Trojaner-Board - Bundespolizei Trojaner??

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Bundespolizei Trojaner?? (https://www.trojaner-board.de/106474-bundespolizei-trojaner.html)

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

????!!!!! Hilfe (schreibe gerade von meinem Ersatzschleppi)
Habe Combofix nach Anweisung ausgeführt, die einzelnen Stufen wurden fertiggestellt. Nach ca. 10 min hat der Rechner Neu gestartet????? das Cofi-Fenster (sieht aus wie Eingabeaufforderung) will irgendwie starten und flattert wie verrückt den Bildschirm rauf und runter, wie in einer Endlosschleife... Keine Ahnng was jetzt passiert ist und was ich tun soll ???????

habs hinbekommen. Ich war erst einmal platt weil nichts mehr ging. Üblicherweise nutze ich nur das Benutzerkonto und erst als ich den Vorgang auf dem Admin-Konto wiederholte hat es funktioniert.

Dieses Run.DLL-Fenster ist immer noch da?!

So und jetzt guede Nacht.
Combofix Logfile:

Code:

ComboFix 11-12-20.04 - Franky 21.12.2011   0:39.2.2 - x86

Microsoft® Windows Vista™ Home Premium   6.0.6000.0.1252.49.1031.18.1918.1082 [GMT 1:00]

ausgeführt von:: c:\users\Franky\Desktop\ComboFix.exe

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

---- Vorheriger Suchlauf -------

.

c:\programdata\NOTEPAD.EXE-x.txt

c:\programdata\RUNDLL32.EXE-x.txt

.

-- Vorheriger Suchlauf --

.

Infizierte Kopie von c:\windows\system32\Drivers\atapi.sys wurde gefunden und desinfiziert 

Kopie von - c:\windows\System32\DriverStore\FileRepository\mshdc.inf_7de13c21\atapi.sys wurde wiederhergestellt 

.

--------

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-11-20 bis 2011-12-20  ))))))))))))))))))))))))))))))

.

.

2011-12-20 23:50 . 2011-12-20 23:50        --------        d-----w-        c:\users\Franky\AppData\Local\temp

2011-12-20 23:50 . 2011-12-20 23:50        --------        d-----w-        c:\users\Franka-Standard\AppData\Local\temp

2011-12-20 23:50 . 2011-12-20 23:50        --------        d-----w-        c:\users\Default\AppData\Local\temp

2011-12-20 23:22 . 2011-12-20 23:22        56200        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{C88C2006-6F06-4408-B23B-99942462982E}\offreg.dll

2011-12-20 18:40 . 2011-11-21 10:47        6823496        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{C88C2006-6F06-4408-B23B-99942462982E}\mpengine.dll

2011-12-20 18:18 . 2011-12-20 18:18        --------        d-----w-        C:\_OTL

2011-12-19 19:51 . 2011-12-19 19:51        --------        d-----w-        c:\program files\ESET

2011-12-18 02:02 . 2011-12-18 02:03        --------        d-----w-        c:\users\Franky\AppData\Roaming\vlc

2011-12-18 01:58 . 2011-12-18 01:58        --------        d-----w-        c:\users\Franky\AppData\Roaming\Avira

2011-12-18 01:29 . 2011-12-18 01:29        --------        d-----w-        c:\program files\7-Zip

2011-12-17 21:51 . 2011-12-17 21:51        --------        d-----w-        c:\users\Franka-Standard\AppData\Roaming\Avira

2011-12-17 21:45 . 2011-12-09 11:40        36000        ----a-w-        c:\windows\system32\drivers\avkmgr.sys

2011-12-17 21:45 . 2011-12-09 11:40        134856        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2011-12-17 21:45 . 2011-12-18 19:52        --------        d-----w-        c:\programdata\Avira

2011-12-17 21:45 . 2011-12-17 21:45        --------        d-----w-        c:\program files\Avira

2011-12-17 21:44 . 2011-12-17 21:44        414368        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2011-12-17 21:30 . 2011-12-17 21:30        --------        d-----w-        c:\users\Franka-Standard\AppData\Roaming\Malwarebytes

2011-12-17 12:45 . 2011-12-17 12:46        1207568        ----a-w-        c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll

2011-12-17 12:11 . 2011-12-17 12:11        --------        d-----w-        c:\users\Franky\AppData\Roaming\Malwarebytes

2011-12-17 12:10 . 2011-12-17 12:10        --------        d-----w-        c:\programdata\Malwarebytes

2011-12-17 12:10 . 2011-12-17 12:11        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware

2011-12-17 12:10 . 2011-08-31 16:00        22216        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-12-17 12:07 . 2011-11-10 04:54        476904        ----a-w-        c:\program files\Mozilla Firefox\plugins\npdeployJava1.dll

2011-12-17 12:07 . 2011-11-10 04:54        472808        ----a-w-        c:\windows\system32\deployJava1.dll

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-12-09 11:40 . 2009-12-27 08:27        74640        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

2011-12-18 01:57 . 2011-07-09 09:04        134104        ----a-w-        c:\program files\mozilla firefox\components\browsercomps.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-02-08 1232896]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RtHDVCpl"="RtHDVCpl.exe" [2007-04-10 4431872]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2011-12-18 258512]

.

c:\users\Franka-Standard\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

wpbt0.dll.lnk - c:\windows\System32\rundll32.exe [2006-11-2 44544]

.

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

t@x aktuell.lnk - c:\program files\Buhl finance\tax 2010 Professional\taxaktuell.exe [2010-5-13 554280]

.

[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Adobe Reader Synchronizer.lnk]

path=c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Reader Synchronizer.lnk

backup=c:\windows\pss\Adobe Reader Synchronizer.lnk.CommonStartup

backupExtension=.CommonStartup

.

[HKLM\~\startupfolder\C:^Users^Franky^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^tax aktuell.lnk]

path=c:\users\Franky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\tax aktuell.lnk

backup=c:\windows\pss\tax aktuell.lnk.Startup

backupExtension=.Startup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

2008-06-12 01:38        34672        ----a-w-        c:\program files\Adobe\Reader 9.0\Reader\reader_sl.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EEventManager]

2009-12-03 09:12        976320        ----a-w-        c:\program files\Epson Software\Event Manager\EEventManager.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Malwarebytes' Anti-Malware (reboot)]

2011-08-31 16:00        1047208        ----a-w-        c:\program files\Malwarebytes' Anti-Malware\mbam.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSConfig]

2006-11-02 09:45        222208        ----a-w-        c:\windows\System32\msconfig.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

2007-02-26 18:46        153136        ----a-w-        c:\program files\Common Files\Ahead\Lib\NeroCheck.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]

2006-11-10 10:35        90112        ----a-w-        c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]

"DisableMonitoring"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001

.

S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [2011-12-09 36000]

S2 ABBYY.Licensing.FineReader.Sprint.9.0;ABBYY FineReader 9.0 Sprint Licensing Service;c:\program files\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe [2009-05-14 759048]

S2 AntiVirMailService;Avira Email Schutz;c:\program files\Avira\AntiVir Desktop\avmailc.exe [2011-12-18 342480]

S2 AntiVirSchedulerService;Avira Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2011-12-18 86224]

S2 AntiVirWebService;Avira Browser Schutz;c:\program files\Avira\AntiVir Desktop\AVWEBGRD.EXE [2011-12-18 463824]

.

.

Inhalt des "geplante Tasks" Ordners

.

2011-12-20 c:\windows\Tasks\User_Feed_Synchronization-{0445CB6F-B0A1-4DD2-A2AD-83A0FBC60D5C}.job

- c:\windows\system32\msfeedssync.exe [2010-03-31 04:54]

.

2011-12-20 c:\windows\Tasks\User_Feed_Synchronization-{B0C877F5-1337-48A8-B8A4-37888470649D}.job

- c:\windows\system32\msfeedssync.exe [2010-03-31 04:54]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = 

mStart Page = 

IE: Free YouTube to MP3 Converter - c:\users\Franky\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000

LSP: c:\program files\Avira\AntiVir Desktop\avsda.dll

TCP: DhcpNameServer = 192.168.178.1

FF - ProfilePath - c:\users\Franky\AppData\Roaming\Mozilla\Firefox\Profiles\e7m86hix.default\

FF - prefs.js: browser.search.defaulturl - 

FF - prefs.js: browser.search.selectedEngine - 

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

MSConfigStartUp-SMSERIAL - c:\program files\Motorola\SMSERIAL\sm56hlpr.exe

HKLM_ActiveSetup-ccc-core-static - msiexec

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-12-21 00:50

Windows 6.0.6000  NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

"MSCurrentCountry"=dword:000000b5

.

Zeit der Fertigstellung: 2011-12-21  01:01:00

ComboFix-quarantined-files.txt  2011-12-21 00:00

.

Vor Suchlauf: 15 Verzeichnis(se), 99.780.390.912 Bytes frei

Nach Suchlauf: 19 Verzeichnis(se), 99.699.544.064 Bytes frei

.

- - End Of File - - 2EE58822549CDE38E3CA409A7DDDB005

--- --- ---

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

File::

c:\users\Franka-Standard\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wpbt0.dll.lnk

C:\Windows\system32\wpbt0.dll

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Habs wieder übers Admin-Konto laufen lassen ohne Probleme, allerdings ist nach dem Scan kein automatischer Neustart erfolgt. Ich habs manuel nachgeholt. Hoffe das war soweit in Ordnung.

Combofix Logfile:

Code:

ComboFix 11-12-20.04 - Franky 21.12.2011  17:47:24.3.2 - x86

Microsoft® Windows Vista™ Home Premium   6.0.6000.0.1252.49.1031.18.1918.1197 [GMT 1:00]

ausgeführt von:: c:\users\Franky\Desktop\ComboFix.exe

Benutzte Befehlsschalter :: c:\users\Franky\Desktop\CFScript.txt

.

FILE ::

"c:\users\Franka-Standard\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wpbt0.dll.lnk"

"c:\windows\system32\wpbt0.dll"

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\users\Franka-Standard\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wpbt0.dll.lnk

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-11-21 bis 2011-12-21  ))))))))))))))))))))))))))))))

.

.

2011-12-21 16:56 . 2011-12-21 16:56        --------        d-----w-        c:\users\Franky\AppData\Local\temp

2011-12-21 16:56 . 2011-12-21 16:56        --------        d-----w-        c:\users\Franka-Standard\AppData\Local\temp

2011-12-21 16:56 . 2011-12-21 16:56        --------        d-----w-        c:\users\Default\AppData\Local\temp

2011-12-21 16:36 . 2011-12-21 16:36        548864        ----a-w-        c:\program files\Mozilla Firefox\msvcp80.dll

2011-12-21 16:36 . 2011-12-21 16:36        479232        ----a-w-        c:\program files\Mozilla Firefox\msvcm80.dll

2011-12-21 16:36 . 2011-12-21 16:36        43992        ----a-w-        c:\program files\Mozilla Firefox\mozutils.dll

2011-12-21 16:36 . 2011-12-21 16:36        626688        ----a-w-        c:\program files\Mozilla Firefox\msvcr80.dll

2011-12-21 16:30 . 2011-12-21 16:30        56200        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{C88C2006-6F06-4408-B23B-99942462982E}\offreg.dll

2011-12-20 18:40 . 2011-11-21 10:47        6823496        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{C88C2006-6F06-4408-B23B-99942462982E}\mpengine.dll

2011-12-20 18:18 . 2011-12-20 18:18        --------        d-----w-        C:\_OTL

2011-12-19 19:51 . 2011-12-19 19:51        --------        d-----w-        c:\program files\ESET

2011-12-18 02:02 . 2011-12-18 02:03        --------        d-----w-        c:\users\Franky\AppData\Roaming\vlc

2011-12-18 01:58 . 2011-12-18 01:58        --------        d-----w-        c:\users\Franky\AppData\Roaming\Avira

2011-12-18 01:29 . 2011-12-18 01:29        --------        d-----w-        c:\program files\7-Zip

2011-12-17 21:51 . 2011-12-17 21:51        --------        d-----w-        c:\users\Franka-Standard\AppData\Roaming\Avira

2011-12-17 21:45 . 2011-12-09 11:40        36000        ----a-w-        c:\windows\system32\drivers\avkmgr.sys

2011-12-17 21:45 . 2011-12-09 11:40        134856        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2011-12-17 21:45 . 2011-12-18 19:52        --------        d-----w-        c:\programdata\Avira

2011-12-17 21:45 . 2011-12-17 21:45        --------        d-----w-        c:\program files\Avira

2011-12-17 21:44 . 2011-12-17 21:44        414368        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2011-12-17 21:30 . 2011-12-17 21:30        --------        d-----w-        c:\users\Franka-Standard\AppData\Roaming\Malwarebytes

2011-12-17 12:45 . 2011-12-17 12:46        1207568        ----a-w-        c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll

2011-12-17 12:11 . 2011-12-17 12:11        --------        d-----w-        c:\users\Franky\AppData\Roaming\Malwarebytes

2011-12-17 12:10 . 2011-12-17 12:10        --------        d-----w-        c:\programdata\Malwarebytes

2011-12-17 12:10 . 2011-12-17 12:11        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware

2011-12-17 12:10 . 2011-08-31 16:00        22216        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-12-17 12:07 . 2011-11-10 04:54        476904        ----a-w-        c:\program files\Mozilla Firefox\plugins\npdeployJava1.dll

2011-12-17 12:07 . 2011-11-10 04:54        472808        ----a-w-        c:\windows\system32\deployJava1.dll

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-12-09 11:40 . 2009-12-27 08:27        74640        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

2011-12-21 16:36 . 2011-07-09 09:04        121816        ----a-w-        c:\program files\mozilla firefox\components\browsercomps.dll

.

.

(((((((((((((((((((((((((((((   SnapShot@2011-12-20_23.50.35   )))))))))))))))))))))))))))))))))))))))))

.

+ 2007-08-21 09:24 . 2011-12-21 16:33        49804              c:\windows\System32\WDI\ShutdownPerformanceDiagnostics_SystemData.bin

+ 2006-11-02 13:05 . 2011-12-21 16:33        59858              c:\windows\System32\WDI\BootPerformanceDiagnostics_SystemData.bin

- 2008-02-11 01:37 . 2011-12-20 23:25        13582              c:\windows\System32\WDI\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-1635306701-2684445884-3753265379-1001_UserData.bin

+ 2008-02-11 01:37 . 2011-12-21 00:48        13582              c:\windows\System32\WDI\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-1635306701-2684445884-3753265379-1001_UserData.bin

+ 2008-02-07 20:06 . 2011-12-21 16:33        16384              c:\windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat

- 2008-02-07 20:06 . 2011-12-20 23:25        16384              c:\windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat

- 2008-02-07 20:06 . 2011-12-20 23:25        32768              c:\windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat

+ 2008-02-07 20:06 . 2011-12-21 16:33        32768              c:\windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat

- 2008-02-07 20:06 . 2011-12-20 23:25        32768              c:\windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat

+ 2008-02-07 20:06 . 2011-12-21 16:33        32768              c:\windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat

+ 2008-02-08 00:29 . 2011-12-21 16:33        4926              c:\windows\System32\WDI\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-1635306701-2684445884-3753265379-1000_UserData.bin

+ 2011-12-21 16:30 . 2011-12-21 16:30        2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat

- 2011-12-20 23:22 . 2011-12-20 23:22        2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat

- 2011-12-20 23:22 . 2011-12-20 23:22        2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat

+ 2011-12-21 16:30 . 2011-12-21 16:30        2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat

- 2009-05-26 17:54 . 2011-12-20 23:25        245760              c:\windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\IETldCache\index.dat

+ 2009-05-26 17:54 . 2011-12-21 16:33        245760              c:\windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\IETldCache\index.dat

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-02-08 1232896]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RtHDVCpl"="RtHDVCpl.exe" [2007-04-10 4431872]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2011-12-18 258512]

.

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

t@x aktuell.lnk - c:\program files\Buhl finance\tax 2010 Professional\taxaktuell.exe [2010-5-13 554280]

.

[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Adobe Reader Synchronizer.lnk]

path=c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Reader Synchronizer.lnk

backup=c:\windows\pss\Adobe Reader Synchronizer.lnk.CommonStartup

backupExtension=.CommonStartup

.

[HKLM\~\startupfolder\C:^Users^Franky^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^tax aktuell.lnk]

path=c:\users\Franky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\tax aktuell.lnk

backup=c:\windows\pss\tax aktuell.lnk.Startup

backupExtension=.Startup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

2008-06-12 01:38        34672        ----a-w-        c:\program files\Adobe\Reader 9.0\Reader\reader_sl.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EEventManager]

2009-12-03 09:12        976320        ----a-w-        c:\program files\Epson Software\Event Manager\EEventManager.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Malwarebytes' Anti-Malware (reboot)]

2011-08-31 16:00        1047208        ----a-w-        c:\program files\Malwarebytes' Anti-Malware\mbam.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSConfig]

2006-11-02 09:45        222208        ----a-w-        c:\windows\System32\msconfig.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

2007-02-26 18:46        153136        ----a-w-        c:\program files\Common Files\Ahead\Lib\NeroCheck.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]

2006-11-10 10:35        90112        ----a-w-        c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]

"DisableMonitoring"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001

.

S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [2011-12-09 36000]

S2 ABBYY.Licensing.FineReader.Sprint.9.0;ABBYY FineReader 9.0 Sprint Licensing Service;c:\program files\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe [2009-05-14 759048]

S2 AntiVirMailService;Avira Email Schutz;c:\program files\Avira\AntiVir Desktop\avmailc.exe [2011-12-18 342480]

S2 AntiVirSchedulerService;Avira Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2011-12-18 86224]

S2 AntiVirWebService;Avira Browser Schutz;c:\program files\Avira\AntiVir Desktop\AVWEBGRD.EXE [2011-12-18 463824]

.

.

Inhalt des "geplante Tasks" Ordners

.

2011-12-20 c:\windows\Tasks\User_Feed_Synchronization-{0445CB6F-B0A1-4DD2-A2AD-83A0FBC60D5C}.job

- c:\windows\system32\msfeedssync.exe [2010-03-31 04:54]

.

2011-12-21 c:\windows\Tasks\User_Feed_Synchronization-{B0C877F5-1337-48A8-B8A4-37888470649D}.job

- c:\windows\system32\msfeedssync.exe [2010-03-31 04:54]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = 

mStart Page = 

IE: Free YouTube to MP3 Converter - c:\users\Franky\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000

LSP: c:\program files\Avira\AntiVir Desktop\avsda.dll

TCP: DhcpNameServer = 192.168.178.1

FF - ProfilePath - c:\users\Franky\AppData\Roaming\Mozilla\Firefox\Profiles\e7m86hix.default\

FF - prefs.js: browser.search.defaulturl - 

FF - prefs.js: browser.search.selectedEngine - 

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-12-21 17:56

Windows 6.0.6000  NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

"MSCurrentCountry"=dword:000000b5

.

Zeit der Fertigstellung: 2011-12-21  18:03:41

ComboFix-quarantined-files.txt  2011-12-21 17:03

ComboFix2.txt  2011-12-21 00:01

.

Vor Suchlauf: 18 Verzeichnis(se), 99.886.297.088 Bytes frei

Nach Suchlauf: 19 Verzeichnis(se), 99.841.499.136 Bytes frei

.

- - End Of File - - 8D336D9A375C3165EA869DBCE3486D98

--- --- ---

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

...ist alles probremlos verlaufen :-)
1. GMER Scan
GMER Logfile:

Code:

GMER 1.0.15.15641 - hxxp://www.gmer.net

Rootkit scan 2011-12-21 23:00:02

Windows 6.0.6000  Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0 WDC_WD2500BEVS-22UST0 rev.01.01A01

Running: 7zyvd3gi.exe; Driver: C:\Users\Franky\AppData\Local\Temp\uwlyipog.sys
 
 

---- System - GMER 1.0.15 ----
 

SSDT  8AAB73B4  ZwClose

SSDT  8AAB73BE  ZwCreateSection

SSDT  8AAB7396  ZwCreateSymbolicLinkObject

SSDT  8AAB73AF  ZwDuplicateObject

SSDT  8AAB739B  ZwLoadDriver

SSDT  8AAB7350  ZwOpenProcess

SSDT  8AAB7391  ZwOpenSection

SSDT  8AAB7355  ZwOpenThread

SSDT  8AAB73C8  ZwRequestWaitReplyPort

SSDT  8AAB73C3  ZwSetContextThread

SSDT  8AAB73CD  ZwSetSecurityObject

SSDT  8AAB73A0  ZwSetSystemInformation

SSDT  8AAB73D2  ZwSystemDebugControl

SSDT  8AAB735F  ZwTerminateProcess

SSDT  8AAB735A  ZwWriteVirtualMemory
 

---- EOF - GMER 1.0.15 ----

--- --- ---

2. OSAM Logfile
OSAM Logfile:

Code:

Report of OSAM: Autorun Manager v5.0.11926.0

hxxp://www.online-solutions.ru/en/

Saved at 23:07:40 on 21.12.2011
 

OS: Windows Vista Home Premium Edition (Build 6000), 32-bit

Default Browser: Mozilla Corporation Firefox 9.0
 

Scanner Settings

[x] Rootkits detection (hidden registry)

[x] Rootkits detection (hidden files)

[x] Retrieve files information

[x] Check Microsoft signatures
 

Filters

[ ] Trusted entries

[ ] Empty entries

[x] Hidden registry entries (rootkit activity)

[x] Exclusively opened files

[x] Not found files

[x] Files without detailed information

[x] Existing files

[ ] Non-startable services

[ ] Non-startable drivers

[x] Active entries

[x] Disabled entries
 
 

[Control Panel Objects]

-----( %SystemRoot%\system32 )-----

"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\Windows\system32\FlashPlayerCPLApp.cpl

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----

"Nero BurnRights" - "Nero AG" - C:\Program Files\Nero\Nero 7\Nero Toolkit\NeroBurnRights.cpl
 

[Drivers]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"avgntflt" (avgntflt) - "Avira GmbH" - C:\Windows\System32\DRIVERS\avgntflt.sys

"avipbb" (avipbb) - "Avira GmbH" - C:\Windows\System32\DRIVERS\avipbb.sys

"avkmgr" (avkmgr) - "Avira GmbH" - C:\Windows\System32\DRIVERS\avkmgr.sys

"catchme" (catchme) - ? - C:\Users\Franky\AppData\Local\Temp\catchme.sys  (File not found)

"IP in IP Tunnel Driver" (IpInIp) - ? - C:\Windows\System32\DRIVERS\ipinip.sys  (File not found)

"IPX Traffic Filter Driver" (NwlnkFlt) - ? - C:\Windows\System32\DRIVERS\nwlnkflt.sys  (File not found)

"IPX Traffic Forwarder Driver" (NwlnkFwd) - ? - C:\Windows\System32\DRIVERS\nwlnkfwd.sys  (File not found)

"Nokia USB Phone Parent" (nmwcd) - ? - C:\Windows\System32\drivers\ccdcmb.sys  (File not found)

"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\Windows\System32\DRIVERS\ssmdrv.sys

"upperdev" (upperdev) - ? - C:\Windows\System32\DRIVERS\usbser_lowerflt.sys  (File not found)

"uwlyipog" (uwlyipog) - ? - C:\Users\Franky\AppData\Local\Temp\uwlyipog.sys  (Hidden registry entry, rootkit activity | File not found)
 

[Explorer]

-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----

{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\PDFShell.dll

-----( HKLM\Software\Classes\Protocols\Filter )-----

{807563E5-5146-11D5-A672-00B0D022E945} "Microsoft Office InfoPath XML Mime Filter" - "Microsoft Corporation" - C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

-----( HKLM\Software\Classes\Protocols\Handler )-----

{314111c7-a502-11d2-bbca-00c04f8ec294} "HxProtocol Class" - "Microsoft Corporation" - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll

{0A9007C0-4076-11D3-8789-0000F8105754} "Microsoft Infotech Storage Protocol for IE 4.0" - "Microsoft Corporation" - C:\Program Files\Common Files\Microsoft Shared\Information Retrieval\msitss.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----

{911051fa-c21c-4246-b470-070cd8df6dc4} ".cab or .zip files" - ? -   (File not found | COM-object registry key not found)

{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - C:\Program Files\7-Zip\7-zip.dll

{1b24a030-9b20-49bc-97ac-1be4426f9e59} "ActiveDirectory Folder" - ? -   (File not found | COM-object registry key not found)

{34449847-FD14-4fc8-A75A-7432F5181EFB} "ActiveDirectory Folder" - ? -   (File not found | COM-object registry key not found)

{0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48} "Contacts folder" - ? -   (File not found | COM-object registry key not found)

{2C2577C2-63A7-40e3-9B7F-586602617ECB} "Explorer Query Band" - ? -   (File not found | COM-object registry key not found)

{FAC3CBF6-8697-43d0-BAB9-DCD1FCE19D75} "IE User Assist" - ? -   (File not found | COM-object registry key not found)

{00020d75-0000-0000-c000-000000000046} "lnkfile" - ? -   (File not found | COM-object registry key not found)

{42042206-2D85-11D3-8CFF-005004838597} "Microsoft Office HTML Icon Handler" - "Microsoft Corporation" - C:\Program Files\Microsoft Office\Office12\msohevi.dll

{993BE281-6695-4BA5-8A2A-7AACBFAAB69E} "Microsoft Office Metadata Handler" - "Microsoft Corporation" - C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\msoshext.dll

{5858A72C-C2B4-4dd7-B2BF-B76DB1BD9F6C} "Microsoft Office OneNote Namespace Extension for Windows Desktop Search" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~3\Office12\ONFILTER.DLL

{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97} "Microsoft Office Thumbnail Handler" - "Microsoft Corporation" - C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\msoshext.dll

{C8494E42-ACDD-4739-B0FB-217361E4894F} "Sam Account Folder" - ? -   (File not found | COM-object registry key not found)

{E29F9716-5C08-4FCD-955A-119FDB5A522D} "Sam Account Folder" - ? -   (File not found | COM-object registry key not found)

{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\shlext.dll

{5E2121EE-0300-11D4-8D3B-444553540000} "SimpleShlExt Class" - ? - c:\Program Files\ATI Technologies\ATI.ACE\Core-Static\atiacmxx.dll

{6F5C0F40-1419-4DC8-8D2F-D5EC5FCF07AB} "Sprint.ExplorerIntegration.9" - "ABBYY" - C:\Program Files\Common Files\ABBYY\FineReaderSprint\9.00\Integration\SprintIntegration.dll

{da67b8ad-e81b-4c70-9b91b417b5e33527} "Windows Search Shell Service" - ? -   (File not found | COM-object registry key not found)
 

[Internet Explorer]

-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----

<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----

{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} "Java Plug-in 1.6.0_07" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\jp2iexp.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab

{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_30" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\jp2iexp.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab

{CAFEEFAC-0016-0000-0030-ABCDEFFEDCBA} "Java Plug-in 1.6.0_30" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\jp2iexp.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab

{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_30" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\npjpi160_30.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab

{E2883E8F-472F-4FB0-9522-AC9BF37916A7} "{E2883E8F-472F-4FB0-9522-AC9BF37916A7}" - ? -   (File not found | COM-object registry key not found) / hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----

{48E73304-E1D6-4330-914C-F5F514E3486C} "An OneNote senden" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll

{FF059E31-CC5A-4E2E-BF3B-96E929D65503} "Research" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----

{9421DD08-935F-4701-A9CA-22DF90AC4EA6} "Easy Photo Print" - "SEIKO EPSON CORPORATION / CyCom Technology Corp." - C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----

{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

{9421DD08-935F-4701-A9CA-22DF90AC4EA6} "Easy Photo Print" - "SEIKO EPSON CORPORATION / CyCom Technology Corp." - C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll

{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\jp2ssv.dll

{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} "Java(tm) Plug-In SSV Helper" - "Sun Microsystems, Inc." - C:\Program Files\Java\jre6\bin\ssv.dll
 

[Logon]

-----( %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup )-----

"desktop.ini" - ? - C:\Users\Franky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini

-----( %AllUsersProfile%\Microsoft\Windows\Start Menu\Programs\Startup )-----

"desktop.ini" - ? - C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini

"t@x aktuell.lnk" - "R&S EDV-Beratung, Hannover" - C:\Program Files\Buhl finance\tax 2010 Professional\taxaktuell.exe  (Shortcut exists | File exists)

-----( HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd )-----

"StartupPrograms" - ? - rdpclip  (File not found)

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----

"avgnt" - "Avira Operations GmbH & Co. KG" - "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
 

[Print Monitors]

-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----

"EpsonNet Print Port" - "SEIKO EPSON CORPORATION" - C:\Windows\system32\enppmon.dll

"Send To Microsoft OneNote Monitor" - "Microsoft Corporation" - C:\Windows\system32\msonpmon.dll
 

[Services]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"ABBYY FineReader 9.0 Sprint Licensing Service" (ABBYY.Licensing.FineReader.Sprint.9.0) - "ABBYY" - C:\Program Files\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe

"Avira Browser Schutz" (AntiVirWebService) - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE

"Avira Echtzeit Scanner" (AntiVirService) - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

"Avira Email Schutz" (AntiVirMailService) - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\avmailc.exe

"Avira Planer" (AntiVirSchedulerService) - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\sched.exe

"EpsonBidirectionalService" (EpsonBidirectionalService) - "SEIKO EPSON CORPORATION" - C:\Program Files\Common Files\EPSON\EBAPI\eEBSVC.exe

"Fujitsu Siemens Computers Diagnostic Testhandler" (TestHandler) - "Fujitsu Siemens Computers" - C:\firststeps\OnlineDiagnostic\TestManager\TestHandler.exe

"Microsoft Office Diagnostics Service" (odserv) - "Microsoft Corporation" - C:\Program Files\Common Files\Microsoft Shared\OFFICE12\ODSERV.EXE

"NMIndexingService" (NMIndexingService) - "Nero AG" - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe

"Office Source Engine" (ose) - "Microsoft Corporation" - C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE

"ServiceLayer" (ServiceLayer) - "Nokia" - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
 

[Winlogon]

-----( HKCU\Control Panel\Desktop )-----

"SCRNSAVE.EXE" - "Fujitsu Siemens Computers" - c:\windows\system32\Fujits~1.scr
 

[Winsock Providers]

-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries )-----

"AVSDA" - "Avira Operations GmbH & Co. KG" - C:\Program Files\Avira\AntiVir Desktop\avsda.dll
 

===[ Logfile end ]=========================================[ Logfile end ]===

--- --- ---
If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru
[/code]

3. Avast Log

Code:

aswMBR version 0.9.9.1116 Copyright(c) 2011 AVAST Software

Run date: 2011-12-21 23:12:07

-----------------------------

23:12:07.408    OS Version: Windows 6.0.6000 

23:12:07.408    Number of processors: 2 586 0x6801

23:12:07.409    ComputerName: FRANKY-PC  UserName: Franky

23:12:08.805    Initialize success

23:13:13.847    AVAST engine defs: 11122102

23:13:35.970    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0

23:13:35.975    Disk 0 Vendor: WDC_WD2500BEVS-22UST0 01.01A01 Size: 238475MB BusType: 3

23:13:38.237    Disk 0 MBR read successfully

23:13:38.245    Disk 0 MBR scan

23:13:38.259    Disk 0 Windows VISTA default MBR code

23:13:38.433    Disk 0 Partition 1 00     27 Hidden NTFS WinRE NTFS        12000 MB offset 2048

23:13:38.500    Disk 0 Partition 2 80 (A) 07    HPFS/NTFS NTFS       151650 MB offset 24578048

23:13:38.560    Disk 0 Partition 3 00     07    HPFS/NTFS NTFS        74823 MB offset 335157248

23:13:38.665    Disk 0 scanning sectors +488394752

23:13:39.004    Disk 0 scanning C:\Windows\system32\drivers

23:14:26.400    Service scanning

23:14:27.789    Modules scanning

23:15:05.938    Disk 0 trace - called modules:

23:15:05.968    ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll ataport.SYS pciide.sys PCIIDEX.SYS atapi.sys 

23:15:05.976    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x84ee0ad8]

23:15:05.985    3 ntkrnlpa.exe[820b07e2] -> nt!IofCallDriver -> [0x84780878]

23:15:05.993    5 acpi.sys[804d632a] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-0[0x847638f0]

23:15:06.745    AVAST engine scan C:\Windows

23:16:07.102    AVAST engine scan C:\Windows\system32

23:21:05.640    AVAST engine scan C:\Windows\system32\drivers

23:21:21.863    AVAST engine scan C:\Users\Franky

23:22:06.124    AVAST engine scan C:\ProgramData

23:22:56.573    Scan finished successfully

23:25:01.679    Disk 0 MBR has been saved successfully to "C:\Users\Franka-Standard\Desktop\Reinigung\MBR.dat"

23:25:01.687    The log file has been saved successfully to "C:\Users\Franka-Standard\Desktop\Reinigung\aswMBR.txt"

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

...die scans haben ein wenig gedauer ;-)

Malwarebyte

Code:

Malwarebytes' Anti-Malware 1.51.2.1300

www.malwarebytes.org
 

Datenbank Version: 911122204
 

Windows 6.0.6000

Internet Explorer 8.0.6001.18904
 

22.12.2011 19:06:10

mbam-log-2011-12-22 (19-06-10).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|F:\|)

Durchsuchte Objekte: 315773

Laufzeit: 1 Stunde(n), 3 Minute(n), 25 Sekunde(n)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

SuperAntispyware
Es wurden 48 Threats gefunden. Diese habe ich mit dem Programm gelöscht.

Code:

SUPERAntiSpyware Scan Log

hxxp://www.superantispyware.com
 

Generated 12/22/2011 at 09:36 PM
 

Application Version : 5.0.1142
 

Core Rules Database Version : 8082

Trace Rules Database Version: 5894
 

Scan type       : Complete Scan

Total Scan Time : 02:09:28
 

Operating System Information

Windows Vista Home Premium 32-bit (Build 6.00.6000)

UAC On - Administrator
 

Memory items scanned      : 614

Memory threats detected   : 0

Registry items scanned    : 36823

Registry threats detected : 0

File items scanned        : 111251

File threats detected     : 48
 

Adware.Tracking Cookie

        .doubleclick.net [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        www.elitepvpers.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        www.elitepvpers.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        www.elitepvpers.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        .elitepvpers.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        .elitepvpers.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        .elitepvpers.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        .elitepvpers.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        .doubleclick.net [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\FHOPQV3X.DEFAULT\COOKIES.SQLITE ]

        clicks.pangora.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        clicks.pangora.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        clicks.pangora.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        adserver.71i.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        www.etracker.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        www.etracker.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        www.discount24.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        www9.discount24.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        tracking.adtraffic.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .postclicktracking.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        stats.bmw.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        stats.bmw.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        partners.webmasterplan.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        partners.webmasterplan.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .youporn.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        tracking.quisma.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .tracking.quisma.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        ad.zanox.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        www.zanox-affiliate.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .dealtime.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        stat.dealtime.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .overture.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .overture.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .count.spring.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .adtech.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        s2.trafficmaxx.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        www.trafficrank.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .mediavantage.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .track.webtrekk.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .ad.adition.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .realmedia.co.kr [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .banner.t-online.de [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .imrworldwide.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .imrworldwide.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .de.sitestat.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .doubleclick.net [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .2o7.net [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .adfarm1.adition.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

        .komtrack.com [ C:\USERS\FRANKA-STANDARD\APPDATA\ROAMING\MOZILLA\FIREFOX(807)\PROFILES\7NU9TPK9.DEFAULT\COOKIES.TXT ]

ESET log

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=224b9e6925094a40b67b9bcf901e609c

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-12-19 09:25:25

# local_time=2011-12-19 10:25:25 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=6.0.6000 NT 

# compatibility_mode=1792 16777191 100 0 166060 166060 0 0

# compatibility_mode=5892 16776573 100 100 5020 161857110 0 0

# compatibility_mode=8192 67108863 100 0 112 112 0 0

# scanned=102841

# found=1

# cleaned=0

# scan_time=5543

C:\Users\Franka-Standard\Downloads\vlc-1.1.11-win32.exe        Win32/StartPage.OIE trojan (unable to clean)        00000000000000000000000000000000        I

ESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=224b9e6925094a40b67b9bcf901e609c

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-12-22 10:47:38

# local_time=2011-12-22 11:47:38 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=6.0.6000 NT 

# compatibility_mode=1792 16777191 100 0 429730 429730 0 0

# compatibility_mode=5892 16776573 100 100 19633 162120780 0 0

# compatibility_mode=8192 67108863 100 0 263782 263782 0 0

# scanned=137437

# found=1

# cleaned=0

# scan_time=6006

C:\Users\Franka-Standard\Downloads\vlc-1.1.11-win32.exe        Win32/StartPage.OIE trojan (unable to clean)        00000000000000000000000000000000        I

Sieht ok aus, da wurden nur Cookies gefunden.
Noch Probleme oder weitere Funde in der Zwischenzeit?

Hi Cosinus,
vielen Dank für die Ausdauer und Geduld!!!
Alle Fehlermeldungen sind weg!
Anfangs habe ich den Defrogger laufen lassen, muss ich da noch was tun "unfroggen" ? Und kann ich die Programme die ich im Laufe der Reinigung installiert habe wieder deinstallieren?
Was empfielst Du als Sicherheitsstandard/Software oder Combi für die Zukunft?
Danke nochmal!

Ja mit dem defogger kannst du re-enablen

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:

Adobe - Andere Version des Adobe Flash Player installieren

Notfalls kann man auch von Chip.de runterladen => http://filepony.de/?q=Flash+Player

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Hallo Cosinus,
habe Deinen Ratschlag befolgt und Secunia PSI eingesetzt, PDF Xchange Viewer installiert und erneut alle Microsoft Updates gecheckt.
Sieht alles prima aus !!!! Danke noch einmal!! Dieses Board werde ich gerne weiterempfehlen!!!