Trojaner-Board
Seite 3 von 5 12 3 45
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   TR/Dropper.Gen gefunden - Wie löschen ?!?!? (https://www.trojaner-board.de/72415-tr-dropper-gen-gefunden-loeschen.html)

Angel21 26.04.2009 12:13
Sauber bist du lange noch nicht.
LOPSD deinstallieren.
  • Downloade Dr.Web CureIt!
  • Speichere es auf deinem Desktop.
  • Entpacke es in einen eigenen Ordner.
  • (Wie man einen neuen Ordner anlegen kann, kannst du diesem Windows Tutorial entnehmen.
    Kostenloses, sehr gutes Zip Programm: Free IZArc
NEW CureIt!
(FREE Dr.Web CureIt!)
  • Lies nun zuerst unsere deutsche Anleitung und drucke sie dir aus.
  • Lass alle Malware in den Quarantaene Ordner verschieben.
  • Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
  • Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.
  • Speichere das Logfile - siehe Anleitung - und poste es.


Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Online-Viren-Scanner
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen

john.doe 26.04.2009 12:56
Scripten mit Combofix
  • Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:
Code:
KILLALL::

RegNull::
[HKEY_USERS\S-1-5-21-448539723-1897051121-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{A9B235CC-DC4B-EA50-7075-BFE3DA999313}*]

RegLockDel::
[HKEY_USERS\S-1-5-21-448539723-1897051121-725345543-1004\Software\Zepter Software\RegLib*e8e5b5fe\CloneDVDmobile/1]

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"=-
[-HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
[-HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"55555:TCP"=-
"55555:UDP"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c242bdb8-1e37-11db-9206-00508d5574ca}]

Folder::
C:\rsit
C:\escan
c:\programme\Gemeinsame Dateien\MicroWorld
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

File::
C:\23990098.$$$
c:\windows\Lic.xxx
c:\windows\system32\eEmpty.exe
c:\windows\system32\T.COM
c:\windows\R.COM
c:\windows\system32\prnet.tmp
c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
c:\windows\system32\perfc007.dat
c:\windows\system32\perfh007.dat
C:\InstallHelper.log
c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008081920080820\index.dat

DirLook::
c:\programme\Symantec
c:\programme\Wiizle_Diizle_Shiizle_v1.3
D:\-=]GAMEZ
Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt
  • Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!
http://users.pandora.be/bluepatchy/m...s/CFScript.gif
  • Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten


Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Der Typ 26.04.2009 16:56
Hi Andreas, hier die neue Log-Datei von ComboFix:

Bin ich jetzt durch, oder ist da noch etwas???

Code:
ComboFix 09-04-25.A3 - CoolTom 26.04.2009 17:43.2 - NTFSx86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1023.573 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\CoolTom\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\CoolTom\Desktop\cfscript.txt
AV: AntiVir Desktop *On-access scanning disabled* (Updated)
AV: AntiVir PersonalEdition Classic Virenschutz *On-access scanning enabled* (Outdated)
AV: AntiVir PersonalEdition Classic Virenschutz *On-access scanning enabled* (Updated)
 * Neuer Wiederherstellungspunkt wurde erstellt

FILE ::
C:\23990098.$$$
c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
C:\InstallHelper.log
c:\windows\Lic.xxx
c:\windows\R.COM
c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008081920080820\index.dat
c:\windows\system32\eEmpty.exe
c:\windows\system32\perfc007.dat
c:\windows\system32\perfh007.dat
c:\windows\system32\prnet.tmp
c:\windows\system32\T.COM
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\23990098.$$$
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Logs\Update downloads.log
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\ProcCache.sbc
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\Netsys.zip
c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
C:\escan
c:\escan\bases_x\eScan_neu.txt
c:\escan\bases_x\MWAV.LOG
C:\InstallHelper.log
c:\programme\Gemeinsame Dateien\MicroWorld
C:\rsit
c:\rsit\info.txt
c:\rsit\log.txt
c:\windows\Lic.xxx
c:\windows\R.COM
c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008081920080820\index.dat
c:\windows\system32\eEmpty.exe
c:\windows\system32\perfc007.dat
c:\windows\system32\perfh007.dat
c:\windows\system32\T.COM

.
(((((((((((((((((((((((  Dateien erstellt von 2009-05-26 bis 2009-4-26  ))))))))))))))))))))))))))))))
.

2009-04-26 11:28 . 2009-04-26 11:28        --------        d-----w        c:\dokumente und einstellungen\CoolTom\DoctorWeb
2009-04-26 10:40 . 2009-04-26 10:42        --------        d-----w        C:\Lop SD
2009-04-26 08:26 . 2009-04-26 08:28        --------        d-----w        c:\programme\ICQ6.5
2009-04-25 18:13 . 2009-04-25 18:13        --------        d-----w        c:\windows\system32\NtmsData
2009-04-25 11:01 . 2009-04-25 11:01        548864        ----a-w        c:\windows\system32\msvcp80.dll
2009-04-25 11:01 . 2005-09-22 21:22        522        ----a-w        c:\windows\system32\Microsoft.VC80.CRT.manifest
2009-04-25 11:01 . 2009-04-25 11:01        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MicroWorld
2009-04-24 18:32 . 2007-08-14 18:57        5632        ----a-w        c:\windows\system32\udcpm.dll
2009-04-24 18:32 . 2009-04-24 18:49        --------        d-----r        C:\UDC Output Files
2009-04-24 18:32 . 2009-04-24 18:33        --------        d-----w        c:\programme\Universal Document Converter
2009-04-20 17:20 . 2009-04-20 17:20        --------        d-----w        c:\programme\WBFS
2009-04-20 16:29 . 2009-01-09 19:19        1089883        -c----w        c:\windows\system32\dllcache\ntprint.cat
2009-04-19 14:22 . 2009-04-20 17:43        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\WBFSManager
2009-04-19 14:15 . 2009-04-19 14:18        --------        d-----w        c:\windows\SxsCaPendDel
2009-04-16 14:40 . 2009-02-06 10:10        227840        -c----w        c:\windows\system32\dllcache\wmiprvse.exe
2009-04-16 14:40 . 2009-03-06 14:19        286720        -c----w        c:\windows\system32\dllcache\pdh.dll
2009-04-16 14:40 . 2009-02-09 11:21        111104        -c----w        c:\windows\system32\dllcache\services.exe
2009-04-16 14:40 . 2009-02-09 10:51        401408        -c----w        c:\windows\system32\dllcache\rpcss.dll
2009-04-16 14:40 . 2009-02-09 10:51        678400        -c----w        c:\windows\system32\dllcache\advapi32.dll
2009-04-16 14:40 . 2009-02-09 10:51        473600        -c----w        c:\windows\system32\dllcache\fastprox.dll
2009-04-16 14:40 . 2009-02-09 10:51        736768        -c----w        c:\windows\system32\dllcache\lsasrv.dll
2009-04-16 14:40 . 2009-02-09 10:51        740352        -c----w        c:\windows\system32\dllcache\ntdll.dll
2009-04-16 14:40 . 2009-02-09 10:51        453120        -c----w        c:\windows\system32\dllcache\wmiprvsd.dll
2009-04-16 14:40 . 2009-03-27 06:49        1203922        -c----w        c:\windows\system32\dllcache\sysmain.sdb
2009-04-16 14:40 . 2008-04-21 21:13        217600        -c----w        c:\windows\system32\dllcache\wordpad.exe
2009-04-13 15:13 . 2009-04-13 15:13        --------        d-----w        c:\dokumente und einstellungen\All Users\eBay
2009-04-08 15:52 . 2009-04-08 15:52        1874        ------r        c:\windows\RouterControl_Uninstall.in
2009-04-08 15:52 . 2008-11-18 08:50        330344        ----a-w        c:\windows\RCoUn0.exe
2009-03-31 15:17 . 2009-03-31 15:17        --------        d-----w        c:\programme\Symantec

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-26 10:42 . 2009-04-26 10:40        14072        ----a-w        C:\lopR.txt
2009-04-26 10:16 . 2008-01-04 10:50        --------        d-----w        c:\programme\FreeCommander
2009-04-26 08:42 . 2007-04-22 09:11        --------        d-----w        c:\programme\CCleaner
2009-04-26 08:28 . 2005-10-28 13:39        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\ICQ
2009-04-26 08:27 . 2005-10-28 14:37        --------        d--h--w        c:\programme\InstallShield Installation Information
2009-04-26 08:24 . 2005-12-25 14:18        --------        d-----w        c:\programme\Gemeinsame Dateien\Adobe
2009-04-26 07:40 . 2006-10-14 14:44        --------        d-----w        c:\programme\Java
2009-04-26 07:38 . 2005-10-28 13:39        --------        d-----w        c:\programme\ICQ
2009-04-25 14:18 . 2006-09-02 15:19        --------        d-----w        c:\programme\Avira
2009-04-24 16:21 . 2007-06-09 19:56        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Rominator Data
2009-04-22 21:12 . 2008-10-03 17:05        246472        ----a-w        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2009-04-20 17:53 . 2008-03-17 13:50        --------        d-----w        c:\programme\Wiizle_Diizle_Shiizle_v1.3
2009-04-20 17:22 . 2007-06-08 13:49        --------        d-----w        c:\programme\R4 Commander V2.0
2009-04-01 15:18 . 2008-03-15 21:46        --------        d-----w        c:\programme\jdownloader
2009-03-24 17:04 . 2006-10-20 16:18        --------        d-----w        c:\programme\Gemeinsame Dateien\MAGIX Shared
2009-03-24 16:47 . 2006-10-20 16:34        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\MAGIX
2009-03-24 16:46 . 2006-10-20 16:23        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MAGIX
2009-03-24 16:25 . 2005-10-28 14:06        --------        d-----w        c:\programme\Winamp
2009-03-20 16:55 . 2007-07-29 18:29        --------        d-----w        c:\programme\MixMeister Fusion + Video
2009-03-19 16:04 . 2009-03-19 16:04        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2009-03-09 03:19 . 2008-12-17 17:49        410984        ----a-w        c:\windows\system32\deploytk.dll
2009-03-06 14:19 . 2004-08-04 12:00        286720        ----a-w        c:\windows\system32\pdh.dll
2009-03-03 00:03 . 2004-08-04 12:00        826368        ----a-w        c:\windows\system32\wininet.dll
2009-02-20 16:49 . 2004-08-04 12:00        78336        ----a-w        c:\windows\system32\ieencode.dll
2009-02-10 17:03 . 2004-08-04 00:50        2068352        ----a-w        c:\windows\system32\ntkrnlpa.exe
2009-02-09 14:04 . 2004-08-04 12:00        1846912        ----a-w        c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2004-08-04 12:00        2191360        ----a-w        c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2004-08-04 12:00        111104        ----a-w        c:\windows\system32\services.exe
2009-02-09 10:51 . 2004-08-04 12:00        736768        ----a-w        c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2004-08-04 12:00        401408        ----a-w        c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2004-08-04 12:00        678400        ----a-w        c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2004-08-04 12:00        740352        ----a-w        c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2004-08-04 12:00        35328        ----a-w        c:\windows\system32\sc.exe
2009-02-03 19:57 . 2004-08-04 12:00        56832        ----a-w        c:\windows\system32\secur32.dll
.

((((((((((((((((((((((((((((((((((((((((((((  Look  )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

---- Directory of c:\programme\Symantec ----

2009-03-31 15:17 . 2005-07-24 00:03        13682        ------w        c:\programme\Symantec\Norton PartitionMagic 8.0\License.txt
2009-03-31 15:17 . 2009-03-31 15:16        615        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PQPB.RTC
2004-05-05 19:48 . 2004-05-05 19:48        1264610        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMagicBt.exe
2004-05-05 19:48 . 2004-05-05 19:48        4055040        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMagic9x.exe
2004-05-05 19:39 . 2004-05-05 19:39        4129792        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMagicNT.exe
2004-05-05 19:23 . 2004-05-05 19:23        61440        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMagic.exe
2004-05-05 16:38 . 2004-05-05 16:38        504320        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PTEDIT32.EXE
2004-04-30 12:59 . 2004-04-30 12:59        7968        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\pm.cnt
2004-04-30 12:59 . 2004-04-30 12:59        1254534        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PM.HLP
2004-04-22 14:29 . 2004-04-22 14:29        33718        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\About.pqg
2004-04-06 14:36 . 2004-04-06 14:36        10587        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\Readme.TXT
2004-04-02 10:26 . 2004-04-02 10:26        156560        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\Splash.pqg
2003-05-22 12:24 . 2003-05-22 12:24        1044480        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\ROBOEX32.DLL
2002-07-30 08:51 . 2002-07-30 08:51        118        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\MASTER.CNT
2001-03-30 12:54 . 2001-03-30 12:54        2829        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMAGICB.PIF
2001-03-30 12:54 . 2001-03-30 12:54        535        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\af.cmd
2001-03-30 12:54 . 2001-03-30 12:54        87        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMREGIST.URL
2001-03-30 12:38 . 2001-03-30 12:38        49152        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\INETWH32.dll
2001-03-30 12:38 . 2001-03-30 12:38        53248        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PQLAUNCH.EXE
2001-03-30 12:38 . 2001-03-30 12:38        892728        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\UNICODE.FNT
2001-03-30 12:38 . 2001-03-30 12:38        51        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\WEBPAGE.URL
2001-03-14 01:44 . 2001-03-14 01:44        19775        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PQVXD.vxd

---- Directory of c:\programme\Wiizle_Diizle_Shiizle_v1.3 ----

2008-12-27 11:06 . 2007-11-21 09:14        839        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\Nederlands.lng
2008-12-27 11:06 . 2007-11-16 07:13        1075        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\PortuguesBR.lng
2008-12-27 11:06 . 2007-11-27 18:25        912        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\Swedish.lng
2008-12-27 11:06 . 2008-10-28 12:39        1005        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\francais.lng
2008-12-27 11:06 . 2007-11-18 10:52        929        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\ita.lng
2008-03-17 13:50 . 2007-11-20 17:54        1023        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\türkce.lng
2008-03-17 13:50 . 2007-09-29 10:05        855        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\english.lng
2008-03-17 13:50 . 2007-11-18 12:14        1001        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\readme.txt
2008-03-17 13:50 . 2007-09-30 20:26        1051        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\spanish.lng
2008-03-17 13:50 . 2007-09-18 15:18        807        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\castellano.lng
2008-03-17 13:50 . 2007-11-20 17:52        1035        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\deutsch.lng
2008-03-17 13:50 . 2008-04-24 18:49        962560        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Wiizle Diizle Shiizle.exe
2008-03-17 13:50 . 2008-04-24 18:43        4430        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\WDS_TOOL.nfo
2008-03-17 13:50 . 2009-04-20 17:53        589824        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\GameDB.mdb
2008-03-17 13:50 . 2007-09-27 16:43        2162688        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\FullPatch.wds
2008-03-17 13:50 . 2008-12-27 11:09        24        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\config.ini

---- Directory of D:\-=]GAMEZ ----



(((((((((((((((((((((((((((((  SnapShot@2009-04-26_10.06.07  )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-04-26 15:47 . 2009-04-26 15:47        16384              c:\windows\temp\Perflib_Perfdata_230.dat
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" [2005-12-16 94208]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CloneCDTray"="c:\programme\SlySoft\CloneCD\CloneCDTray.exe" [2005-05-19 57344]
"LogitechCommunicationsManager"="c:\programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" [2007-02-07 488984]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-25 13680640]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-12-25 86016]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"CTHelper"="CTHELPER.EXE" - c:\windows\system32\CTHELPER.EXE [2003-10-06 24576]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\FlashFXP\\flashfxp.exe"=
"c:\\Programme\\Nero\\Nero 7\\Nero ShowTime\\ShowTime.exe"=
"c:\\Programme\\BPFTP Server\\bpftpserver.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\WINDOWS\\system32\\ftp.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Programme\\Java\\jre1.6.0_05\\launch4j-tmp\\JDownloader.exe"=
"c:\\Programme\\Java\\jre1.6.0_07\\launch4j-tmp\\JDownloader.exe"=
"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"113:TCP"= 113:TCP:Ident
"4711:TCP"= 4711:TCP:Serv-u
"4711:UDP"= 4711:UDP:Serv-U

R3 MIINPazX;MIINPazX NDIS Protocol Driver;c:\progra~1\GEMEIN~1\MARMIK~1\MInfraIS\MIINPazX.SYS [2006-05-22 17152]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [2009-03-05 108289]
S2 gearsec;gearsec;c:\windows\system32\gearsec.exe [2003-12-02 53248]

.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
TCP: {58AD885B-011B-45C2-93A2-CC9C2FB66DD3} = 192.168.2.1
FF - ProfilePath - c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Mozilla\Firefox\Profiles\h8121n9a.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - component: c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Mozilla\Firefox\Profiles\h8121n9a.default\extensions\{463F6CA5-EE3C-4be1-B7E6-7FEE11953374}\platform\WINNT\components\FoxyTunes.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-26 17:48
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  CTHelper = CTHELPER.EXE?

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
"ImagePath"="D:\-=]GAMEZ
[=-\Common\Database\bin\fbserver.exe"


[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\FirebirdServerMAGIXInstance]
"ImagePath"="D:\-=]GAMEZ
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-448539723-1897051121-725345543-1004\Software\Zepter Software\RegLib*e8e5b5fe\CloneDVDmobile/1]
"1"=dword:444500f7
"2"=dword:44465c57
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'explorer.exe'(4744)
c:\programme\Gemeinsame Dateien\Logishrd\LVMVFM\LVPrcInj.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\system32\nvsvc32.exe
c:\windows\system32\StkASv2K.exe
c:\windows\system32\wdfmgr.exe
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-26 17:51 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-26 15:51
ComboFix2.txt  2009-04-26 10:09

Vor Suchlauf: 1.542.000.640 Bytes frei
Nach Suchlauf: 1.528.229.888 Bytes frei

250        --- E O F ---        2009-04-20 21:34

john.doe 26.04.2009 17:12
Gleich nocheinmal.

Scripten mit Combofix
  • Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:
Code:
KILLALL::

RegNull::
[HKEY_USERS\S-1-5-21-448539723-1897051121-725345543-1004\Software\Zepter Software\RegLib*e8e5b5fe\CloneDVDmobile/1]

Folder::
C:\Lop SD

File::
C:\lopR.txt
Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt
  • Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!
http://users.pandora.be/bluepatchy/m...s/CFScript.gif
  • Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten


Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Der Typ 26.04.2009 18:04
Hier der nächste log:

Code:
ComboFix 09-04-25.A3 - CoolTom 26.04.2009 18:55.3 - NTFSx86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1023.646 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\CoolTom\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\CoolTom\Desktop\cfscript.txt
AV: AntiVir Desktop *On-access scanning disabled* (Updated)
AV: AntiVir PersonalEdition Classic Virenschutz *On-access scanning enabled* (Outdated)
AV: AntiVir PersonalEdition Classic Virenschutz *On-access scanning enabled* (Updated)
 * Neuer Wiederherstellungspunkt wurde erstellt

FILE ::
C:\lopR.txt
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Lop SD
c:\lop sd\App-Prog.lsd
c:\lop sd\AuDoss.lsd
c:\lop sd\AutrInf.cmd
c:\lop sd\AWF.cmd
c:\lop sd\Back.cmd
c:\lop sd\Boo.reg
c:\lop sd\BooFix.cmd
c:\lop sd\catchme.exe
c:\lop sd\catchme.log
c:\lop sd\Changelog Lop SD.txt
c:\lop sd\Crack.txt
c:\lop sd\DirectFix.cmd
c:\lop sd\Discl_en.vbs
c:\lop sd\Discl_fr.vbs
c:\lop sd\Discl_ne.vbs
c:\lop sd\Discl_sp.vbs
c:\lop sd\Discl_su.vbs
c:\lop sd\Doss.lsd
c:\lop sd\Icon_Lop.ico
c:\lop sd\iNv.exe
c:\lop sd\KILL.cmd
c:\lop sd\Langues.cmd
c:\lop sd\LopR_1.txt
c:\lop sd\LopScript.cmd
c:\lop sd\LopSD.cmd
c:\lop sd\lsTasks.exe
c:\lop sd\Orph.egd
c:\lop sd\OsV.exe
c:\lop sd\paths.bat
c:\lop sd\Proc.txt
c:\lop sd\pv.exe
c:\lop sd\RegLop.reg
c:\lop sd\Rkeys.txt
c:\lop sd\RKit.lsd
c:\lop sd\RoGUeS.lsd
c:\lop sd\RunTool.txt
c:\lop sd\S_LopV.cmd
c:\lop sd\S_LopX.cmd
c:\lop sd\sed.exe
c:\lop sd\setpath.exe
c:\lop sd\task.txt
c:\lop sd\Uninstal.exe
c:\lop sd\WhL.lsd
C:\lopR.txt

.
(((((((((((((((((((((((  Dateien erstellt von 2009-05-26 bis 2009-4-26  ))))))))))))))))))))))))))))))
.

2009-04-26 11:28 . 2009-04-26 11:28        --------        d-----w        c:\dokumente und einstellungen\CoolTom\DoctorWeb
2009-04-26 08:26 . 2009-04-26 08:28        --------        d-----w        c:\programme\ICQ6.5
2009-04-25 18:13 . 2009-04-25 18:13        --------        d-----w        c:\windows\system32\NtmsData
2009-04-25 11:01 . 2009-04-25 11:01        548864        ----a-w        c:\windows\system32\msvcp80.dll
2009-04-25 11:01 . 2005-09-22 21:22        522        ----a-w        c:\windows\system32\Microsoft.VC80.CRT.manifest
2009-04-25 11:01 . 2009-04-25 11:01        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MicroWorld
2009-04-24 18:32 . 2007-08-14 18:57        5632        ----a-w        c:\windows\system32\udcpm.dll
2009-04-24 18:32 . 2009-04-24 18:49        --------        d-----r        C:\UDC Output Files
2009-04-24 18:32 . 2009-04-24 18:33        --------        d-----w        c:\programme\Universal Document Converter
2009-04-20 17:20 . 2009-04-20 17:20        --------        d-----w        c:\programme\WBFS
2009-04-20 16:29 . 2009-01-09 19:19        1089883        -c----w        c:\windows\system32\dllcache\ntprint.cat
2009-04-19 14:22 . 2009-04-20 17:43        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\WBFSManager
2009-04-19 14:15 . 2009-04-19 14:18        --------        d-----w        c:\windows\SxsCaPendDel
2009-04-16 14:40 . 2009-02-06 10:10        227840        -c----w        c:\windows\system32\dllcache\wmiprvse.exe
2009-04-16 14:40 . 2009-03-06 14:19        286720        -c----w        c:\windows\system32\dllcache\pdh.dll
2009-04-16 14:40 . 2009-02-09 11:21        111104        -c----w        c:\windows\system32\dllcache\services.exe
2009-04-16 14:40 . 2009-02-09 10:51        401408        -c----w        c:\windows\system32\dllcache\rpcss.dll
2009-04-16 14:40 . 2009-02-09 10:51        678400        -c----w        c:\windows\system32\dllcache\advapi32.dll
2009-04-16 14:40 . 2009-02-09 10:51        473600        -c----w        c:\windows\system32\dllcache\fastprox.dll
2009-04-16 14:40 . 2009-02-09 10:51        736768        -c----w        c:\windows\system32\dllcache\lsasrv.dll
2009-04-16 14:40 . 2009-02-09 10:51        740352        -c----w        c:\windows\system32\dllcache\ntdll.dll
2009-04-16 14:40 . 2009-02-09 10:51        453120        -c----w        c:\windows\system32\dllcache\wmiprvsd.dll
2009-04-16 14:40 . 2009-03-27 06:49        1203922        -c----w        c:\windows\system32\dllcache\sysmain.sdb
2009-04-16 14:40 . 2008-04-21 21:13        217600        -c----w        c:\windows\system32\dllcache\wordpad.exe
2009-04-13 15:13 . 2009-04-13 15:13        --------        d-----w        c:\dokumente und einstellungen\All Users\eBay
2009-04-08 15:52 . 2009-04-08 15:52        1874        ------r        c:\windows\RouterControl_Uninstall.in
2009-04-08 15:52 . 2008-11-18 08:50        330344        ----a-w        c:\windows\RCoUn0.exe
2009-03-31 15:17 . 2009-03-31 15:17        --------        d-----w        c:\programme\Symantec

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-26 16:10 . 2008-01-04 10:50        --------        d-----w        c:\programme\FreeCommander
2009-04-26 08:42 . 2007-04-22 09:11        --------        d-----w        c:\programme\CCleaner
2009-04-26 08:28 . 2005-10-28 13:39        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\ICQ
2009-04-26 08:27 . 2005-10-28 14:37        --------        d--h--w        c:\programme\InstallShield Installation Information
2009-04-26 08:24 . 2005-12-25 14:18        --------        d-----w        c:\programme\Gemeinsame Dateien\Adobe
2009-04-26 07:40 . 2006-10-14 14:44        --------        d-----w        c:\programme\Java
2009-04-26 07:38 . 2005-10-28 13:39        --------        d-----w        c:\programme\ICQ
2009-04-25 14:18 . 2006-09-02 15:19        --------        d-----w        c:\programme\Avira
2009-04-24 16:21 . 2007-06-09 19:56        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Rominator Data
2009-04-22 21:12 . 2008-10-03 17:05        246472        ----a-w        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2009-04-20 17:53 . 2008-03-17 13:50        --------        d-----w        c:\programme\Wiizle_Diizle_Shiizle_v1.3
2009-04-20 17:22 . 2007-06-08 13:49        --------        d-----w        c:\programme\R4 Commander V2.0
2009-04-01 15:18 . 2008-03-15 21:46        --------        d-----w        c:\programme\jdownloader
2009-03-24 17:04 . 2006-10-20 16:18        --------        d-----w        c:\programme\Gemeinsame Dateien\MAGIX Shared
2009-03-24 16:47 . 2006-10-20 16:34        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\MAGIX
2009-03-24 16:46 . 2006-10-20 16:23        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MAGIX
2009-03-24 16:25 . 2005-10-28 14:06        --------        d-----w        c:\programme\Winamp
2009-03-20 16:55 . 2007-07-29 18:29        --------        d-----w        c:\programme\MixMeister Fusion + Video
2009-03-19 16:04 . 2009-03-19 16:04        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2009-03-09 03:19 . 2008-12-17 17:49        410984        ----a-w        c:\windows\system32\deploytk.dll
2009-03-06 14:19 . 2004-08-04 12:00        286720        ----a-w        c:\windows\system32\pdh.dll
2009-03-03 00:03 . 2004-08-04 12:00        826368        ----a-w        c:\windows\system32\wininet.dll
2009-02-20 16:49 . 2004-08-04 12:00        78336        ----a-w        c:\windows\system32\ieencode.dll
2009-02-10 17:03 . 2004-08-04 00:50        2068352        ----a-w        c:\windows\system32\ntkrnlpa.exe
2009-02-09 14:04 . 2004-08-04 12:00        1846912        ----a-w        c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2004-08-04 12:00        2191360        ----a-w        c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2004-08-04 12:00        111104        ----a-w        c:\windows\system32\services.exe
2009-02-09 10:51 . 2004-08-04 12:00        736768        ----a-w        c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2004-08-04 12:00        401408        ----a-w        c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2004-08-04 12:00        678400        ----a-w        c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2004-08-04 12:00        740352        ----a-w        c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2004-08-04 12:00        35328        ----a-w        c:\windows\system32\sc.exe
2009-02-03 19:57 . 2004-08-04 12:00        56832        ----a-w        c:\windows\system32\secur32.dll
.

(((((((((((((((((((((((((((((  SnapShot@2009-04-26_10.06.07  )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-04-26 16:57 . 2009-04-26 16:57        16384              c:\windows\temp\Perflib_Perfdata_2c8.dat
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" [2005-12-16 94208]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CloneCDTray"="c:\programme\SlySoft\CloneCD\CloneCDTray.exe" [2005-05-19 57344]
"LogitechCommunicationsManager"="c:\programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" [2007-02-07 488984]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-25 13680640]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-12-25 86016]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"CTHelper"="CTHELPER.EXE" - c:\windows\system32\CTHELPER.EXE [2003-10-06 24576]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\FlashFXP\\flashfxp.exe"=
"c:\\Programme\\Nero\\Nero 7\\Nero ShowTime\\ShowTime.exe"=
"c:\\Programme\\BPFTP Server\\bpftpserver.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\WINDOWS\\system32\\ftp.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Programme\\Java\\jre1.6.0_05\\launch4j-tmp\\JDownloader.exe"=
"c:\\Programme\\Java\\jre1.6.0_07\\launch4j-tmp\\JDownloader.exe"=
"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"113:TCP"= 113:TCP:Ident
"4711:TCP"= 4711:TCP:Serv-u
"4711:UDP"= 4711:UDP:Serv-U

R3 MIINPazX;MIINPazX NDIS Protocol Driver;c:\progra~1\GEMEIN~1\MARMIK~1\MInfraIS\MIINPazX.SYS [2006-05-22 17152]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [2009-03-05 108289]
S2 gearsec;gearsec;c:\windows\system32\gearsec.exe [2003-12-02 53248]

.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
TCP: {58AD885B-011B-45C2-93A2-CC9C2FB66DD3} = 192.168.2.1
FF - ProfilePath - c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Mozilla\Firefox\Profiles\h8121n9a.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - component: c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Mozilla\Firefox\Profiles\h8121n9a.default\extensions\{463F6CA5-EE3C-4be1-B7E6-7FEE11953374}\platform\WINNT\components\FoxyTunes.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-26 18:57
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  CTHelper = CTHELPER.EXE?

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
"ImagePath"="D:\-=]GAMEZ
[=-\Common\Database\bin\fbserver.exe"


[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\FirebirdServerMAGIXInstance]
"ImagePath"="D:\-=]GAMEZ
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'explorer.exe'(4412)
c:\programme\Gemeinsame Dateien\Logishrd\LVMVFM\LVPrcInj.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\system32\nvsvc32.exe
c:\windows\system32\StkASv2K.exe
c:\windows\system32\wdfmgr.exe
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-26 19:00 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-26 17:00
ComboFix2.txt  2009-04-26 15:51
ComboFix3.txt  2009-04-26 10:09

Vor Suchlauf: 1.519.411.200 Bytes frei
Nach Suchlauf: 1.504.645.120 Bytes frei

216        --- E O F ---        2009-04-20 21:34

john.doe 26.04.2009 18:13
Start => Ausführen => combofix /u => OK

*wieder raushüpfe*

Cobra, übernehmen sie.

ciao, andreas

Angel21 26.04.2009 18:20
Es fehlen noch die Logs von Cureit und Kaspersky, bitte poste die hier rein.
Falls Du die Scans noch nicht gemacht haben solltest, dann hole Diese nun nach.

Der Typ 26.04.2009 18:20
Zitat:
Zitat von john.doe (Beitrag 432006)
Start => Ausführen => combofix /u => OK

*wieder raushüpfe*

Cobra, übernehmen sie.

ciao, andreas

Hi Andreas, habe Combofix eben nach Deiner Anleitung deinstallieren lassen ;)
Heisst das nun mein Rechner ist clean? Wenn ja, vielen Dank für Deine Hilfe :dankeschoen: (Und natürlich auch an Angel21 :party: ) Kannst Du den Thread dann auch "Erledigt" stellen, oder kann ich das irgendwie machen? Wirklich eine tolle Community hier!

Schönen Abend noch :alc:

Angel21 26.04.2009 18:21
Nein, nein,. bitte noch DR Web Cureit ausführen und den Kaspersky Online Scanner.

Der Typ 26.04.2009 18:46
Zitat:
Zitat von Angel21 (Beitrag 432009)
Nein, nein,. bitte noch DR Web Cureit ausführen und den Kaspersky Online Scanner.

Okay, das kann ich dann aber erst morgen machen, da DR Web Cureit alleine über 2 Stunden scannt. Melde mich dann morgen wieder.

Angel21 26.04.2009 18:50
Okay, mache das :)

Der Typ 27.04.2009 18:36
So, wieder da :)

DR Web Cureit funzt bei mir nicht so richtig kurz vorm Ende des Scan's hat sich das Programm mit einer Fehlermeldung selber geschlossen. Hier die Log - Datei von dem Kaspersky - Onlinescan:

Code:
-------------------------------------------------------------------------------
 PROTOKOLL FÜR KASPERSKY ONLINE SCANNER
 Montag, 27. April 2009 19:30:51
 Betriebssystem: Microsoft Windows XP Home Edition, Service Pack 3 (Build 2600)
 Version von Kaspersky Online Scanner: 5.0.98.2
 Letztes Update der Antiviren-Datenbanken: 27/04/2009
 Anzahl der Einträge in den Antiviren-Datenbanken: 2083498
-------------------------------------------------------------------------------

Scan-Einstellungen:
        Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Erweiterte
        Archive untersuchen: ja
        Mail-Datenbanken untersuchen: ja

Untersuchungsobjekt - Arbeitsplatz:
        A:\
        C:\
        D:\
        E:\
        F:\
        G:\
        H:\
        I:\
        K:\

Untersuchungsergebnisse:
        Untersuchte Objekte insgesamt: 117430
        Viren gefunden: 4
        Infizierte Objekte gefunden: 6
        Verdächtige Objekte gefunden: 2
        Untersuchungszeit: 02:10:50

Name des infizierten Objekts / Virusname / Letzte Aktion
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\avguard.tmp        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Cookies\index.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Identities\{5A717F3F-2A6C-4C65-B965-402C44FFDEB0}\Microsoft\Outlook Express\Folders.dbx        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Identities\{5A717F3F-2A6C-4C65-B965-402C44FFDEB0}\Microsoft\Outlook Express\Offline.dbx        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Identities\{5A717F3F-2A6C-4C65-B965-402C44FFDEB0}\Microsoft\Outlook Express\Pop3uidl.dbx        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Identities\{5A717F3F-2A6C-4C65-B965-402C44FFDEB0}\Microsoft\Outlook Express\Posteingang.dbx        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Verlauf\History.IE5\index.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\ntuser.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\CoolTom\ntuser.dat.LOG        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT        Das Objekt ist gesperrt        übersprungen
C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG        Das Objekt ist gesperrt        übersprungen
C:\Programme\mIRC\mirc.exe        Infizierte Objekte: not-a-virus:Client-IRC.Win32.mIRC.614        übersprungen
C:\Programme\PantsOff\PantsOffHk.dll        Infizierte Objekte: not-a-virus:PSWTool.Win32.Finder.d        übersprungen
C:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen
C:\System Volume Information\_restore{60FC371A-7D3F-4589-8DF7-8C8F4EA35439}\RP1244\change.log        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\Debug\PASSWD.LOG        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\SchedLgU.Txt        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\Sti_Trace.log        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\CatRoot2\edb.log        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\CatRoot2\tmp.edb        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\cmdow.exe        Infizierte Objekte: not-a-virus:RiskTool.Win32.HideWindows        übersprungen
C:\WINDOWS\system32\config\AppEvent.Evt        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\default        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\default.LOG        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\Internet.evt        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\SAM        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\SAM.LOG        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\SecEvent.Evt        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\SECURITY        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\SECURITY.LOG        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\software        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\software.LOG        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\SysEvent.Evt        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\system        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\config\system.LOG        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\h323log.txt        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\temp\Perflib_Perfdata_b0.dat        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\wiadebug.log        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\wiaservc.log        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\WindowsUpdate.log        Das Objekt ist gesperrt        übersprungen
C:\WINDOWS\{00000001-00000000-00000009-00001102-00000004-00531102}.CDF        Das Objekt ist gesperrt        übersprungen
D:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen
E:\6.=----=oOo=============  MP3´z©  ============oOo=-----=\VA-House_Arrest_Vol.2-2CD-2006\000-va-house_arrest_vol.2-2cd-2006.m3u        Verdächtige Objekte: Type_TrojanBAT        übersprungen
E:\6.=----=oOo=============  MP3´z©  ============oOo=-----=\VA-House_Arrest_Vol.2-2CD-2006\200-va-house_arrest_vol.2-cd2-2006.m3u        Verdächtige Objekte: Type_TrojanBAT        übersprungen
E:\8.=----=oOo=============    AppZ©  ============oOo=----=\Pants_off!-CTiSO\pantsoff.exe/data0003        Infizierte Objekte: not-a-virus:PSWTool.Win32.Finder.d        übersprungen
E:\8.=----=oOo=============    AppZ©  ============oOo=----=\Pants_off!-CTiSO\pantsoff.exe        Inno: infiziert - 1        übersprungen
E:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen
F:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen
G:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen
G:\[[wichtig]]\mIRC\mirc.exe        Infizierte Objekte: not-a-virus:Client-IRC.Win32.mIRC.614        übersprungen
K:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen

Die Untersuchung wurde abgeschlossen.

Angel21 27.04.2009 18:53
Brauchst du mIRC noch? Wenn nein, dann würde ich es deinstallieren.

diese
Zitat:
C:\WINDOWS\system32\cmdow.exe
Datei mal bei Virustotal.com auswerten lassen.


Und wozu brauchst du das?
Zitat:
C:\Programme\PantsOff\PantsOffHk.dll
Lade die beiden auch bei VT hoch:
Zitat:
C:\Programme\PantsOff\PantsOffHk.dll
Zitat:
G:\[[wichtig]]\mIRC\mirc.exe

Der Typ 27.04.2009 19:09
Ergebnis von Virustotal.com (cmdow.exe):

Code:
Datei cmdow.exe empfangen 2009.04.27 20:04:59 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 23/40 (57.5%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 1.
Geschätzte Startzeit ist zwischen 38 und 54 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:       
       
Antivirus        Version        letzte aktualisierung        Ergebnis
a-squared        4.0.0.101        2009.04.27        Riskware.RiskTool.Win32.HideWindows!A2
AhnLab-V3        5.0.0.2        2009.04.27        -
AntiVir        7.9.0.156        2009.04.27        APPL/HideWindows.31232
Antiy-AVL        2.0.3.1        2009.04.27        RiskTool/Win32.HideWindows
Authentium        5.1.2.4        2009.04.27        W32/HackToolX.JY
Avast        4.8.1335.0        2009.04.27        -
AVG        8.5.0.287        2009.04.27        HideExec.BN
BitDefender        7.2        2009.04.27        -
CAT-QuickHeal        10.00        2009.04.27        (Suspicious) - DNAScan
ClamAV        0.94.1        2009.04.27        -
Comodo        1137        2009.04.27        ApplicUnsaf.Win32.CMDOW.142
DrWeb        4.44.0.09170        2009.04.27        -
eSafe        7.0.17.0        2009.04.27        Win32.SecurityRisk.c
eTrust-Vet        31.6.6478        2009.04.27        -
F-Prot        4.4.4.56        2009.04.27        W32/HackToolX.JY
F-Secure        8.0.14470.0        2009.04.27        RiskTool.Win32.HideWindows
Fortinet        3.117.0.0        2009.04.27        HackerTool/HideWindows
GData        19        2009.04.27        -
Ikarus        T3.1.1.49.0        2009.04.27        -
K7AntiVirus        7.10.717        2009.04.27        Non-Virus:RiskTool.Win32.HideWindows
Kaspersky        7.0.0.125        2009.04.27        not-a-virus:RiskTool.Win32.HideWindows
McAfee        5598        2009.04.27        potentially unwanted program Tool-HideWindow
McAfee+Artemis        5598        2009.04.27        potentially unwanted program Tool-HideWindow
McAfee-GW-Edition        6.7.6        2009.04.27        Riskware.HideWindows.31232
Microsoft        1.4602        2009.04.27        -
NOD32        4037        2009.04.27        Win32/CMDOW.142
Norman        6.00.06        2009.04.27        -
nProtect        2009.1.8.0        2009.04.27        -
Panda        10.0.0.14        2009.04.27        -
PCTools        4.4.2.0        2009.04.27        HackTool.HideWindows
Prevx1        3.0        2009.04.27        -
Rising        21.27.02.00        2009.04.27        -
Sophos        4.41.0        2009.04.27        HideWindow
Sunbelt        3.2.1858.2        2009.04.24        -
Symantec        1.4.4.12        2009.04.27        SecurityRisk.Cmdow
TheHacker        6.3.4.1.315        2009.04.27        Aplicacion/HideWindows
TrendMicro        8.700.0.1004        2009.04.27        PAK_Generic.001
VBA32        3.12.10.3        2009.04.27        -
ViRobot        2009.4.27.1710        2009.04.27        Not_a_virus:RiskTool.HideWindows.31232
VirusBuster        4.6.5.0        2009.04.27        -
weitere Informationen
File size: 31232 bytes
MD5...: a83d8a509ad167ea506a01fa75a33084
SHA1..: 80d299bbf72a55e580d27840b1e3fd5cadfd5c70
SHA256: 7c15e32cb4f6700ea2875c00c9b0da473c6ffa68a6ae181bbbcfbd7ce46f69fc
SHA512: 1e4c365d3757250ef336e6fafb7abc732901e33c8c6b949c6775bb1e947a5d08
8b57e5587b2a348e1ac5aa8fb759a9b622ba6a7053542a491027deb9972eed20
ssdeep: 384:zIuqo9Bl0uuBLutbA4rjsWVjbeGD4AEd6thOucy+waD4J6R4CE2uxNyymuH:
znqo9bnlfJuC7Ou6RXM3yYH
PEiD..: -
TrID..: File type identification
Windows Screen Saver (39.4%)
Win32 Executable Generic (25.6%)
Win32 Dynamic Link Library (generic) (22.8%)
Generic Win/DOS Executable (6.0%)
DOS Executable Generic (6.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x771a
timedatestamp.....: 0x3f411ebc (Mon Aug 18 18:45:16 2003)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.rdata 0x1000 0x6a4 0x800 4.53 a0e6032aca79d6b27dd3ba2ffc182068
.data 0x2000 0x6908 0x6600 6.11 e0c03b38701c424ea92f2ebbb197a1b4
.rsrc 0x9000 0x7d0 0x800 3.29 bebca41a935bc76f149e4a3d84669818

( 4 imports )
> KERNEL32.dll: lstrcpyA, lstrlenA, ExitProcess, WriteFile, GetStdHandle, lstrcatA, GetCommandLineA, SetConsoleDisplayMode, GetVersionExA, WideCharToMultiByte, HeapAlloc, GetProcessHeap, GetCurrentProcessId, GetTickCount, GetConsoleTitleA, CloseHandle, TerminateProcess, OpenProcess, CreateProcessA, HeapReAlloc, HeapFree, lstrcmpiA, SetConsoleTitleA, Sleep, lstrcmpA, GetStringTypeW, GetStringTypeA, RtlUnwind, LCMapStringA, MultiByteToWideChar, LCMapStringW
> USER32.dll: GetWindow, GetWindowLongA, IsWindow, GetForegroundWindow, SetForegroundWindow, SystemParametersInfoA, GetParent, ScreenToClient, GetWindowRect, SetWindowTextA, MoveWindow, SetWindowPos, wsprintfA, wvsprintfA, FindWindowA, PostMessageA, GetWindowTextA, GetWindowThreadProcessId, GetWindowTextLengthA, GetDesktopWindow, GetClassNameA, EnumWindows, ShowWindowAsync, EnableWindow, EnumChildWindows
> ADVAPI32.dll: RegCloseKey, RegQueryValueExA, RegOpenKeyExA
> SHELL32.dll: ShellExecuteA

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set
-
CWSandbox info: <a href='http://research.sunbelt-software.com/partnerresource/MD5.aspx?md5=a83d8a509ad167ea506a01fa75a33084' target='_blank'>http://research.sunbelt-software.com/partnerresource/MD5.aspx?md5=a83d8a509ad167ea506a01fa75a33084</a>
ThreatExpert info: <a href='http://www.threatexpert.com/report.aspx?md5=a83d8a509ad167ea506a01fa75a33084' target='_blank'>http://www.threatexpert.com

Angel21 27.04.2009 19:11
Gut die anderen beiden ebenso :)


Alle Zeitangaben in WEZ +1. Es ist jetzt 16:39 Uhr.
Seite 3 von 5 12 3 45
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19