Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Notebook reagiert nach dem Hochfahren länger nicht (https://www.trojaner-board.de/65863-notebook-reagiert-hochfahren-laenger.html)

knarz 05.12.2008 13:55
Notebook reagiert nach dem Hochfahren länger nicht
 
Hallo,

seit gut einem halben Jahr braucht mein Notebook (Win XP, Baujahr 2003, neue Festplatte 2006) nach dem Hochfahren immer ein paar Minuten, bis es reagiert und ich Programme öffnen kann. In den letzten Wochen ist es nochmal schlimmer geworden.

Ich habe den Autostart ausgemistet, die Festplatte defragmentiert, mit ccclean gesäubert und überwache die Prozesse mit dem Task-Manager. ctfmon.exe hab ich ebenfalls deaktiviert. Außer dem AVG-update und dem AVG-Scanner selbst sind nirgends hohe Prozentzahlen, dennoch ist die CPU-Auslastung offenbar sehr hoch.

(Heute überraschte mich Windows noch damit, dass statt meiner gewählten "klassischen Ansicht" im Desktop plötzlich "XP-Design" eingestellt war, aber das nur nebenbei.)

Über Tipps, was da erstens los ist und wie ich es zweitens beheben kann, wäre ich sehr dankbar.

Hier das HijackThis.log:

Zitat:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:38:32, on 05.12.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Dokumente und Einstellungen\***\Desktop\HiJackThis.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\LTSMMSG.exe
C:\Programme\Acer\Launch Manager\LaunchAp.exe
C:\Programme\Acer\Launch Manager\HotkeyApp.exe
C:\Programme\Acer\Launch Manager\KeyHook.exe
C:\Programme\Acer\Launch Manager\CtrlVol.exe
C:\WINDOWS\StartupMonitor.exe
C:\Programme\ZoneAlarm\zlclient.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Programme\Acer\Launch Manager\PowerKey.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Gigaset WLAN Adapter 54\WLANMonitor2003.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.acer.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.acer.com/
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} -

C:\Programme\AVG\AVG8\avgssie.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06

\bin\ssv.dll
O4 - HKLM\..\Run: [LaunchApp] LaunApp
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Programme\Acer\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [HotkeyApp] "C:\Programme\Acer\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [KeyHook] "C:\Programme\Acer\Launch Manager\KeyHook.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Programme\Acer\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exe
O4 - HKLM\..\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [PowerKey] "C:\Programme\Acer\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Gigaset WLAN Adapter Monitor.lnk = C:\Programme\Gigaset WLAN Adapter 54

\WLANMonitor2003.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06

\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network

Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} -

C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -

C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=h**p://www.sertek.com.tw/
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -

h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1155406958225
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programme\AVG\AVG8\avgpp.dll
O20 - AppInit_DLLs: avgrsstx.dll
O23 - Service: AVG8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 5147 bytes

undoreal 08.12.2008 01:16
Halli hallo.

Magst du die logs die du postest bitte ohne die nervigen Zeilenumbrüche darstellen..
Da bekommt man Augenkrebs von.. ;)

Das log ist unauffällig und sieht nach einem aufgeräumten PC aus. Deinstalliere bitte ZoneAlarm und räume mit dem cCleaner auf.

Überprüfe den Rechner danach mit Anti-Malware und poste das log.

knarz 09.12.2008 16:24
Ok. Vielen Dank für die Hilfe. :-) - Außer durchs Weglassen des "Zitat"-Modus weiß ich nicht, wie ich Zeilenumbrüche verhindern soll. ZoneAlarm deinstalliert (brauch ich das nicht? muss ich die XP-Firewall nun wieder aktivieren?) und CCleaner drüberlaufen lassen (eine dreistellige MB-Zahl gelöscht), Anti-Malware-Logfile wie folgt:

---
Malwarebytes' Anti-Malware 1.31
Datenbank Version: 1477
Windows 5.1.2600 Service Pack 3

09.12.2008 16:19:15
mbam-log-2008-12-09 (16-19-15).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 94169
Laufzeit: 1 hour(s), 16 minute(s), 42 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowHelp (Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Programme\Mozilla\regxpcom.exe (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.
---

Was bedeutet das? Kann ich noch etwas tun?
Danke für Eure Mühe!

undoreal 10.12.2008 06:36
Zone Alarm brauchst du nicht! Aktiviere die Windows Firewall.



ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK
Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
    Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

knarz 10.12.2008 18:51
Danke für die Hilfe. Ich hab das Tutorial gelesen, aber noch eine Frage, bevor ich loslege:

Was hab ich denn da laut log? Oder ist das ComboFix eine Art weiterer Scan/Test um auszuschließen, dass ich noch was weiteres habe? - Bevor ich mich in Bereiche meines Computers begebe, in die ich mich noch nie gewagt habe, wüsste ich gern, wieso ich das tue. ;-)

undoreal 10.12.2008 21:51
Malwarebytes hat was gefunden was weitere Analysen notwendig macht. Im CF log können wir sehr viel sehen..

knarz 12.12.2008 09:32
Combofix - Welche Software für Wiederherstellungskonsole?
 
Ich folge grad dem Combofix-Tutorial und hänge an dem Punkt: "Wiederherstellungskonsole installieren" fest - Mein Computer behauptet, XP Home Edition und Service Pack 3 zu haben. Welche Datei soll ich für die Wiederherstellungskonsole nehmen? Ich krieg nur Software für SP 1 oder SP 2 angeboten auf dem Link vom ComboFix-Tutorial.
Ich hab so ein vorinstalliertes XP gehabt und keine Windows-CD, nur eine Recovery-CD und die kennt den Pfad nicht, wo die Wiederherstellungskonsole sein sollte.

(PS. Mein Computer startet jetzt öfter mit der "XP-Design-Einstellung" obwohl ich "klassisch" ausgewählt habe... *angst*)

undoreal 13.12.2008 10:34
NImm die Wiederherstellungskonsole für SP2. Die läuft ohne weiteres auch auf dem SP3...

knarz 15.12.2008 13:26
ComboFix-Log
 
Danke! :-) - Ich hoffe, das ist so besser mit den Zeilenumbrüchen. - Ist etwas relevantes zu sehen in dem Log? - Die unendliche Langsamkeit nach dem Hochfahren hat sich schon sehr gebessert (aber schon nach Schritt eins.)

Code:
ComboFix 08-12-11.04 - *** 2008-12-15 12:56:36.1 - NTFSx86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.1.1031.18.79 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\***\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\***\Desktop\WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
 * Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

.
(((((((((((((((((((((((((((((((((((((((  Treiber/Dienste  )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_PACKET
-------\Service_Packet


(((((((((((((((((((((((  Dateien erstellt von 2008-11-15 bis 2008-12-15  ))))))))))))))))))))))))))))))
.

2008-12-11 11:06 . 2008-12-11 11:06        69        --a------        c:\windows\NeroDigital.ini
2008-12-09 14:55 . 2008-12-09 14:55        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware
2008-12-09 14:55 . 2008-12-09 14:55        <DIR>        d--------        c:\dokumente und einstellungen\***\Anwendungsdaten\Malwarebytes
2008-12-09 14:55 . 2008-12-09 14:55        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-12-09 14:55 . 2008-12-03 19:52        38,496        --a------        c:\windows\system32\drivers\mbamswissarmy.sys
2008-12-09 14:55 . 2008-12-03 19:52        15,504        --a------        c:\windows\system32\drivers\mbam.sys
2008-12-09 12:46 . 2008-12-09 12:46        625,256        --a------        C:\cc_20081209_124556.reg
2008-12-04 19:01 . 2005-09-01 11:03        127,488        ---------        c:\windows\system32\drivers\imagesrv.sys
2008-12-04 19:01 . 2005-09-01 11:03        5,888        ---------        c:\windows\system32\drivers\imagedrv.sys
2008-12-04 19:00 . 2008-12-04 19:00        <DIR>        d--------        c:\programme\Nero
2008-12-04 19:00 . 2008-12-04 19:00        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Ahead
2008-12-04 19:00 . 2004-07-26 16:16        1,568,768        ---------        c:\windows\system32\ImagX7.dll
2008-12-04 19:00 . 2004-07-26 16:16        476,320        ---------        c:\windows\system32\ImagXpr7.dll
2008-12-04 19:00 . 2004-07-26 16:16        471,040        ---------        c:\windows\system32\ImagXRA7.dll
2008-12-04 19:00 . 2004-07-09 08:43        364,544        ---------        c:\windows\system32\TwnLib4.dll
2008-12-04 19:00 . 2004-07-26 16:16        262,144        ---------        c:\windows\system32\ImagXR7.dll
2008-12-04 19:00 . 2001-07-09 10:50        155,648        --a------        c:\windows\system32\NeroCheck.exe
2008-12-04 19:00 . 2000-06-26 10:45        106,496        --a------        c:\windows\system32\TwnLib20.dll
2008-12-04 17:57 . 2008-12-04 17:57        <DIR>        d--------        c:\programme\Ahead
2008-12-03 04:14 . 2008-12-09 13:11        <DIR>        d--------        c:\programme\CCleaner
2008-11-21 22:47 . 2008-11-21 22:47        3,596,288        --a------        c:\windows\system32\qt-dx331.dll
2008-11-21 22:47 . 2008-11-21 22:47        524,288        --a------        c:\windows\system32\DivXsm.exe
2008-11-21 22:47 . 2008-11-21 22:47        10,152        --a------        c:\windows\system32\dsm_de.qm
2008-11-21 22:47 . 2008-11-21 22:47        4,816        --a------        c:\windows\system32\divxsm.tlb
2008-11-21 22:46 . 2008-11-21 22:46        1,044,480        --a------        c:\windows\system32\libdivx.dll
2008-11-21 22:46 . 2008-11-21 22:46        200,704        --a------        c:\windows\system32\ssldivx.dll
2008-11-21 22:44 . 2008-11-21 22:44        161,096        --a------        c:\windows\system32\DivXCodecVersionChecker.exe
2008-11-21 22:44 . 2008-11-21 22:44        12,288        --a------        c:\windows\system32\DivXWMPExtType.dll

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-15 11:40        ---------        d-----w        c:\dokumente und einstellungen\***\Anwendungsdaten\OpenOffice.org2
2008-12-15 11:39        ---------        d-----w        c:\programme\Trillian
2008-12-09 11:57        ---------        d--h--w        c:\programme\InstallShield Installation Information
2008-12-09 11:57        ---------        d-----w        c:\programme\WS_FTP
2008-12-09 11:52        ---------        d-----w        c:\programme\Spybot - Search & Destroy
2008-12-09 11:52        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-12-09 11:49        ---------        d-----w        c:\programme\Gemeinsame Dateien\InstallShield
2008-12-09 11:48        ---------        d-----w        c:\programme\Google SketchUp 6
2008-12-09 11:47        ---------        d-----w        c:\programme\DivX
2008-11-29 14:12        ---------        d-----w        c:\programme\KeyNote
2008-11-21 21:47        43,528        ------w        c:\windows\system32\drivers\PxHelp20.sys
2008-11-21 21:47        129,784        ------w        c:\windows\system32\pxafs.dll
2008-11-21 21:47        120,056        ------w        c:\windows\system32\pxcpyi64.exe
2008-11-21 21:47        118,520        ------w        c:\windows\system32\pxinsi64.exe
2008-11-04 11:34        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MailFrontier
2008-10-24 11:21        455,296        ----a-w        c:\windows\system32\drivers\mrxsmb.sys
2008-10-24 11:21        455,296        ------w        c:\windows\system32\dllcache\mrxsmb.sys
2008-10-23 12:36        286,720        ----a-w        c:\windows\system32\gdi32.dll
2008-10-23 12:36        286,720        ------w        c:\windows\system32\dllcache\gdi32.dll
2008-10-16 13:13        202,776        ----a-w        c:\windows\system32\wuweb.dll
2008-10-16 13:13        202,776        ----a-w        c:\windows\system32\dllcache\wuweb.dll
2008-10-16 13:13        1,809,944        ----a-w        c:\windows\system32\wuaueng.dll
2008-10-16 13:13        1,809,944        ----a-w        c:\windows\system32\dllcache\wuaueng.dll
2008-10-16 13:12        561,688        ----a-w        c:\windows\system32\wuapi.dll
2008-10-16 13:12        561,688        ----a-w        c:\windows\system32\dllcache\wuapi.dll
2008-10-16 13:12        323,608        ----a-w        c:\windows\system32\wucltui.dll
2008-10-16 13:12        323,608        ----a-w        c:\windows\system32\dllcache\wucltui.dll
2008-10-16 13:09        92,696        ----a-w        c:\windows\system32\dllcache\cdm.dll
2008-10-16 13:09        92,696        ----a-w        c:\windows\system32\cdm.dll
2008-10-16 13:09        51,224        ----a-w        c:\windows\system32\wuauclt.exe
2008-10-16 13:09        51,224        ----a-w        c:\windows\system32\dllcache\wuauclt.exe
2008-10-16 13:09        43,544        ----a-w        c:\windows\system32\wups2.dll
2008-10-16 13:08        34,328        ----a-w        c:\windows\system32\wups.dll
2008-10-16 13:08        34,328        ----a-w        c:\windows\system32\dllcache\wups.dll
2008-10-16 01:00        671,744        ----a-w        c:\windows\system32\wininet.dll
2008-10-16 01:00        671,744        ------w        c:\windows\system32\dllcache\wininet.dll
2008-10-16 01:00        620,544        ------w        c:\windows\system32\dllcache\urlmon.dll
2008-10-16 01:00        3,088,896        ------w        c:\windows\system32\dllcache\mshtml.dll
2008-10-16 01:00        1,499,136        ------w        c:\windows\system32\dllcache\shdocvw.dll
2008-10-15 16:35        337,408        ------w        c:\windows\system32\dllcache\netapi32.dll
2008-10-03 10:03        247,326        ----a-w        c:\windows\system32\strmdll.dll
2008-10-03 10:03        247,326        ------w        c:\windows\system32\dllcache\strmdll.dll
2008-09-30 15:43        1,286,152        ----a-w        c:\windows\system32\msxml4.dll
2008-09-15 15:24        1,846,528        ----a-w        c:\windows\system32\win32k.sys
2008-09-15 15:24        1,846,528        ------w        c:\windows\system32\dllcache\win32k.sys
2003-09-30 08:42        77,824        ----a-w        c:\programme\Unstopcp.exe
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LaunchApp"="LaunApp" [X]
"IgfxTray"="c:\windows\System32\igfxtray.exe" [2001-10-09 151552]
"HotKeysCmds"="c:\windows\System32\hkcmd.exe" [2001-10-09 98304]
"SynTPLpr"="c:\programme\Synaptics\SynTP\SynTPLpr.exe" [2001-08-01 94208]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2001-08-01 352256]
"LaunchAp"="c:\programme\Acer\Launch Manager\LaunchAp.exe" [2001-06-26 20480]
"HotkeyApp"="c:\programme\Acer\Launch Manager\HotkeyApp.exe" [2001-10-31 86016]
"KeyHook"="c:\programme\Acer\Launch Manager\KeyHook.exe" [2001-06-26 20480]
"CtrlVol"="c:\programme\Acer\Launch Manager\CtrlVol.exe" [2001-06-26 163840]
"IMEKRMIG6.1"="c:\windows\ime\imkr6_1\IMEKRMIG.EXE" [2001-08-18 44032]
"MSPY2002"="c:\windows\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-03 59392]
"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-03 455168]
"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-03 455168]
"AVG8_TRAY"="c:\progra~1\AVG\AVG8\avgtray.exe" [2008-11-27 1261336]
"PowerKey"="c:\programme\Acer\Launch Manager\PowerKey.exe" [2000-11-06 98304]
"SunJavaUpdateSched"="c:\programme\Java\jre1.5.0_06\bin\jusched.exe" [2005-11-10 36975]
"LTSMMSG"="LTSMMSG.exe" [2001-09-03 c:\windows\LTSMMSG.exe]
"Run StartupMonitor"="StartupMonitor.exe" [2000-05-20 c:\windows\StartupMonitor.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=avgrsstx.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\Programme\\Trillian\\trillian.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"c:\\Programme\\AVG\\AVG8\\avgupd.exe"=
"c:\\Programme\\AVG\\AVG8\\avgemc.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=

R1 AvgLdx86;AVG AVI Loader Driver x86;c:\windows\system32\Drivers\avgldx86.sys [2008-05-29 97928]
R1 dmiproxy;dmiproxy;c:\windows\system32\drivers\dmiproxy.sys [2002-01-10 36680]
R1 Hotkey;Hotkey;c:\windows\system32\drivers\Hotkey.sys [2002-01-10 5364]
R1 NbmKmd;NbmKmd;c:\windows\system32\drivers\NbmKmd.sys [2002-01-10 4160]
R2 avg8emc;AVG8 E-mail Scanner;c:\progra~1\AVG\AVG8\avgemc.exe [2008-07-04 875288]
R2 avg8wd;AVG8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [2008-07-04 231704]
R2 AvgTdiX;AVG8 Network Redirector;c:\windows\system32\Drivers\avgtdix.sys [2008-05-29 76040]
R3 {A7E39B01-B403-11d4-BD18-00D0B7A1821E};AIM 3.0 Part 01 Codec Driver VCH-A;c:\windows\system32\drivers\Vch.sys [2002-01-10 18487]
R3 LucentSoftModem;Lucent Technologies Soft Modem;c:\windows\system32\DRIVERS\LTSM.sys [1979-12-31 806342]
R3 PONDIS5;PONDIS5 NDIS Protocol Driver;\??\c:\windows\system32\PONDIS5.SYS [2003-07-17 17097]
S1 mailKmd;mailKmd; []
S3 ASPI;Advanced SCSI Programming Interface Driver;\??\c:\windows\System32\DRIVERS\ASPI32.sys [2006-09-25 16512]
S3 POWERKEY;POWERKEY;\??\c:\programme\Acer\Launch Manager\POWERKEY.sys []
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

Notify-WgaLogon - (no file)


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = h**p://www.acer.com/

O16 -: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
c:\windows\Downloaded Program Files\Microsoft XML Parser for Java.osd
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, h**p://www.gmer.net
Rootkit scan 2008-12-15 13:04:13
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\HPZipm12.exe
c:\windows\system32\wscntfy.exe
c:\programme\Gigaset WLAN Adapter 54\WLANMonitor2003.exe
c:\programme\AVG\AVG8\avgrsx.exe
c:\programme\AVG\AVG8\avgrsx.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-12-15 13:12:28 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2008-12-15 12:12:13

Vor Suchlauf: 14 Verzeichnis(se), 23.841.649.664 Bytes frei
Nach Suchlauf: 14 Verzeichnis(se), 23,786,352,640 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /NoExecute=OptIn

196        --- E O F ---        2008-12-12 17:42:01

undoreal 15.12.2008 13:59

Dateien Online überprüfen lassen:


* Lasse dir auch die versteckten Dateien anzeigen!

* Suche die Seite Virtustotal auf. Kopiere folgenden Dateipfad per copy and paste in das Eingabefeld neben dem "Durchsuchen"-Button. Klicke danach auf "Senden der Datei"!

* Alternativ kannst du dir die Datei natürlich auch über den "Durchsuchen"-Button selbst heraussuchen.

Zitat:
c:\windows\system32\DivXCodecVersionChecker.exe
c:\windows\system32\DivXWMPExtType.dll
c:\windows\system32\ssldivx.dll
c:\windows\system32\divxsm.tlb
c:\windows\system32\dsm_de.qm
c:\windows\system32\PONDIS5.SYS
Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
* Sollte die Datei bereits analysiert worden sein so lasse sie unbedingt trotzdem nocheinmal analysieren!
* Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

knarz 16.12.2008 10:28
Danke. Wieso muss ich mir dafür die versteckten Dateien anzeigen lassen (hab es gemacht, verstehe es aber nicht)?

Hier die Virustotalscanauswertungen (Reihenfolge wie bei undoreal):

Code:
Antivirus        Version        Last Update        Result
AhnLab-V3        2008.12.16.2        2008.12.16        -
AntiVir        7.9.0.45        2008.12.16        -
Authentium        5.1.0.4        2008.12.16        -
Avast        4.8.1281.0        2008.12.15        -
AVG        8.0.0.199        2008.12.15        -
BitDefender        7.2        2008.12.16        -
CAT-QuickHeal        10.00        2008.12.16        -
ClamAV        0.94.1        2008.12.16        -
Comodo        760        2008.12.15        -
DrWeb        4.44.0.09170        2008.12.16        -
eSafe        7.0.17.0        2008.12.15        -
eTrust-Vet        31.6.6263        2008.12.16        -
Ewido        4.0        2008.12.15        -
F-Prot        4.4.4.56        2008.12.15        -
F-Secure        8.0.14332.0        2008.12.16        -
Fortinet        3.117.0.0        2008.12.16        -
GData        19        2008.12.16        -
Ikarus        T3.1.1.45.0        2008.12.16        -
K7AntiVirus        7.10.554        2008.12.15        -
Kaspersky        7.0.0.125        2008.12.16        -
McAfee        5465        2008.12.15        -
McAfee+Artemis        5465        2008.12.15        -
Microsoft        1.4205        2008.12.16        -
NOD32        3694        2008.12.15        -
Norman        5.80.02        2008.12.15        -
Panda        9.0.0.4        2008.12.15        -
PCTools        4.4.2.0        2008.12.15        -
Prevx1        V2        2008.12.16        -
Rising        21.08.11.00        2008.12.16        -
SecureWeb-Gateway        6.7.6        2008.12.16        -
Sophos        4.36.0        2008.12.16        -
Sunbelt        3.2.1801.2        2008.12.11        -
Symantec        10        2008.12.16        -
TheHacker        6.3.1.4.189        2008.12.16        -
TrendMicro        8.700.0.1004        2008.12.16        -
VBA32        3.12.8.10        2008.12.15        -
ViRobot        2008.12.16.1520        2008.12.16        -
VirusBuster        4.5.11.0        2008.12.15        -
Additional information
File size: 161096 bytes
MD5...: 8ffe3209c1a4b4d80fb70e666c4d287a
SHA1..: 8f825de3cefa30e87d5688c24a92f2140efa8bdf
SHA256: 1396943d3a4366756a9f7aaf67ea1f1f0d3af2df82688bb4730603da3f9f1730
SHA512: e29102d540dee97d08cb272829a52560486b2ea3e2fdbb531e98c5b84fea3979
7e17748e39cff8a95c9112f133623e643cf50872a269900db6552a7113e932f7
ssdeep: 3072:Er8ckWP2Qwa68kuX1l5kTL79tGSz5zi3EvmfV2:APSvj7WSz5er
PEiD..: -
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x40810c
timedatestamp.....: 0x48935b1f (Fri Aug 01 18:51:11 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x178da 0x18000 6.62 2e4e386f5ed0ac5f00096079f4e3ba70
.rdata 0x19000 0x422e 0x5000 4.50 77415fe1119b1f59de653bd271dc5a5b
.data 0x1e000 0x3860 0x2000 2.36 df1a1000e3366afbc16d523c5e1668f5
.rsrc 0x22000 0x5350 0x6000 5.08 653a9e7720ddffa05fc1e3ab9e511c58

( 5 imports )
> WS2_32.dll: -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -
> KERNEL32.dll: RtlUnwind, GetConsoleMode, GetConsoleCP, SetFilePointer, GetLocaleInfoA, GetStringTypeW, GetLocaleInfoW, GetVersionExW, GetModuleHandleW, WriteFile, LockResource, GetTempFileNameW, FindResourceExW, CreateFileW, LoadResource, MultiByteToWideChar, CloseHandle, MoveFileExW, GetTempPathW, DeleteFileW, CreateDirectoryW, GetProcAddress, FreeLibrary, LoadLibraryA, WideCharToMultiByte, CreateMutexW, GetLastError, GetStringTypeA, HeapSize, Sleep, GetCurrentProcessId, GetTickCount, QueryPerformanceCounter, GetFileType, SetHandleCount, GetEnvironmentStringsW, FreeEnvironmentStringsW, GetEnvironmentStrings, FreeEnvironmentStringsA, LCMapStringW, LCMapStringA, InitializeCriticalSection, GetModuleFileNameA, GetStdHandle, SetStdHandle, WriteConsoleA, GetConsoleOutputCP, WriteConsoleW, ReadFile, CreateFileA, FlushFileBuffers, GetSystemDirectoryA, TerminateProcess, HeapReAlloc, VirtualAlloc, EnterCriticalSection, GetCurrentProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDebuggerPresent, GetSystemTimeAsFileTime, HeapFree, HeapAlloc, GetModuleHandleA, ExitProcess, GetCommandLineA, GetVersionExA, GetProcessHeap, GetStartupInfoA, RaiseException, GetCPInfo, InterlockedIncrement, InterlockedDecrement, GetACP, GetOEMCP, IsValidCodePage, TlsGetValue, TlsAlloc, TlsSetValue, TlsFree, SetLastError, GetCurrentThreadId, HeapDestroy, HeapCreate, VirtualFree, DeleteCriticalSection, LeaveCriticalSection
> USER32.dll: DestroyWindow, wsprintfW, TranslateMessage, IsDialogMessageW, CloseWindow, SetDlgItemTextW, LoadIconW, SendMessageW, CreateDialogIndirectParamW, SetWindowTextW, LoadImageW, PeekMessageW, GetDlgItem, DispatchMessageW, DialogBoxIndirectParamW, EndDialog, GetDesktopWindow, ShowWindow
> ADVAPI32.dll: RegQueryValueExA, RegSetValueExA, RegOpenKeyExA, CheckTokenMembership, RegOpenKeyExW, FreeSid, AllocateAndInitializeSid, RegQueryValueExW, RegCloseKey, RegCreateKeyExA
> SHELL32.dll: SHGetFolderPathA, ShellExecuteW

( 0 exports )
Code:
Antivirus        Version        Last Update        Result
AhnLab-V3        2008.12.16.2        2008.12.16        -
AntiVir        7.9.0.45        2008.12.16        -
Authentium        5.1.0.4        2008.12.16        -
Avast        4.8.1281.0        2008.12.15        -
AVG        8.0.0.199        2008.12.15        -
BitDefender        7.2        2008.12.16        -
CAT-QuickHeal        10.00        2008.12.16        -
ClamAV        0.94.1        2008.12.16        -
Comodo        760        2008.12.15        -
DrWeb        4.44.0.09170        2008.12.16        -
eSafe        7.0.17.0        2008.12.15        -
eTrust-Vet        31.6.6263        2008.12.16        -
Ewido        4.0        2008.12.15        -
F-Prot        4.4.4.56        2008.12.15        -
F-Secure        8.0.14332.0        2008.12.16        -
Fortinet        3.117.0.0        2008.12.16        -
GData        19        2008.12.16        -
Ikarus        T3.1.1.45.0        2008.12.16        -
K7AntiVirus        7.10.554        2008.12.15        -
Kaspersky        7.0.0.125        2008.12.16        -
McAfee        5465        2008.12.15        -
McAfee+Artemis        5465        2008.12.15        -
Microsoft        1.4205        2008.12.16        -
NOD32        3694        2008.12.15        -
Norman        5.80.02        2008.12.15        -
Panda        9.0.0.4        2008.12.15        -
PCTools        4.4.2.0        2008.12.15        -
Prevx1        V2        2008.12.16        -
Rising        21.08.11.00        2008.12.16        -
SecureWeb-Gateway        6.7.6        2008.12.16        -
Sophos        4.36.0        2008.12.16        -
Sunbelt        3.2.1801.2        2008.12.11        -
Symantec        10        2008.12.16        -
TheHacker        6.3.1.4.189        2008.12.16        -
TrendMicro        8.700.0.1004        2008.12.16        -
VBA32        3.12.8.10        2008.12.15        -
ViRobot        2008.12.16.1520        2008.12.16        -
VirusBuster        4.5.11.0        2008.12.15        -
Additional information
File size: 12288 bytes
MD5...: 85f907acd7befe530502a0924376ba6a
SHA1..: a99118d885728ad0b4b13317da29f522a926b9aa
SHA256: 1621805b7cefa91103a4820cffc53dbe8678d2a437605184487d8cc7642ddfd9
SHA512: d1947452b38302daf4de78ab001f0d9bb754dd67477daf6db90d0ecda07bc6b1
77cdaf5cdd1d4f8c3c26eeef7f30623582571780a86bb17730ed527a4b60d560
ssdeep: 6:idq2Vg3F+X32kQxQQD5y/Yy+QWdsf750X4t:e9GSGZxH1QUc7i
PEiD..: -
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10000000
timedatestamp.....: 0x43d19f58 (Sat Jan 21 02:41:28 2006)
machinetype.......: 0x14c (I386)

( 2 sections )
name viradd virsiz rawdsiz ntrpy md5
.rsrc 0x1000 0xa0 0x1000 0.10 a4744c73cbd620ff85e3e8ebe377cefa
.reloc 0x2000 0xc 0x1000 0.00 3808644f11ba1ee3cb2b6326fcd2e01a

( 0 imports )

( 0 exports )
ThreatExpert info: <a href='h**p://www.threatexpert.com/report.aspx?md5=85f907acd7befe530502a0924376ba6a' target='_blank'>h**p://www.threatexpert.com/report.aspx?md5=85f907acd7befe530502a0924376ba6a</a>
Code:
Antivirus        Version        Last Update        Result
AhnLab-V3        2008.12.16.2        2008.12.16        -
AntiVir        7.9.0.45        2008.12.16        -
Authentium        5.1.0.4        2008.12.16        -
Avast        4.8.1281.0        2008.12.15        -
AVG        8.0.0.199        2008.12.15        -
BitDefender        7.2        2008.12.16        -
CAT-QuickHeal        10.00        2008.12.16        -
ClamAV        0.94.1        2008.12.16        -
Comodo        760        2008.12.15        -
DrWeb        4.44.0.09170        2008.12.16        -
eSafe        7.0.17.0        2008.12.15        -
eTrust-Vet        31.6.6263        2008.12.16        -
Ewido        4.0        2008.12.15        -
F-Prot        4.4.4.56        2008.12.15        -
F-Secure        8.0.14332.0        2008.12.16        -
Fortinet        3.117.0.0        2008.12.16        -
GData        19        2008.12.16        -
Ikarus        T3.1.1.45.0        2008.12.16        -
K7AntiVirus        7.10.554        2008.12.15        -
Kaspersky        7.0.0.125        2008.12.16        -
McAfee        5465        2008.12.15        -
McAfee+Artemis        5465        2008.12.15        -
Microsoft        1.4205        2008.12.16        -
NOD32        3694        2008.12.15        -
Norman        5.80.02        2008.12.15        -
Panda        9.0.0.4        2008.12.15        -
PCTools        4.4.2.0        2008.12.15        -
Prevx1        V2        2008.12.16        -
Rising        21.08.11.00        2008.12.16        -
SecureWeb-Gateway        6.7.6        2008.12.16        -
Sophos        4.36.0        2008.12.16        -
Sunbelt        3.2.1801.2        2008.12.11        -
Symantec        10        2008.12.16        -
TheHacker        6.3.1.4.189        2008.12.16        -
TrendMicro        8.700.0.1004        2008.12.16        -
VBA32        3.12.8.10        2008.12.15        -
ViRobot        2008.12.16.1520        2008.12.16        -
VirusBuster        4.5.11.0        2008.12.15        -
Additional information
File size: 200704 bytes
MD5...: eed2ce7bd9e43b8500d906d944460d22
SHA1..: c34261a2b1e30fa5c80fe304683b6568d12eb978
SHA256: 94d8edba9c4509483fdd5deb3a9aac51506b56d80f1a138bf2493eefc49f78ab
SHA512: 24e024a61d74c8f8976ea5cd52cb7479437756cd2734d5b8ce1245ee23756bf8
ce04f19f89356121e49c4c9b077e0c9ecdadb1b088b8ca24f2eee0cd425c0fe6
ssdeep: 3072:SBQm5WGVHOyabSdm1LosvlJ9X+ikuDNIICE9krDb1UV5NXZDm17uDEa3cgX
4QyT:SB0GVPabsm1Psikw+0Sb1USc3H
PEiD..: Armadillo v1.xx - v2.xx
TrID..: File type identification
Win64 Executable Generic (80.9%)
Win32 Executable Generic (8.0%)
Win32 Dynamic Link Library (generic) (7.1%)
Generic Win/DOS Executable (1.8%)
DOS Executable Generic (1.8%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1002239a
timedatestamp.....: 0x44691d42 (Tue May 16 00:30:58 2006)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x2145e 0x22000 6.25 73037a107b70a1cc30883247a0feb9fd
.rdata 0x23000 0x73ea 0x8000 5.13 8030a96377a813f37863453bff029028
.data 0x2b000 0x24c4 0x3000 3.89 338ae97b86a868e2111bb9ec09bfec4a
.rsrc 0x2e000 0x440 0x1000 1.16 a6458ae5e5c5267a59d7463dbd63b254
.reloc 0x2f000 0x1ba2 0x2000 6.03 1acebc5b05861141e863de7cb89648fb

( 3 imports )
> libdivx.dll: -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -
> MSVCRT.dll: _adjust_fdiv, malloc, _initterm, free, _errno, _iob, fprintf, strncmp, memmove, time
> KERNEL32.dll: GetLastError, SetLastError, DisableThreadLibraryCalls

( 206 exports )
BIO_f_ssl, BIO_new_buffer_ssl_connect, BIO_new_ssl, BIO_new_ssl_connect, BIO_ssl_copy_session_id, BIO_ssl_shutdown, DTLSv1_client_method, DTLSv1_method, DTLSv1_server_method, ERR_load_SSL_strings, SSL_CIPHER_description, SSL_CIPHER_get_bits, SSL_CIPHER_get_name, SSL_CIPHER_get_version, SSL_COMP_add_compression_method, SSL_COMP_get_compression_methods, SSL_COMP_get_name, SSL_CTX_add_client_CA, SSL_CTX_add_session, SSL_CTX_callback_ctrl, SSL_CTX_check_private_key, SSL_CTX_ctrl, SSL_CTX_flush_sessions, SSL_CTX_free, SSL_CTX_get_cert_store, SSL_CTX_get_client_CA_list, SSL_CTX_get_ex_data, SSL_CTX_get_ex_new_index, SSL_CTX_get_quiet_shutdown, SSL_CTX_get_timeout, SSL_CTX_get_verify_callback, SSL_CTX_get_verify_depth, SSL_CTX_get_verify_mode, SSL_CTX_load_verify_locations, SSL_CTX_new, SSL_CTX_remove_session, SSL_CTX_sessions, SSL_CTX_set_cert_store, SSL_CTX_set_cert_verify_callback, SSL_CTX_set_cipher_list, SSL_CTX_set_client_CA_list, SSL_CTX_set_default_passwd_cb, SSL_CTX_set_default_passwd_cb_userdata, SSL_CTX_set_default_verify_paths, SSL_CTX_set_ex_data, SSL_CTX_set_generate_session_id, SSL_CTX_set_msg_callback, SSL_CTX_set_purpose, SSL_CTX_set_quiet_shutdown, SSL_CTX_set_session_id_context, SSL_CTX_set_ssl_version, SSL_CTX_set_timeout, SSL_CTX_set_tmp_dh_callback, SSL_CTX_set_tmp_ecdh_callback, SSL_CTX_set_tmp_rsa_callback, SSL_CTX_set_trust, SSL_CTX_set_verify, SSL_CTX_set_verify_depth, SSL_CTX_use_PrivateKey, SSL_CTX_use_PrivateKey_ASN1, SSL_CTX_use_PrivateKey_file, SSL_CTX_use_RSAPrivateKey, SSL_CTX_use_RSAPrivateKey_ASN1, SSL_CTX_use_RSAPrivateKey_file, SSL_CTX_use_certificate, SSL_CTX_use_certificate_ASN1, SSL_CTX_use_certificate_chain_file, SSL_CTX_use_certificate_file, SSL_SESSION_cmp, SSL_SESSION_free, SSL_SESSION_get_ex_data, SSL_SESSION_get_ex_new_index, SSL_SESSION_get_id, SSL_SESSION_get_time, SSL_SESSION_get_timeout, SSL_SESSION_hash, SSL_SESSION_new, SSL_SESSION_print, SSL_SESSION_print_fp, SSL_SESSION_set_ex_data, SSL_SESSION_set_time, SSL_SESSION_set_timeout, SSL_accept, SSL_add_client_CA, SSL_add_dir_cert_subjects_to_stack, SSL_add_file_cert_subjects_to_stack, SSL_alert_desc_string, SSL_alert_desc_string_long, SSL_alert_type_string, SSL_alert_type_string_long, SSL_callback_ctrl, SSL_check_private_key, SSL_clear, SSL_connect, SSL_copy_session_id, SSL_ctrl, SSL_do_handshake, SSL_dup, SSL_dup_CA_list, SSL_free, SSL_get1_session, SSL_get_SSL_CTX, SSL_get_certificate, SSL_get_cipher_list, SSL_get_ciphers, SSL_get_client_CA_list, SSL_get_current_cipher, SSL_get_current_compression, SSL_get_current_expansion, SSL_get_default_timeout, SSL_get_error, SSL_get_ex_data, SSL_get_ex_data_X509_STORE_CTX_idx, SSL_get_ex_new_index, SSL_get_fd, SSL_get_finished, SSL_get_info_callback, SSL_get_peer_cert_chain, SSL_get_peer_certificate, SSL_get_peer_finished, SSL_get_privatekey, SSL_get_quiet_shutdown, SSL_get_rbio, SSL_get_read_ahead, SSL_get_rfd, SSL_get_session, SSL_get_shared_ciphers, SSL_get_shutdown, SSL_get_ssl_method, SSL_get_verify_callback, SSL_get_verify_depth, SSL_get_verify_mode, SSL_get_verify_result, SSL_get_version, SSL_get_wbio, SSL_get_wfd, SSL_has_matching_session_id, SSL_library_init, SSL_load_client_CA_file, SSL_load_error_strings, SSL_new, SSL_peek, SSL_pending, SSL_read, SSL_renegotiate, SSL_renegotiate_pending, SSL_rstate_string, SSL_rstate_string_long, SSL_set_accept_state, SSL_set_bio, SSL_set_cipher_list, SSL_set_client_CA_list, SSL_set_connect_state, SSL_set_ex_data, SSL_set_fd, SSL_set_generate_session_id, SSL_set_info_callback, SSL_set_msg_callback, SSL_set_purpose, SSL_set_quiet_shutdown, SSL_set_read_ahead, SSL_set_rfd, SSL_set_session, SSL_set_session_id_context, SSL_set_shutdown, SSL_set_ssl_method, SSL_set_tmp_dh_callback, SSL_set_tmp_ecdh_callback, SSL_set_tmp_rsa_callback, SSL_set_trust, SSL_set_verify, SSL_set_verify_depth, SSL_set_verify_result, SSL_set_wfd, SSL_shutdown, SSL_state, SSL_state_string, SSL_state_string_long, SSL_use_PrivateKey, SSL_use_PrivateKey_ASN1, SSL_use_PrivateKey_file, SSL_use_RSAPrivateKey, SSL_use_RSAPrivateKey_ASN1, SSL_use_RSAPrivateKey_file, SSL_use_certificate, SSL_use_certificate_ASN1, SSL_use_certificate_file, SSL_version, SSL_want, SSL_write, SSLv23_client_method, SSLv23_method, SSLv23_server_method, SSLv2_client_method, SSLv2_method, SSLv2_server_method, SSLv3_client_method, SSLv3_method, SSLv3_server_method, TLSv1_client_method, TLSv1_method, TLSv1_server_method, d2i_SSL_SESSION, i2d_SSL_SESSION, ssl2_ciphers, ssl3_ciphers
Code:
Antivirus        Version        Last Update        Result
AhnLab-V3        2008.12.16.2        2008.12.16        -
AntiVir        7.9.0.45        2008.12.16        -
Authentium        5.1.0.4        2008.12.16        -
Avast        4.8.1281.0        2008.12.15        -
AVG        8.0.0.199        2008.12.15        -
BitDefender        7.2        2008.12.16        -
CAT-QuickHeal        10.00        2008.12.16        -
ClamAV        0.94.1        2008.12.16        -
Comodo        760        2008.12.15        -
DrWeb        4.44.0.09170        2008.12.16        -
eSafe        7.0.17.0        2008.12.15        -
eTrust-Vet        31.6.6263        2008.12.16        -
Ewido        4.0        2008.12.15        -
F-Prot        4.4.4.56        2008.12.15        -
F-Secure        8.0.14332.0        2008.12.16        -
Fortinet        3.117.0.0        2008.12.16        -
GData        19        2008.12.16        -
Ikarus        T3.1.1.45.0        2008.12.16        -
K7AntiVirus        7.10.554        2008.12.15        -
Kaspersky        7.0.0.125        2008.12.16        -
McAfee        5465        2008.12.15        -
McAfee+Artemis        5465        2008.12.15        -
Microsoft        1.4205        2008.12.16        -
NOD32        3694        2008.12.15        -
Norman        5.80.02        2008.12.15        -
Panda        9.0.0.4        2008.12.15        -
PCTools        4.4.2.0        2008.12.15        -
Prevx1        V2        2008.12.16        -
Rising        21.08.12.00        2008.12.16        -
SecureWeb-Gateway        6.7.6        2008.12.16        -
Sophos        4.36.0        2008.12.16        -
Sunbelt        3.2.1801.2        2008.12.11        -
Symantec        10        2008.12.16        -
TheHacker        6.3.1.4.189        2008.12.16        -
TrendMicro        8.700.0.1004        2008.12.16        -
VBA32        3.12.8.10        2008.12.15        -
ViRobot        2008.12.16.1520        2008.12.16        -
VirusBuster        4.5.11.0        2008.12.15        -
Additional information
File size: 4816 bytes
MD5...: 160421403ba5090d775356f3513df403
SHA1..: cab5758fec3c2a73dc95efd8f69580e9049c1493
SHA256: 6fe1edc4176e668f4b669585099d00190c82ee7cc87a93647dcea12e82cd7c37
SHA512: b25086603080417c8cddc19271fada36c389acffb0c7ee7aeafa8c5253feecac
f5aae56def8c4f927ec2457e7a476b059b0bae74635b6b4a03bc1358c0a30ff4
ssdeep: 96:ztGnqJ8KSZ40cPrG2jihG4saB9JpO9J/WtLLr/r:FSOPrjjQpL9JpmyTD
PEiD..: -
TrID..: File type identification
Type Library (100.0%)
PEInfo: -
Code:
Antivirus        Version        Last Update        Result
AhnLab-V3        2008.12.16.2        2008.12.16        -
AntiVir        7.9.0.45        2008.12.16        -
Authentium        5.1.0.4        2008.12.16        -
Avast        4.8.1281.0        2008.12.15        -
AVG        8.0.0.199        2008.12.15        -
BitDefender        7.2        2008.12.16        -
CAT-QuickHeal        10.00        2008.12.16        -
ClamAV        0.94.1        2008.12.16        -
Comodo        760        2008.12.15        -
DrWeb        4.44.0.09170        2008.12.16        -
eSafe        7.0.17.0        2008.12.15        -
eTrust-Vet        31.6.6263        2008.12.16        -
Ewido        4.0        2008.12.15        -
F-Prot        4.4.4.56        2008.12.15        -
F-Secure        8.0.14332.0        2008.12.16        -
Fortinet        3.117.0.0        2008.12.16        -
GData        19        2008.12.16        -
Ikarus        T3.1.1.45.0        2008.12.16        -
K7AntiVirus        7.10.554        2008.12.15        -
Kaspersky        7.0.0.125        2008.12.16        -
McAfee        5465        2008.12.15        -
McAfee+Artemis        5465        2008.12.15        -
Microsoft        1.4205        2008.12.16        -
NOD32        3694        2008.12.15        -
Norman        5.80.02        2008.12.15        -
Panda        9.0.0.4        2008.12.15        -
PCTools        4.4.2.0        2008.12.15        -
Prevx1        V2        2008.12.16        -
Rising        21.08.12.00        2008.12.16        -
SecureWeb-Gateway        6.7.6        2008.12.16        -
Sophos        4.36.0        2008.12.16        -
Sunbelt        3.2.1801.2        2008.12.11        -
Symantec        10        2008.12.16        -
TheHacker        6.3.1.4.189        2008.12.16        -
TrendMicro        8.700.0.1004        2008.12.16        -
VBA32        3.12.8.10        2008.12.15        -
ViRobot        2008.12.16.1520        2008.12.16        -
VirusBuster        4.5.11.0        2008.12.15        -
Additional information
File size: 10152 bytes
MD5...: e463cafd6120d8e86c313b38f1de9447
SHA1..: 4cc84dd078763034fdc9a47b5f206c10f9e88e1d
SHA256: f770956dbde4aedcc1890a3340dda7bb0fca16e9bb32f19eefebeb8e67192dd1
SHA512: f46de96ba1edebcffb4ed62551d56809a8973bbf19617eb17579357623fd739b
2efdc0fb370f25df836928a637eedf5816ac268c984532a59ecf66aa89be9c7c
ssdeep: 192:wP7igQrl19RjPLUncGVt2eLnn8K7xbEUKzkiDzFmpNnEGHXm6I0ARW:ztRzL
UcGVAon8Q5hKze/nEGHXd0RW
PEiD..: -
TrID..: File type identification
Unknown!
PEInfo: -
Code:
Antivirus        Version        Last Update        Result
AhnLab-V3        2008.12.16.2        2008.12.16        -
AntiVir        7.9.0.45        2008.12.16        -
Authentium        5.1.0.4        2008.12.16        -
Avast        4.8.1281.0        2008.12.15        -
AVG        8.0.0.199        2008.12.15        -
BitDefender        7.2        2008.12.16        -
CAT-QuickHeal        10.00        2008.12.16        -
ClamAV        0.94.1        2008.12.16        -
Comodo        760        2008.12.15        -
DrWeb        4.44.0.09170        2008.12.16        -
eSafe        7.0.17.0        2008.12.15        -
eTrust-Vet        31.6.6263        2008.12.16        -
Ewido        4.0        2008.12.15        -
F-Prot        4.4.4.56        2008.12.15        -
F-Secure        8.0.14332.0        2008.12.16        -
Fortinet        3.117.0.0        2008.12.16        -
GData        19        2008.12.16        -
Ikarus        T3.1.1.45.0        2008.12.16        -
K7AntiVirus        7.10.554        2008.12.15        -
Kaspersky        7.0.0.125        2008.12.16        -
McAfee        5465        2008.12.15        -
McAfee+Artemis        5465        2008.12.15        -
Microsoft        1.4205        2008.12.16        -
NOD32        3694        2008.12.15        -
Norman        5.80.02        2008.12.15        -
Panda        9.0.0.4        2008.12.15        -
PCTools        4.4.2.0        2008.12.15        -
Prevx1        V2        2008.12.16        -
Rising        21.08.12.00        2008.12.16        -
SecureWeb-Gateway        6.7.6        2008.12.16        -
Sophos        4.36.0        2008.12.16        -
Sunbelt        3.2.1801.2        2008.12.11        -
Symantec        10        2008.12.16        -
TheHacker        6.3.1.4.189        2008.12.16        -
TrendMicro        8.700.0.1004        2008.12.16        -
VBA32        3.12.8.10        2008.12.15        -
ViRobot        2008.12.16.1520        2008.12.16        -
VirusBuster        4.5.11.0        2008.12.15        -
Additional information
File size: 17097 bytes
MD5...: 7a27b475768d2a7e725617a6bedf9c9a
SHA1..: cbd77b4aa396e509b26c0ea75cf7825e6982e68c
SHA256: 91c8e85f1ae1ebc69244a2a93253b2cd560c4a379703839ac28a3b7d844996e2
SHA512: 2786ada56ec01761956db5270eeed9f35625a4fc6238b8242a3ddeb3d24795f2
5bd04c21d0e16c730d9b1a8aab9930698e8098e09774a454ea70b6e94d9e415a
ssdeep: 192:z6I+1NlN/UiEDEvkTSfVAK0CJMFJdxYqJCfK73qokAfGXvCcjfo/EhwGD:+I
+1v6DEsOCbcMFOqT9HpckMhwq
PEiD..: -
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x103bc
timedatestamp.....: 0x3f16d68f (Thu Jul 17 17:02:07 2003)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x2c0 0x2abc 0x2ac0 6.43 7b8fdc5fed09542da2c0beb9afb74cfe
.rdata 0x2d80 0x18c 0x1a0 3.36 f196e33a1393d3432480b77e6ada7eba
.data 0x2f20 0x68 0x80 2.26 65403084ed05d7ffea78a6898a2cd203
INIT 0x2fa0 0x6d6 0x6e0 5.18 8092ab5b22248d2c275b74153706c0ac
.rsrc 0x3680 0x410 0x420 3.41 601f4e69a8f29545704481fc529a4886
.reloc 0x3aa0 0x2b4 0x2c0 5.57 65194addf2477361a920ea0108cd1cc1

( 3 imports )
> ntoskrnl.exe: RtlAnsiStringToUnicodeString, RtlFreeUnicodeString, KeInitializeEvent, KeWaitForSingleObject, KeResetEvent, RtlEqualUnicodeString, KeSetEvent, MmUnlockPages, IoAllocateMdl, MmProbeAndLockPages, IoFreeMdl, _except_handler3, DbgPrint, IoReleaseCancelSpinLock, ExInterlockedAddLargeStatistic, InterlockedExchange, MmMapLockedPagesSpecifyCache, IofCompleteRequest, IoDeleteDevice, IoIsWdmVersionAvailable, IoCreateDevice, ExAllocatePoolWithTag, RtlAppendUnicodeToString, IoCreateSymbolicLink, IoDeleteSymbolicLink, ExFreePool
> HAL.dll: KeQueryPerformanceCounter
> NDIS.SYS: NdisCloseAdapter, NdisResetEvent, NdisOpenAdapter, NdisWaitEvent, NdisCompleteBindAdapter, NdisSetEvent, NdisFreeSpinLock, NdisFreeBufferPool, NdisAllocatePacketPool, NdisAllocateBufferPool, NdisFreePacketPool, NdisAllocateSpinLock, NdisInitAnsiString, NdisFreeMemory, NdisAllocateMemory, NdisRequest, NdisUnicodeStringToAnsiString, NdisSend, NdisAcquireSpinLock, NdisInterlockedRemoveHeadList, NdisReleaseSpinLock, NdisGetCurrentSystemTime, NdisAllocatePacket, NdisAllocateBuffer, NdisTransferData, NdisInitializeEvent, NdisFreePacket, NdisInitUnicodeString, NdisRegisterProtocol, NdisDeregisterProtocol, NdisFreeBuffer, NdisUnchainBufferAtFront, NDIS_BUFFER_TO_SPAN_PAGES, NdisQueryBufferOffset, NdisInterlockedInsertTailList

( 0 exports )
Heißt das, dass die Files ok sind? Nochmal vielen Dank, undoreal, für alle schon getane Arbeit und Sucherei in diesen logfiles...

undoreal 16.12.2008 11:35

Panda Active Scan
Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.


Und lasse bitte das AVP-Tool laufen. Poste die logs.

Poste auch ein frisches HJT log. Wie geht es dem Rechner? Noch Auffälligkeiten?

knarz 16.12.2008 18:58
Panda Active Scan
 
Hier das Log vom Panda Active Scan:
Code:
;***********************************************************************************************************************************************************************************
ANALYSIS: 2008-12-16 18:50:11
PROTECTIONS: 1
MALWARE: 16
SUSPECTS: 1
;***********************************************************************************************************************************************************************************
PROTECTIONS
Description                                  Version                      Active    Updated
;===================================================================================================================================================================================
AVG Anti-Virus Free                          8.0                          Yes      Yes
;===================================================================================================================================================================================
MALWARE
Id        Description                        Type                Active    Severity  Disinfectable  Disinfected Location
;===================================================================================================================================================================================
00324157  Trj/Cimuz.BE                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[Telekom.pdf.exe]
00324157  Trj/Cimuz.BE                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[Telekom.pdf.exe]
00360020  Trj/Abwiz.BP                      Virus/Trojan        No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[Rechnung.pdf.exe]
00368595  Trj/Cimuz.CO                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[Rechnung.pdf.exe]
00368595  Trj/Cimuz.CO                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.theaterbaustelle.de\Inbox[Rechnung.pdf.exe]
00370298  Trj/Downloader.MOY                Virus/Trojan        No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[GEZ1693.zip][RG_129427621.pdf.exe]
00370298  Trj/Downloader.MOY                Virus/Trojan        No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[GEZ1693.zip][RG_129427621.pdf.exe]
00375196  Trj/Cimuz.CY                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.theaterbaustelle.de\Inbox[Ebay-57170001.zip][Ebay.pdf.exe]
00375196  Trj/Cimuz.CY                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[Ebay-57170001.zip][Ebay.pdf.exe]
00503151  W32/Nurech.F.worm                  Virus/Worm          No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.theaterbaustelle.de\Inbox[Ebay.zip][Ebay.de_bitte_lesen.pdf.exe]
00503151  W32/Nurech.F.worm                  Virus/Worm          No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[Ebay.zip][Ebay.de_bitte_lesen.pdf.exe]
00503793  W32/Nurech.G.worm                  Virus/Worm          No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[13915.zip][13915.exe]
00503793  W32/Nurech.G.worm                  Virus/Worm          No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[13915.zip][13915.exe]
00503793  W32/Nurech.G.worm                  Virus/Worm          No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[13915.zip][13915.exe]
00503793  W32/Nurech.G.worm                  Virus/Worm          No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[13915.zip][13915.exe]
00512773  Trj/Downloader.NKA                Virus/Trojan        No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[30867.zip]
00512773  Trj/Downloader.NKA                Virus/Trojan        No        1        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[30867.zip]
00523258  Trj/Cimuz.ET                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[595169.zip][HBEDV.KEY.exe]
00523258  Trj/Cimuz.ET                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[595169.zip][HBEDV.KEY.exe]
00525112  Trj/Downloader.ODQ                Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[595169.zip][HBEDV.KEY.exe]
00525112  Trj/Downloader.ODQ                Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.theaterbaustelle.de\Inbox[595169.zip][HBEDV.KEY.exe]
00527844  Trj/Alanchum.VL                    Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[NR-[67999068].zip][Aktenzeichen.pdf.exe]
00527844  Trj/Alanchum.VL                    Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[9127548344.zip][Aktenzeichen.doc.exe]
00527844  Trj/Alanchum.VL                    Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.theaterbaustelle.de\Inbox[9127548344.zip][Aktenzeichen.doc.exe]
00527844  Trj/Alanchum.VL                    Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[NR-[67999068].zip][Aktenzeichen.pdf.exe]
00528561  Trj/Cimuz.FL                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[58919576.scr]
00528561  Trj/Cimuz.FL                      Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.theaterbaustelle.de\Inbox[58919576.scr]
01185375  Application/Psexec.A              HackTools          No        0        Yes            No          C:\System Volume Information\_restore{8819F123-5A2E-4228-A845-84CE77ADC3EA}\RP540\A0070886.EXE
01230176  Trj/Downloader.PIH                Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[E-TAN-Software_2.68.zip][E-TAN-Software_2.68.scr]
01230176  Trj/Downloader.PIH                Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[E-TAN-Software_2.68.zip][E-TAN-Software_2.68.scr]
01230176  Trj/Downloader.PIH                Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\pop3.web.de\Inbox[E-TAN-Software_2.68.zip][E-TAN-Software_2.68.scr]
01230176  Trj/Downloader.PIH                Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Profiles\default\esqo0i9c.slt\Mail\Local Folders\Junk[E-TAN-Software_2.68.zip][E-TAN-Software_2.68.scr]
02885963  Rootkit/Booto.C                    Virus/Worm          No        0        Yes            No          C:\System Volume Information\_restore{8819F123-5A2E-4228-A845-84CE77ADC3EA}\RP540\A0070870.sys
04356185  Generic Trojan                    Virus/Trojan        No        0        Yes            No          C:\Dokumente und Einstellungen\***\Desktop\ComboFix.exe
;===================================================================================================================================================================================
SUSPECTS
Sent      Location                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                              a
;===================================================================================================================================================================================
No        C:\Programme\xpass\bin\xpass.exe                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      a
;===================================================================================================================================================================================
VULNERABILITIES
Id        Severity  Description                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                a
;===================================================================================================================================================================================
;===================================================================================================================================================================================
AVG-Tool und HijackThis mache ich morgen. Rate ich richtig, dass alles, was dieser Pandascanner gefunden hat, Mailanhänge sind, noch dazu v.a. von Mails im Junkordner?

undoreal 16.12.2008 19:49
Zitat:
Rate ich richtig, dass alles, was dieser Pandascanner gefunden hat, Mailanhänge sind, noch dazu v.a. von Mails im Junkordner?
Ja. Ist aber kein Problem. Du solltest dein Konto mal komprimieren lassen.
Erst deinen Postkasten aufräumen, alte Mails löschen dann den Inhalt des Junk Ordners löschen und dann Datei -> Alle Ordners des Kontos komprimieren lassen.

knarz 17.12.2008 17:50
Also, das AVP-Tool hat nichts gefunden (aber 5h gesucht, ist das normal?).

Die Ordner sind komprimiert.

Dafür dauerte es jetzt wieder ewig nach dem Hochfahren, bis irgendein Programm reagierte :-( - Nur avgrsx.exe hat eine hohe Zahl Speicherverbrauch.

Hier also noch ein neues Hijackthis-Log:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:42:39, on 17.12.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\StartupMonitor.exe
C:\Programme\Acer\Launch Manager\PowerKey.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\LTSMMSG.exe
C:\Programme\Acer\Launch Manager\LaunchAp.exe
C:\Programme\Acer\Launch Manager\KeyHook.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programme\Acer\Launch Manager\HotkeyApp.exe
C:\Programme\Acer\Launch Manager\CtrlVol.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Programme\Gigaset WLAN Adapter 54\WLANMonitor2003.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\Programme\Trillian\trillian.exe
C:\Programme\Opera\Opera.exe
C:\Dokumente und Einstellungen\***\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.acer.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programme\AVG\AVG8\avgssie.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exe
O4 - HKLM\..\Run: [PowerKey] "C:\Programme\Acer\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [LaunchApp] LaunApp
O4 - HKLM\..\Run: [LaunchAp] "C:\Programme\Acer\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [KeyHook] "C:\Programme\Acer\Launch Manager\KeyHook.exe"
O4 - HKLM\..\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [HotkeyApp] "C:\Programme\Acer\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Programme\Acer\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup:  Gigaset WLAN Adapter Monitor.lnk = C:\Programme\Gigaset WLAN Adapter 54\WLANMonitor2003.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=h**p://www.sertek.com.tw/
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - h**p://www.pandasecurity.com/activescan/cabs/as2stubie.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1155406958225
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programme\AVG\AVG8\avgpp.dll
O20 - AppInit_DLLs: avgrsstx.dll
O23 - Service: AVG8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 5092 bytes
Dass der IE im Log ist, ist neu mit den angegebenen Websiten. Ich benutzte ihn (was ich sonst nie tue) weil einer der Scanner nur auf IE lief.

undoreal 17.12.2008 19:44
Zitat:
Also, das AVP-Tool hat nichts gefunden (aber 5h gesucht, ist das normal?).
ist es denn durchgelaufen? Also stand dort: Scan beendet oder so?

knarz 18.12.2008 10:19
Ja, Scan erfolgreich beendet oder sowas. Und ein komplett leeres Reportfeld.

undoreal 18.12.2008 15:42
Die logs sind sauber. Wie geht's dem Rechner?

knarz 18.12.2008 16:02
Danke fürs Log-Checken!

Nach dem Hochfahren hält er sich immer noch gut ne Minute damit auf bei ausgelastetem CPU offenbar mit avgrsx.exe zu kämpfen (hat auch später noch 27.000 k Speicherauslastung), danach ist er aber wieder flott.
Heute stürzte der Windows-Explorer 4-5mal ab, als ich im Bilderordner war, mit der Behauptung "dtw32.exe hat ein Problem festgestellt und muss beendet werden." - Dateiname aus dem Kopf zitiert, der Fehler ließ sich grade nicht provozieren. - Früher hatte ich das einmal im Monat, meist auch im Bilderordner...

Und die "bösen" Dateien im Mailordner hab ich ja auch nicht gelöscht - muss ich die noch irgendwie rauswerfen?

undoreal 18.12.2008 16:40
Die Meldung und die Abstürze gefallen mir nicht...

Wen er das nächste mal eine Fehlermeldung bringt dann schreibe diese unbedingt mit und poste sie hier!!!


Systembereinigung
  • Deaktiviere die Systemwiederherstellung auf allen Laufwerken. Nachdem die Bereinigung KOMPLETT beendet ist kann sie wieder aktiviert werden.
  • Räume mit cCleaner auf. (Punkt 1 & 2)
  • Downloade AVZ und speichere es in einen eigenen Ordner auf dem Desktop.
  • Entpacke es in diesem Ordner und starte die Anwendung durch einen Doppelklick auf die AVZ.exe.
  • Beende alle anderen Arbeiten am PC und speichere alle offenen Projekte.
  • Deaktiviere den Wächter/On-Access-Modul (Echtzeit-Scanner) deines AntiViren Programmes und schließe alle AntiViren Programme komplett!

  • Unter File -> Database Update ->Start drücken.
  • Unter AVZPM -> Install extended monitoring driver drücken.
  • Unter AVZGuard -> Enable AVZGuard drücken dieser verhindert alle anderen Arbeiten am PC!

  • Im Hauptfenster oben sind verschiedene Reiter. Im Linken kannst du die Search Range einstellen. Mache hier bitte Haken vor alle deine Festplatten.
  • Im Reiter daneben kannst du die File Types einstellen. Wähle hier bitte All files.
  • Im Reiter ganz rechts kannst du die Search parameters einstellen. Schiebe den Regler der Heuristic Analysis bitte nach ganz oben und setzte den Haken bei Extended analysis. Alles weitere bleibt wie es ist!
  • Dann setzte rechts im Hauptfenster unter Actions den Haken bei Perform healing und danach unbedingt auch den Haken bei Copy deletet files to "infected" Folder. Sonst werden keine Backups erstellt!
Die letzten Einstellungen werden nochmal in folgendem Bild zusammengefasst. Gleiche sie bitte genau mit deinen Einstellungen ab!
http://img339.imageshack.us/img339/3...ameterssf7.png
  • Nun starte den Scan bitte durch Drücken des Start Buttons.

  • Nachdem der Scan beendet ist klicke auf den Disketten Speicher-Button und speichere das log im AVZ Ordner auf dem Desktop.
    Danach klicke auf die Brille darunter. Es öffnet sich ein Fenster bei dem unten rechts bitte auf Save as CSV klickst und die Datei ebenfalls im AVZ Ordner abspeicherst.
http://img393.imageshack.us/img393/165/logti9.png
  • Die beiden logs hänge bitte an deinen nächsten Post an.

  • Deaktiviere den AVZGuard: Im Hauptfenster unter AVZGuard -> Disable AVZGuard.


Systemanalyse
  • Deaktiviere die Systemwiederherstellung auf allen Laufwerken. Nachdem die Bereinigung KOMPLETT beendet ist kann sie wieder aktiviert werden.
  • Räume mit cCleaner auf. (Punkt 1 & 2)
  • Deaktiviere den Wächter/On-Access-Modul (Echtzeit-Scanner) deines AntiViren Programmes und schließe alle AntiViren Programme komplett!
  • Downloade AVZ und speichere es in einen eigenen Ordner auf dem Desktop.
  • Entpacke es in diesem Ordner und starte die Anwendung durch einen Doppelklick auf die AVZ.exe.
  • Unter AVZPM -> Install extended monitoring driver wählen. Der Treiber wird installiert.
  • Starte den Rechner neu. öffne abermals die AVZ.exe und gehe sicher, dass der AVZPM Driver installiert ist.
  • Unter AVZGuard -> Enable AVZGuard wählen. => Der Wächter verhindert die Ausführung aller anderen Anwendungen und muss nach der Analyse unbedingt wieder deaktviert werden!!
  • Unter File -> Database Update Start drücken.
  • Während des Scans sollte der Rechner weiterhin Verbindung mit dem Internet haben.
  • Im Hauptfenster den Start Button drücken.
  • Danach unter File -> System Analys, die Option Attach System Analysis log to ZIP anhaken und Start drücken. Wähle als Speicherort den von dir erstellten AVZ-Ordner.
  • Deaktiviere den AVZGuard!
  • Nachdem der Scan beendet ist lade die avz_sysinfo.zip bei Rapidshare hoch und poste den Download-Link.

knarz 18.12.2008 23:04
Wichtig! Wann soll ich meine Systemwiederherstellung wieder einschalten? Nach dem nächsten Hochfahren?

Die beiden Logs von AVZ:

Code:
AVZ Antiviral Toolkit log; AVZ version is 4.30
Scanning started at 18.12.2008 21:53:19
Database loaded: signatures - 201253, NN profile(s) - 2, microprograms of healing - 56, signature database released 18.12.2008 21:40
Heuristic microprograms loaded: 372
SPV microprograms loaded: 9
Digital signatures of system files loaded: 74370
Heuristic analyzer mode: Maximum heuristics level
Healing mode: enabled
Windows version: 5.1.2600, Service Pack 3 ; AVZ is launched with administrator rights
System Restore: Disabled
1. Searching for Rootkits and programs intercepting API functions
1.1 Searching for user-mode API hooks
 Analysis: kernel32.dll, export table found in section .text
 Analysis: ntdll.dll, export table found in section .text
 Analysis: user32.dll, export table found in section .text
 Analysis: advapi32.dll, export table found in section .text
 Analysis: ws2_32.dll, export table found in section .text
 Analysis: wininet.dll, export table found in section .text
 Analysis: rasapi32.dll, export table found in section .text
 Analysis: urlmon.dll, export table found in section .text
 Analysis: netapi32.dll, export table found in section .text
1.4 Searching for masking processes and drivers
 Searching for masking processes and drivers - complete
 Driver loaded successfully
1.5 Checking of IRP handlers
\driver\tcpip[IRP_MJ_CLOSE] = F048C5A8 -> C:\WINDOWS\System32\Drivers\avgtdix.sys
\driver\tcpip[IRP_MJ_INTERNAL_DEVICE_CONTROL] = F048D43E -> C:\WINDOWS\System32\Drivers\avgtdix.sys
 Checking - complete
2. Scanning memory
 Number of processes found: 28
Analyzer: process under analysis is 616 C:\WINDOWS\StartupMonitor.exe
[ES]:Application has no visible windows
[ES]:Located in system folder
[ES]:Registered in autoruns !!
Analyzer: process under analysis is 640 C:\Programme\Acer\Launch Manager\PowerKey.exe
[ES]:Application has no visible windows
[ES]:Registered in autoruns !!
Analyzer: process under analysis is 1076 C:\Programme\Acer\Launch Manager\LaunchAp.exe
[ES]:Application has no visible windows
[ES]:Registered in autoruns !!
Analyzer: process under analysis is 1084 C:\Programme\Acer\Launch Manager\KeyHook.exe
[ES]:Application has no visible windows
[ES]:Registered in autoruns !!
Analyzer: process under analysis is 1380 C:\Programme\Acer\Launch Manager\HotkeyApp.exe
[ES]:Application has no visible windows
[ES]:Registered in autoruns !!
Analyzer: process under analysis is 1520 C:\Programme\Acer\Launch Manager\CtrlVol.exe
[ES]:Application has no visible windows
[ES]:Registered in autoruns !!
Analyzer: process under analysis is 1312 C:\Programme\Gigaset WLAN Adapter 54\WLANMonitor2003.exe
[ES]:Application has no visible windows
[ES]:Registered in autoruns !!
 Number of modules loaded: 274
Scanning memory - complete
3. Scanning disks
Direct reading C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat
Direct reading C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Direct reading C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat
Direct reading C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat
Direct reading C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT
Direct reading C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Direct reading C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT
Direct reading C:\Dokumente und Einstellungen\tine\Cookies\index.dat
C:\Dokumente und Einstellungen\tine\Desktop\Virus Removal Tool\is-BEFQC\is-BEFQC.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\Dokumente und Einstellungen\tine\Desktop\Virus Removal Tool\is-BEFQC\is-BEFQC.com)
Direct reading C:\Dokumente und Einstellungen\tine\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Direct reading C:\Dokumente und Einstellungen\tine\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat
Direct reading C:\Dokumente und Einstellungen\tine\Lokale Einstellungen\Verlauf\History.IE5\index.dat
Direct reading C:\Dokumente und Einstellungen\tine\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008121820081219\index.dat
Direct reading C:\Dokumente und Einstellungen\tine\NTUSER.DAT
C:\Programme\OpenOffice.org 2.2\program\crashrep.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\Programme\OpenOffice.org 2.2\program\crashrep.com)
C:\Programme\OpenOffice.org 2.2\program\invocation.uno.dll >>> suspicion for Backdoor.Win32.UltimateDefender.grg ( 09E25293 05903389 00213166 002769BD 44544)
File quarantined succesfully (C:\Programme\OpenOffice.org 2.2\program\invocation.uno.dll)
C:\Programme\OpenOffice.org 2.2\program\unopkg.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\Programme\OpenOffice.org 2.2\program\unopkg.com)
C:\Programme\Trillian\yahoo.bak - PE file with non-standard extension(dangerousness level is 5%)
File quarantined succesfully (C:\Programme\Trillian\yahoo.bak)
C:\WINDOWS\$NtServicePackUninstall$\format.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\WINDOWS\$NtServicePackUninstall$\format.com)
C:\WINDOWS\$NtServicePackUninstall$\more.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\WINDOWS\$NtServicePackUninstall$\more.com)
C:\WINDOWS\$NtServicePackUninstall$\tree.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\WINDOWS\$NtServicePackUninstall$\tree.com)
Direct reading C:\WINDOWS\SchedLgU.Txt
Direct reading C:\WINDOWS\SoftwareDistribution\ReportingEvents.log
Direct reading C:\WINDOWS\system32\CatRoot2\edb.log
Direct reading C:\WINDOWS\system32\CatRoot2\tmp.edb
Direct reading C:\WINDOWS\system32\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\catdb
Direct reading C:\WINDOWS\system32\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb
Direct reading C:\WINDOWS\system32\config\AppEvent.Evt
Direct reading C:\WINDOWS\system32\config\DEFAULT
Direct reading C:\WINDOWS\system32\config\SAM
Direct reading C:\WINDOWS\system32\config\SecEvent.Evt
Direct reading C:\WINDOWS\system32\config\SECURITY
Direct reading C:\WINDOWS\system32\config\SOFTWARE
Direct reading C:\WINDOWS\system32\config\SysEvent.Evt
Direct reading C:\WINDOWS\system32\config\SYSTEM
Direct reading C:\WINDOWS\system32\drivers\fidbox.idx
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA
Direct reading C:\WINDOWS\WindowsUpdate.log
4. Checking  Winsock Layered Service Provider (SPI/LSP)
 LSP settings checked. No errors detected
5. Searching for keyboard/mouse/windows events hooks (Keyloggers, Trojan DLLs)
C:\WINDOWS\system32\avgrsstx.dll --> Suspicion for Keylogger or Trojan DLL
C:\WINDOWS\system32\avgrsstx.dll>>> Behavioural analysis
 Behaviour typical for keyloggers not detected
File quarantined succesfully (C:\WINDOWS\system32\avgrsstx.dll)
C:\Programme\Acer\Launch Manager\powerkey.dll --> Suspicion for Keylogger or Trojan DLL
C:\Programme\Acer\Launch Manager\powerkey.dll>>> Behavioural analysis
  1. Reacts to events: keyboard
C:\Programme\Acer\Launch Manager\powerkey.dll>>> Neural net: file with probability 70.60% like a typical keyboard/mouse events interceptor
File quarantined succesfully (C:\Programme\Acer\Launch Manager\powerkey.dll)
C:\Programme\Acer\Launch Manager\hookdll.dll --> Suspicion for Keylogger or Trojan DLL
C:\Programme\Acer\Launch Manager\hookdll.dll>>> Behavioural analysis
  1. Reacts to events: keyboard
C:\Programme\Acer\Launch Manager\hookdll.dll>>> Neural net: file with probability 99.92% like a typical keyboard/mouse events interceptor
File quarantined succesfully (C:\Programme\Acer\Launch Manager\hookdll.dll)
Note: Do NOT delete suspicious files, send them for analysis  (see FAQ for more details),  because there are lots of useful hooking DLLs
6. Searching for opened TCP/UDP ports used by malicious programs
 Checking disabled by user
7. Heuristic system check
Latent loading of libraries through AppInit_DLLs suspected: "avgrsstx.dll"
Checking - complete
8. Searching for vulnerabilities
>> Services: potentially dangerous service allowed: TermService (Terminaldienste)
>> Services: potentially dangerous service allowed: SSDPSRV (SSDP-Suchdienst)
>> Services: potentially dangerous service allowed: Schedule (Taskplaner)
>> Services: potentially dangerous service allowed: mnmsrvc (NetMeeting-Remotedesktop-Freigabe)
>> Services: potentially dangerous service allowed: RDSessMgr (Sitzungs-Manager für Remotedesktophilfe)
> Services: please bear in mind that the set of services depends on the use of the PC (home PC, office PC connected to corporate network, etc)!
>> Security: disk drives' autorun is enabled
>> Security: administrative shares (C$, D$ ...) are enabled
>> Security: anonymous user access is enabled
>> Security: sending Remote Assistant queries is enabled
Checking - complete
9. Troubleshooting wizard
 >>  HDD autorun are allowed
 >>  Autorun from network drives are allowed
 >>  Removable media autorun are allowed
Checking - complete
Files scanned: 179863, extracted from archives: 130388, malicious software found 0, suspicions - 1
Scanning finished at 18.12.2008 22:37:11
Time of scanning: 00:43:56
If you have a suspicion on presence of viruses or questions on the suspected objects,
you can address h**t://virusinfo.info conference
Code:
C:\WINDOWS\System32\Drivers\avgtdix.sys;4;Kernel-mode hook
C:\Dokumente und Einstellungen\tine\Desktop\Virus Removal Tool\is-BEFQC\is-BEFQC.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\Programme\OpenOffice.org 2.2\program\crashrep.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\Programme\OpenOffice.org 2.2\program\invocation.uno.dll;2;Suspicion for Backdoor.Win32.UltimateDefender.grg ( 09E25293 05903389 00213166 002769BD 44544)
C:\Programme\OpenOffice.org 2.2\program\unopkg.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\Programme\Trillian\yahoo.bak;3;PE file with non-standard extension(dangerousness level is 5%)
C:\WINDOWS\$NtServicePackUninstall$\format.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\WINDOWS\$NtServicePackUninstall$\more.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\WINDOWS\$NtServicePackUninstall$\tree.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\WINDOWS\system32\avgrsstx.dll;5;Suspicion for Keylogger or Trojan DLL
C:\Programme\Acer\Launch Manager\powerkey.dll;5;Suspicion for Keylogger or Trojan DLL
C:\Programme\Acer\Launch Manager\hookdll.dll;5;Suspicion for Keylogger or Trojan DLL
Der Rapidsharelink der Systemanalyse (entstellt falls die Forenregeln das wollen):

h**p://rapidshare.com/files/174678691/avz_sysinfo.zip.html

undoreal 19.12.2008 12:26
Zitat:
Wichtig! Wann soll ich meine Systemwiederherstellung wieder einschalten? Nach dem nächsten Hochfahren?
? :confused:
Hab' ich doch geschrieben...
Wenn wir hier fertig sind kannst du sie wieder aktivieren.


Wechsel bitte in die AVZ Quarantäne und stelle folgende Dateien wieder her:
Zitat:
C:\WINDOWS\System32\Drivers\avgtdix.sys;4;Kernel-mode hook
C:\Programme\OpenOffice.org 2.2\program\crashrep.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\Programme\OpenOffice.org 2.2\program\invocation.uno.dll;2;Suspicion for Backdoor.Win32.UltimateDefender.grg ( 09E25293 05903389 00213166 002769BD 44544)
C:\Programme\OpenOffice.org 2.2\program\unopkg.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\WINDOWS\$NtServicePackUninstall$\format.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\WINDOWS\$NtServicePackUninstall$\more.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\WINDOWS\$NtServicePackUninstall$\tree.com;3;PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
C:\WINDOWS\system32\avgrsstx.dll;5;Suspicion for Keylogger or Trojan DLL
C:\Programme\Acer\Launch Manager\powerkey.dll;5;Suspicion for Keylogger or Trojan DLL
C:\Programme\Acer\Launch Manager\hookdll.dll;5;Suspicion for Keylogger or Trojan DLL

Dateien Online überprüfen lassen:


* Lasse dir auch die versteckten Dateien anzeigen!

* Rufe die Seite Virtustotal auf.

* Dort suche über den "Durchsuchen"-Button folgende Datei raus und lade sie durch Druck auf den "Senden der Datei"-Button hoch.

Zitat:
c:\windows\startupmonitor.exe
C:\WINDOWS\system32\DRIVERS\16177588.sys
Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
* Sollte die Datei bereits analysiert worden sein so lasse sie unbedingt trotzdem nocheinmal analysieren!
* Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.



Führe danach folgendes Skript mit AVZ aus (File -> Custom Skript):
Zitat:
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Dokumente und Einstellungen\tine\Desktop\Virus Removal Tool\is-BEFQC\is-BEFQC.com','');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\Microsoft XML Parser for Java');
StopService('dmiproxy');
StopService('pavboot');
StopService('is-BEFQCdrv');
QuarantineFile('C:\WINDOWS\system32\drivers\pavboot.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\NbmKmd.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\16177588.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\pavboot.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\NbmKmd.SYS','');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Der Rechner startet dabei neu!

knarz 19.12.2008 13:09
Danke! Noch eine Rückfrage. Ich war nach dem Posten gestern nicht sicher, ob ich nach dem ersten Schritt "Systembereinigung" nochmal hätte CCleaner laufen lassen sollen, bevor ich das gezippte log speichere. Ich habe es so verstanden, dass das zwei "Standardbausteine" waren, die du mir gepostet hast, die beide voraussetzen, dass Systemherstellung deaktiviert ist und CCleaner gelaufen ist.

Wenn es aber so ist, dass nach dem Scan nochmal CCleaner hätte laufen müssen, dann hab ich es falsch gemacht. Ist das so und ändert das was an den heutigen Hausaufgaben?

Vielen, vielen Dank für die Hilfe, ich komm mir allmählich ganz schlecht vor, deine Zeit so in Anspruch zu nehmen ohne Gegenleistung...

edit: C:\WINDOWS\System32\Drivers\avgtdix.sys;4;Kernel-mode hook - kann ich im Quarantäneordner nicht finden. - Habe ansonsten alle Schritte ausgeführt bis auf das AVZ-Script - dafür hätte ich gern noch ein ok, das zu machen, obwohl ich diese Datei nicht wiederherstellen konnte, da sie nicht im Quarantäneordner war.

undoreal 19.12.2008 13:28
Hast alles richtig interpretiert und richtig ausgeführt! :daumenhoc

Zitat:
Vielen, vielen Dank für die Hilfe, ich komm mir allmählich ganz schlecht vor, deine Zeit so in Anspruch zu nehmen ohne Gegenleistung...
Immer gerne. Wenn du mir eine Gegenleistung bringen möchtest dann halte deinen Rechner in Zukunft sauber! :) Damit ist allen Usern des WorldWideWeb geholfen und wir sind glücklich.. ^^


AVZ-Skript laufen lassen: Ja!


PS: Was ist das eigentlich für ein Ordner?
Zitat:
C:\Dokumente und Einstellungen\tine\Desktop\Virus Removal Tool

knarz 19.12.2008 13:29
Virustotalscan von c:\windows\startupmonitor.exe:
Code:
Antivirus        Version        Last Update        Result
AhnLab-V3        2008.12.19.3        2008.12.19        -
AntiVir        7.9.0.45        2008.12.19        -
Authentium        5.1.0.4        2008.12.18        -
Avast        4.8.1281.0        2008.12.18        -
AVG        8.0.0.199        2008.12.18        -
BitDefender        7.2        2008.12.19        -
CAT-QuickHeal        10.00        2008.12.19        -
ClamAV        0.94.1        2008.12.19        -
Comodo        781        2008.12.19        -
DrWeb        4.44.0.09170        2008.12.19        -
eSafe        7.0.17.0        2008.12.18        -
eTrust-Vet        31.6.6268        2008.12.18        -
Ewido        4.0        2008.12.19        -
F-Prot        4.4.4.56        2008.12.18        -
F-Secure        8.0.14332.0        2008.12.19        -
Fortinet        3.117.0.0        2008.12.19        -
GData        19        2008.12.19        -
Ikarus        T3.1.1.45.0        2008.12.19        -
K7AntiVirus        7.10.557        2008.12.18        -
Kaspersky        7.0.0.125        2008.12.19        -
McAfee        5468        2008.12.18        -
McAfee+Artemis        5468        2008.12.18        -
Microsoft        1.4205        2008.12.19        -
NOD32        3705        2008.12.19        -
Norman        5.80.02        2008.12.18        -
Panda        9.0.0.4        2008.12.19        -
PCTools        4.4.2.0        2008.12.19        -
Prevx1        V2        2008.12.19        -
Rising        21.08.42.00        2008.12.19        -
SecureWeb-Gateway        6.7.6        2008.12.19        -
Sophos        4.37.0        2008.12.19        -
Sunbelt        3.2.1801.2        2008.12.11        -
Symantec        10        2008.12.19        -
TheHacker        6.3.1.4.191        2008.12.17        -
TrendMicro        8.700.0.1004        2008.12.19        -
VBA32        3.12.8.10        2008.12.18        -
ViRobot        2008.12.19.1527        2008.12.19        -
VirusBuster        4.5.11.0        2008.12.18        -
Additional information
File size: 86016 bytes
MD5...: 064805a7893898cbf058086832217771
SHA1..: 93f83dd87532c4389d6278cead5603687a57d676
SHA256: 5a2cdbb1270446e35c6073922d5f06cd6cdfc152358aef5732ae07b630b8527e
SHA512: ce6c3f888dcf8911f518da00e56c27dd584c0b6341c78c6a5a103c360df2b630
efe38be025ea29e206a194b923f0c8d0f30d6d739a85de30dbb6b8fe278ba14b
ssdeep: 1536:+OPaHH+KGP0cbh3I8hooDj3uxP8VK4aKW:+Oy+H0cbRI8h/zKPn4aKW
PEiD..: Armadillo v1.71
TrID..: File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x40943a
timedatestamp.....: 0x3926ca23 (Sat May 20 17:23:47 2000)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xdde9 0xe000 6.58 4445b41ce11015aff77cae6554fe7742
.rdata 0xf000 0x24a0 0x3000 3.73 f51a4de45c91ab00278e2bf3f8d428bd
.data 0x12000 0x2a08 0x2000 2.32 01cb39823cb10f826fac809f81ad85b6
.rsrc 0x15000 0x508 0x1000 1.27 2e067ae1c4d76c4cf479302b5e0fb8ae

( 5 imports )
> KERNEL32.dll: GetCurrentProcess, FindCloseChangeNotification, FindNextChangeNotification, lstrcmpA, GetVersionExA, lstrlenA, lstrcpyA, OpenEventA, Sleep, WaitForSingleObject, SetEvent, SetProcessWorkingSetSize, FindFirstFileA, FindNextFileA, SetStdHandle, ReadFile, GetStringTypeW, GetStringTypeA, LCMapStringW, LCMapStringA, IsBadCodePtr, IsBadReadPtr, FlushFileBuffers, SetFilePointer, GetLastError, FindFirstChangeNotificationA, DeleteFileA, GetProcAddress, FindClose, CreateEventA, MultiByteToWideChar, ResetEvent, LoadLibraryA, VirtualFree, HeapAlloc, HeapReAlloc, CloseHandle, HeapSize, SetUnhandledExceptionFilter, IsBadWritePtr, VirtualAlloc, WriteFile, RtlUnwind, GetModuleHandleA, GetStartupInfoA, GetCommandLineA, GetVersion, ExitProcess, HeapFree, RaiseException, TerminateProcess, FreeEnvironmentStringsW, FreeEnvironmentStringsA, HeapCreate, GetCPInfo, GetACP, GetOEMCP, UnhandledExceptionFilter, GetModuleFileNameA, HeapDestroy, WideCharToMultiByte, GetEnvironmentStrings, GetEnvironmentStringsW, SetHandleCount, GetStdHandle, GetFileType
> USER32.dll: DispatchMessageA, TranslateMessage, GetWindowLongA, CreateWindowExA, MsgWaitForMultipleObjects, PeekMessageA, DefWindowProcA, RegisterClassExA, MessageBoxA, PostQuitMessage, SetWindowLongA
> ADVAPI32.dll: RegSetValueExA, RegNotifyChangeKeyValue, RegCreateKeyExA, RegDeleteValueA, RegOpenKeyExA, RegQueryInfoKeyA, RegDeleteKeyA, RegEnumValueA, RegCloseKey
> SHELL32.dll: SHGetPathFromIDListA, SHGetMalloc, SHGetSpecialFolderLocation
> ole32.dll: CoCreateInstance, OleUninitialize, OleInitialize

( 0 exports )
...und für C:\WINDOWS\system32\DRIVERS\16177588.sys

Code:
Antivirus        Version        Last Update        Result
AhnLab-V3        2008.12.19.3        2008.12.19        -
AntiVir        7.9.0.45        2008.12.19        -
Authentium        5.1.0.4        2008.12.18        -
Avast        4.8.1281.0        2008.12.18        -
AVG        8.0.0.199        2008.12.19        -
BitDefender        7.2        2008.12.19        -
CAT-QuickHeal        10.00        2008.12.19        -
ClamAV        0.94.1        2008.12.19        -
Comodo        781        2008.12.19        -
DrWeb        4.44.0.09170        2008.12.19        -
eSafe        7.0.17.0        2008.12.18        -
eTrust-Vet        31.6.6268        2008.12.18        -
Ewido        4.0        2008.12.19        -
F-Prot        4.4.4.56        2008.12.18        -
F-Secure        8.0.14332.0        2008.12.19        -
Fortinet        3.117.0.0        2008.12.19        -
GData        19        2008.12.19        -
Ikarus        T3.1.1.45.0        2008.12.19        -
K7AntiVirus        7.10.557        2008.12.18        -
Kaspersky        7.0.0.125        2008.12.19        -
McAfee        5468        2008.12.18        -
McAfee+Artemis        5468        2008.12.18        -
Microsoft        1.4205        2008.12.19        -
NOD32        3705        2008.12.19        -
Norman        5.80.02        2008.12.18        -
Panda        9.0.0.4        2008.12.19        -
PCTools        4.4.2.0        2008.12.19        -
Prevx1        V2        2008.12.19        -
Rising        21.08.42.00        2008.12.19        -
SecureWeb-Gateway        6.7.6        2008.12.19        -
Sophos        4.37.0        2008.12.19        -
Sunbelt        3.2.1801.2        2008.12.11        -
Symantec        10        2008.12.19        -
TheHacker        6.3.1.4.191        2008.12.17        -
TrendMicro        8.700.0.1004        2008.12.19        -
VBA32        3.12.8.10        2008.12.18        -
ViRobot        2008.12.19.1527        2008.12.19        -
VirusBuster        4.5.11.0        2008.12.18        -
Additional information
File size: 148496 bytes
MD5...: 0aa3ad071827118fcc8f37f7a6ab7aa1
SHA1..: 59784c49ffe530931010070c8843366f9d7fa6f0
SHA256: 3e893bcf9e3ec8fa44c8ef0cf7c2d269212651d65c16b30bd953cc3a54f3b2aa
SHA512: b56442c4271033f9547727ac097fc903f0bd51c062f415726aeee3e6abde24e1
ec127cb548086d5429ff4dc4e78c322b2594bb4f29f817338299f6c9c23bbc25
ssdeep: 3072:xoZsjyhxlNCet3MATPO1jUFLVFnRkPjcow9gT7wNwSk7Fa/4NJ:xnjyhx8A
d6jcpgTsW/KqJ
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x33010
timedatestamp.....: 0x4873470a (Tue Jul 08 10:52:58 2008)
machinetype.......: 0x14c (I386)

( 8 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1a848 0x1aa00 6.38 ca8bbffb8c1aac75560de3ffede16f38
NONPAGED 0x1c000 0x25 0x200 0.30 76fbfaa1c4997eccce3ca016c3b1345b
.rdata 0x1d000 0x850 0xa00 4.25 6ffc26ac817e2ae1a1cf5ce42adc9f0b
.data 0x1e000 0x1b00 0x600 6.42 2680643c152bf562cae4ab5d1ed2070c
PAGE 0x20000 0x2cdc 0x2e00 6.28 7516763c152ec5b6c5df87c555fadbb5
INIT 0x23000 0x1b88 0x1c00 5.96 4459dca4b85a564cb98f26cfbff36fbe
.rsrc 0x25000 0x400 0x400 3.36 09f200edb8e02e6fa4ab2f6bc27ad921
.reloc 0x26000 0x1b6e 0x1c00 6.47 5d73a4e2a3be56c2448dbd9511deefa3

( 3 imports )
> ntoskrnl.exe: IoAllocateWorkItem, RtlDeleteElementGenericTableAvl, RtlGetElementGenericTableAvl, FsRtlIsNameInExpression, RtlInsertElementGenericTableAvl, InitSafeBootMode, InterlockedPopEntrySList, InterlockedPushEntrySList, ExInitializeNPagedLookasideList, ExDeleteNPagedLookasideList, SeTokenType, SeCreateClientSecurity, SeImpersonateClientEx, IoVerifyVolume, IoDeviceObjectType, IoBuildSynchronousFsdRequest, IoDeleteDevice, IoDeleteSymbolicLink, IoUnregisterShutdownNotification, MmIsAddressValid, IoFreeMdl, MmUnlockPages, MmProbeAndLockPages, IoAllocateMdl, IoRegisterShutdownNotification, IoCreateSymbolicLink, IoCreateDevice, RtlAppendUnicodeToString, KeDelayExecutionThread, KeQuerySystemTime, strncmp, IoGetCurrentProcess, ExGetPreviousMode, SeReleaseSubjectContext, IoQueueWorkItem, SeCaptureSubjectContext, PsDereferenceImpersonationToken, RtlCopySid, RtlLengthSid, SeQueryInformationToken, PsReferencePrimaryToken, PsReferenceImpersonationToken, PsIsThreadTerminating, IoThreadToProcess, RtlInitializeGenericTableAvl, READ_REGISTER_UCHAR, ProbeForRead, RtlLookupElementGenericTableAvl, ObQueryNameString, CmUnRegisterCallback, MmUserProbeAddress, CmRegisterCallback, ZwEnumerateValueKey, ZwDeleteValueKey, ZwQueryKey, wcsrchr, NtBuildNumber, KeClearEvent, ExInitializePagedLookasideList, ExDeletePagedLookasideList, PsLookupProcessByProcessId, RtlCopyUnicodeString, RtlNumberGenericTableElementsAvl, RtlEnumerateGenericTableAvl, PsSetLoadImageNotifyRoutine, PsSetCreateThreadNotifyRoutine, PsSetCreateProcessNotifyRoutine, PsRemoveCreateThreadNotifyRoutine, PsRemoveLoadImageNotifyRoutine, IoFreeWorkItem, IofCompleteRequest, IoWMIRegistrationControl, MmGetSystemRoutineAddress, RtlCompareMemory, IoWMIWriteEvent, ZwQueryInformationProcess, KeStackAttachProcess, _wcsicmp, KeUnstackDetachProcess, ZwOpenKey, ZwEnumerateKey, RtlUnicodeStringToInteger, ZwQueryValueKey, ZwCreateKey, RtlIntegerToUnicodeString, ZwSetValueKey, RtlAppendUnicodeStringToString, ZwDeleteKey, DbgBreakPoint, ZwCreateFile, IoGetRelatedDeviceObject, _vsnwprintf, KeQueryInterruptTime, strncpy, RtlInitUnicodeString, RtlCompareUnicodeString, IoFileObjectType, ObReferenceObjectByPointer, _allmul, KeWaitForMultipleObjects, KeSetEvent, ExDeleteResourceLite, ExInitializeResourceLite, memcpy, _except_handler3, ZwOpenProcess, ZwTerminateProcess, PsCreateSystemThread, ObReferenceObjectByHandle, ZwClose, PsTerminateSystemThread, ObfDereferenceObject, KeGetCurrentThread, PsGetCurrentProcessId, PsGetCurrentThreadId, RtlUpcaseUnicodeChar, RtlUpperChar, memset, ExAllocatePoolWithTag, KeInitializeEvent, IoBuildDeviceIoControlRequest, IofCallDriver, KeWaitForSingleObject, SeQueryAuthenticationIdToken, ExFreePoolWithTag
> HAL.dll: KfReleaseSpinLock, KeGetCurrentIrql, ExAcquireFastMutex, ExReleaseFastMutex, KfAcquireSpinLock
> FLTMGR.SYS: FltQueryInformationFile, FltGetRoutineAddress, FltIsDirectory, FltGetFileNameInformation, FltParseFileNameInformation, FltAllocateCallbackData, FltPerformSynchronousIo, FltFreeCallbackData, FltReferenceFileNameInformation, FltReleaseFileNameInformation, FltGetStreamHandleContext, FltGetStreamContext, FltEnumerateVolumeInformation, FltRegisterFilter, FltStartFiltering, FltSetCallbackDataDirty, FltGetDestinationFileNameInformation, FltSetStreamHandleContext, FltCancelFileOpen, FltSetStreamContext, FltReleaseContext, FltGetVolumeProperties, FltAllocateContext, FltQueryVolumeInformation, FltGetVolumeName, FltSetInstanceContext, FltSetVolumeContext, FltUnregisterFilter, FltFsControlFile, FltGetVolumeFromFileObject, FltGetVolumeContext, FltGetInstanceContext, FltCreateFile, FltClose, FltFlushBuffers, FltSetInformationFile, FltWriteFile, FltBuildDefaultSecurityDescriptor, FltCreateCommunicationPort, FltFreeSecurityDescriptor, FltObjectReference, FltAllocatePoolAlignedWithTag, FltReadFile, FltFreePoolAlignedWithTag, FltObjectDereference, FltSendMessage, FltCloseClientPort, FltCloseCommunicationPort, FltReleaseResource, FltAcquireResourceShared, FltAcquireResourceExclusive, FltGetFileNameInformationUnsafe

( 0 exports )
Zitat:
PS: Was ist das eigentlich für ein Ordner?
Zitat:
C:\Dokumente und Einstellungen\***\Desktop\Virus Removal Tool
Das ist ein Ordner auf meinem Desktop, in dem das Kaspersky Virus Removal Tool rumliegt. So wie all die anderen schicken Dinge, die ich im Laufe dieser Odyssee runtergeladen habe, jetzt auf dem Desktop liegen. Wieso fragst du?

undoreal 22.12.2008 19:24
Jo, die logs sehen gut aus. Wenn's keineAuffälligkeiten mehr gibt bist du entlassen.. ;)

knarz 22.12.2008 19:53
*uff*

Vielen Dank für den Support. Ich vermute mal, durchs viele Aufräumen ist alles schon ein bißchen schneller geworden, die komische Fehlermeldung hatte ich jetzt tagelang nicht mehr und dass der sich am Anfang am AVG-Start so lange aufhält, ist wohl nicht zu ändern....

Wirklich ein irrsinnig guter Service hier - vielen Dank nochmal!


Alle Zeitangaben in WEZ +1. Es ist jetzt 18:47 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55