Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Email Account versendet selbstständig Nachrichten (https://www.trojaner-board.de/176218-email-account-versendet-selbststaendig-nachrichten.html)

DerTiger 21.02.2016 19:03
Email Account versendet selbstständig Nachrichten
 
Liebe Helfer,

zu Beginn erstmal einen herzlichen Dank für euer Engagement im Betreiben dieser Plattform.

Auch ich habe ein Problem, welches ich nachfolgend gerne schildern möchte:

Mein Email Account bei Freenet hat in der Nacht von Freitag auf Samstag scheinbar selbstständig Emails versendet.

Ich bin darauf aufmerksam geworden, da ich folgende Rückläufer bekommen habe:

Code:
This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:
...

MIME-Version: 1.0
Date: Sat, 20 Feb 2016 05:38:20 +0100
Message-ID: <CBFC057AC534DD02A1B44D4BECB1C52773478B09@S18514848>
Content-Type: multipart/mixed; boundary="------------010704000909070505040002"
X-Priority: 3 (Normal)
Subject: xxxxx
From:  xxxx@freenet.de
To: xxxxxx.com
X-Warning: Message contains dangerous.attachment signature

Content-Type: text/html; charset=iso-8859-1
Content-Transfer-Encoding: quoted-printable

Kannte ich nicht=0APin zum =F6ffnen 9605<br><br>___________________________=
_________________________<br><br><br><!DOCTYPE HTML PUBLIC "-//W3C//DTD HTM=
L 4.0 Transitional//DE"><HTML><head><META http-equiv=3D"Content-Type" conte=
nt=3D"text/html;charset=3Diso-8859-1"><TITLE>Message</TITLE></HEAD><BODY><P=
Es wurden also Emails an Adressen geschickt, welche entweder mich angeschrieben haben oder mit denen ich in der Vergangenheit in Kontakt stand. Nicht an mein Adressbuch, da ich es nicht pflege.
Perfide daran ist, dass alte Mailverläufe von mir genutzt wurden (teilweise 4-5 Jahre alt), als hätte ich immer die Funktion: "Antworten mit Verlauf" genutzt.
Es wurde weiterhin eine Zip-Datei angehängt und zum Öffnen mittels Passwort aufgefordert.
In meinem Postausgang befinden sich diese gesendeten Nachrichten nicht.

Zum versenden von Emails benutze ich meinen Desktop PC und mein Smartphone.
Ich befinde mich derzeit noch für 2 Tage in Amerika und habe während der Reise mit dem IPhone 6 ein Flughafen WLAN, ein offenes Hotel WLAN und das Inländische Handynetz genutzt.

Mein Emailspasswort war eine 10-stellige Kombination aus Zahlen und Buchstaben.

Ich stehe nun vor der Frage, ob mein PC oder mein Smartphone befallen ist. Kann ich rausfinden wer angeschrieben wurde und die Empfänger warnen? War ich zu leichtsinnig im Umgang mit dem WLAN?

Bisherige Maßnahmen: Änderung des Emailpasswortes.

Vielen Dank für eure Mühe.

Der Tiger

cosinus 23.02.2016 15:05
Solche Rückläufer bedeuten nicht automatisch dass deine Geräte infiziert oder in dein Konto eingebrochen wurde.

In fast allen Fällen handelt es sich bei solchen Rückläufern einfach nur um mailspoofing. Also schlicht Adressfälschung. Stell dir E-Mail als Postkarte, jeder kann als Absender draufkritzeln was er lustig ist. Nimmt ein Spammer deine E-Mail-Adresse aks Absendeadressen landen die Nachrichten zB vom Mailerdemon auch logischerweise wieder bei der Absendeadressen.

DerTiger 23.02.2016 15:37
Hallo Cosinus,

vielen Dank für deine Antwort.
Ich glaube mein Fall ist anders gelagert, da nicht nur meine Adresse missbraucht wurde sondern meine Emailverläufe als Aufhänger benutzt wurden und nur Leute angeschrieben wurden, mit denen ich schon Korrespondenz hatte.

Ich bin nun wieder Zuhause und habe Zugriff auf meinen PC.
Die FakeMails von meinem Account waren übrigens in Deutsch verfasst.

cosinus 23.02.2016 15:40
Die deutliche Mehrzahl aller solcher "hacks" sind online, d.h. es müssen keine Systeme infiziert werden. Einige Mailprovider haben auch Sicherheitsprobleme. Du wärst nicht der erste, in dessen Postfach eingebrochen wurde.

Wenn du immer noch glaubst, dein Rechner sei infiziert, dann poste bitte Logfiles deines Virenscanners mit Funden, die das belegen.

DerTiger 23.02.2016 16:49
Wenn mein EMail-Konto ohne "Infektion" meiner Systeme missbraucht wurde bin ich auf der einen Seite beruhigt, auf der anderen Seite ratlos.
Was kann ich tun, um das zukünftig zu verhindern? Muss ich mein Nutzerverhalten anpassen? Werde in jedem Fall meinen Emailprovider wechseln.

Es ist natürlich nicht meine Absicht eine Infektion meiner Systeme zwanghaft nachzuweisen, das Gegenteil ist mir deutlich lieber. Konnte mir nur nicht vorstellen, dass der Einbruch komplett außerhalb passiert ist.
Hilfsweise poste ich die LogFiles.

FRST

Code:
Untersuchungsergebnis von Farbar Recovery Scan Tool (FRST) (x64) Version:21-02-2016 01
durchgeführt von Chevad (Administrator) auf XXXX (23-02-2016 16:29:04)
Gestartet von I:\Downloads Firefox
Geladene Profile: XXXX (Verfügbare Profile: XXXX)
Platform: Windows 10 Home (X64) Sprache: Deutsch (Deutschland)
Internet Explorer Version 11 (Standard-Browser: FF)
Start-Modus: Normal
Anleitung für Farbar Recovery Scan Tool: hxxp://www.geekstogo.com/forum/topic/335081-frst-tutorial-how-to-use-farbar-recovery-scan-tool/

==================== Prozesse (Nicht auf der Ausnahmeliste) =================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird der Prozess geschlossen. Die Datei wird nicht verschoben.)

(NVIDIA Corporation) C:\Windows\System32\nvvsvc.exe
(Microsoft Corporation) C:\Program Files\Windows Defender\MsMpEng.exe
(Microsoft Corporation) C:\Program Files\Windows Defender\NisSrv.exe
(Apple Inc.) C:\Program Files\Bonjour\mDNSResponder.exe
(Apple Inc.) C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
(Apple Inc.) C:\Program Files\iPod\bin\iPodService.exe
(Microsoft Corporation) C:\Windows\System32\wimserv.exe
(Samsung) C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\AllShareFrameworkManagerDMS.exe
(Samsung) C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\AllShareFrameworkDMS.exe
(Copyright 2013 SAMSUNG) D:\Program Files (x86)\Samsung Link\Samsung Link.exe
(Copyright 2013 SAMSUNG) D:\Program Files (x86)\Samsung Link\Samsung Link.exe
(NVIDIA Corporation) C:\Program Files\NVIDIA Corporation\Display\nvxdsync.exe
(NVIDIA Corporation) C:\Windows\System32\nvvsvc.exe
(Microsoft Corporation) C:\Windows\System32\SppExtComObj.Exe
(Microsoft Corporation) C:\Windows\System32\SettingSyncHost.exe
(Realtek Semiconductor) C:\Program Files\Realtek\Audio\HDA\RAVCpl64.exe
(Apple Inc.) D:\Program Files (x86)\Itunes\iTunesHelper.exe
(Copyright 2013 SAMSUNG) D:\Program Files (x86)\Samsung Link\Samsung Link Tray Agent.exe
(Microsoft Corporation) D:\Program Files\Microsoft Office\Office15\OUTLOOK.EXE
(Mozilla Corporation) H:\Program Files (x86)\Mozilla Firefox\firefox.exe
(Microsoft Corporation) C:\Program Files\Windows Defender\MpCmdRun.exe
(McAfee, Inc.) C:\Program Files\McAfee Security Scan\3.11.292\SSScheduler.exe


==================== Registry (Nicht auf der Ausnahmeliste) ===========================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird der Registryeintrag auf den Standardwert zurückgesetzt oder entfernt. Die Datei wird nicht verschoben.)

HKLM\...\Run: [RTHDVCPL] => C:\Program Files\Realtek\Audio\HDA\RAVCpl64.exe [13885696 2015-06-24] (Realtek Semiconductor)
HKLM\...\Run: [iTunesHelper] => D:\Program Files (x86)\Itunes\iTunesHelper.exe [170256 2015-09-15] (Apple Inc.)
HKLM\...\Run: [Samsung Link] => D:\Program Files (x86)\Samsung Link\Samsung Link Tray Agent.exe [607584 2015-03-18] (Copyright 2013 SAMSUNG)
HKLM-x32\...\Run: [BrStsMon00] => C:\Program Files (x86)\Browny02\Brother\BrStMonW.exe [4513792 2014-05-22] (Brother Industries, Ltd.)
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\McAfee Security Scan Plus.lnk [2016-02-23]
ShortcutTarget: McAfee Security Scan Plus.lnk -> C:\Program Files\McAfee Security Scan\3.11.292\SSScheduler.exe (McAfee, Inc.)

==================== Internet (Nicht auf der Ausnahmeliste) ====================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird der Eintrag entfernt oder auf den Standardwert zurückgesetzt, wenn es sich um einen Registryeintrag handelt.)

Hosts: 0.0.0.1        mssplus.mcafee.com
Tcpip\Parameters: [DhcpNameServer] 192.168.178.1
Tcpip\..\Interfaces\{094a4582-2e5e-4ab0-8275-3f77ec7e1ff1}: [DhcpNameServer] 192.168.178.1

Internet Explorer:
==================
BHO: Skype for Business Browser Helper -> {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} -> D:\Program Files\Microsoft Office\Office15\OCHelper.dll [2015-04-22] (Microsoft Corporation)
BHO: Microsoft SkyDrive Pro Browser Helper -> {D0498E0A-45B7-42AE-A9AA-ABA463DBD3BF} -> D:\Program Files\Microsoft Office\Office15\GROOVEEX.DLL [2015-04-14] (Microsoft Corporation)
BHO-x32: Skype for Business Browser Helper -> {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} -> C:\Program Files (x86)\Microsoft Office\Office15\OCHelper.dll [2015-04-22] (Microsoft Corporation)
BHO-x32: Microsoft SkyDrive Pro Browser Helper -> {D0498E0A-45B7-42AE-A9AA-ABA463DBD3BF} -> C:\Program Files (x86)\Microsoft Office\Office15\GROOVEEX.DLL [2015-04-14] (Microsoft Corporation)
Handler: osf - {D924BDC6-C83A-4BD5-90D0-095128A113D1} - D:\Program Files\Microsoft Office\Office15\MSOSB.DLL [2015-04-14] (Microsoft Corporation)

FireFox:
========
FF ProfilePath: C:\Users\Chevad\AppData\Roaming\Mozilla\Firefox\Profiles\18y8vgb1.default
FF Homepage: www.google.de
FF Plugin: @adobe.com/FlashPlayer -> C:\WINDOWS\system32\Macromed\Flash\NPSWF64_20_0_0_286.dll [2016-01-25] ()
FF Plugin: @microsoft.com/SharePoint,version=14.0 -> D:\Program Files\Microsoft Office\Office15\NPSPWRAP.DLL [2014-01-23] (Microsoft Corporation)
FF Plugin-x32: @adobe.com/FlashPlayer -> C:\WINDOWS\SysWOW64\Macromed\Flash\NPSWF32_20_0_0_286.dll [2016-01-25] ()
FF Plugin-x32: @Apple.com/iTunes,version=1.0 -> C:\Program Files (x86)\iTunes\Mozilla Plugins\npitunes.dll [2014-10-30] ()
FF Plugin-x32: @microsoft.com/Lync,version=15.0 -> C:\Program Files (x86)\Mozilla Firefox\plugins\npmeetingjoinpluginoc.dll [2015-04-22] (Microsoft Corporation)
FF Plugin-x32: @microsoft.com/SharePoint,version=14.0 -> C:\PROGRA~2\MICROS~1\Office15\NPSPWRAP.DLL [2014-01-21] (Microsoft Corporation)
FF Plugin ProgramFiles/Appdata: C:\Program Files (x86)\mozilla firefox\plugins\npMeetingJoinPluginOC.dll [2015-04-22] (Microsoft Corporation)
FF Extension: Adblock Plus - C:\Users\Chevad\AppData\Roaming\Mozilla\Firefox\Profiles\18y8vgb1.default\Extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi [2016-01-19]

==================== Dienste (Nicht auf der Ausnahmeliste) ========================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)

R2 AllShare Framework DMS; C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\AllShareFrameworkManagerDMS.exe [404360 2013-12-21] (Samsung) [Datei ist nicht signiert]
R2 Apple Mobile Device Service; C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe [77104 2015-09-02] (Apple Inc.)
S3 BrYNSvc; C:\Program Files (x86)\Browny02\BrYNSvc.exe [282112 2013-09-25] (Brother Industries, Ltd.) [Datei ist nicht signiert]
S3 McComponentHostService; C:\Program Files\McAfee Security Scan\3.11.292\McCHSvc.exe [293128 2016-02-05] (McAfee, Inc.)
R2 Samsung Link Service; D:\Program Files (x86)\Samsung Link\Samsung Link.exe [616288 2015-03-18] (Copyright 2013 SAMSUNG)
R3 WdNisSvc; C:\Program Files\Windows Defender\NisSrv.exe [362928 2015-07-10] (Microsoft Corporation)
R2 WinDefend; C:\Program Files\Windows Defender\MsMpEng.exe [24864 2015-07-10] (Microsoft Corporation)

===================== Treiber (Nicht auf der Ausnahmeliste) ==========================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)

S3 dot4; C:\Windows\system32\DRIVERS\Dot4.sys [151968 2015-08-30] (Windows (R) Win 7 DDK provider)
S3 Dot4Print; C:\Windows\System32\drivers\Dot4Prt.sys [27040 2015-08-30] (Windows (R) Win 7 DDK provider)
S3 dtlitescsibus; C:\Windows\System32\drivers\dtlitescsibus.sys [30264 2015-12-20] (Disc Soft Ltd)
S3 dtliteusbbus; C:\Windows\System32\drivers\dtliteusbbus.sys [46392 2015-12-20] (Disc Soft Ltd)
R3 MEIx64; C:\Windows\System32\drivers\TeeDriverW8x64.sys [193336 2015-09-09] (Intel Corporation)
R3 RtlWlanu; C:\Windows\System32\drivers\rtwlanu.sys [3772632 2015-07-10] (Realtek Semiconductor Corporation                          )
S3 UdeCx; C:\Windows\System32\drivers\udecx.sys [44032 2015-07-10] ()
S0 WdBoot; C:\Windows\System32\drivers\WdBoot.sys [44568 2015-07-10] (Microsoft Corporation)
R0 WdFilter; C:\Windows\System32\drivers\WdFilter.sys [291680 2015-07-10] (Microsoft Corporation)
R2 WdNisDrv; C:\Windows\System32\Drivers\WdNisDrv.sys [119648 2015-07-10] (Microsoft Corporation)
S3 wfpcapture; \SystemRoot\System32\drivers\wfpcapture.sys [X]

==================== NetSvcs (Nicht auf der Ausnahmeliste) ===================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)


==================== Ein Monat: Erstellte Dateien und Ordner ========

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird die Datei/der Ordner verschoben.)

2016-02-23 16:28 - 2016-02-23 16:29 - 00000000 ____D C:\FRST
2016-02-23 16:28 - 2016-02-23 16:28 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\McAfee Security Scan Plus
2016-02-23 16:26 - 2016-02-23 16:26 - 00016148 _____ C:\WINDOWS\system32\DSDH_Chevad_HistoryPrediction.bin
2016-01-24 12:29 - 2016-01-24 12:29 - 00000000 ____H C:\Users\Chevad\Desktop\~WRL0003.tmp

==================== Ein Monat: Geänderte Dateien und Ordner ========

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird die Datei/der Ordner verschoben.)

2016-02-23 16:28 - 2015-11-10 21:09 - 00000000 ____D C:\Program Files\McAfee Security Scan
2016-02-23 16:28 - 2015-08-14 21:40 - 00002013 _____ C:\Users\Public\Desktop\McAfee Security Scan Plus.lnk
2016-02-23 16:28 - 2015-08-13 20:15 - 01699356 _____ C:\WINDOWS\system32\PerfStringBackup.INI
2016-02-23 16:28 - 2015-07-10 17:34 - 00733448 _____ C:\WINDOWS\system32\perfh007.dat
2016-02-23 16:28 - 2015-07-10 17:34 - 00146184 _____ C:\WINDOWS\system32\perfc007.dat
2016-02-23 16:28 - 2015-07-10 12:02 - 00000000 ____D C:\WINDOWS\INF
2016-02-23 16:26 - 2015-07-28 10:56 - 00000000 ____D C:\Users\Chevad\Documents\Outlook-Dateien
2016-02-23 16:04 - 2015-07-10 12:04 - 00000000 ___HD C:\Program Files\WindowsApps
2016-02-23 16:04 - 2015-07-10 12:04 - 00000000 ____D C:\WINDOWS\AppReadiness
2016-02-12 19:36 - 2015-08-19 20:50 - 00005302 _____ C:\WINDOWS\System32\Tasks\Microsoft Office 15 Sync Maintenance for DSDH-Chevad DSDH
2016-02-12 19:21 - 2015-07-10 11:55 - 00000000 ____D C:\WINDOWS\CbsTemp
2016-02-11 21:41 - 2015-08-13 20:19 - 00002394 _____ C:\Users\Chevad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk
2016-02-11 21:41 - 2015-07-25 18:59 - 00000000 ___RD C:\Users\Chevad\OneDrive
2016-02-09 21:44 - 2015-08-14 17:09 - 00000000 ____D C:\Users\Chevad\AppData\Local\Battle.net
2016-02-09 20:04 - 2015-08-14 17:09 - 00000000 ____D C:\Program Files (x86)\Battle.net
2016-02-02 23:47 - 2015-07-10 12:06 - 00828920 _____ (Adobe Systems Incorporated) C:\WINDOWS\SysWOW64\FlashPlayerApp.exe
2016-02-02 23:47 - 2015-07-10 12:06 - 00176632 _____ (Adobe Systems Incorporated) C:\WINDOWS\SysWOW64\FlashPlayerCPLApp.cpl
2016-01-30 00:21 - 2015-10-31 17:21 - 00000000 ____D C:\Users\Chevad\AppData\Roaming\Nettalk

==================== Dateien im Wurzelverzeichnis einiger Verzeichnisse =======

2015-09-02 19:34 - 2005-12-09 03:52 - 0000060 ____R () C:\Program Files (x86)\BRINST.INI
2015-08-13 20:10 - 2015-08-13 20:10 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
2015-12-22 09:48 - 2015-12-22 09:48 - 0000016 _____ () C:\ProgramData\mntemp

Einige Dateien in TEMP:
====================
C:\Users\Chevad\AppData\Local\Temp\bitool.dll
C:\Users\Chevad\AppData\Local\Temp\i4jdel0.exe
C:\Users\Chevad\AppData\Local\Temp\K-Lite_Codec_Pack_Basic.exe
C:\Users\Chevad\AppData\Local\Temp\_is4454.exe
C:\Users\Chevad\AppData\Local\Temp\_is4E79.exe


==================== Bamital & volsnap =================

(Es ist kein automatischer Fix für Dateien vorhanden, die an der Verifikation gescheitert sind.)

C:\WINDOWS\system32\winlogon.exe => Datei ist digital signiert
C:\WINDOWS\system32\wininit.exe => Datei ist digital signiert
C:\WINDOWS\explorer.exe => Datei ist digital signiert
C:\WINDOWS\SysWOW64\explorer.exe => Datei ist digital signiert
C:\WINDOWS\system32\svchost.exe => Datei ist digital signiert
C:\WINDOWS\SysWOW64\svchost.exe => Datei ist digital signiert
C:\WINDOWS\system32\services.exe => Datei ist digital signiert
C:\WINDOWS\system32\User32.dll => Datei ist digital signiert
C:\WINDOWS\SysWOW64\User32.dll => Datei ist digital signiert
C:\WINDOWS\system32\userinit.exe => Datei ist digital signiert
C:\WINDOWS\SysWOW64\userinit.exe => Datei ist digital signiert
C:\WINDOWS\system32\rpcss.dll => Datei ist digital signiert
C:\WINDOWS\system32\dnsapi.dll => Datei ist digital signiert
C:\WINDOWS\SysWOW64\dnsapi.dll => Datei ist digital signiert
C:\WINDOWS\system32\Drivers\volsnap.sys => Datei ist digital signiert


LastRegBack: 2016-02-23 16:12

==================== Ende von FRST.txt ============================
Addition

Code:
Zusätzliches Untersuchungsergebnis von Farbar Recovery Scan Tool (x64) Version:21-02-2016 01
durchgeführt von XXXX (2016-02-23 16:29:21)
Gestartet von I:\Downloads Firefox
Windows 10 Home (X64) (2015-08-13 19:17:19)
Start-Modus: Normal
==========================================================


==================== Konten: =============================

Administrator (S-1-5-21-1904494876-3123739495-2680474881-500 - Administrator - Disabled)
XXXX (S-1-5-21-1904494876-3123739495-2680474881-1001 - Administrator - Enabled) => C:\Users\Chevad
DefaultAccount (S-1-5-21-1904494876-3123739495-2680474881-503 - Limited - Disabled)
Gast (S-1-5-21-1904494876-3123739495-2680474881-501 - Limited - Disabled)

==================== Sicherheits-Center ========================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er entfernt.)

AV: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
AS: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

==================== Installierte Programme ======================

(Nur Adware-Programme mit dem Zusatz "Hidden" können in die Fixlist aufgenommen werden, um sie sichtbar zu machen. Die Adware-Programme sollten manuell deinstalliert werden.)

Adobe Flash Player 20 NPAPI (HKLM-x32\...\Adobe Flash Player NPAPI) (Version: 20.0.0.286 - Adobe Systems Incorporated)
AllShare Framework DMS (HKLM\...\{83232C27-8C3F-44A5-9EB2-BB7161228ADD}) (Version: 1.3.23 - Samsung)
Apple Application Support (32-Bit) (HKLM-x32\...\{3540ADD5-822B-47FB-B1C2-CD7B2C8E9FEC}) (Version: 4.0.2 - Apple Inc.)
Apple Application Support (64-Bit) (HKLM\...\{C9C0FE2C-602E-49D7-8C42-5B9E8FF04798}) (Version: 4.0.2 - Apple Inc.)
Apple Mobile Device Support (HKLM\...\{FD244E19-6EFE-4A2D-948A-0D45D4C168BE}) (Version: 9.0.0.26 - Apple Inc.)
Apple Software Update (HKLM-x32\...\{FFD1F7F1-1AC9-4BC4-A908-0686D635ABAF}) (Version: 2.1.4.131 - Apple Inc.)
AudibleManager (HKLM-x32\...\AudibleManager) (Version: 40.-1342176847.-1342176847.5907040 - Audible, Inc.)
Battle.net (HKLM-x32\...\Battle.net) (Version:  - Blizzard Entertainment)
Bonjour (HKLM\...\{56DDDFB8-7F79-4480-89D5-25E1F52AB28F}) (Version: 3.1.0.1 - Apple Inc.)
Brother BRAdmin Light 1.25.0000 (HKLM-x32\...\{DB75941E-30C4-4D97-B000-D17C764B998C}) (Version: 1.25.0000 - Brother)
Brother Driver Deployment Wizard (HKLM-x32\...\{0ED38503-B69A-44B4-98BE-21BFF284A9B6}) (Version: 1.09.000 - Brother)
calibre 64bit (HKLM\...\{7159D1E5-62F5-42C9-825E-BE613B5DFB0F}) (Version: 2.38.0 - Kovid Goyal)
DVDFab 9.2.1.9 (25/11/2015) (HKLM-x32\...\DVDFab 9_is1) (Version:  - Fengtao Software Inc.)
HL-L2340D series (HKLM-x32\...\{46B58839-2405-48D6-A59D-F8246158A6ED}) (Version: 1.0.1.0 - Brother Industries, Ltd.)
iTunes (HKLM\...\{88509E20-3936-4D88-A1C0-B274C7BB5151}) (Version: 12.3.0.44 - Apple Inc.)
K-Lite Codec Pack 9.3.0 (Basic) (HKLM-x32\...\KLiteCodecPack_is1) (Version: 9.3.0 - )
McAfee Security Scan Plus (HKLM\...\McAfee Security Scan) (Version: 3.11.292.3 - McAfee, Inc.)
Microsoft Office Professional Plus 2013 (HKLM\...\Office15.PROPLUS) (Version: 15.0.4569.1506 - Microsoft Corporation)
Mozilla Firefox 44.0.1 (x86 de) (HKLM-x32\...\Mozilla Firefox 44.0.1 (x86 de)) (Version: 44.0.1 - Mozilla)
Mozilla Maintenance Service (HKLM-x32\...\MozillaMaintenanceService) (Version: 44.0.1.5879 - Mozilla)
Nettalk 6.7 (HKLM-x32\...\Nettalk_is1) (Version:  - Nicolas Kruse)
Outils de vérification linguistique 2013 de Microsoft Office*- Français (Version: 15.0.4569.1506 - Microsoft Corporation) Hidden
Realtek High Definition Audio Driver (HKLM-x32\...\{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}) (Version: 6.0.1.7535 - Realtek Semiconductor Corp.)
Samsung Link 2.0.0.1503181422 (HKLM\...\8474-7877-9059-0204) (Version: 2.0.0.1503181422 - Copyright 2013 SAMSUNG)
Update for Skype for Business 2015 (KB2889853) 64-Bit Edition (HKLM\...\{90150000-012B-0407-1000-0000000FF1CE}_Office15.PROPLUS_{CBCC2FD8-7DFE-4752-95B5-2E447C226F45}) (Version:  - Microsoft)
VidCoder 1.5.33 (x64) (HKLM\...\VidCoder-x64_is1) (Version: 1.5.33 - RandomEngy)
WinRAR 5.21 (64-Bit) (HKLM\...\WinRAR archiver) (Version: 5.21.0 - win.rar GmbH)

==================== Benutzerdefinierte CLSID (Nicht auf der Ausnahmeliste): ==========================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)

CustomCLSID: HKU\S-1-5-21-1904494876-3123739495-2680474881-1001_Classes\CLSID\{71DCE5D6-4B57-496B-AC21-CD5B54EB93FD}\localserver32 -> C:\Users\Chevad\AppData\Local\Microsoft\OneDrive\17.3.6301.0127\FileCoAuth.exe (Microsoft Corporation)

==================== Geplante Aufgaben (Nicht auf der Ausnahmeliste) =============

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)

Task: {0FC80853-4B9E-4E02-80FC-6EF496CFBC2F} - System32\Tasks\Microsoft\Office\OfficeTelemetryAgentLogOn => D:\Program Files\Microsoft Office\Office15\msoia.exe [2014-01-23] (Microsoft Corporation)
Task: {1B0B57D3-3F86-461B-B9C8-59D0CC0677E8} - System32\Tasks\Microsoft\Windows\RemovalTools\MRT_HB => C:\WINDOWS\system32\MRT.exe [2016-01-14] (Microsoft Corporation)
Task: {5D734F09-697E-47A4-BF68-E2F8F982C426} - System32\Tasks\Microsoft Office 15 Sync Maintenance for DSDH-Chevad DSDH => D:\Program Files\Microsoft Office\Office15\MsoSync.exe [2015-02-10] (Microsoft Corporation)
Task: {80C6AFAF-6540-4D4F-8427-55EE1A95700F} - System32\Tasks\Microsoft\Office\OfficeTelemetryAgentFallBack => D:\Program Files\Microsoft Office\Office15\msoia.exe [2014-01-23] (Microsoft Corporation)
Task: {86C322F1-E35A-4F26-BE0B-66A9B4CCA1B1} - System32\Tasks\Microsoft\Office\Office 15 Subscription Heartbeat => C:\Program Files\Common Files\Microsoft Shared\Office15\OLicenseHeartbeat.exe [2014-01-23] (Microsoft Corporation)

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird die Aufgabe verschoben. Die Datei, die durch die Aufgabe gestartet wird, wird nicht verschoben.)


==================== Verknüpfungen =============================

(Die Einträge können gelistet werden, um sie zurückzusetzen oder zu entfernen.)

==================== Geladene Module (Nicht auf der Ausnahmeliste) ==============

2015-08-13 21:07 - 2015-08-13 21:07 - 00032768 _____ () C:\WINDOWS\SYSTEM32\licensemanagerapi.dll
2015-09-15 13:25 - 2015-09-15 13:25 - 00085800 _____ () C:\Program Files\Common Files\Apple\Apple Application Support\zlib1.dll
2015-09-15 13:25 - 2015-09-15 13:25 - 01328912 _____ () C:\Program Files\Common Files\Apple\Apple Application Support\libxml2.dll
2015-08-20 21:32 - 2015-08-11 10:14 - 00404480 _____ () C:\WINDOWS\System32\diagtrack_wininternal.dll
2015-12-20 15:22 - 2015-03-18 14:22 - 00025088 _____ () D:\Program Files (x86)\Samsung Link\JniSys.dll
2015-12-20 15:22 - 2015-03-18 14:22 - 02633728 _____ () D:\Program Files (x86)\Samsung Link\scone_proxy.dll
2015-12-20 15:22 - 2015-03-18 14:22 - 02540544 _____ () D:\Program Files (x86)\Samsung Link\scone_stub.dll
2013-12-21 11:25 - 2013-12-21 11:25 - 00036864 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\64bit\JNIInterface.dll
2013-12-21 11:26 - 2013-12-21 11:26 - 00144384 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\64bit\ASFAPI.dll
2013-12-21 11:27 - 2013-12-21 11:27 - 00018944 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\64bit\MediaDB_Manager.dll
2013-10-22 09:52 - 2013-10-22 09:52 - 00030720 _____ () C:\WINDOWS\SYSTEM32\MediaDB64.dll
2013-10-22 09:52 - 2013-10-22 09:52 - 00908800 _____ () C:\WINDOWS\SYSTEM32\ContentDirectoryPresenter64.dll
2013-12-21 11:27 - 2013-12-21 11:27 - 00521728 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\64bit\DMS_Manager.dll
2013-07-23 19:19 - 2013-07-23 19:19 - 00058880 _____ () C:\WINDOWS\SYSTEM32\boost_thread-vc90-mt-1_47.dll
2013-07-23 19:19 - 2013-07-23 19:19 - 00049152 _____ () C:\WINDOWS\SYSTEM32\boost_date_time-vc90-mt-1_47.dll
2013-07-23 19:19 - 2013-07-23 19:19 - 00016896 _____ () C:\WINDOWS\SYSTEM32\boost_system-vc90-mt-1_47.dll
2013-07-23 19:19 - 2013-07-23 19:19 - 00299520 _____ () C:\WINDOWS\SYSTEM32\boost_serialization-vc90-mt-1_47.dll
2015-12-20 15:22 - 2015-12-20 15:22 - 00669696 _____ () C:\Windows\Temp\sqlite-3.7.151-amd64-sqlitejdbc.dll
2015-12-20 15:22 - 2015-03-18 14:22 - 00049664 _____ () D:\Program Files (x86)\Samsung Link\JniIO.dll
2015-12-20 15:22 - 2015-03-18 14:22 - 00499712 _____ () D:\Program Files (x86)\Samsung Link\utils\MetaExtractorDLL.dll
2015-08-13 20:10 - 2015-07-23 02:10 - 00116552 _____ () C:\Program Files\NVIDIA Corporation\Display\NvSmartMax64.dll
2015-08-29 07:29 - 2015-08-18 08:56 - 02498808 _____ () C:\WINDOWS\system32\CoreUIComponents.dll
2015-08-29 07:29 - 2015-08-18 08:56 - 02498808 _____ () C:\WINDOWS\System32\CoreUIComponents.dll
2015-07-10 11:59 - 2015-07-10 11:59 - 00429056 _____ () C:\Windows\SystemApps\ShellExperienceHost_cw5n1h2txyewy\QuickActions.dll
2015-08-13 21:07 - 2015-08-13 21:07 - 06569472 _____ () C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\CortanaApi.dll
2015-07-10 12:00 - 2015-07-10 17:45 - 00471040 _____ () C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\Cortana.Core.dll
2015-08-20 21:32 - 2015-08-11 09:58 - 01808384 _____ () C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\Cortana.BackgroundTask.dll
2015-08-13 21:07 - 2015-08-13 21:07 - 02274816 _____ () C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersUI.dll
2015-04-22 16:23 - 2015-04-22 16:23 - 02210480 _____ () D:\Program Files\Microsoft Office\Office15\tmpod.dll
2014-06-10 12:21 - 2014-06-10 12:21 - 01428648 _____ () D:\Program Files\Microsoft Office\Office15\ADDINS\UmOutlookAddin.dll
2013-12-11 16:46 - 2013-12-11 16:46 - 01114624 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\DMSManager.dll
2013-07-23 19:18 - 2013-07-23 19:18 - 00227840 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\boost_serialization-vc90-mt-1_47.dll
2013-07-23 19:18 - 2013-07-23 19:18 - 00038912 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\boost_date_time-vc90-mt-1_47.dll
2013-07-23 19:18 - 2013-07-23 19:18 - 00012800 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\boost_system-vc90-mt-1_47.dll
2013-07-23 19:18 - 2013-07-23 19:18 - 00046592 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\boost_thread-vc90-mt-1_47.dll
2013-10-22 09:48 - 2013-10-22 09:48 - 00707072 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\ContentDirectoryPresenter.dll
2013-10-24 16:53 - 2013-10-24 16:53 - 00107008 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\DCMCDP.dll
2013-12-11 16:46 - 2013-12-11 16:46 - 00102400 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\FolderCDP.dll
2013-04-19 16:38 - 2013-04-19 16:38 - 00055808 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\RosettaAllShare.dll
2013-10-24 16:53 - 2013-10-24 16:53 - 00032768 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\Autobackup.dll
2013-12-11 16:46 - 2013-12-11 16:46 - 00077312 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\MetadataFramework.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00520234 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\sqlite3.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00450560 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\MoodExtractor.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 05717504 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\DCMImgExtractor.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00028672 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\AutoChaptering.dll
2013-10-25 19:49 - 2013-10-25 19:49 - 00028160 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\AudioExtractor.dll
2013-12-11 16:45 - 2013-12-11 16:45 - 00017920 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\VideoExtractor.dll
2013-10-25 19:53 - 2013-10-25 19:53 - 00012288 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\ImageExtractor.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00013824 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\TextExtractor.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00147456 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\libexpat.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00012288 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\VideoThumb.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00064000 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\ID3Driver.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00023040 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\RichInfoDriver.dll
2013-10-25 19:53 - 2013-10-25 19:53 - 00117248 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\ThumbnailMaker.dll
2013-12-11 16:45 - 2013-12-11 16:45 - 00134144 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\VideoMetadataDriver.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00024064 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\SECMetaDriver.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00024064 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\photoDriver.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 04671488 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\avcodec-52.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00686080 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\avformat-52.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00070656 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\avutil-50.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00152064 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\swscale-0.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00366592 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\tag.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00289792 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\libThumbnail.dll
2013-10-25 19:53 - 2013-10-25 19:53 - 01033728 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\ImageMagickWrapper.dll
2013-10-25 19:48 - 2013-10-25 19:48 - 00290816 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\libKeyFrame.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00399826 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\libexif-12.dll.dll
2013-02-14 19:42 - 2013-02-14 19:42 - 00044032 _____ () C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\us.dll

==================== Alternate Data Streams (Nicht auf der Ausnahmeliste) =========

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird nur der ADS entfernt.)


==================== Abgesicherter Modus (Nicht auf der Ausnahmeliste) ===================

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Der Wert "AlternateShell" wird wiederhergestellt.)


==================== EXE Verknüpfungen (Nicht auf der Ausnahmeliste) ===============

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird der Registryeintrag auf den Standardwert zurückgesetzt oder entfernt.)


==================== Internet Explorer Vertrauenswürdig/Eingeschränkt ===============

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt.)


==================== Hosts Inhalt: ===============================

(Wenn benötigt kann der Hosts: Schalter in die Fixlist aufgenommen werden um die Hosts Datei zurückzusetzen.)

2015-07-10 12:04 - 2016-02-23 16:28 - 00000862 ____A C:\WINDOWS\system32\Drivers\etc\hosts

0.0.0.1        mssplus.mcafee.com

==================== Andere Bereiche ============================

(Aktuell gibt es keinen automatisierten Fix für diesen Bereich.)

HKU\S-1-5-21-1904494876-3123739495-2680474881-1001\Control Panel\Desktop\\Wallpaper -> c:\windows\web\wallpaper\theme1\img3.jpg
DNS Servers: 192.168.178.1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System => (ConsentPromptBehaviorAdmin: 5) (ConsentPromptBehaviorUser: 3) (EnableLUA: 1)
Windows Firewall ist aktiviert.

==================== MSCONFIG/TASK MANAGER Deaktivierte Einträge ==

(Aktuell gibt es keinen automatisierten Fix für diesen Bereich.)


==================== Firewall Regeln (Nicht auf der Ausnahmeliste) ===============

(Wenn ein Eintrag in die Fixlist aufgenommen wird, wird er aus der Registry entfernt. Die Datei wird nicht verschoben solange sie nicht separat aufgelistet wird.)

FirewallRules: [vm-monitoring-nb-session] => (Allow) LPort=139
FirewallRules: [{43DD2B50-536A-4C16-AC59-E6793C31562A}] => (Allow) D:\Program Files (x86)\Steam\Steam.exe
FirewallRules: [{8D04CAC1-8BEE-4870-8AB2-2C88E7B969EC}] => (Allow) D:\Program Files (x86)\Steam\Steam.exe
FirewallRules: [{5187D2ED-79BF-470A-AA98-9051244D3E03}] => (Allow) D:\Program Files (x86)\Steam\bin\steamwebhelper.exe
FirewallRules: [{DCCA2790-5B2C-4638-9697-3BAF6DD284F6}] => (Allow) D:\Program Files (x86)\Steam\bin\steamwebhelper.exe
FirewallRules: [TCP Query User{4FD26CBC-7C15-4091-8C85-9F3425A65020}H:\program files (x86)\mozilla firefox\firefox.exe] => (Allow) H:\program files (x86)\mozilla firefox\firefox.exe
FirewallRules: [UDP Query User{C9FF241F-D286-4863-AE28-9F3CE8CC45D1}H:\program files (x86)\mozilla firefox\firefox.exe] => (Allow) H:\program files (x86)\mozilla firefox\firefox.exe
FirewallRules: [{7A5E116E-927C-4401-AEDC-B5B2D6F6E274}] => (Allow) C:\Program Files (x86)\Battle.net\Battle.net.exe
FirewallRules: [{1883F68D-9490-4E4A-B67D-A64BEE3E8178}] => (Allow) C:\Program Files (x86)\Battle.net\Battle.net.exe
FirewallRules: [TCP Query User{94742611-511B-48D1-A30F-3480600280C9}D:\program files (x86)\steam\steamapps\common\counter-strike global offensive\csgo.exe] => (Allow) D:\program files (x86)\steam\steamapps\common\counter-strike global offensive\csgo.exe
FirewallRules: [UDP Query User{8A8B20CE-D14D-469B-8C5C-25DF4E69D64B}D:\program files (x86)\steam\steamapps\common\counter-strike global offensive\csgo.exe] => (Allow) D:\program files (x86)\steam\steamapps\common\counter-strike global offensive\csgo.exe
FirewallRules: [{4708009E-CF26-4D72-B112-76701D9094C6}] => (Allow) H:\Program Files (x86)\Mozilla Firefox\firefox.exe
FirewallRules: [{E47150A1-E8FC-44BE-A17B-16B67F4CF4B3}] => (Allow) H:\Program Files (x86)\Mozilla Firefox\firefox.exe
FirewallRules: [TCP Query User{EDE1D279-77FD-474A-9BF1-D9B1E37BF2AA}D:\program files (x86)\steam\steamapps\common\half-life\hl.exe] => (Allow) D:\program files (x86)\steam\steamapps\common\half-life\hl.exe
FirewallRules: [UDP Query User{FFF1787F-A07D-476D-BCF8-B6514186491B}D:\program files (x86)\steam\steamapps\common\half-life\hl.exe] => (Allow) D:\program files (x86)\steam\steamapps\common\half-life\hl.exe
FirewallRules: [TCP Query User{9743CFBF-2065-4271-912D-730B2ED77903}D:\spiele\starcraft ii\versions\base32283\sc2.exe] => (Allow) D:\spiele\starcraft ii\versions\base32283\sc2.exe
FirewallRules: [UDP Query User{8CD5CEE6-43E0-420D-87BF-4E8017A56539}D:\spiele\starcraft ii\versions\base32283\sc2.exe] => (Allow) D:\spiele\starcraft ii\versions\base32283\sc2.exe
FirewallRules: [{4C98C7F6-5B92-4105-B289-40D926AF2623}] => (Allow) D:\Program Files\Microsoft Office\Office15\lync.exe
FirewallRules: [{6F66E926-9081-4E37-9498-FF2195C2FFCF}] => (Allow) D:\Program Files\Microsoft Office\Office15\lync.exe
FirewallRules: [{E9A5F8F9-676F-45CC-8ADD-25AE69A12666}] => (Allow) D:\Program Files\Microsoft Office\Office15\UcMapi.exe
FirewallRules: [{38B7D18A-6A34-44B3-9D12-5082E2743FFA}] => (Allow) D:\Program Files\Microsoft Office\Office15\UcMapi.exe
FirewallRules: [TCP Query User{F4BF7D04-4562-4DE8-B686-5F19D95D5CED}D:\spiele\starcraft ii - legacy of the void beta\versions\base37164\sc2_x64.exe] => (Allow) D:\spiele\starcraft ii - legacy of the void beta\versions\base37164\sc2_x64.exe
FirewallRules: [UDP Query User{EC9968C0-0B59-4B74-843F-326CCDADD820}D:\spiele\starcraft ii - legacy of the void beta\versions\base37164\sc2_x64.exe] => (Allow) D:\spiele\starcraft ii - legacy of the void beta\versions\base37164\sc2_x64.exe
FirewallRules: [{B6C51685-7FD5-4B8F-8B7B-A0DBB096CFD5}] => (Allow) C:\Program Files (x86)\Brother\BRAdmin Light\BRAdmLight.exe
FirewallRules: [{95CF8E92-5DE5-4C20-8A6C-874CB8B50FEC}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe
FirewallRules: [{F5388850-4D3D-4E6E-B108-00D4CCB28935}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe
FirewallRules: [{8810591B-1E73-4738-8E2B-E122B9E7F298}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe
FirewallRules: [{01138D34-402F-4BED-A9F1-67413252B7DA}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe
FirewallRules: [{370A9540-494B-4DD3-920B-FBBB951E3E98}] => (Allow) D:\Program Files (x86)\Itunes\iTunes.exe
FirewallRules: [TCP Query User{448EC85A-3D4F-4CCE-955A-1DA2BF5894EE}D:\program files (x86)\nettalk6\nettalk.exe] => (Allow) D:\program files (x86)\nettalk6\nettalk.exe
FirewallRules: [UDP Query User{C38D8DF8-D5E8-45C0-8663-1D71CD5082EC}D:\program files (x86)\nettalk6\nettalk.exe] => (Allow) D:\program files (x86)\nettalk6\nettalk.exe
FirewallRules: [{5AC377BF-252A-4E84-AF56-CF2445D11811}] => (Allow) H:\Program Files (x86)\Mozilla Firefox\firefox.exe
FirewallRules: [{7BB543AF-62AC-4164-A9AB-6997F00177B3}] => (Allow) H:\Program Files (x86)\Mozilla Firefox\firefox.exe
FirewallRules: [TCP Query User{02280498-51BB-4940-94D5-03A068E791F3}D:\spiele\starcraft ii\versions\base38996\sc2_x64.exe] => (Allow) D:\spiele\starcraft ii\versions\base38996\sc2_x64.exe
FirewallRules: [UDP Query User{A28DFBA6-A29D-4F5D-B32A-9516F38386D2}D:\spiele\starcraft ii\versions\base38996\sc2_x64.exe] => (Allow) D:\spiele\starcraft ii\versions\base38996\sc2_x64.exe
FirewallRules: [TCP Query User{D16A63BC-58EF-401E-AC2A-7D0724108740}D:\spiele\starcraft ii\versions\base39576\sc2_x64.exe] => (Allow) D:\spiele\starcraft ii\versions\base39576\sc2_x64.exe
FirewallRules: [UDP Query User{85AA92DF-D006-45B9-A536-11E202A4C466}D:\spiele\starcraft ii\versions\base39576\sc2_x64.exe] => (Allow) D:\spiele\starcraft ii\versions\base39576\sc2_x64.exe
FirewallRules: [{9FF03A35-65DD-47F6-8878-AF1A68773C71}] => (Allow) D:\Program Files (x86)\Samsung Link\Samsung Link.exe
FirewallRules: [{B208DBC2-785D-455F-BC61-15CCB0C34B2F}] => (Allow) D:\Program Files (x86)\Samsung Link\Samsung Link Tray Agent.exe
FirewallRules: [{8E7BD5D3-68F3-4716-8038-BE42FF5F1628}] => (Allow) D:\Program Files (x86)\Samsung Link\Samsung Link Tray Agent.exe
FirewallRules: [{7944C440-CC19-4E66-9893-FC66FFF306ED}] => (Allow) D:\Program Files (x86)\Samsung Link\Samsung Link.exe
FirewallRules: [{4659B489-278B-4426-A6AD-78247346EE77}] => (Allow) C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\AllShareFrameworkDMS.exe
FirewallRules: [{7205A171-5387-4385-AC9D-56CABA3424D5}] => (Allow) C:\Program Files\Samsung\AllShare Framework DMS\1.3.23\AllShareFrameworkDMS.exe
FirewallRules: [{7BE5C842-E222-4BA5-AE8B-DC353ABC2133}] => (Allow) LPort=8743
FirewallRules: [{9F7193F3-AD1F-4258-823B-EC4DE329E8F4}] => (Allow) LPort=8643
FirewallRules: [{65756125-BC7E-4718-B9B1-8D9BF7F64483}] => (Allow) LPort=7676
FirewallRules: [{705B7EB2-8179-4B08-80CE-BFBD9394BC6C}] => (Allow) LPort=7679
FirewallRules: [{F1DFB2ED-8F7A-4244-9255-E70B532B840B}] => (Allow) LPort=24234
FirewallRules: [{51F1766D-4EF6-4D52-8E59-BF6877A3211A}] => (Allow) LPort=7900
FirewallRules: [{F50A83B8-5360-42A7-A7DC-1AE142758C9F}] => (Allow) LPort=1900
FirewallRules: [{5F3302AF-6859-462D-B1D7-95A816E0BCD4}] => (Allow) D:\Program Files (x86)\Samsung Link\Samsung Link.exe
FirewallRules: [{4440B0DF-151A-437E-BCE0-2E1B93264D1E}] => (Allow) D:\Program Files (x86)\Samsung Link\Samsung Link Tray Agent.exe
FirewallRules: [{F00C2774-CDD4-42B1-8A48-9EB5C3DC62B4}] => (Allow) D:\Program Files (x86)\Samsung Link\Samsung Link.exe
FirewallRules: [{270E6C16-E3BF-43A5-80F8-E03B4F3463F1}] => (Allow) D:\Program Files (x86)\Samsung Link\Samsung Link Tray Agent.exe
FirewallRules: [TCP Query User{CA62ECCE-34B0-4257-94E8-B30F6362BA0A}D:\program files (x86)\videolan\vlc\vlc.exe] => (Allow) D:\program files (x86)\videolan\vlc\vlc.exe
FirewallRules: [UDP Query User{124FDC6D-C94C-49E2-8407-09862720B8E9}D:\program files (x86)\videolan\vlc\vlc.exe] => (Allow) D:\program files (x86)\videolan\vlc\vlc.exe

==================== Wiederherstellungspunkte =========================

ACHTUNG: Systemwiederherstellung ist deaktiviert

==================== Fehlerhafte Geräte im Gerätemanager =============


==================== Fehlereinträge in der Ereignisanzeige: =========================

Applikationsfehler:
==================
Error: (02/23/2016 04:11:53 PM) (Source: Office 2013 Licensing Service) (EventID: 0) (User: )
Description: Subscription licensing service failed: -1073418154

Error: (02/12/2016 08:33:56 PM) (Source: Microsoft-Windows-Immersive-Shell) (EventID: 5973) (User: DSDH)
Description: Bei der Aktivierung der App „Microsoft.WindowsAlarms_8wekyb3d8bbwe!App“ ist folgender Fehler aufgetreten: -2144927141. Weitere Informationen finden Sie im Protokoll „Microsoft-Windows-TWinUI/Betriebsbereit“.

Error: (02/12/2016 08:33:56 PM) (Source: Microsoft-Windows-Immersive-Shell) (EventID: 5973) (User: DSDH)
Description: Bei der Aktivierung der App „Microsoft.Windows.Photos_8wekyb3d8bbwe!App“ ist folgender Fehler aufgetreten: -2144927141. Weitere Informationen finden Sie im Protokoll „Microsoft-Windows-TWinUI/Betriebsbereit“.

Error: (02/12/2016 07:20:02 PM) (Source: Office 2013 Licensing Service) (EventID: 0) (User: )
Description: Subscription licensing service failed: -1073418154

Error: (02/11/2016 09:50:29 PM) (Source: Office 2013 Licensing Service) (EventID: 0) (User: )
Description: Subscription licensing service failed: -1073418154

Error: (02/09/2016 09:24:42 PM) (Source: ESENT) (EventID: 413) (User: )
Description: SettingSyncHost (8720) Es konnte keine neue Protokolldatei erstellt werden, weil die Datenbank nicht auf das Protokolllaufwerk schreiben kann. Das Laufwerk ist möglicherweise schreibgeschützt, falsch konfiguriert, beschädigt oder hat zu wenig freien Speicherplatz. Fehler -1032.

Error: (02/09/2016 09:24:42 PM) (Source: ESENT) (EventID: 488) (User: )
Description: SettingSyncHost (8720) Der Versuch, die Datei "C:\WINDOWS\system32\edbtmp.log" zu erstellen, ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler -1032 (0xfffffbf8) beim Erstellen von Dateien.

Error: (02/09/2016 09:24:31 PM) (Source: ESENT) (EventID: 413) (User: )
Description: SettingSyncHost (8720) Es konnte keine neue Protokolldatei erstellt werden, weil die Datenbank nicht auf das Protokolllaufwerk schreiben kann. Das Laufwerk ist möglicherweise schreibgeschützt, falsch konfiguriert, beschädigt oder hat zu wenig freien Speicherplatz. Fehler -1032.

Error: (02/09/2016 09:24:31 PM) (Source: ESENT) (EventID: 488) (User: )
Description: SettingSyncHost (8720) Der Versuch, die Datei "C:\WINDOWS\system32\edbtmp.log" zu erstellen, ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler -1032 (0xfffffbf8) beim Erstellen von Dateien.

Error: (02/09/2016 09:24:21 PM) (Source: ESENT) (EventID: 413) (User: )
Description: SettingSyncHost (8720) Es konnte keine neue Protokolldatei erstellt werden, weil die Datenbank nicht auf das Protokolllaufwerk schreiben kann. Das Laufwerk ist möglicherweise schreibgeschützt, falsch konfiguriert, beschädigt oder hat zu wenig freien Speicherplatz. Fehler -1032.


Systemfehler:
=============
Error: (02/23/2016 04:12:35 PM) (Source: Microsoft-Windows-WindowsUpdateClient) (EventID: 20) (User: NT-AUTORITÄT)
Description: Installationsfehler: Die Installation des folgenden Updates ist mit Fehler 0x80070643 fehlgeschlagen: Windows-Tool zum Entfernen bösartiger Software für Windows 8, 8.1, 10 und Windows Server 2012, 2012 R2 x64 Edition - Februar 2016 (KB890830)

Error: (02/12/2016 08:33:56 PM) (Source: DCOM) (EventID: 10010) (User: DSDH)
Description: App.AppXvwgnrrhcka99admvy9fqan3zpdmgg69a.mca

Error: (02/12/2016 08:33:56 PM) (Source: DCOM) (EventID: 10010) (User: DSDH)
Description: App.AppXy9rh3t8m2jfpvhhxp6y2ksgeq77vymbq.mca

Error: (02/12/2016 08:33:56 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Der Dienst "Benutzerdatenzugriff_Session16" wurde unerwartet beendet. Dies ist bereits 1 Mal vorgekommen. Folgende Korrekturmaßnahmen werden in 10000 Millisekunden durchgeführt: Neustart des Diensts.

Error: (02/12/2016 08:33:56 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Der Dienst "Benutzerdatenspeicher _Session16" wurde unerwartet beendet. Dies ist bereits 1 Mal vorgekommen. Folgende Korrekturmaßnahmen werden in 10000 Millisekunden durchgeführt: Neustart des Diensts.

Error: (02/12/2016 08:33:56 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Der Dienst "Kontaktdaten_Session16" wurde unerwartet beendet. Dies ist bereits 1 Mal vorgekommen. Folgende Korrekturmaßnahmen werden in 10000 Millisekunden durchgeführt: Neustart des Diensts.

Error: (02/12/2016 08:33:56 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Der Dienst "Synchronisierungshost_Session16" wurde unerwartet beendet. Dies ist bereits 1 Mal vorgekommen. Folgende Korrekturmaßnahmen werden in 10000 Millisekunden durchgeführt: Neustart des Diensts.

Error: (02/12/2016 07:21:04 PM) (Source: Microsoft-Windows-WindowsUpdateClient) (EventID: 20) (User: NT-AUTORITÄT)
Description: Installationsfehler: Die Installation des folgenden Updates ist mit Fehler 0x80070643 fehlgeschlagen: Windows-Tool zum Entfernen bösartiger Software für Windows 8, 8.1, 10 und Windows Server 2012, 2012 R2 x64 Edition - Februar 2016 (KB890830)

Error: (02/11/2016 09:58:41 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Der Dienst "Benutzerdatenzugriff_Session13" wurde unerwartet beendet. Dies ist bereits 1 Mal vorgekommen. Folgende Korrekturmaßnahmen werden in 10000 Millisekunden durchgeführt: Neustart des Diensts.

Error: (02/11/2016 09:58:41 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Der Dienst "Benutzerdatenspeicher _Session13" wurde unerwartet beendet. Dies ist bereits 1 Mal vorgekommen. Folgende Korrekturmaßnahmen werden in 10000 Millisekunden durchgeführt: Neustart des Diensts.


CodeIntegrity:
===================================
  Date: 2015-09-15 19:02:10.341
  Description: Code Integrity determined that a process (\Device\HarddiskVolume5\Program Files\Windows Defender\MsMpEng.exe) attempted to load \Device\HarddiskVolume5\Program Files\Common Files\microsoft shared\OFFICE15\MSOXMLMF.DLL that did not meet the Custom 3 / Antimalware signing level requirements.

  Date: 2015-08-29 08:31:31.514
  Description: Code Integrity determined that a process (\Device\HarddiskVolume5\Program Files\Windows Defender\MsMpEng.exe) attempted to load \Device\HarddiskVolume5\Program Files\Common Files\microsoft shared\OFFICE15\MSOXMLMF.DLL that did not meet the Custom 3 / Antimalware signing level requirements.


==================== Speicherinformationen ===========================

Prozessor: Intel(R) Core(TM) i7-4790 CPU @ 3.60GHz
Prozentuale Nutzung des RAM: 25%
Installierter physikalischer RAM: 12240.42 MB
Verfügbarer physikalischer RAM: 9175.78 MB
Summe virtueller Speicher: 14096.42 MB
Verfügbarer virtueller Speicher: 10354.19 MB

==================== Laufwerke ================================

Drive c: (Boot) (Fixed) (Total:117.09 GB) (Free:48.46 GB) NTFS
Drive d: (Data) (Fixed) (Total:1802.89 GB) (Free:1729.74 GB) NTFS
Drive e: (Recover) (Fixed) (Total:60 GB) (Free:39.4 GB) NTFS
Drive f: (System-reserviert) (Fixed) (Total:0.1 GB) (Free:0.07 GB) NTFS ==>[System mit Startkomponenten (eingeholt von Laufwerk)]
Drive h: (alter PC klein) (Fixed) (Total:78.12 GB) (Free:6.55 GB) NTFS
Drive i: (alter PC groß) (Fixed) (Total:853.29 GB) (Free:390.68 GB) NTFS

==================== MBR & Partitionstabelle ==================

========================================================
Disk: 0 (Size: 119.2 GB) (Disk ID: 00000000)

Partition: GPT.

========================================================
Disk: 1 (MBR Code: Windows 7 or 8) (Size: 1863 GB) (Disk ID: 00000000)

Partition: GPT.

========================================================
Disk: 2 (MBR Code: Windows 7 or 8) (Size: 931.5 GB) (Disk ID: 44C453A8)
Partition 1: (Active) - (Size=100 MB) - (Type=07 NTFS)
Partition 2: (Not Active) - (Size=78.1 GB) - (Type=07 NTFS)
Partition 3: (Not Active) - (Size=853.3 GB) - (Type=07 NTFS)

==================== Ende von Addition.txt ============================

Malwarebytes
Code:
Malwarebytes Anti-Malware
www.malwarebytes.org

Suchlaufdatum: 23.02.2016
Suchlaufzeit: 16:34
Protokolldatei:
Administrator: Ja

Version: 2.2.0.1024
Malware-Datenbank: v2016.02.23.04
Rootkit-Datenbank: v2016.02.17.01
Lizenz: Testversion
Malware-Schutz: Aktiviert
Schutz vor bösartigen Websites: Aktiviert
Selbstschutz: Deaktiviert

Betriebssystem: Windows 10
CPU: x64
Dateisystem: NTFS
Benutzer: XXXX
Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 342126
Abgelaufene Zeit: 3 Min., 9 Sek.

Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert

Prozesse: 0
(keine bösartigen Elemente erkannt)

Module: 0
(keine bösartigen Elemente erkannt)

Registrierungsschlüssel: 0
(keine bösartigen Elemente erkannt)

Registrierungswerte: 0
(keine bösartigen Elemente erkannt)

Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)

Ordner: 0
(keine bösartigen Elemente erkannt)

Dateien: 2
PUP.Optional.Somoto, C:\Users\XXXX\AppData\Local\Temp\nsz2BA1.tmp, In Quarantäne, [a97700648c0db87eda37c32b946d10f0],
PUP.Optional.AdOffer, C:\Users\XXXX\AppData\Local\Temp\bitool.dll, In Quarantäne, [60c0253f6a2f42f44002be88b1512dd3],

Physische Sektoren: 0
(keine bösartigen Elemente erkannt)


(end)
Danke für die Mühe!

cosinus 23.02.2016 22:30
Malwarebytes hat nur Werbe-Blödsinn gefunden.

Nutzt du diesen Mailaccount auch mit anderen Geräten? Man muss leider feststellen, dass Smartphones v.a. ältere Modelle erhebliche Sicherheitslücken haben.

Was die Smartphonehersteller bzw Google mit Linux der mit ihrer Updatepolitik veranstalten (android hat nen Linuxkernel) ist einfach nur ein Trauerspiel und leider zieht das Linux in den Dreck :koch:

DerTiger 24.02.2016 21:52
Diesen MailAccount nutze ich ebenfalls auf einem IPhone 6.
Ich habe jetzt von älteren Bekannten den Hinweis bekommen, dass Sie die Zip-Datei die durch meinen Account versendet wurde geöffnet haben. Mir liegt die Datei ebenfalls vor. Gibt es eine Möglichkeit diese zu sichten und meinen Bekannten ggfs. gezielt Gegenmaßnahmen zu empfehlen?

Danke.

cosinus 25.02.2016 10:36
Du kannst nur das Passwort zum Mailaccount ändern. Wenn dann immer noch in deinem namen gespamt wird, liegt Mailspoofing vor, dagegen kannst du nix tun.

DerTiger 29.02.2016 19:17
Hier ein Artikel zu dem Virus den ich oben beschrieben habe. Ich hoffe das posten von Links ist gestattet:

hxxp://www.heise.de/security/meldung/Neuer-Virus-schuetzt-sich-mit-einem-Passwort-3119562.html

Bedeutet es nun, dass irgendeins meiner Systeme befallen ist, wenn es sich so verhalten hat wie im Artikel beschrieben?
Gemäß der Kommentare war auch ien MacUser betroffen.

cosinus 29.02.2016 21:44
MacOS X? Das geht so nicht.

Zitat:
Erst wenn der Empfänger das ZIP-File mithilfe des in der Mail genannten Passworts öffnet und die Datei extrahiert, kommt das für Windows konzipierte Schadprogramm zum Vorschein
Für Windows konzipierte Schadprogramme (EXE Datei) laufen nicht nativ auf anderen Systemen.

DerTiger 29.02.2016 22:16
Ich vermute es gibt einen Unterschied zwischen den Betroffenen, die diese Mails versenden und Denjenigen die sie erhalten und daraufhin die Zip Datei öffnen.

Denn ich habe niemals eine solche Mail samt Zip-Datei erhalten/geöffnet sondern wurde scheinbar nur für die Verteilung benutzt.

Dieser Betroffene berichtet über die gleichen Probleme bei einem MacSystem:
hxxp://www.heise.de/forum/heise-Security/News-Kommentare/Neuer-Virus-schuetzt-sich-mit-einem-Passwort/Re-welcher-Mailer-wurde-da-gekapert/posting-24584967/show/

cosinus 29.02.2016 22:21
Und was erwartest du jetzt? Der Betroffene hat doch von seinem Provider auch nur den Hinweis bekommen, dass er das Passwort ändern soll.

DerTiger 29.02.2016 22:47
Ich als Betroffener habe Interesse daran zu erfahren, auf welchem Wege mein Mailaccount missbraucht wurde und wie ich mich zukünftig davor schützen kann.
Vielleicht helfen die Informationen in diesem Thread ja auch anderen weiter.

Es bedeutet nicht, dass ich von dir jetzt die Lösung auf dem Silbertablett erwarte. Ich bin dir für deine Hilfe sehr dankbar.
Ich habe nicht viel Erfahrung in dem Bereich, aber für mich scheint es zumindest eine in Teilen neue "Masche" zu sein und verfolge das Thema deswegen weiter.
Wenn du das als nicht zielführend erachtest, dann poste ich keine "Updates" mehr.

cosinus 01.03.2016 10:53
Lies doch einfach mal die schon dazu vorhandenen Threads:

http://www.trojaner-board.de/172428-...nden-spam.html
http://www.trojaner-board.de/176131-...-gesendet.html

Es lässt sich einfach nciht Bestimmheit irgendwas Konkretes festmachen. Nur dieses "irgendwas stimmt mit dem Mailacc nicht, da MUSS auf jeden Fall ein Virus am Werk sein" ist Quatsch und nur schwer aus den Köpfen der Menschen rauszukriegen.


Alle Zeitangaben in WEZ +1. Es ist jetzt 10:44 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131