Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Avira fand etwas was ich nicht gelöscht hab <.< (https://www.trojaner-board.de/86041-avira-fand-etwas-geloescht-hab.html)

nick 12.05.2010 17:05
Avira fand etwas was ich nicht gelöscht hab <.<
 
Hi,

heute fand mein Avira ein Virus( unter system/drivers/[kann den namen eintragen wenn es nützt]). Aber ich war so dämlich und hab zu spät auf "Entfernen" geklickt. Also erst als das popup in der ecke verschwand.
Hier mein Logfile. Hoffe ihr könnt mir irgendwie helfen. Hoff es klappt wenn ich es manuel im Laufwerk lösche.

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:57:13, on 12.05.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programme\LogMeIn Hamachi\hamachi-2.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\libusbd-nt.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\WINDOWS\system32\wuauclt.exe
D:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
D:\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = ***://www.google.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ***=127.0.0.1:5555
R3 - URLSearchHook: Messenger Plus Live Toolbar - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Programme\Messenger_Plus_Live\tbMess.dll
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: Messenger Plus Live Germany Toolbar - {542e4d79-1970-4e95-9862-fdb96f61b280} - C:\Programme\Messenger_Plus_Live_Germany\tbMess.dll
O2 - BHO: Messenger Plus Live Toolbar - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Programme\Messenger_Plus_Live\tbMess.dll
O3 - Toolbar: Messenger Plus Live Toolbar - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Programme\Messenger_Plus_Live\tbMess.dll
O3 - Toolbar: Messenger Plus Live Germany Toolbar - {542e4d79-1970-4e95-9862-fdb96f61b280} - C:\Programme\Messenger_Plus_Live_Germany\tbMess.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} - ***://www.fileplanet.com/fpdlmgr/cabs/FPDC_2.3.9.113.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - ***://messenger.zone.msn.com/MessengerGamesContent/GameContent/de/uno1/GAME_UNO1.cab
O16 - DPF: {784797A8-342D-4072-9486-03C8D0F2F0A1} (Battlefield Heroes Updater) - ***s://www.battlefieldheroes.com/static/updater/BFHUpdater_4.0.21.0.cab
O16 - DPF: {C212D449-8B3C-41F2-BD9A-047BD770550F} (Perparer Class) - ***://www.fiaa.eu/OPLauncher.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - ***://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} (Futuremark SystemInfo) - ***://service.futuremark.com/gom/receiver/tc/FMSI.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - ***://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - ***://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - Unknown owner - D:\Programme\MAGIX\Common\Database\bin\fbserver.exe (file missing)
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: LogMeIn Hamachi 2.0 Tunneling Engine (Hamachi2Svc) - LogMeIn Inc. - D:\Programme\LogMeIn Hamachi\hamachi-2.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: LibUsb-Win32 - Daemon, Version 0.1.10.1 (libusbd) - ***://libusb-win32.sourceforge.net - C:\WINDOWS\system32\libusbd-nt.exe

--
End of file - 5038 bytes

cosinus 12.05.2010 21:42
Poste bitte das AntiVir Logfile. Wenn das nicht mehr da ist reicht auch also erster Anhaltspunkt der Dateiname der virulenten Datei in system32\drivers.

nick 13.05.2010 10:32
HI,
hab mit Avira das gefunden und der hat das angeblich gelöscht. Aber ich weiß nicht ob ich dem ganzen trauen kann.
Hoffe das ist das Avira Logfile.



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Mittwoch, 12. Mai 2010 18:10

Es wird nach 2113415 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : ******
Computername : ******

Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 12.05.2010 15:53:13
AVSCAN.DLL : 10.0.3.0 56168 Bytes 12.05.2010 15:53:13
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 16:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 09:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 07:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 17:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 15:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 14:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 09:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 15:53:12
VBASE006.VDF : 7.10.6.83 2048 Bytes 15.04.2010 15:53:12
VBASE007.VDF : 7.10.6.84 2048 Bytes 15.04.2010 15:53:12
VBASE008.VDF : 7.10.6.85 2048 Bytes 15.04.2010 15:53:12
VBASE009.VDF : 7.10.6.86 2048 Bytes 15.04.2010 15:53:12
VBASE010.VDF : 7.10.6.87 2048 Bytes 15.04.2010 15:53:12
VBASE011.VDF : 7.10.6.88 2048 Bytes 15.04.2010 15:53:12
VBASE012.VDF : 7.10.6.89 2048 Bytes 15.04.2010 15:53:12
VBASE013.VDF : 7.10.6.90 2048 Bytes 15.04.2010 15:53:12
VBASE014.VDF : 7.10.6.123 126464 Bytes 19.04.2010 15:53:12
VBASE015.VDF : 7.10.6.152 123392 Bytes 21.04.2010 15:53:12
VBASE016.VDF : 7.10.6.178 122880 Bytes 22.04.2010 15:53:12
VBASE017.VDF : 7.10.6.206 120320 Bytes 26.04.2010 15:53:12
VBASE018.VDF : 7.10.6.232 99328 Bytes 28.04.2010 15:53:12
VBASE019.VDF : 7.10.7.2 155648 Bytes 30.04.2010 15:53:12
VBASE020.VDF : 7.10.7.26 119808 Bytes 04.05.2010 15:53:12
VBASE021.VDF : 7.10.7.51 118272 Bytes 06.05.2010 15:53:12
VBASE022.VDF : 7.10.7.75 404992 Bytes 10.05.2010 15:53:12
VBASE023.VDF : 7.10.7.76 2048 Bytes 10.05.2010 15:53:12
VBASE024.VDF : 7.10.7.77 2048 Bytes 10.05.2010 15:53:12
VBASE025.VDF : 7.10.7.78 2048 Bytes 10.05.2010 15:53:12
VBASE026.VDF : 7.10.7.79 2048 Bytes 10.05.2010 15:53:12
VBASE027.VDF : 7.10.7.80 2048 Bytes 10.05.2010 15:53:12
VBASE028.VDF : 7.10.7.81 2048 Bytes 10.05.2010 15:53:12
VBASE029.VDF : 7.10.7.82 2048 Bytes 10.05.2010 15:53:12
VBASE030.VDF : 7.10.7.83 2048 Bytes 10.05.2010 15:53:12
VBASE031.VDF : 7.10.7.95 109056 Bytes 12.05.2010 15:53:12
Engineversion : 8.2.1.236
AEVDF.DLL : 8.1.2.0 106868 Bytes 12.05.2010 15:53:13
AESCRIPT.DLL : 8.1.3.28 1298810 Bytes 12.05.2010 15:53:13
AESCN.DLL : 8.1.5.0 127347 Bytes 25.02.2010 16:38:41
AESBX.DLL : 8.1.3.1 254324 Bytes 12.05.2010 15:53:13
AERDL.DLL : 8.1.4.6 541043 Bytes 12.05.2010 15:53:13
AEPACK.DLL : 8.2.1.1 426358 Bytes 29.03.2010 10:08:16
AEOFFICE.DLL : 8.1.0.41 201083 Bytes 17.03.2010 09:09:46
AEHEUR.DLL : 8.1.1.27 2670967 Bytes 12.05.2010 15:53:13
AEHELP.DLL : 8.1.11.3 242039 Bytes 05.04.2010 14:48:29
AEGEN.DLL : 8.1.3.7 373106 Bytes 12.05.2010 15:53:13
AEEMU.DLL : 8.1.2.0 393588 Bytes 12.05.2010 15:53:12
AECORE.DLL : 8.1.15.1 192886 Bytes 12.05.2010 15:53:12
AEBB.DLL : 8.1.1.0 53618 Bytes 12.05.2010 15:53:12
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 09:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 09:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 14:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 12.05.2010 15:53:13
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 12.05.2010 15:53:13
AVARKT.DLL : 10.0.0.14 227176 Bytes 12.05.2010 15:53:13
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 07:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 10:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 13:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 12:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 11:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 12.05.2010 15:53:12

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: ShlExt
Konfigurationsdatei...................: C:\DOKUME~1\Binayet\LOKALE~1\Temp\d50dbb52.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +JOKE,

Beginn des Suchlaufs: Mittwoch, 12. Mai 2010 18:10

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\System Volume Information\_restore{2B3238B8-71D6-4DCA-A035-D6EECC7C8B3A}\RP386\A0327852.sys
[FUND] Ist das Trojanische Pferd TR/Patched.Gen

Beginne mit der Desinfektion:
C:\System Volume Information\_restore{2B3238B8-71D6-4DCA-A035-D6EECC7C8B3A}\RP386\A0327852.sys
[FUND] Ist das Trojanische Pferd TR/Patched.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '46fd7b22.qua' verschoben!


Ende des Suchlaufs: Mittwoch, 12. Mai 2010 19:04
Benötigte Zeit: 52:40 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

10147 Verzeichnisse wurden überprüft
228256 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
228255 Dateien ohne Befall
1737 Archive wurden durchsucht
0 Warnungen
1 Hinweise


Der Name vom Virus ist TR/Patched.Gen




PS.: Hab in meinem Hijack gesehn das da Noch etwas mit BFheroes und OPlauncher ist. Wie kann ich das löschen?

cosinus 13.05.2010 16:04
Da ist aber kein Fund in system32\drivers !!

Zitat:
PS.: Hab in meinem Hijack gesehn das da Noch etwas mit BFheroes und OPlauncher ist. Wie kann ich das löschen?
Nichts voreilig löschen!!
Bitte einen Vollscan mit malwarebytes machen und Log posten. Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
  • Doppelklick auf die OTL.exe
  • Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
  • Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
  • Unter Extra Registry, wähle bitte Use SafeList
  • Klicke nun auf Run Scan links oben
  • Wenn der Scan beendet wurde werden 2 Logfiles erstellt
  • Poste die Logfiles hier in den Thread.

nick 14.05.2010 11:26
Malwarebytes Logfile

Malwarebytes' Anti-Malware 1.39
Datenbank Version: 2421
Windows 5.1.2600 Service Pack 3

14.05.2010 12:25:15
mbam-log-2010-05-14 (12-25-04).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 90318
Laufzeit: 3 minute(s), 41 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\net (Trojan.Agent) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

nick 14.05.2010 11:35
OTL.Txt

Code:
OTL logfile created on: 14.05.2010 12:28:12 - Run 1
OTL by OldTimer - Version 3.2.4.1    Folder = C:\Dokumente und Einstellungen\*****\Desktop
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1.023,00 Mb Total Physical Memory | 538,00 Mb Available Physical Memory | 53,00% Memory free
2,00 Gb Paging File | 2,00 Gb Available in Paging File | 83,00% Paging File free
Paging file location(s): C:\pagefile.sys 1536 3072 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 117,06 Gb Total Space | 46,21 Gb Free Space | 39,47% Space Free | Partition Type: NTFS
Drive D: | 78,13 Gb Total Space | 58,90 Gb Free Space | 75,39% Space Free | Partition Type: NTFS
E: Drive not present or media not loaded
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
 
Computer Name: *****
Current User Name: *****
Logged in as Administrator.
 
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
 
========== Processes (SafeList) ==========
 
PRC - C:\Dokumente und Einstellungen\*****\Desktop\OTL.exe (OldTimer Tools)
PRC - C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
PRC - D:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
PRC - C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\avshadow.exe (Avira GmbH)
PRC - C:\Programme\Windows Live\Contacts\wlcomm.exe (Microsoft Corporation)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
PRC - C:\WINDOWS\system32\libusbd-nt.exe (http://libusb-win32.sourceforge.net)
 
 
========== Modules (SafeList) ==========
 
MOD - C:\Dokumente und Einstellungen\*****\Desktop\OTL.exe (OldTimer Tools)
MOD - C:\WINDOWS\system32\msscript.ocx (Microsoft Corporation)
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (FirebirdServerMAGIXInstance) --  File not found
SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
SRV - (IDriverT) -- C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe (Macrovision Corporation)
SRV - (libusbd) -- C:\WINDOWS\system32\libusbd-nt.exe (http://libusb-win32.sourceforge.net)
SRV - (ose) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH)
DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH)
DRV - (hamachi) -- C:\WINDOWS\system32\drivers\hamachi.sys (LogMeIn, Inc.)
DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH)
DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH)
DRV - (sptd) -- C:\WINDOWS\System32\Drivers\sptd.sys ()
DRV - (tmcomm) -- C:\WINDOWS\system32\drivers\tmcomm.sys (Trend Micro Inc.)
DRV - (usbaudio) USB-Audiotreiber (WDM) -- C:\WINDOWS\system32\drivers\usbaudio.sys (Microsoft Corporation)
DRV - (AmdK8) -- C:\WINDOWS\system32\drivers\AmdK8.sys (Advanced Micro Devices)
DRV - (ati2mtag) -- C:\WINDOWS\system32\drivers\ati2mtag.sys (ATI Technologies Inc.)
DRV - (sfsync02) StarForce Protection Synchronization Driver (version 2.x) -- C:\WINDOWS\System32\drivers\sfsync02.sys (Protection Technology)
DRV - (sfdrv01) StarForce Protection Environment Driver (version 1.x) -- C:\WINDOWS\System32\drivers\sfdrv01.sys (Protection Technology)
DRV - (sfhlp02) StarForce Protection Helper Driver (version 2.x) -- C:\WINDOWS\System32\drivers\sfhlp02.sys (Protection Technology)
DRV - (libusb0) -- C:\WINDOWS\system32\drivers\libusb0.sys ()
DRV - (PCLEPCI) -- C:\WINDOWS\system32\drivers\Pclepci.sys (Pinnacle Systems GmbH)
DRV - (ALCXWDM) Service for Realtek AC97 Audio (WDM) -- C:\WINDOWS\system32\drivers\ALCXWDM.SYS (Realtek Semiconductor Corp.)
DRV - (AgereSoftModem) -- C:\WINDOWS\system32\drivers\AGRSM.sys (Agere Systems)
DRV - (ovt519) -- C:\WINDOWS\system32\drivers\ov519vid.sys (OmniVision Technologies, Inc.)
DRV - (PCANDIS5) -- C:\WINDOWS\system32\PCANDIS5.SYS (Printing Communications Assoc., Inc. (PCAUSA))
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.com/
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.google.com/ie
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,SearchMigratedDefaultName = Google
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,SearchMigratedDefaultURL = http://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
IE - HKCU\..\URLSearchHook: {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Programme\Messenger_Plus_Live\tbMess.dll (Conduit Ltd.)
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:5555
 
========== FireFox ==========
 
FF - prefs.js..browser.search.defaultenginename: "ICQ Search"
FF - prefs.js..browser.search.defaulturl: "http://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q="
FF - prefs.js..browser.search.selectedEngine: "DAEMON Search"
FF - prefs.js..browser.startup.homepage: "http://www.google.de/"
FF - prefs.js..extensions.enabledItems: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}:1.2
FF - prefs.js..extensions.enabledItems: jqs@sun.com:1.0
FF - prefs.js..extensions.enabledItems: linkfilter@kaspersky.ru:9.0.0.736
FF - prefs.js..extensions.enabledItems: personas@christopher.beard:1.5.3
FF - prefs.js..extensions.enabledItems: {9b339f6e-ddcd-401b-8764-230adbd01761}:2.5.6.0
FF - prefs.js..keyword.URL: "http://search.icq.com/search/afe_results.php?ch_id=afex&q="
 
 
FF - HKLM\software\mozilla\Firefox\Extensions\\{3112ca9c-de6d-4884-a869-9855de68056c}: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Mozilla\Firefox Extensions\{3112ca9c-de6d-4884-a869-9855de68056c} [2008.01.20 19:03:56 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.3\extensions\\Components: D:\Programme\Mozilla Firefox\components [2010.05.07 20:18:48 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.3\extensions\\Plugins: D:\Programme\Mozilla Firefox\plugins [2010.04.02 19:12:15 | 000,000,000 | ---D | M]
 
[2008.07.11 19:01:21 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Extensions
[2010.05.13 21:16:56 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\extensions
[2010.04.30 18:15:05 | 000,000,000 | ---D | M] (Microsoft .NET Framework Assistant) -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\extensions\{20a82645-c095-46ed-80e3-08825760534b}
[2010.03.22 17:55:07 | 000,000,000 | ---D | M] (Messenger Plus Live Toolbar) -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\extensions\{9b339f6e-ddcd-401b-8764-230adbd01761}
[2010.04.30 18:15:06 | 000,000,000 | ---D | M] (Adblock Plus) -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}
[2010.04.30 18:15:05 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\extensions\personas@christopher.beard
[2010.05.08 20:33:10 | 000,000,950 | ---- | M] () -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\searchplugins\icqplugin-1.xml
[2008.02.24 15:47:29 | 000,000,950 | ---- | M] () -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\searchplugins\icqplugin-2.xml
[2008.02.29 17:51:47 | 000,000,950 | ---- | M] () -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\searchplugins\icqplugin-3.xml
[2008.03.27 12:23:09 | 000,000,950 | ---- | M] () -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\searchplugins\icqplugin-4.xml
[2008.06.13 20:01:34 | 000,000,950 | ---- | M] () -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\searchplugins\icqplugin-5.xml
[2008.07.09 19:28:00 | 000,000,950 | ---- | M] () -- C:\Dokumente und Einstellungen\******\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\searchplugins\icqplugin-6.xml
[2007.07.25 23:04:52 | 000,000,951 | ---- | M] () -- C:\Dokumente und Einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\searchplugins\icqplugin.xml
[2008.07.11 19:53:49 | 000,000,000 | ---D | M] -- C:\Programme\Mozilla Firefox\extensions
 
O1 HOSTS File: ([2009.07.31 11:30:09 | 000,000,027 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1      localhost
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - No CLSID value found.
O2 - BHO: (Messenger Plus Live Germany Toolbar) - {542e4d79-1970-4e95-9862-fdb96f61b280} - C:\Programme\Messenger_Plus_Live_Germany\tbMess.dll (Conduit Ltd.)
O2 - BHO: (Messenger Plus Live Toolbar) - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Programme\Messenger_Plus_Live\tbMess.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Messenger Plus Live Germany Toolbar) - {542e4d79-1970-4e95-9862-fdb96f61b280} - C:\Programme\Messenger_Plus_Live_Germany\tbMess.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Messenger Plus Live Toolbar) - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Programme\Messenger_Plus_Live\tbMess.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (Messenger Plus Live Germany Toolbar) - {542E4D79-1970-4E95-9862-FDB96F61B280} - C:\Programme\Messenger_Plus_Live_Germany\tbMess.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (Messenger Plus Live Toolbar) - {9B339F6E-DDCD-401B-8764-230ADBD01761} - C:\Programme\Messenger_Plus_Live\tbMess.dll (Conduit Ltd.)
O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 323
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveAutoRun = 67108863
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 323
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveAutoRun = 67108863
O9 - Extra Button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe (ICQ, LLC.)
O9 - Extra 'Tools' menuitem : ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe (ICQ, LLC.)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} http://download.macromedia.com/pub/s...irector/sw.cab (Shockwave ActiveX Control)
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} http://www.fileplanet.com/fpdlmgr/ca..._2.3.9.113.cab (Reg Error: Key error.)
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} http://messenger.zone.msn.com/Messen.../GAME_UNO1.cab (UnoCtrl Class)
O16 - DPF: {784797A8-342D-4072-9486-03C8D0F2F0A1} https://www.battlefieldheroes.com/st...r_4.0.21.0.cab (Battlefield Heroes Updater)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jin...ndows-i586.cab (Java Plug-in 1.6.0_15)
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} http://fpdownload.macromedia.com/get.../ultrashim.cab (Reg Error: Key error.)
O16 - DPF: {C212D449-8B3C-41F2-BD9A-047BD770550F} http://www.fiaa.eu/OPLauncher.cab (Perparer Class)
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} http://messenger.zone.msn.com/binary...t.cab56907.cab (MessengerStatsClient Class)
O16 - DPF: {CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jin...ndows-i586.cab (Java Plug-in 1.6.0_15)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jin...ndows-i586.cab (Java Plug-in 1.6.0_15)
O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} http://service.futuremark.com/gom/receiver/tc/FMSI.cab (Futuremark SystemInfo)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} http://messenger.zone.msn.com/binary...r.cab56986.cab (Minesweeper Flags Class)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.2.1
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ms-itss {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Information Retrieval\msitss.dll (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation)
O18 - Protocol\Handler\wlmailhtml {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Programme\Windows Live\Mail\mailcomm.dll (Microsoft Corporation)
O18 - Protocol\Filter\text/xml {807553E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - Winlogon\Notify\AtiExtEvent: DllName - Ati2evxx.dll - C:\WINDOWS\System32\ati2evxx.dll (ATI Technologies Inc.)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2008.01.20 16:38:56 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O34 - HKLM BootExecute: (sremcon.exe) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2010.05.14 12:27:18 | 000,570,880 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\*****\Desktop\OTL.exe
[2010.05.14 12:18:15 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\*****\Recent
[2010.05.09 18:38:13 | 001,846,632 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\D3DCompiler_41.dll
[2010.05.09 18:38:13 | 000,453,456 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\d3dx10_41.dll
[2010.05.09 18:38:12 | 004,178,264 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\D3DX9_41.dll
[2010.05.09 18:38:11 | 000,517,448 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\XAudio2_4.dll
[2010.05.09 18:38:11 | 000,069,448 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\XAPOFX1_3.dll
[2010.05.09 18:38:10 | 000,235,352 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\xactengine3_4.dll
[2010.05.09 18:38:09 | 000,022,360 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\X3DAudio1_6.dll
[2010.05.08 20:39:45 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\*****\Eigene Dateien\Downloads
[2010.05.08 16:23:33 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Messenger_Plus_Live_Germany
[2010.05.07 20:10:47 | 000,000,000 | ---D | C] -- C:\Programme\Messenger_Plus_Live_Germany
[5 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[14 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2010.05.14 12:27:15 | 000,570,880 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\*****\Desktop\OTL.exe
[2010.05.14 12:08:00 | 000,001,090 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
[2010.05.14 10:21:39 | 000,001,086 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
[2010.05.14 10:18:58 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT
[2010.05.14 10:18:56 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2010.05.14 10:18:53 | 1073,270,784 | -HS- | M] () -- C:\hiberfil.sys
[2010.05.13 23:17:22 | 020,709,376 | ---- | M] () -- C:\Dokumente und Einstellungen\*****\ntuser.dat
[2010.05.13 23:17:22 | 000,000,190 | -HS- | M] () -- C:\Dokumente und Einstellungen\*****\ntuser.ini
[2010.05.13 18:32:59 | 000,000,202 | ---- | M] () -- C:\WINDOWS\NeroDigital.ini
[2010.05.11 18:07:40 | 000,000,768 | ---- | M] () -- C:\WINDOWS\win.ini
[2010.05.09 14:08:32 | 001,077,760 | ---- | M] () -- C:\WINDOWS\System32\PerfStringBackup.INI
[2010.05.09 14:08:32 | 000,461,396 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2010.05.09 14:08:32 | 000,443,504 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2010.05.09 14:08:32 | 000,086,008 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2010.05.09 14:08:32 | 000,072,680 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2010.05.08 18:04:34 | 000,001,500 | ---- | M] () -- C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\RecConfig.xml
[2010.05.02 19:41:10 | 004,766,724 | -H-- | M] () -- C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\IconCache.db
[2010.04.19 21:12:08 | 000,001,887 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Google Earth.lnk
[5 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[14 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2010.04.19 21:12:08 | 000,001,887 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Google Earth.lnk
[2009.11.29 22:14:12 | 000,021,504 | ---- | C] () -- C:\WINDOWS\jestertb.dll
[2009.09.05 12:39:58 | 000,033,792 | ---- | C] () -- C:\WINDOWS\System32\drivers\libusb0.sys
[2009.07.28 18:45:38 | 000,000,130 | ---- | C] () -- C:\WINDOWS\wininit.ini
[2009.04.14 21:44:49 | 000,354,816 | ---- | C] () -- C:\WINDOWS\System32\psisdecd.dll
[2009.03.07 21:41:14 | 000,043,520 | ---- | C] () -- C:\WINDOWS\System32\CmdLineExt03.dll
[2009.02.22 19:34:13 | 000,000,240 | ---- | C] () -- C:\WINDOWS\Caligari.ini
[2009.01.29 16:07:09 | 000,000,000 | ---- | C] () -- C:\WINDOWS\MSDraw.ini
[2009.01.11 18:28:00 | 000,027,648 | ---- | C] () -- C:\WINDOWS\System32\AVSredirect.dll
[2008.11.21 19:32:39 | 000,030,856 | ---- | C] () -- C:\WINDOWS\System32\drivers\fsbts.sys
[2008.09.25 13:53:06 | 000,120,200 | ---- | C] () -- C:\WINDOWS\System32\DLLDEV32i.dll
[2008.09.25 13:52:24 | 000,006,768 | ---- | C] () -- C:\WINDOWS\mgxoschk.ini
[2008.07.16 18:02:14 | 000,717,296 | ---- | C] () -- C:\WINDOWS\System32\drivers\sptd.sys
[2008.06.18 19:44:12 | 000,000,056 | RHS- | C] () -- C:\WINDOWS\System32\0918F08D96.sys
[2008.06.18 19:44:09 | 000,001,890 | -HS- | C] () -- C:\WINDOWS\System32\KGyGaAvL.sys
[2008.02.19 21:28:16 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2008.02.04 22:37:02 | 000,000,202 | ---- | C] () -- C:\WINDOWS\NeroDigital.ini
[2008.01.24 20:15:27 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI
[2008.01.24 19:51:19 | 000,006,656 | ---- | C] () -- C:\WINDOWS\System32\CNMVSyd.DLL
[2008.01.24 19:51:10 | 000,000,599 | ---- | C] () -- C:\WINDOWS\System32\CNCMP51.INI
[2008.01.22 16:52:41 | 000,000,151 | ---- | C] () -- C:\WINDOWS\PhotoSnapViewer.INI
[2008.01.20 18:30:09 | 000,156,672 | ---- | C] () -- C:\WINDOWS\System32\RTLCPAPI.dll
[2005.08.30 00:00:00 | 000,781,312 | ---- | C] () -- C:\WINDOWS\System32\RGSS102J.dll
[2005.08.30 00:00:00 | 000,778,752 | ---- | C] () -- C:\WINDOWS\System32\RGSS102E.dll
[2005.08.30 00:00:00 | 000,771,584 | ---- | C] () -- C:\WINDOWS\System32\RGSS100J.dll
[1997.06.14 10:56:08 | 000,056,832 | ---- | C] () -- C:\WINDOWS\System32\iyvu9_32.dll
 
========== Alternate Data Streams ==========
 
@Alternate Data Stream - 106 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:DFC5A2B2
< End of report >

nick 14.05.2010 11:40
Code:
OTL Extras logfile created on: 14.05.2010 12:28:12 - Run 1
OTL by OldTimer - Version 3.2.4.1    Folder = C:\Dokumente und Einstellungen\*****\Desktop
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1.023,00 Mb Total Physical Memory | 538,00 Mb Available Physical Memory | 53,00% Memory free
2,00 Gb Paging File | 2,00 Gb Available in Paging File | 83,00% Paging File free
Paging file location(s): C:\pagefile.sys 1536 3072 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 117,06 Gb Total Space | 46,21 Gb Free Space | 39,47% Space Free | Partition Type: NTFS
Drive D: | 78,13 Gb Total Space | 58,90 Gb Free Space | 75,39% Space Free | Partition Type: NTFS
E: Drive not present or media not loaded
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
 
Computer Name: *****
Current User Name: *****
Logged in as Administrator.
 
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
htmlfile [edit] -- "C:\Programme\Microsoft Office\OFFICE11\msohtmed.exe" %1 (Microsoft Corporation)
htmlfile [print] -- "C:\Programme\Microsoft Office\OFFICE11\msohtmed.exe" /p %1 (Microsoft Corporation)
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation)
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 1
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
"EnableFirewall" = 1
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
"139:TCP" = 139:TCP:LocalSubNet:Disabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Disabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Disabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Disabled:@xpsp2res.dll,-22002
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"D:\Programme\NCsoft\Exteel\System\Exteel.exe" = D:\Programme\NCsoft\Exteel\System\Exteel.exe:*:Enabled:Exteel -- File not found
"D:\Combat Arms\CombatArms.exe" = D:\Combat Arms\CombatArms.exe:*Enabled:CombatArms.exe -- File not found
"D:\Combat Arms\Engine.exe" = D:\Combat Arms\Engine.exe:*Enabled:Engine.exe -- File not found
"D:\Combat Arms EU\CombatArms.exe" = D:\Combat Arms EU\CombatArms.exe:*Enabled:CombatArms.exe -- File not found
"D:\Combat Arms EU\Engine.exe" = D:\Combat Arms EU\Engine.exe:*Enabled:Engine.exe -- File not found
"C:\Programme\Windows Live\Messenger\wlcsdk.exe" = C:\Programme\Windows Live\Messenger\wlcsdk.exe:*:Enabled:Windows Live Call -- (Microsoft Corporation)
"C:\Programme\MSN Messenger\livecall.exe" = C:\Programme\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone) -- File not found
"D:\Programme\Combat Arms\CombatArms.exe" = D:\Programme\Combat Arms\CombatArms.exe:*Enabled:CombatArms.exe -- File not found
"D:\Programme\Combat Arms\Engine.exe" = D:\Programme\Combat Arms\Engine.exe:*Enabled:Engine.exe -- File not found
"D:\Programme\Combat Arms EU\CombatArms.exe" = D:\Programme\Combat Arms EU\CombatArms.exe:*Enabled:CombatArms.exe -- (Nexon)
"D:\Programme\Combat Arms EU\Engine.exe" = D:\Programme\Combat Arms EU\Engine.exe:*Enabled:Engine.exe -- (Nexon)
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"D:\Programme\Steam\SteamApps\tsgt_malarkey\half-life 2 deathmatch\hl2.exe" = D:\Programme\Steam\SteamApps\tsgt_malarkey\half-life 2 deathmatch\hl2.exe:*:Enabled:hl2 -- ()
"D:\Programme\Steam\SteamApps\tsgt_malarkey\counter-strike source\hl2.exe" = D:\Programme\Steam\SteamApps\tsgt_malarkey\counter-strike source\hl2.exe:*:Enabled:hl2 -- ()
"D:\Programme\Steam\SteamApps\tsgt_malarkey\day of defeat source\hl2.exe" = D:\Programme\Steam\SteamApps\tsgt_malarkey\day of defeat source\hl2.exe:*:Enabled:hl2 -- ()
"D:\Programme\Microsoft Games\Age of Empires III\age3.exe" = D:\Programme\Microsoft Games\Age of Empires III\age3.exe:*:Enabled:Age of Empires 3 -- File not found
"C:\WINDOWS\system32\dpvsetup.exe" = C:\WINDOWS\system32\dpvsetup.exe:*:Enabled:Microsoft DirectPlay Voice Test -- (Microsoft Corporation)
"C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NexonUS\NGM\NGM.exe" = C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NexonUS\NGM\NGM.exe:*:Enabled:Nexon Game Manager -- (Nexon)
"D:\Programme\Steam\Steam.exe" = D:\Programme\Steam\Steam.exe:*:Enabled:Steam -- (Valve Corporation)
"C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NexonEU\NGM\NGM.exe" = C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NexonEU\NGM\NGM.exe:*:Enabled:Nexon Game Manager -- (Nexon)
"C:\Programme\ATI Technologies\ATI.ACE\CLI.exe" = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe:*:Disabled:CLI Application (Command Line Interface) -- (ATI Technologies Inc.)
"C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Dyyno Receiver\DPPM.exe" = C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Dyyno Receiver\DPPM.exe:*:Enabled:Dyyno Plugin Receiver -- ()
"C:\WINDOWS\system32\dplaysvr.exe" = C:\WINDOWS\system32\dplaysvr.exe:*:Enabled:Microsoft DirectPlay Helper -- (Microsoft Corporation)
"C:\Programme\Java\jre1.6.0_03\launch4j-tmp\JDownloader.exe" = C:\Programme\Java\jre1.6.0_03\launch4j-tmp\JDownloader.exe:*:Enabled:Java(TM) Platform SE binary -- (Sun Microsystems, Inc.)
"C:\Programme\Windows Live\Messenger\wlcsdk.exe" = C:\Programme\Windows Live\Messenger\wlcsdk.exe:*:Enabled:Windows Live Call -- (Microsoft Corporation)
"D:\Programme\Combat Arms\CombatArms.exe" = D:\Programme\Combat Arms\CombatArms.exe:*Enabled:CombatArms.exe -- File not found
"D:\Programme\Combat Arms\Engine.exe" = D:\Programme\Combat Arms\Engine.exe:*Enabled:Engine.exe -- File not found
"C:\Nexon\NEXON_EU_Downloader\NEXON_EU_Downloader_Engine.exe" = C:\Nexon\NEXON_EU_Downloader\NEXON_EU_Downloader_Engine.exe:*:Enabled:NEXON_EU_Downloader_Engine -- File not found
"D:\Programme\Combat Arms EU\CombatArms.exe" = D:\Programme\Combat Arms EU\CombatArms.exe:*Enabled:CombatArms.exe -- (Nexon)
"D:\Programme\Combat Arms EU\Engine.exe" = D:\Programme\Combat Arms EU\Engine.exe:*Enabled:Engine.exe -- (Nexon)
"C:\WINDOWS\system32\PnkBstrA.exe" = C:\WINDOWS\system32\PnkBstrA.exe:*:Enabled:PnkBstrA -- File not found
"C:\WINDOWS\system32\PnkBstrB.exe" = C:\WINDOWS\system32\PnkBstrB.exe:*:Enabled:PnkBstrB -- File not found
"D:\Programme\Combat Arms EU\NMService.exe" = D:\Programme\Combat Arms EU\NMService.exe:*:Enabled:Nexon Messenger Core -- (Nexon Corp.)
"C:\Programme\Java\jre6\bin\javaw.exe" = C:\Programme\Java\jre6\bin\javaw.exe:*:Enabled:Java(TM) Platform SE binary -- (Sun Microsystems, Inc.)
"C:\Programme\Java\jre6\bin\java.exe" = C:\Programme\Java\jre6\bin\java.exe:*:Enabled:Java(TM) Platform SE binary -- (Sun Microsystems, Inc.)
"D:\Programme\gamigo\heroes in the sky\HIS.exe" = D:\Programme\gamigo\heroes in the sky\HIS.exe:*:Enabled:his -- File not found
"C:\Programme\ICQ6.5\ICQ.exe" = C:\Programme\ICQ6.5\ICQ.exe:*:Enabled:ICQ6 -- (ICQ, LLC.)
"D:\Programme\EA Games\Battlefield 2\BF2.exe" = D:\Programme\EA Games\Battlefield 2\BF2.exe:*:Enabled:Battlefield 2 -- File not found
"D:\Programme\KONAMI\Pro Evolution Soccer 2010\pes2010.exe" = D:\Programme\KONAMI\Pro Evolution Soccer 2010\pes2010.exe:*:Enabled:Pro Evolution Soccer 2010 -- File not found
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
"{0325F1C1-883A-41AB-8981-B27359ABDFAF}" = Joint Operations: Typhoon Rising
"{048298C9-A4D3-490B-9FF9-AB023A9238F3}" = Steam(TM)
"{08C0729E-3E50-11DF-9D81-005056806466}" = Google Earth
"{1632FD86-1BA4-4FC4-8B25-A8C655D63F68}" = Sid Meier's Pirates!
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{1FF12BFD-84AC-4E81-9A8F-496E5C2DDA79}_is1" = Didi V3
"{205C6BDD-7B73-42DE-8505-9A093F35A238}" = Windows Live-Uploadtool
"{22B0E143-2B0B-435B-9F56-136A3D16065F}" = No23 Recorder
"{22B775E7-6C42-4FC5-8E10-9A5E3257BD94}" = MSVCRT
"{26A24AE4-039D-4CA4-87B4-2F83216014FF}" = Java(TM) 6 Update 15
"{28BB3F18-0B58-403D-B714-B2C983A1865F}" = Florensia
"{30C10EE3-EFB3-4B7A-9CDC-50790C2B5200}" = CA Licensing
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{3B4E636E-9D65-4D67-BA61-189800823F52}" = Windows Live Communications Platform
"{41E654A9-26D0-4EAC-854B-0FA824FFFABB}" = Windows Live Messenger
"{43602F34-1AA3-44FB-AEB2-D08C2C73743F}" = Paint.NET v3.36
"{459F8ABE-28DB-4F9E-9F96-3149C332FA83}" = Lernwerkstatt 7
"{4669544E-20E4-4E56-8B44-2E6E1200051F}" = Canon MP-Toolbox 4.1.1.0.mp10
"{52B97218-98CB-4B8B-9283-D213C85E1AA4}" = Windows Live Anmelde-Assistent
"{58F8C6D9-5B55-486A-A322-4E8D87670031}" = Canon MP-Treiber
"{5A9FE525-8B8F-4701-A937-7F6745A4E9C7}" = RGSS-RTP Standard
"{5EE7D259-D137-4438-9A5F-42F432EC0421}" = VC80CRTRedist - 8.0.50727.4053
"{5FC68772-6D56-41C6-9DF1-24E868198AE6}" = Windows Live Call
"{60DE4033-9503-48D1-A483-7846BD217CA9}" = ICQ6.5
"{6811CAA0-BF12-11D4-9EA1-0050BAE317E1}" = PowerDVD
"{716E0306-8318-4364-8B8F-0CC4E9376BAC}" = MSXML 4.0 SP2 Parser and SDK
"{7299052b-02a4-4627-81f2-1818da5d550d}" = Microsoft Visual C++ 2005 Redistributable
"{770657D0-A123-3C07-8E44-1C83EC895118}" = Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{90110407-6000-11D3-8CFE-0150048383C9}" = Microsoft Office Professional Edition 2003
"{90120000-0020-0407-0000-0000000FF1CE}" = Compatibility Pack für 2007 Office System
"{95120000-00B9-0409-0000-0000000FF1CE}" = Microsoft Application Error Reporting
"{9559F7CA-5E34-4237-A2D9-D856464AD727}" = Project64 1.6
"{9580813D-94B1-4C28-9426-A441E2BB29A5}" = Counter-Strike: Source
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{A1F66FC9-11EE-4F2F-98C9-16F8D1E69FB7}" = Segoe UI
"{A2BCA9F1-566C-4805-97D1-7FDC93386723}" = Adobe AIR
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}" = Google Update Helper
"{B26E3B0D-C2FA-4370-B068-7C476766F029}" = Microsoft Works
"{B7050CBDB2504B34BC2A9CA0A692CC29}" = DivX Plus Web Player
"{BEE64C14-BEF1-4610-8A68-A16EAA47B882}" = Futuremark SystemInfo
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C4D738F7-996A-4C81-B8FA-C4E26D767E41}" = Windows Live Mail
"{CA567AD5-33A4-403D-86D1-EE2D38251951}_is1" = VDownloader  0.83
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.1
"{E2DFE069-083E-4631-9B6C-43C48E991DE5}" = Junk Mail filter update
"{EA9FAF16-0E5C-42C4-9742-9AF8D5F6D69B}" = ATI Catalyst Control Center
"{F0E12BBA-AD66-4022-A453-A1C8A0C4D570}" = Microsoft Choice Guard
"{F8FF18EE-264A-43FD-B2F6-5EAD40798C2F}" = Windows Live Essentials
"{FB08F381-6533-4108-B7DD-039E11FBC27E}" = Realtek AC'97 Audio
"3B18191663CDFABAA2A93D4267E54D683153FF60" = Windows-Treiberpaket - Advanced Micro Devices (AmdK8) Processor  (05/27/2006 1.3.2.0)
"Adobe AIR" = Adobe AIR
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11.5
"Agere Systems Soft Modem" = Agere Systems PCI Soft Modem
"All ATI Software" = ATI - Software Uninstall Utility
"AP Tuner 3.08" = AP Tuner 3.08
"ATI Display Driver" = ATI Display Driver
"Avira AntiVir Desktop" = Avira AntiVir Personal - Free Antivirus
"CCleaner" = CCleaner
"ClearProg" = ClearProg 1.5.0 Final
"Combat Arms EU" = Combat Arms EU
"D-Link VGA Webcam" = D-Link VGA Webcam
"Foxit PDF Editor" = Foxit PDF Editor
"Foxit Reader" = Foxit Reader
"HijackThis" = HijackThis 2.0.2
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie7" = Windows Internet Explorer 7
"ie8" = Windows Internet Explorer 8
"InstallShield_{1632FD86-1BA4-4FC4-8B25-A8C655D63F68}" = Sid Meier's Pirates!
"InstallShield_{459F8ABE-28DB-4F9E-9F96-3149C332FA83}" = Lernwerkstatt 7
"lgx4.lgx.server" = G DATA Logox4 Speechengine
"LibUSB-Win32_is1" = LibUSB-Win32-0.1.10.1
"Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware
"Measurement Services Client" = Futuremark Measurement Services Client
"Messenger Plus! Live" = Messenger Plus! Live
"Messenger_Plus_Live Toolbar" = Messenger_Plus_Live Toolbar
"Messenger_Plus_Live_Germany Toolbar" = Messenger_Plus_Live_Germany Toolbar
"Microsoft .NET Framework 1.1  (1033)" = Microsoft .NET Framework 1.1
"Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1
"Mozilla Firefox (3.6.3)" = Mozilla Firefox (3.6.3)
"MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"OpenAL" = OpenAL
"Plants vs. Zombies" = Plants vs. Zombies
"Steam App 211" = Source SDK
"SUPER ©" = SUPER © Version 2009.bld.35 (Jan 5, 2009)
"Windows Live OneCare safety scanner" = Windows Live OneCare safety scanner
"Windows Media Format Runtime" = Windows Media Format 11 runtime
"Windows Media Player" = Windows Media Player 11
"Windows XP Service Pack" = Windows XP Service Pack 3
"WinGimp-2.0_is1" = GIMP 2.6.7
"WinLiveSuite_Wave3" = Windows Live Essentials
"WinRAR archiver" = WinRAR
"WMFDist11" = Windows Media Format 11 runtime
"wmp11" = Windows Media Player 11
"Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0
 
========== HKEY_CURRENT_USER Uninstall List ==========
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 12.05.2010 12:16:34 | Computer Name = ***** | Source = VSS | ID = 5013
Description = Volumeschattenkopie-Dienstfehler: Von Schattenkopieautor "RemovableStorageManager"
 aufgerufene Routine "OpenNtmsSessionW" ist mit Status "0x80070015" (konvertiert
 in 0x800423f3) fehlgeschlagen.
 
Error - 12.05.2010 12:27:09 | Computer Name = ***** | Source = VSS | ID = 12289
Description = Volumeschattenkopie-Dienstfehler: Unerwarteter Fehler "CreateFileW(\\?\Volume{8209b0ea-c76a-11dc-9336-806d6172696f},0xc0000000,0x00000003,...)".
 hr = 0x80070005.
 
Error - 12.05.2010 12:27:09 | Computer Name = ***** | Source = VSS | ID = 12289
Description = Volumeschattenkopie-Dienstfehler: Unerwarteter Fehler "CreateFileW(\\?\Volume{b507b379-6545-11dd-b64e-001109bd4477},0xc0000000,0x00000003,...)".
 hr = 0x80070005.
 
Error - 12.05.2010 12:27:39 | Computer Name = *****| Source = VSS | ID = 5013
Description = Volumeschattenkopie-Dienstfehler: Von Schattenkopieautor "RemovableStorageManager"
 aufgerufene Routine "OpenNtmsSessionW" ist mit Status "0x80070015" (konvertiert
 in 0x800423f3) fehlgeschlagen.
 
Error - 12.05.2010 12:46:54 | Computer Name = ***** | Source = VSS | ID = 12289
Description = Volumeschattenkopie-Dienstfehler: Unerwarteter Fehler "CreateFileW(\\?\Volume{8209b0ea-c76a-11dc-9336-806d6172696f},0xc0000000,0x00000003,...)".
 hr = 0x80070005.
 
Error - 12.05.2010 12:46:54 | Computer Name = A***** | Source = VSS | ID = 12289
Description = Volumeschattenkopie-Dienstfehler: Unerwarteter Fehler "CreateFileW(\\?\Volume{b507b379-6545-11dd-b64e-001109bd4477},0xc0000000,0x00000003,...)".
 hr = 0x80070005.
 
Error - 12.05.2010 12:47:18 | Computer Name = *****| Source = VSS | ID = 5013
Description = Volumeschattenkopie-Dienstfehler: Von Schattenkopieautor "RemovableStorageManager"
 aufgerufene Routine "OpenNtmsSessionW" ist mit Status "0x80070015" (konvertiert
 in 0x800423f3) fehlgeschlagen.
 
Error - 12.05.2010 13:01:00 | Computer Name = ***** | Source = VSS | ID = 12289
Description = Volumeschattenkopie-Dienstfehler: Unerwarteter Fehler "CreateFileW(\\?\Volume{8209b0ea-c76a-11dc-9336-806d6172696f},0xc0000000,0x00000003,...)".
 hr = 0x80070005.
 
Error - 12.05.2010 13:01:00 | Computer Name = ***** | Source = VSS | ID = 12289
Description = Volumeschattenkopie-Dienstfehler: Unerwarteter Fehler "CreateFileW(\\?\Volume{b507b379-6545-11dd-b64e-001109bd4477},0xc0000000,0x00000003,...)".
 hr = 0x80070005.
 
Error - 12.05.2010 13:01:23 | Computer Name = ***** | Source = VSS | ID = 5013
Description = Volumeschattenkopie-Dienstfehler: Von Schattenkopieautor "RemovableStorageManager"
 aufgerufene Routine "OpenNtmsSessionW" ist mit Status "0x80070015" (konvertiert
 in 0x800423f3) fehlgeschlagen.
 
[ System Events ]
Error - 12.05.2010 12:17:10 | Computer Name = ***** | Source = Wechselmediendienst | ID = 262159
Description = Der Wechselmediendienst kann die Bibliothek CdRom1 nicht verwalten.
 Die Datenbank ist beschädigt.
 
Error - 12.05.2010 12:17:11 | Computer Name = ***** | Source = Wechselmediendienst | ID = 262159
Description = Der Wechselmediendienst kann die Bibliothek CdRom0 nicht verwalten.
 Die Datenbank ist beschädigt.
 
Error - 12.05.2010 12:28:16 | Computer Name = ***** | Source = Wechselmediendienst | ID = 262159
Description = Der Wechselmediendienst kann die Bibliothek CdRom1 nicht verwalten.
 Die Datenbank ist beschädigt.
 
Error - 12.05.2010 12:28:16 | Computer Name = *****| Source = Wechselmediendienst | ID = 262159
Description = Der Wechselmediendienst kann die Bibliothek CdRom0 nicht verwalten.
 Die Datenbank ist beschädigt.
 
Error - 12.05.2010 12:47:59 | Computer Name = ***** | Source = Wechselmediendienst | ID = 262159
Description = Der Wechselmediendienst kann die Bibliothek CdRom1 nicht verwalten.
 Die Datenbank ist beschädigt.
 
Error - 12.05.2010 12:48:00 | Computer Name = ***** | Source = Wechselmediendienst | ID = 262159
Description = Der Wechselmediendienst kann die Bibliothek CdRom0 nicht verwalten.
 Die Datenbank ist beschädigt.
 
Error - 12.05.2010 13:02:05 | Computer Name = ***** | Source = Wechselmediendienst | ID = 262159
Description = Der Wechselmediendienst kann die Bibliothek CdRom1 nicht verwalten.
 Die Datenbank ist beschädigt.
 
Error - 12.05.2010 13:02:06 | Computer Name = A*****| Source = Wechselmediendienst | ID = 262159
Description = Der Wechselmediendienst kann die Bibliothek CdRom0 nicht verwalten.
 Die Datenbank ist beschädigt.
 
Error - 13.05.2010 05:33:56 | Computer Name = *****| Source = Service Control Manager | ID = 7034
Description = Dienst "LogMeIn Hamachi 2.0 Tunneling Engine" wurde unerwartet beendet.
 Dies ist bereits 1 Mal passiert.
 
Error - 13.05.2010 16:06:35 | Computer Name = ***** | Source = Cdrom | ID = 262155
Description = Der Treiber hat einen Controllerfehler auf \Device\CdRom0 gefunden.
 
[ TuneUp Events ]
Error - 06.03.2009 11:46:48 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 06.03.2009 11:58:48 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 06.03.2009 12:12:02 | Computer Name = *****| Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 07.03.2009 03:20:41 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 07.03.2009 03:21:26 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 07.03.2009 03:56:37 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 07.03.2009 06:58:17 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 07.03.2009 06:58:22 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 07.03.2009 06:58:38 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
Error - 08.03.2009 07:31:49 | Computer Name = ***** | Source = TuneUp Program Statistics | ID = 131840
Description =
 
 
< End of report >

cosinus 14.05.2010 12:14
*ahem* was ist hiermit: => Da ist aber kein Fund in system32\drivers !!

Und Malwarebytes kannste gleich nochmal machen denn Du hast da ne Version aus dem Mittelalter :D
rot=alt
grün=aktuell

Malwarebytes' Anti-Malware 1.39 => 1.46
Datenbank Version: 2421 => 4099

nick 14.05.2010 13:10
Hier das neue Malwarebytes.

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4052

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

14.05.2010 14:08:04
mbam-log-2010-05-14 (14-08-04).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 134773
Laufzeit: 5 Minute(n), 59 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\Software\avsoft (Trojan.Fraudpack) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)



hmm kann auch nicht sagen was mit System32\drivers ist. Vlt. ist es dort gelöscht, vlt.war es eine Fehlmeldung.

cosinus 14.05.2010 13:30
Zitat:
Datenbank Version: 4052
Immer noch nicht aktuell :balla:
Und ich wollte nen VOLLSCAN und keinen Quickscan sehen.

nick 14.05.2010 21:05
So version 4101
Und Vollscan
Logfile bevor ich die Viren entfernen ließ. Wenn du willst poste ich auch den danach.


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4101

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

14.05.2010 21:58:02
mbam-log-2010-05-14 (21-58-02).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 260270
Laufzeit: 1 Stunde(n), 13 Minute(n), 29 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\Binayet\Anwendungsdaten\Desktopicon\eBayShortcuts.exe (Adware.ADON) -> No action taken.
D:\System Volume Information\_restore{2B3238B8-71D6-4DCA-A035-D6EECC7C8B3A}\RP375\A0319886.exe (Backdoor.Bot) -> No action taken.

cosinus 14.05.2010 22:25
Ok, mach mal mit CF weiter, das nimmt uns Arbeit ab ;)

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.
http://saved.im/mtm0nzyzmzd5/cofi.jpg
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

nick 15.05.2010 11:34
Code:
ComboFix 10-05-14.06 - Binayet 15.05.2010  12:19:13.3.1 - x86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1023.634 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Binayet\Desktop\cofi.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
SP: Spy Emergency *disabled* (Updated) {773EE130-7EFF-422a-B0FB-8A71604A2FF9}
 * Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Desktopicon
c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Desktopicon\config.ini
c:\dokumente und einstellungen\Binayet\Lokale Einstellungen\Anwendungsdaten\lame_enc.dll
c:\dokumente und einstellungen\Binayet\Lokale Einstellungen\Anwendungsdaten\no23xwrapper.dll
c:\dokumente und einstellungen\Binayet\Lokale Einstellungen\Anwendungsdaten\ogg.dll
c:\dokumente und einstellungen\Binayet\Lokale Einstellungen\Anwendungsdaten\vorbis.dll
c:\dokumente und einstellungen\Binayet\Lokale Einstellungen\Anwendungsdaten\vorbisenc.dll
c:\dokumente und einstellungen\Binayet\Lokale Einstellungen\Anwendungsdaten\vorbisfile.dll
c:\windows\jestertb.dll

.
(((((((((((((((((((((((  Dateien erstellt von 2010-04-15 bis 2010-05-15  ))))))))))))))))))))))))))))))
.

2010-05-07 18:10 . 2010-05-07 18:10        --------        d-----w-        c:\programme\Messenger_Plus_Live_Germany
2010-05-07 18:10 . 2010-04-21 10:07        52224        ----a-w-        c:\dokumente und einstellungen\Sara\Anwendungsdaten\Mozilla\Firefox\Profiles\xdmsxsae.default\extensions\{542e4d79-1970-4e95-9862-fdb96f61b280}\components\FFExternalAlert.dll
2010-05-07 18:10 . 2010-04-21 10:07        101376        ----a-w-        c:\dokumente und einstellungen\Sara\Anwendungsdaten\Mozilla\Firefox\Profiles\xdmsxsae.default\extensions\{542e4d79-1970-4e95-9862-fdb96f61b280}\components\RadioWMPCore.dll
2010-04-20 14:38 . 2010-04-20 14:38        --------        d-----w-        c:\dokumente und einstellungen\Gast\Anwendungsdaten\Avira
2010-04-18 13:28 . 2010-04-18 13:28        8854        ----a-r-        c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Microsoft\Installer\{9559F7CA-5E34-4237-A2D9-D856464AD727}\Uninstall_Project64__9559F7CA5E344237A2D9D856464AD727.exe
2010-04-18 13:28 . 2010-04-18 13:28        40960        ----a-r-        c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Microsoft\Installer\{9559F7CA-5E34-4237-A2D9-D856464AD727}\NewShortcut1_9559F7CA5E344237A2D9D856464AD727.exe
2010-04-18 13:28 . 2010-04-18 13:28        40960        ----a-r-        c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Microsoft\Installer\{9559F7CA-5E34-4237-A2D9-D856464AD727}\ARPPRODUCTICON.exe

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-05-14 17:05 . 2010-03-22 15:55        --------        d-----w-        c:\programme\Messenger_Plus_Live
2010-05-14 15:34 . 2010-05-14 15:34        --------        d-----w-        c:\dokumente und einstellungen\Sara\Anwendungsdaten\Avira
2010-05-14 12:01 . 2010-05-14 12:01        711168        ----a-w-        c:\windows\isRS-000.tmp
2010-05-09 16:44 . 2009-09-09 17:44        --------        d-----w-        c:\programme\AGEIA Technologies
2010-05-09 12:08 . 2004-08-04 12:00        86008        ----a-w-        c:\windows\system32\perfc007.dat
2010-05-09 12:08 . 2004-08-04 12:00        461396        ----a-w-        c:\windows\system32\perfh007.dat
2010-04-29 10:19 . 2009-07-24 08:49        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys
2010-04-29 10:19 . 2009-07-24 08:49        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys
2010-04-19 19:11 . 2008-01-20 17:03        --------        d-----w-        c:\programme\Google
2010-04-15 15:52 . 2008-05-14 12:58        6818        ----a-w-        c:\dokumente und einstellungen\Sara\Anwendungsdaten\wklnhst.dat
2010-04-10 19:36 . 2009-03-07 19:41        43520        ----a-w-        c:\windows\system32\CmdLineExt03.dll
2010-04-05 18:11 . 2010-04-05 18:11        --------        d-----w-        c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Avira
2010-04-05 17:18 . 2008-07-01 13:45        --------        d-----w-        c:\dokumente und einstellungen\Binayet\Anwendungsdaten\gtk-2.0
2010-03-30 20:18 . 2008-01-20 14:58        --------        d--h--w-        c:\programme\InstallShield Installation Information
2010-03-29 10:13 . 2008-07-11 14:01        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Kaspersky Lab
2010-03-29 10:13 . 2008-12-28 13:58        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files
2010-03-29 10:05 . 2010-03-29 10:05        --------        d-----w-        c:\programme\Avira
2010-02-25 06:15 . 2004-08-04 12:00        916480        ----a-w-        c:\windows\system32\wininet.dll
2010-02-24 13:11 . 2004-08-04 12:00        455680        ----a-w-        c:\windows\system32\drivers\mrxsmb.sys
2010-02-17 12:04 . 2004-08-04 12:00        2192256        ----a-w-        c:\windows\system32\ntoskrnl.exe
2010-02-16 19:04 . 2004-08-04 00:50        2069120        ----a-w-        c:\windows\system32\ntkrnlpa.exe
2010-02-16 11:24 . 2009-08-03 11:09        60936        ----a-w-        c:\windows\system32\drivers\avgntflt.sys
2002-07-26 16:02 . 2009-01-08 18:22        153088        ----a-w-        c:\programme\UNWISE.EXE
2008-06-18 17:44 . 2008-06-18 17:44        56        --sh--r-        c:\windows\system32\0918F08D96.sys
2006-05-03 10:06 . 2009-01-11 16:27        163328        --sh--r-        c:\windows\system32\flvDX.dll
2008-06-19 09:23 . 2008-06-18 17:44        1890        --sha-w-        c:\windows\system32\KGyGaAvL.sys
2007-02-21 11:47 . 2009-01-11 16:27        31232        --sh--r-        c:\windows\system32\msfDX.dll
2008-03-16 13:30 . 2009-01-11 16:27        216064        --sh--r-        c:\windows\system32\nbDX.dll
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{9b339f6e-ddcd-401b-8764-230adbd01761}"= "c:\programme\Messenger_Plus_Live\tbMes1.dll" [2010-05-14 2515552]

[HKEY_CLASSES_ROOT\clsid\{9b339f6e-ddcd-401b-8764-230adbd01761}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{542e4d79-1970-4e95-9862-fdb96f61b280}]
2010-04-15 10:33        2515552        ----a-w-        c:\programme\Messenger_Plus_Live_Germany\tbMess.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{9b339f6e-ddcd-401b-8764-230adbd01761}]
2010-05-14 17:05        2515552        ----a-w-        c:\programme\Messenger_Plus_Live\tbMes1.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{9b339f6e-ddcd-401b-8764-230adbd01761}"= "c:\programme\Messenger_Plus_Live\tbMes1.dll" [2010-05-14 2515552]
"{542e4d79-1970-4e95-9862-fdb96f61b280}"= "c:\programme\Messenger_Plus_Live_Germany\tbMess.dll" [2010-04-15 2515552]

[HKEY_CLASSES_ROOT\clsid\{9b339f6e-ddcd-401b-8764-230adbd01761}]

[HKEY_CLASSES_ROOT\clsid\{542e4d79-1970-4e95-9862-fdb96f61b280}]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{9B339F6E-DDCD-401B-8764-230ADBD01761}"= "c:\programme\Messenger_Plus_Live\tbMes1.dll" [2010-05-14 2515552]
"{542E4D79-1970-4E95-9862-FDB96F61B280}"= "c:\programme\Messenger_Plus_Live_Germany\tbMess.dll" [2010-04-15 2515552]

[HKEY_CLASSES_ROOT\clsid\{9b339f6e-ddcd-401b-8764-230adbd01761}]

[HKEY_CLASSES_ROOT\clsid\{542e4d79-1970-4e95-9862-fdb96f61b280}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msnmsgr"="c:\programme\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883840]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AGRSMMSG"="AGRSMMSG.exe" [2004-06-29 88363]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-03-02 282792]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute        REG_MULTI_SZ          autocheck autochk *\0sremcon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC]
2006-01-02 15:41        45056        ----a-w-        c:\programme\ATI Technologies\ATI.ACE\CLI.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]
2009-07-26 14:44        3883840        ----a-w-        c:\programme\Windows Live\Messenger\msnmsgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"d:\\Programme\\Steam\\SteamApps\\tsgt_malarkey\\half-life 2 deathmatch\\hl2.exe"=
"d:\\Programme\\Steam\\SteamApps\\tsgt_malarkey\\counter-strike source\\hl2.exe"=
"d:\\Programme\\Steam\\SteamApps\\tsgt_malarkey\\day of defeat source\\hl2.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\NexonUS\\NGM\\NGM.exe"=
"d:\\Programme\\Steam\\Steam.exe"=
"c:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\NexonEU\\NGM\\NGM.exe"=
"c:\\Programme\\ATI Technologies\\ATI.ACE\\CLI.exe"=
"c:\\Dokumente und Einstellungen\\Binayet\\Lokale Einstellungen\\Anwendungsdaten\\Dyyno Receiver\\DPPM.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Programme\\Java\\jre1.6.0_03\\launch4j-tmp\\JDownloader.exe"=
"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=
"d:\programme\Combat Arms EU\CombatArms.exe"= d:\programme\Combat Arms EU\CombatArms.exe:*Enabled:CombatArms.exe
"d:\programme\Combat Arms EU\Engine.exe"= d:\programme\Combat Arms EU\Engine.exe:*Enabled:Engine.exe
"d:\\Programme\\Combat Arms EU\\NMService.exe"=
"c:\\Programme\\Java\\jre6\\bin\\javaw.exe"=
"c:\\Programme\\Java\\jre6\\bin\\java.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"d:\\Programme\\Skype\\Phone\\Skype.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [29.03.2010 12:05 135336]
R2 libusbd;LibUsb-Win32 - Daemon, Version 0.1.10.1;system32\libusbd-nt.exe --> system32\libusbd-nt.exe [?]
R3 libusb0;LibUsb-Win32 - Kernel Driver, Version 0.1.10.1;c:\windows\system32\drivers\libusb0.sys [05.09.2009 12:39 33792]
S0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [16.07.2008 18:02 717296]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [09.01.2010 19:53 135664]
S3 cpuz130;cpuz130;\??\c:\dokume~1\Binayet\LOKALE~1\Temp\cpuz130\cpuz_x32.sys --> c:\dokume~1\Binayet\LOKALE~1\Temp\cpuz130\cpuz_x32.sys [?]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;d:\programme\MAGIX\Common\Database\bin\fbserver.exe --> d:\programme\MAGIX\Common\Database\bin\fbserver.exe [?]
.
Inhalt des "geplante Tasks" Ordners

2010-05-15 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-01-09 17:53]

2010-05-14 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-01-09 17:53]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uInternet Connection Wizard,ShellNext = iexplore
uInternet Settings,ProxyServer = http=127.0.0.1:5555
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
DPF: {784797A8-342D-4072-9486-03C8D0F2F0A1} - hxxps://www.battlefieldheroes.com/static/updater/BFHUpdater_4.0.21.0.cab
DPF: {C212D449-8B3C-41F2-BD9A-047BD770550F} - hxxp://www.fiaa.eu/OPLauncher.cab
FF - ProfilePath - c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.search.selectedEngine - DAEMON Search
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - prefs.js: keyword.URL - hxxp://search.icq.com/search/afe_results.php?ch_id=afex&q=
FF - component: c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\extensions\{9b339f6e-ddcd-401b-8764-230adbd01761}\components\FFExternalAlert.dll
FF - component: c:\dokumente und einstellungen\Binayet\Anwendungsdaten\Mozilla\Firefox\Profiles\je1rj3xv.default\extensions\{9b339f6e-ddcd-401b-8764-230adbd01761}\components\RadioWMPCore.dll
FF - component: d:\programme\Mozilla Firefox\extensions\linkfilter@kaspersky.ru\components\KavLinkFilter.dll
FF - plugin: c:\dokumente und einstellungen\All Users\Anwendungsdaten\NexonEU\NGM\npNxGameeu.dll
FF - plugin: c:\dokumente und einstellungen\All Users\Anwendungsdaten\NexonUS\NGM\npNxGameUS.dll
FF - plugin: c:\programme\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\Google\Update\1.2.183.23\npGoogleOneClick8.dll
FF - plugin: d:\programme\DivX\DivX Plus Web Player\npdivx32.dll
FF - plugin: d:\programme\Mozilla Firefox\plugins\npFoxitReaderPlugin.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
FF - user.js: network.http.max-persistent-connections-per-server - 4
FF - user.js: nglayout.initialpaint.delay - 600
FF - user.js: content.notify.interval - 600000
FF - user.js: content.max.tokenizing.time - 1800000
FF - user.js: content.switch.threshold - 600000
d:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
d:\programme\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
d:\programme\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
d:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
d:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
d:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
d:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation",  false);
d:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
d:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
d:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

WebBrowser-{D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)
MSConfigStartUp-LogMeIn Hamachi Ui - d:\programme\LogMeIn Hamachi\hamachi-2-ui.exe
MSConfigStartUp-SpybotSD TeaTimer - d:\programme\Spybot - Search & Destroy\TeaTimer.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-05-15 12:23
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~ *]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(876)
c:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2010-05-15  12:25:52
ComboFix-quarantined-files.txt  2010-05-15 10:25

Vor Suchlauf: 10 Verzeichnis(se), 49.537.048.576 Bytes frei
Nach Suchlauf: 15 Verzeichnis(se), 49.668.599.808 Bytes frei

- - End Of File - - AC7909785BC80883CF6E1EAE5EA3E110

nick 15.05.2010 12:53
sry für doppelpost ich wusste nicht wie man Editiert.

Hab in meinem D Laufwerk eine Datei namens found.000 gefunden. Die wurde angeblich 9.August 2009 erstellt. Aber ich habe sie bisher nie gesehn. Soll ich sie löschen?

cosinus 16.05.2010 18:30
Ja, kannste löschen.
Mach auch bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

nick 19.05.2010 13:54
erstmal Malwarebytes. (Weil avira während des scanns schon 2 infizierte dateien gefunden hat hat malwarebytes keien gefunden. ich glaueb avira löscht gar nciht richtig)

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4101

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

19.05.2010 14:47:36
mbam-log-2010-05-19 (14-47-36).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 255438
Laufzeit: 52 Minute(n), 48 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

cosinus 19.05.2010 14:11
Zitat:
Datenbank Version: 4101
Du hast Malwarebytes nicht aktualisieren. Bitte nachholen und den Vollscan wiederholen.

nick 19.05.2010 15:40
SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 05/19/2010 at 04:30 PM

Application Version : 4.37.1000

Core Rules Database Version : 4954
Trace Rules Database Version: 2766

Scan type : Complete Scan
Total Scan Time : 01:28:46

Memory items scanned : 464
Memory threats detected : 0
Registry items scanned : 5523
Registry threats detected : 0
File items scanned : 120892
File threats detected : 2

Unclassified.Unknown Origin
C:\DOKUMENTE UND EINSTELLUNGEN\ALL USERS\ANWENDUNGSDATEN\LERNWERKSTATT 7\DATA\GWS\HäUFIGKEIT ALLE\DIE.TXT
C:\DOKUMENTE UND EINSTELLUNGEN\ALL USERS\ANWENDUNGSDATEN\LERNWERKSTATT 7\DATA\GWS\WöRTER MIT IE\DIE.TXT

cosinus 19.05.2010 15:45
Das von SASW sind Fehlalarme. Machst Du den Scan mit aktuellem Malwarebytes noch?

nick 19.05.2010 16:39
Natürlich :)


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4117

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

19.05.2010 17:33:31
mbam-log-2010-05-19 (17-33-31).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 256808
Laufzeit: 50 Minute(n), 26 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\Software\Cheat Engine (Backdoor.Bot) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)





Eine Frage am rande. Jemand hat mir ein Programm empfohlen, dass man kostenlos im Internet laden kann. Wenn ich das runterlade kommt sofort eine Meldung dass eine Malware gefunden wurde. Die Person meinte ich müsste dass nur von der Firewall freigeben lassen. Aber ich bin mir da nicht sicher. Immerhin kann es ja ein echter Virus sein oder? Er meint bei ihm gäbe es keine Probleme. Kann ich vor dem runterladen dass irgendwie feststellen?

cosinus 19.05.2010 18:36
Das von Malwarebytes sieht auch eher nach einem Fehlalarm aus.

Zitat:
Eine Frage am rande. Jemand hat mir ein Programm empfohlen, dass man kostenlos im Internet laden kann. Wenn ich das runterlade kommt sofort eine Meldung dass eine Malware gefunden wurde. Die Person meinte ich müsste dass nur von der Firewall freigeben lassen.
Link dazu, Programmname? Hört sich an als wenn Dir jmd was unterjubeln will.

nick 20.05.2010 13:34
Das programm heißt Harping MIDI
Download Harping Midi Player
ich glaub eigentlich nicht dass der mir was unterjubeln will. Kann cih mir nciht vorstellen XD


Also wenn beide Logs nur fehlalarme sind, heißt das dass cih kein Virus habe?

cosinus 20.05.2010 15:23
Das ist ne offzielle Website. Bei den dünnen Infos vorhin dachte ich an eine Rapidshare oder sonstwas Seite wo gerne Warez und diverse andere dubiosen Programme heruntergeladen werden können... :rolleyes: - das Teil selbst ist ok => https://www.virustotal.com/de/analis...be0-1274365429
Aber wozu muss es in der Windows-Firewall freigegeben werden? Hallo, das ist ein MIDI-Player! :eek:

Edit: Lass die Finger davon, anscheinend hat jmd. an das andere Setup (nicht die *.msi Datei) einen Backdoorserver drangeklebt!!
=> https://www.virustotal.com/de/analis...ae9-1274365665

Wer hat Dir das Programm empfohlen? Kennst Du den?

nick 20.05.2010 16:36
Nein ich kenne ihn nicht persönlich. Hat mir in nem Forum gepostet. Hab den das mit dem Virus auch gesagt....

nick 30.05.2010 14:07
Noch eine ltzte frage zu Superantispyware.
Wenn ich in der Quarantäne ein objekt auswähle und entfernen mache wird es gelöscht oder aus der Quarantäne entnommen. Weil es gibt auch einen Clear all button.

cosinus 30.05.2010 16:13
Normalerweise ist es so:

aus der Quanrantäne löschen => dauerhaft löschen
aus der Quanrantäne wiederherstellen => Objekt aus der Quantäne nehmen und wieder an den ursprünglichen Ort kopieren


Alle Zeitangaben in WEZ +1. Es ist jetzt 22:05 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131