Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Trojaner Bundespolizei Ukash (https://www.trojaner-board.de/124267-trojaner-bundespolizei-ukash.html)

RomanDT 18.09.2012 16:20
Trojaner Bundespolizei Ukash
 
Hallo,

mein Rechner wurde befallen. Ein Benutzerkonto mit allen Rechten wurde vermutlich befallen und geht nur im abgesicherten Modus, ein anderes Benutzerkonto mit stark eingeschränkten Rechten geht normal.

Sind meine Daten in "eigene Dateien" nach einer hoffentlich erfolgreichen Reining gerettet?

Da eine selbstständige Säuberung nicht möglich ist, poste ich hier die Ergebnisse von OTL und bitte sehr um die notwendige Hilfe:

Malwarebytes meldet einen Trojaner Agent.Gen



Code:
OTL Extras logfile created on: 18.09.2012 16:58:14 - Run 1
OTL by OldTimer - Version 3.2.63.0    Folder = C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Downloads
Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,92 Gb Total Physical Memory | 2,38 Gb Available Physical Memory | 81,50% Memory free
4,76 Gb Paging File | 4,44 Gb Available in Paging File | 93,18% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 83,84 Gb Total Space | 57,58 Gb Free Space | 68,67% Space Free | Partition Type: NTFS
Drive D: | 247,71 Mb Total Space | 127,60 Mb Free Space | 51,51% Space Free | Partition Type: FAT
 
Computer Name: PC-WKNFRMS0Z31W | User Name: Administrator | Logged in as Administrator.
Boot Mode: SafeMode with Networking | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
 
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
exefile [open] -- "%1" %*
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 1
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 4
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 4
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{00000000-2778-5BED-8199-52EB14D8D22F}" = F-Secure CCF Reputation
"{010E01D0-BFF2-4633-A535-75B197F216F9}" = TurboCAD Professional V.10
"{01D5FF1F-BB19-4387-8EF1-C6319037EC12}" = RAMDisk
"{1111706F-666A-4037-7777-211328764D10}" = JavaFX 2.1.1
"{26A24AE4-039D-4CA4-87B4-2F83217005FF}" = Java(TM) 7 Update 5
"{28E82311-8616-11E1-BEB0-B8AC6F97B88E}" = Google Earth
"{2FC099BD-AC9B-33EB-809C-D332E1B27C40}" = Microsoft .NET Framework 3.5
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{53E0DD16-FE2D-4A4B-A66A-984397C49204}" = F-Secure Network CCF 1.02.111
"{5442DAB8-7177-49E1-8B22-09A049EA5996}" = Renesas Electronics USB 3.0 Host Controller Driver
"{5809E7CF-4DCF-11D4-9875-00105ACE7734}" = Logitech MouseWare 9.76
"{65153EA5-8B6E-43B6-857B-C6E4FC25798A}" = Intel(R) Management Engine Components
"{658FDBCA-B7A1-43E4-A849-9F0812473331}" = Computer Security 12.56.100.0 (release)
"{83FA601A-241A-4956-8A21-F7D525C4422F}_is1" = SSD Tweaker version 2.0.1
"{889DF117-14D1-44EE-9F31-C5FB5D47F68B}" = Yontoo 1.10.02
"{91110407-6000-11D3-8CFE-0150048383C9}" = Microsoft Office Professional Edition 2003
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}" = Google Update Helper
"{AC76BA86-7AD7-1031-7B44-AA1000000001}" = Adobe Reader X (10.1.4) - Deutsch
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C9BED750-1211-4480-B1A5-718A3BE15525}" = REALTEK GbE & FE Ethernet PCI-E NIC Driver
"{F0E3AD40-2BBD-4360-9C76-B9AC9A5886EA}" = Intel(R) Processor Graphics
"{f34463fb-f97c-4d3f-8986-273abf34f719}" = Pico Technology Software
"{F96077EB-8673-42E0-B87D-6092D94FA0A0}" = F-Secure Launch pad
"{FE2AE129-A29B-4C52-AC5A-24EF4F579700}" = MPLAB Tools v8.84
"7-Zip" = 7-Zip 9.20
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"Biet-O-Matic v2.14.8" = Biet-O-Matic v2.14.8
"CCleaner" = CCleaner
"ChatZum Toolbar" = ChatZum Toolbar
"Corel Uninstaller" = Corel Uninstaller
"Diff Doc_is1" = Diff Doc
"EAGLE 6.2.0" = EAGLE 6.2.0
"EasyCash&Tax_is1" = EasyCash&Tax 1.18
"F-Secure ServiceEnabler 666" = F-Secure Launch pad
"hpc3600e" = HP Color LaserJet 3600 (02/27/2007 61.063.461.41)
"ie8" = Windows Internet Explorer 8
"InstallShield_{5442DAB8-7177-49E1-8B22-09A049EA5996}" = Renesas Electronics USB 3.0 Host Controller Driver
"InstallShield_{FE2AE129-A29B-4C52-AC5A-24EF4F579700}" = MPLAB Tools v8.84
"Malwarebytes' Anti-Malware_is1" = Malwarebytes Anti-Malware Version 1.65.0.1400
"Mozilla Firefox 15.0.1 (x86 de)" = Mozilla Firefox 15.0.1 (x86 de)
"Mozilla Thunderbird 15.0.1 (x86 de)" = Mozilla Thunderbird 15.0.1 (x86 de)
"MozillaMaintenanceService" = Mozilla Maintenance Service
"MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP
"PCWHD" = PCWHD
"Windows XP Service Pack" = Windows XP Service Pack 3
"Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0
"XpsEPSC" = XML Paper Specification Shared Components Pack 1.0
 
========== Last 20 Event Log Errors ==========
 
[ Application Events ]
Error - 07.09.2012 23:53:54 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 08.09.2012 01:28:00 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 09.09.2012 23:56:07 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 10.09.2012 21:00:26 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 11.09.2012 21:00:25 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 14.09.2012 21:00:26 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 15.09.2012 21:00:25 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 16.09.2012 21:00:25 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 17.09.2012 21:00:25 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
Error - 18.09.2012 09:43:05 | Computer Name = PC-WKNFRMS0Z31W | Source = MsiInstaller | ID = 11714
Description = Produkt: Microsoft .NET Framework 3.5 SP1 -- Error 1714.Die ältere
 Version von Microsoft .NET Framework 3.5 SP1 konnte nicht entfernt werden. Wenden
 Sie sich an den technischen Support. Systemfehler 1612.
 
[ System Events ]
Error - 28.06.2012 21:00:35 | Computer Name = PC-WKNFRMS0Z31W | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Update für die Microsoft .NET Framework 3.5 Service
 Pack 1- und .NET Framework 3.5-Produktfamilie für die .NET-Versionen 2.0 bis 3.5
 (KB951847) x86
 
Error - 29.06.2012 14:17:02 | Computer Name = PC-WKNFRMS0Z31W | Source = PlugPlayManager | ID = 11
Description = Das Gerät "Root\LEGACY_FSBL\0000" wurde ohne vorbereitende Maßnahmen
 vom System entfernt.
 
Error - 29.06.2012 21:00:33 | Computer Name = PC-WKNFRMS0Z31W | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Update für die Microsoft .NET Framework 3.5 Service
 Pack 1- und .NET Framework 3.5-Produktfamilie für die .NET-Versionen 2.0 bis 3.5
 (KB951847) x86
 
Error - 30.06.2012 13:35:36 | Computer Name = PC-WKNFRMS0Z31W | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Update für die Microsoft .NET Framework 3.5 Service
 Pack 1- und .NET Framework 3.5-Produktfamilie für die .NET-Versionen 2.0 bis 3.5
 (KB951847) x86
 
Error - 02.07.2012 21:00:35 | Computer Name = PC-WKNFRMS0Z31W | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Update für die Microsoft .NET Framework 3.5 Service
 Pack 1- und .NET Framework 3.5-Produktfamilie für die .NET-Versionen 2.0 bis 3.5
 (KB951847) x86
 
Error - 03.07.2012 21:00:34 | Computer Name = PC-WKNFRMS0Z31W | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Update für die Microsoft .NET Framework 3.5 Service
 Pack 1- und .NET Framework 3.5-Produktfamilie für die .NET-Versionen 2.0 bis 3.5
 (KB951847) x86
 
Error - 04.07.2012 21:00:35 | Computer Name = PC-WKNFRMS0Z31W | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Update für die Microsoft .NET Framework 3.5 Service
 Pack 1- und .NET Framework 3.5-Produktfamilie für die .NET-Versionen 2.0 bis 3.5
 (KB951847) x86
 
Error - 05.07.2012 10:00:54 | Computer Name = PC-WKNFRMS0Z31W | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Update für die Microsoft .NET Framework 3.5 Service
 Pack 1- und .NET Framework 3.5-Produktfamilie für die .NET-Versionen 2.0 bis 3.5
 (KB951847) x86
 
Error - 06.07.2012 10:45:58 | Computer Name = PC-WKNFRMS0Z31W | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Update für die Microsoft .NET Framework 3.5 Service
 Pack 1- und .NET Framework 3.5-Produktfamilie für die .NET-Versionen 2.0 bis 3.5
 (KB951847) x86
 
Error - 06.07.2012 23:59:12 | Computer Name = PC-WKNFRMS0Z31W | Source = DCOM | ID = 10010
Description = Der Server "{4EB61BAC-A3B6-4760-9581-655041EF4D69}" konnte innerhalb
 des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
 
 
< End of report >
und


Code:
OTL logfile created on: 18.09.2012 16:58:14 - Run 1
OTL by OldTimer - Version 3.2.63.0    Folder = C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Downloads
Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,92 Gb Total Physical Memory | 2,38 Gb Available Physical Memory | 81,50% Memory free
4,76 Gb Paging File | 4,44 Gb Available in Paging File | 93,18% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 83,84 Gb Total Space | 57,58 Gb Free Space | 68,67% Space Free | Partition Type: NTFS
Drive D: | 247,71 Mb Total Space | 127,60 Mb Free Space | 51,51% Space Free | Partition Type: FAT
 
Computer Name: PC-WKNFRMS0Z31W | User Name: Administrator | Logged in as Administrator.
Boot Mode: SafeMode with Networking | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Downloads\OTL.exe (OldTimer Tools)
PRC - C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
 
 
========== Modules (No Company Name) ==========
 
MOD - C:\Programme\Mozilla Firefox\mozjs.dll ()
MOD - C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_3_300_271.dll ()
MOD - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.DEU ()
 
 
========== Services (SafeList) ==========
 
SRV - (MozillaMaintenance) -- C:\Programme\Mozilla Maintenance Service\maintenanceservice.exe (Mozilla Foundation)
SRV - (MBAMService) -- C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe (Malwarebytes Corporation)
SRV - (MBAMScheduler) -- C:\Programme\Malwarebytes' Anti-Malware\mbamscheduler.exe (Malwarebytes Corporation)
SRV - (AdobeFlashPlayerUpdateSvc) -- C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe (Adobe Systems Incorporated)
SRV - (fshoster) -- C:\Programme\F-Secure\fshoster32.exe (F-Secure Corporation)
SRV - (JavaQuickStarterService) -- C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\jqs.exe (Oracle Corporation)
SRV - (FSMA) -- C:\Programme\F-Secure\apps\ComputerSecurity\Common\FSMA32.EXE (F-Secure Corporation)
SRV - (FSDFWD) -- C:\Programme\F-Secure\apps\ComputerSecurity\FWES\program\fsdfwd.exe (F-Secure Corporation)
SRV - (FSORSPClient) -- C:\Programme\F-Secure\apps\CCF_Reputation\fsorsp.exe (F-Secure Corporation)
SRV - (UNS) -- C:\Programme\Intel\Intel(R) Management Engine Components\UNS\UNS.exe (Intel Corporation)
SRV - (LMS) -- C:\Programme\Intel\Intel(R) Management Engine Components\LMS\LMS.exe (Intel Corporation)
SRV - (ose) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (WDICA) --  File not found
DRV - (PDRFRAME) --  File not found
DRV - (PDRELI) --  File not found
DRV - (PDFRAME) --  File not found
DRV - (PDCOMP) --  File not found
DRV - (PCIDump) --  File not found
DRV - (Monfilt) -- system32\drivers\Monfilt.sys File not found
DRV - (lbrtfdc) --  File not found
DRV - (IntcAzAudAddService) -- system32\drivers\RtkHDAud.sys File not found
DRV - (i2omgmt) --  File not found
DRV - (Changer) --  File not found
DRV - (Ambfilt) -- system32\drivers\Ambfilt.sys File not found
DRV - (MBAMProtector) -- C:\WINDOWS\system32\drivers\mbam.sys (Malwarebytes Corporation)
DRV - (fsbts) -- C:\WINDOWS\system32\drivers\fsbts.sys ()
DRV - (F-Secure Gatekeeper) -- C:\Programme\F-Secure\apps\ComputerSecurity\Anti-Virus\minifilter\fsgk.sys ()
DRV - (F-Secure HIPS) -- C:\Programme\F-Secure\apps\ComputerSecurity\HIPS\drivers\fshs.sys (F-Secure Corporation)
DRV - (NmPar) -- C:\WINDOWS\system32\drivers\NmPar.sys (Windows (R) 2000 DDK provider)
DRV - (RAMDiskXP) -- C:\WINDOWS\system32\drivers\RAMDiskXP.sys (Windows (R) Win 7 DDK provider)
DRV - (FSFW) -- C:\WINDOWS\system32\drivers\fsdfw.sys (F-Secure Corporation)
DRV - (nusb3xhc) -- C:\WINDOWS\system32\drivers\nusb3xhc.sys (Renesas Electronics Corporation)
DRV - (nusb3hub) -- C:\WINDOWS\system32\drivers\nusb3hub.sys (Renesas Electronics Corporation)
DRV - (MEI) -- C:\WINDOWS\system32\drivers\HECI.sys (Intel Corporation)
DRV - (IntcDAud) -- C:\WINDOWS\system32\drivers\IntcDAud.sys (Intel(R) Corporation)
DRV - (RTLE8023xp) -- C:\WINDOWS\system32\drivers\Rtenicxp.sys (Realtek Semiconductor Corporation                          )
DRV - (adc200) -- C:\WINDOWS\system32\drivers\adc200.sys (Pico Technology)
DRV - (gameenum) -- C:\WINDOWS\system32\drivers\gameenum.sys (Microsoft Corporation)
DRV - (mf) -- C:\WINDOWS\system32\drivers\mf.sys (Microsoft Corporation)
DRV - (dot4ufd) -- C:\WINDOWS\system32\drivers\Hppaufd0.sys (HP)
DRV - (RRamdisk) -- C:\WINDOWS\system32\drivers\rramdisk.sys (gavotte)
DRV - (LMouFlt2) -- C:\WINDOWS\system32\drivers\LMouFlt2.Sys (Logitech, Inc.)
DRV - (LHidUsb) -- C:\WINDOWS\system32\drivers\LHidUsb.sys (Logitech, Inc.)
DRV - (LHidFlt2) -- C:\WINDOWS\system32\drivers\LHidFlt2.Sys (Logitech, Inc.)
DRV - (sfman) -- C:\WINDOWS\system32\drivers\sfmanm.sys (Creative Technology Ltd.)
DRV - (emu10k1) -- C:\WINDOWS\system32\drivers\ctlfacem.sys (Creative Technology Ltd.)
DRV - (emu10k) -- C:\WINDOWS\system32\drivers\emu10k1m.sys (Creative Technology Ltd.)
DRV - (ctljystk) -- C:\WINDOWS\system32\drivers\ctljystk.sys (Creative Technology Ltd.)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://search.chatzum.com/
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://search.chatzum.com/?q={searchTerms}
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://search.chatzum.com/
IE - HKCU\..\URLSearchHook: {CA3EB689-8F09-4026-AA10-B9534C691CE0} - C:\Programme\ChatZum Toolbar\tbunshF.tmp\tbhelper.dll ()
IE - HKCU\..\SearchScopes,DefaultScope = {96bd48dd-741b-41ae-ac4a-aff96ba00f7e}
IE - HKCU\..\SearchScopes\{96bd48dd-741b-41ae-ac4a-aff96ba00f7e}: "URL" = hxxp://search.chatzum.com/?q={SearchTerms}
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.search.selectedEngine: "Search Safer"
FF - prefs.js..browser.search.useDBForOrder: true
FF - prefs.js..browser.startup.homepage: "hxxp://searchsafer.com/"
FF - prefs.js..extensions.enabledAddons: {ADFA33FD-16F5-4355-8504-DF4D664CFE83}:1.0.17
FF - prefs.js..extensions.enabledAddons: plugin@yontoo.com:1.20.00
FF - prefs.js..keyword.URL: "hxxp://utils.chatzum.com/?url="
 
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_3_300_271.dll ()
FF - HKLM\Software\MozillaPlugins\@Google.com/GoogleEarthPlugin: C:\Programme\Google\Google Earth\plugin\npgeplugin.dll (Google)
FF - HKLM\Software\MozillaPlugins\@java.com/DTPlugin,version=10.5.1: C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\dtplugin\npDeployJava1.dll (Oracle Corporation)
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin,version=10.5.1: C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\plugin2\npjp2.dll (Oracle Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Programme\Google\Update\1.3.21.123\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Programme\Google\Update\1.3.21.123\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Programme\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 15.0.1\extensions\\Components: C:\Programme\Mozilla Firefox\components [2012.09.11 05:44:51 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 15.0.1\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 15.0.1\extensions\\Components: C:\Programme\Mozilla Thunderbird\components [2012.06.23 05:53:08 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 15.0.1\extensions\\Plugins: C:\Programme\Mozilla Thunderbird\plugins
 
[2012.09.18 15:45:00 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Extensions
[2012.09.18 16:13:54 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\39kmwihd.default\extensions
[2012.09.18 16:13:50 | 000,000,000 | ---D | M] (ChatZum Toolbar) -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\39kmwihd.default\extensions\{ADFA33FD-16F5-4355-8504-DF4D664CFE83}
[2012.09.18 16:13:54 | 000,000,000 | ---D | M] (Yontoo) -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\39kmwihd.default\extensions\plugin@yontoo.com
[2012.09.18 16:13:51 | 000,000,642 | ---- | M] () -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\39kmwihd.default\searchplugins\search-safer.xml
[2012.05.03 13:16:16 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2012.09.11 05:44:51 | 000,266,720 | ---- | M] (Mozilla Foundation) -- C:\Programme\mozilla firefox\components\browsercomps.dll
[2012.06.17 13:33:04 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml
[2012.09.11 05:44:51 | 000,002,465 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\bing.xml
[2012.06.17 13:33:04 | 000,001,153 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml
[2012.06.17 13:33:04 | 000,006,805 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml
[2012.06.17 13:33:04 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml
[2012.06.17 13:33:04 | 000,001,105 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2003.07.21 23:37:38 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1      localhost
O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated)
O2 - BHO: (Java(tm) Plug-In SSV Helper) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\ssv.dll (Oracle Corporation)
O2 - BHO: (Java(tm) Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\jp2ssv.dll (Oracle Corporation)
O2 - BHO: (TBSB09850 Class) - {FCBCCB87-9224-4B8D-B117-F56D924BEB18} - C:\Programme\ChatZum Toolbar\tbunshF.tmp\tbcore3.dll ()
O2 - BHO: (Yontoo) - {FD72061E-9FDE-484D-A58A-0BAB4151CAD8} - C:\Programme\Yontoo\YontooIEClient.dll (Yontoo LLC)
O3 - HKLM\..\Toolbar: (ChatZum Toolbar) - {37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1} - C:\Programme\ChatZum Toolbar\tbunshF.tmp\tbcore3.dll ()
O4 - HKLM..\Run: [Adobe ARM] C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe (Adobe Systems Incorporated)
O4 - HKLM..\Run: [F-Secure Hoster (666)] C:\Programme\F-Secure\fshoster32.exe (F-Secure Corporation)
O4 - HKLM..\Run: [F-Secure Manager] C:\Programme\F-Secure\apps\ComputerSecurity\Common\FSM32.EXE (F-Secure Corporation)
O4 - HKLM..\RunOnce: [Malwarebytes Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O16 - DPF: Microsoft XML Parser for Java file://C:\WINDOWS\Java\classes\xmldso.cab (Reg Error: Key error.)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{2A4E716D-A19C-4CC4-82DF-7AE6EE0BF023}: NameServer = 192.168.2.1
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation)
O18 - Protocol\Filter\text/xml {807553E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) - C:\WINDOWS\system32\userinit.exe (Microsoft Corporation)
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2012.04.27 16:44:51 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)
O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.09.18 16:13:54 | 000,000,000 | ---D | C] -- C:\Programme\Yontoo
[2012.09.18 16:13:53 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Tarma Installer
[2012.09.18 16:13:50 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Desktop\tdsskiller_2.5.5.0
[2012.09.18 16:13:49 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Toolbar4
[2012.09.18 16:13:46 | 000,000,000 | ---D | C] -- C:\Programme\ChatZum Toolbar
[2012.09.18 16:11:33 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\CadSoft
[2012.09.18 16:06:07 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Malwarebytes
[2012.09.18 16:06:05 | 000,022,856 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2012.09.18 16:06:05 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware
[2012.09.18 16:06:05 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Malwarebytes' Anti-Malware
[2012.09.18 15:58:55 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Temp
[2012.09.18 15:58:55 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Adobe
[2012.09.18 15:50:33 | 000,000,000 | R--D | C] -- C:\Dokumente und Einstellungen\Administrator\Eigene Dateien
[2012.09.18 15:50:33 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Downloads
[2012.09.18 15:46:18 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Macromedia
[2012.09.18 15:46:18 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Adobe
[2012.09.18 15:44:53 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Mozilla
[2012.09.18 15:44:53 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla
[2012.09.18 15:44:28 | 000,000,000 | -HSD | C] -- C:\Dokumente und Einstellungen\Administrator\IETldCache
[2012.09.18 15:18:25 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\qhokfryvbyuizlu
[8 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2012.09.18 16:27:54 | 000,452,194 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2012.09.18 16:27:54 | 000,436,080 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2012.09.18 16:27:54 | 000,082,308 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2012.09.18 16:27:54 | 000,069,516 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2012.09.18 16:24:02 | 000,002,278 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2012.09.18 16:23:53 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2012.09.18 16:23:52 | 001,008,880 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2012.09.18 16:13:56 | 000,000,664 | ---- | M] () -- C:\WINDOWS\System32\d3d9caps.dat
[2012.09.18 16:13:31 | 001,309,375 | ---- | M] () -- C:\Dokumente und Einstellungen\Administrator\Desktop\tdsskiller_2.5.5.0.zip
[2012.09.18 16:06:05 | 000,000,774 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes Anti-Malware.lnk
[2012.09.18 15:57:08 | 000,001,082 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
[2012.09.18 15:41:15 | 000,000,884 | ---- | M] () -- C:\WINDOWS\tasks\Adobe Flash Player Updater.job
[2012.09.18 15:18:24 | 000,076,340 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ppkfwwainrxrwkc
[2012.09.18 15:18:02 | 000,080,384 | ---- | M] () -- C:\WINDOWS\vsumxwqb.exe
[2012.09.18 15:18:02 | 000,080,384 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\vsumxwqb.exe
[2012.09.18 15:10:00 | 000,001,086 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
[2012.09.18 12:35:02 | 000,000,674 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled scanning task.job
[2012.09.07 17:04:46 | 000,022,856 | ---- | M] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2012.09.03 03:00:55 | 000,001,355 | ---- | M] () -- C:\WINDOWS\imsins.BAK
[2012.09.02 06:56:08 | 000,044,240 | ---- | M] () -- C:\WINDOWS\System32\drivers\fsbts.sys
[2012.08.30 01:15:30 | 003,782,214 | ---- | M] () -- C:\chatzum_nt.exe
[8 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2012.09.18 16:13:56 | 000,000,664 | ---- | C] () -- C:\WINDOWS\System32\d3d9caps.dat
[2012.09.18 16:13:26 | 001,309,375 | ---- | C] () -- C:\Dokumente und Einstellungen\Administrator\Desktop\tdsskiller_2.5.5.0.zip
[2012.09.18 16:06:05 | 000,000,774 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes Anti-Malware.lnk
[2012.09.18 15:18:23 | 000,080,384 | ---- | C] () -- C:\WINDOWS\vsumxwqb.exe
[2012.09.18 15:18:23 | 000,080,384 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\vsumxwqb.exe
[2012.09.18 15:18:03 | 000,076,340 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ppkfwwainrxrwkc
[2012.08.30 01:15:30 | 003,782,214 | ---- | C] () -- C:\chatzum_nt.exe
[2012.06.19 03:00:35 | 000,003,072 | ---- | C] () -- C:\WINDOWS\System32\iacenc.dll
[2012.06.17 06:31:14 | 000,044,240 | ---- | C] () -- C:\WINDOWS\System32\drivers\fsbts.sys
[2012.06.17 06:31:10 | 000,019,464 | ---- | C] () -- C:\WINDOWS\prodsett_copy.ini
[2012.06.14 14:33:25 | 000,053,248 | ---- | C] () -- C:\WINDOWS\System32\RegisterExe.exe
[2012.06.14 14:33:24 | 003,256,320 | ---- | C] () -- C:\WINDOWS\System32\beconvlib.dll
[2012.06.14 14:33:24 | 000,299,008 | ---- | C] () -- C:\WINDOWS\System32\bprgcomm.dll
[2012.06.14 14:33:24 | 000,221,184 | ---- | C] () -- C:\WINDOWS\System32\SII_PDF.dll
[2012.06.14 14:33:24 | 000,131,072 | ---- | C] () -- C:\WINDOWS\System32\CSVSpecialProcessing.dll
[2012.06.14 14:33:24 | 000,102,400 | ---- | C] ( ) -- C:\WINDOWS\System32\bclnap.dll
[2012.06.14 14:33:24 | 000,098,304 | ---- | C] () -- C:\WINDOWS\System32\DVM.dll
[2012.06.14 14:32:50 | 000,000,897 | ---- | C] () -- C:\WINDOWS\CFX.INI
[2012.06.14 14:32:13 | 000,000,051 | ---- | C] () -- C:\WINDOWS\SW_Win2141X16.DLL
[2012.06.14 14:32:13 | 000,000,024 | ---- | C] () -- C:\WINDOWS\System32\XLSCX.INI
[2012.06.14 14:32:13 | 000,000,024 | ---- | C] () -- C:\WINDOWS\System32\WordCX.INI
[2012.06.14 14:31:07 | 000,001,079 | ---- | C] () -- C:\WINDOWS\MD_MacroDiffs.INI
[2012.06.14 14:31:06 | 000,000,897 | ---- | C] () -- C:\WINDOWS\MD_MicroDiffs.INI
[2012.06.14 14:18:59 | 000,000,117 | ---- | C] () -- C:\WINDOWS\SW_Win2000X1.DLL
[2012.05.04 11:56:43 | 000,000,119 | ---- | C] () -- C:\WINDOWS\EasyCash.ini
[2012.05.04 11:56:38 | 000,000,290 | ---- | C] () -- C:\WINDOWS\EasyCT.INI
[2012.05.04 11:51:28 | 000,015,873 | ---- | C] () -- C:\WINDOWS\System32\Inetde.dll
[2012.05.04 11:33:45 | 000,108,032 | ---- | C] () -- C:\WINDOWS\System32\sh33w32.dll
[2012.05.04 10:24:40 | 000,008,192 | ---- | C] () -- C:\WINDOWS\System32\drivers\IntelMEFWVer.dll
[2012.05.04 10:23:49 | 000,783,644 | R--- | C] () -- C:\WINDOWS\System32\igkrng600.bin
[2012.05.04 10:23:49 | 000,201,496 | R--- | C] () -- C:\WINDOWS\System32\igfcg600m.bin
[2012.05.04 10:23:49 | 000,145,804 | R--- | C] () -- C:\WINDOWS\System32\igcompkrng600.bin
[2012.05.04 10:23:49 | 000,004,096 | R--- | C] ( ) -- C:\WINDOWS\System32\IGFXDEVLib.dll
[2012.05.04 10:23:49 | 000,000,151 | R--- | C] () -- C:\WINDOWS\System32\GfxUI.exe.config
[2012.05.04 10:21:53 | 000,073,728 | R--- | C] () -- C:\WINDOWS\System32\RtNicProp32.dll
[2012.05.04 10:18:12 | 000,000,552 | ---- | C] () -- C:\WINDOWS\System32\d3d8caps.dat
[2012.05.04 10:14:36 | 000,040,485 | ---- | C] () -- C:\WINDOWS\Ascd_log.ini
[2012.05.04 10:13:31 | 000,001,769 | ---- | C] () -- C:\WINDOWS\Language_trs.ini
[2012.05.04 10:13:24 | 000,027,193 | ---- | C] () -- C:\WINDOWS\Ascd_tmp.ini
[2012.05.04 10:13:24 | 000,010,296 | ---- | C] () -- C:\WINDOWS\System32\drivers\ASUSHWIO.SYS
[2012.05.03 13:52:31 | 000,006,550 | ---- | C] () -- C:\WINDOWS\jautoexp.dat
[2012.05.03 12:10:40 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2012.04.27 17:34:17 | 000,004,161 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI
[2012.04.27 17:33:39 | 001,008,880 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2012.04.27 16:46:51 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat
[2012.04.27 16:43:25 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat
[2012.02.13 06:31:00 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\MPMapTrace.dll
[2012.02.13 05:40:18 | 000,364,544 | ---- | C] () -- C:\WINDOWS\System32\mpPathan.dll
 
========== ZeroAccess Check ==========
 
[2012.05.03 14:07:21 | 000,000,227 | RHS- | M] () -- C:\WINDOWS\assembly\Desktop.ini
 
========== LOP Check ==========
 
[2012.09.18 16:11:33 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\CadSoft
[2012.09.18 16:13:49 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Toolbar4
[2012.07.10 06:43:43 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Ask
[2012.05.04 10:22:23 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\DeviceVm
[2012.07.18 05:26:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\F-Secure
[2012.07.18 05:15:51 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\F-Secure uninstallationtool
[2012.05.04 11:45:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\IMSI
[2012.09.18 15:18:25 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\qhokfryvbyuizlu
[2012.09.18 16:13:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Tarma Installer
[2012.09.18 12:35:02 | 000,000,674 | ---- | M] () -- C:\WINDOWS\Tasks\Scheduled scanning task.job
 
========== Purity Check ==========
 
 

< End of report >

markusg 18.09.2012 16:44
hi
und woher sollen wir wissen was mbam findet, wenn du das log nicht postest, mit halben angaben kann kein mensch arbeiten :-(

RomanDT 18.09.2012 19:06
Sorry, dachte es wäre unnötig:
Code:
Malwarebytes Anti-Malware (Test) 1.65.0.1400
www.malwarebytes.org

Datenbank Version: v2012.09.18.03

Windows XP Service Pack 3 x86 NTFS (Abgesichertenmodus/Netzwerkfähig)
Internet Explorer 8.0.6001.18702
Administrator :: PC-WKNFRMS0Z31W [Administrator]

Schutz: Deaktiviert

18.09.2012 19:57:14
mbam-log-2012-09-18 (19-57-14).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|G:\|H:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 344587
Laufzeit: 2 Minute(n), 32 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Dokumente und Einstellungen\büro\0.3221396635124114.EXE (Trojan.Agent.Gen) -> Keine Aktion durchgeführt.

(Ende)

markusg 18.09.2012 20:23
alle fundmeldungen sind relevant, sonst kann man ja keine analyse des problems vor nemen.
geht das admin konto wieder?
falls ja
Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.
Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2


WICHTIG - Speichere Combofix auf deinem Desktop
  • Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.


Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Zitat:
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

RomanDT 18.09.2012 20:56
Danke,
F-secure ließ sich nicht deaktivieren, war aber im Taskmanager auch nicht zu finden.
Habe combofix trotzdem laufen lassen, das adminkonto geht bis jetzt immmer noch nicht.

Werde versuchen, f-secure zu stoppen und combo fix noch mal zu starten.

Code:
ComboFix 12-09-18.06 - Administrator 18.09.2012  21:48:30.1.4 - x86 NETWORK
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2985.2605 [GMT 2:00]
ausgeführt von:: D:\ComboFix.exe
AV: Anti-Virus *Enabled/Updated* {E7512ED5-4245-4B4D-AF3A-382D3F313F15}
.
.
((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\arrow_refresh.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\basis.xml
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\cog.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\computer_delete.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\favicon.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\favicon16.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\icons.bmp
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\info.txt
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\inst.tmp
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\loaderie.js
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\logo16 - Copy.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\logo16.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\searchbut16.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\searchbut16on.png
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\TbHelper2.exe
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\uninstall.exe
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\uninstaller.exe
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\update.exe
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\version.txt
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Toolbar4\{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}\your_logo.png
c:\dokumente und einstellungen\All Users\Anwendungsdaten\vsumxwqb.exe
c:\programme\ChatZum Toolbar\tbunshF.tmp\tbHElper.dll
c:\windows\SW_Win2000X1.DLL
c:\windows\SW_Win2141X16.DLL
c:\windows\system32\dllcache\dlimport.exe
c:\windows\system32\dllcache\wmpvis.dll
c:\windows\system32\winlogon.bak
c:\windows\unin0407.exe
.
.
(((((((((((((((((((((((  Dateien erstellt von 2012-08-18 bis 2012-09-18  ))))))))))))))))))))))))))))))
.
.
2012-09-18 14:13 . 2012-09-18 14:13        --------        d-----w-        c:\programme\Yontoo
2012-09-18 14:13 . 2012-09-18 14:13        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Tarma Installer
2012-09-18 14:13 . 2012-09-18 14:13        --------        d-----w-        c:\programme\ChatZum Toolbar
2012-09-18 14:11 . 2012-09-18 14:11        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\CadSoft
2012-09-18 14:06 . 2012-09-18 14:06        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2012-09-18 14:06 . 2012-09-18 14:06        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware
2012-09-18 14:06 . 2012-09-07 15:04        22856        ----a-w-        c:\windows\system32\drivers\mbam.sys
2012-09-18 13:58 . 2012-09-18 13:58        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Temp
2012-09-18 13:58 . 2012-09-18 13:58        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Adobe
2012-09-18 13:50 . 2012-09-18 19:42        --------        d-----r-        c:\dokumente und einstellungen\Administrator\Eigene Dateien
2012-09-18 13:44 . 2012-09-18 13:44        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Mozilla
2012-09-18 13:44 . 2012-09-18 13:44        --------        d-sh--w-        c:\dokumente und einstellungen\Administrator\IETldCache
2012-09-18 13:18 . 2012-09-18 13:18        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\qhokfryvbyuizlu
2012-09-18 13:18 . 2012-09-18 13:18        80384        ----a-w-        c:\windows\vsumxwqb.exe
2012-09-11 03:44 . 2012-09-11 03:44        73696        ----a-w-        c:\programme\Mozilla Firefox\breakpadinjector.dll
2012-08-29 23:15 . 2012-08-29 23:15        3782214        ----a-w-        C:\chatzum_nt.exe
.
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-09-02 05:41 . 2012-07-15 04:51        70344        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl
2012-09-02 05:41 . 2012-07-15 04:51        426184        ----a-w-        c:\windows\system32\FlashPlayerApp.exe
2012-09-02 04:56 . 2012-06-17 04:31        44240        ----a-w-        c:\windows\system32\drivers\fsbts.sys
2012-07-06 13:59 . 2003-07-21 21:32        78336        ----a-w-        c:\windows\system32\browser.dll
2012-07-04 14:05 . 2012-04-27 14:42        139784        ----a-w-        c:\windows\system32\drivers\rdpwd.sys
2012-07-03 18:25 . 2003-07-21 22:03        1866240        ----a-w-        c:\windows\system32\win32k.sys
2012-07-02 17:39 . 2003-07-21 22:03        916992        ----a-w-        c:\windows\system32\wininet.dll
2012-07-02 17:39 . 2003-07-21 21:40        43520        ------w-        c:\windows\system32\licmgr10.dll
2012-07-02 17:39 . 2003-07-21 21:38        1469440        ------w-        c:\windows\system32\inetcpl.cpl
2012-07-02 12:05 . 2012-05-03 11:56        385024        ------w-        c:\windows\system32\html.iec
2012-09-11 03:44 . 2012-05-03 11:16        266720        ----a-w-        c:\programme\mozilla firefox\components\browsercomps.dll
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2012-05-03 . 63F596358D91E0DE887E3D031CCCF5C6 . 513024 . . [5.1.2600.5512] . . c:\windows\system32\winlogon.exe
[7] 2008-04-14 . F09A527B422E25C478E38CAA0E44417A . 513024 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\winlogon.exe
[-] 2004-08-03 22:58 . !HASH: COULD NOT OPEN FILE !!!!! . 507392 . . [------] . . c:\windows\$NtServicePackUninstall$\winlogon.exe
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}"= "c:\programme\ChatZum Toolbar\tbunshF.tmp\tbcore3.dll" [2012-08-29 2665984]
.
[HKEY_CLASSES_ROOT\clsid\{37d48d9c-3f7e-412f-b5bf-611be7ccfca1}]
[HKEY_CLASSES_ROOT\TBSB09850.TBSB09850.3]
[HKEY_CLASSES_ROOT\TypeLib\{EC4085F2-8DB3-45a6-AD0B-CA289F3C5D7E}]
[HKEY_CLASSES_ROOT\TBSB09850.TBSB09850]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2012-07-27 919008]
"F-Secure Hoster (666)"="c:\programme\F-Secure\fshoster32.exe" [2012-06-21 163536]
"F-Secure Manager"="c:\programme\F-Secure\apps\ComputerSecurity\Common\FSM32.EXE" [2012-03-15 311976]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
.
R0 fsbts;fsbts;c:\windows\system32\drivers\fsbts.sys [17.06.2012 06:31 44240]
R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [18.07.2012 05:25 83912]
R0 RRamdisk;Ramdisk Driver;c:\windows\system32\drivers\rramdisk.sys [03.05.2012 10:59 10368]
R3 MEI;Intel(R) Management Engine Interface;c:\windows\system32\drivers\HECI.sys [04.05.2012 10:24 41088]
R3 nusb3hub;Renesas Electronics USB 3.0 Hub Driver;c:\windows\system32\drivers\nusb3hub.sys [10.12.2010 07:50 62336]
R3 nusb3xhc;Renesas Electronics USB 3.0 Host Controller Driver;c:\windows\system32\drivers\nusb3xhc.sys [10.12.2010 07:50 141440]
S1 F-Secure HIPS;F-Secure HIPS Driver;c:\programme\F-Secure\apps\ComputerSecurity\HIPS\drivers\fshs.sys [18.07.2012 05:34 72976]
S2 adc200;Pico Technology ADC-200 Driver;c:\windows\system32\drivers\adc200.sys [17.05.2010 11:40 15360]
S2 fshoster;F-Secure Dll Hoster;c:\programme\F-Secure\fshoster32.exe -hosterid:0 --> c:\programme\F-Secure\fshoster32.exe -hosterid:0 [?]
S2 FSORSPClient;F-Secure ORSP Client;c:\programme\F-Secure\apps\CCF_Reputation\fsorsp.exe [15.03.2012 15:55 62160]
S2 gupdate;Google Update-Dienst (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [04.05.2012 10:38 116648]
S2 MBAMScheduler;MBAMScheduler;c:\programme\Malwarebytes' Anti-Malware\mbamscheduler.exe [18.09.2012 16:06 399432]
S2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [18.09.2012 16:06 676936]
S2 UNS;Intel(R) Management and Security Application User Notification Service;c:\programme\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [04.05.2012 10:24 2656280]
S3 AdobeFlashPlayerUpdateSvc;Adobe Flash Player Update Service;c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [15.07.2012 06:51 250056]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys --> c:\windows\system32\drivers\Ambfilt.sys [?]
S3 F-Secure Gatekeeper;F-Secure Gatekeeper;c:\programme\F-Secure\apps\ComputerSecurity\Anti-Virus\minifilter\fsgk.sys [18.07.2012 05:25 144592]
S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [04.05.2012 10:38 116648]
S3 IntcDAud;Intel(R) Display-Audio;c:\windows\system32\drivers\IntcDAud.sys [04.05.2012 10:23 260864]
S3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [18.09.2012 16:06 22856]
S3 MozillaMaintenance;Mozilla Maintenance Service;c:\programme\Mozilla Maintenance Service\maintenanceservice.exe [17.06.2012 13:33 114144]
S3 NmPar;PCI Parallel Port;c:\windows\system32\drivers\NmPar.sys [11.10.2006 11:12 76416]
S3 RAMDiskXP;RAMDiskXP;c:\windows\system32\drivers\RAMDiskXP.sys [29.04.2012 07:25 60928]
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - NMPAR
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12        REG_MULTI_SZ          Pml Driver HPZ12 Net Driver HPZ12
.
Inhalt des "geplante Tasks" Ordners
.
2012-09-18 c:\windows\Tasks\Adobe Flash Player Updater.job
- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-07-15 05:41]
.
2012-09-18 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2012-05-04 08:38]
.
2012-09-18 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2012-05-04 08:38]
.
2012-09-18 c:\windows\Tasks\Scheduled scanning task.job
- c:\progra~1\F-Secure\apps\ComputerSecurity\Anti-Virus\fsav.exe [2012-07-18 16:00]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://search.chatzum.com/
mStart Page = hxxp://search.chatzum.com/
TCP: Interfaces\{2A4E716D-A19C-4CC4-82DF-7AE6EE0BF023}: NameServer = 192.168.2.1
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\39kmwihd.default\
FF - prefs.js: browser.search.selectedEngine - Search Safer
FF - prefs.js: browser.startup.homepage - hxxp://searchsafer.com/
FF - prefs.js: keyword.URL - hxxp://utils.chatzum.com/?url=
FF - user.js: extentions.y2layers.installId - b6716e4f-2fe6-48a4-a7f0-399f0e24db3b
FF - user.js: extentions.y2layers.defaultEnableAppsList - ezLooker,buzzdock,YontooNewOffers
FF - user.js: extensions.autoDisableScopes - 14
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
AddRemove-Diff Doc_is1 - c:\programme\Softinterface
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2012-09-18 21:49
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\fshoster]
"ImagePath"="c:\programme\F-Secure\fshoster32.exe -hosterid:0"
.
Zeit der Fertigstellung: 2012-09-18  21:50:21
ComboFix-quarantined-files.txt  2012-09-18 19:50
.
Vor Suchlauf: 10 Verzeichnis(se), 62.523.404.288 Bytes frei
Nach Suchlauf: 14 Verzeichnis(se), 63.169.568.768 Bytes frei
.
WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn
.
- - End Of File - - B3B4E69964C1D285373FE37C08F512F8
F-secure habe ich jetzt über den Sicherheitscenter ausgeschaltet, es wurde statt dessen die Software Antivir gemeldet, von der ich sicher bin, das sie nicht mehr aktiv ist.
Code:
ComboFix 12-09-18.06 - Administrator 18.09.2012  22:05:19.2.4 - x86 NETWORK
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2985.2607 [GMT 2:00]
ausgeführt von:: D:\ComboFix.exe
AV: Anti-Virus *Enabled/Updated* {E7512ED5-4245-4B4D-AF3A-382D3F313F15}
.
.
(((((((((((((((((((((((  Dateien erstellt von 2012-08-18 bis 2012-09-18  ))))))))))))))))))))))))))))))
.
.
2012-09-18 14:13 . 2012-09-18 14:13        --------        d-----w-        c:\programme\Yontoo
2012-09-18 14:13 . 2012-09-18 14:13        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Tarma Installer
2012-09-18 14:13 . 2012-09-18 14:13        --------        d-----w-        c:\programme\ChatZum Toolbar
2012-09-18 14:11 . 2012-09-18 14:11        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\CadSoft
2012-09-18 14:06 . 2012-09-18 14:06        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2012-09-18 14:06 . 2012-09-18 14:06        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware
2012-09-18 14:06 . 2012-09-07 15:04        22856        ----a-w-        c:\windows\system32\drivers\mbam.sys
2012-09-18 13:58 . 2012-09-18 13:58        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Temp
2012-09-18 13:58 . 2012-09-18 13:58        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Adobe
2012-09-18 13:50 . 2012-09-18 19:42        --------        d-----r-        c:\dokumente und einstellungen\Administrator\Eigene Dateien
2012-09-18 13:44 . 2012-09-18 13:44        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Mozilla
2012-09-18 13:44 . 2012-09-18 13:44        --------        d-sh--w-        c:\dokumente und einstellungen\Administrator\IETldCache
2012-09-18 13:18 . 2012-09-18 13:18        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\qhokfryvbyuizlu
2012-09-18 13:18 . 2012-09-18 13:18        80384        ----a-w-        c:\windows\vsumxwqb.exe
2012-09-11 03:44 . 2012-09-11 03:44        73696        ----a-w-        c:\programme\Mozilla Firefox\breakpadinjector.dll
2012-08-29 23:15 . 2012-08-29 23:15        3782214        ----a-w-        C:\chatzum_nt.exe
.
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-09-02 05:41 . 2012-07-15 04:51        70344        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl
2012-09-02 05:41 . 2012-07-15 04:51        426184        ----a-w-        c:\windows\system32\FlashPlayerApp.exe
2012-09-02 04:56 . 2012-06-17 04:31        44240        ----a-w-        c:\windows\system32\drivers\fsbts.sys
2012-07-06 13:59 . 2003-07-21 21:32        78336        ----a-w-        c:\windows\system32\browser.dll
2012-07-04 14:05 . 2012-04-27 14:42        139784        ----a-w-        c:\windows\system32\drivers\rdpwd.sys
2012-07-03 18:25 . 2003-07-21 22:03        1866240        ----a-w-        c:\windows\system32\win32k.sys
2012-07-02 17:39 . 2003-07-21 22:03        916992        ----a-w-        c:\windows\system32\wininet.dll
2012-07-02 17:39 . 2003-07-21 21:40        43520        ------w-        c:\windows\system32\licmgr10.dll
2012-07-02 17:39 . 2003-07-21 21:38        1469440        ------w-        c:\windows\system32\inetcpl.cpl
2012-07-02 12:05 . 2012-05-03 11:56        385024        ------w-        c:\windows\system32\html.iec
2012-09-11 03:44 . 2012-05-03 11:16        266720        ----a-w-        c:\programme\mozilla firefox\components\browsercomps.dll
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2012-05-03 . 63F596358D91E0DE887E3D031CCCF5C6 . 513024 . . [5.1.2600.5512] . . c:\windows\system32\winlogon.exe
[7] 2008-04-14 . F09A527B422E25C478E38CAA0E44417A . 513024 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\winlogon.exe
[-] 2004-08-03 22:58 . !HASH: COULD NOT OPEN FILE !!!!! . 507392 . . [------] . . c:\windows\$NtServicePackUninstall$\winlogon.exe
.
(((((((((((((((((((((((((((((  SnapShot@2012-09-18_19.49.54  )))))))))))))))))))))))))))))))))))))))))
.
- 2003-07-21 21:51 . 2012-09-18 19:45        69516              c:\windows\system32\perfc009.dat
+ 2003-07-21 21:51 . 2012-09-18 20:06        69516              c:\windows\system32\perfc009.dat
+ 2003-07-21 21:51 . 2012-09-18 20:06        82308              c:\windows\system32\perfc007.dat
- 2003-07-21 21:51 . 2012-09-18 19:45        82308              c:\windows\system32\perfc007.dat
+ 2003-07-21 21:51 . 2012-09-18 20:06        436080              c:\windows\system32\perfh009.dat
- 2003-07-21 21:51 . 2012-09-18 19:45        436080              c:\windows\system32\perfh009.dat
+ 2003-07-21 21:51 . 2012-09-18 20:06        452194              c:\windows\system32\perfh007.dat
- 2003-07-21 21:51 . 2012-09-18 19:45        452194              c:\windows\system32\perfh007.dat
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{37D48D9C-3F7E-412F-B5BF-611BE7CCFCA1}"= "c:\programme\ChatZum Toolbar\tbunshF.tmp\tbcore3.dll" [2012-08-29 2665984]
.
[HKEY_CLASSES_ROOT\clsid\{37d48d9c-3f7e-412f-b5bf-611be7ccfca1}]
[HKEY_CLASSES_ROOT\TBSB09850.TBSB09850.3]
[HKEY_CLASSES_ROOT\TypeLib\{EC4085F2-8DB3-45a6-AD0B-CA289F3C5D7E}]
[HKEY_CLASSES_ROOT\TBSB09850.TBSB09850]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2012-07-27 919008]
"F-Secure Hoster (666)"="c:\programme\F-Secure\fshoster32.exe" [2012-06-21 163536]
"F-Secure Manager"="c:\programme\F-Secure\apps\ComputerSecurity\Common\FSM32.EXE" [2012-03-15 311976]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
.
R0 fsbts;fsbts;c:\windows\system32\drivers\fsbts.sys [17.06.2012 06:31 44240]
R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [18.07.2012 05:25 83912]
R0 RRamdisk;Ramdisk Driver;c:\windows\system32\drivers\rramdisk.sys [03.05.2012 10:59 10368]
R3 MEI;Intel(R) Management Engine Interface;c:\windows\system32\drivers\HECI.sys [04.05.2012 10:24 41088]
R3 nusb3hub;Renesas Electronics USB 3.0 Hub Driver;c:\windows\system32\drivers\nusb3hub.sys [10.12.2010 07:50 62336]
R3 nusb3xhc;Renesas Electronics USB 3.0 Host Controller Driver;c:\windows\system32\drivers\nusb3xhc.sys [10.12.2010 07:50 141440]
S1 F-Secure HIPS;F-Secure HIPS Driver;c:\programme\F-Secure\apps\ComputerSecurity\HIPS\drivers\fshs.sys [18.07.2012 05:34 72976]
S2 adc200;Pico Technology ADC-200 Driver;c:\windows\system32\drivers\adc200.sys [17.05.2010 11:40 15360]
S2 fshoster;F-Secure Dll Hoster;c:\programme\F-Secure\fshoster32.exe -hosterid:0 --> c:\programme\F-Secure\fshoster32.exe -hosterid:0 [?]
S2 FSORSPClient;F-Secure ORSP Client;c:\programme\F-Secure\apps\CCF_Reputation\fsorsp.exe [15.03.2012 15:55 62160]
S2 gupdate;Google Update-Dienst (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [04.05.2012 10:38 116648]
S2 MBAMScheduler;MBAMScheduler;c:\programme\Malwarebytes' Anti-Malware\mbamscheduler.exe [18.09.2012 16:06 399432]
S2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [18.09.2012 16:06 676936]
S2 UNS;Intel(R) Management and Security Application User Notification Service;c:\programme\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [04.05.2012 10:24 2656280]
S3 AdobeFlashPlayerUpdateSvc;Adobe Flash Player Update Service;c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [15.07.2012 06:51 250056]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys --> c:\windows\system32\drivers\Ambfilt.sys [?]
S3 F-Secure Gatekeeper;F-Secure Gatekeeper;c:\programme\F-Secure\apps\ComputerSecurity\Anti-Virus\minifilter\fsgk.sys [18.07.2012 05:25 144592]
S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [04.05.2012 10:38 116648]
S3 IntcDAud;Intel(R) Display-Audio;c:\windows\system32\drivers\IntcDAud.sys [04.05.2012 10:23 260864]
S3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [18.09.2012 16:06 22856]
S3 MozillaMaintenance;Mozilla Maintenance Service;c:\programme\Mozilla Maintenance Service\maintenanceservice.exe [17.06.2012 13:33 114144]
S3 NmPar;PCI Parallel Port;c:\windows\system32\drivers\NmPar.sys [11.10.2006 11:12 76416]
S3 RAMDiskXP;RAMDiskXP;c:\windows\system32\drivers\RAMDiskXP.sys [29.04.2012 07:25 60928]
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - NMPAR
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12        REG_MULTI_SZ          Pml Driver HPZ12 Net Driver HPZ12
.
Inhalt des "geplante Tasks" Ordners
.
2012-09-18 c:\windows\Tasks\Adobe Flash Player Updater.job
- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-07-15 05:41]
.
2012-09-18 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2012-05-04 08:38]
.
2012-09-18 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2012-05-04 08:38]
.
2012-09-18 c:\windows\Tasks\Scheduled scanning task.job
- c:\progra~1\F-Secure\apps\ComputerSecurity\Anti-Virus\fsav.exe [2012-07-18 16:00]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://search.chatzum.com/
mStart Page = hxxp://search.chatzum.com/
TCP: Interfaces\{2A4E716D-A19C-4CC4-82DF-7AE6EE0BF023}: NameServer = 192.168.2.1
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\39kmwihd.default\
FF - prefs.js: browser.search.selectedEngine - Search Safer
FF - prefs.js: browser.startup.homepage - hxxp://searchsafer.com/
FF - prefs.js: keyword.URL - hxxp://utils.chatzum.com/?url=
FF - user.js: extentions.y2layers.installId - b6716e4f-2fe6-48a4-a7f0-399f0e24db3b
FF - user.js: extentions.y2layers.defaultEnableAppsList - ezLooker,buzzdock,YontooNewOffers
FF - user.js: extensions.autoDisableScopes - 14
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2012-09-18 22:06
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\fshoster]
"ImagePath"="c:\programme\F-Secure\fshoster32.exe -hosterid:0"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'explorer.exe'(600)
c:\windows\system32\msi.dll
.
Zeit der Fertigstellung: 2012-09-18  22:06:53
ComboFix-quarantined-files.txt  2012-09-18 20:06
ComboFix2.txt  2012-09-18 19:50
.
Vor Suchlauf: 13 Verzeichnis(se), 63.146.643.456 Bytes frei
Nach Suchlauf: 14 Verzeichnis(se), 63.137.857.536 Bytes frei
.
- - End Of File - - 68AC3577A70930C4A08969820AA227FC
Habe, nachdem ich alle Programme + superspyware noch mal durchlaufen lassen, zumindest mal im abgesicherten Modus in mein befallenes Benutzerkonto wechseln können und dort die wichtigen Daten sichern können.....Juhuuuuuu
Alles andere ist zweitrangig, werde morgen versuchen die restlichen Daten zu sichern und dann alles platt zu machen,

markusg 19.09.2012 18:20
Downloade Dir bitte AdwCleaner auf deinen Desktop.
  • Starte die adwcleaner.exe mit einem Doppelklick.
  • Klicke auf Suche.
  • Nach Ende des Suchlaufs öffnet sich eine Textdatei.
  • Poste
    mir den Inhalt mit deiner nächsten Antwort.
  • Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.


Alle Zeitangaben in WEZ +1. Es ist jetzt 13:27 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27