR>        d--------        c:\programme\CCleaner

2008-11-20 20:53 . 2008-11-20 20:53        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Malwarebytes

2008-11-20 20:53 . 2008-10-22 16:10        15,504        --a------        c:\winxp\system32\drivers\mbam.sys

2008-11-20 20:52 . 2008-11-20 20:53        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware

2008-11-20 20:52 . 2008-11-20 20:52        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2008-11-20 20:52 . 2008-10-22 16:10        38,496        --a------        c:\winxp\system32\drivers\mbamswissarmy.sys

2008-11-20 14:33 . 2008-11-20 14:33        <DIR>        d--------        c:\programme\Trend Micro

2008-11-19 23:00 . 2008-11-19 23:00        0        --a------        c:\winxp\nsreg.dat

2008-11-19 21:48 . 2008-11-19 21:48        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Sonic Shared

2008-11-19 21:47 . 2008-11-19 21:47        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Wise Installation Wizard

2008-11-19 21:07 . 2008-11-19 21:33        156,910        --a------        c:\winxp\WMSysPr8.prx

2008-11-19 15:30 . 2008-11-19 15:30        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\CMUV

2008-11-19 13:38 . 2008-11-19 22:51        <DIR>        d--------        C:\Videos

2008-11-19 13:32 . 2008-11-19 13:32        <DIR>        d--------        c:\programme\Viola

2008-11-19 13:28 . 2005-03-20 18:05        10,112        --a------        c:\winxp\system32\drivers\digitelmo1.sys

2008-11-19 00:35 . 2008-11-19 00:35        <DIR>        d--------        c:\programme\Gemeinsame Dateien\DirectX

2008-11-18 15:12 . 2008-11-18 16:11        <DIR>        d--------        c:\programme\Spybot - Search & Destroy

2008-11-18 15:12 . 2008-11-20 21:44        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

2008-11-18 12:45 . 2008-11-18 15:48        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Lavasoft

2008-11-17 17:40 . 2008-11-20 12:02        69        --a------        c:\winxp\NeroDigital.ini

2008-11-17 13:42 . 2008-11-22 02:34        <DIR>        d--------        c:\programme\OXXOGames

2008-11-15 13:52 . 2001-08-18 02:22        12,288        --a------        c:\winxp\system32\drivers\mouhid.sys

2008-11-15 13:52 . 2001-08-18 02:22        12,288        --a--c---        c:\winxp\system32\dllcache\mouhid.sys

2008-11-15 13:52 . 2008-04-13 22:15        10,368        --a------        c:\winxp\system32\drivers\hidusb.sys

2008-11-15 13:52 . 2008-04-13 22:15        10,368        --a--c---        c:\winxp\system32\dllcache\hidusb.sys

2008-11-14 19:46 . 2008-11-14 19:46        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Ahead

2008-11-14 19:46 . 2008-11-14 19:46        <DIR>        d--------        c:\programme\Ahead

2008-11-14 19:46 . 2004-07-26 17:16        1,568,768        ---------        c:\winxp\system32\ImagX7.dll

2008-11-14 19:46 . 2004-07-26 17:16        476,320        ---------        c:\winxp\system32\ImagXpr7.dll

2008-11-14 19:46 . 2004-07-26 17:16        471,040        ---------        c:\winxp\system32\ImagXRA7.dll

2008-11-14 19:46 . 2004-07-09 09:43        364,544        ---------        c:\winxp\system32\TwnLib4.dll

2008-11-14 19:46 . 2004-07-26 17:16        262,144        ---------        c:\winxp\system32\ImagXR7.dll

2008-11-14 19:46 . 2006-01-12 16:40        155,648        --a------        c:\winxp\system32\NeroCheck.exe

2008-11-14 19:46 . 2005-09-01 12:03        127,488        ---------        c:\winxp\system32\drivers\imagesrv.sys

2008-11-14 19:46 . 2000-06-26 11:45        106,496        --a------        c:\winxp\system32\TwnLib20.dll

2008-11-14 19:46 . 2005-09-01 12:03        5,888        ---------        c:\winxp\system32\drivers\imagedrv.sys

2008-11-14 16:00 . 2008-10-24 12:21        455,296        -----c---        c:\winxp\system32\dllcache\mrxsmb.sys

2008-11-13 22:22 . 2008-11-13 22:22        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Phenomedia

2008-11-13 22:20 . 2008-11-13 22:20        <DIR>        d--------        c:\programme\bellaundben

2008-11-13 21:12 . 2008-11-13 21:12        <DIR>        d--------        c:\programme\Microsoft Works

2008-11-13 21:12 . 2006-10-26 19:56        32,592        --a------        c:\winxp\system32\msonpmon.dll

2008-11-13 21:10 . 2008-11-13 21:10        <DIR>        d--------        c:\programme\Microsoft.NET

2008-11-13 21:08 . 2008-11-13 21:11        <DIR>        d--------        c:\winxp\SHELLNEW

2008-11-13 21:07 . 2008-11-13 21:07        <DIR>        dr-h-----        C:\MSOCache

2008-11-13 21:07 . 2008-11-13 21:13        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft Help

2008-11-12 23:07 . 2008-11-12 23:07        <DIR>        d--------        c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\Avaya

2008-11-12 23:07 . 2008-11-12 23:07        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Avaya

2008-11-12 01:57 . 2008-11-12 12:51        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\dvdcss

2008-11-12 00:52 . 2008-11-12 00:52        <DIR>        d--------        c:\winxp\Sun

2008-11-12 00:52 . 2008-11-22 00:02        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\TV-Browser

2008-11-12 00:52 . 2008-11-12 00:52        410,976        --a------        c:\winxp\system32\deploytk.dll

2008-11-12 00:52 . 2008-11-12 00:52        73,728        --a------        c:\winxp\system32\javacpl.cpl

2008-11-12 00:51 . 2008-11-12 00:51        <DIR>        d--------        c:\programme\Java

2008-11-12 00:45 . 2008-11-11 01:15        <DIR>        d--------        c:\programme\eBay

2008-11-12 00:45 . 2008-11-11 01:19        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\eBay

2008-11-12 00:45 . 2008-11-22 02:19        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\WholeSecurity

2008-11-12 00:45 . 2008-11-11 01:17        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\eBay

2008-11-12 00:25 . 2008-11-12 00:25        <DIR>        d--------        c:\programme\Foxit Software

2008-11-12 00:12 . 2008-11-19 23:29        <DIR>        d--------        c:\programme\XP-Clean Express

2008-11-12 00:03 . 2008-11-12 00:03        <DIR>        d--------        c:\programme\Zattoo

2008-11-11 23:59 . 2008-11-11 23:59        <DIR>        d--------        c:\programme\TV-Browser

2008-11-11 23:24 . 2008-11-11 23:24        <DIR>        d--------        c:\winxp\system32\LogFiles

2008-11-11 23:21 . 2008-11-22 00:46        <DIR>        d--------        c:\programme\eMule

2008-11-11 23:11 . 2008-11-11 23:11        <DIR>        d--------        c:\programme\Digital Line Detect

2008-11-11 23:11 . 2008-11-11 23:11        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\InstallShield

2008-11-11 23:10 . 2008-11-11 23:11        <DIR>        d--------        c:\programme\NetWaiting

2008-11-11 23:10 . 2008-11-11 23:10        <DIR>        d--------        c:\programme\CONEXANT

2008-11-11 23:03 . 2008-11-11 23:03        <DIR>        d--------        c:\programme\Analog Devices

2008-11-11 23:03 . 2001-09-11 14:20        1,285,632        --a------        c:\winxp\system32\SMMedia.dll

2008-11-11 22:55 . 2008-11-11 22:55        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Adobe

2008-11-11 22:53 . 1998-10-21 18:43        328,704        --a------        c:\winxp\IsUn0407.exe

2008-11-11 22:43 . 2008-09-23 18:31        38,912        -----c---        c:\winxp\system32\dllcache\WgaTray.exe

2008-11-11 22:43 . 2008-09-23 18:31        3,584        -----c---        c:\winxp\system32\dllcache\wgaLogon.dll

2008-11-11 22:27 . 2006-09-15 09:54        155,648        --a------        c:\winxp\system32\igfxres.dll

2008-11-11 22:21 . 2008-11-11 22:21        <DIR>        d--------        c:\programme\ThinkVantage

2008-11-11 22:19 . 2008-11-11 18:31        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Lenovo

2008-11-11 22:18 . 2008-11-11 22:18        <DIR>        d--------        c:\winxp\Downloaded Installations

2008-11-11 22:15 . 2008-11-20 02:07        109        --a------        c:\winxp\oodcnt.INI

2008-11-11 22:14 . 2005-10-17 01:11        65,536        --a------        c:\winxp\system32\TP4EX.exe

2008-11-11 22:14 . 2005-10-17 01:11        61,440        --a------        c:\winxp\system32\tp4ex.cpl

2008-11-11 22:14 . 2006-10-02 01:55        55,296        ---------        c:\winxp\system32\TP98.CPL

2008-11-11 22:14 . 2005-10-17 01:11        45,056        --a------        c:\winxp\system32\FPCALL.dll

2008-11-11 22:14 . 2005-10-17 01:11        40,960        --a------        c:\winxp\system32\TP4HOOK.dll

2008-11-11 22:14 . 2005-10-17 01:11        40,960        --a------        c:\winxp\system32\tp4cross.exe

2008-11-11 22:14 . 2006-10-02 01:55        14,848        ---------        c:\winxp\system32\drivers\SMAPINT.SYS

2008-11-11 22:14 . 2006-10-02 01:55        9,343        ---------        c:\winxp\system32\drivers\TDSMAPI.SYS

2008-11-11 22:14 . 2005-10-17 01:11        8,507        --a------        c:\winxp\system32\TP4EX.HLP

2008-11-11 22:14 . 2005-10-17 01:11        5,928        --a------        c:\winxp\system32\TP4LATCH.WAV

2008-11-11 22:14 . 2005-10-17 01:11        4,458        --a------        c:\winxp\system32\TP4CLICK.WAV

2008-11-11 22:13 . 2008-11-11 23:46        <DIR>        d--------        C:\Program Files

2008-11-11 22:13 . 2006-09-26 14:13        14,848        --a------        c:\winxp\system32\drivers\TPDiskPM.sys

2008-11-11 22:13 . 2006-09-26 14:13        6,528        --a------        c:\winxp\system32\drivers\TPInput.sys

2008-11-11 22:13 . 2008-11-11 22:13        2,086        --a------        c:\winxp\system32\SMBIOS.bin

2008-11-11 22:12 . 2008-11-11 22:12        <DIR>        d--------        c:\programme\Synaptics

2008-11-11 22:12 . 2008-07-03 15:53        225,664        --a------        c:\winxp\system32\drivers\SynTP.sys

2008-11-11 22:12 . 2008-07-03 15:56        200,704        --a------        c:\winxp\system32\SynCtrl.dll

2008-11-11 22:12 . 2008-07-03 15:55        163,840        --a------        c:\winxp\system32\SynCOM.dll

2008-11-11 22:12 . 2008-07-03 16:09        147,456        --a------        c:\winxp\system32\SynTPAPI.dll

2008-11-11 22:12 . 2008-07-03 16:29        110,592        --a------        c:\winxp\system32\SynTPCo4.dll

2008-11-11 22:12 . 2008-11-11 22:12        0        -rah-----        c:\winxp\system32\drivers\IBM_1858_A32_TP.MRK

2008-11-11 22:11 . 2008-08-15 20:12        582,968        --a------        c:\winxp\system32\tvt_gina.dll

2008-11-11 22:11 . 2008-08-15 20:12        292,152        --a------        c:\winxp\system32\tvt_gina_api.dll

2008-11-11 22:11 . 2008-09-25 01:47        16,384        ---------        c:\winxp\PWMBTHLP.EXE

2008-11-11 22:11 . 2008-08-15 20:12        11,520        --a------        c:\winxp\system32\drivers\ANC.sys

2008-11-11 22:11 . 2008-09-25 01:47        4,442        ---------        c:\winxp\system32\drivers\TPPWRIF.SYS

2008-11-11 22:11 . 2008-08-15 20:12        4,224        --a------        c:\winxp\system32\drivers\IBMBLDID.sys

2008-11-11 22:11 . 2008-11-11 22:12        188        --a------        c:\winxp\x

2008-11-11 22:11 . 2008-11-11 22:11        0        --a------        c:\winxp\system32\AccConnAdvanced.html

2008-11-11 22:10 . 2008-11-11 23:11        <DIR>        d--------        c:\programme\ThinkPad

2008-11-11 22:09 . 2008-11-19 00:33        <DIR>        d--h-----        c:\programme\InstallShield Installation Information

2008-11-11 22:09 . 2008-11-11 23:03        <DIR>        d--------        c:\programme\Gemeinsame Dateien\InstallShield

2008-11-11 22:01 . 2008-11-11 22:01        <DIR>        d--------        c:\programme\OO Software

2008-11-11 21:53 . 2008-11-11 21:55        <DIR>        d--------        c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\vlc

2008-11-11 21:52 . 2008-11-11 21:52        <DIR>        d--------        c:\programme\VideoLAN

2008-11-11 21:06 . 2008-11-11 21:06        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\RoboForm

2008-11-11 21:05 . 2008-11-11 21:05        <DIR>        d--------        c:\programme\Siber Systems

2008-11-11 21:05 . 2008-11-11 21:05        <DIR>        d--------        C:\My RoboForm Data

2008-11-11 21:02 . 2008-11-11 21:02        <DIR>        d--------        c:\programme\Avira

2008-11-11 21:02 . 2008-11-11 21:02        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira

2008-11-11 20:10 . 2008-11-11 20:10        <DIR>        d--h-----        c:\winxp\system32\GroupPolicy

2008-11-11 19:32 . 2008-04-13 22:15        26,368        --a--c---        c:\winxp\system32\dllcache\usbstor.sys
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-11-11 21:19        ---------        d-----w        c:\programme\Lenovo

2008-11-11 21:19        ---------        d-----w        c:\programme\Gemeinsame Dateien\Lenovo

2008-11-11 21:18        30,144        ----a-w        c:\winxp\system32\drivers\psadd.sys

2008-11-11 21:17        ---------        d-----w        c:\programme\Intel

2008-11-10 19:36        ---------        d-----w        c:\programme\Gemeinsame Dateien\Intel

2008-11-10 19:36        ---------        d-----w        c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\Intel

2008-11-10 19:36        ---------        d-----w        c:\dokumente und einstellungen\LocalService\Anwendungsdaten\Intel

2008-11-10 19:36        ---------        d-----w        c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Intel

2008-11-10 19:36        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Intel

2008-11-10 19:08        ---------        d-----w        c:\programme\microsoft frontpage

2008-11-10 19:04        ---------        d-----w        c:\programme\Online-Dienste

2008-11-10 19:03        ---------        d-----w        c:\programme\Gemeinsame Dateien\Dienste

2008-11-10 19:01        ---------        d-----w        c:\programme\Windows Media Connect 2

2008-10-24 11:21        455,296        ----a-w        c:\winxp\system32\drivers\mrxsmb.sys

2008-10-17 22:43        1,847,040        ----a-w        c:\winxp\system32\win32k.sys

2008-10-17 22:42        333,824        ----a-w        c:\winxp\system32\drivers\srv.sys

2008-10-17 22:42        2,191,488        ----a-w        c:\winxp\system32\ntoskrnl.exe

2008-10-16 13:13        202,776        ----a-w        c:\winxp\system32\wuweb.dll

2008-10-16 13:13        1,809,944        ----a-w        c:\winxp\system32\wuaueng.dll

2008-10-16 13:12        561,688        ----a-w        c:\winxp\system32\wuapi.dll

2008-10-16 13:12        323,608        ----a-w        c:\winxp\system32\wucltui.dll

2008-10-16 13:09        92,696        ----a-w        c:\winxp\system32\cdm.dll

2008-10-16 13:09        51,224        ----a-w        c:\winxp\system32\wuauclt.exe

2008-10-16 13:09        43,544        ----a-w        c:\winxp\system32\wups2.dll

2008-10-16 13:08        34,328        ----a-w        c:\winxp\system32\wups.dll

2008-09-30 15:43        1,286,152        ----a-w        c:\winxp\system32\msxml4.dll

2008-09-10 01:13        1,307,648        ----a-w        c:\winxp\system32\msxml6.dll

2008-09-04 17:15        1,106,944        ----a-w        c:\winxp\system32\msxml3.dll

2008-08-26 09:57        826,368        ----a-w        c:\winxp\system32\wininet.dll

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="c:\winxp\system32\ctfmon.exe" [2008-04-14 15360]

"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]

"fcontrol"="d:\\Thinkpad Treiber\\pfcontrol_v0.9.1\\fcontrol.exe" [2008-06-02 283136]

"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"TVT Scheduler Proxy"="c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" [2008-03-04 487424]

"avgnt"="c:\programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

"TPHOTKEY"="c:\progra~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe" [2006-10-02 94208]

"EZEJMNAP"="c:\progra~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe" [2008-06-05 242976]

"PWRMGRTR"="c:\progra~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL" [2008-09-25 331776]

"BLOG"="c:\progra~1\ThinkPad\UTILIT~1\BatLogEx.DLL" [2008-09-25 208896]

"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2008-08-15 425984]

"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2008-08-15 143360]

"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2008-07-03 1323008]

"igfxtray"="c:\winxp\system32\igfxtray.exe" [2006-09-15 94208]

"igfxhkcmd"="c:\winxp\system32\hkcmd.exe" [2006-09-15 77824]

"igfxpers"="c:\winxp\system32\igfxpers.exe" [2006-09-15 118784]

"SoundMAXPnP"="c:\programme\Analog Devices\SoundMAX\SMax4PNP.exe" [2004-10-14 1388544]

"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2008-11-12 136600]

"eBayToolbar"="c:\programme\eBay\eBay Toolbar2\eBayTBDaemon.exe" [2008-08-06 652528]

"NeroFilterCheck"="c:\winxp\system32\NeroCheck.exe" [2006-01-12 155648]

"TpShocks"="TpShocks.exe" [2008-06-06 c:\winxp\system32\TpShocks.exe]

"TP4EX"="tp4ex.exe" [2005-10-17 c:\winxp\system32\TP4EX.exe]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"nltide_2"="shell32" [X]
 

c:\dokumente und einstellungen\Ingodwetrust\Startmen\Programme\Autostart\

OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk - c:\programme\Microsoft Office\Office12\ONENOTEM.EXE [2006-10-26 98632]

Sonic CinePlayer Quick Launch.lnk - c:\programme\Gemeinsame Dateien\Sonic Shared\cinetray.exe [2002-09-18 98304]
 

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

Adobe Gamma Loader.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2008-11-11 110592]

Digital Line Detect.lnk - c:\programme\Digital Line Detect\DLG.exe [2008-11-11 45056]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ACNotify]

2008-08-15 21:37 32768 c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]

2005-07-05 23:45 28672 c:\winxp\system32\notifyf2.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]

2005-11-30 20:16 24576 c:\winxp\system32\tphklock.dll
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Notification Packages        REG_MULTI_SZ           scecli ACGina
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\Zattoo\\zattood.exe"=

"c:\\Programme\\Zattoo\\Zattoo2.exe"=

"c:\programme\eMule\emule.exe"= c:\programme\eMule\emule.exe:192.168.1.3/255.255.255.255:Enabled:eMule

"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=

"d:\\Programme\\soft Xpansion\\Billard Deluxe\\Pool2.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"2222:TCP"= 2222:TCP:Emule

"3333:UDP"= 3333:UDP:emule2
 

R0 Shockprf;Shockprf;c:\winxp\system32\DRIVERS\Apsx86.sys [2008-05-14 114728]

R0 TPDIGIMN;TPDIGIMN;c:\winxp\system32\DRIVERS\ApsHM86.sys [2008-05-14 19496]

R0 TPDiskPM;TPDiskPM;c:\winxp\system32\drivers\TPDiskPM.sys [2008-11-11 14848]

R1 ANC;ANC;c:\winxp\system32\drivers\ANC.SYS [2008-11-11 11520]

R1 Cinemsup;Cinemsup;c:\winxp\system32\drivers\Cinemsup.sys [2002-07-19 6656]

R1 IBMTPCHK;IBMTPCHK;\??\c:\winxp\system32\Drivers\IBMBLDID.sys [2008-11-11 4224]

R1 TPPWRIF;TPPWRIF;c:\winxp\system32\drivers\Tppwrif.sys [2008-11-11 4442]

R2 Power Manager DBC Service;Power Manager DBC Service;c:\programme\ThinkPad\Utilities\PWMDBSVC.exe [2008-11-11 94208]

R3 TPInput;TPInput;c:\winxp\system32\DRIVERS\TPInput.sys [2008-11-11 6528]

R3 TPM11;NSC Integrated Trusted Platform Module 1.1;c:\winxp\system32\DRIVERS\nsctpm11.sys [2008-05-05 14336]

R3 TVTI2C;Lenovo SM bus driver;c:\winxp\system32\DRIVERS\Tvti2c.sys [2008-02-22 37312]

S3 digitelmo1;DIGITELMO 1;c:\winxp\system32\DRIVERS\digitelmo1.sys [2008-11-19 10112]

.

Inhalt des "geplante Tasks" Ordners
 

2008-11-22 c:\winxp\Tasks\PMTask.job

- c:\progra~1\ThinkPad\UTILIT~1\PWMIDTSK.EXE [2008-09-25 01:47]

.

.

------- Zusätzlicher Suchlauf -------

.

FireFox -: Profile - c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Mozilla\Firefox\Profiles\9yp5q2qw.default\

FF -: plugin - c:\programme\Java\jre6\bin\new_plugin\npdeploytk.dll

FF -: plugin - c:\programme\Java\jre6\bin\new_plugin\npjp2.dll

.
 

**************************************************************************
 

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-11-22 02:34:27

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse...
 

Scanne versteckte Autostarteinträge...
 

Scanne versteckte Dateien...
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

Prozess: c:\winxp\system32\winlogon.exe

-> c:\winxp\system32\tphklock.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\winxp\system32\ibmpmsvc.exe

c:\programme\Intel\WiFi\bin\S24EvMon.exe

c:\programme\Avira\AntiVir PersonalEdition Classic\sched.exe

c:\programme\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe

c:\programme\ThinkPad\Utilities\EZEJMNAP.EXE

c:\winxp\system32\rundll32.exe

c:\programme\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe

c:\programme\Lenovo\PkgMgr\HOTKEY_1\TpScrex.exe

c:\programme\Synaptics\SynTP\SynTPLpr.exe

d:\thinkpad treiber\pfcontrol_v0.9.1\fcontrol.exe

c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe

c:\programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

c:\programme\Intel\WiFi\bin\EvtEng.exe

c:\programme\Java\jre6\bin\jqs.exe

c:\winxp\system32\oodag.exe

c:\programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe

c:\programme\Analog Devices\SoundMAX\SMAgent.exe

c:\winxp\system32\TPHDEXLG.exe

c:\programme\Lenovo\Client Security Solution\tvttcsd.exe

c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe

c:\programme\Lenovo\System Update\SUService.exe

c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe

c:\programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe

c:\winxp\system32\wbem\wmiapsrv.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2008-11-22  2:36:36 - PC wurde neu gestartet [Ingodwetrust]

ComboFix-quarantined-files.txt  2008-11-22 01:36:31
 

Vor Suchlauf: 13 Verzeichnis(se), 30,902,558,720 Bytes frei

Nach Suchlauf: 13 Verzeichnis(se), 30,840,016,896 Bytes frei
 

303

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

c:\winxp\system32\notifyf2.dll

c:\winxp\WMSysPr8.prx

c:\winxp\system32\deploytk.dll

c:\winxp\system32\drivers\psadd.sys

c:\winxp\system32\drivers\Tppwrif.sys