Trojaner-Board - Firefox öffnet ständig neue Fenster mit mehreren Tabs

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Firefox öffnet ständig neue Fenster mit mehreren Tabs (https://www.trojaner-board.de/79974-firefox-oeffnet-staendig-neue-fenster-mehreren-tabs.html)

Firefox öffnet ständig neue Fenster mit mehreren Tabs

Hallo zusammen!
Seit einigen Tagen habe ich Probleme mit Firefox! Es öffnet ständig neue Fenster mit darin geöffneten Tabs. Es sind immer die gleichen Tabs. 2 davon zeigen einen Seiten-Ladefehler an, 2 andere zeigen den Index von file:///C:/Dokumente und Einstellungen/***/Desktop/# und der letzte zeigt immer die seite h**p://imp.ovh.net/ an!

Ich habe bis jetzt avira antivir scannen lassen. Es hat nichts gefunden!
Anschließend habe ich es mit adaware versucht. Ebenfalls nix!
Als nächstes blieb spybot ohne ergebnis!

In meiner verzweiflung wende ich mich an dieses Forum!
Ich habe bereits bisschen gegoogelt aber nirgendwo das gleiche problem gefunden, häufig öffnet firefox bei anderen leuten werbefenster aber das ist es bei mir glaube ich nicht.

Ich habe also als letzten Schritt mal eine Logfile mit HijackThis gemacht. Ich hoffe die wird aufschlussreich sein.

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:44:50, on 02.12.2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Programme\Winamp\winampa.exe

C:\Programme\Caere\OmniPagePro90\opware32.exe

C:\Programme\Java\jre6\bin\jusched.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Windows Live\Messenger\msnmsgr.exe

C:\WINDOWS\system32\ntvdm.exe

C:\Programme\OpenOffice.org 3\program\soffice.exe

C:\Programme\OpenOffice.org 3\program\soffice.bin

C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe

C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe

C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE

C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE

C:\Programme\Trend Micro\HijackThis\HijackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.msn.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?o=13166&l=dis

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe dkgf.ffo axony

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: MSN Toolbar Helper - {d2ce3e00-f94a-4740-988e-03dc2f38c34f} - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: (no name) - {D0943516-5076-4020-A3B5-AEFAF26AB263} - (no file)

O3 - Toolbar: MSN Toolbar - {1E61ED7C-7CB8-49d6-B9E9-AB4C880C8414} - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll

O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe

O4 - HKLM\..\Run: [OmniPage] C:\Programme\Caere\OmniPagePro90\opware32.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [Serif WebPlus X2 OLR] C:\PROGRA~1\BVRPSO~1\SERIFW~1\BVRPOlr.exe /Serif WebPlus X2

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: OpenOffice.org 3.0.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: Save YouTube Video as MP3 - res://C:\Programme\Gemeinsame Dateien\DVDVideoSoft\Dll\IEContextMenuY.dll/scriptY2MP3.htm

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{E8432FA7-9AC8-409B-B263-1BD4814AB5F1}: NameServer = 217.0.43.33 217.0.43.17

O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

So ich bedanke mich schon mal im voraus und hoffe ich habe was nützliches reingestellt und beschrieben.
Vg

Hi,

Askbar deinstallieren und hier haben wir noch was:

Code:

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe dkgf.ffoaxony

Bitte daher folgende Files prüfen:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

dkgf.ffo

axony

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Hijackthis, fixen:
öffne das HijackThis -- Button "scan" -- vor den nachfolgenden Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten
Beim fixen müssen alle Programme geschlossen sein!

Code:

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe dkgf.ffo axony

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.

RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
* Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
* speichere es auf Deinem Desktop.
* Starte mit Doppelklick die RSIT.exe.
* Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
* Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
* In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
* Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
* Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
* Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
* Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

Gmer:
http://www.trojaner-board.de/74908-anleitung-gmer-rootkit-scanner.html
Den Downloadlink findest Du links oben (www.gmer.net/files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte gmer und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris

Schon mal vielen dank für die anleitung!
Ich werde versuchen es hinzubekommen. Ich weiss zwar nicht ob ich es heute noch schaffe da es sich nach sehr viel anhört(ansonsten morgen:D) aber sobald ich neuigkeiten habe poste ich sie hier!
Vielen dank.

Hi,

Ok!
Die Datei kann die Endung dll haben, also:
dkgf.ffo.dll

chris

@Chris4You

Sag mal Chris, ich hab wohl so ein ähnliches Problem. Könntest du Dir mein Topic anschauen und mein Log-File und mir sagen, ob ich genau so vorgehen muss wie du es hier vorschlägst oder ob du was anderes raten würdest? Du scheinst Ahnung zu haben, ansonsten konnte mir bisher keiner helfen ...

Das wäre super, Danke Dir schonmal...

http://www.trojaner-board.de/79976-browser-ie-und-firefox-oefnnen-von-alleine-fenster-mit-vielen-tabs.html

So nun habe ich ein wenig getan.
Ich habe den schritt mit der Virustotal-seite nicht hinbekommen, da ich die dateien: dkgf.ffo(.dll) und axony nicht gefunden habe zum hochladen:(

Die askbar ist deinstalliert und hijackthis ist auch gefixt!

Den scan mit Malwarebytes habe ich eben auch erledigt. Es gab 1 infizierten fund!
code:

Code:

Malwarebytes' Anti-Malware 1.41

Datenbank Version: 3284

Windows 5.1.2600 Service Pack 2
 

03.12.2009 16:18:49

mbam-log-2009-12-03 (16-18-49).txt
 

Scan-Methode: Vollständiger Scan (C:\|D:\|)

Durchsuchte Objekte: 261162

Laufzeit: 3 hour(s), 56 minute(s), 49 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 1

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

C:\WINDOWS\system\DRIVER (Trojan.Agent) -> Quarantined and deleted successfully.
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

Während der scan lief meldete sich mein antivir guard und berichtete über einen trojaner fund (TR/Crypt.CFI.gen). Den habe ich löschen lassen.

So viel vorerst mal. Werde jetzt mit dem rest weiter machen.

vg

Hi,

das hier sieht nach einem Backdoor aus, mal sehen was RSIT noch so bringt...
"C:\WINDOWS\system\DRIVER"

Eigentlich sollten da aber Files drin sein, die sind dann wohl schon gelöscht worden...

chris

zuerst rsit logfile:

Code:

Logfile of random's system information tool 1.06 (written by random/random)

Run by * at 2009-12-03 16:30:48

Microsoft Windows XP Professional Service Pack 2

System drive C: has 5 GB (12%) free of 40 GB

Total RAM: 1279 MB (32% free)
 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:31:10, on 03.12.2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Programme\Winamp\winampa.exe

C:\Programme\Caere\OmniPagePro90\opware32.exe

C:\Programme\Java\jre6\bin\jusched.exe

C:\WINDOWS\system32\ntvdm.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Windows Live\Messenger\msnmsgr.exe

C:\Programme\OpenOffice.org 3\program\soffice.exe

C:\Programme\OpenOffice.org 3\program\soffice.bin

C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe

C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe

C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE

C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE

C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE

C:\Dokumente und Einstellungen\***\Desktop\RSIT.exe

C:\Programme\Trend Micro\HijackThis\Kasapovic.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.msn.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?o=13166&l=dis

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {201f27d4-3704-41d6-89c1-aa35e39143ed} - (no file)

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: MSN Toolbar Helper - {d2ce3e00-f94a-4740-988e-03dc2f38c34f} - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: (no name) - {D0943516-5076-4020-A3B5-AEFAF26AB263} - (no file)

O3 - Toolbar: MSN Toolbar - {1E61ED7C-7CB8-49d6-B9E9-AB4C880C8414} - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe

O4 - HKLM\..\Run: [OmniPage] C:\Programme\Caere\OmniPagePro90\opware32.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [Serif WebPlus X2 OLR] C:\PROGRA~1\BVRPSO~1\SERIFW~1\BVRPOlr.exe /Serif WebPlus X2

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: OpenOffice.org 3.0.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: Save YouTube Video as MP3 - res://C:\Programme\Gemeinsame Dateien\DVDVideoSoft\Dll\IEContextMenuY.dll/scriptY2MP3.htm

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{E8432FA7-9AC8-409B-B263-1BD4814AB5F1}: NameServer = 217.0.43.33 217.0.43.17

O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
 

--

End of file - 6006 bytes
 

======Scheduled tasks folder======
 

C:\WINDOWS\tasks\Ad-Aware Update (Weekly).job
 

======Registry dump======
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]

AcroIEHlprObj Class - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll [2005-09-23 63136]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{201f27d4-3704-41d6-89c1-aa35e39143ed}]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]

Spybot-S&D IE Protection - C:\PROGRA~1\SPYBOT~1\SDHelper.dll [2009-01-26 1879896]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}]

Windows Live Anmelde-Hilfsprogramm - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll [2009-01-22 408448]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{d2ce3e00-f94a-4740-988e-03dc2f38c34f}]

MSN Toolbar Helper - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll [2009-03-13 82768]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}]

Java(tm) Plug-In 2 SSV Helper - C:\Programme\Java\jre6\bin\jp2ssv.dll [2009-10-11 41760]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E7E6F031-17CE-4C07-BC86-EABFE594F69C}]

JQSIEStartDetectorImpl Class - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll [2009-10-11 73728]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

{D0943516-5076-4020-A3B5-AEFAF26AB263}

{1E61ED7C-7CB8-49d6-B9E9-AB4C880C8414} - MSN Toolbar - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll [2009-03-13 82768]
 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"ZoneAlarm Client"=C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe [2008-07-09 919016]

"SoundMan"=C:\WINDOWS\SOUNDMAN.EXE [2007-04-16 577536]

"WinampAgent"=C:\Programme\Winamp\winampa.exe [2009-03-09 37888]

"OmniPage"=C:\Programme\Caere\OmniPagePro90\opware32.exe [1998-10-22 44032]

"SunJavaUpdateSched"=C:\Programme\Java\jre6\bin\jusched.exe [2009-10-11 149280]

"avgnt"=C:\Programme\Avira\AntiVir Desktop\avgnt.exe [2009-03-02 209153]
 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe [2002-12-31 15360]

"msnmsgr"=C:\Programme\Windows Live\Messenger\msnmsgr.exe [2009-07-26 3883840]

"Serif WebPlus X2 OLR"=C:\PROGRA~1\BVRPSO~1\SERIFW~1\BVRPOlr.exe [2008-02-11 79104]

"SpybotSD TeaTimer"=C:\Programme\Spybot - Search & Destroy\TeaTimer.exe [2009-03-05 2260480]
 

C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\Autostart

Adobe Gamma Loader.lnk - C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe

Adobe Reader - Schnellstart.lnk - C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
 

C:\Dokumente und Einstellungen\***\Startmenü\Programme\Autostart

OpenOffice.org 3.0.lnk - C:\Programme\OpenOffice.org 3\program\quickstart.exe
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\Lavasoft Ad-Aware Service]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\vsmon]
 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]

"dontdisplaylastusername"=0

"legalnoticecaption"=

"legalnoticetext"=

"shutdownwithoutlogon"=1

"undockwithoutlogon"=1
 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]

"NoDriveTypeAutoRun"=145
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\WINDOWS\system32\usmt\migwiz.exe"="C:\WINDOWS\system32\usmt\migwiz.exe:*:Enabled:Assistent zum Übertragen von Dateien und Einstellungen"

"C:\Programme\Messenger\msmsgs.exe"="C:\Programme\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"

"C:\Programme\Skype\Phone\Skype.exe"="C:\Programme\Skype\Phone\Skype.exe:*:Enabled:Skype"

"C:\Programme\Windows Live\Messenger\msnmsgr.exe"="C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\Programme\Windows Live\Messenger\msnmsgr.exe"="C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{1ca8dacc-3beb-11de-b6cf-0010dcf86261}]

shell\AutoRun\command - K:\LaunchU3.exe -a
 
 

======List of files/folders created in the last 1 months======
 

2009-12-03 16:30:48 ----D---- C:\rsit

2009-12-03 11:42:29 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Malwarebytes

2009-12-03 11:42:17 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Malwarebytes

2009-12-03 11:42:16 ----D---- C:\Programme\Malwarebytes' Anti-Malware

2009-12-02 20:57:21 ----D---- C:\Programme\Gemeinsame Dateien\fun communications

2009-12-02 20:57:05 ----A---- C:\WINDOWS\Active Setup Log.txt

2009-12-02 15:29:42 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\TEMP

2009-12-02 15:01:13 ----D---- C:\Programme\Trend Micro

2009-12-02 13:39:52 ----D---- C:\Programme\Spybot - Search & Destroy

2009-12-02 13:39:52 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Spybot - Search & Destroy

2009-12-01 15:14:39 ----HDC---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\{CFBD8779-FAAB-4357-84F2-1EC8619FADA6}

2009-12-01 15:13:36 ----D---- C:\Programme\Lavasoft

2009-12-01 15:13:36 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Lavasoft

2009-11-29 14:48:30 ----D---- C:\Programme\Microsoft SQL Server Compact Edition

2009-11-29 14:47:11 ----HDC---- C:\WINDOWS\$NtUninstallWIC$

2009-11-29 14:45:03 ----D---- C:\Programme\Microsoft

2009-11-28 00:53:14 ----D---- C:\Programme\Avira

2009-11-28 00:53:14 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Avira

2009-11-24 15:31:48 ----A---- C:\WINDOWS\system32\javaws.exe

2009-11-24 15:31:48 ----A---- C:\WINDOWS\system32\javaw.exe

2009-11-24 15:31:48 ----A---- C:\WINDOWS\system32\java.exe
 

======List of files/folders modified in the last 1 months======
 

2009-12-03 16:31:07 ----D---- C:\WINDOWS\Prefetch

2009-12-03 16:29:29 ----D---- C:\WINDOWS\Internet Logs

2009-12-03 14:44:36 ----D---- C:\WINDOWS\Temp

2009-12-03 12:14:04 ----D---- C:\Programme\Mozilla Firefox

2009-12-03 12:04:51 ----SD---- C:\WINDOWS\Tasks

2009-12-03 11:59:28 ----D---- C:\WINDOWS\system32\CatRoot2

2009-12-03 11:57:53 ----A---- C:\WINDOWS\SchedLgU.Txt

2009-12-03 11:55:16 ----RD---- C:\Programme

2009-12-03 11:42:20 ----D---- C:\WINDOWS\system32\drivers

2009-12-02 20:57:56 ----A---- C:\WINDOWS\win.ini

2009-12-02 20:57:52 ----AD---- C:\WINDOWS\system32

2009-12-02 20:57:21 ----D---- C:\Programme\Gemeinsame Dateien

2009-12-02 20:57:10 ----D---- C:\WINDOWS

2009-12-02 20:56:52 ----A---- C:\TO_InstallLog.txt

2009-12-02 20:56:03 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\T-Online_ZusatzSoftware

2009-12-02 18:46:44 ----D---- C:\Programme\MessengerDiscovery

2009-12-02 18:46:12 ----D---- C:\Programme\MSN Messenger

2009-12-02 18:42:56 ----D---- C:\Programme\Gemeinsame Dateien\Dienste

2009-12-01 15:19:52 ----HD---- C:\WINDOWS\inf

2009-12-01 15:19:06 ----DC---- C:\WINDOWS\system32\DRVSTORE

2009-12-01 15:14:39 ----SHD---- C:\WINDOWS\Installer

2009-12-01 15:14:37 ----SHD---- C:\Config.Msi

2009-12-01 13:38:29 ----D---- C:\WINDOWS\system32\CatRoot

2009-12-01 11:28:07 ----D---- C:\Programme\PokerStars

2009-12-01 11:24:39 ----D---- C:\Programme\PokerStars.NET

2009-11-30 18:46:10 ----D---- C:\Ado

2009-11-29 14:48:34 ----RSD---- C:\WINDOWS\assembly

2009-11-29 14:46:21 ----D---- C:\Programme\Windows Live

2009-11-28 00:51:49 ----D---- C:\WINDOWS\WinSxS

2009-11-28 00:51:47 ----D---- C:\Programme\Gemeinsame Dateien\Microsoft Shared

2009-11-24 15:31:16 ----D---- C:\Programme\Java

2009-11-18 16:25:11 ----D---- C:\****

2009-11-16 19:36:23 ----D---- C:\***

2009-11-16 09:14:17 ----D---- C:\My Downloads

2009-11-09 22:11:22 ----SD---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Microsoft
 

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
 

R1 AmdK7;AMD K7-Prozessortreiber; C:\WINDOWS\system32\DRIVERS\amdk7.sys [2002-12-31 41472]

R1 avgio;avgio; \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys []

R1 avipbb;avipbb; C:\WINDOWS\system32\DRIVERS\avipbb.sys [2009-03-30 96104]

R1 KLIF;KLIF; C:\WINDOWS\system32\DRIVERS\klif.sys [2007-07-19 127768]

R1 ssmdrv;ssmdrv; C:\WINDOWS\system32\DRIVERS\ssmdrv.sys [2009-05-11 28520]

R1 vsdatant;vsdatant; C:\WINDOWS\System32\vsdatant.sys [2008-07-09 394952]

R2 acedrv11;acedrv11; \??\C:\WINDOWS\system32\drivers\acedrv11.sys []

R2 avgntflt;avgntflt; C:\WINDOWS\system32\DRIVERS\avgntflt.sys [2009-07-28 55656]

R3 ALCXWDM;Service for Realtek AC97 Audio (WDM); C:\WINDOWS\system32\drivers\ALCXWDM.SYS [2008-09-24 4122368]

R3 Arp1394;1394-ARP-Clientprotokoll; C:\WINDOWS\system32\DRIVERS\arp1394.sys [2002-12-31 60800]

R3 AVMWAN;AVM NDIS WAN CAPI-Treiber; C:\WINDOWS\system32\DRIVERS\avmwan.sys [2001-08-17 37568]

R3 FETNDIS;VIA PCI 10/100-MBit/s-Fast Ethernetadapter-NT-Treiber; C:\WINDOWS\system32\DRIVERS\fetnd5.sys [2001-08-17 27165]

R3 fpcibase;AVM ISDN-Controller FRITZ!Card PCI; C:\WINDOWS\system32\DRIVERS\fpcibase.sys [2001-08-17 444416]

R3 HidUsb;Microsoft HID Class-Treiber; C:\WINDOWS\system32\DRIVERS\hidusb.sys [2001-08-17 9600]

R3 mouhid;Maus-HID-Treiber; C:\WINDOWS\system32\DRIVERS\mouhid.sys [2001-08-18 12288]

R3 ms_mpu401;Microsoft MPU-401 MIDI UART-Treiber; C:\WINDOWS\system32\drivers\msmpu401.sys [2001-08-17 2944]

R3 NIC1394;1394-Netzwerktreiber; C:\WINDOWS\system32\DRIVERS\nic1394.sys [2002-12-31 61824]

R3 nv;nv; C:\WINDOWS\system32\DRIVERS\nv4_mini.sys [2004-08-03 1897408]

R3 SCREAMINGBDRIVER;Screaming Bee Audio; C:\WINDOWS\system32\drivers\ScreamingBAudio.sys [2009-03-27 23064]

R3 usbehci;Miniporttreiber für erweiterten Microsoft USB 2.0-Hostcontroller; C:\WINDOWS\system32\DRIVERS\usbehci.sys [2002-12-31 26624]

R3 usbhub;USB2-aktivierter Hub; C:\WINDOWS\system32\DRIVERS\usbhub.sys [2002-12-31 57600]

R3 usbstor;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2002-12-31 26496]

R3 usbuhci;Miniporttreiber für universellen Microsoft USB-Hostcontroller; C:\WINDOWS\system32\DRIVERS\usbuhci.sys [2002-12-31 20480]

S3 CA561;ICatch (VI) PC Camera; C:\WINDOWS\System32\Drivers\SPCA561.SYS [2002-10-01 119798]

S3 CCDECODE;Untertiteldecoder; C:\WINDOWS\system32\DRIVERS\CCDECODE.sys [2004-08-03 17024]

S3 MSTEE;Microsoft Streaming Tee/Sink-to-Sink-Konvertierung; C:\WINDOWS\system32\drivers\MSTEE.sys [2004-08-03 5504]

S3 NABTSFEC;NABTS/FEC VBI-Codec; C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys [2004-08-03 85376]

S3 NdisIP;Microsoft TV-/Videoverbindung; C:\WINDOWS\system32\DRIVERS\NdisIP.sys [2004-08-03 10880]

S3 PCANDIS5;PCANDIS5; \??\C:\PROGRA~1\T-DSLS~1\PCANDIS5.SYS []

S3 SLIP;BDA Slip De-Framer; C:\WINDOWS\system32\DRIVERS\SLIP.sys [2004-08-03 11136]

S3 streamip;BDA-IPSink; C:\WINDOWS\system32\DRIVERS\StreamIP.sys [2004-08-03 15360]

S3 usbccgp;Microsoft Standard-USB-Haupttreiber; C:\WINDOWS\system32\DRIVERS\usbccgp.sys [2004-08-03 31616]

S3 usbscan;USB-Scannertreiber; C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 15104]

S3 WSTCODEC;World Standard Teletext-Codec; C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS [2004-08-03 19328]

S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys []
 

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
 

R2 AntiVirSchedulerService;Avira AntiVir Planer; C:\Programme\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]

R2 AntiVirService;Avira AntiVir Guard; C:\Programme\Avira\AntiVir Desktop\avguard.exe [2009-07-21 185089]

R2 JavaQuickStarterService;Java Quick Starter; C:\Programme\Java\jre6\bin\jqs.exe [2009-10-11 153376]

R2 UMWdf;Windows User Mode Driver Framework; C:\WINDOWS\system32\wdfmgr.exe [2005-01-28 38912]

R2 vsmon;TrueVector Internet Monitor; C:\WINDOWS\system32\ZoneLabs\vsmon.exe [2008-07-09 75304]

S2 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service; C:\Programme\Lavasoft\Ad-Aware\AAWService.exe [2009-12-01 1184912]

S3 Adobe LM Service;Adobe LM Service; C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe [2005-04-25 68096]

S3 aspnet_state;ASP.NET State Service; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2005-09-23 29896]

S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2005-09-23 66240]
 

-----------------EOF-----------------

die rsit info file:

Code:

info.txt logfile of random's system information tool 1.06 2009-12-03 16:31:13
 

======Uninstall list======
 

-->"C:\Programme\InstallShield Installation Information\{0494A42D-5498-4A52-8865-5AF02A992865}\setup.exe" -runfromtemp -l0x0007 -removeonly

-->C:\Programme\DivX\DivXConverterUninstall.exe /CONVERTER

-->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf

Ad-Aware-->"C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\{CFBD8779-FAAB-4357-84F2-1EC8619FADA6}\Ad-AwareInstallation.exe" REMOVE=TRUE MODIFY=FALSE

Ad-Aware-->C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\{CFBD8779-FAAB-4357-84F2-1EC8619FADA6}\Ad-AwareInstallation.exe

Adobe Flash Player 10 ActiveX-->C:\WINDOWS\system32\Macromed\Flash\uninstall_activeX.exe

Adobe Flash Player 10 Plugin-->C:\WINDOWS\system32\Macromed\Flash\uninstall_plugin.exe

Adobe Photoshop CS-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\PROFES~1\RunTime\0701\Intel32\Ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{EFB21DE7-8C19-4A88-BB28-A766E16493BC}\setup.exe" -l0x9 

Adobe Reader 7.0.5 - Deutsch-->MsiExec.exe /I{AC76BA86-7AD7-1031-7B44-A70500000002}

Adobe Shockwave Player 11.5-->C:\WINDOWS\system32\Adobe\uninstaller.exe

ArcSoft PhotoBase-->C:\WINDOWS\IsUn0407.exe -fC:\Programme\ArcSoft\PhotoBase\Uninst.isu

ArcSoft PhotoStudio 2000-->C:\WINDOWS\IsUn0407.exe -f"C:\Programme\ArcSoft\PhotoStudio 2000\Uninst.isu"

Avira AntiVir Personal - Free Antivirus-->C:\Programme\Avira\AntiVir Desktop\setup.exe /REMOVE

Canon ScanGear Toolbox 3.1-->C:\WINDOWS\IsUn0407.exe -f"C:\Programme\Canon\ScanGear Toolbox Ver3.1\Uninst.isu" -c"C:\Programme\Canon\ScanGear Toolbox Ver3.1\uninst.dll"

Clean Virus MSN-->"C:\Programme\Clean Virus MSN\unins000.exe"

DivX Codec-->C:\Programme\DivX\DivXCodecUninstall.exe /CODEC

DivX Converter-->C:\Programme\DivX\DivXConverterUninstall.exe /CONVERTER

DivX Player-->C:\Programme\DivX\DivXPlayerUninstall.exe /PLAYER

DivX Plus DirectShow Filters-->C:\Programme\DivX\DivXDSFiltersUninstall.exe /DSFILTERS

DivX Web Player-->C:\Programme\DivX\DivXWebPlayerUninstall.exe /PLUGIN

Free YouTube Converter-->"C:\Programme\Topsevenreviews\Free YouTube Converter\unins000.exe"

Free YouTube to Mp3 Converter version 3.2-->"C:\Programme\DVDVideoSoft\Free YouTube to Mp3 Converter\unins000.exe"

HijackThis 2.0.2-->"C:\Programme\Trend Micro\HijackThis\HijackThis.exe" /uninstall

homepageMAKER 6 Ultimate v1.1-->"C:\***\Ultimate\unins000.exe"

Hotfix für Windows XP (KB942288-v3)-->"C:\WINDOWS\$NtUninstallKB942288-v3$\spuninst\spuninst.exe"

ICatch (VI) PC Camera-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\engine\6\INTEL3~1\ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{F48C6EA5-3B43-11D6-86A6-0050BA0259A2}\setup.exe" 

Java(TM) 6 Update 17-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216013FF}

Junk Mail filter update-->MsiExec.exe /I{E2DFE069-083E-4631-9B6C-43C48E991DE5}

Malwarebytes' Anti-Malware-->"C:\Programme\Malwarebytes' Anti-Malware\unins000.exe"

Mediscript-CD GK1-->C:\PROGRA~1\GK1neu\UNWISE.EXE C:\PROGRA~1\GK1neu\INSTALL.LOG

Microsoft .NET Framework 2.0-->C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\Microsoft .NET Framework 2.0\install.exe

Microsoft Choice Guard-->MsiExec.exe /X{F0E12BBA-AD66-4022-A453-A1C8A0C4D570}

Microsoft Silverlight-->MsiExec.exe /X{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}

Microsoft SQL Server 2005 Compact Edition [ENU]-->MsiExec.exe /I{F0B430D1-B6AA-473D-9B06-AA3DD01FD0B8}

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17-->MsiExec.exe /X{9A25302D-30C0-39D9-BD6F-21E6EC160475}

MorphVOX Pro-->MsiExec.exe /I{5A78F453-A2EA-4985-AE58-9775F373D7A4}

Mozilla Firefox (3.0.15)-->C:\PROGRAMME\Mozilla Firefox\uninstall\helper.exe

MSN Toolbar-->MsiExec.exe /I{0A88ADDA-E297-4AB8-9540-016230895F62}

MSVCRT-->MsiExec.exe /I{22B775E7-6C42-4FC5-8E10-9A5E3257BD94}

OmniPage Pro 9.0-->C:\Programme\Caere\OmniPagePro90\Deinstall.exe "C:\Programme\Caere\OmniPagePro90\uninstall.exe -f'C:\Programme\Caere\OmniPagePro90\DeIsL1.isu'"

OpenOffice.org 3.0-->MsiExec.exe /I{04B45310-A5FE-4425-BFCA-1A6D8920DE74}

PC Inspector smart recovery-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\PROFES~1\RunTime\0701\Intel32\Ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{C9A87D86-FDFD-418B-BF96-EF09320973B3}\Setup.exe" -l0x7 

ProtectDisc Driver, Version 11-->C:\Programme\ProtectDisc Driver Installer\uninstall_v11.exe

Realtek AC'97 Audio-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\PROFES~1\RunTime\11\50\Intel32\Ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{FB08F381-6533-4108-B7DD-039E11FBC27E}\setup.exe" -l0x7  -removeonly

Scan Manager 5.2-->MsiExec.exe /I{E0A1559B-9886-11D4-8D06-0050DA284A39}

Segoe UI-->MsiExec.exe /I{A1F66FC9-11EE-4F2F-98C9-16F8D1E69FB7}

Serif WebPlus X2 - Ressourcen-->MsiExec.exe /I{05BC428A-F2A5-4E11-8130-10C3237FD67B}

Serif WebPlus X2 Vorlagenpalette: Business & E-Commerce-->MsiExec.exe /I{E17EF5E4-5B2E-4E1D-AF84-707D9A91A383}

Serif WebPlus X2-->MsiExec.exe /I{8829E394-87E1-41C0-BCED-9B47F7C6DCDD}

Spybot - Search & Destroy-->"C:\Programme\Spybot - Search & Destroy\unins000.exe"

T-Online 5.0-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\engine\6\INTEL3~1\Ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{8283FCCD-AC71-4DC1-A81E-4F244FBBE11D}\setup.exe" CPAS

T-Online Copas-->C:\PROGRA~1\T-Online\Copas\UNWISE.EXE /U C:\PROGRA~1\T-Online\Copas\INSTALL.LOG

Uninstall 1.0.0.1-->"C:\Programme\Gemeinsame Dateien\DVDVideoSoft\unins000.exe"

Update für Windows Internet Explorer 8 (KB968220)-->"C:\WINDOWS\ie8updates\KB968220-IE8\spuninst\spuninst.exe"

Update für Windows XP (KB898461)-->"C:\WINDOWS\$NtUninstallKB898461$\spuninst\spuninst.exe"

VC80CRTRedist - 8.0.50727.762-->MsiExec.exe /I{767CC44C-9BBC-438D-BAD3-FD4595DD148B}

Winamp-->"C:\Programme\Winamp\UninstWA.exe"

Windows Imaging Component-->"C:\WINDOWS\$NtUninstallWIC$\spuninst\spuninst.exe"

Windows Internet Explorer 8-->"C:\WINDOWS\ie8\spuninst\spuninst.exe"

Windows Live Anmelde-Assistent-->MsiExec.exe /I{52B97218-98CB-4B8B-9283-D213C85E1AA4}

Windows Live Call-->MsiExec.exe /I{5FC68772-6D56-41C6-9DF1-24E868198AE6}

Windows Live Communications Platform-->MsiExec.exe /I{3B4E636E-9D65-4D67-BA61-189800823F52}

Windows Live Essentials-->C:\Programme\Windows Live\Installer\wlarp.exe

Windows Live Essentials-->MsiExec.exe /I{F8FF18EE-264A-43FD-B2F6-5EAD40798C2F}

Windows Live Mail-->MsiExec.exe /I{C4D738F7-996A-4C81-B8FA-C4E26D767E41}

Windows Live Messenger-->MsiExec.exe /X{41E654A9-26D0-4EAC-854B-0FA824FFFABB}

Windows Live-Uploadtool-->MsiExec.exe /I{205C6BDD-7B73-42DE-8505-9A093F35A238}

Windows Media Format Runtime-->"C:\Programme\Windows Media Player\wmsetsdk.exe" /UninstallAll

WinRAR-->C:\Programme\WinRAR\uninstall.exe

ZoneAlarm-->C:\Programme\Zone Labs\ZoneAlarm\zauninst.exe
 

=====HijackThis Backups=====
 

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) [2009-12-02]

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe dkgf.ffo axony [2009-12-03]
 

======Hosts File======
 

127.0.0.1 localhost

127.0.0.1        www.007guard.com

127.0.0.1        007guard.com

127.0.0.1        008i.com

127.0.0.1        www.008k.com

127.0.0.1        008k.com

127.0.0.1        www.00hq.com

127.0.0.1        00hq.com

127.0.0.1        010402.com

127.0.0.1        www.032439.com
 

======Security center information======
 

AV: AntiVir Desktop

FW: ZoneAlarm Firewall (disabled)
 

======System event log======
 

Computer Name: BIH

Event Code: 26

Message: Anwendungspopup: : Machine Check:
 

Record Number: 5

Source Name: Application Popup

Time Written: 20091116192448.000000+060

Event Type: Informationen

User: 
 

Computer Name: BIH

Event Code: 26

Message: Anwendungspopup: : Machine Check: Regs
 

Record Number: 4

Source Name: Application Popup

Time Written: 20091116192448.000000+060

Event Type: Informationen

User: 
 

Computer Name: BIH

Event Code: 26

Message: Anwendungspopup: : Machine Check:
 

Record Number: 3

Source Name: Application Popup

Time Written: 20091116192448.000000+060

Event Type: Informationen

User: 
 

Computer Name: BIH

Event Code: 6005

Message: Der Ereignisprotokolldienst wurde gestartet.
 

Record Number: 2

Source Name: EventLog

Time Written: 20091116192447.000000+060

Event Type: Informationen

User: 
 

Computer Name: BIH

Event Code: 6009

Message: Microsoft (R) Windows (R) 5.01. 2600 Service Pack 2 Uniprocessor Free.
 

Record Number: 1

Source Name: EventLog

Time Written: 20091116192447.000000+060

Event Type: Informationen

User: 
 

=====Application event log=====
 

Computer Name: BIH

Event Code: 1800

Message: Der Windows-Sicherheitscenterdienst wurde gestartet.
 

Record Number: 1652

Source Name: SecurityCenter

Time Written: 20091112173352.000000+060

Event Type: Informationen

User: 
 

Computer Name: BIH

Event Code: 4096

Message: Der AntiVir Dienst wurde erfolgreich gestartet!
 

Record Number: 1651

Source Name: Avira AntiVir

Time Written: 20091112161351.000000+060

Event Type: Informationen

User: NT-AUTORITÄT\SYSTEM
 

Computer Name: BIH

Event Code: 1800

Message: Der Windows-Sicherheitscenterdienst wurde gestartet.
 

Record Number: 1650

Source Name: SecurityCenter

Time Written: 20091112161350.000000+060

Event Type: Informationen

User: 
 

Computer Name: BIH

Event Code: 4096

Message: Der AntiVir Dienst wurde erfolgreich gestartet!
 

Record Number: 1649

Source Name: Avira AntiVir

Time Written: 20091111101814.000000+060

Event Type: Informationen

User: NT-AUTORITÄT\SYSTEM
 

Computer Name: BIH

Event Code: 1800

Message: Der Windows-Sicherheitscenterdienst wurde gestartet.
 

Record Number: 1648

Source Name: SecurityCenter

Time Written: 20091111101813.000000+060

Event Type: Informationen

User: 
 

======Environment variables======
 

"ComSpec"=%SystemRoot%\system32\cmd.exe

"Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;C:\Programme\Gemeinsame Dateien\DivX Shared\

"windir"=%SystemRoot%

"FP_NO_HOST_CHECK"=NO

"OS"=Windows_NT

"PROCESSOR_ARCHITECTURE"=x86

"PROCESSOR_LEVEL"=6

"PROCESSOR_IDENTIFIER"=x86 Family 6 Model 8 Stepping 1, AuthenticAMD

"PROCESSOR_REVISION"=0801

"NUMBER_OF_PROCESSORS"=1

"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH

"TEMP"=%SystemRoot%\TEMP

"TMP"=%SystemRoot%\TEMP

"tvdumpflags"=8
 

-----------------EOF-----------------

Ok das ging deutlich schneller ;-)
Meinst du die Files im Driver-Ordner wurden durch die scan software gelöscht oder durch den backdoor? Ist das schlecht (mal ganz doof gefragt)?:o

Hi,

da die Files nicht mehr da sind, können wir sie nicht überprüfen, allerdings ist das Verzeichnis charakteristisch für einen bestimmten Backdoor.

Ein Backdoor ist ein hohes Risiko, da jemand Zugriff auf Deinen Rechner hatte und damit Passwörter abgefangen, Änderungen etc. vorgenommen haben kann.

Daher empfehlen wir hier das Neuaufsetzen des Rechners in dem Fall...

Kennst Du dieses Verzeichnis?
C:\Programme\Gemeinsame Dateien\fun communications
Was ist da drin, Files bitte prüfen lassen (www.Virustotal.com)

Bitte folgende Files prüfen:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

K:\LaunchU3.exe -a

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Lass bitte noch Gmer laufen und poste das Log...

chris

ich kenne den ordner fun communications und dessen inhalt nicht!
Soll ich ihn nach dem scan löschen?

Code:

 Datei funAd.dll empfangen 2009.12.03 16:15:02 (UTC)

Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Ergebnis: 0/40 (0%)
 

        

Antivirus         Version         letzte aktualisierung         Ergebnis

a-squared        4.5.0.43        2009.12.03        -

AhnLab-V3        5.0.0.2        2009.12.03        -

AntiVir        7.9.1.92        2009.12.03        -

Antiy-AVL        2.0.3.7        2009.12.03        -

Authentium        5.2.0.5        2009.12.02        -

Avast        4.8.1351.0        2009.12.03        -

AVG        8.5.0.426        2009.12.03        -

BitDefender        7.2        2009.12.03        -

CAT-QuickHeal        10.00        2009.12.03        -

ClamAV        0.94.1        2009.12.03        -

Comodo        3103        2009.12.01        -

DrWeb        5.0.0.12182        2009.12.03        -

eSafe        7.0.17.0        2009.12.03        -

eTrust-Vet        35.1.7155        2009.12.03        -

F-Prot        4.5.1.85        2009.12.02        -

F-Secure        9.0.15370.0        2009.12.03        -

Fortinet        4.0.14.0        2009.12.03        -

GData        19        2009.12.03        -

Ikarus        T3.1.1.74.0        2009.12.03        -

K7AntiVirus        7.10.910        2009.12.03        -

Kaspersky        7.0.0.125        2009.12.03        -

McAfee        5819        2009.12.01        -

McAfee+Artemis        5819        2009.12.01        -

McAfee-GW-Edition        6.8.5        2009.12.03        -

Microsoft        1.5302        2009.12.03        -

NOD32        4658        2009.12.03        -

Norman        6.03.02        2009.12.03        -

nProtect        2009.1.8.0        2009.12.03        -

Panda        10.0.2.2        2009.12.03        -

PCTools        7.0.3.5        2009.12.03        -

Prevx        3.0        2009.12.03        -

Rising        22.24.03.06        2009.12.03        -

Sophos        4.48.0        2009.12.03        -

Sunbelt        3.2.1858.2        2009.12.03        -

Symantec        1.4.4.12        2009.12.03        -

TheHacker        6.5.0.2.083        2009.12.01        -

TrendMicro        9.100.0.1001        2009.12.03        -

VBA32        3.12.12.0        2009.12.03        -

ViRobot        2009.12.3.2070        2009.12.03        -

VirusBuster        5.0.21.0        2009.12.03        -

weitere Informationen

File size: 188416 bytes

MD5...: abf792d6e6f4af7127a4717749d71330

SHA1..: e437e073bce0fc3490ab416fff1808c4e9ffb412

SHA256: 2dcdb0177a46b1397cb59815e4717ec7d91658da8b59418f22168a534b5c650e

ssdeep: 3072:wUGUVBh4HoIB9Ut37VDETmMPh7UoiwUqopH:wUGM737B4GqG

PEiD..: -

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x9135

timedatestamp.....: 0x3fc700eb (Fri Nov 28 08:01:47 2003)

machinetype.......: 0x14c (I386)
 

( 5 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x1bf42 0x1c000 6.61 faf46295b089503e9c9372273c9bda4e

.rdata 0x1d000 0x6332 0x7000 4.49 47a526efc0369564fb157ede36d3e400

.data 0x24000 0x74b0 0x4000 2.26 ef4a48849620da6c425fb8abdd1b55ec

.rsrc 0x2c000 0x1568 0x2000 3.49 17c8ff04761606a5ed0e1fa70b4f2653

.reloc 0x2e000 0x3910 0x4000 4.55 0c024b57fbef698775b8c50dcc0cb096
 

( 10 imports )

> KERNEL32.dll: SetErrorMode, GetVersion, GlobalFindAtomA, GlobalAddAtomA, GlobalGetAtomNameA, GetProcessVersion, GetFileAttributesA, GetFileSize, GetFileTime, GlobalFlags, WritePrivateProfileStringA, GetCPInfo, GetOEMCP, RtlUnwind, GetTimeZoneInformation, GetSystemTime, GetLocalTime, RaiseException, HeapFree, HeapAlloc, HeapReAlloc, GetCommandLineA, GetACP, CreateThread, ExitThread, TlsGetValue, TerminateProcess, HeapSize, SetStdHandle, GetFileType, SetUnhandledExceptionFilter, GetEnvironmentVariableA, GetVersionExA, HeapCreate, VirtualFree, VirtualAlloc, SetHandleCount, GetStdHandle, GetStartupInfoA, FreeEnvironmentStringsA, FreeEnvironmentStringsW, GetEnvironmentStrings, GetEnvironmentStringsW, LCMapStringA, LCMapStringW, GetStringTypeA, GetStringTypeW, UnhandledExceptionFilter, IsBadCodePtr, CompareStringA, CompareStringW, SetEnvironmentVariableA, LocalReAlloc, TlsSetValue, GlobalReAlloc, TlsFree, GlobalHandle, GlobalUnlock, GlobalFree, TlsAlloc, GlobalLock, GlobalAlloc, GlobalDeleteAtom, lstrcmpA, GetCurrentThread, SetLastError, GetFullPathNameA, GetVolumeInformationA, FindFirstFileA, FindClose, SetEndOfFile, UnlockFile, LockFile, FlushFileBuffers, SetFilePointer, WriteFile, ReadFile, CreateFileA, GetCurrentProcess, DuplicateHandle, LocalAlloc, CreateEventA, SuspendThread, GetCurrentThreadId, SetThreadPriority, ResumeThread, SetEvent, WaitForSingleObject, CloseHandle, FormatMessageA, LocalFree, FileTimeToLocalFileTime, FileTimeToSystemTime, Sleep, lstrcatA, lstrcpyA, LoadLibraryA, GetProcAddress, HeapDestroy, IsDBCSLeadByte, lstrcpynA, lstrcmpiA, LoadLibraryExA, GetLastError, FindResourceA, LoadResource, SizeofResource, FreeLibrary, WideCharToMultiByte, GetModuleFileNameA, GetModuleHandleA, GetShortPathNameA, lstrlenA, MultiByteToWideChar, lstrlenW, InterlockedDecrement, EnterCriticalSection, InterlockedIncrement, LeaveCriticalSection, DeleteCriticalSection, InitializeCriticalSection, CreateDirectoryA, IsBadReadPtr, IsBadWritePtr, WritePrivateProfileStructA, GetPrivateProfileStructA, CopyFileA, DeleteFileA, ExitProcess, RemoveDirectoryA

> USER32.dll: LoadIconA, SetWindowTextA, ShowWindow, LoadCursorA, GetSysColorBrush, ReleaseDC, GetDC, GetClassNameA, PtInRect, ClientToScreen, TabbedTextOutA, DrawTextA, GrayStringA, DestroyMenu, SetFocus, AdjustWindowRectEx, GetClientRect, CopyRect, GetTopWindow, GetCapture, WinHelpA, GetClassInfoA, RegisterClassA, GetMenu, GetSubMenu, GetMenuItemID, GetDlgItem, GetWindowTextA, GetDlgCtrlID, DefWindowProcA, DestroyWindow, CreateWindowExA, GetClassLongA, SetPropA, GetPropA, CallWindowProcA, RemovePropA, GetMessageTime, GetMessagePos, GetForegroundWindow, SetForegroundWindow, GetWindow, SetWindowLongA, SetWindowPos, RegisterWindowMessageA, SystemParametersInfoA, IsIconic, GetWindowPlacement, GetWindowRect, LoadStringA, UnregisterClassA, UnhookWindowsHookEx, GetMenuCheckMarkDimensions, LoadBitmapA, GetMenuState, ModifyMenuA, SetMenuItemBitmaps, CheckMenuItem, EnableMenuItem, GetFocus, CharNextA, wsprintfA, SetWindowsHookExA, GetCursorPos, GetNextDlgTabItem, GetParent, GetLastActivePopup, IsWindowEnabled, GetWindowLongA, MessageBoxA, EnableWindow, SetCursor, PostMessageA, PostQuitMessage, GetSystemMetrics, MapWindowPoints, GetMenuItemCount, GetSysColor, CharUpperA, GetDesktopWindow, PeekMessageA, IsWindowVisible, ValidateRect, CallNextHookEx, GetKeyState, SendMessageA, GetActiveWindow, DispatchMessageA, TranslateMessage, GetMessageA

> GDI32.dll: PtVisible, RectVisible, TextOutA, ExtTextOutA, Escape, ScaleWindowExtEx, SetWindowExtEx, ScaleViewportExtEx, SetViewportExtEx, OffsetViewportOrgEx, SetViewportOrgEx, SetMapMode, CreateBitmap, GetStockObject, SelectObject, RestoreDC, SaveDC, DeleteDC, DeleteObject, GetDeviceCaps, GetObjectA, SetBkColor, SetTextColor, GetClipBox

> comdlg32.dll: GetFileTitleA

> WINSPOOL.DRV: OpenPrinterA, ClosePrinter, DocumentPropertiesA

> ADVAPI32.dll: RegSetValueExA, RegEnumValueA, RegQueryInfoKeyA, RegDeleteKeyA, RegEnumKeyExA, RegOpenKeyExA, RegCloseKey, RegDeleteValueA, RegCreateKeyExA

> COMCTL32.dll: -

> ole32.dll: CoTaskMemFree, CoCreateInstance, CLSIDFromProgID, OleRun, CoInitialize, CoUninitialize, CoTaskMemRealloc, CoTaskMemAlloc

> OLEAUT32.dll: -, -, -, -, -, -, -, -, -, -, -, -, -

> WININET.dll: InternetGetLastResponseInfoA, HttpQueryInfoA, HttpSendRequestA, HttpAddRequestHeadersA, InternetErrorDlg, InternetCrackUrlA, InternetCanonicalizeUrlA, InternetOpenA, InternetCloseHandle, InternetSetStatusCallback, InternetSetFilePointer, InternetWriteFile, InternetReadFile, InternetQueryDataAvailable, InternetConnectA, HttpOpenRequestA
 

( 4 exports )

DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer

RDS...: NSRL Reference Data Set

-

pdfid.: -

sigcheck:

publisher....: fun communications GmbH

copyright....: (C) fun communications GmbH 2000-2003

product......: funAd.dll

description..: Advertising

original name: n/a

internal name: n/a

file version.: 4.0.3.1

comments.....: n/a

signers......: -

signing date.: -

verified.....: Unsigned

trid..: Windows OCX File (63.5%)

Win32 Executable MS Visual C++ (generic) (19.3%)

Windows Screen Saver (6.7%)

Win32 Executable Generic (4.3%)

Win32 Dynamic Link Library (generic) (3.8%)

Code:

 Datei funIntegCheck.dll empfangen 2009.12.03 16:21:43 (UTC)

Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Ergebnis: 0/41 (0%)
 

        

Antivirus         Version         letzte aktualisierung         Ergebnis

a-squared        4.5.0.43        2009.12.03        -

AhnLab-V3        5.0.0.2        2009.12.03        -

AntiVir        7.9.1.92        2009.12.03        -

Antiy-AVL        2.0.3.7        2009.12.03        -

Authentium        5.2.0.5        2009.12.02        -

Avast        4.8.1351.0        2009.12.03        -

AVG        8.5.0.426        2009.12.03        -

BitDefender        7.2        2009.12.03        -

CAT-QuickHeal        10.00        2009.12.03        -

ClamAV        0.94.1        2009.12.03        -

Comodo        3103        2009.12.01        -

DrWeb        5.0.0.12182        2009.12.03        -

eSafe        7.0.17.0        2009.12.03        -

eTrust-Vet        35.1.7155        2009.12.03        -

F-Prot        4.5.1.85        2009.12.02        -

F-Secure        9.0.15370.0        2009.12.03        -

Fortinet        4.0.14.0        2009.12.03        -

GData        19        2009.12.03        -

Ikarus        T3.1.1.74.0        2009.12.03        -

Jiangmin        13.0.900        2009.12.02        -

K7AntiVirus        7.10.910        2009.12.03        -

Kaspersky        7.0.0.125        2009.12.03        -

McAfee        5819        2009.12.01        -

McAfee+Artemis        5819        2009.12.01        -

McAfee-GW-Edition        6.8.5        2009.12.03        -

Microsoft        1.5302        2009.12.03        -

NOD32        4658        2009.12.03        -

Norman        6.03.02        2009.12.03        -

nProtect        2009.1.8.0        2009.12.03        -

Panda        10.0.2.2        2009.12.03        -

PCTools        7.0.3.5        2009.12.03        -

Prevx        3.0        2009.12.03        -

Rising        22.24.03.06        2009.12.03        -

Sophos        4.48.0        2009.12.03        -

Sunbelt        3.2.1858.2        2009.12.03        -

Symantec        1.4.4.12        2009.12.03        -

TheHacker        6.5.0.2.083        2009.12.01        -

TrendMicro        9.100.0.1001        2009.12.03        -

VBA32        3.12.12.0        2009.12.03        -

ViRobot        2009.12.3.2070        2009.12.03        -

VirusBuster        5.0.21.0        2009.12.03        -

weitere Informationen

File size: 421888 bytes

MD5...: d6602c8c4421116cb623ad8888211d0a

SHA1..: 14df00504aef6fe19a0fd1665ef544077daa369f

SHA256: 1e6649a7ee38b62df22359997df51ce49e07f1fca2cf9b0c027bf92139aed268

ssdeep: 12288:lC98ZKn96zxBf57sWiWuepmqcsPjoQBOZKcP:XhB7oW3d97oQBCKc

PEiD..: -

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x1fb5b

timedatestamp.....: 0x3b45ed68 (Fri Jul 06 16:55:04 2001)

machinetype.......: 0x14c (I386)
 

( 5 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x4bcd6 0x4c000 6.78 a64f78030dbd74e64b882c8c61c9b5fc

.rdata 0x4d000 0x9f6a 0xa000 5.20 411851e027071173ee530942c9bc13e3

.data 0x57000 0x543cc 0x7000 3.85 5ed932e953e19b6c568b5b7b698410c5

.rsrc 0xac000 0x21b8 0x3000 3.48 aa84a086c5d3e7ec510d9d80e5aa0111

.reloc 0xaf000 0x526a 0x6000 5.65 c35b8b93786339a079779af176311cb3
 

( 5 imports )

> KERNEL32.dll: IsDBCSLeadByte, lstrcpynA, lstrcpyA, LoadLibraryA, GetProcAddress, lstrcmpiA, LoadLibraryExA, GetLastError, FindResourceA, LoadResource, SizeofResource, FreeLibrary, GetModuleFileNameA, GetShortPathNameA, lstrlenA, lstrlenW, WideCharToMultiByte, EnterCriticalSection, LeaveCriticalSection, InitializeCriticalSection, DisableThreadLibraryCalls, DeleteCriticalSection, HeapDestroy, InterlockedDecrement, InterlockedIncrement, lstrcatA, TlsAlloc, GetCurrentDirectoryA, GetACP, GetCurrentThreadId, CloseHandle, ReadFile, CreateFileA, LocalFree, Sleep, InterlockedExchange, RtlUnwind, HeapFree, HeapAlloc, HeapReAlloc, GetCommandLineA, GetVersion, DeleteFileA, RaiseException, GetTimeZoneInformation, GetSystemTime, GetLocalTime, FindFirstFileA, FindNextFileA, FindClose, FileTimeToSystemTime, FileTimeToLocalFileTime, GetFullPathNameA, ExitProcess, LCMapStringA, LCMapStringW, GetCPInfo, CompareStringA, CompareStringW, TerminateProcess, GetCurrentProcess, HeapSize, TlsSetValue, MultiByteToWideChar, TlsFree, SetLastError, TlsGetValue, GetModuleHandleA, GetEnvironmentVariableA, GetVersionExA, HeapCreate, VirtualFree, VirtualAlloc, IsBadWritePtr, SetHandleCount, GetStdHandle, GetFileType, GetStartupInfoA, FreeEnvironmentStringsA, FreeEnvironmentStringsW, GetEnvironmentStrings, GetEnvironmentStringsW, WriteFile, SetCurrentDirectoryA, GetOEMCP, SetUnhandledExceptionFilter, SetFilePointer, FlushFileBuffers, GlobalUnlock, GetDriveTypeA, IsValidLocale, IsValidCodePage, GetLocaleInfoA, EnumSystemLocalesA, GetUserDefaultLCID, GetStringTypeA, GetStringTypeW, IsBadReadPtr, IsBadCodePtr, SetStdHandle, GetLocaleInfoW, SetEndOfFile, SetEnvironmentVariableA, SetFileTime, SetFileAttributesA, SystemTimeToFileTime, GetFileInformationByHandle, LocalFileTimeToFileTime, WaitForSingleObject, GlobalLock, GlobalAlloc, GlobalFree, GetProcessHeap, GetFileAttributesA, GetVolumeInformationA, GetFileTime, ReleaseMutex, PeekNamedPipe, CreateMutexA, CreateDirectoryA, MoveFileA, SetVolumeLabelA, FileTimeToDosDateTime, RemoveDirectoryA

> USER32.dll: CharNextA, CharToOemA, wvsprintfA, OemToCharA

> ADVAPI32.dll: GetKernelObjectSecurity, GetSecurityDescriptorLength, AdjustTokenPrivileges, LookupPrivilegeValueA, OpenProcessToken, GetSecurityDescriptorGroup, IsValidSid, GetSecurityDescriptorOwner, GetSecurityDescriptorSacl, IsValidAcl, GetSecurityDescriptorDacl, IsValidSecurityDescriptor, RegEnumValueA, RegQueryInfoKeyA, RegSetValueExA, RegOpenKeyExA, RegCreateKeyExA, RegCloseKey, RegEnumKeyExA, RegDeleteKeyA, RegDeleteValueA, GetSecurityDescriptorControl, SetKernelObjectSecurity

> ole32.dll: CoTaskMemFree, CoTaskMemAlloc, CoTaskMemRealloc, CoCreateInstance

> OLEAUT32.dll: -, -, -, -, -, -, -, -, -
 

( 4 exports )

DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer

RDS...: NSRL Reference Data Set

-

pdfid.: -

trid..: DirectShow filter (50.8%)

Windows OCX File (31.1%)

Win32 Executable MS Visual C++ (generic) (9.5%)

Windows Screen Saver (3.3%)

Win32 Executable Generic (2.1%)

sigcheck:

publisher....: fun communications GmbH, http://www.fun.de

copyright....: Copyright (c) 2000-2001 fun communications GmbH, Karlsruhe

product......: funIntegCheck Module

description..: funIntegCheck Module

original name: funIntegCheck.DLL

internal name: funIntegCheck

file version.: 1, 1, 0, 500

comments.....:

signers......: -

signing date.: -

verified.....: Unsigned

Code:

 Datei UdaComServer.dll empfangen 2009.12.03 16:25:05 (UTC)

Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Ergebnis: 0/39 (0%)
 

        

Antivirus         Version         letzte aktualisierung         Ergebnis

a-squared        4.5.0.43        2009.12.03        -

AhnLab-V3        5.0.0.2        2009.12.03        -

AntiVir        7.9.1.92        2009.12.03        -

Antiy-AVL        2.0.3.7        2009.12.03        -

Authentium        5.2.0.5        2009.12.02        -

Avast        4.8.1351.0        2009.12.03        -

AVG        8.5.0.426        2009.12.03        -

BitDefender        7.2        2009.12.03        -

CAT-QuickHeal        10.00        2009.12.03        -

ClamAV        0.94.1        2009.12.03        -

Comodo        3103        2009.12.01        -

DrWeb        5.0.0.12182        2009.12.03        -

eSafe        7.0.17.0        2009.12.03        -

eTrust-Vet        35.1.7155        2009.12.03        -

F-Prot        4.5.1.85        2009.12.02        -

F-Secure        9.0.15370.0        2009.12.03        -

Fortinet        4.0.14.0        2009.12.03        -

GData        19        2009.12.03        -

Ikarus        T3.1.1.74.0        2009.12.03        -

Jiangmin        13.0.900        2009.12.02        -

K7AntiVirus        7.10.910        2009.12.03        -

Kaspersky        7.0.0.125        2009.12.03        -

McAfee        5819        2009.12.01        -

McAfee+Artemis        5819        2009.12.01        -

McAfee-GW-Edition        6.8.5        2009.12.03        -

Microsoft        1.5302        2009.12.03        -

NOD32        4658        2009.12.03        -

Norman        6.03.02        2009.12.03        -

nProtect        2009.1.8.0        2009.12.03        -

PCTools        7.0.3.5        2009.12.03        -

Rising        22.24.03.06        2009.12.03        -

Sophos        4.48.0        2009.12.03        -

Sunbelt        3.2.1858.2        2009.12.03        -

Symantec        1.4.4.12        2009.12.03        -

TheHacker        6.5.0.2.083        2009.12.01        -

TrendMicro        9.100.0.1001        2009.12.03        -

VBA32        3.12.12.0        2009.12.03        -

ViRobot        2009.12.3.2070        2009.12.03        -

VirusBuster        5.0.21.0        2009.12.03        -

weitere Informationen

File size: 450560 bytes

MD5...: 82f9eb483dd91ea44df57e33f2a8db23

SHA1..: 278afedbf44f56754a704b02114c016fd5db6a2e

SHA256: 0544d0345346f2ea6b37d8d442f78aea471c181bab645fd252133ee5f26c153d

ssdeep: 12288:Smsg6+KJxVyz65yvpZBC1vngnPeRNr7ji6G7H1df7lwkpYb9:SmkJxVy25

IpZq2Lf7Gb9

PEiD..: -

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x3a1d1

timedatestamp.....: 0x3e75e535 (Mon Mar 17 15:09:41 2003)

machinetype.......: 0x14c (I386)
 

( 5 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x4ceb8 0x4d000 6.65 7beb6e898b0b1f4f59cf64ce299fd5c1

.rdata 0x4e000 0xc5f9 0xd000 4.33 ae8d5234b75c876f61db782ea2f7051f

.data 0x5b000 0x96b4 0x8000 4.10 078903c8dff0c917c0cf760f79cdccf8

.rsrc 0x65000 0x4698 0x5000 4.23 55d4037db68b585021e078ccfbd06c6f

.reloc 0x6a000 0x5e88 0x6000 6.13 55837b6ccc9c80800bf9437c923353fd
 

( 5 imports )

> KERNEL32.dll: WideCharToMultiByte, lstrlenW, GetShortPathNameA, EnterCriticalSection, GetModuleHandleA, GetModuleFileNameA, FreeLibrary, SizeofResource, DisableThreadLibraryCalls, LeaveCriticalSection, GetLastError, LoadLibraryExA, lstrcmpiA, lstrcpynA, IsDBCSLeadByte, GetProcAddress, LoadLibraryA, lstrcatA, InitializeCriticalSection, lstrcpyA, DeleteCriticalSection, HeapDestroy, InterlockedIncrement, lstrlenA, MultiByteToWideChar, LoadResource, FindResourceA, GetCommandLineA, GetCPInfo, CompareStringA, ExitProcess, ReleaseMutex, LCMapStringW, LCMapStringA, SetEnvironmentVariableA, SetEndOfFile, CreateMutexA, SetStdHandle, GetLocaleInfoW, IsBadCodePtr, IsBadReadPtr, GetCurrentThreadId, TlsAlloc, TlsFree, TlsSetValue, TlsGetValue, LocalFree, CloseHandle, SetFilePointer, ReadFile, CreateFileA, WriteFile, GetFileSize, Sleep, InterlockedExchange, RtlUnwind, RaiseException, HeapFree, HeapAlloc, HeapReAlloc, InterlockedDecrement, GetVersion, GetTimeZoneInformation, GetSystemTime, GetLocalTime, GetFullPathNameA, CreateDirectoryA, GetFileAttributesA, MoveFileA, DeleteFileA, FindClose, FileTimeToSystemTime, FileTimeToLocalFileTime, GetDriveTypeA, FindFirstFileA, WaitForSingleObject, GetStdHandle, SetHandleCount, GetStringTypeW, GetStringTypeA, CompareStringW, TerminateProcess, GetCurrentProcess, HeapSize, SetLastError, SetUnhandledExceptionFilter, GetEnvironmentVariableA, GetVersionExA, HeapCreate, VirtualFree, VirtualAlloc, IsBadWritePtr, EnumSystemLocalesA, GetUserDefaultLCID, GetFileType, GetStartupInfoA, FreeEnvironmentStringsA, FreeEnvironmentStringsW, GetEnvironmentStrings, GetEnvironmentStringsW, GetACP, GetOEMCP, GetCurrentDirectoryA, FlushFileBuffers, IsValidLocale, IsValidCodePage, GetLocaleInfoA

> USER32.dll: LoadStringA, CharNextA

> ADVAPI32.dll: RegOpenKeyExA, RegCreateKeyExA, RegSetValueExA, RegEnumKeyExA, RegDeleteKeyA, RegCloseKey, RegQueryInfoKeyA, RegEnumValueA, RegDeleteValueA

> ole32.dll: CoInitialize, CoUninitialize, CoCreateInstance, CoGetClassObject, CoTaskMemAlloc, ProgIDFromCLSID, CoTaskMemFree, CoTaskMemRealloc

> OLEAUT32.dll: -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -
 

( 4 exports )

DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer

RDS...: NSRL Reference Data Set

-

trid..: DirectShow filter (50.8%)

Windows OCX File (31.1%)

Win32 Executable MS Visual C++ (generic) (9.5%)

Windows Screen Saver (3.3%)

Win32 Executable Generic (2.1%)

sigcheck:

publisher....: fun communications GmbH, http://www.fun.de/

copyright....: Copyright (c) 2000-2003 fun communications GmbH, Karlsruhe

product......: UdaComServer Module

description..: UdaComServer Module

original name: UdaComServer.DLL

internal name: UdaComServer

file version.: 1, 1, 0, 506

comments.....:

signers......: -

signing date.: -

verified.....: Unsigned

pdfid.: -

zu der datei

Code:

K:\LaunchU3.exe -a

ich habe gar kein Laufwerk K:\
wie finde ich diese datei?

Gmer scan läuft...

So nun poste ich auch was Gmer dazu sagt:

Code:

 

GMER 1.0.15.15252 - http://www.gmer.net

Rootkit scan 2009-12-03 22:05:41

Windows 5.1.2600 Service Pack 2

Running: njno5z8g.exe; Driver: C:\DOKUME~1\KASAPO~1\LOKALE~1\Temp\pxtdqpow.sys
 
 

---- System - GMER 1.0.15 ----
 

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwConnectPort [0xB4280040]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateFile [0xB427C930]

SSDT            B46E018E                                                                     ZwCreateKey

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreatePort [0xB4280510]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateProcess [0xB4286870]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateProcessEx [0xB4286AA0]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateSection [0xB4289FD0]

SSDT            B46E0184                                                                     ZwCreateThread

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateWaitablePort [0xB4280600]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwDeleteFile [0xB427CF20]

SSDT            B46E0193                                                                     ZwDeleteKey

SSDT            B46E019D                                                                     ZwDeleteValueKey

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwDuplicateObject [0xB4286580]

SSDT            B46E01A2                                                                     ZwLoadKey

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwOpenFile [0xB427CD70]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwOpenProcess [0xB4286350]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwOpenThread [0xB4286150]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwRenameKey [0xB4289250]

SSDT            B46E01AC                                                                     ZwReplaceKey

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwRequestWaitReplyPort [0xB427FC00]

SSDT            B46E01A7                                                                     ZwRestoreKey

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwSecureConnectPort [0xB4280220]

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwSetInformationFile [0xB427D120]

SSDT            B46E0198                                                                     ZwSetValueKey

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwTerminateProcess [0xB4286CD0]
 

---- Kernel code sections - GMER 1.0.15 ----
 

.text           ntoskrnl.exe!_abnormal_termination + 107                                     804E2DD8 12 Bytes  [10, 05, 28, B4, 70, 68, 28, ...]

?               srescan.sys                                                                  Das System kann die angegebene Datei nicht finden. !

.reloc          C:\WINDOWS\system32\drivers\acedrv11.sys                                     section is executable [0xAD2BF300, 0x25D4C, 0xE0000060]
 

---- Kernel IAT/EAT - GMER 1.0.15 ----
 

IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRegisterProtocol]     [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisOpenAdapter]          [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisCloseAdapter]         [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisDeregisterProtocol]   [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisDeregisterProtocol]     [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRegisterProtocol]       [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisOpenAdapter]            [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisCloseAdapter]           [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRegisterProtocol]      [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisCloseAdapter]          [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisOpenAdapter]           [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisDeregisterProtocol]    [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisCloseAdapter]            [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRegisterProtocol]        [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisOpenAdapter]             [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisDeregisterProtocol]     [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRegisterProtocol]       [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisOpenAdapter]            [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisCloseAdapter]           [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\System32\drivers\afd.sys[ntoskrnl.exe!IoCreateFile]              [B4292330] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\arp1394.sys[NDIS.SYS!NdisCloseAdapter]          [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\arp1394.sys[NDIS.SYS!NdisOpenAdapter]           [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\arp1394.sys[NDIS.SYS!NdisDeregisterProtocol]    [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\arp1394.sys[NDIS.SYS!NdisRegisterProtocol]      [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisRegisterProtocol]      [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisDeregisterProtocol]    [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisCloseAdapter]          [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisOpenAdapter]           [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtOpenFile]                [B427D670] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtSetInformationFile]      [B427D5C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!IoCreateFile]              [B427D770] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtCreateFile]              [B427D2D0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
 

---- Devices - GMER 1.0.15 ----
 

Device          \Driver\Tcpip \Device\Ip                                                     vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

Device          \Driver\Tcpip \Device\Tcp                                                    vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
 

AttachedDevice  \Driver\Tcpip \Device\Tcp                                                    Lbd.sys (Boot Driver/Lavasoft AB)
 

Device          \Driver\Tcpip \Device\Udp                                                    vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

Device          \Driver\Tcpip \Device\RawIp                                                  vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

Device          \Driver\Tcpip \Device\IPMULTICAST                                            vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
 

AttachedDevice  \FileSystem\Fastfat \Fat                                                     fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
 

Device          \Driver\00000218 -> \Driver\atapi \Device\Harddisk0\DR0                      896EE170
 

---- Disk sectors - GMER 1.0.15 ----
 

Disk            \Device\Harddisk0\DR0                                                        sector 61: malicious code @ sector 0x6fc7c80 size 0x1c1

Disk            \Device\Harddisk0\DR0                                                        sector 62: copy of MBR
 

---- Files - GMER 1.0.15 ----
 

File            C:\WINDOWS\system32\drivers\atapi.sys                                        suspicious modification
 

---- EOF - GMER 1.0.15 ----

ich hoffe es ist aufschlussreich!
gruß

Hi,

der Ordner (C:\Programme\Gemeinsame Dateien\fun communications) könnte zu Telekom-SW gehören, daher erst mal nichts unternehmen.

Leider ist das eingetroffen was ich eigentlich erwartet habe, Du hast ein ziemlich bösartiges Rootkit auf dem Rechner, was sich tief in Windows verankert und leider derzeit von keinem Scanner so richtig gefunden und entfernt werden kann (gibt aber erste Ansätze)...

Das Rootkit hängt in dem zentralen Treiber für die Festplatte (atapi.sys) und bei Dir auch noch im Bootblock...

Wir konnen mal Dr. Web bzw. CF versuchen...
http://www.trojaner-board.de/59299-anleitung-drweb-cureit.html
Falls Cureit nichts ausrichten kann:

Combofix
Lade Combo Fix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.

Falls das auch nicht klappt müssen wir wie folgt vorgehen:
Hast Du eine XP-CD von der gebootet werden kann?

Im Bios die Bootreihenfolge umstellen, dann CD einlegen und von CD booten.
In die Rettungskonsole gehen und dort fixmbr eingeben (bereinigt erstmal den Bootblock). Danach muss über die infizierte atapi.sys eine saubere kopiert werden, wie folgt (je nachdem was Dir zur Verfügung steht):

Code:

expand c:\WINDOWS\ServicePackFiles\i386\atapi.sy_ c:\windows\system32\atapi.sys
 

oder
 

expand X:\i386\atapi.sy_ c:\windows\system32\atapi.sys

Wobei "X" Dein CD/DVD-Laufwerk ist!

Danach CD raus, von Festplatte booten und ohne Netzwerkanbindung die Virenscanner auf die Reise schicken...

Weiterhin solltest Du unbedingt auf SP3 gehen...

chris

HAllo, ich bin neu hier im Forum und habe genau dasselbe Problem Firefox öffnet staändig neue Fenster mit 2mal Index von file:///C:/Programme/Mozilla Firefox/ und 2mal Seiten-Ladefehler, außerdem öffnet der Windows Internetexplorer zig Fenster, z.T. sogar ohne dass ich ihn gestartet habe. Mein PC im allgemeinen kommt mir in letzter Zeit sowieso sehr langsam vor und hängt sich immer wieder auf.
Bitte um Hilfe!
LG
Tim

@Timme95
Bitte einen eigenen Thread mit folgenden Infos eröffnen:

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.

RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
* Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
* speichere es auf Deinem Desktop.
* Starte mit Doppelklick die RSIT.exe.
* Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
* Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
* In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
* Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
* Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
* Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
* Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

Gmer:
http://www.trojaner-board.de/74908-anleitung-gmer-rootkit-scanner.html
Den Downloadlink findest Du links oben (www.gmer.net/files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte gmer und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris

Hallo chris!
Schon mal vielen vielen dank für die ganzen infos und anleitungen hier!
Ich habe Cureit laufen lassen vor paar tagen und bei ca. 70% ist mein pc abgestürzt. Habe aber gelesen dass einige viren gefunden und desinfiziert bzw. gelöscht wurden (darunter atapy.sys)! Seitdem kamen keine beschwerden mit neuen fentsern etc.!

Da ich derzeit stark im Stress bin und noch nicht die Zeit gefunden habe cureit nochmal komplett laufen zu lassen konnte ich die logfile noch nicht posten!

Ich melde mich sobald es was neues gibt!

Dennoch schon mal vielen vielen Dank!