Trojaner-Board - Windows XP (IBM Notebook) komplett blockiert

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Windows XP (IBM Notebook) komplett blockiert (https://www.trojaner-board.de/115798-windows-xp-ibm-notebook-komplett-blockiert.html)

Windows XP (IBM Notebook) komplett blockiert

Leute von trojaner-board ich benötige dringend eure Hilfe!
Betriebssystem: Windows XP

Da ich gelesen habe, dass ich keine Anleitung befolgen sollte, welche von anderen Nutzer gepostet wurden, werde ich jetzt mein Problem schildern:

Ein Freund von mir hat sich einen Trojaner in einer E-Mail eingefangen und dieser macht folgende Probleme:

-Beim Anmeldebildschirm meldet der Computer automatisch an ohne Benutzerauswahl (nur ein Benutzer war angelegt).

Den nächsten Punkt kann ich nicht 100% bestätigen, da es mein Freund erzählt hat.

-Er hat eine E-Mail geöffnet von partner-suche.com (zumindest nannten sie sich so, der Sender von der E-Mail) und die angehängte Zip-Datei geöffnet und dann wurde der Bildschirm gesperrt und er musste für einen Betrag von, glaub ich, 200€ für einen Code zum entsperren eingeben.
Er hat einen X-beliebigen Code eingegeben.

-Jetzt sehe ich ein weißes Fenster schwarz eingerahmt, darin steht:

Willkommen bei Windows Update
Vielen Dank für Ihre Zahlung.
Der eingegebene Zahlungscode wird überprüft. Sobald die Überprüfung beendet ist, wird das Update installiert, Ihr Computer entschlüsselt und vom Befall befreit.

Achtung

Schalten Sie in der Zeit Ihren PC nicht aus und halten Sie die Internetverbindung aufrecht, da der Neustart einen schweren Soft und Hardwareschaden hervorrufen wird.
Bitte haben sie etwas Geduld.

-Bis jetzt habe ich es versucht mit der Kaspersky Live-CD den Trojaner zu entfernen, Kaspersky hat ihn nicht entdeckt.

-Im abgesicherten Modus wird mir genau das gleiche Angezeigt.
Deswegen konnte ich nicht mit Malwarebytes Anti-Malware arbeiten.

-Beim Drücken des Powerknopfes zeigt der Bildschirm kurz den normalen Desktop aber fährt sich dann herunter.

-Sämtliche Tastenkombinationen funktionieren nicht.

Ich bitte um Hilfe und bedanke mich schon mal im voraus!

Hallo und Herzlich Willkommen! :)

Bevor wir unsere Zusammenarbeit beginnen, [Bitte Vollständig lesen]:

Zitat:

"Fernbehandlungen/Fernhilfe" und die damit verbundenen Haftungsrisken:
- da die Fehlerprüfung und Handlung werden über große Entfernungen durchgeführt, besteht keine Haftung unsererseits für die daraus entstehenden Folgen.
- also, jede Haftung für die daraus entstandene Schäden wird ausgeschlossen, ANWEISUNGEN UND DEREN BEFOLGUNG, ERFOLGT AUF DEINE EIGENE VERANTWORTUNG!
Charakteristische Merkmale/Profilinformationen:
- aus der verwendeten Loglisten oder Logdateien - wie z.B. deinen Realnamen, Seriennummer in Programm etc)- kannst Du durch [X] oder Sternchen (*) ersetzen
Die Systemprüfung und Bereinigung:
- kann einige Zeit in Anspruch nehmen (je nach Art der Infektion), kann aber sogar so stark kompromittiert sein, so dass eine wirkungsvolle technische Säuberung ist nicht mehr möglich bzw Du es neu installieren musst
Ich empfehle Dir die Anweisungen erst einmal komplett durchzulesen, bevor du es anwendest, weil wenn du etwas falsch machst, kann es wirklich gefährlich werden. Wenn du meinen Anweisungen Schritt für Schritt folgst, kann eigentlich nichts schief gehen.
Innerhalb der Betreuungszeit:
- ohne Abspräche bitte nicht auf eigene Faust handeln!- bei Problemen nachfragen.
Die Reihenfolge:
- genau so wie beschrieben bitte einhalten, nicht selbst die Reihenfolge wählen!
GECRACKTE SOFTWARE werden hier nicht geduldet!!!!
Ansonsten unsere Forumsregeln:
- Bitte erst lesen, dann posten!-> Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?

Alle Logfile mit einem vBCode Tag eingefügen, das bietet hier eine gute Übersicht, erleichtert mir die Arbeit! Falls das Logfile zu groß, teile es in mehrere Teile auf.

Sobald Du diesen Einführungstext gelesen hast, kannst Du beginnen:)

Zitat:

Wenn ein System kompromittiert wurde, ist das System nicht mehr vertrauenswürdig
Eine Neuinstallation garantiert die rückstandsfreie Entfernung der Infektion - Lesestoff: "Hilfe: Ich wurde das Opfer eines Hackerangriffs. Was soll ich tun?" - Säubern eines gefährdeten Systems

Falls du doch für die Systemreinigung entscheidest - Ein System zu bereinigen kann ein paar Tage dauern (je nach Art der Infektion), kann aber sogar so stark kompromittiert sein, so dass eine wirkungsvolle technische Säuberung ist nicht mehr möglich bzw Du es neu installieren musst::

► Erster Teil des 3-teiligen Verfahren, werden wir dein System auf Viren untersuchen, bzw nach einem anderen Verursacher suchen:
**Vista und Win7 Verwender: Alle Befehle bitte als Administrator ausführen! rechte Maustaste auf die Eingabeaufforderung und "als Administrator ausführen" auswählen

hast Du Verwandte oder Bekannte die dir helfen können, oder ein "Zweit-PC "?? das genannte Programm auf CD brennen:

Werden benötigt:
Zweit PC
1 CD
1 Brennprogramm

Unbootbares System mit OTLPE Network scannen

Du kannst versuchen, den Computer mit OTLPE zu booten, denn offensichtlich hast Du ja noch einen zweiten Rechner zur Verfügung. Mit diesem kannst Du die nötige Boot-CD mit OTLPE brennen, die eine Art Notfall-Boot-CD darstellt, mit der wir erstens das System booten können und zweitens die zur Analyse nötigen Scans durchführen können. Sollte das System auch mithilfe dieser CD nicht bootbar sein, kannst Du von einem technischen Problem ausgehen.

Lade OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop.
Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.
Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
Lege eine leere CD in Deinen Brenner.
ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
Du kannst nun die Fenster des Brennprogramms schließen.

Starte das unbootbare System neu und boote von der CD, die Du gerade erstellt hast.
Anmerkung: Wenn Du nicht weißt, wie Du Deinen Computer dazu bringst, von CD zu booten, dann folge diesen Schritten hier.
Dein System sollte nach einigen Minuten diesen REATOGO-X-PE Desktop anzeigen.

http://image.hijackthis.de/upload/otlpe.jpg
Mache einen Doppelklick auf das OTLPE Icon.
Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" angehakt ist und drücke OK.
OTLpe sollte nun starten.

http://image.hijackthis.de/upload/otlpe2.jpg
Drücke Run Scan, um den Scan zu starten.
Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt gesichert und mit Notepad++ geöffnet.
Anonymisiere Realnachnamen durch 5 Sternchen *****, am besten im Editor durch "Suchen und Ersetzen".
Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
Füge die beiden Logfiles OTL.txt und Extras.txt als Anhang ein, indem Du unterhalb des Textfeldes auf Erweitert klickst und die Logdateien einzeln über Anhänge verwalten hochlädst.

Falls Du kein Brennprogramm hast:

ISOBurner
Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen.
Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD.

Zitat:

Bitte alle Ergebnisse im Code-Tags posten!

vor dein Log schreibst Du (also am Anfang des Logfiles):[code]
hier kommt dein Logfile rein
dahinter - also am Ende der Logdatei:[/code]

** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw

gruß
kira

Ich bedanke mich für die schnelle Antwort und werde heute die Anweisungen befolgen da ich heute erst eine CD bekomme.

Ich habe jetzt den Scan ausgeführt und habe nur eine OTL.txt Datei erhalten also C:\OTL.txt. Die Extras.txt habe ich nicht gefunden und die hat sich nach dem Scan auch nicht geöffnet.

Aber hir einmal die OTL.txt:

OTL Logfile:

Code:

OTL logfile created on: 5/28/2012 7:33:55 AM - Run 

OTLPE by OldTimer - Version 3.1.48.0     Folder = X:\Programs\OTLPE

Microsoft Windows XP Service Pack 3 (Version = 5.1.2600) - Type = SYSTEM

Internet Explorer (Version = 8.0.6001.18702)

Locale: 00000C07 | Country: Österreich | Language: DEA | Date Format: dd.MM.yyyy

 

1,023.00 Mb Total Physical Memory | 831.00 Mb Available Physical Memory | 81.00% Memory free

906.00 Mb Paging File | 851.00 Mb Available in Paging File | 94.00% Paging File free

Paging file location(s): c:\pagefile.sys 1536 3072 [binary data]

 

%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme

Drive C: | 51.25 Gb Total Space | 37.74 Gb Free Space | 73.63% Space Free | Partition Type: NTFS

Drive X: | 436.59 Mb Total Space | 0.00 Mb Free Space | 0.00% Space Free | Partition Type: CDFS

 

Computer Name: REATOGO | User Name: SYSTEM

Boot Mode: Normal | Scan Mode: All users

Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days

Using ControlSet: ControlSet001

 
 ========== Win32 Services (SafeList) ==========

 

SRV - File not found [On_Demand] --  -- (PsaSrv)

SRV - [2012/05/12 09:15:52 | 000,086,224 | ---- | M] (Avira Operations GmbH & Co. KG) [Auto] -- C:\Programme\Avira\AntiVir Desktop\sched.exe -- (AntiVirSchedulerService)

SRV - [2012/05/12 09:15:50 | 000,110,032 | ---- | M] (Avira Operations GmbH & Co. KG) [Auto] -- C:\Programme\Avira\AntiVir Desktop\avguard.exe -- (AntiVirService)

SRV - [2012/05/05 12:34:28 | 000,129,976 | ---- | M] (Mozilla Foundation) [On_Demand] -- C:\Programme\Mozilla Maintenance Service\maintenanceservice.exe -- (MozillaMaintenance)

SRV - [2012/04/04 12:47:32 | 000,161,664 | ---- | M] (Oracle Corporation) [Auto] -- C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\jqs.exe -- (JavaQuickStarterService)

SRV - [2012/01/04 07:32:36 | 000,718,888 | ---- | M] (Nokia) [On_Demand] -- C:\Programme\PC Connectivity Solution\ServiceLayer.exe -- (ServiceLayer)

SRV - [2007/12/18 05:48:40 | 000,196,704 | ---- | M] (OptionNV) [Auto] -- C:\Programme\T-Mobile\web'n'walk Manager\GtDetectSc.exe -- (GtDetectSc)

SRV - [2006/10/26 14:49:34 | 000,441,136 | ---- | M] (Microsoft Corporation) [On_Demand] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE12\ODSERV.EXE -- (odserv)

SRV - [2006/10/26 09:03:08 | 000,145,184 | ---- | M] (Microsoft Corporation) [On_Demand] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE -- (ose)

SRV - [2006/10/26 08:40:34 | 000,335,872 | ---- | M] (Microsoft Corporation) [Auto] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe -- (MDM)

SRV - [2004/11/09 06:53:00 | 000,073,728 | ---- | M] (IBM Corp.) [Auto] -- C:\WINDOWS\system32\QCONSVC.EXE -- (QCONSVC)

SRV - [2004/09/24 19:11:50 | 000,040,547 | ---- | M] (UPEK Inc.) [Auto] -- C:\Programme\Gemeinsame Dateien\Virtual Token\vtserver.exe -- (vtserver)

SRV - [2004/07/16 23:24:24 | 000,036,864 | ---- | M] () [On_Demand] -- C:\WINDOWS\system32\acs.exe -- (ACS)

SRV - [2004/03/19 16:21:10 | 000,339,968 | ---- | M] () [Auto] -- C:\Programme\IBM\IBM Rapid Restore Ultra\rrpcsb.exe -- (IBM Rapid Restore Ultra Service)

SRV - [2003/07/11 21:19:22 | 000,032,768 | ---- | M] () [Auto] -- C:\WINDOWS\system32\TpKmpSvc.exe -- (TpKmpSVC)

 

 
 ========== Driver Services (SafeList) ==========

 

DRV - File not found [Kernel | On_Demand] --  -- (WDICA)

DRV - File not found [Kernel | On_Demand] --  -- (PDRFRAME)

DRV - File not found [Kernel | On_Demand] --  -- (PDRELI)

DRV - File not found [Kernel | On_Demand] --  -- (PDFRAME)

DRV - File not found [Kernel | On_Demand] --  -- (PDCOMP)

DRV - File not found [Kernel | System] --  -- (PCIDump)

DRV - File not found [Kernel | System] --  -- (lbrtfdc)

DRV - File not found [Kernel | On_Demand] --  -- (filtertdidriver)

DRV - File not found [Kernel | System] --  -- (Changer)

DRV - [2012/05/12 09:15:53 | 000,137,928 | ---- | M] (Avira GmbH) [Kernel | System] -- C:\WINDOWS\system32\drivers\avipbb.sys -- (avipbb)

DRV - [2012/05/12 09:15:53 | 000,083,392 | ---- | M] (Avira GmbH) [File_System | Auto] -- C:\WINDOWS\system32\drivers\avgntflt.sys -- (avgntflt)

DRV - [2011/11/01 04:07:26 | 000,018,176 | ---- | M] (Nokia) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ccdcmb.sys -- (nmwcd)

DRV - [2011/11/01 04:07:26 | 000,008,192 | ---- | M] (Nokia) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\usbser_lowerfltj.sys -- (UsbserFilt)

DRV - [2011/11/01 04:07:26 | 000,008,192 | ---- | M] (Nokia) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\usbser_lowerflt.sys -- (upperdev)

DRV - [2011/11/01 04:07:24 | 000,023,168 | ---- | M] (Nokia) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ccdcmbo.sys -- (nmwcdc)

DRV - [2011/09/16 10:08:07 | 000,036,000 | ---- | M] (Avira GmbH) [Kernel | System] -- C:\WINDOWS\system32\drivers\avkmgr.sys -- (avkmgr)

DRV - [2010/03/02 08:52:08 | 000,105,856 | ---- | M] (ZTE Incorporated) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ZTEusbser6k.sys -- (ZTEusbser6k)

DRV - [2010/03/02 08:52:08 | 000,105,856 | ---- | M] (ZTE Incorporated) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ZTEusbnmea.sys -- (ZTEusbnmea)

DRV - [2010/03/02 08:52:08 | 000,105,856 | ---- | M] (ZTE Incorporated) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ZTEusbmdm6k.sys -- (ZTEusbmdm6k)

DRV - [2010/02/22 04:06:42 | 000,009,216 | ---- | M] (MBB Incorporated) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\massfilter.sys -- (massfilter)

DRV - [2009/12/07 14:53:12 | 000,102,912 | ---- | M] (Huawei Technologies Co., Ltd.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ewusbmdm.sys -- (hwdatacard)

DRV - [2009/10/12 10:21:54 | 000,100,736 | ---- | M] (Huawei Technologies Co., Ltd.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ewusbdev.sys -- (hwusbdev)

DRV - [2009/10/08 10:55:33 | 000,028,520 | ---- | M] (Avira GmbH) [Kernel | System] -- C:\WINDOWS\system32\drivers\ssmdrv.sys -- (ssmdrv)

DRV - [2009/05/15 12:15:14 | 000,214,024 | ---- | M] (McAfee, Inc.) [Kernel | System] -- C:\WINDOWS\system32\drivers\mfehidk.sys -- (mfehidk)

DRV - [2009/05/15 12:15:14 | 000,079,816 | ---- | M] (McAfee, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\mfeavfk.sys -- (MfeAVFK)

DRV - [2009/05/15 12:15:14 | 000,055,336 | ---- | M] (McAfee, Inc.) [Kernel | System] -- C:\WINDOWS\system32\drivers\mfetdik.sys -- (mfetdik)

DRV - [2009/05/15 12:15:14 | 000,035,272 | ---- | M] (McAfee, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\mfebopk.sys -- (MfeBOPK)

DRV - [2009/05/15 12:15:14 | 000,034,248 | ---- | M] (McAfee, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\mferkdk.sys -- (MfeRKDK)

DRV - [2008/08/26 03:26:12 | 000,018,816 | ---- | M] (Nokia) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\pccsmcfd.sys -- (pccsmcfd)

DRV - [2008/04/14 08:00:00 | 000,036,480 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\bthprint.sys -- (BTHprint)

DRV - [2008/04/14 01:21:02 | 000,701,952 | ---- | M] (ATI Technologies Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ati2mtag.sys -- (ati2mtag)

DRV - [2008/02/18 10:14:38 | 000,106,624 | ---- | M] (Option N.V.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\Gt51Ip.sys -- (GT72NDISIPXP)

DRV - [2008/02/08 09:39:06 | 000,004,864 | ---- | M] (Option N.V.) [Kernel | System] -- C:\WINDOWS\system32\drivers\GtTdiFltr.sys -- (GtTdiFltr)

DRV - [2008/02/08 06:00:22 | 000,059,648 | ---- | M] (Option N.V.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\gt72ubus.sys -- (GT72UBUS)

DRV - [2007/08/06 07:30:18 | 000,018,816 | ---- | M] (Bytemobile, Inc.) [Kernel | System] -- C:\WINDOWS\System32\drivers\tcpipBM.sys -- (tcpipBM)

DRV - [2007/05/30 18:40:08 | 000,015,781 | ---- | M] (Meetinghouse Data Communications) [Kernel | Auto] -- C:\WINDOWS\system32\drivers\mdc8021x.sys -- (MDC8021X) AEGIS Protocol (IEEE 802.1x)

DRV - [2007/05/30 16:54:12 | 000,013,312 | ---- | M] (Windows (R) 2000 DDK provider) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\psadd.sys -- (psadd)

DRV - [2007/03/30 06:38:14 | 000,008,064 | ---- | M] (Option N.V.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\gtptser.sys -- (GTPTSER)

DRV - [2004/11/09 06:53:00 | 000,012,288 | ---- | M] (IBM Corporation.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\qcndisif.sys -- (QCNDISIF)

DRV - [2004/11/09 06:53:00 | 000,011,520 | ---- | M] (IBM Corp.) [Kernel | System] -- C:\WINDOWS\system32\drivers\ANC.sys -- (ANC)

DRV - [2004/11/09 06:53:00 | 000,002,432 | ---- | M] () [Kernel | System] -- C:\WINDOWS\system32\drivers\IBMBLDID.SYS -- (IBMTPCHK)

DRV - [2004/09/23 20:39:58 | 000,064,256 | ---- | M] (IBM) [Kernel | Auto] -- C:\WINDOWS\system32\drivers\ibmfilter.sys -- (ibmfilter)

DRV - [2004/07/29 04:37:00 | 000,016,384 | ---- | M] (IBM Corp.) [Kernel | System] -- C:\WINDOWS\system32\drivers\TPPWR.SYS -- (TPPWR)

DRV - [2004/07/29 04:36:00 | 000,014,848 | ---- | M] (Microsoft Corporation) [Kernel | System] -- C:\WINDOWS\system32\drivers\SMAPINT.SYS -- (Smapint)

DRV - [2004/07/29 04:36:00 | 000,009,341 | ---- | M] () [Kernel | Disabled] -- C:\WINDOWS\system32\drivers\TDSMAPI.SYS -- (TDSMAPI)

DRV - [2004/07/22 21:41:42 | 000,393,408 | ---- | M] (Atheros Communications, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\ar5211.sys -- (AR5211)

DRV - [2004/07/22 18:25:58 | 000,197,888 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\HSFHWICH.sys -- (HSFHWICH)

DRV - [2004/07/22 18:24:52 | 000,676,096 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\HSF_CNXT.sys -- (winachsf)

DRV - [2004/07/22 18:24:20 | 001,041,152 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\HSF_DP.sys -- (HSF_DP)

DRV - [2004/07/15 05:31:00 | 000,007,168 | ---- | M] () [Kernel | System] -- C:\WINDOWS\system32\drivers\TSMAPIP.SYS -- (TSMAPIP)

DRV - [2003/05/30 06:04:48 | 000,016,800 | ---- | M] (HP) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\hppaufd0.sys -- (dot4ufd)

DRV - [2003/05/30 05:55:24 | 000,050,392 | ---- | M] (Hewlett-Packard) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\HPZs2k12.sys -- (HPZs2k12) Storage Class Driver for IEEE-1284.4 (HPZ12)

DRV - [2001/11/01 05:57:14 | 000,095,104 | ---- | M] (S3 Graphics, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\s3ssavm.sys -- (S3SSavage)

DRV - [2001/08/17 16:48:14 | 000,011,520 | ---- | M] (IBM Corporation) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\TwoTrack.sys -- (TwoTrack)

DRV - [2001/08/17 16:28:10 | 000,802,683 | ---- | M] (Lucent Technologies) [Kernel | On_Demand] -- C:\WINDOWS\system32\drivers\LTSM.sys -- (LucentSoftModem)

 

 
 ========== Standard Registry (SafeList) ==========

 

 
 ========== Internet Explorer ==========

 

 

 

IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

IE - HKU\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

IE - HKU\Erzieher_ON_C\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.at/

IE - HKU\Erzieher_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

IE - HKU\LocalService_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

IE - HKU\NetworkService_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

 

 

FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll ()

FF - HKLM\Software\MozillaPlugins\@java.com/DTPlugin,version=10.4.1: C:\WINDOWS\system32\npDeployJava1.dll (Oracle Corporation)

FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin,version=10.4.1: C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\plugin2\npjp2.dll (Oracle Corporation)

 

FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 12.0\extensions\\Components: C:\Programme\Mozilla Firefox\components [2012/05/05 12:34:28 | 000,000,000 | ---D | M]

FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 12.0\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins

FF - HKEY_LOCAL_MACHINE\software\mozilla\Thunderbird\Extensions\\te_9.0@nokia.com: C:\Programme\Nokia\Nokia Suite\Connectors\Thunderbird Connector\ThunderbirdExtension_9.0 [2012/04/04 01:08:23 | 000,000,000 | ---D | M]

 

[2011/07/30 13:17:13 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions

[2012/05/05 12:34:27 | 000,097,208 | ---- | M] (Mozilla Foundation) -- C:\Programme\mozilla firefox\components\browsercomps.dll

[2012/02/02 10:24:06 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml

[2012/02/02 10:24:06 | 000,002,252 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\bing.xml

[2012/02/02 10:24:06 | 000,001,153 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml

[2012/02/02 10:24:06 | 000,006,805 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml

[2012/02/02 10:24:06 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml

[2012/02/02 10:24:06 | 000,001,105 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml

 

O1 HOSTS File: ([2001/08/18 07:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts

O1 - Hosts: 127.0.0.1       localhost

O2 - BHO: (Adobe PDF Reader) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated)

O2 - BHO: (DriveLetterAccess) - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll (Sonic Solutions)

O2 - BHO: (Java(tm) Plug-In SSV Helper) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\ssv.dll (Oracle Corporation)

O2 - BHO: (Java(tm) Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\jp2ssv.dll (Oracle Corporation)

O3 - HKU\Erzieher_ON_C\..\Toolbar\ShellBrowser: (no name) - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - No CLSID value found.

O4 - HKLM..\Run: []  File not found

O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira Operations GmbH & Co. KG)

O4 - HKLM..\Run: [BluetoothAuthenticationAgent] C:\WINDOWS\System32\bthprops.cpl (Microsoft Corporation)

O4 - HKLM..\Run: [BMMLREF] C:\Programme\ThinkPad\Utilities\BMMLREF.EXE ()

O4 - HKLM..\Run: [BMMMONWND] C:\Programme\ThinkPad\Utilities\BATINFEX.DLL (IBM Corp.)

O4 - HKLM..\Run: [ControlCenter] C:\Programme\IBM fingerprint software\ctlcntr.exe (UPEK Inc.)

O4 - HKLM..\Run: [ibmmessages] C:\Programme\IBM\Messages By IBM\\ibmmessages.exe ()

O4 - HKLM..\Run: [IBMPRC] C:\IBMTOOLS\utils\ibmprc.exe (IBM Corp.)

O4 - HKLM..\Run: [Lexmark X1100 Series] C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe (Lexmark International, Inc.)

O4 - HKLM..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe (Ahead Software Gmbh)

O4 - HKLM..\Run: [QCWLICON] C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE (IBM Corp.)

O4 - HKLM..\Run: [S3TRAY2] C:\WINDOWS\System32\S3Tray2.exe (S3 Graphics, Inc.)

O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)

O4 - HKLM..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe (Synaptics, Inc.)

O4 - HKLM..\Run: [TP4EX] C:\WINDOWS\System32\TP4EX.exe (IBM Corporation)

O4 - HKLM..\Run: [TPHOTKEY] C:\Programme\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe ()

O4 - HKLM..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe (IBM Corp.)

O4 - HKLM..\Run: [UC_SMB]  File not found

O4 - HKLM..\Run: [UC_Start] C:\Programme\IBM\Updater\\ucstartup.exe ()

O4 - HKLM..\Run: [UpdateManager] C:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe (Sonic Solutions)

O4 - HKU\Erzieher_ON_C..\Run: []  File not found

O4 - HKU\Erzieher_ON_C..\Run: [80B95DFE] C:\WINDOWS\system32\324BC60380B95DFE843B.exe (We bello comè?)

O4 - HKU\Erzieher_ON_C..\Run: [ibmmessages] C:\Programme\IBM\Messages By IBM\ibmmessages.exe (IBM)

O4 - HKU\Erzieher_ON_C..\Run: [NBJ] C:\Programme\Ahead\Nero BackItUp\NBJ.exe (Ahead Software AG)

O4 - HKU\Erzieher_ON_C..\Run: [NokiaSuite.exe] C:\Programme\Nokia\Nokia Suite\NokiaSuite.exe (Nokia)

O4 - HKU\Erzieher_ON_C..\Run: [userini] C:\WINDOWS\explorer.exe (Microsoft Corporation)

O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk = C:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe ()

O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\web'n'walk Manager.lnk = C:\Programme\T-Mobile\web'n'walk Manager\web'n'walk Manager.exe (T-Mobile Austria)

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoCDBurning = 0

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: userini = C:\WINDOWS\explorer.exe:userini.exe (Microsoft Corporation)

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1

O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: userini = C:\WINDOWS\explorer.exe:userini.exe (Microsoft Corporation)

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1

O7 - HKU\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O9 - Extra 'Tools' menuitem : Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - Reg Error: Key error. File not found

O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)

O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)

O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)

O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)

O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)

O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)

O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)

O18 - Protocol\Handler\ms-help {314111c7-a502-11d2-bbca-00c04f8ec294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll (Microsoft Corporation)

O18 - Protocol\Filter\text/xml {807563E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE12\MSOXMLMF.DLL (Microsoft Corporation)

O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)

O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\324BC60380B95DFE843B.exe) - C:\WINDOWS\system32\324BC60380B95DFE843B.exe (We bello comè?)

O20 - HKU\Erzieher_ON_C Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)

O20 - Winlogon\Notify\AtiExtEvent: DllName - Ati2evxx.dll - C:\WINDOWS\System32\ati2evxx.dll ()

O20 - Winlogon\Notify\psfus: DllName - C:\Programme\IBM fingerprint software\psfus.dll - C:\Programme\IBM fingerprint software\psfus.dll (UPEK Inc.)

O20 - Winlogon\Notify\QConGina: DllName - QConGina.dll - C:\WINDOWS\System32\QConGina.dll (IBM Corp.)

O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home

O24 - Desktop WallPaper: C:\WINDOWS\Web\Wallpaper\Grüne Idylle.bmp

O24 - Desktop BackupWallPaper: C:\WINDOWS\Web\Wallpaper\Grüne Idylle.bmp

O27 - HKLM IFEO\msconfig.exe: Debugger - P9KDMF.EXE File not found

O27 - HKLM IFEO\regedit.exe: Debugger - P9KDMF.EXE File not found

O27 - HKLM IFEO\taskmgr.exe: Debugger - P9KDMF.EXE File not found

O28 - HKLM ShellExecuteHooks: {56F9679E-7826-4C84-81F3-532071A8BCC5} - C:\Programme\Windows Desktop Search\MSNLNamespaceMgr.dll (Microsoft Corporation)

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2008/12/17 15:21:57 | 000,000,000 | -H-- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

O32 - AutoRun File - [2006/03/24 07:06:41 | 000,000,053 | R--- | M] () - X:\AUTORUN.INF -- [ CDFS ]

O34 - HKLM BootExecute: (autocheck autochk *) -  File not found

O35 - HKLM\..comfile [open] -- "%1" %*

O35 - HKLM\..exefile [open] -- "%1" %*

O37 - HKLM\...com [@ = comfile] -- "%1" %*

O37 - HKLM\...exe [@ = exefile] -- "%1" %*

 
 ========== Files/Folders - Created Within 30 Days ==========

 

[2012/05/26 00:43:43 | 000,000,000 | ---D | C] -- C:\Temp

[2012/05/24 09:49:20 | 000,000,000 | ---D | C] -- C:\Kaspersky Rescue Disk 10.0

[2012/05/23 23:19:18 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nrfequ

[2012/05/23 23:18:40 | 000,069,632 | -H-- | C] (We bello comè?) -- C:\WINDOWS\System32\324BC60380B95DFE843B.exe

[2012/05/23 23:18:28 | 000,000,000 | -H-D | C] -- C:\WINDOWS\PIF

[2012/05/18 17:13:50 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\DVDVideoSoftIEHelpers

[2012/05/18 17:13:36 | 002,557,952 | ---- | C] (Nokia Corporation and/or its subsidiary(-ies)) -- C:\WINDOWS\System32\QtCore4.dll

[2012/05/18 17:13:36 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\DVDVideoSoft

[2012/05/18 17:13:29 | 000,405,176 | ---- | C] (Newtonsoft) -- C:\WINDOWS\System32\Newtonsoft.Json.Net20.dll

[2012/05/18 17:13:19 | 000,000,000 | ---D | C] -- C:\Programme\Gemeinsame Dateien\DVDVideoSoft

[2012/05/18 17:13:19 | 000,000,000 | ---D | C] -- C:\Programme\DVDVideoSoft

[2012/05/18 17:12:36 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\DVDVideoSoft

[2012/05/18 17:10:08 | 000,000,000 | -HSD | C] -- C:\Config.Msi

[2012/05/16 13:44:03 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Erzieher\Lokale Einstellungen\Anwendungsdaten\Sun

[2012/05/16 13:41:10 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Sun

[2012/05/16 13:38:45 | 000,000,000 | ---D | C] -- C:\Programme\Oracle

[2012/05/16 13:38:37 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Oracle

[2012/05/16 13:38:29 | 000,772,504 | ---- | C] (Oracle Corporation) -- C:\WINDOWS\System32\npDeployJava1.dll

[2012/05/16 13:38:29 | 000,687,504 | ---- | C] (Oracle Corporation) -- C:\WINDOWS\System32\deployJava1.dll

[2012/05/16 13:38:29 | 000,227,720 | ---- | C] (Oracle Corporation) -- C:\WINDOWS\System32\javaws.exe

[2012/05/16 13:38:29 | 000,143,872 | ---- | C] (Oracle Corporation) -- C:\WINDOWS\System32\javacpl.cpl

[2012/05/16 13:38:20 | 000,174,024 | ---- | C] (Oracle Corporation) -- C:\WINDOWS\System32\javaw.exe

[2012/05/16 13:38:20 | 000,174,024 | ---- | C] (Oracle Corporation) -- C:\WINDOWS\System32\java.exe

[2012/05/05 12:34:33 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Mozilla

[2012/05/05 12:34:32 | 000,000,000 | ---D | C] -- C:\Programme\Mozilla Maintenance Service

[2007/05/30 16:26:03 | 000,151,552 | ---- | C] ( ) -- C:\WINDOWS\System32\ATIDEMGR.dll

[4 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]

[4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]

 
 ========== Files - Modified Within 30 Days ==========

 

[2012/05/26 05:35:46 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat

[2012/05/26 04:18:06 | 000,000,664 | ---- | M] () -- C:\WINDOWS\System32\d3d9caps.dat

[2012/05/26 04:16:24 | 000,002,300 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl

[2012/05/24 01:44:05 | 005,373,952 | ---- | M] () -- C:\Dokumente und Einstellungen\Erzieher\Desktop\Gruppenbuch3.2.accdb

[2012/05/23 23:18:40 | 000,069,632 | -H-- | M] (We bello comè?) -- C:\WINDOWS\System32\324BC60380B95DFE843B.exe

[2012/05/23 19:38:57 | 000,002,503 | ---- | M] () -- C:\Dokumente und Einstellungen\Erzieher\Desktop\Microsoft Office Word 2007.lnk

[2012/05/18 17:13:44 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\DVDVideoSoft

[2012/05/18 17:13:36 | 000,001,034 | ---- | M] () -- C:\Dokumente und Einstellungen\Erzieher\Desktop\Free YouTube to MP3 Converter.lnk

[2012/05/18 17:11:45 | 000,450,078 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat

[2012/05/18 17:11:45 | 000,409,066 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat

[2012/05/18 17:11:45 | 000,087,758 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat

[2012/05/18 17:11:45 | 000,064,458 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat

[2012/05/16 13:37:56 | 000,174,024 | ---- | M] (Oracle Corporation) -- C:\WINDOWS\System32\javaw.exe

[2012/05/16 13:37:56 | 000,174,024 | ---- | M] (Oracle Corporation) -- C:\WINDOWS\System32\java.exe

[2012/05/12 09:15:53 | 000,137,928 | ---- | M] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avipbb.sys

[2012/05/12 09:15:53 | 000,083,392 | ---- | M] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avgntflt.sys

[2012/05/11 15:50:50 | 000,481,078 | ---- | M] () -- C:\WINDOWS\System32\winsh323

[2012/05/11 15:50:40 | 000,481,078 | ---- | M] () -- C:\WINDOWS\System32\winsh322

[2012/05/11 15:50:32 | 000,481,078 | ---- | M] () -- C:\WINDOWS\System32\winsh321

[2012/05/11 15:50:22 | 000,481,078 | ---- | M] () -- C:\WINDOWS\System32\winsh320

[2012/05/05 10:16:40 | 002,228,224 | ---- | M] () -- C:\Dokumente und Einstellungen\Erzieher\Eigene Dateien\Gruppenbuch3.2.accdb

[2012/05/05 10:15:20 | 003,014,656 | ---- | M] () -- C:\Dokumente und Einstellungen\Erzieher\Eigene Dateien\Gruppenbuch3.1.accdb

[2012/05/05 09:41:49 | 004,104,192 | ---- | M] () -- C:\Dokumente und Einstellungen\Erzieher\Eigene Dateien\Gruppenbuch3.1_Backup.accdb

[2012/05/04 11:35:40 | 000,000,853 | ---- | M] () -- C:\Dokumente und Einstellungen\Erzieher\Desktop\Verknüpfung mit springerinfo.lnk

[2012/04/30 16:45:08 | 000,012,616 | ---- | M] () -- C:\Dokumente und Einstellungen\Erzieher\Desktop\Übergabe.dotx

[4 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]

[4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]

 
 ========== Files Created - No Company Name ==========

 

[2012/05/23 23:19:46 | 000,481,078 | ---- | C] () -- C:\WINDOWS\System32\winsh325

[2012/05/23 23:19:46 | 000,481,078 | ---- | C] () -- C:\WINDOWS\System32\winsh324

[2012/05/23 23:19:46 | 000,481,078 | ---- | C] () -- C:\WINDOWS\System32\winsh323

[2012/05/23 23:19:46 | 000,481,078 | ---- | C] () -- C:\WINDOWS\System32\winsh322

[2012/05/23 23:19:46 | 000,481,078 | ---- | C] () -- C:\WINDOWS\System32\winsh321

[2012/05/23 23:19:46 | 000,481,078 | ---- | C] () -- C:\WINDOWS\System32\winsh320

[2012/05/18 17:13:36 | 000,001,034 | ---- | C] () -- C:\Dokumente und Einstellungen\Erzieher\Desktop\Free YouTube to MP3 Converter.lnk

[2012/05/05 10:16:36 | 002,228,224 | ---- | C] () -- C:\Dokumente und Einstellungen\Erzieher\Eigene Dateien\Gruppenbuch3.2.accdb

[2012/05/05 09:42:07 | 004,104,192 | ---- | C] () -- C:\Dokumente und Einstellungen\Erzieher\Eigene Dateien\Gruppenbuch3.1_Backup.accdb

[2012/04/30 16:45:08 | 000,012,616 | ---- | C] () -- C:\Dokumente und Einstellungen\Erzieher\Desktop\Übergabe.dotx

[2012/04/03 16:47:04 | 092,179,016 | ---- | C] () -- C:\Programme\Nokia_Suite_webinstaller_ALL.exe

[2011/08/06 08:29:11 | 000,000,664 | ---- | C] () -- C:\WINDOWS\System32\d3d9caps.dat

[2011/07/30 13:17:30 | 000,000,000 | ---- | C] () -- C:\WINDOWS\nsreg.dat

[2010/09/20 16:23:25 | 000,000,365 | ---- | C] () -- C:\WINDOWS\lexstat.ini

[2010/09/20 16:21:47 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\lxbkvs.dll

[2010/09/20 16:21:45 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\LXBKIH.EXE

[2010/09/20 16:21:45 | 000,077,824 | ---- | C] () -- C:\WINDOWS\System32\LXBKLCNP.DLL

[2010/09/20 16:21:41 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\INSTMON.EXE

[2010/09/20 16:21:01 | 000,000,266 | ---- | C] () -- C:\WINDOWS\System32\lxbkcoin.ini

[2010/06/08 09:19:24 | 000,692,224 | ---- | C] () -- C:\WINDOWS\System32\libeay32.dll

[2010/06/08 09:19:24 | 000,151,552 | ---- | C] () -- C:\WINDOWS\System32\ssleay32.dll

[2010/04/20 10:31:43 | 000,936,832 | ---- | C] () -- C:\WINDOWS\System32\M2ElevatedCalls.dll

[2009/04/13 14:53:12 | 000,008,192 | ---- | C] () -- C:\Dokumente und Einstellungen\Erzieher\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini

[2008/05/26 16:23:36 | 000,016,834 | ---- | C] () -- C:\WINDOWS\System32\gthrctr.ini

[2008/05/26 16:23:34 | 000,024,188 | ---- | C] () -- C:\WINDOWS\System32\idxcntrs.ini

[2008/05/26 16:23:32 | 000,016,568 | ---- | C] () -- C:\WINDOWS\System32\gsrvctr.ini

[2008/05/26 15:59:42 | 000,018,904 | ---- | C] () -- C:\WINDOWS\System32\structuredqueryschematrivial.bin

[2008/05/26 15:59:40 | 000,106,605 | ---- | C] () -- C:\WINDOWS\System32\structuredqueryschema.bin

[2008/04/14 08:00:00 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin

[2008/04/14 08:00:00 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat

[2008/04/14 08:00:00 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat

[2008/04/14 08:00:00 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat

[2008/04/14 08:00:00 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat

[2008/04/14 08:00:00 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin

[2008/04/14 08:00:00 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat

[2008/04/14 08:00:00 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat

[2008/04/14 08:00:00 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat

[2008/04/14 08:00:00 | 000,004,463 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat

[2008/04/14 08:00:00 | 000,001,804 | ---- | C] () -- C:\WINDOWS\System32\Dcache.bin

[2007/05/30 18:43:17 | 000,110,592 | ---- | C] () -- C:\WINDOWS\_tpiu000.exe

[2007/05/30 18:43:07 | 000,061,440 | ---- | C] () -- C:\WINDOWS\System32\FPCALL.dll

[2007/05/30 18:42:20 | 000,009,341 | ---- | C] () -- C:\WINDOWS\System32\drivers\TDSMAPI.SYS

[2007/05/30 18:40:48 | 000,102,400 | ---- | C] () -- C:\WINDOWS\System32\TpShocks.exe

[2007/05/30 18:40:37 | 000,032,768 | ---- | C] () -- C:\WINDOWS\System32\TpKmpSvc.exe

[2007/05/30 18:40:25 | 000,036,864 | ---- | C] () -- C:\WINDOWS\System32\acs.exe

[2007/05/30 18:40:00 | 000,110,592 | ---- | C] () -- C:\WINDOWS\System32\AegisI5.exe

[2007/05/30 16:59:44 | 000,000,061 | ---- | C] () -- C:\WINDOWS\smscfg.ini

[2007/05/30 16:59:03 | 000,184,320 | ---- | C] () -- C:\WINDOWS\TPBATHLP.EXE

[2007/05/30 16:58:11 | 000,028,672 | ---- | C] () -- C:\WINDOWS\System32\JAWTAccessBridge.dll

[2007/05/30 16:57:40 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\PcdrKernelModeServices.dll

[2007/05/30 16:57:40 | 000,065,536 | ---- | C] () -- C:\WINDOWS\System32\ProgressTrace.dll

[2007/05/30 16:57:03 | 000,002,432 | ---- | C] () -- C:\WINDOWS\System32\drivers\IBMBLDID.SYS

[2007/05/30 16:54:25 | 000,032,256 | ---- | C] () -- C:\WINDOWS\System32\drivers\psasrv.exe

[2007/05/30 16:51:20 | 000,204,800 | ---- | C] () -- C:\WINDOWS\System32\IVIresizeW7.dll

[2007/05/30 16:51:20 | 000,200,704 | ---- | C] () -- C:\WINDOWS\System32\IVIresizeA6.dll

[2007/05/30 16:51:20 | 000,192,512 | ---- | C] () -- C:\WINDOWS\System32\IVIresizeP6.dll

[2007/05/30 16:51:20 | 000,192,512 | ---- | C] () -- C:\WINDOWS\System32\IVIresizeM6.dll

[2007/05/30 16:51:20 | 000,188,416 | ---- | C] () -- C:\WINDOWS\System32\IVIresizePX.dll

[2007/05/30 16:51:20 | 000,020,480 | ---- | C] () -- C:\WINDOWS\System32\IVIresize.dll

[2007/05/30 16:50:14 | 000,000,138 | ---- | C] () -- C:\WINDOWS\wininit.ini

[2007/05/30 16:49:48 | 000,053,248 | ---- | C] () -- C:\WINDOWS\System32\pxhpinst.exe

[2007/05/30 16:34:34 | 000,002,285 | ---- | C] () -- C:\WINDOWS\System32\OEMINFO.INI

[2007/05/30 16:26:02 | 000,389,120 | ---- | C] () -- C:\WINDOWS\System32\ati2evxx.exe

[2007/05/30 16:26:02 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\ati2evxx.dll

[2004/11/08 20:12:56 | 000,000,000 | ---- | C] () -- C:\WINDOWS\System32\px.ini

[2004/03/19 15:12:10 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\pwdmon.dll

[2004/03/19 15:12:10 | 000,019,692 | ---- | C] () -- C:\WINDOWS\ibmprc.ini

[2004/01/09 09:10:32 | 000,143,360 | ---- | C] () -- C:\WINDOWS\System32\AIBMRUNL.dll

[2003/02/24 18:52:33 | 000,000,849 | ---- | C] () -- C:\WINDOWS\orun32.ini

[2003/02/24 18:48:56 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat

[2003/02/24 18:41:25 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat

[2003/02/24 18:35:29 | 000,004,161 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI

[2003/02/24 18:34:38 | 000,265,416 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT

[2002/01/21 18:48:12 | 000,106,496 | ---- | C] () -- C:\WINDOWS\desktopset.exe

[1980/01/01 03:00:00 | 000,450,078 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat

[1980/01/01 03:00:00 | 000,409,066 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat

[1980/01/01 03:00:00 | 000,131,072 | ---- | C] () -- C:\WINDOWS\System32\e1000msg.dll

[1980/01/01 03:00:00 | 000,087,758 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat

[1980/01/01 03:00:00 | 000,077,824 | ---- | C] () -- C:\WINDOWS\System32\SynTPCoI.dll

[1980/01/01 03:00:00 | 000,064,458 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat

[1980/01/01 03:00:00 | 000,057,344 | ---- | C] () -- C:\WINDOWS\System32\ibmpmsvc.exe

[1980/01/01 03:00:00 | 000,049,152 | ---- | C] () -- C:\WINDOWS\System32\tpinspm.dll

[1980/01/01 03:00:00 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat

 
 ========== LOP Check ==========

 

[2012/05/18 17:14:15 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\DVDVideoSoft

[2012/05/18 17:13:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\DVDVideoSoftIEHelpers

[2010/09/30 09:54:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\IBM

[2012/04/04 01:20:33 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nokia

[2012/04/04 01:20:35 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nokia Suite

[2012/05/23 23:19:18 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nrfequ

[2012/05/16 13:38:37 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Oracle

[2012/04/03 16:15:27 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\PC Suite

[2010/10/28 04:31:38 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\T-Mobile

[2011/06/19 08:14:44 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Windows Desktop Search

[2011/06/19 11:40:41 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Windows Search

[2007/05/30 16:50:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\IBM

[2012/04/03 16:08:49 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Installations

[2011/11/04 18:37:44 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\mquadr.at

[2012/04/04 01:08:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Nokia

[2012/04/03 16:47:26 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NokiaInstallerCache

[2012/04/04 01:19:37 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PC Suite

[2011/11/04 18:35:06 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{92809A0D-A823-4253-90B2-7D5F59F20E10}

[2007/05/30 16:59:10 | 000,000,314 | ---- | M] () -- C:\WINDOWS\Tasks\BMMTask.job

 
 ========== Purity Check ==========

 

 

< End of report >

--- --- ---

Zitat:

Achtung wichtig!:
Falls Du selber im Logfile Änderungen vorgenommen hast, musst Du durch die Originalbezeichnung ersetzen und so in Script einfügen! sonst funktioniert nicht!
(Benutzerordner, dein Name oder sonstige Änderungen durch X, Stern oder andere Namen ersetzt)

Fixen mit OTLPE

Starte die OTLPE
Kopiere folgendes Skript (unverändert inkl. :OTL, also - nach dem "Code", alles was in der Codebox steht - - (also beginnend mit :OTL und am Ende [emptytemp] ohne "code"!)
:

Code:

:OTL

IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

IE - HKU\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

IE - HKU\Erzieher_ON_C\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.at/

IE - HKU\Erzieher_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

IE - HKU\LocalService_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

IE - HKU\NetworkService_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

[2012/02/02 10:24:06 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml

[2012/02/02 10:24:06 | 000,002,252 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\bing.xml

[2012/02/02 10:24:06 | 000,001,153 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml

[2012/02/02 10:24:06 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml

[2012/02/02 10:24:06 | 000,001,105 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml

O3 - HKU\Erzieher_ON_C\..\Toolbar\ShellBrowser: (no name) - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - No CLSID value found.

O4 - HKLM..\Run: []  File not found

O4 - HKU\Erzieher_ON_C..\Run: []  File not found

O4 - HKU\Erzieher_ON_C..\Run: [80B95DFE] C:\WINDOWS\system32\324BC60380B95DFE843B.exe (We bello comè?)

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1

O7 - HKU\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: userini = C:\WINDOWS\explorer.exe:userini.exe (Microsoft Corporation)

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1

O7 - HKU\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1

O7 - HKU\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\324BC60380B95DFE843B.exe) - C:\WINDOWS\system32\324BC60380B95DFE843B.exe (We bello comè?)

O27 - HKLM IFEO\msconfig.exe: Debugger - P9KDMF.EXE File not found

O27 - HKLM IFEO\regedit.exe: Debugger - P9KDMF.EXE File not found

O27 - HKLM IFEO\taskmgr.exe: Debugger - P9KDMF.EXE File not found

[2012/05/23 23:18:40 | 000,069,632 | -H-- | C] (We bello comè?) -- C:\WINDOWS\System32\324BC60380B95DFE843B.exe
 

:Files

C:\WINDOWS\system32\324BC60380B95DFE843B.exe

C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nrfequ

C:\WINDOWS\System32\winsh325

C:\WINDOWS\System32\winsh324

C:\WINDOWS\System32\winsh323

C:\WINDOWS\System32\winsh322

C:\WINDOWS\System32\winsh321

C:\WINDOWS\System32\winsh320

C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nrfequ

ipconfig /flushdns /c
 

:Commands

[purity]

[emptytemp]

und füge es hier ein: http://image.hijackthis.eu/upload/hjt1-021.jpg
Schließe alle Programme.
Klicke auf den Run Fix Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
OTL verlangt einen Neustart. Bitte zulassen.
Nach dem Neustart findest Du ein Textdokument.
Kopiere den Inhalt hier in Code-Tags in Deinen Thread.

2.
Boote neu und schaue nach, ob Du schon im normalen Modus arbeiten kannst?
wenn ja, so geht es weiter:

3.
Lade Dir Malwarebytes Anti-Malware Lade Dir Malwarebytes Anti-Malware → von hier herunter

Installieren und per Doppelklick starten.
Deutsch einstellen und gleich mal die Datenbanken zu aktualisieren - online updaten
"Komplett Scan durchführen" wählen (überall Haken setzen)
wenn der Scanvorgang beendet ist, klicke auf "Zeige Resultate"
Alle Funde in der Quarantäne verschieben, also nicht endgültig löschen lassen!
Poste das Ergebnis hier in den Thread - den Bericht findest Du unter "Scan-Berichte"

eine bebilderte Anleitung findest Du hier: Anleitung

4.
Systemscan mit OTL - nicht mehr das OTLPE starten!

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop.

Doppelklick auf die OTL.exe
Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen.
Oben findest Du ein Kästchen mit Ausgabe.
Wähle bitte Standard-Ausgabe
Unter Extra-Registrierung wähle bitte Benutze SafeList.
Mache Häckchen bei LOP- und Purity-Prüfung.
Klicke nun auf Scan links oben.

http://image.hijackthis.eu/upload/otl_screen_neu.jpg
Wenn der Scan beendet wurde werden zwei Logfiles erstellt.
Du findest die Logfiles auf Deinem Desktop => OTL.txt und Extras.txt
Poste die Logfiles in Code-Tags hier in den Thread.

5.
Um festzustellen, ob veraltete oder schädliche Software unter Programme installiert sind, ich würde gerne noch all deine installierten Programme sehen:

Download den CCleaner herunter
Software-Lizenzvereinbarung lesen, falls irgendeine Toolbar angeboten wird, bitte abwählen!-> starten -> Falls nötig, auf "Deutsch" einstellen.
starten-> klick auf `Extras` (um auf deinem System installierte Software zu anzeigen)-> dann auf `Als Textdatei speichern...`
ein Textdatei wird automatisch erstellt, poste auch dieses Logfile (also die Liste alle installierten Programme...eine Textdatei)

6.
Kontrolliere deine eigene Dateien (wie Dokumente, Musik, Bilder etc), ob der Trojaner sie nicht eventuell verschlüsselt hat?!

Zitat:

Damit dein Thread übersichtlicher und schön lesbar bleibt, am besten nutze den Code-Tags für deinen Post:
→ vor dein Log schreibst Du (also am Anfang des Logfiles):[code]
hier kommt dein Logfile rein - z.B OTL-Logfile o. sonstiges
→ dahinter - also am Ende der Logdatei: [/code]

** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw

gruß
kira

So nachdem Run Fix habe ich diese txt Datei erhalten:

Code:



========== OTL ==========

HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!

HKU\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!

HKU\Erzieher_ON_C\Software\Microsoft\Internet Explorer\Main\\Start Page| /E : value set successfully!

HKU\Erzieher_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!

HKU\LocalService_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!

HKU\NetworkService_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!

C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml moved successfully.

C:\Programme\Mozilla Firefox\searchplugins\bing.xml moved successfully.

C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml moved successfully.

C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml moved successfully.

C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml moved successfully.

Registry value HKEY_USERS\Erzieher_ON_C\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\\{42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6}\ not found.

Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.

Registry value HKEY_USERS\Erzieher_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.

Registry value HKEY_USERS\Erzieher_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\80B95DFE deleted successfully.

C:\WINDOWS\system32\324BC60380B95DFE843B.exe moved successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.

Registry value HKEY_USERS\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.

Registry value HKEY_USERS\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.

Registry value HKEY_USERS\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\\userini deleted successfully.

Item C:\WINDOWS\explorer.exe is whitelisted and cannot be moved.

Registry value HKEY_USERS\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully.

Registry value HKEY_USERS\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.

Registry value HKEY_USERS\Erzieher_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.

Registry value HKEY_USERS\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.

Registry value HKEY_USERS\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\UserInit:C:\WINDOWS\system32\324BC60380B95DFE843B.exe deleted successfully.

File C:\WINDOWS\system32\324BC60380B95DFE843B.exe not found.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\ deleted successfully.

File C:\WINDOWS\System32\324BC60380B95DFE843B.exe not found.

========== FILES ==========

File\Folder C:\WINDOWS\system32\324BC60380B95DFE843B.exe not found.

C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nrfequ folder moved successfully.

C:\WINDOWS\System32\winsh325 moved successfully.

C:\WINDOWS\System32\winsh324 moved successfully.

C:\WINDOWS\System32\winsh323 moved successfully.

C:\WINDOWS\System32\winsh322 moved successfully.

C:\WINDOWS\System32\winsh321 moved successfully.

C:\WINDOWS\System32\winsh320 moved successfully.

File\Folder C:\Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nrfequ not found.
 < ipconfig /flushdns /c >

Windows IP Configuration

An internal error occurred: The system cannot find the file specified.

 

Please contact Microsoft Product Support Services for further help.

Additional information: Unable to open registry key for tcpip.

C:\cmd.bat deleted successfully.

C:\cmd.txt deleted successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: Administrator

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 32768 bytes

 

User: All Users

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 32902 bytes

 

User: Erzieher

->Temp folder emptied: 577358255 bytes

->Temporary Internet Files folder emptied: 278236233 bytes

->Java cache emptied: 19607 bytes

->FireFox cache emptied: 830963187 bytes

->Flash cache emptied: 34104 bytes

 

User: LocalService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 279476 bytes

 

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 2371730 bytes

%systemroot%\System32 .tmp files removed: 2833287 bytes

%systemroot%\System32\dllcache .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 10898280 bytes

 

Total Files Cleaned = 1,624.00 mb

 

 

OTLPE by OldTimer - Version 3.1.48.0 log created on 05292012_062029

Danach hatte ich wieder Zugriff auf Windows.

So danach habe ich Malwarebytes geöffnet und diesen Log bekommen:

Code:



Malwarebytes Anti-Malware (Test) 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.05.29.04
 

Windows XP Service Pack 3 x86 FAT32

Internet Explorer 8.0.6001.18702

Erzieher :: RDKC80 [Administrator]
 

Schutz: Aktiviert
 

29.05.2012 06:46:28

malware.txt
 

Art des Suchlaufs: Vollständiger Suchlauf

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 251624

Laufzeit: 41 Minute(n), 30 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 2

HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612} (Trojan.Agent) -> Keine Aktion durchgeführt.

HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612} (Trojan.Agent) -> Keine Aktion durchgeführt.
 

Infizierte Registrierungswerte: 2

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|userini (Trojan.Agent) -> Daten: C:\WINDOWS\explorer.exe:userini.exe -> Keine Aktion durchgeführt.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|userini (Trojan.Agent) -> Daten: C:\WINDOWS\explorer.exe:userini.exe -> Keine Aktion durchgeführt.
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 1

C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013 (Trojan.Agent) -> Keine Aktion durchgeführt.
 

Infizierte Dateien: 3

C:\_OTL\MovedFiles\05292012_062029\C_Dokumente und Einstellungen\Erzieher\Anwendungsdaten\Nrfequ\C64EC95680B95DFE0E1E.exe (Trojan.Agent) -> Keine Aktion durchgeführt.

C:\_OTL\MovedFiles\05292012_062029\C_WINDOWS\system32\324BC60380B95DFE843B.exe (Trojan.Agent) -> Keine Aktion durchgeführt.

C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Trojan.Agent) -> Keine Aktion durchgeführt.
 

(Ende)

Dann habe ich die Trojaner alle unabsichtlich gelöscht . . . Da ich nicht gefunden hab wo ich sie in die Quarantäne verschieben konnte.
So dann habe ich versucht die OTL.exe starten aber dann bekam ich einen Error:

Exception EReadError in module OTL.exe at 00016A6B
Error reading DiskPartitionInfo1.Active: .

Und jetzt weiß ich nicht mehr was ich machen muss. . .

Zitat:

Zitat von ttc (Beitrag 835491)

So dann habe ich versucht die OTL.exe starten aber dann bekam ich einen Error:

Exception EReadError in module OTL.exe at 00016A6B
Error reading DiskPartitionInfo1.Active: .

hast Du die OTLPE-CD rausgenommen? alles entfernt, wir brauchen es nämlich nicht mehr

und...OTL heruntergeladet?

Ja die OTL.exe habe ich heruntergeladen und liegt am Hauptbetriebsystem am Desktop und die Fehler sind wie beschrieben.

dann entferne OTL und lade es erneut herunter. Benenne die OTL.exe in OTL.com um
Du musst diese umbenennen, bevor Du es auf den Desktop speicherst!

1.
läuft unter XP, Vista mit (32Bit) und Windows 7 (32Bit)
Achtung!:
WENN GMER NICHT AUSGEFÜHRT WERDEN KANN ODER PROBMLEME VERURSACHT, fahre mit dem nächsten Punkt fort!- Es ist NICHT sinnvoll einen zweiten Versuch zu starten!
Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen :

- also lade Dir Gmer herunter und entpacke es auf deinen Desktop
- starte gmer.exe
- [b]schließe alle Programme, ausserdem Antiviren und andere Schutzprogramme usw müssen deaktiviert sein, keine Verbindung zum Internet, WLAN auch trennen)
- bitte nichts am Pc machen während der Scan läuft!
- klicke auf "Scan", um das Tool zu starten
- wenn der Scan fertig ist klicke auf "Copy" (das Log wird automatisch in die Zwischenablage kopiert) und mit STRG + V musst Du gleich da einfügen
- mit "Ok" wird Gmer beendet.
- das Log aus der Zwischenablage hier in Deinem Thread vollständig hineinkopieren

** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen
Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren!
Anleitung:-> GMER - Rootkit Scanner

2.
Kontrolle mit MBR -t, ob Master Boot Record in Ordnung ist (MBR-Rootkit)

Mit dem folgenden Tool prüfen wir, ob sich etwas Schädliches im Master Boot Record eingenistet hat.

Downloade die MBR.exe von Gmer und
kopiere die Datei mbr.exe in den Ordner C:\Windows\system32.
Falls Du den Ordner nicht sehen kannst, diese Einstellungen in den Ordneroptionen vornehmen.
Start => ausführen => cmd (da reinschreiben) => OK
es öffnet sich eine Eingabeaufforderung.

Vista- und Windows 7-User: Start => Alle Programme => Zubehör => Rechtsklick auf Eingabeaufforderung und wähle Als Administrator ausführen.
Nach dem Prompt (>_) folgenden

aus der Codebox manuell eingeben oder alternativ den mit STRG + C ins Clipboard kopieren und einfügen.
Einfügen in der Eingabeaufforderung: in der Titelleiste einen Rechtsklick machen => Bearbeiten => einfügen.

Code:

mbr.exe -t > C:\mbr.log & C:\mbr.log

(Enter drücken)
Nach kurzer Zeit wird sich Dein Editor öffnen und die Datei C:\mbr.log beinhalten.
Bitte kopiere den Inhalt hier in Deinen Thread.