Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Bundespolizei-Virus (https://www.trojaner-board.de/101825-bundespolizei-virus.html)

ordinary 29.07.2011 11:27
Bundespolizei-Virus
 
Hallo!
Ein Freund von mir hat einen Virus abgekriegt, der ihn dazu auffordert, 100Euro an die Bundespolizei zu überweisen.

http://www.trojaner-board.de/97331-b...n-ich-tun.html Diese Anleitung hat er bereits verfolgt, dabei kam nun folgendes raus:
Zitat:
OTL logfile created on: 7/29/2011 12:41:10 PM - Run
OTLPE by OldTimer - Version 3.1.48.0 Folder = X:\Programs\OTLPE
Microsoft Windows XP Service Pack 3 (Version = 5.1.2600) - Type = SYSTEM
Internet Explorer (Version = 6.0.2900.5512)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy

1,023.00 Mb Total Physical Memory | 841.00 Mb Available Physical Memory | 82.00% Memory free
907.00 Mb Paging File | 853.00 Mb Available in Paging File | 94.00% Paging File free
Paging file location(s): C:\pagefile.sys 1536 3072 [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 48.82 Gb Total Space | 3.24 Gb Free Space | 6.64% Space Free | Partition Type: NTFS
Drive D: | 230.62 Gb Total Space | 155.94 Gb Free Space | 67.62% Space Free | Partition Type: NTFS
Drive X: | 436.59 Mb Total Space | 0.00 Mb Free Space | 0.00% Space Free | Partition Type: CDFS

Computer Name: REATOGO | User Name: SYSTEM
Boot Mode: Normal | Scan Mode: All users
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
Using ControlSet: ControlSet001

========== Win32 Services (SafeList) ==========

SRV - File not found [Disabled] -- -- (HidServ)
SRV - File not found [On_Demand] -- -- (AppMgmt)
SRV - [2011/03/28 10:15:04 | 000,136,360 | ---- | M] (Avira GmbH) [Auto] -- C:\Programme\Avira\AntiVir Desktop\sched.exe -- (AntiVirSchedulerService)
SRV - [2011/03/28 10:14:56 | 000,269,480 | ---- | M] (Avira GmbH) [Auto] -- C:\Programme\Avira\AntiVir Desktop\avguard.exe -- (AntiVirService)
SRV - [2010/11/21 05:49:24 | 000,247,608 | ---- | M] () [Auto] -- C:\Programme\ICQ6Toolbar\ICQ Service.exe -- (ICQ Service)
SRV - [2010/02/19 05:07:14 | 000,517,096 | ---- | M] (Adobe Systems Incorporated) [On_Demand] -- C:\Programme\Gemeinsame Dateien\Adobe\SwitchBoard\SwitchBoard.exe -- (SwitchBoard)
SRV - [2005/01/06 13:41:22 | 000,462,848 | ---- | M] (Lexmark International, Inc.) [On_Demand] -- C:\WINDOWS\System32\lxbycoms.exe -- (lxby_device)


========== Driver Services (SafeList) ==========

DRV - File not found [Kernel | System] -- -- (PCIDump)
DRV - File not found [Kernel | System] -- -- (lbrtfdc)
DRV - File not found [Kernel | System] -- -- (i2omgmt)
DRV - File not found [Kernel | System] -- -- (Changer)
DRV - [2011/04/01 11:07:25 | 000,137,656 | ---- | M] (Avira GmbH) [Kernel | System] -- C:\WINDOWS\system32\drivers\avipbb.sys -- (avipbb)
DRV - [2011/04/01 11:07:25 | 000,061,960 | ---- | M] (Avira GmbH) [File_System | Disabled] -- C:\WINDOWS\system32\drivers\avgntflt.sys -- (avgntflt)
DRV - [2010/06/17 09:27:02 | 000,028,520 | ---- | M] (Avira GmbH) [Kernel | System] -- C:\WINDOWS\system32\drivers\ssmdrv.sys -- (ssmdrv)
DRV - [2010/06/17 09:26:52 | 000,011,608 | ---- | M] (Avira GmbH) [Kernel | System] -- C:\Programme\Avira\AntiVir Desktop\avgio.sys -- (avgio)
DRV - [2008/09/24 02:10:22 | 004,122,368 | R--- | M] (Realtek Semiconductor Corp.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\alcxwdm.sys -- (ALCXWDM) Service for Realtek AC97 Audio (WDM)
DRV - [2008/04/13 17:05:40 | 000,020,992 | ---- | M] (Realtek Semiconductor Corporation) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\RTL8139.sys -- (rtl8139) NT-Treiber für Realtek RTL8139(A/B/C)


========== Standard Registry (SafeList) ==========


========== Internet Explorer ==========

IE - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
IE - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://start.facemoods.com/?a=ddrnw&s={searchTerms}&f=4


IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0



IE - HKU\WOOFUS_ON_C\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://start.facemoods.com/?a=ddrnw
IE - HKU\WOOFUS_ON_C\..\URLSearchHook: - Reg Error: Key error. File not found
IE - HKU\WOOFUS_ON_C\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ)
IE - HKU\WOOFUS_ON_C\..\URLSearchHook: {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Programme\DVDVideoSoftTB\prxtbDVD2.dll (Conduit Ltd.)
IE - HKU\WOOFUS_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

========== FireFox ==========

FF - prefs.js..browser.search.defaultenginename: "Facemoods Search"
FF - prefs.js..browser.search.selectedEngine: "Google"
FF - prefs.js..browser.startup.homepage: "hxxp://www.facebook.com/daniel.knussmann"
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}:6.0.20
FF - prefs.js..extensions.enabledItems: jqs@sun.com:1.0
FF - prefs.js..extensions.enabledItems: illimitux@illimitux.net:4.0
FF - prefs.js..extensions.enabledItems: {872b5b88-9db5-4310-bdd0-ac189557e5f5}:2.7.2.0
FF - prefs.js..extensions.enabledItems: {20cc25e2-48c9-45e1-9a1f-1ccc1882b81b}:1.9
FF - prefs.js..extensions.enabledItems: {800b5000-a755-47e1-992b-48a1c1357f07}:1.1.9
FF - prefs.js..keyword.URL: "hxxp://search.icq.com/search/afe_results.php?ch_id=afex&tb_ver=1.1.9&q="

FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\MozillaPlugins\@divx.com/DivX Browser Plugin,version=1.0.0: C:\Programme\DivX\DivX Plus Web Player\npdivx32.dll (DivX,Inc.)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation)

FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.6.18\extensions\\Components: C:\Programme\Mozilla Firefox\components [2011/06/22 21:33:29 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.6.18\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2011/06/22 21:20:46 | 000,000,000 | ---D | M]

[2010/10/13 10:31:10 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\mozilla\Extensions
[2011/07/28 03:49:12 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\mozilla\Firefox\Profiles\opxiskil.default\extensions
[2010/12/19 12:56:15 | 000,000,000 | ---D | M] (Microsoft .NET Framework Assistant) -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\mozilla\Firefox\Profiles\opxiskil.default\extensions\{20a82645-c095-46ed-80e3-08825760534b}
[2011/03/06 15:06:23 | 000,000,000 | ---D | M] ("Facebook PhotoZoom") -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\mozilla\Firefox\Profiles\opxiskil.default\extensions\{20cc25e2-48c9-45e1-9a1f-1ccc1882b81b}
[2011/05/10 09:41:45 | 000,000,000 | ---D | M] ("ICQ Toolbar") -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\mozilla\Firefox\Profiles\opxiskil.default\extensions\{800b5000-a755-47e1-992b-48a1c1357f07}
[2010/10/30 13:47:25 | 000,000,000 | ---D | M] (DVDVideoSoftTB Toolbar) -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\mozilla\Firefox\Profiles\opxiskil.default\extensions\{872b5b88-9db5-4310-bdd0-ac189557e5f5}
[2010/10/27 07:58:44 | 000,000,000 | ---D | M] (Illimitux) -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\mozilla\Firefox\Profiles\opxiskil.default\extensions\illimitux@illimitux.net
[2011/07/25 11:05:31 | 000,000,950 | ---- | M] () -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\Mozilla\Firefox\Profiles\opxiskil.default\searchplugins\icqplugin-1.xml
[2011/07/10 19:05:43 | 000,001,056 | ---- | M] () -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\Mozilla\Firefox\Profiles\opxiskil.default\searchplugins\icqplugin.xml
[2011/07/27 19:14:54 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2011/06/19 16:34:57 | 000,000,000 | ---D | M] (Skype extension) -- C:\Programme\Mozilla Firefox\extensions\{82AF8DCA-6DE9-405D-BD5E-43525BDAD38A}
[2010/10/24 12:44:27 | 000,000,000 | ---D | M] (Java Console) -- C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}
[2010/10/24 12:44:07 | 000,000,000 | ---D | M] (Java Quick Starter) -- C:\PROGRAMME\JAVA\JRE6\LIB\DEPLOY\JQS\FF
[2010/10/24 12:44:05 | 000,411,368 | ---- | M] (Sun Microsystems, Inc.) -- C:\Programme\mozilla firefox\plugins\npdeployJava1.dll
[2010/10/18 00:38:00 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml
[2010/10/18 00:38:00 | 000,002,344 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml
[2011/07/17 09:05:16 | 000,002,048 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\fcmdSrch.xml
[2010/10/18 00:38:00 | 000,006,805 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml
[2010/10/18 00:38:00 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml
[2010/10/18 00:38:00 | 000,001,105 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml

O1 HOSTS File: ([2008/04/14 08:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1 localhost
O2 - BHO: (AcroIEHlprObj Class) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx ()
O2 - BHO: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Programme\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O2 - BHO: (CescrtHlpr Object) - {64182481-4F71-486b-A045-B233BD0DA8FC} - C:\Programme\facemoods.com\facemoods\1.4.17.7\bh\facemoods.dll (facemoods.com BHO)
O2 - BHO: (DVDVideoSoftTB Toolbar) - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Programme\DVDVideoSoftTB\prxtbDVD2.dll (Conduit Ltd.)
O2 - BHO: (Skype Browser Helper) - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll (Skype Technologies S.A.)
O3 - HKLM\..\Toolbar: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Programme\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (ICQToolBar) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ)
O3 - HKLM\..\Toolbar: (DVDVideoSoftTB Toolbar) - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Programme\DVDVideoSoftTB\prxtbDVD2.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (facemoods Toolbar) - {DB4E9724-F518-4dfd-9C7C-78B52103CAB9} - C:\Programme\facemoods.com\facemoods\1.4.17.7\facemoodsTlbr.dll (facemoods.com)
O3 - HKU\WOOFUS_ON_C\..\Toolbar\WebBrowser: (DVDVideoSoftTB Toolbar) - {872B5B88-9DB5-4310-BDD0-AC189557E5F5} - C:\Programme\DVDVideoSoftTB\prxtbDVD2.dll (Conduit Ltd.)
O4 - HKLM..\Run: [AdobeCS5ServiceManager] C:\Programme\Gemeinsame Dateien\Adobe\CS5ServiceManager\CS5ServiceManager.exe (Adobe Systems Incorporated)
O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [DivXUpdate] C:\Programme\DivX\DivX Update\DivXUpdate.exe ()
O4 - HKLM..\Run: [facemoods] C:\Programme\facemoods.com\facemoods\1.4.17.7\facemoodssrv.exe (facemoods.com)
O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.dll (NVIDIA Corporation)
O4 - HKLM..\Run: [NvMediaCenter] C:\WINDOWS\System32\NvMcTray.dll (NVIDIA Corporation)
O4 - HKLM..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe ()
O4 - HKLM..\Run: [SoundMan] C:\WINDOWS\soundman.exe (Realtek Semiconductor Corp.)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O4 - HKLM..\Run: [SwitchBoard] C:\Programme\Gemeinsame Dateien\Adobe\SwitchBoard\SwitchBoard.exe (Adobe Systems Incorporated)
O4 - HKU\WOOFUS_ON_C..\Run: [AdobeBridge] File not found
O4 - HKU\WOOFUS_ON_C..\Run: [ICQ] D:\ICQ\ICQ7.5\ICQ.exe (ICQ, LLC.)
O4 - HKU\WOOFUS_ON_C..\RunOnce: [FlashPlayerUpdate] C:\WINDOWS\System32\Macromed\Flash\FlashUtil10k_Plugin.exe (Adobe Systems, Inc.)
O4 - Startup: C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\Autostart\BDARemote.lnk = C:\Programme\USB TV\EM28XX\BDARemote.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\LocalService.NT-AUTORITÄT.000_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\NetworkService.NT-AUTORITÄT.000_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\WOOFUS_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O8 - Extra context menu item: Free YouTube to MP3 Converter - C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm ()
O9 - Extra Button: ICQ7.5 - {7578ADEA-D65F-4C89-A249-B1C88B6FFC20} - D:\ICQ\ICQ7.5\ICQ.exe (ICQ, LLC.)
O9 - Extra 'Tools' menuitem : ICQ7.5 - {7578ADEA-D65F-4C89-A249-B1C88B6FFC20} - D:\ICQ\ICQ7.5\ICQ.exe (ICQ, LLC.)
O9 - Extra Button: Skype Plug-In - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll (Skype Technologies S.A.)
O9 - Extra 'Tools' menuitem : Skype Plug-In - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll (Skype Technologies S.A.)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20)
O16 - DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 83.169.185.33 192.168.0.1
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\skype-ie-addon-data {91774881-D725-4E58-B298-07617B9B86A8} - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll (Skype Technologies S.A.)
O20 - HKLM Winlogon: Shell - (C:\DOKUME~1\WOOFUS\LOKALE~1\Temp\ldqhs.exe) - C:\Dokumente und Einstellungen\WOOFUS\Lokale Einstellungen\Temp\ldqhs.exe ()
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop WallPaper:
O24 - Desktop BackupWallPaper:
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2010/05/19 16:34:14 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O32 - AutoRun File - [2010/12/17 10:00:32 | 000,000,000 | ---- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2010/12/17 10:00:32 | 000,000,000 | ---- | M] () - D:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2006/03/24 07:06:41 | 000,000,053 | R--- | M] () - X:\AUTORUN.INF -- [ CDFS ]
O34 - HKLM BootExecute: (autocheck autochk *) - File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*

========== Files/Folders - Created Within 30 Days ==========

[2011/07/26 09:27:53 | 000,000,000 | --SD | C] -- C:\Dokumente und Einstellungen\WOOFUS\UserData
[2011/07/24 06:55:51 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Ableton
[2011/07/24 06:55:50 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\WOOFUS\Eigene Dateien\Ableton
[2011/07/24 06:55:49 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\Ableton
[2011/07/24 06:52:50 | 000,233,472 | ---- | C] (Propellerhead Software AB) -- C:\WINDOWS\System32\REX Shared Library.dll
[2011/07/24 06:52:50 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\WOOFUS\Startmenü\Programme\Ableton
[2011/07/24 06:52:49 | 000,368,640 | ---- | C] (Propellerhead Software AB) -- C:\WINDOWS\System32\ReWire.dll
[2011/07/20 11:41:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\facemoods.com
[2011/07/20 09:46:38 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\eSupport.com
[2011/07/17 09:05:15 | 000,000,000 | ---D | C] -- C:\Programme\facemoods.com
[2011/07/08 09:20:22 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\WOOFUS\Desktop\STICK
[2011/07/02 13:46:07 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\WOOFUS\Startmenü\Programme\Counter-Strike Source
[6 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
[5 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]

========== Files - Modified Within 30 Days ==========

[2011/07/29 05:17:58 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2011/07/28 08:05:48 | 000,013,646 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2011/07/26 10:01:33 | 000,072,192 | ---- | M] () -- C:\Dokumente und Einstellungen\WOOFUS\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2011/07/23 05:22:06 | 003,519,704 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2011/07/20 09:46:38 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\eSupport.com
[2011/07/17 09:05:02 | 000,000,677 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\JDownloader.lnk
[2011/07/17 09:05:02 | 000,000,662 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\JDownloader Deinstallationsprogramm.lnk
[2011/07/17 09:05:02 | 000,000,647 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\JDownloader Update.lnk
[2011/07/17 05:33:33 | 000,000,584 | ---- | M] () -- C:\WINDOWS\imsins.BAK
[2011/07/11 20:00:02 | 000,000,348 | ---- | M] () -- C:\WINDOWS\tasks\AdobeAAMUpdater-1.0-DANIEL-WOOFUS.job
[2011/07/02 13:46:10 | 000,000,748 | ---- | M] () -- C:\Dokumente und Einstellungen\WOOFUS\Desktop\Counter-Strike Source.lnk
[6 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
[5 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]

========== Files Created - No Company Name ==========

[2011/07/17 09:05:02 | 000,000,677 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\JDownloader.lnk
[2011/07/17 09:05:02 | 000,000,662 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\JDownloader Deinstallationsprogramm.lnk
[2011/07/17 09:05:02 | 000,000,647 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\JDownloader Update.lnk
[2011/07/02 13:46:10 | 000,000,748 | ---- | C] () -- C:\Dokumente und Einstellungen\WOOFUS\Desktop\Counter-Strike Source.lnk
[2011/02/18 08:41:19 | 000,000,056 | -H-- | C] () -- C:\WINDOWS\System32\ezsidmv.dat
[2010/11/26 10:20:33 | 000,354,816 | ---- | C] () -- C:\WINDOWS\System32\psisdecd.dll
[2010/11/08 11:52:19 | 000,138,376 | ---- | C] () -- C:\WINDOWS\System32\drivers\PnkBstrK.sys
[2010/11/08 11:52:10 | 000,202,448 | ---- | C] () -- C:\WINDOWS\System32\PnkBstrB.exe
[2010/11/08 11:51:50 | 000,066,872 | ---- | C] () -- C:\WINDOWS\System32\PnkBstrA.exe
[2010/11/04 04:49:02 | 000,102,400 | ---- | C] () -- C:\WINDOWS\System32\lxbyinsr.dll
[2010/11/04 04:49:02 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\lxbyvs.dll
[2010/11/04 04:49:00 | 000,032,768 | ---- | C] () -- C:\WINDOWS\System32\lxbycur.dll
[2010/11/04 04:48:59 | 000,131,072 | ---- | C] () -- C:\WINDOWS\System32\lxbyjswr.dll
[2010/10/30 05:40:21 | 000,000,132 | ---- | C] () -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\Adobe IllExport Filter CS5 Prefs
[2010/10/25 09:42:48 | 000,072,192 | ---- | C] () -- C:\Dokumente und Einstellungen\WOOFUS\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2010/10/14 18:39:15 | 000,049,152 | ---- | C] () -- C:\WINDOWS\System32\ChCfg.exe
[2010/10/14 18:38:45 | 000,147,456 | ---- | C] () -- C:\WINDOWS\System32\RtlCPAPI.dll
[2010/10/13 14:52:53 | 000,232,968 | ---- | C] () -- C:\WINDOWS\System32\nvdrsdb0.bin
[2010/10/13 14:52:52 | 000,232,968 | ---- | C] () -- C:\WINDOWS\System32\nvdrsdb1.bin
[2010/10/13 14:52:52 | 000,000,001 | ---- | C] () -- C:\WINDOWS\System32\nvdrssel.bin
[2010/10/13 14:52:23 | 002,195,030 | ---- | C] () -- C:\WINDOWS\System32\nvdata.bin
[2010/10/13 13:25:36 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat
[2010/10/13 13:13:10 | 000,004,161 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI
[2010/10/13 13:11:44 | 003,519,704 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2010/10/13 10:52:30 | 000,007,156 | ---- | C] () -- C:\WINDOWS\System32\d3d9caps.dat
[2010/10/13 10:31:03 | 000,000,000 | ---- | C] () -- C:\WINDOWS\nsreg.dat
[2008/04/14 08:00:00 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin
[2008/04/14 08:00:00 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat
[2008/04/14 08:00:00 | 000,424,414 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat
[2008/04/14 08:00:00 | 000,412,006 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat
[2008/04/14 08:00:00 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat
[2008/04/14 08:00:00 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat
[2008/04/14 08:00:00 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat
[2008/04/14 08:00:00 | 000,073,014 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat
[2008/04/14 08:00:00 | 000,061,586 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat
[2008/04/14 08:00:00 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin
[2008/04/14 08:00:00 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat
[2008/04/14 08:00:00 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat
[2008/04/14 08:00:00 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat
[2008/04/14 08:00:00 | 000,004,461 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat
[2008/04/14 08:00:00 | 000,001,804 | ---- | C] () -- C:\WINDOWS\System32\Dcache.bin
[2008/04/14 08:00:00 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat

========== LOP Check ==========

[2011/07/24 06:55:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\Ableton
[2011/02/26 11:19:39 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\Apowersoft
[2011/05/22 16:13:34 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\chc.4875E02D9FB21EE389F73B8D1702B320485DF8CE.1
[2011/05/25 03:49:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\DVDVideoSoftIEHelpers
[2011/07/20 11:41:11 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\facemoods.com
[2011/07/25 04:48:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\ICQ
[2010/10/15 05:43:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\InterTrust
[2010/10/24 12:50:25 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\OpenOffice.org
[2011/07/22 07:51:45 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\PriceGong
[2010/11/21 12:22:34 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\WOOFUS\Anwendungsdaten\StageManager.BD092818F67280F4B42B04877600987F0111B594.1
[2011/07/24 06:55:51 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Ableton
[2011/05/10 09:41:44 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\ICQ
[2010/10/16 13:28:55 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Last.fm
[2010/10/25 06:05:39 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\regid.1986-12.com.adobe

========== Purity Check ==========


< End of report >
Was soll er nun tun?
LG Ordinary

cosinus 29.07.2011 12:24
Mach einen OTL-Fix über OTLPE, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)


Code:
:OTL
O20 - HKLM Winlogon: Shell - (C:\DOKUME~1\WOOFUS\LOKALE~1\Temp\ldqhs.exe) - C:\Dokumente und Einstellungen\WOOFUS\Lokale Einstellungen\Temp\ldqhs.exe ()
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2010/05/19 16:34:14 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O32 - AutoRun File - [2010/12/17 10:00:32 | 000,000,000 | ---- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2010/12/17 10:00:32 | 000,000,000 | ---- | M] () - D:\autorun.inf -- [ NTFS ]
:Files
C:\DOKUME~1\WOOFUS\LOKALE~1\Temp\ldqhs.exe
:Commands
[purity]
[resethosts]
Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Danach sollte Windows wieder normal starten - stell uns bitte den Quarantäneordner von OTL zur Verfügung. Dabei bitte so vorgehen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinträchtigen!
2.) Ordner movedfiles in C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

ordinary 29.07.2011 14:03
EDIT: In dem Moment, wo ich die ZIP-Datei von dem Freund empfangen habe, hat mein Antivirusprogramm folgendenen Virus angezeigt:
TR/Gendal.KD.287722 in C:\$Recycle.Bin\S-1-5-21-1488726468-2364803716-423617663-1001\$RS0UIC4.exe Muss mich das jetzt beunruhigen?????
EDIT2: Und hier: C:\Users\Anna\AppData\Local\Temp\1044950545.Uninstall\Uninstall.exe



Habe es hochgeladen :=)

cosinus 29.07.2011 14:30
Bitte nun routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!


Danach OTL-Custom:


CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
wininit.exe
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT

ordinary 29.07.2011 14:37
Ok, habe es weitergegeben

Zitat:
Zitat von ordinary
EDIT: In dem Moment, wo ich die ZIP-Datei von dem Freund empfangen habe, hat mein Antivirusprogramm folgendenen Virus angezeigt:
TR/Gendal.KD.287722 in C:\$Recycle.Bin\S-1-5-21-1488726468-2364803716-423617663-1001\$RS0UIC4.exe Muss mich das jetzt beunruhigen?????
EDIT2: Und hier: C:\Users\Anna\AppData\Local\Temp\1044950545.Uninstall\Uninstall.exe
Ist das jetzt der gleiche?

cosinus 29.07.2011 14:47
Zitat:
Ist das jetzt der gleiche?
Ja ist doch logisch, dass der Virenscanner da anspingen kann, wir haben schädliche Objekte gefixt mit OTL! Und diese schädlichen Objekte wollte ich ja in der ZIP zur genauen Analyse haben.

ordinary 29.07.2011 14:50
Ja aber der ursprüngliche Virus war ja nicht auf meinem PC
Das ist der PC, von dem Bruder von meinem Freund, der hat mir jetzt diese ZIP-Dateien geschickt. Und in dem Moment, wo die auf meinem PC waren, ging das Virensystem an
Nach dem hochladen des ordners auf das Board hab ich den ZIP-Ordner zwar gelöscht, aber beim Suchlauf von Avira komt jetzt ständig dieser Virus..

cosinus 29.07.2011 15:13
Zitat:
Das ist der PC, von dem Bruder von meinem Freund, der hat mir jetzt diese ZIP-Dateien geschickt. Und in dem Moment, wo die auf meinem PC waren, ging das Virensystem an
Was hast du denn jetzt nicht verstanden?!
Ich hab doch erklärt dass in dem MovedFiles Ordner Schädlinge sind, warum kommt da jetzt ein "oh wunder mein Scanner spingt an"? :D

Die ZIP wurde nach TEMP automatisch entpackt, damit die Dateien im Archiv geprüft werden. Lösch doch einfach die Dateien!

ordinary 29.07.2011 15:16
:D Die Dateien habe ich schon gelöscht, und trotzdem hat mir das AVIRa den Virus angezeigt:P
Aber habe sie jetzt in die Quarantäne geschoben und es hat auch funktioniert

cosinus 29.07.2011 15:20
Ok. Was ist jetzt mit Malwarebytes und OTL, ist das in Arbeit?

ordinary 29.07.2011 15:26
Ja das läuft schon durch;)


Alle Zeitangaben in WEZ +1. Es ist jetzt 23:19 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131