Trojaner-Board - Beim Start schwarzes Bild

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Beim Start schwarzes Bild (https://www.trojaner-board.de/75111-beim-start-schwarzes-bild.html)

Beim Start schwarzes Bild

Guten Tag,
wenn ich meinen PC starte erscheint der Destkop nicht. Wenn ich aber 45 Sekunden warte, erscheint er dann. Den Taskmanager kann ich aufrufen, aber sonst geht nichts.
Dann ist noch ein Problem mit ICQ: Das Konto wird nicht gespeichert und ICQ lässt sich nicht deinstallieren.
Ich wäre für eine Überprüfung folgender Scans sehr dankbar:)

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:47:54, on 11.07.2009

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\Windows\System32\smss.exe

C:\Windows\system32\csrss.exe

C:\Windows\system32\wininit.exe

C:\Windows\system32\csrss.exe

C:\Windows\system32\services.exe

C:\Windows\system32\lsass.exe

C:\Windows\system32\lsm.exe

C:\Windows\system32\winlogon.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\Ati2evxx.exe

C:\Windows\System32\svchost.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\SLsvc.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Windows\System32\spoolsv.exe

C:\Windows\system32\Ati2evxx.exe

C:\Program Files\Avira\AntiVir Desktop\sched.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\Dwm.exe

C:\Windows\system32\taskeng.exe

C:\Windows\Explorer.EXE

C:\Program Files\Avira\AntiVir Desktop\avguard.exe

C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

c:\program files\common files\gnab\service\servicecontroller.exe

C:\Windows\system32\svchost.exe

C:\Program Files\ICQ6Toolbar\ICQ Service.exe

C:\Program Files\Common Files\LightScribe\LSSrvc.exe

C:\Program Files\Medion\MEDIONbox\Program\GCS.exe

C:\Windows\System32\svchost.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Program Files\Spyware Doctor\pctsAuxs.exe

C:\Program Files\Spyware Doctor\pctsSvc.exe

C:\Windows\system32\svchost.exe

C:\Program Files\Spyware Doctor\pctsTray.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\SearchIndexer.exe

C:\Windows\system32\WUDFHost.exe

C:\Windows\system32\taskeng.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Common Files\Gnab\Service\GnabTray.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Program Files\HP\HP Software Update\hpwuSchd2.exe

C:\Program Files\Java\jre6\bin\jusched.exe

C:\Program Files\Common Files\Lexware\Update Manager\LxUpdateManager.exe

C:\Windows\ehome\ehtray.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

C:\Windows\ehome\ehmsas.exe

C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe

C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqbam08.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Windows\servicing\TrustedInstaller.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Windows\system32\SearchFilterHost.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

C:\Windows\system32\SearchProtocolHost.exe

C:\Windows\system32\wbem\wmiprvse.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.medion.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

Code:

Malwarebytes' Anti-Malware 1.38

Datenbank Version: 2407

Windows 6.0.6001 Service Pack 1
 

11.07.2009 17:31:46

mbam-log-2009-07-11 (17-31-46).txt
 

Scan-Methode: Vollständiger Scan (C:\|D:\|)

Durchsuchte Objekte: 309603

Laufzeit: 1 hour(s), 29 minute(s), 53 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 1
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

c:\Users\xxx\documents\downloads\sopcast (1)\Setup-SopCast-3.0.3-2008-4-30.exe (Rogue.Installer) -> Quarantined and deleted successfully.

Hi,

das hj-Log ist nicht vollständig...
Sehr viele svchost-prozesse, ungewöhnlich...

chris

Sorry ich mach das zum ersten Mal.

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:47:54, on 11.07.2009

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\Windows\System32\smss.exe

C:\Windows\system32\csrss.exe

C:\Windows\system32\wininit.exe

C:\Windows\system32\csrss.exe

C:\Windows\system32\services.exe

C:\Windows\system32\lsass.exe

C:\Windows\system32\lsm.exe

C:\Windows\system32\winlogon.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\Ati2evxx.exe

C:\Windows\System32\svchost.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\SLsvc.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Windows\System32\spoolsv.exe

C:\Windows\system32\Ati2evxx.exe

C:\Program Files\Avira\AntiVir Desktop\sched.exe

C:\Windows\system32\svchost.exe

C:\Windows\system32\Dwm.exe

C:\Windows\system32\taskeng.exe

C:\Windows\Explorer.EXE

C:\Program Files\Avira\AntiVir Desktop\avguard.exe

C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

c:\program files\common files\gnab\service\servicecontroller.exe

C:\Windows\system32\svchost.exe

C:\Program Files\ICQ6Toolbar\ICQ Service.exe

C:\Program Files\Common Files\LightScribe\LSSrvc.exe

C:\Program Files\Medion\MEDIONbox\Program\GCS.exe

C:\Windows\System32\svchost.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\svchost.exe

C:\Program Files\Spyware Doctor\pctsAuxs.exe

C:\Program Files\Spyware Doctor\pctsSvc.exe

C:\Windows\system32\svchost.exe

C:\Program Files\Spyware Doctor\pctsTray.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\SearchIndexer.exe

C:\Windows\system32\WUDFHost.exe

C:\Windows\system32\taskeng.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Common Files\Gnab\Service\GnabTray.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Program Files\HP\HP Software Update\hpwuSchd2.exe

C:\Program Files\Java\jre6\bin\jusched.exe

C:\Program Files\Common Files\Lexware\Update Manager\LxUpdateManager.exe

C:\Windows\ehome\ehtray.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

C:\Windows\ehome\ehmsas.exe

C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe

C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqbam08.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Windows\servicing\TrustedInstaller.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Windows\system32\SearchFilterHost.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

C:\Windows\system32\SearchProtocolHost.exe

C:\Windows\system32\wbem\wmiprvse.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = ht*p://www.medion.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = ht*p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = ht*p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h*tp://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQ6Toolbar\ICQToolBar.dll

R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

R3 - URLSearchHook: PHPNukeDE Toolbar - {c9508125-4747-4733-b048-e4b82dc9716d} - C:\Program Files\PHPNukeDE\tbPHPN.dll

R3 - URLSearchHook: (no name) -  - (no file)

O1 - Hosts: ::1 localhost

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: XTTBPos00 Class - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.15642\swg.dll

O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O2 - BHO: PHPNukeDE Toolbar - {c9508125-4747-4733-b048-e4b82dc9716d} - C:\Program Files\PHPNukeDE\tbPHPN.dll

O2 - BHO: IE Developer Toolbar BHO - {CC7E636D-39AA-49b6-B511-65413DA137A1} - C:\Program Files\Microsoft\Internet Explorer Developer Toolbar\IEDevToolbar.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQ6Toolbar\ICQToolBar.dll

O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: PHPNukeDE Toolbar - {c9508125-4747-4733-b048-e4b82dc9716d} - C:\Program Files\PHPNukeDE\tbPHPN.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [GnabTray] C:\Program Files\Common Files\Gnab\Service\GnabTray.exe -checkstart

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [Skytel] Skytel.exe

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [ISTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [LexwareInfoService] C:\Program Files\Common Files\Lexware\Update Manager\LxUpdateManager.exe /autostart

O4 - HKCU\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [Google Update] "C:\Users\***\AppData\Local\Google\Update\GoogleUpdate.exe" /c

O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\Run: [InfoCockpit] C:\Program Files\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [InfoCockpit] C:\Program Files\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [InfoCockpit] C:\Program Files\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash (User 'Default user')

O4 - Startup: AutorunsDisabled

O4 - Startup: uefa.com Alerts.lnk = ?

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: Download Video on This Page - C:\Program Files\Tomato\TubeDownload\TDIEPage.html

O8 - Extra context menu item: Download Video This Links To - C:\Program Files\Tomato\TubeDownload\TDIELink.html

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - AutorunsDisabled - (no file)

O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll

O9 - Extra button: IE Developer Toolbar - {48FFE35F-36D9-44bd-A6CC-1D34414EAC0D} - C:\Program Files\Microsoft\Internet Explorer Developer Toolbar\IEDevToolbar.dll

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O13 - Gopher Prefix: 

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - ht*p://appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - h*tp://messenger.zone.msn.com/DE-DE/a-UNO1/GAME_UNO1.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - h*tp://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - ht*p://icq.oberon-media.com/Gameshell/GameHost/1.0/OberonGameHost.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h*tp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{F025EAFD-A26D-4098-A476-9699D0CA24BB}: NameServer = 192.168.2.1

O18 - Protocol: haufereader - (no CLSID) - (no file)

O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~2\GOEC62~1.DLL

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe

O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: GnabService - Empolis GmbH - c:\program files\common files\gnab\service\servicecontroller.exe

O23 - Service: Google Desktop Manager 5.7.806.10245 (GoogleDesktopManager-061008-081103) - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: ICQ Service - Unknown owner - C:\Program Files\ICQ6Toolbar\ICQ Service.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
 

--

End of file - 13952 bytes

Hi,

online untersuchen bei virustotal.com:

Code:

C:\Program Files\ICQ6Toolbar\ICQ Service.exe

C:\Program Files\PHPNukeDE\tbPHPN.dll

Gmer und Dr. Web:
Gmer:
http://www.trojaner-board.de/74908-a...t-scanner.html
Den Downloadlink findest Du links oben (www.gmer.net/files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte gmer und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

Cureit/Dr.Web:
http://www.trojaner-board.de/59299-a...eb-cureit.html

Alle Logs posten...

chris

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.18 2009.07.11 -
AhnLab-V3 5.0.0.2 2009.07.11 -
AntiVir 7.9.0.204 2009.07.10 -
Antiy-AVL 2.0.3.1 2009.07.10 -
Authentium 5.1.2.4 2009.07.10 -
Avast 4.8.1335.0 2009.07.10 -
AVG 8.5.0.387 2009.07.11 -
BitDefender 7.2 2009.07.11 -
CAT-QuickHeal 10.00 2009.07.10 -
ClamAV 0.94.1 2009.07.11 -
Comodo 1616 2009.07.11 -
DrWeb 5.0.0.12182 2009.07.11 -
eSafe 7.0.17.0 2009.07.09 -
eTrust-Vet 31.6.6608 2009.07.10 -
F-Prot 4.4.4.56 2009.07.10 -
F-Secure 8.0.14470.0 2009.07.11 -
Fortinet 3.120.0.0 2009.07.11 -
GData 19 2009.07.11 -
Ikarus T3.1.1.64.0 2009.07.11 -
Jiangmin 11.0.706 2009.07.11 -
K7AntiVirus 7.10.789 2009.07.10 -
Kaspersky 7.0.0.125 2009.07.11 -
McAfee 5672 2009.07.10 -
McAfee+Artemis 5672 2009.07.10 -
McAfee-GW-Edition 6.8.5 2009.07.10 Heuristic.BehavesLike.Win32.Downloader.H
Microsoft 1.4803 2009.07.11 -
NOD32 4234 2009.07.11 -
Norman 6.01.09 2009.07.10 -
nProtect 2009.1.8.0 2009.07.11 -
Panda 10.0.0.14 2009.07.11 -
PCTools 4.4.2.0 2009.07.11 -
Prevx 3.0 2009.07.11 -
Rising 21.37.52.00 2009.07.11 -
Sophos 4.43.0 2009.07.11 -
Sunbelt 3.2.1858.2 2009.07.10 -
Symantec 1.4.4.12 2009.07.11 -
TheHacker 6.3.4.3.365 2009.07.11 -
TrendMicro 8.950.0.1094 2009.07.10 -
VBA32 3.12.10.8 2009.07.11 -
ViRobot 2009.7.11.1831 2009.07.11 -
VirusBuster 4.6.5.0 2009.07.10 -
weitere Informationen
File size: 222456 bytes
MD5 : a4e43a7ab1202356bebeb6b798f15488
SHA1 : c50ea1dbefc285a4046589a8fa9c379091e7f218
SHA256: ccf8c95b0aabd4112e5d7c93cdbffe8a0f86d84d50247573702d9486c36fa128
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x11492
timedatestamp.....: 0x483BBE08 (Tue May 27 09:53:44 2008)
machinetype.......: 0x14C (Intel I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x26F57 0x27000 6.64 7c1a0f5d135ff69f429f40a05c116a72
.rdata 0x28000 0xB7FE 0xB800 6.09 ed361b5d7724d6aed56b5805f30512f3
.data 0x34000 0x38FC 0x1800 3.43 0cd655aeb5691bec1579549a5e52461a
.rsrc 0x38000 0xBBC 0xC00 4.24 8626d667ee291bf20ec3f10232ea3302

( 0 imports )

( 0 exports )
TrID : File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
ThreatExpert: http://www.threatexpert.com/report.aspx?md5=a4e43a7ab1202356bebeb6b798f15488
ssdeep: 3072:X/Ta59VUr04XO+bTl/tzrPTtLWkegSL6GZ/HC5NiBTu2HgM68MyiElob59BC:X/TWA0QOWbrrtLWkegYF7ACOOoHM
PEiD : -
RDS : NSRL Reference Data Set
-

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.0.0.101 2009.04.02 -
AhnLab-V3 5.0.0.2 2009.04.02 -
AntiVir 7.9.0.129 2009.04.02 -
Antiy-AVL 2.0.3.1 2009.04.02 -
Authentium 5.1.2.4 2009.04.01 -
Avast 4.8.1335.0 2009.04.01 -
AVG 8.5.0.285 2009.04.02 -
BitDefender 7.2 2009.04.02 -
CAT-QuickHeal 10.00 2009.04.01 -
ClamAV 0.94.1 2009.04.02 -
Comodo 1093 2009.04.01 -
DrWeb 4.44.0.09170 2009.04.02 -
eSafe 7.0.17.0 2009.04.02 -
eTrust-Vet 31.6.6430 2009.04.02 -
F-Prot 4.4.4.56 2009.04.01 -
F-Secure 8.0.14470.0 2009.04.02 -
Fortinet 3.117.0.0 2009.04.02 -
GData 19 2009.04.02 -
Ikarus T3.1.1.49.0 2009.04.02 -
K7AntiVirus 7.10.690 2009.04.01 -
Kaspersky 7.0.0.125 2009.04.02 -
McAfee 5571 2009.04.01 -
McAfee+Artemis 5571 2009.04.01 -
McAfee-GW-Edition 6.7.6 2009.04.01 -
Microsoft 1.4502 2009.04.02 -
NOD32 3983 2009.04.02 -
Norman 6.00.06 2009.04.01 -
nProtect 2009.1.8.0 2009.04.02 -
Panda 10.0.0.14 2009.04.01 -
PCTools 4.4.2.0 2009.04.01 -
Prevx1 V2 2009.04.02 -
Rising 21.23.32.00 2009.04.02 -
Sophos 4.40.0 2009.04.02 -
Sunbelt 3.2.1858.2 2009.04.02 -
Symantec 1.4.4.12 2009.04.02 -
TheHacker 6.3.4.0.298 2009.04.01 -
TrendMicro 8.700.0.1004 2009.04.02 -
VBA32 3.12.10.2 2009.04.02 -
ViRobot 2009.4.2.1673 2009.04.02 -
VirusBuster 4.6.5.0 2009.04.01 -
weitere Informationen
File size: 1784856 bytes
MD5 : 0f720360e7ae53db2d95802ff34e301b
SHA1 : 7a2f8d646b4c62dd322ba79c863386512d78270b
SHA256: b6f7c14d6e019d84e23f5e65aca1c3f08910ab3be579f83c8c3a32eeae5157b8
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x100D0D27
timedatestamp.....: 0x4929C537 (Sun Nov 23 22:03:51 2008)
machinetype.......: 0x14C (Intel I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xFEA58 0xFEC00 6.55 66140bee4b1c342be7721463a297bd72
.rdata 0x100000 0x513BF 0x51400 4.52 817d037bd7388084198f1748bc15b8eb
.data 0x152000 0x5F40 0x4000 4.75 fc9f27b3bd011562bc8319e46d5fbcea
.rsrc 0x158000 0x49EF0 0x4A000 5.34 b3403c1179d0e6c9f6648371ab9181eb
.reloc 0x1A2000 0x14B3A 0x14C00 5.94 2d81059c82469744da070bffee4673cb

( 0 imports )

( 0 exports )
TrID : File type identification
Windows OCX File (71.0%)
Win32 Executable MS Visual C++ (generic) (21.6%)
Win32 Executable Generic (4.9%)
Generic Win/DOS Executable (1.1%)
DOS Executable Generic (1.1%)
ssdeep: 24576:izsJeUiOskE2Yxi6oeJ38iuZb1K/AqPEGtJkfQNcoOqcNPDY8VWRfVCGYzVQ6fj:iK3b1K/pPE8kmTyN/WRNCpzVQ4j
PEiD : -
RDS : NSRL Reference Data Set
-

Hi,

denke das ist ein false/positive...

chris

Während des Scans ist Windows jetzt 2x mal abgestürzt!

Hi,

bei welchem Scann und mit welcher Meldung?

chris

Mit Gmer, aber beim 3. Mal hats geklappt. Meldung war einfach Windows has been shuted down. Wie soll ich denn das Ergebnis posten? Die Zeichen sind zu wenig hier im Board und als Anhang ist es auch zu viel.

Hi,

Fileuplod:
http://www.file-upload.net/, hochladen und den Link (mit Löschlink) als "PrivateMail" an mich...

chris

Hi,

das ist das erste mal, dass ich so ein GMER-Log sehe, jede Menge MBRs, die meisten Anwendungen sind miteinander verlinkt (Create und terminat process)...

Da muss ich mal Kollegen fragen...

chris

Also is es etwas kompliziertes,aber bis jetzt ist kein Virus oder ähnliches gefunden worden oder?
Und schonmal Danke für die Arbeit, die ihr euch macht.

Jetzt ist mir grad aufgefallen:

Unbekannter Fehler bei Windows-Upgrade
Code 80070002
Windows Vista Service Pack 2 konnte nicht installiert werden!

Langsam weiß ich nicht mehr wo das alles noch hinführt, ich bin mittlerweile am Verzweifeln. :confused:

Edit: Es scheint ja bei viele so zu sein und es gibt keine Lösung.

Hi,

nein bis jetzt nicht... Warte noch auf das Feedback von Kollegen...
Hat Cureit was gebracht?

Wie ist Dein englisch?
http://www.mydigitallife.info/2007/1...date-in-vista/

Hier etwas einfacher und in deutsch...
http://windowshelp.microsoft.com/Win...9a75f1031.mspx

chris
Ps. So, mache jetzt Schluß, guts Nächtle...

Den Cureit Scan mach ich morgen, denn heut hab ich keine Zeit.
Mit der Fehlerbehebung von Windows-Update klappts glaub ich nicht, weil das hab ich zuvor schonmal probiert und dann gings wieder nicht, aber da hat es bei 67% oder so sich aufgehängt.

Ich habe Cureit nun hernutergeladen, soll ich mit dem Cureit einen Komplettscan machen?
Das schwarze Bild taucht mittlerweile nur noch sehr selten beim Hochfahren hoch, bzw seit gestern gar nicht mehr. Das Windows-Update hab ich mir nun manuell von der Microsoft-Website heruntergeladen.

Nachdem ich das Update Vista SP 2 nun manuell von der Microsoft-Website erfolgreich auf meinen PC heruntergleaden habe, erschien dann folgende Fehlermeldung während der Installation: ERROR_FILE_NOT_FOUND(0x80070002).

Hi,

mach mit Cureit einen vollständigen Systemcheck...
Zum Updateproblem:
http://support.microsoft.com/kb/947366

chris

Der Schnell-Scan mit Cureit funktioniert und findet nichts, aber nach dem Vorbereiten auf den Komplett-Scan stürzt Windows dann immer ab. ( Ich bin im abgesicherten Modus und führe als Administrator aus )

Beim Windows Update gehts auch nicht....das Vorbereitungstool geht bis zum initalisieren und dann wenn die Installation folgen sollte, hängts sich auf.

Gibts schon Ergebnisse von der Gmer-Auswertung?

Hi,

es sind sehr viele MBRs enthalten, was seltsam ist, aber darin sehen die Experten kein Problem....

Prüfe bitte mal die Festplatte mit chkdsk c: /f /r (über Start->ausführen chkdsk c: /f /r, chkdsk wird dann nachfragen ob beim nächsten Systemstart die Festplatte geprüft werden soll (da exclusiver Zugriff notwendig). Das abnicken und neu booten (geht ca. 30m-1h)...

Danach bitte mal Silentrunner:
SilentRunner:
Ziparchive in ein Verzeichnis auspacken, mit Doppelklick starten, "ja" auswählen.
Die erstellte Datei findet sich im gleichen Verzeichnis wo das Script hinkopiert wurde, bitte in Editor laden und posten.
http://www.silentrunners.org/Silent%20Runners.zip

chris

TEIL 1:

Code:

"Silent Runners.vbs", revision 59, hxxp://www.silentrunners.org/

Operating System: Windows Vista

Output limited to non-default values, except where indicated by "{++}"
 
 

Startup items buried in registry:

---------------------------------
 

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}

"(Default)" = "(empty string)" [file not found]

"StartCCC" = "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [null data]

"ehTray.exe" = "C:\Windows\ehome\ehTray.exe" [MS]

"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}" = ""C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"" ["Nero AG"]

"swg" = "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" ["Google Inc."]

"Google Update" = ""C:\Users\****\AppData\Local\Google\Update\GoogleUpdate.exe" /c" ["Google Inc."]

"AdobeUpdater" = ""C:\Program Files\Common Files\Adobe\Updater5\AdobeUpdater.exe"" ["Adobe Systems Incorporated"]
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"Windows Defender" = "C:\Program Files\Windows Defender\MSASCui.exe -hide"

"RtHDVCpl" = "RtHDVCpl.exe" ["Realtek Semiconductor"]

"GnabTray" = "C:\Program Files\Common Files\Gnab\Service\GnabTray.exe -checkstart" [null data]

"NeroFilterCheck" = "C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe" ["Nero AG"]

"RegistryMechanic" = "(empty string)" [file not found]

"TkBellExe" = ""C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot" ["RealNetworks, Inc."]

"Skytel" = "Skytel.exe" ["Realtek Semiconductor Corp."]

"HP Software Update" = "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe" ["Hewlett-Packard Co."]

"ISTray" = ""C:\Program Files\Spyware Doctor\pctsTray.exe"" ["PC Tools"]

"Adobe Reader Speed Launcher" = ""C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"" ["Adobe Systems Incorporated"]

"avgnt" = ""C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min" ["Avira GmbH"]

"SunJavaUpdateSched" = ""C:\Program Files\Java\jre6\bin\jusched.exe"" ["Sun Microsystems, Inc."]

"LexwareInfoService" = "C:\Program Files\Common Files\Lexware\Update Manager\LxUpdateManager.exe /autostart" [null data]
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\

{02478D38-C3F9-4EFB-9B51-7695ECA05670}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Yahoo! Toolbar Helper"

                   \InProcServer32\(Default) = "C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll" ["Yahoo! Inc."]

{055FD26D-3A88-4e15-963D-DC8493744B1D}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "XTTBPos00 Class"

                   \InProcServer32\(Default) = "C:\PROGRA~1\ICQTOO~1\toolbaru.dll" ["IE Toolbar"]

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Adobe PDF Reader"

                   \InProcServer32\(Default) = "C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]

{9030D464-4C02-4ABF-8ECC-5164760863C6}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Windows Live ID-Anmelde-Hilfsprogramm"

                   \InProcServer32\(Default) = "C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll" [MS]

{AA58ED58-01DD-4d91-8333-CF10577473F7}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Google Toolbar Helper"

                   \InProcServer32\(Default) = "C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll" ["Google Inc."]

{AF69DE43-7D58-4638-B6FA-CE66B5AD205D}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Google Toolbar Notifier BHO"

                   \InProcServer32\(Default) = "C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.15642\swg.dll" ["Google Inc."]

{C84D72FE-E17D-4195-BB24-76C02E2E7C4E}\(Default) = "Google Dictionary Compression sdch"

  -> {HKLM...CLSID} = "Google Dictionary Compression sdch"

                   \InProcServer32\(Default) = "C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll" ["Google Inc."]

{c9508125-4747-4733-b048-e4b82dc9716d}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "PHPNukeDE Toolbar"

                   \InProcServer32\(Default) = "C:\Program Files\PHPNukeDE\tbPHPN.dll" ["Conduit Ltd."]

{CC7E636D-39AA-49b6-B511-65413DA137A1}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "IE Developer Toolbar BHO"

                   \InProcServer32\(Default) = "C:\Program Files\Microsoft\Internet Explorer Developer Toolbar\IEDevToolbar.dll" [MS]

{DBC80044-A445-435b-BC74-9C25C1C588A9}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "Java(tm) Plug-In 2 SSV Helper"

                   \InProcServer32\(Default) = "C:\Program Files\Java\jre6\bin\jp2ssv.dll" ["Sun Microsystems, Inc."]
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\

"{5E2121EE-0300-11D4-8D3B-444553540000}" = "Catalyst Context Menu extension"

  -> {HKLM...CLSID} = "SimpleShlExt Class"

                   \InProcServer32\(Default) = "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\atiacmxx.dll" [empty string]

"{993BE281-6695-4BA5-8A2A-7AACBFAAB69E}" = "Microsoft Office Metadata Handler"

  -> {HKLM...CLSID} = "Microsoft Office Metadata Handler"

                   \InProcServer32\(Default) = "C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\msoshext.dll" [MS]

"{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97}" = "Microsoft Office Thumbnail Handler"

  -> {HKLM...CLSID} = "Microsoft Office Thumbnail Handler"

                   \InProcServer32\(Default) = "C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\msoshext.dll" [MS]

"{5858A72C-C2B4-4dd7-B2BF-B76DB1BD9F6C}" = "Microsoft Office OneNote Namespace Extension for Windows Desktop Search"

  -> {HKLM...CLSID} = "Microsoft Office OneNote Namespace Extension for Windows Desktop Search"

                   \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~3\Office12\ONFILTER.DLL" [MS]

"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = "C:\Program Files\Microsoft Office\OFFICE11\msohev.dll" [MS]

"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning"

  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"

                   \InProcServer32\(Default) = "C:\Program Files\Avira\AntiVir Desktop\shlext.dll" ["Avira GmbH"]

"{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player"

  -> {HKLM...CLSID} = "RealOne Player Context Menu Class"

                   \InProcServer32\(Default) = "C:\Program Files\Real\RealPlayer\rpshell.dll" ["RealNetworks, Inc."]

"{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" = "OpenOffice.org Column Handler"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = ""C:\Program Files\Sun\StarOffice 8\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]

"{087B3AE3-E237-4467-B8DB-5A38AB959AC9}" = "OpenOffice.org Infotip Handler"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = ""C:\Program Files\Sun\StarOffice 8\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]

"{63542C48-9552-494A-84F7-73AA6A7C99C1}" = "OpenOffice.org Property Sheet Handler"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = ""C:\Program Files\Sun\StarOffice 8\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]

"{3B092F0C-7696-40E3-A80F-68D74DA84210}" = "OpenOffice.org Thumbnail Viewer"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = ""C:\Program Files\Sun\StarOffice 8\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]

"{23170F69-40C1-278A-1000-000100020000}" = "7-Zip Shell Extension"

  -> {HKLM...CLSID} = "7-Zip Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zip.dll" ["Igor Pavlov"]

"{B9E1D2CB-CCFF-4AA6-9579-D7A4754030EF}" = "iTunes"

  -> {HKLM...CLSID} = "iTunes"

                   \InProcServer32\(Default) = "C:\Program Files\iTunes\iTunesMiniPlayer.dll" ["Apple Inc."]

"{11016101-E366-4D22-BC06-4ADA335C892B}" = "IE History and Feeds Shell Data Source for Windows Search"

  -> {HKLM...CLSID} = "IE History and Feeds Shell Data Source for Windows Search"

                   \InProcServer32\(Default) = "C:\Windows\System32\ieframe.dll" [MS]
 

HKLM\SOFTWARE\Classes\PROTOCOLS\Filter\

<<!>> text/xml\CLSID = "{807553E5-5146-11D5-A672-00B0D022E945}"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = "C:\Program Files\Common Files\Microsoft Shared\OFFICE11\MSOXMLMF.DLL" [MS]

<<!>> x-sdch\CLSID = "{B1759355-3EEC-4C1E-B0F1-B719FE26E377}"

  -> {HKLM...CLSID} = "Google Dictionary Compression filter"

                   \InProcServer32\(Default) = "C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll" ["Google Inc."]
 

HKLM\SOFTWARE\Classes\Folder\shellex\ColumnHandlers\

{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}\(Default) = "OpenOffice.org Column Handler"

  -> {HKLM...CLSID} = (no title provided)

                   \InProcServer32\(Default) = ""C:\Program Files\Sun\StarOffice 8\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]

{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"

  -> {HKLM...CLSID} = "PDF Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]
 

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\

7-Zip\(Default) = "{23170F69-40C1-278A-1000-000100020000}"

  -> {HKLM...CLSID} = "7-Zip Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zip.dll" ["Igor Pavlov"]

SDContextExt\(Default) = "{70F8E90E-353A-47AB-B297-C576345EE693}"

  -> {HKLM...CLSID} = "PC Tools Context Menu Extension"

                   \InProcServer32\(Default) = "C:\PROGRA~1\SPYWAR~1\SDCONT~1.DLL" ["PC Tools"]

Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"

  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"

                   \InProcServer32\(Default) = "C:\Program Files\Avira\AntiVir Desktop\shlext.dll" ["Avira GmbH"]
 

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\

7-Zip\(Default) = "{23170F69-40C1-278A-1000-000100020000}"

  -> {HKLM...CLSID} = "7-Zip Shell Extension"

                   \InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zip.dll" ["Igor Pavlov"]
 

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\

MBAMShlExt\(Default) = "{57CE581A-0CB6-4266-9CA0-19364C90A0B3}"

  -> {HKLM...CLSID} = "MBAMShlExt Class"

                   \InProcServer32\(Default) = "C:\Program Files\Malwarebytes' Anti-Malware\mbamext.dll" ["Malwarebytes Corporation"]

SDContextExt\(Default) = "{70F8E90E-353A-47AB-B297-C576345EE693}"

  -> {HKLM...CLSID} = "PC Tools Context Menu Extension"

                   \InProcServer32\(Default) = "C:\PROGRA~1\SPYWAR~1\SDCONT~1.DLL" ["PC Tools"]

Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"

  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"

                   \InProcServer32\(Default) = "C:\Program Files\Avira\AntiVir Desktop\shlext.dll" ["Avira GmbH"]
 

HKLM\SOFTWARE\Classes\AllFilesystemObjects\shellex\ContextMenuHandlers\

MBAMShlExt\(Default) = "{57CE581A-0CB6-4266-9CA0-19364C90A0B3}"

  -> {HKLM...CLSID} = "MBAMShlExt Class"

                   \InProcServer32\(Default) = "C:\Program Files\Malwarebytes' Anti-Malware\mbamext.dll" ["Malwarebytes Corporation"]
 
 

Group Policies {GPedit.msc branch and setting}:

-----------------------------------------------
 

Note: detected settings may not have any effect.
 

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\
 

"LogonHoursAction" = (REG_DWORD) dword:0x00000002

{unrecognized setting}
 

"DontDisplayLogonHoursWarnings" = (REG_DWORD) dword:0x00000001

{unrecognized setting}
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\
 

"ConsentPromptBehaviorAdmin" = (REG_DWORD) dword:0x00000002

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

User Account Control: Behavior Of The Elevation Prompt For Administrators In Admin Approval Mode}
 

"ConsentPromptBehaviorUser" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

User Account Control: Behavior Of The Elevation Prompt For Standard Users}
 

"EnableInstallerDetection" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

User Account Control: Detect Application Installations And Prompt For Elevation}
 

"EnableLUA" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

User Account Control: Run All Administrators In Admin Approval Mode}
 

"EnableSecureUIAPaths" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

User Account Control: Only elevate UIAccess applications that are installed in secure locations}
 

"EnableVirtualization" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

User Account Control: Virtualize file and registry write failures to per-user locations}
 

"PromptOnSecureDesktop" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

User Account Control: Switch to the secure desktop when prompting for elevation}
 

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

Shutdown: Allow system to be shut down without having to log on}
 

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

Devices: Allow undock without having to log on}
 

"FilterAdministratorToken" = (REG_DWORD) dword:0x00000000

{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|

User Account Control: Admin Approval Mode for the Built-in Administrator Account}
 

"EnableUIADesktopToggle" = (REG_DWORD) dword:0x00000000

{unrecognized setting}
 
 

Active Desktop and Wallpaper:

-----------------------------
 

Active Desktop may be disabled at this entry:

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState
 

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:

HKCU\Software\Microsoft\Internet Explorer\Desktop\General\

"Wallpaper" = "C:\Windows\system32\config\systemprofile\Pictures\Landschaften\Tschierva_glacier_rework[1].jpg"
 

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:

HKCU\Control Panel\Desktop\

"Wallpaper" = "C:\Users\***\Pictures\Landschaften\Tschierva_glacier_rework[1].jpg"
 
 

Enabled Screen Saver:

---------------------
 

HKCU\Control Panel\Desktop\

"SCRNSAVE.EXE" = "C:\Windows\system32\UEFA20~1.SCR" (UEFA 2008 (en).scr) ["ScreenTime Media"]
 
 

Windows Portable Device AutoPlay Handlers

-----------------------------------------
 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\Handlers\
 

FunMultiMediaHandler\

"Provider" = "MultiMedia Manager"

"ProgID" = "FUNBOX.Autoplay"

HKLM\SOFTWARE\Classes\FUNBOX.Autoplay\CLSID\(Default) = "{DF866F1F-10DF-4694-94A9-7F526FC8800A}"

  -> {HKLM...CLSID} = "FUNBOX Autoplay Sample 2"

                   \LocalServer32\(Default) = "C:\Program Files\Samsung\Samsung PC Studio 3\Share_autoplay.exe" ["TODO: <** **>" (unwritable string)]
 

HPGGPhotoEventHandler\

"Provider" = "HP Photosmart Essential"

"InvokeProgID" = "HP.acquireautoplayG"

"InvokeVerb" = "open"

HKLM\SOFTWARE\Classes\HP.acquireautoplayG\shell\open\DropTarget\CLSID = "{F3A39B00-BE67-4d7d-BED7-53E9C510EC5B}"

  -> {HKLM...CLSID} = "HP AcquireAutoPlay2 Class"

                   \InProcServer32\(Default) = "C:\Program Files\HP\Photosmart Essential\AcquireAutoPlay.dll" [empty string]
 

iTunesBurnCDOnArrival\

"Provider" = "iTunes"

"InvokeProgID" = "iTunes.BurnCD"

"InvokeVerb" = "burn"

HKLM\SOFTWARE\Classes\iTunes.BurnCD\shell\burn\command\(Default) = ""C:\Program Files\iTunes\iTunes.exe" /AutoPlayBurn "%L"" ["Apple Inc."]
 

iTunesImportSongsOnArrival\

"Provider" = "iTunes"

"InvokeProgID" = "iTunes.ImportSongsOnCD"

"InvokeVerb" = "import"

HKLM\SOFTWARE\Classes\iTunes.ImportSongsOnCD\shell\import\command\(Default) = ""C:\Program Files\iTunes\iTunes.exe" /AutoPlayImportSongs "%L"" ["Apple Inc."]
 

iTunesPlaySongsOnArrival\

"Provider" = "iTunes"

"InvokeProgID" = "iTunes.PlaySongsOnCD"

"InvokeVerb" = "play"

HKLM\SOFTWARE\Classes\iTunes.PlaySongsOnCD\shell\play\command\(Default) = ""C:\Program Files\iTunes\iTunes.exe" /playCD "%L"" ["Apple Inc."]
 

iTunesShowSongsOnArrival\

"Provider" = "iTunes"

"InvokeProgID" = "iTunes.ShowSongsOnCD"

"InvokeVerb" = "showsongs"

HKLM\SOFTWARE\Classes\iTunes.ShowSongsOnCD\shell\showsongs\command\(Default) = ""C:\Program Files\iTunes\iTunes.exe" /AutoPlayShowSongs "%L"" ["Apple Inc."]
 

MedionboxCDBurning\

"Provider" = "Medionbox"

"InvokeProgID" = "Medionbox.BurnCD"

"InvokeVerb" = "Burn"

HKLM\SOFTWARE\Classes\Medionbox.BurnCD\shell\Burn\command\(Default) = ""C:\Program Files\Medion\MEDIONbox\Program\GnabClient.exe" -device %L -burn" [null data]
 

MedionboxPlayCDAudio\

"Provider" = "Medionbox"

"InvokeProgID" = "Medionbox.AudioCD"

"InvokeVerb" = "Play"

HKLM\SOFTWARE\Classes\Medionbox.AudioCD\shell\Play\command\(Default) = ""C:\Program Files\Medion\MEDIONbox\Program\GnabClient.exe" -device %L -play" [null data]
 

NeroAutoPlay7AudioToNeroDigital\

"Provider" = "Nero Burning ROM Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "AudioToNeroDigital_PlayCDAudioOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\AudioToNeroDigital_PlayCDAudioOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Core\nero.exe /Dialog:SaveTracks %L" ["Nero AG"]
 

NeroAutoPlay7CDAudio\

"Provider" = "Nero Express Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "CDAudio_HandleCDBurningOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\CDAudio_HandleCDBurningOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Core\nero.exe -w /New:AudioCD" ["Nero AG"]
 

NeroAutoPlay7CopyCD\

"Provider" = "Nero Burning ROM Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "CopyCD_PlayMusicFilesOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\CopyCD_PlayMusicFilesOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Core\nero.exe /Dialog:DiscCopy %L" ["Nero AG"]
 

NeroAutoPlay7DataDisc\

"Provider" = "Nero Express Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "DataDisc_HandleCDBurningOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\DataDisc_HandleCDBurningOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Core\nero.exe -w /New:ISODisc" ["Nero AG"]
 

NeroAutoPlay7LaunchNeroStartSmart\

"Provider" = "Nero StartSmart Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "LaunchNeroStartSmart_HandleCDBurningOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\LaunchNeroStartSmart_HandleCDBurningOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Nero StartSmart\NeroStartSmart.exe /AutoPlay" ["Nero AG"]
 

NeroAutoPlay7PlayAudioCD\

"Provider" = "Nero ShowTime Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "PlayAudioCD_PlayMusicFilesOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\PlayAudioCD_PlayMusicFilesOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Nero ShowTime\ShowTime.exe /Play %L" ["Nero AG"]
 

NeroAutoPlay7PlayDVD\

"Provider" = "Nero ShowTime Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "PlayDVD_PlayVideoFilesOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\PlayDVD_PlayVideoFilesOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Nero ShowTime\ShowTime.exe /Play %L" ["Nero AG"]
 

NeroAutoPlay7RipCD\

"Provider" = "Nero Burning ROM Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "RipCD_PlayCDAudioOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\RipCD_PlayCDAudioOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Core\nero.exe /Dialog:SaveTracks %L" ["Nero AG"]
 

NeroAutoPlay7TranscodeVideo\

"Provider" = "Nero Recode Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "TranscodeVideo_PlayDVDMovieOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\TranscodeVideo_PlayDVDMovieOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Nero Recode\Recode.exe /New:CopyDVDVideo" ["Nero AG"]
 

NeroAutoPlay7VideoCapture\

"Provider" = "Nero Vision Essentials"

"ProgID" = "Shell.HWEventHandlerShellExecute"

"InitCmdLine" = ""C:\Program Files\Nero\Nero 7\Nero Vision\NeroVision.exe" /New:VideoCapture"

HKLM\SOFTWARE\Classes\Shell.HWEventHandlerShellExecute\CLSID\(Default) = "{FFB8655F-81B9-4fce-B89C-9A6BA76D13E7}"

  -> {HKLM...CLSID} = "Shell Execute Hardware Event Handler"

                   \LocalServer32\(Default) = "C:\Windows\System32\rundll32.exe shell32.dll,SHCreateLocalServerRunDll {FFB8655F-81B9-4fce-B89C-9A6BA76D13E7}" [MS]
 

NeroAutoPlay7ViewPhotos\

"Provider" = "Nero PhotoSnap Viewer Essentials"

"InvokeProgID" = "Nero.AutoPlay7"

"InvokeVerb" = "ViewPhotos_ShowPicturesOnArrival"

HKLM\SOFTWARE\Classes\Nero.AutoPlay7\shell\ViewPhotos_ShowPicturesOnArrival\command\(Default) = "C:\Program Files\Nero\Nero 7\Nero PhotoSnap\PhotoSnapViewer.exe /" ["Nero AG"]
 

Picasa2ImportPicturesOnArrival\

"Provider" = "Picasa2"

"InvokeProgID" = "picasa2.autoplay"

"InvokeVerb" = "import"

HKLM\SOFTWARE\Classes\picasa2.autoplay\shell\import\command\(Default) = "C:\Program Files\Picasa2\Picasa2.exe "%1"" ["Google Inc."]
 

WIA_{04EEA35A-AB10-4811-9BA0-DFEEA7BEB78B}\

"Provider" = "Microsoft Office Document Scanning"

"CLSID" = "{A55803CC-4D53-404c-8557-FD63DBA95D24}"

"InitCmdLine" = "/WiaCmd;C:\Program Files\Common Files\Microsoft Shared\MODI\12.0\MSPSCAN.EXE;"

  -> {HKLM...CLSID} = "WPDShextAutoplay"

                   \LocalServer32\(Default) = "C:\Windows\system32\WPDShextAutoplay.exe" [MS]
 

WIA_{55ECFA93-3D46-4103-9BD5-31D6C42B3F35}\

"Provider" = "Picasa2"

"CLSID" = "{A55803CC-4D53-404c-8557-FD63DBA95D24}"

"InitCmdLine" = "/WiaCmd;C:\Program Files\Picasa2\PicasaMediaDetector.exe /StiDevice:%1 /StiEvent:%2;"

  -> {HKLM...CLSID} = "WPDShextAutoplay"

                   \LocalServer32\(Default) = "C:\Windows\system32\WPDShextAutoplay.exe" [MS]
 
 

Startup items in "****" & "All Users" startup folders:

------------------------------------------------------------
 

C:\Users\*****\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

"uefa.com Alerts" -> shortcut to: "C:\Users\M\uefa-alerts.exe" [file not found]
 

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup

"HP Digital Imaging Monitor" -> shortcut to: "C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe" ["Hewlett-Packard Co."]
 
 

Winsock2 Service Provider DLLs:

-------------------------------
 

Namespace Service Providers
 

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}

000000000001\LibraryPath = "%SystemRoot%\system32\NLAapi.dll" [MS]

000000000002\LibraryPath = "%SystemRoot%\system32\napinsp.dll" [MS]

000000000003\LibraryPath = "%SystemRoot%\system32\pnrpnsp.dll" [MS]

000000000004\LibraryPath = "%SystemRoot%\system32\pnrpnsp.dll" [MS]

000000000005\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

000000000006\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

000000000007\LibraryPath = "C:\Program Files\Bonjour\mdnsNSP.dll" ["Apple Inc."]
 

Transport Service Providers
 

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}

0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:

C:\Windows\system32\wpclsp.dll [MS], 01 - 08, 19

%SystemRoot%\system32\mswsock.dll [MS], 09 - 18, 20 - 27

TEIL 2:

Code:

Toolbars, Explorer Bars, Extensions:

------------------------------------
 

Toolbars
 

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\

"{855F3B16-6D32-4FE6-8A56-BBB695989046}"

  -> {HKLM...CLSID} = "ICQToolBar"

                   \InProcServer32\(Default) = "C:\Program Files\ICQ6Toolbar\ICQToolBar.dll" ["ICQ"]

"{F2CF5485-4E02-4F68-819C-B92DE9277049}"

  -> {HKLM...CLSID} = "&Links"

                   \InProcServer32\(Default) = "C:\Windows\system32\ieframe.dll" [MS]

"{2318C2B1-4965-11D4-9B18-009027A5CD4F}"

  -> {HKLM...CLSID} = "Google Toolbar"

                   \InProcServer32\(Default) = "C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll" ["Google Inc."]

"{C9508125-4747-4733-B048-E4B82DC9716D}"

  -> {HKLM...CLSID} = "PHPNukeDE Toolbar"

                   \InProcServer32\(Default) = "C:\Program Files\PHPNukeDE\tbPHPN.dll" ["Conduit Ltd."]
 

HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\

"{855F3B16-6D32-4FE6-8A56-BBB695989046}" = "ICQToolBar"

  -> {HKLM...CLSID} = "ICQToolBar"

                   \InProcServer32\(Default) = "C:\Program Files\ICQ6Toolbar\ICQToolBar.dll" ["ICQ"]

"{EF99BD32-C1FB-11D2-892F-0090271D4F88}" = (no title provided)

  -> {HKLM...CLSID} = "Yahoo! Toolbar mit Pop-Up-Blocker"

                   \InProcServer32\(Default) = "C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll" ["Yahoo! Inc."]

"{C9508125-4747-4733-B048-E4B82DC9716D}" = "PHPNukeDE Toolbar"

  -> {HKLM...CLSID} = "PHPNukeDE Toolbar"

                   \InProcServer32\(Default) = "C:\Program Files\PHPNukeDE\tbPHPN.dll" ["Conduit Ltd."]

"{2318C2B1-4965-11D4-9B18-009027A5CD4F}" = (no title provided)

  -> {HKLM...CLSID} = "Google Toolbar"

                   \InProcServer32\(Default) = "C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll" ["Google Inc."]
 

Explorer Bars
 

HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\

{855F3B16-6D32-4FE6-8A56-BBB695989046}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "ICQToolBar"

                   \InProcServer32\(Default) = "C:\Program Files\ICQ6Toolbar\ICQToolBar.dll" ["ICQ"]

{A202B231-EF71-4A08-BDB9-4CE5AE8BDE0A}\(Default) = (no title provided)

  -> {HKLM...CLSID} = "IE Developer Toolbar"

                   \InProcServer32\(Default) = "C:\Program Files\Microsoft\Internet Explorer Developer Toolbar\IEDevToolbar.dll" [MS]
 

HKLM\SOFTWARE\Classes\CLSID\{E16DC1FE-7C34-43F2-B754-F3AD12DDF97C}\(Default) = "Google Find Bar"

Implemented Categories\{00021494-0000-0000-C000-000000000046}\ [horizontal bar]

InProcServer32\(Default) = "C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll" ["Google Inc."]
 

HKLM\SOFTWARE\Classes\CLSID\{FF059E31-CC5A-4E2E-BF3B-96E929D65503}\(Default) = "&Recherchieren"

Implemented Categories\{00021493-0000-0000-C000-000000000046}\ [vertical bar]

InProcServer32\(Default) = "C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL" [MS]
 

Extensions (Tools menu items, main toolbar menu buttons)
 

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\

{2670000A-7350-4F3C-8081-5663EE0C6C49}\

"ButtonText" = "An OneNote senden"

"MenuText" = "An OneNote s&enden"

"CLSIDExtension" = "{48E73304-E1D6-4330-914C-F5F514E3486C}"

  -> {HKLM...CLSID} = "Send to OneNote from Internet Explorer button"

                   \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll" [MS]
 

{48FFE35F-36D9-44BD-A6CC-1D34414EAC0D}\

"ButtonText" = "IE Developer Toolbar"

"CLSIDExtension" = "{CC962137-2E78-4F94-975E-FC0C07DBD78F}"

  -> {HKLM...CLSID} = "Developer Toolbar"

                   \InProcServer32\(Default) = "C:\Program Files\Microsoft\Internet Explorer Developer Toolbar\IEDevToolbar.dll" [MS]
 

{92780B25-18CC-41C8-B9BE-3C9C571A8263}\

"ButtonText" = "Recherchieren"
 

{E59EB121-F339-4851-A3BA-FE49C35617C2}\

"ButtonText" = "ICQ6"

"MenuText" = "ICQ6"

"Exec" = "C:\Program Files\ICQ6.5\ICQ.exe" ["ICQ, LLC."]
 
 

Miscellaneous IE Hijack Points

------------------------------
 

C:\WINDOWS\INF\IERESET.INF (used to "Reset Web Settings")

<<H>> C:\WINDOWS\INF\IERESET.INF was not found!
 

HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks\

<<H>> "{855F3B16-6D32-4fe6-8A56-BBB695989046}" = (no title provided)

  -> {HKLM...CLSID} = "ICQToolBar"

                   \InProcServer32\(Default) = "C:\Program Files\ICQ6Toolbar\ICQToolBar.dll" ["ICQ"]

<<H>> "{EF99BD32-C1FB-11D2-892F-0090271D4F88}" = (no title provided)

  -> {HKLM...CLSID} = "Yahoo! Toolbar mit Pop-Up-Blocker"

                   \InProcServer32\(Default) = "C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll" ["Yahoo! Inc."]

<<H>> "{c9508125-4747-4733-b048-e4b82dc9716d}" = (no title provided)

  -> {HKLM...CLSID} = "PHPNukeDE Toolbar"

                   \InProcServer32\(Default) = "C:\Program Files\PHPNukeDE\tbPHPN.dll" ["Conduit Ltd."]
 

HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs\

<<H>> "Tabs" = "C:\ProgramData\ICQ\ICQNewTab\newTab.html" [null data]

<<H>> "InPrivate" = "res://ieframe.dll/inprivate.htm" [MS]
 
 

Running Services (Display Name, Service Name, Path {Service DLL}):

------------------------------------------------------------------
 

Apple Mobile Device, Apple Mobile Device, ""C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe"" ["Apple Inc."]

Ati External Event Utility, Ati External Event Utility, "C:\Windows\system32\Ati2evxx.exe" ["ATI Technologies Inc."]

Avira AntiVir Guard, AntiVirService, ""C:\Program Files\Avira\AntiVir Desktop\avguard.exe"" ["Avira GmbH"]

Avira AntiVir Planer, AntiVirSchedulerService, ""C:\Program Files\Avira\AntiVir Desktop\sched.exe"" ["Avira GmbH"]

Bonjour-Dienst, Bonjour Service, ""C:\Program Files\Bonjour\mDNSResponder.exe"" ["Apple Inc."]

Computerbrowser, Browser, "C:\Windows\System32\svchost.exe -k netsvcs" {"C:\Windows\System32\browser.dll" [MS]}

GnabService, GnabService, "c:\program files\common files\gnab\service\servicecontroller.exe" [null data]

HP CUE DeviceDiscovery Service, hpqddsvc, "C:\Windows\system32\svchost.exe -k hpdevmgmt" {"C:\Program Files\HP\Digital Imaging\bin\hpqddsvc.dll" ["Hewlett-Packard Co."]}

hpqcxs08, hpqcxs08, "C:\Windows\system32\svchost.exe -k hpdevmgmt" {"C:\Program Files\HP\Digital Imaging\bin\hpqcxs08.dll" ["Hewlett-Packard Co."]}

ICQ Service, ICQ Service, "C:\Program Files\ICQ6Toolbar\ICQ Service.exe" [empty string]

Jugendschutz, WPCSvc, "C:\Windows\system32\svchost.exe -k LocalServiceNetworkRestricted" {"C:\Windows\System32\wpcsvc.dll" [MS]}

LightScribeService Direct Disc Labeling Service, LightScribeService, ""C:\Program Files\Common Files\LightScribe\LSSrvc.exe"" ["Hewlett-Packard Company"]

Net Driver HPZ12, Net Driver HPZ12, "C:\Windows\System32\svchost.exe -k HPZ12" {"C:\Windows\system32\HPZinw12.dll" ["Hewlett-Packard"]}

NMIndexingService, NMIndexingService, ""C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe"" ["Nero AG"]

PC Tools Auxiliary Service, sdAuxService, "C:\Program Files\Spyware Doctor\pctsAuxs.exe" ["PC Tools"]

PC Tools Security Service, sdCoreService, "C:\Program Files\Spyware Doctor\pctsSvc.exe" ["PC Tools"]

Pml Driver HPZ12, Pml Driver HPZ12, "C:\Windows\System32\svchost.exe -k HPZ12" {"C:\Windows\system32\HPZipm12.dll" ["Hewlett-Packard"]}

SSTP-Dienst, SstpSvc, "C:\Windows\system32\svchost.exe -k LocalService" {"C:\Windows\system32\sstpsvc.dll" [MS]}

Windows Driver Foundation - Benutzermodus-Treiberframework, wudfsvc, "C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted" {"C:\Windows\System32\WUDFSvc.dll" [MS]}

Windows Live ID Sign-in Assistant, wlidsvc, ""C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE"" [MS]

Windows-Bilderfassung, stisvc, "C:\Windows\system32\svchost.exe -k imgsvc" {"C:\Windows\System32\wiaservc.dll" [MS]}

Zugriff auf Eingabegeräte, hidserv, "C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted" {"C:\Windows\system32\hidserv.dll" [MS]}
 
 

Print Monitors:

---------------
 

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\

LIDIL hpzlllhn\Driver = "hpzlllhn.dll" ["Hewlett-Packard Company"]

Microsoft Document Imaging Writer Monitor\Driver = "mdimon.dll" [MS]

Send To Microsoft OneNote Monitor\Driver = "msonpmon.dll" [MS]
 
 

---------- (launch time: 2009-07-14 14:05:30)

<<!>>: Suspicious data at a malware launch point.

<<H>>: Suspicious data at a browser hijack point.
 

+ This report excludes default entries except where indicated.

+ To see *everywhere* the script checks and *everything* it finds,

  launch it from a command prompt or a shortcut with the -all parameter.

+ To search all directories of local fixed drives for DESKTOP.INI

  DLL launch points, use the -supp parameter or answer "No" at the

  first message box and "Yes" at the second message box.

---------- (total run time: 82 seconds, including 19 seconds for message boxes)

Mit der Festplatte machts das automatisch, wenn ich reingehe, da wird nichts nachgefragt, das legt gleich los. Ich glaube, die hab ich aber gestern schon 2 mal automatisch überprüft, nachdem der PC abgestürzt ist. Muss ich den Scan mit Cureit nicht mehr machen? Und ist das Windows Update denn wichtig?

Hi,

gibt auch nichts her...
Du solltest Dich für eine Securitylösung entscheiden, zuviele stören sich gegenseitig.

Es kann eigentlich nicht sein, das chkdsk mit Parameter /f/r gleich startet, da es dazu exclusiven Zugriff braucht (und das geht nur wenn Windows startet, bevor es richtig "oben" ist)...

Hast Du eine Vista-DVD, um die Systemdateien überprüfen zu können?
Wenn ja, cmd.exe wie folgt starten:
http://www.winsupportforum.de/forum/windows-vista-tipps-und-tricks/55-eingabeaufforderung-als-administrator-starten.html

und dann sfc /scannow in der Konsole eingeben...

Das läuft langsam auf eine Neuinstallation raus:
http://newyear2006.wordpress.com/2006/11/20/reparaturinstallation-unter-windows-vista/

chris

chris

Weshalb wäre die Neuinstallation gut? Ist das problem das schwarze Bild?
Mir ist nach den zahlreichen Starts zu Hause aufgefallen, dass das schwarze Bild nur auftritt wenn Windows unerwartet abstürzt um Schaden zu verhindern, wenn das mein Englisch richtig hergibt.
Ich weiß nicht ob das mit Vista CD gemeint ist: Medion Recovery Disc für Windows Wista Home Premium
Kann es sein, dass bei dem Befehl auch etwas anderes ausgeführt, wird, weil nur wenn ich die Anwendung als Administrator starte öffnet sich das Fenster überhaupt und überprüft dann. Wenn ich es einfach zu öffen versuche, schließt es sich sofort wieder und ich kann gar nichts erkennen.

Hi,

ich denk dass sich ein paar Treiber daneben benehmen oder einige Windowsdatein beschädigt sind, darum.
Allerdings geht mit einer Recovery-CD nur die Neuinstallation.
Bringt das Überprüfen der Systemdateien einen Fehler?
Bei einem Absturz, was wir genau angezeigt?
Sytemsteuerung->System/Arbeitsspeicher u. Prozessor..->Erweiterte Systemeinstellungen->Erweitert->Starten u. Wiederherstellen->Einstellungen und dort dann Systemfehler in das Systemprotokoll eintragen auswählen (Haken dran), Haken bei automatisch Neustart ausführen weg und Auswahlbox kleines Speicherabbild auswählen...
Die Fehler sollten nun in das Systemprotokoll eingetragen werden, so dass nach gelesen werden kann was eigentlich passiert ist...

Nach einem Crash:
Ereignisanzeige:
Start > ausführen > eventvwr.msc
Dort dann unter Windows-Protokolle->System nachschauen bzw. unter Anwendungen etc.

Chris
Ps.: Es kommen dabei einige Sicherheitsabfragen von Windows die abnicken...

Nach nem Abszurz wenn ich neustarte kommt dann das die Festplatte oder die Laufwerke überprüft werden...
Geht das Überprüfen der Systemdateien ohne eine CD?

Hi,

erstmal ja...
Was für ein Dateisystem verwendest Du?

chris

Der Typ des Dateisystem ist NTFS :)
Und ob es jetzt glaubwürdig ist oder nicht, das SP2 ließ sich nun installieren.:Boogie:

Screenshot vom Ergebnis.

Hi,

wir kommen der Sache langsam näher...

chris

Ist wohl was auffälliges dabei?
Welches Antivirenprogramm soll ich verwenden bzw welches soll ich deaktivieren?

Windows-Update und ICQ-Problem haben wir gelöst:Boogie: Danke schonmal. Fehlt nur noch das eine böse Problem:pfui:

Hi,

welches meinst Du?

Zitat:

...
wenn ich meinen PC starte erscheint der Destkop nicht. Wenn ich aber 45 Sekunden warte, erscheint er dann. Den Taskmanager kann ich aufrufen, aber sonst geht nichts.
...

Schwarzer Bildschirm am Anfang ist normal (macht meiner auch zwischendurch), wenn nicht auch für 45 Sekunden (das ist ein bisschen lang)...

Probieren wir das hier mal:
Lade Dir "Advanced Windowscare Professional" von folgender Adresse:
http://www.iobit.com/advancedwindowscareper.html?Str=download
Installieren auf Deutsch, Yahoo-Toolbar etc. abwählen.
Erstelle einen Systemwiederherstellungspunkt
(Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen) oder lasse ihn automatisch erstellen.
Führe dann einen Update der Signatur/Reparaturdateien aus.
Lasse dann das gesamte System scannen und Bereinigen sowie
Immunisieren.
Damit werden einige Einträge wieder gerade gebogen, die von
Trojaneren/Viren verbogen worden sind...

chris

Ja das mein ich, aber kann es sein, dass es nach einem Absturz normal ist, dass der Destkop nach der Anmeldung schwarz bleibt?
Windows Wartung und Analyse hab ich gemacht und es hat eigentlich nichts bewegendes gefunden, nur beim Sicherheitschek findet es immer 4.000 Stück nach dem Neustarten. Repariert hab ich solange bis immer nix mehr da war.

Ist dann der Report der sich öffnet von meinem PC oder ein Beispiel, weil der Scan findet nichts mehr und im Report
Start UP NeroCheck.exe Added by the PROXY-X TROJAN! Note - this is not related to "Nero Burning Rom" CD writing software
Wenn du jetzt aber nichts mehr findest dürften die Probleme gelöst sein und der Neuinstallation dürfte ich auch entgangen sein oder?

Hi,

in dem Fall lass die Datei NeroCheck.exe bie virustotal überprüfen und poste den Report. Einfach löschen auf keinen Fall, das kann schief gehen...

chris

Die Datei wird aber auf meinem Rechner gar nicht gefunden:confused:

Code:

Antivirus         Version         letzte aktualisierung         Ergebnis

a-squared         4.5.0.18         2009.07.11         -

AhnLab-V3         5.0.0.2         2009.07.10         -

AntiVir         7.9.0.204         2009.07.10         -

Antiy-AVL         2.0.3.1         2009.07.10         -

Authentium         5.1.2.4         2009.07.10         -

Avast         4.8.1335.0         2009.07.10         -

AVG         8.5.0.387         2009.07.10         -

BitDefender         7.2         2009.07.11         -

CAT-QuickHeal         10.00         2009.07.10         -

ClamAV         0.94.1         2009.07.10         -

Comodo         1612         2009.07.11         -

DrWeb         5.0.0.12182         2009.07.11         -

eSafe         7.0.17.0         2009.07.09         -

eTrust-Vet         31.6.6608         2009.07.10         -

F-Prot         4.4.4.56         2009.07.10         -

F-Secure         8.0.14470.0         2009.07.10         -

Fortinet         3.120.0.0         2009.07.11         -

GData         19         2009.07.11         -

Ikarus         T3.1.1.64.0         2009.07.11         -

Jiangmin         11.0.706         2009.07.09         -

K7AntiVirus         7.10.789         2009.07.10         -

Kaspersky         7.0.0.125         2009.07.11         -

McAfee         5672         2009.07.10         -

McAfee+Artemis         5672         2009.07.10         -

McAfee-GW-Edition         6.8.5         2009.07.10         -

Microsoft         1.4803         2009.07.11         -

NOD32         4233         2009.07.11         -

Norman         6.01.09         2009.07.10         -

nProtect         2009.1.8.0         2009.07.11         -

Panda         10.0.0.14         2009.07.10         -

PCTools         4.4.2.0         2009.07.10         -

Prevx         3.0         2009.07.11         -

Rising         21.37.44.00         2009.07.10         -

Sophos         4.43.0         2009.07.11         -

Sunbelt         3.2.1858.2         2009.07.10         -

Symantec         1.4.4.12         2009.07.11         -

TheHacker         6.3.4.3.365         2009.07.11         -

TrendMicro         8.950.0.1094         2009.07.10         -

VBA32         3.12.10.8         2009.07.11         -

ViRobot         2009.7.11.1830         2009.07.11         -

VirusBuster         4.6.5.0         2009.07.10         -

weitere Informationen

File size: 155648 bytes

MD5   : c93ab037a8c792d5f8a1a9fc88a7c7c5

SHA1  : 0419e56bbf751bf104aa9f7058901e9075be6427

SHA256: a3f274af4a275771f6033e86d286635acf10cc09036d61dcf6ddaa4883cf6feb

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x4B18

timedatestamp.....: 0x43C66A6B (Thu Jan 12 15:40:43 2006)

machinetype.......: 0x14C (Intel I386)
 

( 4 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x18D02 0x19000 6.60 302e9e78c8d1a40328774fea567df8f2

.rdata 0x1A000 0x524E 0x6000 4.15 265298119ec1f8f8c526398a74a30e3d

.data 0x20000 0x7CB0 0x4000 2.35 140eb5c3def70f4e05da8f3953a70937

.rsrc 0x28000 0x1040 0x2000 1.99 0c9a69f8625907a61dda71ff821c2b25
 

( 0 imports )
 
 

( 0 exports )

TrID  : File type identification

Win64 Executable Generic (54.6%)

Win32 Executable MS Visual C++ (generic) (24.0%)

Windows Screen Saver (8.3%)

Win32 Executable Generic (5.4%)

Win32 Dynamic Link Library (generic) (4.8%)

ssdeep: 3072:o6Hilo94c09Yo0Q0DCW0lWMB+klJpLUZTM7AKPYK2cK:ox6G9Yo0JiT+AP

PEiD  : Armadillo v1.71

RDS   : NSRL Reference Data Set
 

( Nero )
 

Nero 7 Essentials: NeroCheck5FADA5E3.exeNero 7 Ultra Edition Enhanced: NeroCheck5FADA5E3.exe

Hi,

deinstalliere Nero komplett und installiere ihn dann wieder...

chris

Hab es deinstalliert, dann gescannt -> kein Fund
Installiert, kommt die Meldung wieder.

Dann hab ich noch 2 grundlegende Fragen:

Welches Virenprogramm meinst du, soll ich runterschmeißen?
Und wie erkennt man bei Avira am besten ob es ein "Fehlalarm" oder ein Virus ist?

Hi,

die betreffende Datei einfach bei Virustotal testen lassen oder in Quarantäne schicken und von dort aus dann zu Avira...
Du kannst in den Einstellungen von Avira nero als Ausnahme hinterlegen...

Es sollte immer nur ein Guard installiert sein, sonst stören sich die Programme gegenseitig...

Du hast neben Avira, MAM auch noch Spywaredoktor drauf...
Ich würde nur MAM und Avira drauf lassen...

chris

"Advanced Windowscare Professional" findet das Nerocheck.exe. Avira findet keinen Virus. Aber es ist trotzdem keiner. Gibts jetzt noch irgendetwas?

Ok Spyware Doctor hab ich jetzt vom Pc runtergeschmissen :rolleyes:

@Wombat44: Das hättest Du schon eher machen sollen, ich denke mal das war auch ein Grund für den ein oder anderen Absturz oder Hänger. Wenn beide Vierenchecker-Guard aktiv waren, haben die sich um die Dateien "gestritten".
Dein System sollte jetzt merklich flüssiger laufen..

@Chris4You: Hut ab... :)

Wenn alles in Ordnung ist muss ich Chris natürlich sehr danken für dass das er seine freizeit dafür opfert um leuten zu helfen die wo keine ahnung vom pc haben:)