Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   GEMA-Trojaner auf Asus Netbook mit XP ohne Disc-Laufwerk (https://www.trojaner-board.de/105536-gema-trojaner-asus-netbook-xp-ohne-disc-laufwerk.html)

Deistergirl 28.11.2011 21:43
GEMA-Trojaner auf Asus Netbook mit XP ohne Disc-Laufwerk
 
Hallo,
hab mir den GEMA Trojaner auf meinem Asus Netbook (Windows XP) eingefangen. Leider habe kein Disc-Laufwerk am Netbook. Ich komme beim Rechner-Start per F8 in den DOS-Modus wo ich den abgesicherten Modus auswählen kann, nur komme ich nun aufgrund meiner mangelnder Fachkenntnis auch mit den bereits geposteten Lösungen nicht weiter, bitte helft mir.

VG Deistergirl

Larusso 28.11.2011 21:47
:hallo:

Mein Name ist Daniel und ich werde dir mit deinem Malware Relevanten Problemen helfen.

Bevor wir uns an die Arbeit machen, möchte ich dich bitten, folgende Punkte vollständig und aufmerksam zu lesen.
  • Lies dir meine Anleitungen erst einmal durch. Sollte irgendetwas unklar sein, Frage bevor du beginnst.
  • Solltest du bei einem Schritt Probleme haben, stoppe dort und beschreib mir das Problem so gut du kannst. Manchmal erfordert ein Schritt den vorhergehenden
  • Sollte ich innerhalb der nächsten 3 Tage keine Antwort von dir erhalten, werde ich das Thema aus meinen Abonnements löschen.
  • Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst und Installiere / Deinstalliere keine Software ohne Aufforderung.
  • Poste die Logfiles direkt in deinen Thread und nicht als Anhang, ausser du wurdest dazu aufgefordert. Erschwert mir das Auswerten.


Schritt 1

Downloade dir bitte srep.exe und speichere diese auf einen USB Stick.
Wichtig: Nicht in einen Ordner speichern.
  • Starte den infizierten Rechner neu auf.
  • Während dem Hochfahren drücke mehrmals die F8 Taste. Danach solltest Du einige Optionen zur Auswahl haben. Navigiere mit den Pfeiltasten zu Abgesicherter Modus mit Eingabeaufforderung und drücke Enter
    ** Hinweis: Es kann sein, dass eine andere F Taste gedrückt werden muss, um in die Startoptionen zu kommen.
  • Logge dich nun in das infizierte Benutzerkonto ein.
  • Schließe den USB Stick an den infizierten Rechner an.
  • Nun ist etwas Handarbeit gefragt.
    • Du musst zuerst heraus finden, welchen Laufwerksbuchstaben der USB Stick hat.
    • Dazu gib bitte einfach E: ein und drücke Enter. Sollte folgende Meldung kommen.
      Zitat:
      Das System kann das angegeben Laufwerk nicht finden
      versuche einen anderen Laufwerksbuchstaben. ( zB F: )
  • Sobald Du den richtigen Laufwerksbuchstaben gefunden hast, gib folgendes ein und drücke Enter.
    start srep.exe
  • Drücke nun auf Scan.
  • Lass das Tool in Ruhe laufen. Der Rechner wird automatisch neu starten.
Auf deinen USB Stick befindet sich eine shell.txt. Bitte poste diese in deiner nächsten Antwort.

Hinweis: Es ist gut möglich, dass du bereits nach dem Scan wieder auf deinen Rechner zugreifen kannst.

Deistergirl 28.11.2011 22:07
Hey Daniel,

vielen Dank erstmal für die schnelle Rückmeldung. Ich bin mit F8 in den DOS Modus gegangen, hab Abgesicherter Modus mit Eingabeaufforderung eingegeben und das Windows Anmeldefenster kommt auch, aber...leider kann ich mich nicht auf dem infizierten Rechner unter meinem User anmelden, da ich die Maus nicht bewegen kann und somit auch nicht meinen User auswählen und meine Userdaten eingeben kann. Es geht nüscht, es ist zum heulen...

VG Deistergirl

Deistergirl 28.11.2011 22:14
ahhh, jetzt geht es - ich mache jetzt mit deiner Anleitung weiter. Sorry, für die unnötige Rückmeldung, hier sitzt ein Dummy-User in größter Verzweiflung!! Also ich melde mich wieder...

Larusso 28.11.2011 22:15
Kannst Du dich in einem anderen Benutzerkonto anmelden ?

Deistergirl 28.11.2011 22:46
So lieber Helfer, hab Deine Anleitung mit Geduld durchgeführt. Problematisch war nur das richtige Laufwerk zu finden, hab das Alphabet zweimal durchlaufen müssen. Der Rechner hat neu gestartet und der GEMA Hinweis ist wech, allerdings auch alle Icons! Hier nun die geforderte Datei:

WIN_XP X86 Service Pack 3
Running from E:\

Modified HKLM shell extension. Current Shell File = C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe
.
.
File C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe moved to E:\\infected or not found
HKCU\..\Winlogon; Shell not found
.


[System Process]
System
smss.exe
csrss.exe
winlogon.exe
services.exe
lsass.exe
svchost.exe
svchost.exe
svchost.exe
cmd.exe
srep.exe


HKLM\..\Run [RTHDCPL] = RTHDCPL.EXE
HKLM\..\Run [Alcmtr] = ALCMTR.EXE
HKLM\..\Run [IgfxTray] = C:\WINDOWS\system32\igfxtray.exe
HKLM\..\Run [HotKeysCmds] = C:\WINDOWS\system32\hkcmd.exe
HKLM\..\Run [Persistence] = C:\WINDOWS\system32\igfxpers.exe
HKLM\..\Run [AsusTray] = C:\Programme\EeePC\ACPI\AsTray.exe
HKLM\..\Run [AsusACPIServer] = C:\Programme\EeePC\ACPI\AsAcpiSvr.exe
HKLM\..\Run [AsusEPCMonitor] = C:\Programme\EeePC\ACPI\AsEPCMon.exe
HKLM\..\Run [ETDWare] = C:\Programme\Elantech\ETDCtrl.exe
HKLM\..\Run [avgnt] = "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
HKLM\..\Run [Adobe Reader Speed Launcher] = "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
HKLM\..\Run [AVMWlanClient] = C:\Programme\avmwlanstick\FRITZWLANMini.exe
HKLM\..\Run [SunJavaUpdateSched] = "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
HKLM\..\Run [QuickTime Task] = "C:\Programme\QuickTime\QTTask.exe" -atboottime
HKLM\..\Run [AppleSyncNotifier] = C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleSyncNotifier.exe
HKLM\..\Run [APSDaemon] = "C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe"
HKLM\..\Run [iTunesHelper] = "C:\Programme\iTunes\iTunesHelper.exe"
HKLM\..\Run [rBMCQKITTiB.exe] = C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\rBMCQKITTiB.exe
HKLM\..\Run [IjmrHbDDJ3PyrXc] = C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe

HKCU\..\Run [CTFMON.EXE] = C:\WINDOWS\system32\ctfmon.exe
HKCU\..\Run [msnmsgr] = "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
HKCU\..\Run [IjmrHbDDJ3PyrXc] = C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe

HKU\.DEFAULT\..\Winlogon; Shell = C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\5suxrt589cxuftg.exe
HKU\S-1-5-20\..\Winlogon; Shell =
HKU\S-1-5-20_Classes\..\Winlogon; Shell =
HKU\S-1-5-21-1343521980-1863175459-1341148298-1006\..\Winlogon; Shell = C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe
HKU\S-1-5-21-1343521980-1863175459-1341148298-1006_Classes\..\Winlogon; Shell =
HKU\S-1-5-18\..\Winlogon; Shell = C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\5suxrt589cxuftg.exe

HKU\.DEFAULT\..\Run [CTFMON.EXE] = C:\WINDOWS\system32\CTFMON.EXE
HKU\.DEFAULT\..\Run [IjmrHbDDJ3PyrXc] = C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\5suxrt589cxuftg.exe
HKU\S-1-5-20\..\Run [CTFMON.EXE] = C:\WINDOWS\system32\CTFMON.EXE
HKU\S-1-5-21-1343521980-1863175459-1341148298-1006\..\Run [CTFMON.EXE] = C:\WINDOWS\system32\ctfmon.exe
HKU\S-1-5-21-1343521980-1863175459-1341148298-1006\..\Run [msnmsgr] = "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
HKU\S-1-5-21-1343521980-1863175459-1341148298-1006\..\Run [IjmrHbDDJ3PyrXc] = C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe
HKU\S-1-5-18\..\Run [CTFMON.EXE] = C:\WINDOWS\system32\CTFMON.EXE
HKU\S-1-5-18\..\Run [IjmrHbDDJ3PyrXc] = C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\5suxrt589cxuftg.exe

==== FINISH 28.11-22.39 ====

Ich bin ja so begeistert von Eurem Trojaner-Board, was würden wir Dummy-User nur Euch tun :-))

Larusso 28.11.2011 22:51
Ist ja schon mal ein Anfang. Das mit den Icons erledigen wir gleich mal

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Code:
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\rBMCQKITTiB.exe
C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe
und speichere es als fix.txt im selben Verzeichnis wie die srep.exe


Starte deinen Rechner bitte erneut in den Abgesicherten Modus mit Eingabeaufforderung.
Schließe deinen USB Stick erneut an den Infizierten Rechner.
Bitte nutze den selben USB Steckplatz wie beim Scan
  • Gib bitte folgenden Befehl ein
    E:\srep.exe
  • Drücke den Fix Button.
Dein Rechner wird automatisch neu starten.


Schritt 2

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code:
activex
netsvcs
msconfig
%SYSTEMDRIVE%\*.
%PROGRAMFILES%\*.exe
%LOCALAPPDATA%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.manifest /3
/md5start
explorer.exe
regedit.exe
winlogon.exe
wininit.exe
userinit.exe
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems|Windows /rs
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs
CREATERESTOREPOINT
  • Schliesse bitte nun alle Programme. (Wichtig)
  • Klicke nun bitte auf den Quick Scan Button.
  • Wenn der Scan beendet wurde, wird sich ein Textdokument öffnen.
  • Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread


Bitte poste in deiner nächsten Antwort
OTL.txt
Extras.txt

Deistergirl 28.11.2011 23:16
Hey Daniel,
will gerade das leere TXT Document füllen, da poppt hier gerade tausend mal ein WIndowsfenster hoch: 'Delayed write Failed' Failed to save all the components for the file (2x Backslash)System 32(2x Backslash)00005 fe ....
und noch ne neue Meldung: RAM Memory reliability is extremly low. This problem may cause.

Was soll ich tun, ich könnte auch im TXT Dokument weiterschreiben und die Meldungen ignorieren, aber mir sieht es so aus als wenn da der Trojaner wieder aktiv wird..
und woher weiß ich in welchem Verzeichnis die srep.exe liegt?

Steffi

Larusso 28.11.2011 23:17
Die srep hast du vorher herunter geladen, ergo auf deinem USB Stick.

Hast Du erneut in den abgesicherten Modus gebooted, wie es in der anleitung steht ?

Deistergirl 28.11.2011 23:26
Nein, ich hab natürlich NICHT im abgesicherten MODUS gestartet. Soll ich das ganze Prozedere nochmal machen bis zum scan oder soll ich hier wieder aufsetzen (natürlich im abgesicherten Modus:

Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Code: Alles kopierenAlles auswählenLarusso Modus
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\rBMCQKITTiB.exe
C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe

und so weiter und so fort...

Larusso 28.11.2011 23:36
Folge einfach den Anleitungen


Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Code:
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\rBMCQKITTiB.exe
C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe
und speichere es als fix.txt im selben Verzeichnis wie die srep.exe


Starte deinen Rechner bitte erneut in den Abgesicherten Modus mit Eingabeaufforderung.
Schließe deinen USB Stick erneut an den Infizierten Rechner.
Bitte nutze den selben USB Steckplatz wie beim Scan
  • Gib bitte folgenden Befehl ein
    E:\srep.exe
  • Drücke den Fix Button.
Dein Rechner wird automatisch neu starten.

Deistergirl 29.11.2011 11:06
Hey Daniel,

anbei die beiden OTL Dateien.
OTL-Text:OTL Logfile:
Code:
OTL logfile created on: 29.11.2011 00:02:39 - Run 1
OTL by OldTimer - Version 3.2.31.0    Folder = C:\Dokumente und Einstellungen\steffi\Desktop
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1015,17 Mb Total Physical Memory | 576,02 Mb Available Physical Memory | 56,74% Memory free
2,39 Gb Paging File | 2,01 Gb Available in Paging File | 84,41% Paging File free
Paging file location(s): C:\pagefile.sys 1524 3048 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 81,65 Gb Total Space | 65,90 Gb Free Space | 80,70% Space Free | Partition Type: NTFS
Drive D: | 62,47 Gb Total Space | 62,41 Gb Free Space | 99,90% Space Free | Partition Type: NTFS
Drive E: | 149,01 Gb Total Space | 107,77 Gb Free Space | 72,32% Space Free | Partition Type: FAT32
Drive Y: | 915,42 Gb Total Space | 599,12 Gb Free Space | 65,45% Space Free | Partition Type: NTFS
 
Computer Name: STOFFEL | User Name: steffi | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - [2011.10.24 21:32:00 | 000,055,144 | -H-- | M] (Apple Inc.) -- C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
PRC - [2011.10.16 14:22:40 | 000,584,192 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\steffi\Desktop\OTL.exe
PRC - [2011.09.14 19:31:05 | 000,269,480 | -H-- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe
PRC - [2011.05.13 17:44:57 | 000,136,360 | -H-- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\sched.exe
PRC - [2010.12.13 08:39:19 | 000,281,768 | -H-- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avgnt.exe
PRC - [2010.10.29 13:49:28 | 000,249,064 | -H-- | M] (Sun Microsystems, Inc.) -- C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
PRC - [2010.01.14 21:10:53 | 000,076,968 | -H-- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avshadow.exe
PRC - [2009.05.25 11:18:04 | 000,040,960 | -H-- | M] () -- C:\Programme\Gemeinsame Dateien\DeviceHelper\DeviceManager.exe
PRC - [2008.12.17 19:59:50 | 000,622,592 | -H-- | M] (ASUSTeK Computer Inc.) -- C:\Programme\EeePC\ACPI\AsAcpiSvr.exe
PRC - [2008.12.04 13:38:06 | 000,114,688 | -H-- | M] (ASUSTeK Computer Inc.) -- C:\Programme\EeePC\ACPI\AsTray.exe
PRC - [2008.11.24 08:54:53 | 000,329,728 | -H-- | M] (ELANTECH Devices Corp.) -- C:\Programme\Elantech\ETDCTRL.EXE
PRC - [2008.10.19 13:30:02 | 000,222,456 | -H-- | M] () -- C:\Programme\ICQ6Toolbar\ICQ Service.exe
PRC - [2008.05.21 01:56:24 | 000,094,208 | -H-- | M] (ASUSTeK Computer Inc.) -- C:\Programme\EeePC\ACPI\AsEPCMon.exe
PRC - [2008.04.14 13:00:00 | 001,036,800 | -H-- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe
PRC - [2007.02.02 17:26:44 | 000,283,136 | -H-- | M] (AVM Berlin) -- C:\Programme\avmwlanstick\FRITZWLANMini.exe
PRC - [2007.01.04 19:48:52 | 000,112,152 | RH-- | M] (InterVideo) -- C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
 
 
========== Modules (No Company Name) ==========
 
MOD - [2011.11.15 09:21:43 | 003,391,488 | -H-- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\mscorlib\1.0.5000.0__b77a5c561934e089_ac7cfeb1\mscorlib.dll
MOD - [2011.11.15 09:21:22 | 002,088,960 | -H-- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system.xml\1.0.5000.0__b77a5c561934e089_744029a0\system.xml.dll
MOD - [2011.11.15 09:21:10 | 003,018,752 | -H-- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system.windows.forms\1.0.5000.0__b77a5c561934e089_7820cef9\system.windows.forms.dll
MOD - [2011.11.15 09:20:55 | 001,966,080 | -H-- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system\1.0.5000.0__b77a5c561934e089_c198db51\system.dll
MOD - [2011.11.15 09:20:38 | 001,232,896 | -H-- | M] () -- c:\windows\assembly\gac\system\1.0.5000.0__b77a5c561934e089\system.dll
MOD - [2011.09.27 07:23:00 | 000,087,912 | -H-- | M] () -- C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\zlib1.dll
MOD - [2011.09.27 07:22:40 | 001,242,472 | -H-- | M] () -- C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\libxml2.dll
MOD - [2010.06.17 14:27:02 | 000,355,688 | -H-- | M] () -- C:\Programme\Avira\AntiVir Desktop\sqlite3.dll
MOD - [2009.05.25 11:18:04 | 000,040,960 | -H-- | M] () -- C:\Programme\Gemeinsame Dateien\DeviceHelper\DeviceManager.exe
MOD - [2009.01.14 01:37:13 | 001,339,392 | -H-- | M] () -- c:\windows\assembly\gac\system.xml\1.0.5000.0__b77a5c561934e089\system.xml.dll
MOD - [2009.01.14 01:37:11 | 002,052,096 | -H-- | M] () -- c:\windows\assembly\gac\system.windows.forms\1.0.5000.0__b77a5c561934e089\system.windows.forms.dll
MOD - [2009.01.14 01:37:09 | 000,299,008 | -H-- | M] () -- c:\windows\assembly\gac\microsoft.visualbasic\7.0.5000.0__b03f5f7f11d50a3a\microsoft.visualbasic.dll
MOD - [2008.10.19 13:30:02 | 000,222,456 | -H-- | M] () -- C:\Programme\ICQ6Toolbar\ICQ Service.exe
MOD - [2008.09.02 07:25:26 | 002,854,912 | -H-- | M] () -- C:\WINDOWS\system32\btwicons.dll
MOD - [2008.06.20 17:02:46 | 000,247,296 | -H-- | M] () -- \\?\globalroot\systemroot\system32\mswsock.dll
MOD - [2008.06.20 17:02:46 | 000,247,296 | -H-- | M] () -- \\.\globalroot\systemroot\system32\mswsock.dll
 
 
========== Win32 Services (SafeList) ==========
 
SRV - File not found [On_Demand | Stopped] --  -- (AppMgmt)
SRV - [2011.10.24 21:32:00 | 000,055,144 | -H-- | M] (Apple Inc.) [Auto | Running] -- C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe -- (Apple Mobile Device)
SRV - [2011.09.14 19:31:05 | 000,269,480 | -H-- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\avguard.exe -- (AntiVirService)
SRV - [2011.05.13 17:44:57 | 000,136,360 | -H-- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\sched.exe -- (AntiVirSchedulerService)
SRV - [2010.03.02 14:57:26 | 000,237,568 | -H-- | M] (Microsoft Corporation) [Auto | Running] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\ntsmoprp.ne -- (LanmanServer)
SRV - [2009.05.25 11:18:04 | 000,040,960 | -H-- | M] () [Auto | Running] -- C:\Programme\Gemeinsame Dateien\DeviceHelper\DeviceManager.exe -- (DeviceManager)
SRV - [2008.10.19 13:30:02 | 000,222,456 | -H-- | M] () [Auto | Running] -- C:\Programme\ICQ6Toolbar\ICQ Service.exe -- (ICQ Service)
SRV - [2007.01.04 19:48:52 | 000,112,152 | RH-- | M] (InterVideo) [Auto | Running] -- C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe -- (IviRegMgr)
 
 
========== Driver Services (SafeList) ==========
 
DRV - [2011.09.14 19:31:07 | 000,138,192 | -H-- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\avipbb.sys -- (avipbb)
DRV - [2011.09.14 19:31:07 | 000,066,616 | -H-- | M] (Avira GmbH) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\avgntflt.sys -- (avgntflt)
DRV - [2010.06.17 14:27:02 | 000,028,520 | -H-- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\ssmdrv.sys -- (ssmdrv)
DRV - [2009.05.25 11:18:02 | 000,103,552 | -H-- | M] (TCT International Mobile Ltd) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\qcusbser.sys -- (qcusbser)
DRV - [2009.02.13 11:35:01 | 000,011,608 | -H-- | M] (Avira GmbH) [Kernel | System | Running] -- C:\Programme\Avira\AntiVir Desktop\avgio.sys -- (avgio)
DRV - [2008.09.23 18:15:00 | 000,038,400 | -H-- | M] (Atheros Communications, Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\l1e51x86.sys -- (L1e)
DRV - [2008.09.18 19:44:38 | 001,326,528 | -H-- | M] (Atheros Communications, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\athw.sys -- (AR5416)
DRV - [2008.09.18 11:48:58 | 004,816,896 | -H-- | M] (Realtek Semiconductor Corp.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\RtkHDAud.sys -- (IntcAzAudAddService) Service for Realtek HD Audio (WDM)
DRV - [2008.08.19 15:16:36 | 000,991,656 | -H-- | M] (Broadcom Corporation.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\btkrnl.sys -- (BTKRNL)
DRV - [2008.08.19 15:16:28 | 000,047,272 | -H-- | M] (Broadcom Corporation.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\btwusb.sys -- (BTWUSB)
DRV - [2008.07.24 10:37:10 | 000,156,816 | -H-- | M] (Broadcom Corporation.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\btwdndis.sys -- (BTWDNDIS)
DRV - [2008.05.30 04:46:12 | 000,534,568 | -H-- | M] (Broadcom Corporation.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\btaudio.sys -- (btaudio)
DRV - [2008.04.08 15:59:28 | 000,010,752 | -H-- | M] (ASUSTeK Computer Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\ASUSACPI.SYS -- (AsusACPI)
DRV - [2008.03.10 11:18:42 | 000,057,384 | -H-- | M] (Broadcom Corporation.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\btwhid.sys -- (btwhid)
DRV - [2008.02.04 10:57:44 | 000,037,160 | -H-- | M] (Broadcom Corporation.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\btport.sys -- (BTDriver)
DRV - [2008.02.04 10:57:30 | 000,037,032 | -H-- | M] (Broadcom Corporation.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\btwmodem.sys -- (btwmodem)
DRV - [2007.01.26 01:00:00 | 000,265,088 | -H-- | M] (AVM GmbH) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\fwlanusb.sys -- (FWLANUSB)
DRV - [2007.01.26 01:00:00 | 000,004,352 | -H-- | M] (AVM Berlin) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\avmeject.sys -- (avmeject)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
IE - HKCU\..\URLSearchHook:  - No CLSID value found
IE - HKCU\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ)
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local
 
========== FireFox ==========
 
FF - prefs.js..browser.startup.homepage: "hxxp://www.google.de/ig?hl=de"
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}:6.0.24
FF - prefs.js..extensions.enabledItems: jqs@sun.com:1.0
 
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=:  File not found
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=1.0: C:\Programme\iTunes\Mozilla Plugins\npitunes.dll ()
FF - HKLM\Software\MozillaPlugins\@divx.com/DivX Browser Plugin,version=1.0.0: C:\Programme\DivX\DivX Plus Web Player\npdivx32.dll (DivX,Inc.)
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Programme\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 8.0\extensions\\Components: C:\Programme\Mozilla Firefox\components [2011.11.15 08:46:37 | 000,000,000 | -H-D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 8.0\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2011.11.15 08:46:26 | 000,000,000 | -H-D | M]
 
[2009.08.14 16:50:22 | 000,000,000 | -H-D | M] (No name found) -- C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\Mozilla\Extensions
[2010.04.06 19:36:16 | 000,000,000 | -H-D | M] (No name found) -- C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\Mozilla\Firefox\Profiles\56wc4dpa.default\extensions
[2011.11.15 08:46:37 | 000,000,000 | -H-D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2009.06.07 14:49:14 | 000,000,000 | -H-D | M] (Java Quick Starter) -- C:\PROGRAMME\JAVA\JRE6\LIB\DEPLOY\JQS\FF
[2011.11.05 08:10:35 | 000,134,104 | -H-- | M] (Mozilla Foundation) -- C:\Programme\mozilla firefox\components\browsercomps.dll
[2011.02.02 20:40:24 | 000,472,808 | -H-- | M] (Sun Microsystems, Inc.) -- C:\Programme\mozilla firefox\plugins\npdeployJava1.dll
[2011.11.05 04:38:54 | 000,001,392 | -H-- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml
[2011.11.05 04:32:18 | 000,002,252 | -H-- | M] () -- C:\Programme\mozilla firefox\searchplugins\bing.xml
[2011.11.05 04:38:54 | 000,001,153 | -H-- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml
[2011.11.05 04:38:54 | 000,006,805 | -H-- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml
[2011.11.05 04:38:54 | 000,001,178 | -H-- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml
[2011.11.05 04:38:54 | 000,001,105 | -H-- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml
 
Hosts file not found
O2 - BHO: (Adobe PDF Reader) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated)
O2 - BHO: (Skype add-on (mastermind)) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll (Skype Technologies S.A.)
O2 - BHO: (Windows Live Toolbar Helper) - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\Windows Live Toolbar\msntb.dll (Microsoft Corporation)
O3 - HKLM\..\Toolbar: (ICQToolBar) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ)
O3 - HKLM\..\Toolbar: (Windows Live Toolbar) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\Windows Live Toolbar\msntb.dll (Microsoft Corporation)
O3 - HKCU\..\Toolbar\WebBrowser: (Windows Live Toolbar) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\Windows Live Toolbar\msntb.dll (Microsoft Corporation)
O4 - HKLM..\Run: [Alcmtr] C:\WINDOWS\ALCMTR.EXE (Realtek Semiconductor Corp.)
O4 - HKLM..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleSyncNotifier.exe (Apple Inc.)
O4 - HKLM..\Run: [APSDaemon] C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.)
O4 - HKLM..\Run: [AsusACPIServer] C:\Programme\EeePC\ACPI\AsAcpiSvr.exe (ASUSTeK Computer Inc.)
O4 - HKLM..\Run: [AsusEPCMonitor] C:\Programme\EeePC\ACPI\AsEPCMon.exe (ASUSTeK Computer Inc.)
O4 - HKLM..\Run: [AsusTray] C:\Programme\EeePC\ACPI\AsTray.exe (ASUSTeK Computer Inc.)
O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\FRITZWLANMini.exe (AVM Berlin)
O4 - HKLM..\Run: [ETDWare] C:\Programme\Elantech\ETDCTRL.EXE (ELANTECH Devices Corp.)
O4 - HKLM..\Run: [IjmrHbDDJ3PyrXc] C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe File not found
O4 - HKLM..\Run: [rBMCQKITTiB.exe] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\rBMCQKITTiB.exe File not found
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O4 - HKCU..\Run: [IjmrHbDDJ3PyrXc] C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe File not found
O4 - HKCU..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background File not found
O4 - Startup: C:\Dokumente und Einstellungen\steffi\Startmenü\Programme\Autostart\StarOffice 8.lnk = C:\Programme\Sun\StarOffice 8\program\quickstart.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O8 - Extra context menu item: &Windows Live Search - C:\Programme\Windows Live Toolbar\msntb.dll (Microsoft Corporation)
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm ()
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O9 - Extra Button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll (Skype Technologies S.A.)
O9 - Extra Button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O9 - Extra 'Tools' menuitem : @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O9 - Extra Button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe (ICQ, LLC.)
O9 - Extra 'Tools' menuitem : ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe (ICQ, LLC.)
O10 - NameSpace_Catalog5\Catalog_Entries\000000000004 [] - C:\Programme\Bonjour\mdnsNSP.dll (Apple Inc.)
O10 - Protocol_Catalog9\Catalog_Entries\000000000001 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000002 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000003 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000004 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000005 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000006 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000007 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000008 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000009 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000010 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000011 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000012 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000013 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000014 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000015 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000016 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000017 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000018 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000019 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000020 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000021 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000022 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000023 - C:\Programme\Bonjour\mdnsNSP.dll File not found
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_03-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.178.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{6468D152-E916-422B-8082-9C74FEE469C7}: DhcpNameServer = 192.168.178.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{7B2A18E1-86DA-48D0-8F87-5C6F5CC94A41}: DhcpNameServer = 192.168.178.1
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Programme\Gemeinsame Dateien\Skype\Skype4COM.dll (Skype Technologies)
O20 - HKLM Winlogon: Shell - (explorer.exe) -C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) -C:\WINDOWS\system32\userinit.exe (Microsoft Corporation)
O20 - HKCU Winlogon: Shell - (C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe) - File not found
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2010.01.14 01:20:04 | 000,000,000 | -H-- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
ActiveX: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} - Java (Sun)
ActiveX: {10072CEC-8CC1-11D1-986E-00A0C955B42F} - Vektorgrafik-Rendering (VML)
ActiveX: {2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} - NetShow
ActiveX: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 6.4
ActiveX: {283807B5-2C60-11D0-A31D-00AA00B92C03} - DirectAnimation
ActiveX: {2A3320D6-C805-4280-B423-B665BDE33D8F} - Microsoft .NET Framework 1.1 Security Update (KB979906)
ActiveX: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll
ActiveX: {36f8ec70-c29a-11d1-b5c7-0000f8051515} - Dynamic HTML-Datenbindung für Java
ActiveX: {3af36230-a269-11d1-b5bf-0000f8051515} - Offline Browsing Pack
ActiveX: {3bf42070-b3b1-11d1-b5c5-0000f8051515} - Uniscribe
ActiveX: {411EDCF7-755D-414E-A74B-3DCD6583F589} - Microsoft .NET Framework 1.1 Service Pack 1 (KB867460)
ActiveX: {4278c270-a269-11d1-b5bf-0000f8051515} - Erweitertes Authoring
ActiveX: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install
ActiveX: {44BBA842-CC51-11CF-AAFA-00AA00B6015B} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT
ActiveX: {44BBA848-CC51-11CF-AAFA-00AA00B6015C} - DirectShow
ActiveX: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx
ActiveX: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer Help
ActiveX: {4f216970-c90c-11d1-b5c7-0000f8051515} - DirectAnimation Java Classes
ActiveX: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.7
ActiveX: {5945c046-1e7d-11d1-bc44-00c04fd912be} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser
ActiveX: {5A8D6EE0-3E18-11D0-821E-444553540000} - ICW
ActiveX: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools
ActiveX: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsing Enhancements
ActiveX: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player
ActiveX: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - MSN Site Access
ActiveX: {7790769C-0471-11d2-AF11-00C04FA35D02} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install
ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll
ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4383} - C:\WINDOWS\system32\ie4uinit.exe -BaseSettings
ActiveX: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install
ActiveX: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML Data Binding
ActiveX: {ACC563BC-4266-43f0-B6ED-9D38C4202C7E} -
ActiveX: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer Core Fonts
ActiveX: {CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1} - .NET Framework
ActiveX: {CC2A9BA0-3BDD-11D0-821E-444553540000} - Taskplaner
ActiveX: {CDD7975E-60F8-41d5-8149-19E51D6F71D0} - Windows Movie Maker v2.1
ActiveX: {D27CDB6E-AE6D-11cf-96B8-444553540000} - Adobe Flash Player
ActiveX: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML Help
ActiveX: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface
ActiveX: {EFCE7BE0-510E-4932-9475-F44CD90DE16A} - Microsoft .NET Framework 1.1 Security Update (KB2572067)
ActiveX: {TIXrGaSC-eWNX-NSWd-i9pl-PgdxpRdF4nbF} -
ActiveX: <{12d0ed0d-0ee0-4f90-8827-78cefb8f4988} - C:\WINDOWS\system32\ieudinit.exe
ActiveX: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - C:\WINDOWS\inf\unregmp2.exe /ShowWMP
ActiveX: >{26923b43-4d38-484f-9b9e-de460746276c} - C:\WINDOWS\system32\ie4uinit.exe -UserIconConfig
ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF} - "C:\WINDOWS\system32\rundll32.exe" "C:\WINDOWS\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS - RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP
ActiveX: >{881dd1c5-3dcf-431b-b061-f3f88e8be88a} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigOE
 
NetSvcs: 6to4 -  File not found
NetSvcs: AppMgmt -  File not found
NetSvcs: Ias -  File not found
NetSvcs: Iprip -  File not found
NetSvcs: Irmon -  File not found
NetSvcs: LanmanServer - C:\Programme\Gemeinsame Dateien\Microsoft Shared\ntsmoprp.ne (Microsoft Corporation)
NetSvcs: NWCWorkstation -  File not found
NetSvcs: Nwsapagent -  File not found
NetSvcs: WmdmPmSp -  File not found
 
MsConfig - StartUpReg: Adobe Reader Speed Launcher - hkey= - key= -  File not found
MsConfig - StartUpReg: MsnMsgr - hkey= - key= -  File not found
 
CREATERESTOREPOINT
Restore point Set: OTL Restore Point
 
========== Files/Folders - Created Within 30 Days ==========
 
[2011.11.29 00:00:51 | 000,584,192 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\steffi\Desktop\OTL.exe
[2011.11.28 23:08:11 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\steffi\Recent
[2011.11.24 15:44:26 | 000,095,744 | -H-- | C] (Kassl GmbH) -- C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\dwlGina3.dll
[2011.11.24 15:09:07 | 000,095,744 | -H-- | C] (Kassl GmbH) -- C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\dwlGina3.dll
[2011.11.24 15:07:49 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\Macromedia
[2011.11.24 15:07:46 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\Adobe
[2011.11.15 19:16:31 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\iTunes
[2011.11.15 19:15:22 | 000,000,000 | -H-D | C] -- C:\Programme\iPod
[2011.11.15 19:15:17 | 000,000,000 | -H-D | C] -- C:\Programme\iTunes
[2011.11.15 19:11:24 | 000,000,000 | -H-D | C] -- C:\Programme\Apple Software Update
[2011.11.15 19:11:01 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Apple Computer
[2011.11.15 19:09:54 | 000,000,000 | -H-D | C] -- C:\Programme\Bonjour
[2011.11.15 19:09:49 | 000,000,000 | -HSD | C] -- C:\Config.Msi
[2009.01.14 01:58:48 | 015,523,560 | -H-- | C] (Macrovision Corporation) -- C:\Programme\U1 Setup.exe
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2011.11.28 23:58:16 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2011.11.28 23:58:13 | 1064,554,496 | -HS- | M] () -- C:\hiberfil.sys
[2011.11.28 23:57:06 | 000,000,864 | ---- | M] () -- C:\Dokumente und Einstellungen\steffi\Desktop\ODL Text.rtf
[2011.11.28 23:16:00 | 000,000,252 | -H-- | M] () -- C:\WINDOWS\tasks\Auf Updates für Windows Live Toolbar prüfen.job
[2011.11.28 22:56:27 | 000,391,574 | -H-- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2011.11.28 22:56:27 | 000,380,684 | -H-- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2011.11.28 22:56:27 | 000,063,976 | -H-- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2011.11.28 22:56:27 | 000,053,098 | -H-- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2011.11.28 21:35:08 | 000,001,158 | -H-- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2011.11.24 15:44:26 | 000,095,744 | -H-- | M] (Kassl GmbH) -- C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\dwlGina3.dll
[2011.11.22 12:33:23 | 000,013,398 | -H-- | M] () -- C:\Dokumente und Einstellungen\steffi\Eigene Dateien\Wohnraumliste.rtf
[2011.11.20 13:41:58 | 000,123,793 | -H-- | M] () -- C:\Dokumente und Einstellungen\steffi\Eigene Dateien\HUK24.3.pdf
[2011.11.20 13:10:09 | 000,295,033 | -H-- | M] () -- C:\Dokumente und Einstellungen\steffi\Eigene Dateien\HUK24.2.pdf
[2011.11.20 13:01:55 | 000,038,153 | -H-- | M] () -- C:\Dokumente und Einstellungen\steffi\Eigene Dateien\HUK24.pdf
[2011.11.15 19:11:28 | 000,000,276 | -H-- | M] () -- C:\WINDOWS\tasks\AppleSoftwareUpdate.job
[2011.11.15 09:27:38 | 000,112,584 | -H-- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2011.11.15 09:26:10 | 000,001,393 | -H-- | M] () -- C:\WINDOWS\imsins.BAK
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2011.11.29 00:00:58 | 000,000,864 | ---- | C] () -- C:\Dokumente und Einstellungen\steffi\Desktop\ODL Text.rtf
[2011.11.28 23:47:33 | 1064,554,496 | -HS- | C] () -- C:\hiberfil.sys
[2011.11.24 15:07:15 | 000,228,864 | -H-- | C] () -- C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\5suxrt589cxuftg.exe
[2011.11.22 12:17:50 | 000,013,398 | -H-- | C] () -- C:\Dokumente und Einstellungen\steffi\Eigene Dateien\Wohnraumliste.rtf
[2011.11.20 13:41:57 | 000,123,793 | -H-- | C] () -- C:\Dokumente und Einstellungen\steffi\Eigene Dateien\HUK24.3.pdf
[2011.11.20 13:10:09 | 000,295,033 | -H-- | C] () -- C:\Dokumente und Einstellungen\steffi\Eigene Dateien\HUK24.2.pdf
[2011.11.20 13:01:54 | 000,038,153 | -H-- | C] () -- C:\Dokumente und Einstellungen\steffi\Eigene Dateien\HUK24.pdf
[2011.05.13 20:24:21 | 000,017,768 | -H-- | C] () -- C:\WINDOWS\System32\mlfcache.dat
[2011.01.07 21:30:19 | 000,000,020 | -H-- | C] () -- C:\WINDOWS\eplan.ini
[2010.01.14 01:22:38 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat
[2010.01.14 01:17:40 | 000,021,740 | -H-- | C] () -- C:\WINDOWS\System32\emptyregdb.dat
[2010.01.14 01:10:57 | 000,004,161 | -H-- | C] () -- C:\WINDOWS\ODBCINST.INI
[2010.01.14 01:10:00 | 000,112,584 | -H-- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2010.01.14 01:03:31 | 000,005,312 | -H-- | C] () -- C:\WINDOWS\System32\OEMINFO.INI
[2010.01.14 01:03:26 | 000,391,574 | -H-- | C] () -- C:\WINDOWS\System32\perfh007.dat
[2010.01.14 01:03:26 | 000,269,480 | -H-- | C] () -- C:\WINDOWS\System32\perfi007.dat
[2010.01.14 01:03:26 | 000,063,976 | -H-- | C] () -- C:\WINDOWS\System32\perfc007.dat
[2010.01.14 01:03:26 | 000,034,478 | -H-- | C] () -- C:\WINDOWS\System32\perfd007.dat
[2010.01.14 01:03:20 | 000,004,569 | -H-- | C] () -- C:\WINDOWS\System32\secupd.dat
[2010.01.14 01:03:19 | 000,380,684 | -H-- | C] () -- C:\WINDOWS\System32\perfh009.dat
[2010.01.14 01:03:19 | 000,272,128 | -H-- | C] () -- C:\WINDOWS\System32\perfi009.dat
[2010.01.14 01:03:19 | 000,053,098 | -H-- | C] () -- C:\WINDOWS\System32\perfc009.dat
[2010.01.14 01:03:19 | 000,028,626 | -H-- | C] () -- C:\WINDOWS\System32\perfd009.dat
[2010.01.14 01:03:18 | 013,107,200 | -H-- | C] () -- C:\WINDOWS\System32\oembios.bin
[2010.01.14 01:03:18 | 000,004,562 | -H-- | C] () -- C:\WINDOWS\System32\oembios.dat
[2010.01.14 01:03:17 | 000,000,741 | -H-- | C] () -- C:\WINDOWS\System32\noise.dat
[2010.01.14 01:03:16 | 000,673,088 | -H-- | C] () -- C:\WINDOWS\System32\mlang.dat
[2010.01.14 01:03:16 | 000,046,258 | -H-- | C] () -- C:\WINDOWS\System32\mib.bin
[2010.01.14 01:03:14 | 000,218,003 | -H-- | C] () -- C:\WINDOWS\System32\dssec.dat
[2010.01.14 01:03:12 | 000,001,804 | -H-- | C] () -- C:\WINDOWS\System32\Dcache.bin
[2009.12.05 12:09:33 | 000,000,032 | -H-- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat
[2009.11.22 12:14:55 | 000,097,360 | -H-- | C] () -- C:\WINDOWS\System32\drivers\Fwusb1b.bin
[2009.08.14 16:50:07 | 000,000,000 | -H-- | C] () -- C:\WINDOWS\nsreg.dat
[2009.05.27 02:53:13 | 000,000,139 | -H-- | C] () -- C:\Dokumente und Einstellungen\steffi\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
[2009.01.14 02:52:36 | 000,000,061 | -H-- | C] () -- C:\WINDOWS\smscfg.ini
[2009.01.14 02:02:25 | 000,204,800 | -H-- | C] () -- C:\WINDOWS\System32\IVIresizeW7.dll
[2009.01.14 02:02:25 | 000,200,704 | -H-- | C] () -- C:\WINDOWS\System32\IVIresizeA6.dll
[2009.01.14 02:02:25 | 000,192,512 | -H-- | C] () -- C:\WINDOWS\System32\IVIresizeP6.dll
[2009.01.14 02:02:25 | 000,192,512 | -H-- | C] () -- C:\WINDOWS\System32\IVIresizeM6.dll
[2009.01.14 02:02:25 | 000,188,416 | -H-- | C] () -- C:\WINDOWS\System32\IVIresizePX.dll
[2009.01.14 02:02:25 | 000,020,480 | -H-- | C] () -- C:\WINDOWS\System32\IVIresize.dll
[2009.01.14 01:50:01 | 000,147,456 | -H-- | C] () -- C:\WINDOWS\System32\igfxCoIn_v4906.dll
[2009.01.14 01:48:16 | 000,000,520 | -H-- | C] () -- C:\WINDOWS\System32\drivers\SamSfPa.dat
[2008.11.14 18:12:56 | 000,012,208 | -H-- | C] () -- C:\WINDOWS\AsTrayLang.ini
[2008.09.02 07:25:26 | 002,854,912 | -H-- | C] () -- C:\WINDOWS\System32\btwicons.dll
[2008.08.28 04:10:24 | 000,000,173 | -H-- | C] () -- C:\WINDOWS\explorer.exe.config
[2008.07.30 19:31:52 | 000,021,864 | -H-- | C] () -- C:\WINDOWS\AsAcpiSvrLang.ini
[2001.11.14 13:56:00 | 001,802,240 | -H-- | C] () -- C:\WINDOWS\System32\lcppn21.dll
 
========== LOP Check ==========
 
[2009.05.26 20:46:28 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ICQ
[2011.05.13 19:55:56 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}
[2010.05.20 20:17:12 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\ICQ
[2011.11.28 23:17:02 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\StarOffice8
[2011.11.28 23:16:00 | 000,000,252 | -H-- | M] () -- C:\WINDOWS\Tasks\Auf Updates für Windows Live Toolbar prüfen.job
 
========== Purity Check ==========
 
 
 
========== Custom Scans ==========
 
 
< %SYSTEMDRIVE%\*. >
[2011.11.15 19:17:32 | 000,000,000 | -HSD | M] -- C:\Config.Msi
[2010.01.21 08:50:59 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen
[2011.01.07 21:13:19 | 000,000,000 | -H-D | M] -- C:\EPLAN
[2009.01.14 01:48:53 | 000,000,000 | -H-D | M] -- C:\Intel
[2011.11.15 19:15:22 | 000,000,000 | RH-D | M] -- C:\Programme
[2009.06.07 07:59:09 | 000,000,000 | -HSD | M] -- C:\RECYCLER
[2011.11.24 15:03:17 | 000,000,000 | -HSD | M] -- C:\System Volume Information
[2011.11.29 00:00:13 | 000,000,000 | -H-D | M] -- C:\WINDOWS
 
< %PROGRAMFILES%\*.exe >
[2008.05.07 09:34:00 | 015,523,560 | -H-- | M] (Macrovision Corporation) -- C:\Programme\U1 Setup.exe
 
Invalid Environment Variable: LOCALAPPDATA
 
< %systemroot%\*. /mp /s >
 
< %systemroot%\system32\*.manifest /3 >
[1 C:\WINDOWS\system32\*.tmp files -> C:\WINDOWS\system32\*.tmp -> ]
 
 
< MD5 for: EXPLORER.EXE  >
[2008.04.14 13:00:00 | 001,036,800 | -H-- | M] (Microsoft Corporation) MD5=418045A93CD87A352098AB7DABE1B53E -- C:\WINDOWS\explorer.exe
[2008.04.14 13:00:00 | 001,036,800 | -H-- | M] (Microsoft Corporation) MD5=418045A93CD87A352098AB7DABE1B53E -- C:\WINDOWS\system32\dllcache\explorer.exe
 
< MD5 for: REGEDIT.EXE  >
[2008.04.14 13:00:00 | 000,153,600 | -H-- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\I386\REGEDIT.EXE
[2008.04.14 13:00:00 | 000,153,600 | -H-- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\regedit.exe
[2008.04.14 13:00:00 | 000,153,600 | -H-- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\system32\dllcache\regedit.exe
 
< MD5 for: USERINIT.EXE  >
[2008.04.14 13:00:00 | 000,026,624 | -H-- | M] (Microsoft Corporation) MD5=788F95312E26389D596C0FA55834E106 -- C:\WINDOWS\system32\dllcache\userinit.exe
[2008.04.14 13:00:00 | 000,026,624 | -H-- | M] (Microsoft Corporation) MD5=788F95312E26389D596C0FA55834E106 -- C:\WINDOWS\system32\userinit.exe
 
< MD5 for: WINLOGON.EXE  >
[2008.04.14 13:00:00 | 000,513,024 | -H-- | M] (Microsoft Corporation) MD5=F09A527B422E25C478E38CAA0E44417A -- C:\WINDOWS\system32\dllcache\winlogon.exe
[2008.04.14 13:00:00 | 000,513,024 | -H-- | M] (Microsoft Corporation) MD5=F09A527B422E25C478E38CAA0E44417A -- C:\WINDOWS\system32\winlogon.exe
 
< HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems|Windows /rs >
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Kmode: %SystemRoot%\system32\win32k.sys [2011.09.06 15:10:01 | 001,859,072 | -H-- | M] (Microsoft Corporation)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Required: DebugWindows [binary data]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Windows: %SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16
 
< HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU >
 
< HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs >
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install\\LastSuccessTime: 2011-11-15 08:26:17
 
========== Hard Links - Junction Points - Mount Points - Symbolic Links ==========
[C:\WINDOWS\$NtUninstallKB36818$] -> Error: Cannot create file handle -> Unknown point type

< End of report >
--- --- ---

Extras TXTOTL Logfile:
Code:
OTL Extras logfile created on: 29.11.2011 00:02:39 - Run 1
OTL by OldTimer - Version 3.2.31.0    Folder = C:\Dokumente und Einstellungen\steffi\Desktop
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1015,17 Mb Total Physical Memory | 576,02 Mb Available Physical Memory | 56,74% Memory free
2,39 Gb Paging File | 2,01 Gb Available in Paging File | 84,41% Paging File free
Paging file location(s): C:\pagefile.sys 1524 3048 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 81,65 Gb Total Space | 65,90 Gb Free Space | 80,70% Space Free | Partition Type: NTFS
Drive D: | 62,47 Gb Total Space | 62,41 Gb Free Space | 99,90% Space Free | Partition Type: NTFS
Drive E: | 149,01 Gb Total Space | 107,77 Gb Free Space | 72,32% Space Free | Partition Type: FAT32
Drive Y: | 915,42 Gb Total Space | 599,12 Gb Free Space | 65,45% Space Free | Partition Type: NTFS
 
Computer Name: STOFFEL | User Name: steffi | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
 
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
exefile [open] -- "%1" %*
htmlfile [edit] -- Reg Error: Key error.
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Disabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Disabled:@xpsp2res.dll,-22008
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"C:\Programme\Windows Live\Messenger\msnmsgr.exe" = C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger
"C:\Programme\Windows Live\Messenger\livecall.exe" = C:\Programme\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\Windows Live\Messenger\msnmsgr.exe" = C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger
"C:\Programme\Windows Live\Messenger\livecall.exe" = C:\Programme\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)
"C:\Programme\ICQ6.5\ICQ.exe" = C:\Programme\ICQ6.5\ICQ.exe:*:Enabled:ICQ6 -- (ICQ, LLC.)
"C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\WebKit2WebProcess.exe" = C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\WebKit2WebProcess.exe:*:Enabled:WebKit -- (Apple Inc.)
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
"{0AC49543-9CE2-4434-AD42-5AA6E2967FA5}" = Windows Live Toolbar
"{19F5658D-92E8-4A08-8657-D38ABB1574B2}" = Asus ACPI Driver
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{26A24AE4-039D-4CA4-87B4-2F83216013FF}" = Java(TM) 6 Update 24
"{28006915-2739-4EBE-B5E8-49B25D32EB33}" = Atheros Client Installation Program
"{3108C217-BE83-42E4-AE9E-A56A2A92E549}" = Atheros Communications Inc.(R) AR8121/AR8113/AR8114 Gigabit/Fast Ethernet Driver
"{3127F76D-5335-4AC7-BD1E-2F5247A23C24}" = iTunes
"{3248F0A8-6813-11D6-A77B-00B0D0160030}" = Java(TM) 6 Update 3
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{57752979-A1C9-4C02-856B-FBB27AC4E02C}" = QuickTime
"{587178E7-B1DF-494E-9838-FA4DD36E873C}" = ASUSUpdate for Eee PC
"{5C52CED3-D45C-4DA9-932F-B91BD44BB461}" = Adabas D 13.01.00
"{5C82DAE5-6EB0-4374-9254-BE3319BA4E82}" = Skype™ 3.6
"{5EE7D259-D137-4438-9A5F-42F432EC0421}" = VC80CRTRedist - 8.0.50727.4053
"{60DE4033-9503-48D1-A483-7846BD217CA9}" = ICQ6.5
"{69333A04-5134-40A5-A055-9166A7AA1EC8}" =
"{6C1E7AA1-44E9-446D-AAB2-0DE6D9EFEAB1}" = Safari
"{6E4DAE31-7CF3-441A-B6E5-B014D63C80CD}" = Eee Instant Key
"{779DECD7-E072-4B56-9B6B-BEB5973EEEB5}" = MobileMe Control Panel
"{789A5B64-9DD9-4BA5-915A-F0FC0A1B7BFE}" = Apple Software Update
"{79155F2B-9895-49D7-8612-D92580E0DE5B}" = Bonjour
"{7A7B0BF3-2F00-4F03-8A9B-6ABCC07B90C6}" = Windows Live installer
"{8153ED9A-C94A-426E-9880-5E6775C08B62}" = Apple Mobile Device Support
"{82F2B38B-1426-443D-874C-AC25675E7BEB}" = Windows Live Mail
"{84814E6B-2581-46EC-926A-823BD1C670F6}" = WIDCOMM Bluetooth Software
"{86CE85E6-DBAC-3FFD-B977-E4B79F83C909}" = Microsoft Visual C++ 2008 Redistributable - KB2467174 - x86 9.0.30729.5570
"{88F08F98-12BC-4613-81A2-8F9B88CFC73E}" = Super Hybrid Engine
"{8FC4F1DD-F7FD-4766-804D-3C8FF1D309AF}" = Azurewave Wireless LAN
"{91810AFC-A4F8-4EBA-A5AA-B198BBC81144}" = InterVideo WinDVD
"{9510AB97-A36C-4352-8725-E72E5528FA1B}" = StarOffice 8 ASUS Edition
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{9BE518E6-ECC6-35A9-88E4-87755C07200F}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
"{A83279FD-CA4B-4206-9535-90974DE76654}" = Apple Application Support
"{AC76BA86-7AD7-1031-7B44-A81300000003}" = Adobe Reader 8.1.3 - Deutsch
"{B3276CB1-20B6-4AF9-AAEC-E72C83816495}" = IKEA Home Planner
"{B7050CBDB2504B34BC2A9CA0A692CC29}" = DivX Plus Web Player
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{F0B430D1-B6AA-473D-9B06-AA3DD01FD0B8}" = Microsoft SQL Server 2005 Compact Edition [ENU]
"{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver
"{F18DB86D-BC16-4E01-BCCE-63F62B931D82}" = InterVideo Register Manager
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Avira AntiVir Desktop" = Avira AntiVir Personal - Free Antivirus
"Eee Storage" = Eee Storage 1.2.16.309
"Elantech" = ETDWare PS/2-x86 7.0.3.12 For XP WHQL
"HDMI" = Intel(R) Graphics Media Accelerator Driver
"HSPA USB MODEM ALCATEL_is1" = HSPA USB MODEM
"ICQToolbar" = ICQ Toolbar
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie7" = Windows Internet Explorer 7
"ie8" = Windows Internet Explorer 8
"Microsoft .NET Framework 1.1  (1033)" = Microsoft .NET Framework 1.1
"Mozilla Firefox 8.0 (x86 de)" = Mozilla Firefox 8.0 (x86 de)
"MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"Norwegisch AKTIV" = Norwegisch AKTIV Demo
"PrintKey2000" = PrintKey2000
"Windows Live Toolbar" = Windows Live Toolbar
"Windows Media Format Runtime" = Windows Media Format 11 runtime
"Windows Media Player" = Windows Media Player 11
"WMFDist11" = Windows Media Format 11 runtime
"wmp11" = Windows Media Player 11
"Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 24.11.2011 10:00:13 | Computer Name = STOFFEL | Source = crypt32 | ID = 131083
Description = Die Extrahierung der Drittanbieterstammlisten aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>
 ist fehlgeschlagen mit dem Fehler: Ein erforderliches Zertifikat befindet sich
nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel
 in der signierten Datei.  .
 
Error - 24.11.2011 10:00:28 | Computer Name = STOFFEL | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
 von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
 ist fehlgeschlagen mit dem Fehler: Dieser Vorgang wurde wegen Zeitüberschreitung
 zurückgegeben.  .
 
Error - 24.11.2011 10:00:29 | Computer Name = STOFFEL | Source = crypt32 | ID = 131083
Description = Die Extrahierung der Drittanbieterstammlisten aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>
 ist fehlgeschlagen mit dem Fehler: Ein erforderliches Zertifikat befindet sich
nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel
 in der signierten Datei.  .
 
Error - 24.11.2011 10:00:29 | Computer Name = STOFFEL | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
 von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
 ist fehlgeschlagen mit dem Fehler: Der angegebene Server kann den angeforderten
 Vorgang nicht ausführen.  .
 
Error - 24.11.2011 10:01:30 | Computer Name = STOFFEL | Source = crypt32 | ID = 131083
Description = Die Extrahierung der Drittanbieterstammlisten aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>
 ist fehlgeschlagen mit dem Fehler: Ein erforderliches Zertifikat befindet sich
nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel
 in der signierten Datei.  .
 
Error - 24.11.2011 10:01:45 | Computer Name = STOFFEL | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
 von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
 ist fehlgeschlagen mit dem Fehler: Dieser Vorgang wurde wegen Zeitüberschreitung
 zurückgegeben.  .
 
Error - 24.11.2011 10:01:53 | Computer Name = STOFFEL | Source = crypt32 | ID = 131083
Description = Die Extrahierung der Drittanbieterstammlisten aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>
 ist fehlgeschlagen mit dem Fehler: Ein erforderliches Zertifikat befindet sich
nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel
 in der signierten Datei.  .
 
Error - 28.11.2011 18:12:51 | Computer Name = STOFFEL | Source = crypt32 | ID = 131077
Description = Der automatische Aktualisierungsabruf des Drittanbieterstammzertifikats
 von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/AE5083ED7CF45CBC8F61C621FE685D794221156E.crt>
 ist fehlgeschlagen mit dem Fehler: The connection with the server was terminated
 abnormally  .
 
Error - 28.11.2011 18:12:51 | Computer Name = STOFFEL | Source = crypt32 | ID = 131077
Description = Der automatische Aktualisierungsabruf des Drittanbieterstammzertifikats
 von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/AE5083ED7CF45CBC8F61C621FE685D794221156E.crt>
 ist fehlgeschlagen mit dem Fehler: The connection with the server was terminated
 abnormally  .
 
Error - 28.11.2011 18:12:51 | Computer Name = STOFFEL | Source = crypt32 | ID = 131077
Description = Der automatische Aktualisierungsabruf des Drittanbieterstammzertifikats
 von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/AE5083ED7CF45CBC8F61C621FE685D794221156E.crt>
 ist fehlgeschlagen mit dem Fehler: The connection with the server was terminated
 abnormally  .
 
[ System Events ]
Error - 28.11.2011 18:48:38 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 18:48:39 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 18:59:06 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 18:59:10 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 18:59:12 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 18:59:12 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 18:59:14 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 18:59:15 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 19:08:24 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
Error - 28.11.2011 19:09:29 | Computer Name = STOFFEL | Source = Service Control Manager | ID = 7023
Description = Der Dienst "NLA (Network Location Awareness)" wurde mit folgendem
Fehler beendet:  %%127
 
 
< End of report >
--- --- ---


Aktuell ist der Desktop weiß (gestern war er noch im WindowsDesign grün) und es sind keine Icons vorhanden.

Freu mich auf die weiteren Anweisungen...
Lieben Dank schon mal
Steffi

Larusso 29.11.2011 14:29
Freut mich zu hören das mein Tool funktioniert :D

Aber da scheint mir mehr im Busch.


Schritt 1
Code:
:otl
O4 - HKLM..\Run: [IjmrHbDDJ3PyrXc] C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe File not found
O4 - HKLM..\Run: [rBMCQKITTiB.exe] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\rBMCQKITTiB.exe File not found
O4 - HKCU..\Run: [IjmrHbDDJ3PyrXc] C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe File not found
O20 - HKCU Winlogon: Shell - (C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe) - File not found
:commands
[emptytemp]
  • Schliesse bitte nun alle Programme.
  • Klicke nun bitte auf den Fix Button.
  • OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
  • Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
    ( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt )
    Kopiere nun den Inhalt hier in Deinen Thread


Schritt 2

Bitte
  • alle anderen Scanner gegen Viren, Spyware, usw. deaktivieren,
  • keine bestehende Verbindung zu einem Netzwerk/Internet (WLAN nicht vergessen),
  • nichts am Rechner arbeiten,
  • nach jedem Scan der Rechner neu gestarten.
Gmer scannen lassen
  • Lade Dir Gmer von dieser Seite herunter
    (auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
  • Alle anderen Programme sollen geschlossen sein.
  • Starte gmer.exe (Programm hat einen willkürlichen Programm-Namen).
    Vista und Win7 User mit Rechtsklick und als Administrator starten.
  • Sollte sich ein Fenster mit folgender Warnung öffnen:
    WARNING !!!
    GMER has found system modification, which might have been caused by ROOTKIT activity.
    Do you want to fully scan your system ?
    Unbedingt auf "No" klicken.
  • Entferne rechts den Haken bei:
    • IAT/EAT
    • Alle Festplatten ausser die Systemplatte (normalerweise ist nur C:\ angehackt)
    • Show all (sollte abgehackt sein)
  • Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
  • Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.
Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!


Bitte poste in deiner nächsten Antwort
OTL Fix log
gmer.txt

Deistergirl 29.11.2011 14:56
Hey Helferlein,
ja Deine Anleitung funktioniert - ist für mich aber echt eine Herausforderung. Aber ich lerne!
Ein paar Rückfragen hab ich noch zu den nächsten Schritten:
1) Die nächsten von Dir beschriebenen Schritte führe ich wieder im abgesicherten Modus durch?
2) Was genau meinst du mit 'Schliesse bitte nun alle Programme' - was muss ich beachten, was muss ich tun damit ich es korrekt ausgeführt habe?
3) Wie gehe ich sicher, das ich alle alle anderen Scanner gegen Viren, Spyware, usw. deaktiviert habe?
4) Kann ich Schritt 2 durchführen bevor Du mir ein Feedback auf das neue TXT Dokument gegeben hast?

Lieben Gruß
Steffi

Larusso 29.11.2011 15:00
Nein, du brauchst nicht mehr im abgesicherten Modus zu arbeiten.

2. keinen offenen Browser, keine Dokumente usw

3. in dem du selber über deinen Rechner bescheid weißt und dir klar ist, dass Du nur Avira installiert hast und dieses deaktivieren sollst.

4. ja

Deistergirl 29.11.2011 15:18
Hier der gewünschte Thread aus Schritt 1:

All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\IjmrHbDDJ3PyrXc deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\rBMCQKITTiB.exe deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\IjmrHbDDJ3PyrXc deleted successfully.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Dokumente und Einstellungen\steffi\Anwendungsdaten\5suxrt589cxuftg.exe deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 46026679 bytes
->Flash cache emptied: 882 bytes

User: steffi
->Temp folder emptied: 115986103 bytes
->Temporary Internet Files folder emptied: 10928362 bytes
->Java cache emptied: 67183921 bytes
->FireFox cache emptied: 368650726 bytes
->Apple Safari cache emptied: 16384 bytes
->Flash cache emptied: 42586 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 2951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 653229 bytes
RecycleBin emptied: 4217995215 bytes

Total Files Cleaned = 4.604,00 mb


OTL by OldTimer - Version 3.2.31.0 log created on 11292011_150858

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

Deistergirl 29.11.2011 16:17
Hey! Lasse gerde den Schritt 2 durchlaufen und habe die Fehlermeldung

WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.

bekommen, allerdings ohne Frage. Ich kann hier lediglich OK auswählen, was soll ich tun?

Deistergirl 29.11.2011 16:32
Hab die Meldung einfach mit OK geschlossen. Hier nun die TXT Datei zu Schritt 2:

GMER Logfile:
Code:
GMER 1.0.15.15641 - GMER - Rootkit Detector and Remover
Rootkit scan 2011-11-29 16:31:45
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 ST9160310AS rev.0303
Running: 6i7p48tg.exe; Driver: C:\DOKUME~1\steffi\LOKALE~1\Temp\kwtdypob.sys


---- System - GMER 1.0.15 ----

SSDT            F7C7094E                                                                  ZwCreateKey
SSDT            F7C70944                                                                  ZwCreateThread
SSDT            F7C70953                                                                  ZwDeleteKey
SSDT            F7C7095D                                                                  ZwDeleteValueKey
SSDT            F7C70962                                                                  ZwLoadKey
SSDT            F7C70930                                                                  ZwOpenProcess
SSDT            F7C70935                                                                  ZwOpenThread
SSDT            F7C7096C                                                                  ZwReplaceKey
SSDT            F7C70967                                                                  ZwRestoreKey
SSDT            F7C70958                                                                  ZwSetValueKey

---- Kernel code sections - GMER 1.0.15 ----

.text          i8042prt.sys                                                              F76C9000 9 Bytes  [90, 90, 90, 90, 8B, FF, 55, ...] {NOP ; NOP ; NOP ; NOP ; MOV EDI, EDI; PUSH EBP; MOV EBP, ESP}
.text          i8042prt.sys                                                              F76C900A 26 Bytes  [56, 8B, 75, 08, 57, 33, FF, ...]
.text          i8042prt.sys                                                              F76C9026 29 Bytes  [50, FF, 15, 5C, B4, 6C, F7, ...]
.text          i8042prt.sys                                                              F76C9044 3 Bytes  [00, A1, 00]
.text          i8042prt.sys                                                              F76C9048 1 Byte  [6C]
.text          ...                                                                     
?              C:\WINDOWS\system32\DRIVERS\i8042prt.sys                                  suspicious PE modification

---- User code sections - GMER 1.0.15 ----

.text          C:\WINDOWS\System32\svchost.exe[816] ntdll.dll!NtProtectVirtualMemory    7C91D6EE 5 Bytes  JMP 0169000A
.text          C:\WINDOWS\System32\svchost.exe[816] ntdll.dll!NtWriteVirtualMemory      7C91DFAE 5 Bytes  JMP 018E000A
.text          C:\WINDOWS\System32\svchost.exe[816] ntdll.dll!KiUserExceptionDispatcher  7C91E47C 5 Bytes  JMP 0168000C

---- Devices - GMER 1.0.15 ----

AttachedDevice  \FileSystem\Fastfat \Fat                                                  fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- Modules - GMER 1.0.15 ----

Module          (noname) (*** hidden *** )                                                F6C5C000-F6C75000 (102400 bytes)                                                                                   

---- Files - GMER 1.0.15 ----

File            C:\WINDOWS\$NtUninstallKB36818$\1159449289                                0 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\@                              2048 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\bckfg.tmp                      764 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\cfg.ini                        185 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\Desktop.ini                    4608 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\kwrd.dll                      223744 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\L                              0 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\L\goaivlai                    52992 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\U                              0 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\U\00000001.@                  1536 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\U\00000002.@                  224768 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\U\00000004.@                  1024 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\U\80000000.@                  1024 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\U\80000004.@                  12800 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\1159449289\U\80000032.@                  98304 bytes
File            C:\WINDOWS\$NtUninstallKB36818$\2935085840                                0 bytes

---- EOF - GMER 1.0.15 ----
--- --- ---

Larusso 29.11.2011 16:41
Wusste ich es doch.

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.
  • Besuche folgende Seite für Downloadlinks und Anweisungen für dieses Tool

    Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Hinweis:
    Gehe sicher das all deine Anti Virus und Anti Malware Programme abgeschalten sind, damit diese Combofix nicht bei der Arbeit stören.
  • Poste bitte die C:\Combofix.txt in deiner nächsten Antwort.


Bitte poste in deiner nächsten Antwort
Combofix.txt

Deistergirl 29.11.2011 17:41
Lieber Daniel,
hier nun die Combofix.txt:

Combofix Logfile:
Code:
ComboFix 11-11-22.01 - steffi 29.11.2011  17:11:48.1.2 - x86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1015.505 [GMT 1:00]
ausgef¸hrt von:: c:\dokumente und einstellungen\steffi\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
- REDUZIERTER FUNKTIONALITƒTSMODUS -
.
.
(((((((((((((((((((((((  Dateien erstellt von 2011-10-28 bis 2011-11-29  ))))))))))))))))))))))))))))))
.
.
2011-11-28 22:14 . 2011-11-28 22:14        --------        d-----r-        c:\dokumente und einstellungen\NetworkService\Favoriten
2011-11-24 14:44 . 2011-11-24 14:44        95744        ---ha-w-        c:\dokumente und einstellungen\steffi\Anwendungsdaten\dwlGina3.dll
2011-11-24 14:09 . 2011-11-24 14:09        95744        ---ha-w-        c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\dwlGina3.dll
2011-11-24 14:07 . 2011-11-24 14:07        228864        ---ha-w-        c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\5suxrt589cxuftg.exe
2011-11-15 18:15 . 2011-11-15 18:15        --------        d--h--w-        c:\programme\iPod
2011-11-15 18:15 . 2011-11-15 18:16        --------        d--h--w-        c:\programme\iTunes
2011-11-15 18:11 . 2011-11-15 18:11        --------        d--h--w-        c:\programme\Apple Software Update
2011-11-15 18:11 . 2011-11-15 18:11        --------        d--h--w-        c:\dokumente und einstellungen\LocalService\Anwendungsdaten\Apple Computer
2011-11-15 18:09 . 2011-11-15 18:09        --------        d--h--w-        c:\programme\Bonjour
2011-11-15 07:46 . 2011-11-05 07:10        134104        ---ha-w-        c:\programme\Mozilla Firefox\components\browsercomps.dll
2011-11-15 07:46 . 2011-11-05 07:10        801752        ---ha-w-        c:\programme\Mozilla Firefox\mozsqlite3.dll
2011-11-15 07:46 . 2011-11-05 07:10        1989592        ---ha-w-        c:\programme\Mozilla Firefox\mozjs.dll
2011-11-15 07:46 . 2011-11-05 07:10        16856        ---ha-w-        c:\programme\Mozilla Firefox\plugin-container.exe
2011-11-15 07:46 . 2011-11-05 07:10        924632        ---ha-w-        c:\programme\Mozilla Firefox\firefox.exe
2011-11-15 07:46 . 2011-11-05 07:10        89048        ---ha-w-        c:\programme\Mozilla Firefox\libEGL.dll
2011-11-15 07:46 . 2011-11-05 07:10        719832        ---ha-w-        c:\programme\Mozilla Firefox\mozcpp19.dll
2011-11-15 07:46 . 2011-11-05 07:10        478168        ---ha-w-        c:\programme\Mozilla Firefox\libGLESv2.dll
2011-11-15 07:46 . 2011-11-05 07:10        15832        ---ha-w-        c:\programme\Mozilla Firefox\mozalloc.dll
2011-11-15 07:46 . 2011-11-05 03:20        2106216        ---ha-w-        c:\programme\Mozilla Firefox\D3DCompiler_43.dll
2011-11-15 07:46 . 2011-11-05 03:20        1998168        ---ha-w-        c:\programme\Mozilla Firefox\d3dx9_43.dll
.
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-10-10 14:22 . 2010-01-14 00:17        692736        ---ha-w-        c:\windows\system32\inetcomm.dll
2011-09-28 07:06 . 2010-01-14 00:03        604160        ---ha-w-        c:\windows\system32\crypt32.dll
2011-09-26 10:41 . 2011-09-26 10:41        614912        ---h--w-        c:\windows\system32\uiautomationcore.dll
2011-09-26 10:41 . 2010-01-14 00:03        23040        ---ha-w-        c:\windows\system32\oleaccrc.dll
2011-09-26 10:41 . 2010-01-14 00:03        220160        ---ha-w-        c:\windows\system32\oleacc.dll
2011-09-14 18:31 . 2009-05-26 19:38        66616        ---ha-w-        c:\windows\system32\drivers\avgntflt.sys
2011-09-14 18:31 . 2009-05-26 19:38        138192        ---ha-w-        c:\windows\system32\drivers\avipbb.sys
2011-09-06 14:10 . 2010-01-14 00:03        1859072        ---ha-w-        c:\windows\system32\win32k.sys
2008-05-07 08:34 . 2009-01-14 00:58        15523560        ---ha-w-        c:\programme\U1 Setup.exe
2011-11-05 07:10 . 2011-11-15 07:46        134104        ---ha-w-        c:\programme\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Eintr‰ge & legitime Standardeintr‰ge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-09-18 16855040]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-12-19 135168]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-12-19 159744]
"Persistence"="c:\windows\system32\igfxpers.exe" [2007-12-19 131072]
"AsusTray"="c:\programme\EeePC\ACPI\AsTray.exe" [2008-12-04 114688]
"AsusACPIServer"="c:\programme\EeePC\ACPI\AsAcpiSvr.exe" [2008-12-17 622592]
"AsusEPCMonitor"="c:\programme\EeePC\ACPI\AsEPCMon.exe" [2008-05-21 94208]
"ETDWare"="c:\programme\Elantech\ETDCtrl.exe" [2008-11-24 329728]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-12-13 281768]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-14 39792]
"AVMWlanClient"="c:\programme\avmwlanstick\FRITZWLANMini.exe" [2007-02-02 283136]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-10-29 249064]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2010-11-29 421888]
"AppleSyncNotifier"="c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleSyncNotifier.exe" [2011-04-20 58656]
"APSDaemon"="c:\programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe" [2011-09-27 59240]
"iTunesHelper"="c:\programme\iTunes\iTunesHelper.exe" [2011-11-12 421736]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
"IjmrHbDDJ3PyrXc"="c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\5suxrt589cxuftg.exe" [2011-11-24 228864]
.
c:\dokumente und einstellungen\steffi\Startmen¸\Programme\Autostart\
StarOffice 8.lnk - c:\programme\Sun\StarOffice 8\program\quickstart.exe [2007-8-17 122880]
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Apple\\Apple Application Support\\WebKit2WebProcess.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=
.
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [26.05.2009 20:38 136360]
R2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [26.05.2009 20:46 222456]
S2 DeviceManager;DeviceManager;c:\programme\Gemeinsame Dateien\DeviceHelper\DeviceManager.exe -start --> c:\programme\Gemeinsame Dateien\DeviceHelper\DeviceManager.exe -start [?]
S3 avmeject;AVM Eject;c:\windows\system32\drivers\avmeject.sys [22.11.2009 12:15 4352]
S3 FWLANUSB;AVM FRITZ!WLAN;c:\windows\system32\drivers\fwlanusb.sys [22.11.2009 12:14 265088]
S3 qcusbser;Modem Interface USB Device for Legacy Serial Communication;c:\windows\system32\drivers\qcusbser.sys [02.11.2009 08:37 103552]
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - KWTDYPOB
*Deregistered* - kwtdypob
.
Inhalt des "geplante Tasks" Ordners
.
2011-11-15 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2011-06-01 16:57]
.
2011-11-29 c:\windows\Tasks\Auf Updates f¸r Windows Live Toolbar pr¸fen.job
- c:\programme\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 10:20]
.
.
------- Zus‰tzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
uInternet Settings,ProxyOverride = *.local
IE: &Windows Live Search - c:\programme\Windows Live Toolbar\msntb.dll/search.htm
IE: Senden an &Bluetooth-Ger‰t... - c:\programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
IE: Senden an Bluetooth - c:\programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
TCP: DhcpNameServer = 192.168.178.1
FF - ProfilePath - c:\dokumente und einstellungen\steffi\Anwendungsdaten\Mozilla\Firefox\Profiles\56wc4dpa.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/ig?hl=de
FF - user.js: yahoo.homepage.dontask - true
.
- - - - Entfernte verwaiste Registrierungseintr‰ge - - - -
.
MSConfigStartUp-Adobe Reader Speed Launcher - c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe
MSConfigStartUp-MsnMsgr - c:\program files\Windows Live\Messenger\MsnMsgr.Exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover
Rootkit scan 2011-11-29 17:13
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteintr‰ge...
.
Scanne versteckte Dateien...
.
.
c:\windows\$NtUninstallKB36818$:SummaryInformation 0 bytes hidden from API
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 1
.
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'lsass.exe'(528)
c:\windows\system32\mswsock.dll
mswsock.dll    719b0000  262144 \\.\globalroot\systemroot\system32\mswsock.dll
.
- - - - - - - > 'explorer.exe'(2964)
c:\windows\system32\webcheck.dll
c:\windows\system32\mshtml.dll
c:\windows\system32\msls31.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
Zeit der Fertigstellung: 2011-11-29  17:17:42
ComboFix-quarantined-files.txt  2011-11-29 16:17
.
Vor Suchlauf: 1 Verzeichnis(se), 75.523.493.888 Bytes frei
Nach Suchlauf: 8 Verzeichnis(se), 75.471.519.744 Bytes frei
.
WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect
.
- - End Of File - - 4975EE87C5C91A36FD7670FEEF4FFEC4
--- --- ---

Larusso 29.11.2011 18:18
Nicht gut, eventuell enden wir hier doch mit einer Neuinstallation :(

Lösche bitte die vorhandene Combofix Version und downloade dir von hier eine neue Version.

Speichere diese auf dem Desktop.
Gehe sicher, dass all deine Anti Virus und anderen Schutzprogramme abgeschalten sind.



Bitte poste in deiner nächsten Antwort
Combofix.txt

Deistergirl 29.11.2011 18:38
So hatte die andere Combofix Version nach Anleitung genutzt, die Aktion wurde abgebrochen, der Rechner hat sich runtergefahren und nach dem Neustart blinkt der Cursour im Feld zur Kennworteingabe aber ich kann nicht editieren und den Mauszeiger nicht bewegen

Larusso 29.11.2011 19:12
Hooray,

Na dann wars das wohl erstmal. Wir haben wirklich lange versucht, die Infektion, die auf deinem Rechner ist, manuell zu entfernen. Nach 4 Stunden haben die Experts aufgegeben.

Combofix ist das einzige Tool, welches damit klar kommt und somit bleibt mir dir nur noch eine Neuinstallation ans Herz zu legen.


Versuch den Rechner mal manuell neu zu starten.

Deistergirl 29.11.2011 19:19
Ich danke Euch jedenfalls vielmals für Eure Mühe & Unterstützung.


Alle Zeitangaben in WEZ +1. Es ist jetzt 23:16 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131