Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Malwarebytes und andere geblockt... (https://www.trojaner-board.de/72615-malwarebytes-andere-geblockt.html)

psychoaki 30.04.2009 12:29
Malwarebytes und andere geblockt...
 
Hallo,
seid gestern ist mein Laptop befallen. Malwarebytes, Spybot und andere Tools (SpyHunter, gmer und SuperAntiSpyware) werden geblockt oder lassen sich nicht installieren. Ich poste mal meine Hijack, fsecure und mbr.exe logfiles und hoffe, dass jemand mir helfen kann.
LG
Psychoaki
Hijack
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:55:59, on 30.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\ibmpmsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
C:\WINDOWS\System32\TPHDEXLG.exe
C:\WINDOWS\system32\TpKmpSVC.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
C:\Programme\Lenovo\System Update\SUService.exe
C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Analog Devices\Core\smax4pnp.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Lenovo\HOTKEY\TPONSCR.exe
C:\Programme\Lenovo\Zoom\TpScrex.exe
C:\WINDOWS\system32\TpShocks.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hxxp://www.winfuture.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {39fc2065-c9c7-49cd-8942-44cc2dedc844} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - (no file)
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [TVT Scheduler Proxy] C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
O4 - HKLM\..\Run: [TPHOTKEY] C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog
O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [ACTray] C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
O4 - HKLM\..\Run: [ACWLIcon] C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [TPFNF7] C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe /r
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxtp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1226961314428
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hxtp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB35D719-E31A-470B-B05B-C067DC58F210}: NameServer = 134.147.222.4,134.147.32.40
O18 - Protocol: haufereader - (no CLSID) - (no file)
O20 - Winlogon Notify: ACNotify - ACNotify.dll (file missing)
O20 - Winlogon Notify: nnnmkJyV - C:\WINDOWS\
O20 - Winlogon Notify: tuvTklmM - tuvTklmM.dll (file missing)
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft - C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: Ac Profile Manager Service (AcPrfMgrSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
O23 - Service: Access Connections Main Service (AcSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Power Manager DBC Service - Unknown owner - C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - C:\Programme\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINDOWS\System32\TPHDEXLG.exe
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe
O23 - Service: TVT Scheduler - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe

--
End of file - 13201 bytes
FSecure
Code:
04/30/09 13:20:26 [Info]: BlackLight Engine 2.2.1092 initialized
04/30/09 13:20:26 [Info]: OS: 5.1 build 2600 (Service Pack 3)
04/30/09 13:20:26 [Note]: 7019 4
04/30/09 13:20:26 [Note]: 7005 0
04/30/09 13:20:31 [Note]: 7007 0
mbr
Code:
Stealth MBR rootkit detector 0.2.4 by Gmer, hxtp://www.gmer.net
device: opened successfully
user: error reading MBR
kernel: MBR read successfully

Chris4You 30.04.2009 12:34
Hi,

da brauchen wir wohl combofix:
Combofix
Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.
Weitere Anleitung unter:http://www.bleepingcomputer.com/combofix/de/wie-combofix-benutzt-wird
Hinweis: unter : C:\WINDOWS\erdnt
wird ein Backup angelegt.
Alternative downloads: http://subs.geekstogo.com/ComboFix.exe

Danach sofort MAM:
Malwarebytes Antimalware (MAM).
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.
Alternativer Download: http://filepony.de/download-malwarebytes_anti_malware/, http://www.gt500.org/malwarebytes/mbam.jsp

chris

psychoaki 30.04.2009 12:41
Vielen Dank für die Antwort. Combofix wird leider auch geblockt...

PS:WinPc Defender ging ursprünglich immer auch und hat mein Sytem gescannt und versucht updates zu laden. Ich habe es jetzt über msconfig aus dem Startprozess entfernt, da das vorherige löschen auch nichts gebracht hat...


EDIT: Nach einem Umbennnen der GMER.exe ging diese wieder. Hier das log file
Code:
GMER 1.0.15.14972 - hxxp://www.gmer.net
Rootkit scan 2009-04-30 13:51:00
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.15 ----

INT 0x62  ?                                                                                                                              8ACF4BF8
INT 0x63  ?                                                                                                                              8A107BF8
INT 0x74  ?                                                                                                                              8A107BF8
INT 0x83  ?                                                                                                                              8AC85BF8
INT 0x83  ?                                                                                                                              8A107BF8
INT 0x84  ?                                                                                                                              8A107BF8
INT 0x94  ?                                                                                                                              8ACF4BF8
INT 0x94  ?                                                                                                                              8ACF4BF8
INT 0x94  ?                                                                                                                              8A107BF8
INT 0x94  ?                                                                                                                              8ACF4BF8
INT 0xB4  ?                                                                                                                              8A107BF8

Code      89E8BB98                                                                                                                      ZwEnumerateKey
Code      89E5ADE8                                                                                                                      ZwFlushInstructionCache
Code      89E75A7E                                                                                                                      IofCallDriver
Code      89FA50D6                                                                                                                      IofCompleteRequest

---- Kernel code sections - GMER 1.0.15 ----

.text    ntoskrnl.exe!IofCallDriver                                                                                                    804E13A7 5 Bytes  JMP 89E75A83
.text    ntoskrnl.exe!IofCompleteRequest                                                                                                804E17BD 5 Bytes  JMP 89FA50DB
PAGE      ntoskrnl.exe!ZwEnumerateKey                                                                                                    80578E14 5 Bytes  JMP 89E8BB9C
PAGE      ntoskrnl.exe!ZwFlushInstructionCache                                                                                          80587BFB 5 Bytes  JMP 89E5ADEC
?        spfs.sys                                                                                                                      Das System kann die angegebene Datei nicht finden. !
.text    USBPORT.SYS!DllUnload                                                                                                          B8BA38AC 5 Bytes  JMP 8A1071D8

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT      \WINDOWS\System32\Drivers\SCSIPORT.SYS[ntoskrnl.exe!DbgBreakPoint]                                                            8ACF62D8
IAT      pci.sys[ntoskrnl.exe!IoDetachDevice]                                                                                          [F7508C4C] spfs.sys
IAT      pci.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack]                                                                              [F7508CA0] spfs.sys
IAT      atapi.sys[HAL.dll!READ_PORT_UCHAR]                                                                                            [F74D8040] spfs.sys
IAT      atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT]                                                                                    [F74D813C] spfs.sys
IAT      atapi.sys[HAL.dll!READ_PORT_USHORT]                                                                                            [F74D80BE] spfs.sys
IAT      atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                                                                    [F74D87FC] spfs.sys
IAT      atapi.sys[HAL.dll!WRITE_PORT_UCHAR]                                                                                            [F74D86D2] spfs.sys
IAT      \SystemRoot\system32\DRIVERS\USBPORT.SYS[ntoskrnl.exe!DbgBreakPoint]                                                          8A1072D8
IAT      \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                                                            [F74E8048] spfs.sys

---- User IAT/EAT - GMER 1.0.15 ----

IAT      C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[880] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!GetProcAddress]            [00F72BC8] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT      C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[880] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!UnhandledExceptionFilter]  [00F72CE9] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT      C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[880] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!TerminateProcess]          [00F72CB8] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT      C:\WINDOWS\Explorer.EXE[3768] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtCreateFile]                                      [00C72F20] C:\WINDOWS\TEMP\logishrd\LVPrcInj01.dll (Camera Helper Library./Logitech Inc.)
IAT      C:\WINDOWS\Explorer.EXE[3768] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtDeviceIoControlFile]                            [00C72C90] C:\WINDOWS\TEMP\logishrd\LVPrcInj01.dll (Camera Helper Library./Logitech Inc.)
IAT      C:\WINDOWS\Explorer.EXE[3768] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtClose]                                          [00C72CF0] C:\WINDOWS\TEMP\logishrd\LVPrcInj01.dll (Camera Helper Library./Logitech Inc.)
IAT      C:\WINDOWS\Explorer.EXE[3768] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtDuplicateObject]                                [00C72CC0] C:\WINDOWS\TEMP\logishrd\LVPrcInj01.dll (Camera Helper Library./Logitech Inc.)

---- Services - GMER 1.0.15 ----

Service  C:\WINDOWS\system32\drivers\UACdonmpxjxtfllsxd.sys (*** hidden *** )                                                          [SYSTEM] UACd.sys                                                                          <-- ROOTKIT !!!

---- EOF - GMER 1.0.15 ----
Combofix habe ich auch umbenannt. Geht nun auch. Ich werde es mal durchlaufen lassen.....

Chris4You 30.04.2009 12:56
Hi,

versuche bereits im downloaddialog die exe umzubenennen auf z.B. test.com...
wie sieht es im abgesicherten Modus (F8 beim Booten) aus?

Halt:
Habe jetzt erst Dein Mail gesehen...
Wie folgt vorgehen:

Alternativ:
Arbeitsplatz->rechte Maustaste->Eigenschaften->Hardware->Gerätemanager->Ansicht->ausgeblendete Geräte anzeigen->Nicht PnP-Treiber

und dort den Treiber "UACd.sys" oder aehnlich deaktivieren und neu starten.
Bitte melden ob gefunden und was gefunden (jaja, die netten kleinen Rootkits...)
Zum dem Rootkit gehört:
%System%\uacinit.dll
%System%\drivers\UAC[RANDOM CHARACTERS].sys

Schauen wir mal ob wir über RSIT was rausbekommen:
RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.

* Lade Random's System Information Tool (RSIT) herunter (http://filepony.de/download-rsit/)
* speichere es auf Deinem Desktop.
* Starte mit Doppelklick die RSIT.exe.
* Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
* Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
* In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
* Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
* Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
* Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
* Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

chris
Ps.: Den kriegen wir!

psychoaki 30.04.2009 13:14
Hi,

also im Gerätemanager war kein Treiber mit dem entsprechenden Anfang (UAC) vorhanden. ComboFix läuft gerade (hat direkt am Anfang die UAC-Rootkits gemeldet), danach werde ich versuchen MAM durchlaufen zu lassen und abschließend noch einmal alle logfiles (inklusive RSIT) posten.

Grüße,
Psychoaki

Chris4You 30.04.2009 13:20
Hi,

muss zu cheffe bin jetzt erstmal wech...

chris

psychoaki 30.04.2009 16:09
Hallo,
ich habe zunächst einmal die Combofix durchgeführt, hier das log

Code:
ComboFix 09-04-29.07 - Administrator 30.04.2009 14:08.6 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2030.1629 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\dsd.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated)
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat
c:\windows\system32\_000007_.tmp.dll
c:\windows\system32\drivers\UACdonmpxjxtfllsxd.sys
c:\windows\system32\UACdcxecwyebfycgwk.dll
c:\windows\system32\UACdydgwdoeqjlgpdv.log
c:\windows\system32\uacinit.dll
c:\windows\system32\UACkdddovnltkoaiki.dll
c:\windows\system32\UAClkypfmrkketmkae.log
c:\windows\system32\UACodfpvvuadixsxky.log
c:\windows\system32\UACqjbppktjjbetvpn.dll
c:\windows\system32\UACrkxlnuyutuhyaxd.dat
c:\windows\system32\UACrngvgtajryotuwq.dll
c:\windows\system32\UACsouchoylyejeubo.dll

----- BITS: Eventuell infizierte Webseiten -----

hxxp://winpcdown99.com
hxxp://loyalvideoz.com
.
(((((((((((((((((((((((((((((((((((((((  Treiber/Dienste  )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_UACd.sys


(((((((((((((((((((((((  Dateien erstellt von 2009-05-28 bis 2009-4-30  ))))))))))))))))))))))))))))))
.

2009-04-30 11:56 . 2009-04-30 11:56        --------        d-----w        C:\addgaad
2009-04-29 10:05 . 2009-04-30 10:54        --------        d-----w        c:\programme\Enigma Software Group
2009-04-29 08:44 . 2009-04-29 08:44        --------        d-----w        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Stardock
2009-04-29 00:38 . 2009-04-29 00:38        1020928        ----a-w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\pcdefender.exe
2009-04-22 21:31 . 2009-04-22 21:31        --------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Zeon
2009-04-22 21:30 . 2009-04-22 21:30        --------        d-----w        c:\windows\system32\config\systemprofile\Anwendungsdaten\Zeon
2009-04-22 21:30 . 2009-04-22 21:30        --------        d--h--w        c:\windows\system32\GroupPolicy
2009-04-22 21:30 . 2009-04-29 09:02        --------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\ScanSoft
2009-04-22 21:29 . 2009-04-22 21:29        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield
2009-04-22 21:29 . 2009-04-29 09:02        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\ScanSoft
2009-04-21 09:51 . 2009-04-21 09:51        --------        d-----w        c:\programme\PrimeColor Software
2009-04-19 18:53 . 2009-01-07 02:03        4608        ------w        c:\windows\system32\drivers\TSMAPIP.SYS
2009-04-16 07:39 . 2009-04-16 07:39        --------        d-----w        c:\programme\iPod
2009-04-16 07:39 . 2009-04-16 07:39        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{8CD7F5AF-ECFA-4793-BF40-D8F42DBFF906}
2009-04-16 07:39 . 2009-04-16 07:39        --------        d-----w        c:\programme\iTunes
2009-04-16 07:38 . 2009-04-16 07:38        --------        d-----w        c:\programme\Bonjour
2009-04-15 13:52 . 2009-04-15 13:52        --------        d-----w        C:\saxi
2009-04-02 00:56 . 2009-04-14 16:42        229712        ----a-w        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2009-03-31 13:29 . 2009-03-31 13:29        --------        d-----w        c:\windows\SxsCaPendDel

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-30 11:46 . 2008-11-17 22:08 284571        ----a-w        c:\windows\system32\nvModes.dat
2009-04-30 11:15 . 2008-12-04 11:03        --------        d-----w        c:\programme\Malwarebytes' Anti-Malware
2009-04-29 16:27 . 2008-12-21 10:20        --------        d-----w        c:\programme\PPStream
2009-04-29 16:25 . 2008-12-14 16:26        --------        d-----w        c:\programme\CB Model Pro
2009-04-29 09:37 . 2002-12-31 12:00        85724        ----a-w        c:\windows\system32\perfc007.dat
2009-04-29 09:37 . 2002-12-31 12:00        462560        ----a-w        c:\windows\system32\perfh007.dat
2009-04-29 09:20 . 2008-11-17 22:42        53600        ----a-w        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-04-29 00:38 . 2009-04-29 00:38        1020928        ---h--w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\BIT45.tmp
2009-04-28 19:44 . 2008-12-05 20:01        --------        d-----w        c:\programme\TVAnts
2009-04-28 07:31 . 2009-03-19 09:27        55640        ----a-w        c:\windows\system32\drivers\avgntflt.sys
2009-04-22 21:29 . 2008-11-17 22:21        --------        d-----w        c:\programme\Gemeinsame Dateien\InstallShield
2009-04-19 18:53 . 2008-11-17 22:22        --------        d--h--w        c:\programme\InstallShield Installation Information
2009-04-19 18:52 . 2008-11-17 22:38        --------        d-----w        c:\programme\Lenovo
2009-04-16 07:39 . 2008-11-18 00:20        --------        d-----w        c:\programme\Gemeinsame Dateien\Apple
2009-04-01 23:42 . 2008-12-28 10:45        --------        d-----w        c:\programme\JDownloader
2009-04-01 07:52 . 2008-11-19 20:53        --------        d-----w        c:\programme\Java
2009-03-19 14:32 . 2009-02-25 21:25        23400        ----a-w        c:\windows\system32\drivers\GEARAspiWDM.sys
2009-03-19 09:37 . 2008-11-18 14:32        --------        d-----w        c:\programme\Paragon Software
2009-03-19 09:36 . 2009-02-26 09:22        --------        d-----w        c:\programme\MediaMonkey
2009-03-19 09:27 . 2009-03-19 09:27        --------        d-----w        c:\programme\Avira
2009-03-18 21:44 . 2009-03-18 21:43        --------        d-----w        c:\programme\DivX
2009-03-18 21:43 . 2009-03-18 21:43        --------        d-----w        c:\programme\Gemeinsame Dateien\DivX Shared
2009-03-16 22:09 . 2009-03-16 22:09        --------        d-----w        c:\programme\Gemeinsame Dateien\DVDVideoSoft
2009-03-16 22:09 . 2009-03-16 22:09        --------        d-----w        c:\programme\DVDVideoSoft
2009-03-09 03:19 . 2008-11-19 20:53        410984        ----a-w        c:\windows\system32\deploytk.dll
2009-03-08 21:50 . 2009-03-08 21:50        --------        d-----w        c:\programme\Zattoo
2009-03-06 14:19 . 2008-04-14 05:52        286720        ----a-w        c:\windows\system32\pdh.dll
2009-03-05 22:59 . 2009-03-13 16:09 1900544        ----a-w        c:\windows\system32\usbaaplrc.dll
2009-03-05 22:59 . 2009-02-25 21:24        36864        ----a-w        c:\windows\system32\drivers\usbaapl.sys
2009-03-05 10:23 . 2008-12-04 10:43        --------        d-----w        c:\programme\Spybot - Search & Destroy
2009-03-03 00:03 . 2009-03-03 00:03        826368        ----a-w        c:\windows\system32\SET20.tmp
2009-03-03 00:03 . 2008-04-14 05:52        826368        ----a-w        c:\windows\system32\wininet.dll
2009-02-11 09:19 . 2008-12-04 11:03        38496        ----a-w        c:\windows\system32\drivers\mbamswissarmy.sys
2009-02-11 09:19 . 2008-12-04 11:03        15504        ----a-w        c:\windows\system32\drivers\mbam.sys
2009-02-09 14:04 . 2008-04-14 05:23        1846912        ----a-w        c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2008-04-14 07:30        2026496        ----a-w        c:\windows\system32\ntkrnlpa.exe
2009-02-09 11:21 . 2008-04-14 05:29        2147840        ----a-w        c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2008-04-14 05:53        111104        ----a-w        c:\windows\system32\services.exe
2009-02-09 10:51 . 2008-04-14 05:52        401408        ----a-w        c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2008-04-14 05:52        736768        ----a-w        c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2008-04-14 05:52        678400        ----a-w        c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2008-04-14 05:51        740352        ----a-w        c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2002-12-31 12:00        35328        ----a-w        c:\windows\system32\sc.exe
2009-02-03 19:57 . 2009-02-03 19:57        56832        ----a-w        c:\windows\system32\SET8C.tmp
2009-02-03 19:57 . 2008-04-14 05:52        56832        ----a-w        c:\windows\system32\secur32.dll
2009-01-27 01:34 . 2009-01-27 01:34        1044480        ----a-w        c:\programme\mozilla firefox\plugins\libdivx.dll
2009-01-27 01:34 . 2009-01-27 01:34        200704        ----a-w        c:\programme\mozilla firefox\plugins\ssldivx.dll
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-07-16 13537280]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2008-07-03 1323008]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2008-04-24 1036288]
"TVT Scheduler Proxy"="c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" [2008-03-04 487424]
"TPHOTKEY"="c:\programme\Lenovo\HOTKEY\TPOSDSVC.exe" [2008-09-30 68976]
"PWRMGRTR"="c:\progra~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL" [2008-09-25 331776]
"BLOG"="c:\progra~1\ThinkPad\UTILIT~1\BatLogEx.DLL" [2008-09-25 208896]
"TPKMAPHELPER"="c:\programme\ThinkPad\Utilities\TpKmapAp.exe" [2007-01-09 868352]
"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2008-08-15 425984]
"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2008-08-15 143360]
"Synchronization Manager"="c:\windows\system32\mobsync.exe" [2008-04-14 144384]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-07-16 86016]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"TPFNF7"="c:\programme\Lenovo\NPDIRECT\TPFNF7SP.exe" [2009-01-07 60704]
"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2008-07-16 1630208]
"TpShocks"="TpShocks.exe" - c:\windows\system32\TpShocks.exe [2008-06-06 181536]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 137216]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\psfus]
2008-06-24 16:31        95496        ----a-w        c:\windows\system32\psqlpwd.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]
2006-09-06 14:37        34344        ----a-w        c:\programme\Lenovo\HOTKEY\notifyf2.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]
2008-08-08 17:14        28672        ----a-w        c:\programme\Lenovo\HOTKEY\tphklock.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ACNotify]
2008-08-15 20:37        32768        ----a-w        c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nnnmkJyV]
 [BU]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages        REG_MULTI_SZ          scecli ACGina psqlpwd

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Administrator^Startmenü^Programme^Autostart^Logitech . Produktregistrierung.lnk]
path=c:\dokumente und einstellungen\Administrator\Startmenü\Programme\Autostart\Logitech . Produktregistrierung.lnk
backup=c:\windows\pss\Logitech . Produktregistrierung.lnkStartup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Acrobat - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Acrobat - Schnellstart.lnk
backup=c:\windows\pss\Adobe Acrobat - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk
backup=c:\windows\pss\Adobe Reader - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader Synchronizer.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk
backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^BTTray.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\BTTray.lnk
backup=c:\windows\pss\BTTray.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^PHOTOfunSTUDIO -viewer-.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\PHOTOfunSTUDIO -viewer-.lnk
backup=c:\windows\pss\PHOTOfunSTUDIO -viewer-.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VPN Client.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\VPN Client.lnk
backup=c:\windows\pss\VPN Client.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Wireless USB Control Center.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Wireless USB Control Center.lnk
backup=c:\windows\pss\Wireless USB Control Center.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"AntiVirService"=2 (0x2)
"AntiVirSchedulerService"=2 (0x2)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\CambridgeSoft\\ChemOffice2005\\ChemDraw\\ChemDraw.exe"=
"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Programme\\Google\\Google Talk\\googletalk.exe"=
"c:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\Kaspersky Lab Setup Files\\Kaspersky Internet Security 2009\\German\\setup.exe"=
"c:\\Programme\\TVAnts\\Tvants.exe"=
"c:\\Programme\\uusee\\UUSeePlayer.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Adobe\\CS4ServiceManager\\CS4ServiceManager.exe"=
"c:\\Programme\\CambridgeSoft\\ChemOffice2005\\Chem3D\\Chem3D.exe"=
"c:\\Programme\\PPStream\\PPStream.exe"=
"c:\\Programme\\PPStream\\PPSAP.exe"=
"c:\\Programme\\VideoLAN\\VLC\\vlc.exe"=
"c:\\Programme\\Zattoo\\zattood.exe"=
"c:\\Programme\\Zattoo\\Zattoo2.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5353:TCP"= 5353:TCP:Adobe CSI CS4

R1 TPPWRIF;TPPWRIF; [x]
R4 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [2009-04-28 108289]
S0 hotcore3;hotcore3;c:\windows\system32\drivers\hotcore3.sys [2007-11-06 39472]
S0 Shockprf;Shockprf;c:\windows\System32\DRIVERS\Apsx86.sys [2008-05-14 114728]
S0 TPDIGIMN;TPDIGIMN;c:\windows\System32\DRIVERS\ApsHM86.sys [2008-05-14 19496]
S1 ANC;ANC;c:\windows\system32\drivers\ANC.SYS [2008-08-15 11520]
S1 IBMTPCHK;IBMTPCHK;c:\windows\system32\Drivers\IBMBLDID.sys [2008-08-15 4224]
S1 lenovo.smi;Lenovo System Interface Driver;c:\windows\system32\DRIVERS\smiif32.sys [2008-05-12 13480]
S2 Power Manager DBC Service;Power Manager DBC Service;c:\programme\ThinkPad\Utilities\PWMDBSVC.exe [2008-09-25 94208]
S2 smihlp;SMI Helper Driver (smihlp);c:\programme\Gemeinsame Dateien\ThinkVantage Fingerprint Software\Drivers\smihlp.sys [2008-06-24 12560]


[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f16d3b92-c82f-11dd-a056-0013e8478ae5}]
\Shell\AutoRun\command - H:\LaunchU3.exe -a
.
Inhalt des "geplante Tasks" Ordners

2009-04-30 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-12-04 11:59]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

BHO-{39fc2065-c9c7-49cd-8942-44cc2dedc844} - (no file)
BHO-{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - (no file)
ShellExecuteHooks-{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - (no file)
Notify-tuvTklmM - tuvTklmM.dll


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
uInternet Connection Wizard,ShellNext = hxxp://www.winfuture.de/
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: An vorhandenes PDF anfügen - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Auswahl in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Auswahl in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Senden an &Bluetooth-Gerät... - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
IE: Senden an Bluetooth - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
IE: Verknüpfungsziel in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
TCP: {DB35D719-E31A-470B-B05B-C067DC58F210} = 134.147.222.4,134.147.32.40
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\r1e1nxga.default\
FF - prefs.js: browser.startup.homepage - www.google.de
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Picasa3\npPicasa3.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npSfAppM.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2009-04-30 14:13
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-1935655697-179605362-1801674531-500\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:76,a9,6a,b5,54,49,ac,53,d7,9d,d9,0b,9a,95,8e,de,b5,fb,1a,0f,34,3f,44,
  43,f7,33,bb,4d,26,fd,61,1e,9a,ac,54,67,00,ba,94,64,9a,3c,70,0a,7c,63,e5,46,\
"??"=hex:35,fc,c6,3d,c9,02,ad,db,37,1f,61,de,0f,33,8f,50
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1420)
c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\windows\system32\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll
c:\programme\ThinkVantage Fingerprint Software\homepass.dll
c:\programme\ThinkVantage Fingerprint Software\bio.dll
c:\programme\ThinkVantage Fingerprint Software\qlbase.dll
c:\programme\Lenovo\HOTKEY\tphklock.dll

- - - - - - - > 'lsass.exe'(1476)
c:\programme\ThinkPad\ConnectUtilities\ACGina.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACON.dll
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgr.dll
c:\programme\ThinkPad\ConnectUtilities\AcCryptHlpr.dll
c:\programme\ThinkPad\ConnectUtilities\ACTurinSupport.dll
c:\programme\ThinkPad\ConnectUtilities\AcSmBiosHelper.dll
c:\programme\ThinkPad\ConnectUtilities\AcAdaptersInfo.dll
c:\windows\system32\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll

- - - - - - - > 'explorer.exe'(3508)
c:\windows\TEMP\logishrd\LVPrcInj01.dll
c:\windows\system32\nview.dll
c:\windows\system32\NVWRSDE.DLL
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\programme\Intel\Wireless\Bin\S24EvMon.exe
c:\programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\programme\Bonjour\mDNSResponder.exe
c:\programme\Cisco Systems\VPN Client\cvpnd.exe
c:\programme\Intel\Wireless\Bin\EvtEng.exe
c:\programme\Canon\IJPLM\ijplmsvc.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
c:\programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Intel\Wireless\Bin\RegSrvc.exe
c:\programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
c:\windows\system32\TPHDEXLG.exe
c:\windows\system32\TpKmpSvc.exe
c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
c:\windows\system32\wdfmgr.exe
c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe
c:\programme\Lenovo\System Update\SUService.exe
c:\programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
c:\windows\system32\rundll32.exe
c:\windows\system32\rundll32.exe
c:\programme\Lenovo\HOTKEY\TPONSCR.exe
c:\programme\Synaptics\SynTP\SynTPLpr.exe
c:\programme\Lenovo\ZOOM\TpScrex.exe
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-30 14:16 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-30 12:16
ComboFix2.txt  2009-03-06 00:59
ComboFix3.txt  2009-03-05 16:24
ComboFix4.txt  2008-12-04 12:56
ComboFix5.txt  2009-04-30 11:52

Vor Suchlauf: 17 Verzeichnis(se), 38.847.635.456 Bytes frei
Nach Suchlauf: 15 Verzeichnis(se), 38.839.156.736 Bytes frei

Current=10 Default=10 Failed=9 LastKnownGood=11 Sets=1,2,3,4,5,6,7,8,9,10,11
335        --- E O F ---        2009-04-15 18:15

psychoaki 30.04.2009 16:11
Dann habe ich MAM durchgeführt
Code:
Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1820
Windows 5.1.2600 Service Pack 3

30.04.2009 16:33:50
mbam-log-2009-04-30 (16-33-50).txt

Scan-Methode: Vollständiger Scan (C:\|F:\|G:\|)
Durchsuchte Objekte: 345314
Laufzeit: 1 hour(s), 52 minute(s), 2 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Programme\Lenovo\NPDIRECT\vcredist_x86.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP61\A0013696.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP61\A0013697.exe (Trojan.Vundo) -> Quarantined and deleted successfully.

psychoaki 30.04.2009 16:12
dann die mbr.exe
Code:
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
anschließend noch einmal die combofix
Code:
ComboFix 09-04-29.07 - Administrator 30.04.2009 16:44.7 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2030.1297 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\dsd.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated)
.

(((((((((((((((((((((((  Dateien erstellt von 2009-05-28 bis 2009-4-30  ))))))))))))))))))))))))))))))
.

2009-04-30 11:56 . 2009-04-30 11:56        --------        d-----w        C:\addgaad
2009-04-29 10:05 . 2009-04-30 10:54        --------        d-----w        c:\programme\Enigma Software Group
2009-04-29 08:44 . 2009-04-29 08:44        --------        d-----w        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Stardock
2009-04-29 00:38 . 2009-04-29 00:38        1020928        ----a-w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\pcdefender.exe
2009-04-22 21:31 . 2009-04-22 21:31        --------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Zeon
2009-04-22 21:30 . 2009-04-22 21:30        --------        d-----w        c:\windows\system32\config\systemprofile\Anwendungsdaten\Zeon
2009-04-22 21:30 . 2009-04-22 21:30        --------        d--h--w        c:\windows\system32\GroupPolicy
2009-04-22 21:30 . 2009-04-29 09:02        --------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\ScanSoft
2009-04-22 21:29 . 2009-04-22 21:29        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield
2009-04-22 21:29 . 2009-04-29 09:02        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\ScanSoft
2009-04-21 09:51 . 2009-04-21 09:51        --------        d-----w        c:\programme\PrimeColor Software
2009-04-19 18:53 . 2009-01-07 02:03        4608        ------w        c:\windows\system32\drivers\TSMAPIP.SYS
2009-04-16 07:39 . 2009-04-16 07:39        --------        d-----w        c:\programme\iPod
2009-04-16 07:39 . 2009-04-16 07:39        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{8CD7F5AF-ECFA-4793-BF40-D8F42DBFF906}
2009-04-16 07:39 . 2009-04-16 07:39        --------        d-----w        c:\programme\iTunes
2009-04-16 07:38 . 2009-04-16 07:38        --------        d-----w        c:\programme\Bonjour
2009-04-15 13:52 . 2009-04-15 13:52        --------        d-----w        C:\saxi
2009-04-02 00:56 . 2009-04-14 16:42        229712        ----a-w        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-30 11:46 . 2008-11-17 22:08 284571        ----a-w        c:\windows\system32\nvModes.dat
2009-04-30 11:15 . 2008-12-04 11:03        --------        d-----w        c:\programme\Malwarebytes' Anti-Malware
2009-04-29 16:27 . 2008-12-21 10:20        --------        d-----w        c:\programme\PPStream
2009-04-29 16:25 . 2008-12-14 16:26        --------        d-----w        c:\programme\CB Model Pro
2009-04-29 09:37 . 2002-12-31 12:00        85724        ----a-w        c:\windows\system32\perfc007.dat
2009-04-29 09:37 . 2002-12-31 12:00        462560        ----a-w        c:\windows\system32\perfh007.dat
2009-04-29 09:20 . 2008-11-17 22:42        53600        ----a-w        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-04-29 00:38 . 2009-04-29 00:38        1020928        ---h--w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\BIT45.tmp
2009-04-28 19:44 . 2008-12-05 20:01        --------        d-----w        c:\programme\TVAnts
2009-04-28 07:31 . 2009-03-19 09:27        55640        ----a-w        c:\windows\system32\drivers\avgntflt.sys
2009-04-22 21:29 . 2008-11-17 22:21        --------        d-----w        c:\programme\Gemeinsame Dateien\InstallShield
2009-04-19 18:53 . 2008-11-17 22:22        --------        d--h--w        c:\programme\InstallShield Installation Information
2009-04-19 18:52 . 2008-11-17 22:38        --------        d-----w        c:\programme\Lenovo
2009-04-16 07:39 . 2008-11-18 00:20        --------        d-----w        c:\programme\Gemeinsame Dateien\Apple
2009-04-01 23:42 . 2008-12-28 10:45        --------        d-----w        c:\programme\JDownloader
2009-04-01 07:52 . 2008-11-19 20:53        --------        d-----w        c:\programme\Java
2009-03-19 14:32 . 2009-02-25 21:25        23400        ----a-w        c:\windows\system32\drivers\GEARAspiWDM.sys
2009-03-19 09:37 . 2008-11-18 14:32        --------        d-----w        c:\programme\Paragon Software
2009-03-19 09:36 . 2009-02-26 09:22        --------        d-----w        c:\programme\MediaMonkey
2009-03-19 09:27 . 2009-03-19 09:27        --------        d-----w        c:\programme\Avira
2009-03-18 21:44 . 2009-03-18 21:43        --------        d-----w        c:\programme\DivX
2009-03-18 21:43 . 2009-03-18 21:43        --------        d-----w        c:\programme\Gemeinsame Dateien\DivX Shared
2009-03-16 22:09 . 2009-03-16 22:09        --------        d-----w        c:\programme\Gemeinsame Dateien\DVDVideoSoft
2009-03-16 22:09 . 2009-03-16 22:09        --------        d-----w        c:\programme\DVDVideoSoft
2009-03-09 03:19 . 2008-11-19 20:53        410984        ----a-w        c:\windows\system32\deploytk.dll
2009-03-08 21:50 . 2009-03-08 21:50        --------        d-----w        c:\programme\Zattoo
2009-03-06 14:19 . 2008-04-14 05:52        286720        ----a-w        c:\windows\system32\pdh.dll
2009-03-05 22:59 . 2009-03-13 16:09 1900544        ----a-w        c:\windows\system32\usbaaplrc.dll
2009-03-05 22:59 . 2009-02-25 21:24        36864        ----a-w        c:\windows\system32\drivers\usbaapl.sys
2009-03-05 10:23 . 2008-12-04 10:43        --------        d-----w        c:\programme\Spybot - Search & Destroy
2009-03-03 00:03 . 2009-03-03 00:03        826368        ----a-w        c:\windows\system32\SET20.tmp
2009-03-03 00:03 . 2008-04-14 05:52        826368        ----a-w        c:\windows\system32\wininet.dll
2009-02-11 09:19 . 2008-12-04 11:03        38496        ----a-w        c:\windows\system32\drivers\mbamswissarmy.sys
2009-02-11 09:19 . 2008-12-04 11:03        15504        ----a-w        c:\windows\system32\drivers\mbam.sys
2009-02-09 14:04 . 2008-04-14 05:23        1846912        ----a-w        c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2008-04-14 07:30        2026496        ----a-w        c:\windows\system32\ntkrnlpa.exe
2009-02-09 11:21 . 2008-04-14 05:29        2147840        ----a-w        c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2008-04-14 05:53        111104        ----a-w        c:\windows\system32\services.exe
2009-02-09 10:51 . 2008-04-14 05:52        401408        ----a-w        c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2008-04-14 05:52        736768        ----a-w        c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2008-04-14 05:52        678400        ----a-w        c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2008-04-14 05:51        740352        ----a-w        c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2002-12-31 12:00        35328        ----a-w        c:\windows\system32\sc.exe
2009-02-03 19:57 . 2009-02-03 19:57        56832        ----a-w        c:\windows\system32\SET8C.tmp
2009-02-03 19:57 . 2008-04-14 05:52        56832        ----a-w        c:\windows\system32\secur32.dll
2009-01-27 01:34 . 2009-01-27 01:34        1044480        ----a-w        c:\programme\mozilla firefox\plugins\libdivx.dll
2009-01-27 01:34 . 2009-01-27 01:34        200704        ----a-w        c:\programme\mozilla firefox\plugins\ssldivx.dll
.

(((((((((((((((((((((((((((((  SnapShot@2009-04-30_12.13.24  )))))))))))))))))))))))))))))))))))))))))
.
- 2009-04-30 12:12 . 2009-04-30 12:12        16384              c:\windows\Temp\Perflib_Perfdata_3e8.dat
+ 2009-04-30 14:47 . 2009-04-30 14:47        16384              c:\windows\Temp\Perflib_Perfdata_3e8.dat
+ 2009-04-30 14:47 . 2008-12-16 20:59        109080              c:\windows\Temp\logishrd\LVPrcInj01.dll
- 2009-04-30 12:12 . 2008-12-16 20:59        109080              c:\windows\Temp\logishrd\LVPrcInj01.dll
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-07-16 13537280]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2008-07-03 1323008]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2008-04-24 1036288]
"TVT Scheduler Proxy"="c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" [2008-03-04 487424]
"TPHOTKEY"="c:\programme\Lenovo\HOTKEY\TPOSDSVC.exe" [2008-09-30 68976]
"PWRMGRTR"="c:\progra~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL" [2008-09-25 331776]
"BLOG"="c:\progra~1\ThinkPad\UTILIT~1\BatLogEx.DLL" [2008-09-25 208896]
"TPKMAPHELPER"="c:\programme\ThinkPad\Utilities\TpKmapAp.exe" [2007-01-09 868352]
"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2008-08-15 425984]
"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2008-08-15 143360]
"Synchronization Manager"="c:\windows\system32\mobsync.exe" [2008-04-14 144384]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-07-16 86016]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"TPFNF7"="c:\programme\Lenovo\NPDIRECT\TPFNF7SP.exe" [2009-01-07 60704]
"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2008-07-16 1630208]
"TpShocks"="TpShocks.exe" - c:\windows\system32\TpShocks.exe [2008-06-06 181536]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 137216]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\psfus]
2008-06-24 16:31        95496        ----a-w        c:\windows\system32\psqlpwd.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]
2006-09-06 14:37        34344        ----a-w        c:\programme\Lenovo\HOTKEY\notifyf2.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]
2008-08-08 17:14        28672        ----a-w        c:\programme\Lenovo\HOTKEY\tphklock.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ACNotify]
2008-08-15 20:37        32768        ----a-w        c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nnnmkJyV]
 [BU]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages        REG_MULTI_SZ          scecli ACGina psqlpwd

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Administrator^Startmenü^Programme^Autostart^Logitech . Produktregistrierung.lnk]
path=c:\dokumente und einstellungen\Administrator\Startmenü\Programme\Autostart\Logitech . Produktregistrierung.lnk
backup=c:\windows\pss\Logitech . Produktregistrierung.lnkStartup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Acrobat - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Acrobat - Schnellstart.lnk
backup=c:\windows\pss\Adobe Acrobat - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk
backup=c:\windows\pss\Adobe Reader - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader Synchronizer.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk
backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^BTTray.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\BTTray.lnk
backup=c:\windows\pss\BTTray.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^PHOTOfunSTUDIO -viewer-.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\PHOTOfunSTUDIO -viewer-.lnk
backup=c:\windows\pss\PHOTOfunSTUDIO -viewer-.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VPN Client.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\VPN Client.lnk
backup=c:\windows\pss\VPN Client.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Wireless USB Control Center.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Wireless USB Control Center.lnk
backup=c:\windows\pss\Wireless USB Control Center.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"AntiVirService"=2 (0x2)
"AntiVirSchedulerService"=2 (0x2)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\CambridgeSoft\\ChemOffice2005\\ChemDraw\\ChemDraw.exe"=
"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Programme\\Google\\Google Talk\\googletalk.exe"=
"c:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\Kaspersky Lab Setup Files\\Kaspersky Internet Security 2009\\German\\setup.exe"=
"c:\\Programme\\TVAnts\\Tvants.exe"=
"c:\\Programme\\uusee\\UUSeePlayer.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Adobe\\CS4ServiceManager\\CS4ServiceManager.exe"=
"c:\\Programme\\CambridgeSoft\\ChemOffice2005\\Chem3D\\Chem3D.exe"=
"c:\\Programme\\PPStream\\PPStream.exe"=
"c:\\Programme\\PPStream\\PPSAP.exe"=
"c:\\Programme\\VideoLAN\\VLC\\vlc.exe"=
"c:\\Programme\\Zattoo\\zattood.exe"=
"c:\\Programme\\Zattoo\\Zattoo2.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5353:TCP"= 5353:TCP:Adobe CSI CS4

R1 TPPWRIF;TPPWRIF; [x]
R4 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [2009-04-28 108289]
S0 hotcore3;hotcore3;c:\windows\system32\drivers\hotcore3.sys [2007-11-06 39472]
S0 Shockprf;Shockprf;c:\windows\System32\DRIVERS\Apsx86.sys [2008-05-14 114728]
S0 TPDIGIMN;TPDIGIMN;c:\windows\System32\DRIVERS\ApsHM86.sys [2008-05-14 19496]
S1 ANC;ANC;c:\windows\system32\drivers\ANC.SYS [2008-08-15 11520]
S1 IBMTPCHK;IBMTPCHK;c:\windows\system32\Drivers\IBMBLDID.sys [2008-08-15 4224]
S1 lenovo.smi;Lenovo System Interface Driver;c:\windows\system32\DRIVERS\smiif32.sys [2008-05-12 13480]
S2 Power Manager DBC Service;Power Manager DBC Service;c:\programme\ThinkPad\Utilities\PWMDBSVC.exe [2008-09-25 94208]
S2 smihlp;SMI Helper Driver (smihlp);c:\programme\Gemeinsame Dateien\ThinkVantage Fingerprint Software\Drivers\smihlp.sys [2008-06-24 12560]


[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f16d3b92-c82f-11dd-a056-0013e8478ae5}]
\Shell\AutoRun\command - H:\LaunchU3.exe -a
.
Inhalt des "geplante Tasks" Ordners

2009-04-30 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-12-04 11:59]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
uInternet Connection Wizard,ShellNext = hxxp://www.winfuture.de/
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: An vorhandenes PDF anfügen - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Auswahl in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Auswahl in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Senden an &Bluetooth-Gerät... - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
IE: Senden an Bluetooth - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
IE: Verknüpfungsziel in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
TCP: {DB35D719-E31A-470B-B05B-C067DC58F210} = 134.147.222.4,134.147.32.40
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\r1e1nxga.default\
FF - prefs.js: browser.startup.homepage - www.google.de
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Picasa3\npPicasa3.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npSfAppM.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2009-04-30 16:48
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-1935655697-179605362-1801674531-500\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:76,a9,6a,b5,54,49,ac,53,d7,9d,d9,0b,9a,95,8e,de,b5,fb,1a,0f,34,3f,44,
  43,f7,33,bb,4d,26,fd,61,1e,9a,ac,54,67,00,ba,94,64,9a,3c,70,0a,7c,63,e5,46,\
"??"=hex:35,fc,c6,3d,c9,02,ad,db,37,1f,61,de,0f,33,8f,50
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1424)
c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\windows\system32\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll
c:\programme\ThinkVantage Fingerprint Software\homepass.dll
c:\programme\ThinkVantage Fingerprint Software\bio.dll
c:\programme\ThinkVantage Fingerprint Software\qlbase.dll
c:\programme\Lenovo\HOTKEY\tphklock.dll

- - - - - - - > 'lsass.exe'(1480)
c:\programme\ThinkPad\ConnectUtilities\ACGina.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACON.dll
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgr.dll
c:\programme\ThinkPad\ConnectUtilities\AcCryptHlpr.dll
c:\programme\ThinkPad\ConnectUtilities\ACTurinSupport.dll
c:\programme\ThinkPad\ConnectUtilities\AcSmBiosHelper.dll
c:\programme\ThinkPad\ConnectUtilities\AcAdaptersInfo.dll
c:\windows\system32\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll

- - - - - - - > 'explorer.exe'(7988)
c:\windows\TEMP\logishrd\LVPrcInj01.dll
c:\windows\system32\nview.dll
c:\windows\system32\NVWRSDE.DLL
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\programme\Intel\Wireless\Bin\S24EvMon.exe
c:\programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\programme\Bonjour\mDNSResponder.exe
c:\programme\Cisco Systems\VPN Client\cvpnd.exe
c:\programme\Intel\Wireless\Bin\EvtEng.exe
c:\programme\Canon\IJPLM\ijplmsvc.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
c:\programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Intel\Wireless\Bin\RegSrvc.exe
c:\programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
c:\windows\system32\TPHDEXLG.exe
c:\windows\system32\TpKmpSvc.exe
c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
c:\windows\system32\wdfmgr.exe
c:\programme\Lenovo\System Update\SUService.exe
c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe
c:\programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
c:\programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\system32\rundll32.exe
c:\windows\system32\rundll32.exe
c:\programme\Synaptics\SynTP\SynTPLpr.exe
c:\programme\Lenovo\HOTKEY\TPONSCR.exe
c:\programme\Lenovo\ZOOM\TpScrex.exe
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-30 16:51 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-30 14:51
ComboFix2.txt  2009-04-30 12:16
ComboFix3.txt  2009-03-06 00:59
ComboFix4.txt  2009-03-05 16:24
ComboFix5.txt  2009-04-30 14:44

Vor Suchlauf: 16 Verzeichnis(se), 38.819.078.144 Bytes frei
Nach Suchlauf: 15 Verzeichnis(se), 38.813.085.696 Bytes frei

Current=10 Default=10 Failed=9 LastKnownGood=11 Sets=1,2,3,4,5,6,7,8,9,10,11
313        --- E O F ---        2009-04-15 18:15

psychoaki 30.04.2009 16:15
das log file von silent runners ist zu lang um es hier zu posten, daher zum abschluss neues HiJack log:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:05:47, on 30.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\ibmpmsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
C:\WINDOWS\System32\TPHDEXLG.exe
C:\WINDOWS\system32\TpKmpSVC.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
C:\Programme\Lenovo\System Update\SUService.exe
C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Analog Devices\Core\smax4pnp.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\WINDOWS\system32\TpShocks.exe
C:\Programme\Lenovo\HOTKEY\TPONSCR.exe
C:\Programme\Lenovo\Zoom\TpScrex.exe
C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hyyp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hyyp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hyyp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hyyp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hyyp://www.winfuture.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [TVT Scheduler Proxy] C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
O4 - HKLM\..\Run: [TPHOTKEY] C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog
O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [ACTray] C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
O4 - HKLM\..\Run: [ACWLIcon] C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [TPFNF7] C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe /r
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hyyp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1226961314428
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hyyp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB35D719-E31A-470B-B05B-C067DC58F210}: NameServer = 134.147.222.4,134.147.32.40
O18 - Protocol: haufereader - (no CLSID) - (no file)
O20 - Winlogon Notify: ACNotify - ACNotify.dll (file missing)
O20 - Winlogon Notify: nnnmkJyV - C:\WINDOWS\
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft - C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: Ac Profile Manager Service (AcPrfMgrSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
O23 - Service: Access Connections Main Service (AcSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Power Manager DBC Service - Unknown owner - C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - C:\Programme\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINDOWS\System32\TPHDEXLG.exe
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe
O23 - Service: TVT Scheduler - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe

--
End of file - 12990 bytes
ist das system wieder ok, also sauber?
LG,
psychoaki

Chris4You 30.04.2009 20:10
Hi,

ein notify-eintrag muß noch raus, und einige files geprüft werden...
Da ist etwas, was mir nicht gefällt, TMP-Dateien mit der identischen Größe wie vitale Windowsdateien...unterschiedliche Zeitstempel...

Bitte folgende Files prüfen:

Dateien Online überprüfen lassen:
  • Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“
    und suche folgende Datei/Dateien:
Code:
c:\windows\system32\SET20.tmp
c:\windows\system32\wininet.dll
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\BIT45.tmp
c:\windows\system32\sc.exe
c:\windows\system32\SET8C.tmp
c:\windows\system32\psqlpwd.dll
  • Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
  • Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
  • Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Also:
Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

http://saved.im/mzi3ndg3nta0/aven.jpg

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")

Code:
registry keys to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nnnmkJyV
3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

chris

psychoaki 04.05.2009 09:46
Hi,
danke für Deine Antwort. Bin jetzt wieder aus dem Kurzurlaub zurück. Hier kommen nacheinander die files...(es passt leider nicht alles in einen Beitrag, daher poste ich es einzelnd...)

wininet.dll

Code:
Antivirus          Version          letzte aktualisierung          Ergebnis
a-squared        4.0.0.101        2009.05.04        -
AhnLab-V3        5.0.0.2        2009.05.03        -
AntiVir        7.9.0.160        2009.05.04        -
Antiy-AVL        2.0.3.1        2009.04.30        -
Authentium        5.1.2.4        2009.05.03        -
Avast        4.8.1335.0        2009.05.03        -
AVG        8.5.0.327        2009.05.03        -
BitDefender        7.2        2009.05.04        -
CAT-QuickHeal        10.00        2009.05.04        -
ClamAV        0.94.1        2009.05.04        -
Comodo        1149        2009.05.03        -
DrWeb        4.44.0.09170        2009.05.04        -
eSafe        7.0.17.0        2009.05.03        -
eTrust-Vet        31.6.6487        2009.05.02        -
F-Prot        4.4.4.56        2009.05.03        -
F-Secure        8.0.14470.0        2009.05.04        -
Fortinet        3.117.0.0        2009.05.04        -
GData        19        2009.05.04        -
Ikarus        T3.1.1.49.0        2009.05.04        -
K7AntiVirus        7.10.722        2009.05.02        -
Kaspersky        7.0.0.125        2009.05.04        -
McAfee        5604        2009.05.03        -
McAfee+Artemis        5604        2009.05.03        -
McAfee-GW-Edition        6.7.6        2009.05.04        -
Microsoft        1.4602        2009.05.04        -
NOD32        4050        2009.05.03        -
Norman        6.01.05        2009.04.30        -
nProtect        2009.1.8.0        2009.05.04        -
Panda        10.0.0.14        2009.05.03        -
PCTools        4.4.2.0        2009.05.03        -
Prevx1        3.0        2009.05.04        -
Rising        21.28.01.00        2009.05.04        -
Sophos        4.41.0        2009.05.04        -
Sunbelt        3.2.1858.2        2009.05.03        -
Symantec        1.4.4.12        2009.05.04        -
TheHacker        6.3.4.1.318        2009.05.03        -
TrendMicro        8.950.0.1092        2009.05.04        -
VBA32        3.12.10.4        2009.05.04        -
ViRobot        2009.5.4.1718        2009.05.04        -
VirusBuster        4.6.5.0        2009.05.03        -
weitere Informationen
File size: 826368 bytes
MD5...: 9f434e15a82d1322fb6860e317783e57
SHA1..: b56b644bca830632069c0bb6531d86f36398b9c5
SHA256: a9418499ed4b920eb4ea86be92a2bc0a7b0f1c6b65b0e804110e0e519f534f34
SHA512: 5ef42264e399786c63467e2a575061c41508c934f564aea3d70ed5b7ae1c96bd
e07b46c0076bbb3d3ced07849aa3fbd2a80af8a0ba788f95121233bf1cd501e3
ssdeep: 12288:ZySFDWc1uR1UKPeoWb6pCnew9OmaoSksjVZpBVpbgkMMIMMutuElREJ:9i
c1A2K1xQxaoKp1bgkMMIMMurE
PEiD..: -
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1784
timedatestamp.....: 0x49ac73d6 (Tue Mar 03 00:03:34 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x9b1d0 0x9b200 6.60 e518d72b4d5f0559bb1c8ad8c990a725
.data 0x9d000 0x7780 0x4000 1.45 dd1e746927d46d06478b2f58a489cad4
.rsrc 0xa5000 0x24d50 0x24e00 4.73 a29bddfdfb84eb391b8d682a438e1186
.reloc 0xca000 0x568c 0x5800 6.72 c7657d7c60a35008d68c35003acb6da5

( 8 imports )
> msvcrt.dll: _isatty, _write, _lseeki64, _fileno, __pioinfo, __badioinfo, wctomb, _itoa, _snprintf, _iob, isleadbyte, _onexit, _lock, __dllonexit, _unlock, _adjust_fdiv, _amsg_exit, _initterm, _XcptFilter, islower, __isascii, strtol, memmove, strrchr, atoi, realloc, free, malloc, wcstok, _vsnprintf, memcpy, memset, _vsnwprintf, wcsncmp, bsearch, _wcsnicmp, _wtoi, _wcsicmp, isupper, strncmp, wcsstr, _purecall, _mbstok, iscntrl, ispunct, strtoul, time, iswdigit, isalpha, atol, isalnum, _errno, isspace, strpbrk, isdigit, isxdigit, memchr
> ntdll.dll: RtlConvertSidToUnicodeString, RtlUnwind, RtlMoveMemory
> SHLWAPI.dll: SHRegGetValueW, PathAddBackslashW, -, SHRegGetValueA, StrRChrW, PathRemoveBackslashA, PathRemoveFileSpecA, -, PathRemoveBlanksA, PathAddBackslashA, -, PathAppendA, -, PathUnExpandEnvStringsA, PathRenameExtensionA, SHDeleteKeyA, SHDeleteValueW, StrCmpNIW, StrCmpNIA, StrStrA, -, StrChrW, StrChrA, -, -, UrlCombineW, UrlCanonicalizeW, -, PathCreateFromUrlW, UrlUnescapeA, UrlCombineA, UrlCanonicalizeA, StrToIntW, StrCmpW, StrCmpNA, StrRChrA, StrToIntA, StrStrIW, SHGetValueA, SHSetValueA, SHGetValueW, SHSetValueW, -, -, PathCombineW, PathFindFileNameW, StrStrIA
> ADVAPI32.dll: RegDeleteKeyA, RegCreateKeyExW, RegDeleteValueW, RegSetValueExW, RegQueryValueExW, CryptAcquireContextA, CryptGenRandom, CryptReleaseContext, RegOpenKeyA, RegEnumKeyA, TraceEvent, DuplicateTokenEx, ConvertStringSidToSidA, GetLengthSid, SetTokenInformation, CreateProcessAsUserA, ConvertStringSecurityDescriptorToSecurityDescriptorA, GetSidSubAuthorityCount, GetSidSubAuthority, AllocateAndInitializeSid, CheckTokenMembership, FreeSid, RegDeleteValueA, OpenThreadToken, OpenProcessToken, GetTokenInformation, RegOpenKeyExW, UnregisterTraceGuids, RegisterTraceGuidsA, RegQueryInfoKeyW, GetTraceLoggerHandle, GetTraceEnableLevel, GetTraceEnableFlags, RegCreateKeyExA, RegSetValueExA, RegOpenKeyExA, RegQueryValueExA, RegQueryInfoKeyA, RegEnumKeyExA, RegCloseKey, GetUserNameA, OpenSCManagerA, OpenServiceA, CloseServiceHandle, QueryServiceStatus
> KERNEL32.dll: DosDateTimeToFileTime, GetEnvironmentVariableA, GetShortPathNameA, GetShortPathNameW, FindFirstFileA, RemoveDirectoryA, FindNextFileA, FindClose, GetDiskFreeSpaceExA, CopyFileA, SetFileTime, CreateDirectoryA, GetWindowsDirectoryA, GetSystemDirectoryA, GetPrivateProfileStringA, GetFileAttributesA, SetFileAttributesA, GetFileAttributesExA, FileTimeToDosDateTime, GetFileSizeEx, lstrcmpW, RaiseException, MoveFileExA, MoveFileA, LocalFileTimeToFileTime, CreateSemaphoreA, ReleaseSemaphore, GetCurrentProcessId, GetFileTime, lstrcmpA, GetModuleHandleExA, ResumeThread, FreeLibraryAndExitThread, ExpandEnvironmentStringsA, GetSystemTimeAsFileTime, DeleteFileW, GetACP, InterlockedExchangeAdd, CreateThread, Sleep, OpenMutexA, GetModuleHandleA, FormatMessageA, SetErrorMode, FlushViewOfFile, SystemTimeToFileTime, GetTickCount, TlsFree, TlsGetValue, GetCurrentThreadId, TlsSetValue, TlsAlloc, GetDateFormatA, GetTimeFormatA, GlobalAlloc, InterlockedCompareExchange, GetCurrentThread, GetCurrentProcess, IsDBCSLeadByte, IsValidCodePage, GlobalFree, lstrlenW, DeleteFileA, FormatMessageW, GetSystemTime, WritePrivateProfileStringA, GetVersionExA, GetModuleFileNameA, WriteFile, SetFilePointer, CreateFileW, CreateFileA, GetFileSize, ReadFile, FileTimeToSystemTime, LocalReAlloc, InitializeCriticalSection, InterlockedDecrement, lstrlenA, lstrcmpiA, InterlockedIncrement, DeleteCriticalSection, ResetEvent, LocalFree, ReleaseMutex, CompareStringA, CreateMutexA, CreateEventA, MultiByteToWideChar, WideCharToMultiByte, WaitForSingleObject, OutputDebugStringA, UnmapViewOfFile, SetEndOfFile, MapViewOfFileEx, CreateFileMappingA, OpenFileMappingA, LoadLibraryW, HeapFree, HeapAlloc, GetProcessHeap, GetTimeFormatW, GetDateFormatW, GetUserDefaultLCID, GetModuleFileNameW, GetComputerNameA, LoadResource, FindResourceExW, LocalAlloc, LoadLibraryExW, MapViewOfFile, CreateFileMappingW, GetLocaleInfoW, GetVersionExW, GetSystemDefaultUILanguage, GetUserDefaultUILanguage, FindResourceW, SearchPathW, CreateActCtxW, ReleaseActCtx, ActivateActCtx, DeactivateActCtx, SetFileAttributesW, InitializeCriticalSectionAndSpinCount, WritePrivateProfileStringW, GetFileAttributesW, GetModuleHandleW, GlobalUnlock, GlobalLock, QueryPerformanceCounter, TerminateProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDBCSLeadByteEx, GetProcAddress, LoadLibraryA, FreeLibrary, SetEvent, InterlockedExchange, CloseHandle, GetLastError, SetLastError, EnterCriticalSection, LeaveCriticalSection, CompareStringW
> USER32.dll: CheckDlgButton, SendMessageW, SendMessageA, IsDlgButtonChecked, DefWindowProcA, SetWindowLongA, GetWindowLongA, RegisterClassW, CreateWindowExW, SetTimer, GetWindowTextW, MessageBoxW, CharNextA, GetWindowInfo, CharToOemA, CharUpperA, CharLowerW, IsCharAlphaNumericA, GetWindowThreadProcessId, EnumChildWindows, IsWindowVisible, GetAncestor, EnumWindows, CharNextExA, PostMessageA, IsWindow, SetWindowPos, SetDlgItemTextW, DestroyIcon, SetForegroundWindow, GetWindow, GetWindowRect, EqualRect, IntersectRect, EndDialog, SetFocus, GetDlgItem, SetWindowTextW, EnableWindow, KillTimer, FindWindowW, RegisterWindowMessageW, PostMessageW, DestroyWindow, LoadStringW, DialogBoxParamW, GetDesktopWindow, SendDlgItemMessageA, LoadIconA, LoadImageA, LoadStringA, CharLowerA
> Normaliz.dll: IdnToUnicode, IdnToAscii
> iertutil.dll: -, -, -, -

( 229 exports )
CommitUrlCacheEntryA, CommitUrlCacheEntryW, CreateMD5SSOHash, CreateUrlCacheContainerA, CreateUrlCacheContainerW, CreateUrlCacheEntryA, CreateUrlCacheEntryW, CreateUrlCacheGroup, DeleteIE3Cache, DeleteUrlCacheContainerA, DeleteUrlCacheContainerW, DeleteUrlCacheEntry, DeleteUrlCacheEntryA, DeleteUrlCacheEntryW, DeleteUrlCacheGroup, DetectAutoProxyUrl, DispatchAPICall, DllInstall, FindCloseUrlCache, FindFirstUrlCacheContainerA, FindFirstUrlCacheContainerW, FindFirstUrlCacheEntryA, FindFirstUrlCacheEntryExA, FindFirstUrlCacheEntryExW, FindFirstUrlCacheEntryW, FindFirstUrlCacheGroup, FindNextUrlCacheContainerA, FindNextUrlCacheContainerW, FindNextUrlCacheEntryA, FindNextUrlCacheEntryExA, FindNextUrlCacheEntryExW, FindNextUrlCacheEntryW, FindNextUrlCacheGroup, ForceNexusLookup, ForceNexusLookupExW, FreeUrlCacheSpaceA, FreeUrlCacheSpaceW, FtpCommandA, FtpCommandW, FtpCreateDirectoryA, FtpCreateDirectoryW, FtpDeleteFileA, FtpDeleteFileW, FtpFindFirstFileA, FtpFindFirstFileW, FtpGetCurrentDirectoryA, FtpGetCurrentDirectoryW, FtpGetFileA, FtpGetFileEx, FtpGetFileSize, FtpGetFileW, FtpOpenFileA, FtpOpenFileW, FtpPutFileA, FtpPutFileEx, FtpPutFileW, FtpRemoveDirectoryA, FtpRemoveDirectoryW, FtpRenameFileA, FtpRenameFileW, FtpSetCurrentDirectoryA, FtpSetCurrentDirectoryW, GetUrlCacheConfigInfoA, GetUrlCacheConfigInfoW, GetUrlCacheEntryInfoA, GetUrlCacheEntryInfoExA, GetUrlCacheEntryInfoExW, GetUrlCacheEntryInfoW, GetUrlCacheGroupAttributeA, GetUrlCacheGroupAttributeW, GetUrlCacheHeaderData, GopherCreateLocatorA, GopherCreateLocatorW, GopherFindFirstFileA, GopherFindFirstFileW, GopherGetAttributeA, GopherGetAttributeW, GopherGetLocatorTypeA, GopherGetLocatorTypeW, GopherOpenFileA, GopherOpenFileW, HttpAddRequestHeadersA, HttpAddRequestHeadersW, HttpCheckDavCompliance, HttpEndRequestA, HttpEndRequestW, HttpOpenRequestA, HttpOpenRequestW, HttpQueryInfoA, HttpQueryInfoW, HttpSendRequestA, HttpSendRequestExA, HttpSendRequestExW, HttpSendRequestW, IncrementUrlCacheHeaderData, InternetAlgIdToStringA, InternetAlgIdToStringW, InternetAttemptConnect, InternetAutodial, InternetAutodialCallback, InternetAutodialHangup, InternetCanonicalizeUrlA, InternetCanonicalizeUrlW, InternetCheckConnectionA, InternetCheckConnectionW, InternetClearAllPerSiteCookieDecisions, InternetCloseHandle, InternetCombineUrlA, InternetCombineUrlW, InternetConfirmZoneCrossing, InternetConfirmZoneCrossingA, InternetConfirmZoneCrossingW, InternetConnectA, InternetConnectW, InternetCrackUrlA, InternetCrackUrlW, InternetCreateUrlA, InternetCreateUrlW, InternetDial, InternetDialA, InternetDialW, InternetEnumPerSiteCookieDecisionA, InternetEnumPerSiteCookieDecisionW, InternetErrorDlg, InternetFindNextFileA, InternetFindNextFileW, InternetFortezzaCommand, InternetGetCertByURL, InternetGetCertByURLA, InternetGetConnectedState, InternetGetConnectedStateEx, InternetGetConnectedStateExA, InternetGetConnectedStateExW, InternetGetCookieA, InternetGetCookieExA, InternetGetCookieExW, InternetGetCookieW, InternetGetLastResponseInfoA, InternetGetLastResponseInfoW, InternetGetPerSiteCookieDecisionA, InternetGetPerSiteCookieDecisionW, InternetGetSecurityInfoByURL, InternetGetSecurityInfoByURLA, InternetGetSecurityInfoByURLW, InternetGoOnline, InternetGoOnlineA, InternetGoOnlineW, InternetHangUp, InternetInitializeAutoProxyDll, InternetLockRequestFile, InternetOpenA, InternetOpenUrlA, InternetOpenUrlW, InternetOpenW, InternetQueryDataAvailable, InternetQueryFortezzaStatus, InternetQueryOptionA, InternetQueryOptionW, InternetReadFile, InternetReadFileExA, InternetReadFileExW, InternetSecurityProtocolToStringA, InternetSecurityProtocolToStringW, InternetSetCookieA, InternetSetCookieExA, InternetSetCookieExW, InternetSetCookieW, InternetSetDialState, InternetSetDialStateA, InternetSetDialStateW, InternetSetFilePointer, InternetSetOptionA, InternetSetOptionExA, InternetSetOptionExW, InternetSetOptionW, InternetSetPerSiteCookieDecisionA, InternetSetPerSiteCookieDecisionW, InternetSetStatusCallback, InternetSetStatusCallbackA, InternetSetStatusCallbackW, InternetShowSecurityInfoByURL, InternetShowSecurityInfoByURLA, InternetShowSecurityInfoByURLW, InternetTimeFromSystemTime, InternetTimeFromSystemTimeA, InternetTimeFromSystemTimeW, InternetTimeToSystemTime, InternetTimeToSystemTimeA, InternetTimeToSystemTimeW, InternetUnlockRequestFile, InternetWriteFile, InternetWriteFileExA, InternetWriteFileExW, IsHostInProxyBypassList, IsUrlCacheEntryExpiredA, IsUrlCacheEntryExpiredW, LoadUrlCacheContent, ParseX509EncodedCertificateForListBoxEntry, PrivacyGetZonePreferenceW, PrivacySetZonePreferenceW, ReadUrlCacheEntryStream, RegisterUrlCacheNotification, ResumeSuspendedDownload, RetrieveUrlCacheEntryFileA, RetrieveUrlCacheEntryFileW, RetrieveUrlCacheEntryStreamA, RetrieveUrlCacheEntryStreamW, RunOnceUrlCache, SetUrlCacheConfigInfoA, SetUrlCacheConfigInfoW, SetUrlCacheEntryGroup, SetUrlCacheEntryGroupA, SetUrlCacheEntryGroupW, SetUrlCacheEntryInfoA, SetUrlCacheEntryInfoW, SetUrlCacheGroupAttributeA, SetUrlCacheGroupAttributeW, SetUrlCacheHeaderData, ShowCertificate, ShowClientAuthCerts, ShowSecurityInfo, ShowX509EncodedCertificate, UnlockUrlCacheEntryFile, UnlockUrlCacheEntryFileA, UnlockUrlCacheEntryFileW, UnlockUrlCacheEntryStream, UpdateUrlCacheContentPath, UrlZonesDetach, _GetFileExtensionFromUrl
PDFiD.: -
RDS...: NSRL Reference Data Set

psychoaki 04.05.2009 09:52
SET20.tmp

Code:
a-squared        4.0.0.101        2009.05.04        -
AhnLab-V3        5.0.0.2        2009.05.03        -
AntiVir        7.9.0.160        2009.05.04        -
Antiy-AVL        2.0.3.1        2009.04.30        -
Authentium        5.1.2.4        2009.05.03        -
Avast        4.8.1335.0        2009.05.03        -
AVG        8.5.0.327        2009.05.03        -
BitDefender        7.2        2009.05.04        -
CAT-QuickHeal        10.00        2009.05.04        -
ClamAV        0.94.1        2009.05.04        -
Comodo        1149        2009.05.03        -
DrWeb        4.44.0.09170        2009.05.04        -
eSafe        7.0.17.0        2009.05.03        -
eTrust-Vet        31.6.6487        2009.05.02        -
F-Prot        4.4.4.56        2009.05.03        -
F-Secure        8.0.14470.0        2009.05.04        -
Fortinet        3.117.0.0        2009.05.04        -
GData        19        2009.05.04        -
Ikarus        T3.1.1.49.0        2009.05.04        -
K7AntiVirus        7.10.722        2009.05.02        -
Kaspersky        7.0.0.125        2009.05.04        -
McAfee        5604        2009.05.03        -
McAfee+Artemis        5604        2009.05.03        -
McAfee-GW-Edition        6.7.6        2009.05.04        -
Microsoft        1.4602        2009.05.04        -
NOD32        4050        2009.05.03        -
Norman        6.01.05        2009.04.30        -
nProtect        2009.1.8.0        2009.05.04        -
Panda        10.0.0.14        2009.05.03        -
PCTools        4.4.2.0        2009.05.03        -
Prevx1        3.0        2009.05.04        -
Rising        21.28.01.00        2009.05.04        -
Sophos        4.41.0        2009.05.04        -
Sunbelt        3.2.1858.2        2009.05.03        -
Symantec        1.4.4.12        2009.05.04        -
TheHacker        6.3.4.1.318        2009.05.03        -
TrendMicro        8.950.0.1092        2009.05.04        -
VBA32        3.12.10.4        2009.05.04        -
ViRobot        2009.5.4.1718        2009.05.04        -
VirusBuster        4.6.5.0        2009.05.03        -
weitere Informationen
File size: 826368 bytes
MD5...: 9f434e15a82d1322fb6860e317783e57
SHA1..: b56b644bca830632069c0bb6531d86f36398b9c5
SHA256: a9418499ed4b920eb4ea86be92a2bc0a7b0f1c6b65b0e804110e0e519f534f34
SHA512: 5ef42264e399786c63467e2a575061c41508c934f564aea3d70ed5b7ae1c96bd
e07b46c0076bbb3d3ced07849aa3fbd2a80af8a0ba788f95121233bf1cd501e3
ssdeep: 12288:ZySFDWc1uR1UKPeoWb6pCnew9OmaoSksjVZpBVpbgkMMIMMutuElREJ:9i
c1A2K1xQxaoKp1bgkMMIMMurE
PEiD..: -
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1784
timedatestamp.....: 0x49ac73d6 (Tue Mar 03 00:03:34 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x9b1d0 0x9b200 6.60 e518d72b4d5f0559bb1c8ad8c990a725
.data 0x9d000 0x7780 0x4000 1.45 dd1e746927d46d06478b2f58a489cad4
.rsrc 0xa5000 0x24d50 0x24e00 4.73 a29bddfdfb84eb391b8d682a438e1186
.reloc 0xca000 0x568c 0x5800 6.72 c7657d7c60a35008d68c35003acb6da5

( 8 imports )
> msvcrt.dll: _isatty, _write, _lseeki64, _fileno, __pioinfo, __badioinfo, wctomb, _itoa, _snprintf, _iob, isleadbyte, _onexit, _lock, __dllonexit, _unlock, _adjust_fdiv, _amsg_exit, _initterm, _XcptFilter, islower, __isascii, strtol, memmove, strrchr, atoi, realloc, free, malloc, wcstok, _vsnprintf, memcpy, memset, _vsnwprintf, wcsncmp, bsearch, _wcsnicmp, _wtoi, _wcsicmp, isupper, strncmp, wcsstr, _purecall, _mbstok, iscntrl, ispunct, strtoul, time, iswdigit, isalpha, atol, isalnum, _errno, isspace, strpbrk, isdigit, isxdigit, memchr
> ntdll.dll: RtlConvertSidToUnicodeString, RtlUnwind, RtlMoveMemory
> SHLWAPI.dll: SHRegGetValueW, PathAddBackslashW, -, SHRegGetValueA, StrRChrW, PathRemoveBackslashA, PathRemoveFileSpecA, -, PathRemoveBlanksA, PathAddBackslashA, -, PathAppendA, -, PathUnExpandEnvStringsA, PathRenameExtensionA, SHDeleteKeyA, SHDeleteValueW, StrCmpNIW, StrCmpNIA, StrStrA, -, StrChrW, StrChrA, -, -, UrlCombineW, UrlCanonicalizeW, -, PathCreateFromUrlW, UrlUnescapeA, UrlCombineA, UrlCanonicalizeA, StrToIntW, StrCmpW, StrCmpNA, StrRChrA, StrToIntA, StrStrIW, SHGetValueA, SHSetValueA, SHGetValueW, SHSetValueW, -, -, PathCombineW, PathFindFileNameW, StrStrIA
> ADVAPI32.dll: RegDeleteKeyA, RegCreateKeyExW, RegDeleteValueW, RegSetValueExW, RegQueryValueExW, CryptAcquireContextA, CryptGenRandom, CryptReleaseContext, RegOpenKeyA, RegEnumKeyA, TraceEvent, DuplicateTokenEx, ConvertStringSidToSidA, GetLengthSid, SetTokenInformation, CreateProcessAsUserA, ConvertStringSecurityDescriptorToSecurityDescriptorA, GetSidSubAuthorityCount, GetSidSubAuthority, AllocateAndInitializeSid, CheckTokenMembership, FreeSid, RegDeleteValueA, OpenThreadToken, OpenProcessToken, GetTokenInformation, RegOpenKeyExW, UnregisterTraceGuids, RegisterTraceGuidsA, RegQueryInfoKeyW, GetTraceLoggerHandle, GetTraceEnableLevel, GetTraceEnableFlags, RegCreateKeyExA, RegSetValueExA, RegOpenKeyExA, RegQueryValueExA, RegQueryInfoKeyA, RegEnumKeyExA, RegCloseKey, GetUserNameA, OpenSCManagerA, OpenServiceA, CloseServiceHandle, QueryServiceStatus
> KERNEL32.dll: DosDateTimeToFileTime, GetEnvironmentVariableA, GetShortPathNameA, GetShortPathNameW, FindFirstFileA, RemoveDirectoryA, FindNextFileA, FindClose, GetDiskFreeSpaceExA, CopyFileA, SetFileTime, CreateDirectoryA, GetWindowsDirectoryA, GetSystemDirectoryA, GetPrivateProfileStringA, GetFileAttributesA, SetFileAttributesA, GetFileAttributesExA, FileTimeToDosDateTime, GetFileSizeEx, lstrcmpW, RaiseException, MoveFileExA, MoveFileA, LocalFileTimeToFileTime, CreateSemaphoreA, ReleaseSemaphore, GetCurrentProcessId, GetFileTime, lstrcmpA, GetModuleHandleExA, ResumeThread, FreeLibraryAndExitThread, ExpandEnvironmentStringsA, GetSystemTimeAsFileTime, DeleteFileW, GetACP, InterlockedExchangeAdd, CreateThread, Sleep, OpenMutexA, GetModuleHandleA, FormatMessageA, SetErrorMode, FlushViewOfFile, SystemTimeToFileTime, GetTickCount, TlsFree, TlsGetValue, GetCurrentThreadId, TlsSetValue, TlsAlloc, GetDateFormatA, GetTimeFormatA, GlobalAlloc, InterlockedCompareExchange, GetCurrentThread, GetCurrentProcess, IsDBCSLeadByte, IsValidCodePage, GlobalFree, lstrlenW, DeleteFileA, FormatMessageW, GetSystemTime, WritePrivateProfileStringA, GetVersionExA, GetModuleFileNameA, WriteFile, SetFilePointer, CreateFileW, CreateFileA, GetFileSize, ReadFile, FileTimeToSystemTime, LocalReAlloc, InitializeCriticalSection, InterlockedDecrement, lstrlenA, lstrcmpiA, InterlockedIncrement, DeleteCriticalSection, ResetEvent, LocalFree, ReleaseMutex, CompareStringA, CreateMutexA, CreateEventA, MultiByteToWideChar, WideCharToMultiByte, WaitForSingleObject, OutputDebugStringA, UnmapViewOfFile, SetEndOfFile, MapViewOfFileEx, CreateFileMappingA, OpenFileMappingA, LoadLibraryW, HeapFree, HeapAlloc, GetProcessHeap, GetTimeFormatW, GetDateFormatW, GetUserDefaultLCID, GetModuleFileNameW, GetComputerNameA, LoadResource, FindResourceExW, LocalAlloc, LoadLibraryExW, MapViewOfFile, CreateFileMappingW, GetLocaleInfoW, GetVersionExW, GetSystemDefaultUILanguage, GetUserDefaultUILanguage, FindResourceW, SearchPathW, CreateActCtxW, ReleaseActCtx, ActivateActCtx, DeactivateActCtx, SetFileAttributesW, InitializeCriticalSectionAndSpinCount, WritePrivateProfileStringW, GetFileAttributesW, GetModuleHandleW, GlobalUnlock, GlobalLock, QueryPerformanceCounter, TerminateProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDBCSLeadByteEx, GetProcAddress, LoadLibraryA, FreeLibrary, SetEvent, InterlockedExchange, CloseHandle, GetLastError, SetLastError, EnterCriticalSection, LeaveCriticalSection, CompareStringW
> USER32.dll: CheckDlgButton, SendMessageW, SendMessageA, IsDlgButtonChecked, DefWindowProcA, SetWindowLongA, GetWindowLongA, RegisterClassW, CreateWindowExW, SetTimer, GetWindowTextW, MessageBoxW, CharNextA, GetWindowInfo, CharToOemA, CharUpperA, CharLowerW, IsCharAlphaNumericA, GetWindowThreadProcessId, EnumChildWindows, IsWindowVisible, GetAncestor, EnumWindows, CharNextExA, PostMessageA, IsWindow, SetWindowPos, SetDlgItemTextW, DestroyIcon, SetForegroundWindow, GetWindow, GetWindowRect, EqualRect, IntersectRect, EndDialog, SetFocus, GetDlgItem, SetWindowTextW, EnableWindow, KillTimer, FindWindowW, RegisterWindowMessageW, PostMessageW, DestroyWindow, LoadStringW, DialogBoxParamW, GetDesktopWindow, SendDlgItemMessageA, LoadIconA, LoadImageA, LoadStringA, CharLowerA
> Normaliz.dll: IdnToUnicode, IdnToAscii
> iertutil.dll: -, -, -, -

( 229 exports )
CommitUrlCacheEntryA, CommitUrlCacheEntryW, CreateMD5SSOHash, CreateUrlCacheContainerA, CreateUrlCacheContainerW, CreateUrlCacheEntryA, CreateUrlCacheEntryW, CreateUrlCacheGroup, DeleteIE3Cache, DeleteUrlCacheContainerA, DeleteUrlCacheContainerW, DeleteUrlCacheEntry, DeleteUrlCacheEntryA, DeleteUrlCacheEntryW, DeleteUrlCacheGroup, DetectAutoProxyUrl, DispatchAPICall, DllInstall, FindCloseUrlCache, FindFirstUrlCacheContainerA, FindFirstUrlCacheContainerW, FindFirstUrlCacheEntryA, FindFirstUrlCacheEntryExA, FindFirstUrlCacheEntryExW, FindFirstUrlCacheEntryW, FindFirstUrlCacheGroup, FindNextUrlCacheContainerA, FindNextUrlCacheContainerW, FindNextUrlCacheEntryA, FindNextUrlCacheEntryExA, FindNextUrlCacheEntryExW, FindNextUrlCacheEntryW, FindNextUrlCacheGroup, ForceNexusLookup, ForceNexusLookupExW, FreeUrlCacheSpaceA, FreeUrlCacheSpaceW, FtpCommandA, FtpCommandW, FtpCreateDirectoryA, FtpCreateDirectoryW, FtpDeleteFileA, FtpDeleteFileW, FtpFindFirstFileA, FtpFindFirstFileW, FtpGetCurrentDirectoryA, FtpGetCurrentDirectoryW, FtpGetFileA, FtpGetFileEx, FtpGetFileSize, FtpGetFileW, FtpOpenFileA, FtpOpenFileW, FtpPutFileA, FtpPutFileEx, FtpPutFileW, FtpRemoveDirectoryA, FtpRemoveDirectoryW, FtpRenameFileA, FtpRenameFileW, FtpSetCurrentDirectoryA, FtpSetCurrentDirectoryW, GetUrlCacheConfigInfoA, GetUrlCacheConfigInfoW, GetUrlCacheEntryInfoA, GetUrlCacheEntryInfoExA, GetUrlCacheEntryInfoExW, GetUrlCacheEntryInfoW, GetUrlCacheGroupAttributeA, GetUrlCacheGroupAttributeW, GetUrlCacheHeaderData, GopherCreateLocatorA, GopherCreateLocatorW, GopherFindFirstFileA, GopherFindFirstFileW, GopherGetAttributeA, GopherGetAttributeW, GopherGetLocatorTypeA, GopherGetLocatorTypeW, GopherOpenFileA, GopherOpenFileW, HttpAddRequestHeadersA, HttpAddRequestHeadersW, HttpCheckDavCompliance, HttpEndRequestA, HttpEndRequestW, HttpOpenRequestA, HttpOpenRequestW, HttpQueryInfoA, HttpQueryInfoW, HttpSendRequestA, HttpSendRequestExA, HttpSendRequestExW, HttpSendRequestW, IncrementUrlCacheHeaderData, InternetAlgIdToStringA, InternetAlgIdToStringW, InternetAttemptConnect, InternetAutodial, InternetAutodialCallback, InternetAutodialHangup, InternetCanonicalizeUrlA, InternetCanonicalizeUrlW, InternetCheckConnectionA, InternetCheckConnectionW, InternetClearAllPerSiteCookieDecisions, InternetCloseHandle, InternetCombineUrlA, InternetCombineUrlW, InternetConfirmZoneCrossing, InternetConfirmZoneCrossingA, InternetConfirmZoneCrossingW, InternetConnectA, InternetConnectW, InternetCrackUrlA, InternetCrackUrlW, InternetCreateUrlA, InternetCreateUrlW, InternetDial, InternetDialA, InternetDialW, InternetEnumPerSiteCookieDecisionA, InternetEnumPerSiteCookieDecisionW, InternetErrorDlg, InternetFindNextFileA, InternetFindNextFileW, InternetFortezzaCommand, InternetGetCertByURL, InternetGetCertByURLA, InternetGetConnectedState, InternetGetConnectedStateEx, InternetGetConnectedStateExA, InternetGetConnectedStateExW, InternetGetCookieA, InternetGetCookieExA, InternetGetCookieExW, InternetGetCookieW, InternetGetLastResponseInfoA, InternetGetLastResponseInfoW, InternetGetPerSiteCookieDecisionA, InternetGetPerSiteCookieDecisionW, InternetGetSecurityInfoByURL, InternetGetSecurityInfoByURLA, InternetGetSecurityInfoByURLW, InternetGoOnline, InternetGoOnlineA, InternetGoOnlineW, InternetHangUp, InternetInitializeAutoProxyDll, InternetLockRequestFile, InternetOpenA, InternetOpenUrlA, InternetOpenUrlW, InternetOpenW, InternetQueryDataAvailable, InternetQueryFortezzaStatus, InternetQueryOptionA, InternetQueryOptionW, InternetReadFile, InternetReadFileExA, InternetReadFileExW, InternetSecurityProtocolToStringA, InternetSecurityProtocolToStringW, InternetSetCookieA, InternetSetCookieExA, InternetSetCookieExW, InternetSetCookieW, InternetSetDialState, InternetSetDialStateA, InternetSetDialStateW, InternetSetFilePointer, InternetSetOptionA, InternetSetOptionExA, InternetSetOptionExW, InternetSetOptionW, InternetSetPerSiteCookieDecisionA, InternetSetPerSiteCookieDecisionW, InternetSetStatusCallback, InternetSetStatusCallbackA, InternetSetStatusCallbackW, InternetShowSecurityInfoByURL, InternetShowSecurityInfoByURLA, InternetShowSecurityInfoByURLW, InternetTimeFromSystemTime, InternetTimeFromSystemTimeA, InternetTimeFromSystemTimeW, InternetTimeToSystemTime, InternetTimeToSystemTimeA, InternetTimeToSystemTimeW, InternetUnlockRequestFile, InternetWriteFile, InternetWriteFileExA, InternetWriteFileExW, IsHostInProxyBypassList, IsUrlCacheEntryExpiredA, IsUrlCacheEntryExpiredW, LoadUrlCacheContent, ParseX509EncodedCertificateForListBoxEntry, PrivacyGetZonePreferenceW, PrivacySetZonePreferenceW, ReadUrlCacheEntryStream, RegisterUrlCacheNotification, ResumeSuspendedDownload, RetrieveUrlCacheEntryFileA, RetrieveUrlCacheEntryFileW, RetrieveUrlCacheEntryStreamA, RetrieveUrlCacheEntryStreamW, RunOnceUrlCache, SetUrlCacheConfigInfoA, SetUrlCacheConfigInfoW, SetUrlCacheEntryGroup, SetUrlCacheEntryGroupA, SetUrlCacheEntryGroupW, SetUrlCacheEntryInfoA, SetUrlCacheEntryInfoW, SetUrlCacheGroupAttributeA, SetUrlCacheGroupAttributeW, SetUrlCacheHeaderData, ShowCertificate, ShowClientAuthCerts, ShowSecurityInfo, ShowX509EncodedCertificate, UnlockUrlCacheEntryFile, UnlockUrlCacheEntryFileA, UnlockUrlCacheEntryFileW, UnlockUrlCacheEntryStream, UpdateUrlCacheContentPath, UrlZonesDetach, _GetFileExtensionFromUrl
PDFiD.: -
RDS...: NSRL Reference Data Set
sc.exe
Code:
Antivirus          Version          letzte aktualisierung          Ergebnis
a-squared        4.0.0.101        2009.05.04        -
AhnLab-V3        5.0.0.2        2009.05.03        -
AntiVir        7.9.0.160        2009.05.04        -
Antiy-AVL        2.0.3.1        2009.04.30        -
Authentium        5.1.2.4        2009.05.03        -
Avast        4.8.1335.0        2009.05.03        -
AVG        8.5.0.327        2009.05.03        -
BitDefender        7.2        2009.05.04        -
CAT-QuickHeal        10.00        2009.05.04        -
ClamAV        0.94.1        2009.05.04        -
Comodo        1149        2009.05.03        -
DrWeb        4.44.0.09170        2009.05.04        -
eSafe        7.0.17.0        2009.05.03        -
eTrust-Vet        31.6.6487        2009.05.02        -
F-Prot        4.4.4.56        2009.05.03        -
F-Secure        8.0.14470.0        2009.05.04        -
Fortinet        3.117.0.0        2009.05.04        -
GData        19        2009.05.04        -
Ikarus        T3.1.1.49.0        2009.05.04        -
K7AntiVirus        7.10.722        2009.05.02        -
Kaspersky        7.0.0.125        2009.05.04        -
McAfee        5604        2009.05.03        -
McAfee+Artemis        5604        2009.05.03        -
McAfee-GW-Edition        6.7.6        2009.05.04        -
Microsoft        1.4602        2009.05.04        -
NOD32        4050        2009.05.03        -
Norman        6.01.05        2009.04.30        -
nProtect        2009.1.8.0        2009.05.04        -
Panda        10.0.0.14        2009.05.03        -
PCTools        4.4.2.0        2009.05.03        -
Prevx1        3.0        2009.05.04        -
Rising        21.28.01.00        2009.05.04        -
Sophos        4.41.0        2009.05.04        -
Sunbelt        3.2.1858.2        2009.05.03        -
Symantec        1.4.4.12        2009.05.04        -
TheHacker        6.3.4.1.318        2009.05.03        -
TrendMicro        8.950.0.1092        2009.05.04        -
VBA32        3.12.10.4        2009.05.04        -
ViRobot        2009.5.4.1718        2009.05.04        -
VirusBuster        4.6.5.0        2009.05.03        -
weitere Informationen
File size: 35328 bytes
MD5...: beabd93e229c090b1f87d34a1b927eac
SHA1..: 7a6d143135b513cb1686d763a662993e32a9a541
SHA256: 08043870756d971d475ed12cf96d0b370295fb04fb094d430d37f03f019b5750
SHA512: 762227ee78c5453e48bb3f0c91ba583460fd213e7f5e8cd5ed63747f37452269
1d95d68cc330af9a2ede9dbe3f86f685777bf010d9623249df023e5f0d797b39
ssdeep: 768:P13KMpusnG2FZXbhbUCOH2A/GWRIgBmaH:P14snlOHhrNH
PEiD..: -
TrID..: File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x844a
timedatestamp.....: 0x498c134c (Fri Feb 06 10:39:08 2009)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x7dda 0x7e00 6.17 995d351b3a9c10cc18aeae5fd3ec1d82
.data 0x9000 0x850 0x200 0.19 d11a7cca04496b853e4492993f707803
.rsrc 0xa000 0x420 0x600 2.54 a4d821f59560b26b98c0ee8ab9fa5b0f

( 4 imports )
> msvcrt.dll: _c_exit, wcsncmp, wcscmp, _exit, _wtol, wcscpy, _wcsicmp, wcslen, _XcptFilter, _cexit, exit, __winitenv, __wgetmainargs, _initterm, __setusermatherr, _adjust_fdiv, printf, __p__commode, __p__fmode, __set_app_type, _except_handler3, _controlfp, _getche
> ADVAPI32.dll: QueryServiceObjectSecurity, OpenSCManagerW, StartServiceW, QueryServiceStatusEx, DeleteService, NotifyBootConfigStatus, GetServiceDisplayNameW, GetServiceKeyNameW, EnumServicesStatusW, EnumServiceGroupW, EnumServicesStatusExW, QueryServiceStatus, LockServiceDatabase, UnlockServiceDatabase, QueryServiceLockStatusW, ConvertStringSecurityDescriptorToSecurityDescriptorW, SetServiceObjectSecurity, ConvertSecurityDescriptorToStringSecurityDescriptorW, EnumDependentServicesW, CreateServiceW, CloseServiceHandle, ChangeServiceConfigW, ControlService, RegOpenKeyExW, RegQueryValueExW, QueryServiceConfigW, OpenServiceW, QueryServiceConfig2W, ChangeServiceConfig2W, ConvertSidToStringSidW, RegCloseKey
> KERNEL32.dll: SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, GetSystemTimeAsFileTime, GetCurrentProcessId, GetCurrentThreadId, GetTickCount, QueryPerformanceCounter, LoadLibraryW, GetProcAddress, FreeLibrary, LocalFree, LocalAlloc, GetLastError, FormatMessageW, GetModuleHandleA
> ntdll.dll: RtlInitUnicodeString, RtlAdjustPrivilege, RtlNtStatusToDosError

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set

psychoaki 04.05.2009 10:01
SET8C.tmp
Code:
Antivirus          Version          letzte aktualisierung          Ergebnis
a-squared        4.0.0.101        2009.05.04        -
AhnLab-V3        5.0.0.2        2009.05.03        -
AntiVir        7.9.0.160        2009.05.04        -
Antiy-AVL        2.0.3.1        2009.04.30        -
Authentium        5.1.2.4        2009.05.03        -
Avast        4.8.1335.0        2009.05.03        -
AVG        8.5.0.327        2009.05.03        -
BitDefender        7.2        2009.05.04        -
CAT-QuickHeal        10.00        2009.05.04        -
ClamAV        0.94.1        2009.05.04        -
Comodo        1149        2009.05.03        -
DrWeb        4.44.0.09170        2009.05.04        -
eSafe        7.0.17.0        2009.05.03        -
eTrust-Vet        31.6.6487        2009.05.02        -
F-Prot        4.4.4.56        2009.05.03        -
F-Secure        8.0.14470.0        2009.05.04        -
Fortinet        3.117.0.0        2009.05.04        -
GData        19        2009.05.04        -
Ikarus        T3.1.1.49.0        2009.05.04        -
K7AntiVirus        7.10.722        2009.05.02        -
Kaspersky        7.0.0.125        2009.05.04        -
McAfee        5604        2009.05.03        -
McAfee+Artemis        5604        2009.05.03        -
McAfee-GW-Edition        6.7.6        2009.05.04        -
Microsoft        1.4602        2009.05.04        -
NOD32        4050        2009.05.03        -
Norman        6.01.05        2009.04.30        -
nProtect        2009.1.8.0        2009.05.04        -
Panda        10.0.0.14        2009.05.03        -
PCTools        4.4.2.0        2009.05.03        -
Prevx1        3.0        2009.05.04        -
Rising        21.28.01.00        2009.05.04        -
Sophos        4.41.0        2009.05.04        -
Sunbelt        3.2.1858.2        2009.05.03        -
Symantec        1.4.4.12        2009.05.04        -
TheHacker        6.3.4.1.318        2009.05.03        -
TrendMicro        8.950.0.1092        2009.05.04        -
VBA32        3.12.10.4        2009.05.04        -
ViRobot        2009.5.4.1718        2009.05.04        -
VirusBuster        4.6.5.0        2009.05.03        -
weitere Informationen
File size: 56832 bytes
MD5...: 0875359d3e68f3732fb0b138a3bb0b53
SHA1..: fbd8ef94cb69a04d207e282d97de40b3ddb269e5
SHA256: 70e84f30a2e1f4c856fca1b59c63bdb44cf3d4f386a930a23f484d04829e6df3
SHA512: d13a9b9190e052f515b65c9d63a2398c27934245aacb8950d32fcc96de364efc
5d80608c1b4055d0255f94ac4b354ddd4ecc505683c152721bf822baac58409a
ssdeep: 1536:SsMkt2mUcIdm5VG+PAiXhkHdRzdzrl5405Gdqchkv:Djkdm5dPodFFl5405
iqekv
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x2126
timedatestamp.....: 0x4988a190 (Tue Feb 03 19:57:04 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xc224 0xc400 6.47 273ffc2c66bf625fabfe129976af5700
.data 0xe000 0x480 0x600 2.88 03f735e87f4a4f067e2ac5425c84195d
.rsrc 0xf000 0x418 0x600 2.53 057106581f8d29d7475c4dd97fb805ce
.reloc 0x10000 0x884 0xa00 6.16 6377ab4b599029d7b789823e62d3acdf

( 3 imports )
> ADVAPI32.dll: RegSetValueExW, LsaOpenPolicy, LsaQueryInformationPolicy, LsaFreeMemory, LsaClose, RegCreateKeyExW, RegCloseKey, SystemFunction035, RegDeleteKeyW, RegEnumValueW, RegQueryInfoKeyW, RegQueryValueExW, RegOpenKeyExW
> KERNEL32.dll: SetLastError, SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, GetCurrentProcessId, GetCurrentThreadId, GetTickCount, QueryPerformanceCounter, LoadLibraryA, InterlockedCompareExchange, GetLastError, GetModuleHandleW, GetComputerNameW, GetCurrentThread, lstrlenA, lstrcpyA, TlsSetValue, CreateFileW, GetFileTime, CloseHandle, GetSystemTimeAsFileTime, LoadLibraryW, GetModuleFileNameW, GetProcAddress, FreeLibrary, DisableThreadLibraryCalls, TlsFree, TlsAlloc, GetSystemDefaultLCID, GetLocaleInfoW, TlsGetValue, LocalFree, LocalAlloc, DelayLoadFailureHook
> ntdll.dll: NtQueryVirtualMemory, RtlUnwind, RtlInitAnsiString, RtlGetNtProductType, wcschr, RtlCreateUnicodeString, RtlInitString, RtlxAnsiStringToUnicodeSize, RtlAnsiStringToUnicodeString, NtDuplicateObject, RtlNtStatusToDosError, RtlCompareUnicodeString, RtlInitializeResource, RtlDeleteResource, NlsMbCodePageTag, RtlxUnicodeStringToAnsiSize, RtlUnicodeStringToAnsiString, wcslen, RtlAcquireResourceShared, RtlEqualUnicodeString, RtlAcquireResourceExclusive, RtlReleaseResource, NtFreeVirtualMemory, RtlFreeHeap, RtlAllocateHeap, RtlDeleteCriticalSection, NtSetInformationThread, NtOpenThreadToken, RtlEnterCriticalSection, RtlLeaveCriticalSection, NtQueryEvent, RtlInitializeCriticalSection, RtlCreateUnicodeStringFromAsciiz, RtlFreeUnicodeString, wcstol, ZwReplyWaitReplyPort, RtlCopyUnicodeString, ZwClose, ZwRequestWaitReplyPort, RtlInitUnicodeString, NtOpenEvent, NtWaitForSingleObject, NtClose, strncpy, ZwConnectPort, ZwFreeVirtualMemory

( 76 exports )
AcceptSecurityContext, AcquireCredentialsHandleA, AcquireCredentialsHandleW, AddCredentialsA, AddCredentialsW, AddSecurityPackageA, AddSecurityPackageW, ApplyControlToken, CompleteAuthToken, CredMarshalTargetInfo, CredUnmarshalTargetInfo, DecryptMessage, DeleteSecurityContext, DeleteSecurityPackageA, DeleteSecurityPackageW, EncryptMessage, EnumerateSecurityPackagesA, EnumerateSecurityPackagesW, ExportSecurityContext, FreeContextBuffer, FreeCredentialsHandle, GetComputerObjectNameA, GetComputerObjectNameW, GetSecurityUserInfo, GetUserNameExA, GetUserNameExW, ImpersonateSecurityContext, ImportSecurityContextA, ImportSecurityContextW, InitSecurityInterfaceA, InitSecurityInterfaceW, InitializeSecurityContextA, InitializeSecurityContextW, LsaCallAuthenticationPackage, LsaConnectUntrusted, LsaDeregisterLogonProcess, LsaEnumerateLogonSessions, LsaFreeReturnBuffer, LsaGetLogonSessionData, LsaLogonUser, LsaLookupAuthenticationPackage, LsaRegisterLogonProcess, LsaRegisterPolicyChangeNotification, LsaUnregisterPolicyChangeNotification, MakeSignature, QueryContextAttributesA, QueryContextAttributesW, QueryCredentialsAttributesA, QueryCredentialsAttributesW, QuerySecurityContextToken, QuerySecurityPackageInfoA, QuerySecurityPackageInfoW, RevertSecurityContext, SaslAcceptSecurityContext, SaslEnumerateProfilesA, SaslEnumerateProfilesW, SaslGetProfilePackageA, SaslGetProfilePackageW, SaslIdentifyPackageA, SaslIdentifyPackageW, SaslInitializeSecurityContextA, SaslInitializeSecurityContextW, SealMessage, SecCacheSspiPackages, SecDeleteUserModeContext, SecGetLocaleSpecificEncryptionRules, SecInitUserModeContext, SecpFreeMemory, SecpTranslateName, SecpTranslateNameEx, SetContextAttributesA, SetContextAttributesW, TranslateNameA, TranslateNameW, UnsealMessage, VerifySignature
PDFiD.: -
RDS...: NSRL Reference Data Set
-
psqlpwd.dll

Code:
Antivirus          Version          letzte aktualisierung          Ergebnis
a-squared        4.0.0.101        2009.05.04        -
AhnLab-V3        5.0.0.2        2009.05.03        -
AntiVir        7.9.0.160        2009.05.04        -
Antiy-AVL        2.0.3.1        2009.04.30        -
Authentium        5.1.2.4        2009.05.03        -
Avast        4.8.1335.0        2009.05.03        -
AVG        8.5.0.327        2009.05.03        -
BitDefender        7.2        2009.05.04        -
CAT-QuickHeal        10.00        2009.05.04        -
ClamAV        0.94.1        2009.05.04        -
Comodo        1149        2009.05.03        -
DrWeb        4.44.0.09170        2009.05.04        -
eSafe        7.0.17.0        2009.05.03        -
eTrust-Vet        31.6.6487        2009.05.02        -
F-Prot        4.4.4.56        2009.05.03        -
F-Secure        8.0.14470.0        2009.05.04        -
Fortinet        3.117.0.0        2009.05.04        -
GData        19        2009.05.04        -
Ikarus        T3.1.1.49.0        2009.05.04        -
K7AntiVirus        7.10.722        2009.05.02        -
Kaspersky        7.0.0.125        2009.05.04        -
McAfee        5604        2009.05.03        -
McAfee+Artemis        5604        2009.05.03        -
McAfee-GW-Edition        6.7.6        2009.05.04        -
Microsoft        1.4602        2009.05.04        -
NOD32        4050        2009.05.03        -
Norman        6.01.05        2009.04.30        -
nProtect        2009.1.8.0        2009.05.04        -
Panda        10.0.0.14        2009.05.03        -
PCTools        4.4.2.0        2009.05.03        -
Prevx1        3.0        2009.05.04        -
Rising        21.28.01.00        2009.05.04        -
Sophos        4.41.0        2009.05.04        -
Sunbelt        3.2.1858.2        2009.05.03        -
Symantec        1.4.4.12        2009.05.04        -
TheHacker        6.3.4.1.318        2009.05.03        -
TrendMicro        8.950.0.1092        2009.05.04        -
VBA32        3.12.10.4        2009.05.04        -
ViRobot        2009.5.4.1718        2009.05.04        -
VirusBuster        4.6.5.0        2009.05.03        -
weitere Informationen
File size: 95496 bytes
MD5...: 931fab46df2edfcbf83adac247d50ffd
SHA1..: b24257fa12af0268c6267991169940200e201212
SHA256: f12279553c73db3e9fb70e8a726612017eb5d64a8d5a315762126e68040b1986
SHA512: 5e4ef8821184530cf6de3d9f9e20350aa42fcde60101d143f7f8ee6c0e2d46e1
aa78e038af4e4f9a6b08072ed163d27f1138afb5a76666a48a176021c4ab8f1c
ssdeep: 1536:3C6Ch7heyGeVwnQX5Fu6gIF+YL0uPT92kf/JfVC5eA/yghQdbc:3CmypRhw
mNC5eA/y4Qq
PEiD..: -
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x514f
timedatestamp.....: 0x48611357 (Tue Jun 24 15:31:35 2008)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xddf4 0xde00 6.68 384097888921984ebdd5ada2e79c5479
.rdata 0xf000 0x44cb 0x4600 5.21 c20d30af1a50e454ab7375c5eec334a1
.data 0x14000 0x2dc4 0x1200 2.64 59321f577fa7552fc89cbe8145e60f3a
.rsrc 0x17000 0x670 0x800 4.84 567d8bf9c36af0f03c0db83a29a3af59
.reloc 0x18000 0x1c52 0x1e00 4.23 a1cc942a4a93c31a275675b1eefb0c2c

( 2 imports )
> KERNEL32.dll: LoadLibraryW, OutputDebugStringA, LoadLibraryExW, MultiByteToWideChar, GetModuleFileNameW, GetLastError, GetUserDefaultLangID, Sleep, GetCurrentProcess, IsValidCodePage, WideCharToMultiByte, FormatMessageW, GetCurrentThreadId, GetCommandLineA, HeapFree, GetVersionExA, HeapAlloc, GetProcessHeap, RaiseException, RtlUnwind, TerminateProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDebuggerPresent, TlsGetValue, TlsAlloc, TlsSetValue, TlsFree, InterlockedIncrement, InterlockedDecrement, HeapSize, ExitProcess, SetLastError, GetStdHandle, GetModuleFileNameA, SetHandleCount, GetFileType, GetStartupInfoA, DeleteCriticalSection, FreeEnvironmentStringsA, GetEnvironmentStrings, FreeEnvironmentStringsW, GetEnvironmentStringsW, HeapDestroy, HeapCreate, VirtualFree, QueryPerformanceCounter, GetCurrentProcessId, GetSystemTimeAsFileTime, LeaveCriticalSection, EnterCriticalSection, GetCPInfo, GetACP, GetOEMCP, HeapReAlloc, VirtualAlloc, LoadLibraryA, InitializeCriticalSection, GetLocaleInfoA, GetStringTypeA, GetStringTypeW, LCMapStringA, LCMapStringW, GetTickCount, GetVersion, GetFileAttributesW, GetProcAddress, GetModuleHandleW, WriteFile, GetModuleHandleA, SetFilePointer, GetConsoleCP, GetConsoleMode, SetStdHandle, WriteConsoleA, GetConsoleOutputCP, WriteConsoleW, CreateFileA, CloseHandle, FlushFileBuffers
> ADVAPI32.dll: RegEnumValueW, RegSetValueExW, RegCreateKeyExW, RegQueryInfoKeyW, RegDeleteValueW, RegOpenKeyExW, RegQueryValueExW, RegCloseKey

( 10 exports )
InitializeChangeNotify, LockEvent, LogoffEvent, LogonEvent, PasswordChangeNotify, PasswordFilter, ShellStartEvent, ShutdownEvent, StartupEvent, UnlockEvent
PDFiD.: -
RDS...: NSRL Reference Data Set
-

psychoaki 04.05.2009 10:06
Bei der Bit45.tmp gab es dann eine Meldung. In dem Moment, in welchem ich die Datei bei Virus Total hochladen wollte hat auch Antivir (avira) Alarm geschlagen (TR/FakeRean.A.19), ebenso bei einer pcdefender.exe datei, die im gleichen ordner enthalten war. habe beide datein durch antivir löschen lassen. hier der virustotal bericht der bit45.tmp

BIT45.tmp
Code:
Antivirus          Version          letzte aktualisierung          Ergebnis
a-squared        4.0.0.101        2009.05.04        Fraudtool.Win32.PCDefender!IK
AhnLab-V3        5.0.0.2        2009.05.03        Win-Trojan/FakeRean.1020928.B
AntiVir        7.9.0.160        2009.05.04        TR/FakeRean.A.19
Antiy-AVL        2.0.3.1        2009.04.30        -
Authentium        5.1.2.4        2009.05.03        -
Avast        4.8.1335.0        2009.05.03        Win32:Falder
AVG        8.5.0.327        2009.05.03        Downloader.Generic8.AJSA
BitDefender        7.2        2009.05.04        -
CAT-QuickHeal        10.00        2009.05.04        (Suspicious) - DNAScan
ClamAV        0.94.1        2009.05.04        -
Comodo        1149        2009.05.03        ApplicUnsaf.Win32.Adware.WinPCDefender.~C
DrWeb        4.44.0.09170        2009.05.04        Trojan.Fakealert.4128
eSafe        7.0.17.0        2009.05.03        Win32.TrojanFakeRean
eTrust-Vet        31.6.6487        2009.05.02        -
F-Prot        4.4.4.56        2009.05.03        -
F-Secure        8.0.14470.0        2009.05.04        FraudTool.Win32.Defender2009.g
Fortinet        3.117.0.0        2009.05.04        PossibleThreat
GData        19        2009.05.04        Win32:Falder
Ikarus        T3.1.1.49.0        2009.05.04        Fraudtool.Win32.PCDefender
K7AntiVirus        7.10.722        2009.05.02        Trojan.Win32.Malware.1
Kaspersky        7.0.0.125        2009.05.04        not-a-virus:FraudTool.Win32.Defender2009.g
McAfee        5604        2009.05.03        Downloader-BOI
McAfee+Artemis        5604        2009.05.03        Downloader-BOI
McAfee-GW-Edition        6.7.6        2009.05.04        Trojan.FakeRean.A.19
Microsoft        1.4602        2009.05.04        Trojan:Win32/FakeRean
NOD32        4050        2009.05.03        Win32/Adware.WinPCDefender
Norman        6.01.05        2009.04.30        -
nProtect        2009.1.8.0        2009.05.04        -
Panda        10.0.0.14        2009.05.03        Trj/CI.A
PCTools        4.4.2.0        2009.05.03        -
Prevx1        3.0        2009.05.04        High Risk Fraudulent Security Program
Rising        21.28.01.00        2009.05.04        -
Sophos        4.41.0        2009.05.04        Mal/EncPk-IF
Sunbelt        3.2.1858.2        2009.05.03        MSAntispyware 2009 (v)
Symantec        1.4.4.12        2009.05.04        Trojan.Fakeavalert
TheHacker        6.3.4.1.318        2009.05.03        -
TrendMicro        8.950.0.1092        2009.05.04        TROJ_FAKEALER.XK
VBA32        3.12.10.4        2009.05.04        -
ViRobot        2009.5.4.1718        2009.05.04        -
VirusBuster        4.6.5.0        2009.05.03        -
weitere Informationen
File size: 1020928 bytes
MD5...: fcf983d86b3422905931df9647408de1
SHA1..: fe9e32309c04270b47fc7f945e7415fc71aa9bc3
SHA256: e9096f88167e36d033781e76271451d583c338ea101026db07bde322a8018dc1
SHA512: 6ffd7c4a00494b7d3601216e55c5c084017d3493a4ec8843d380664118762524
9d78a94c20d86df3b202c140dec0203da4485cadbde08ebd045a1240605fcb60
ssdeep: 24576:PfB2dS1CVmL8hlBaAUzszHK4dv7HXaeRDTZaSUTM50AbO5T57olLoNk:hJ
CUL8XBa3zIX173aeRBETM50AbO5TZE
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1235
timedatestamp.....: 0x4337d8a9 (Mon Sep 26 11:16:57 2005)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x24eb5 0x25000 7.97 34e32e404aef9b82bdd10c666aa2271c
.data 0x26000 0x15a603 0xcf400 7.98 4728513f3d5d718790d8b293270f9233
.idata 0x181000 0x68a 0x800 4.25 660abacb3f7f204ebf721e475c438484
.rsrc 0x182000 0x277000 0x4400 5.90 0c468553801851cd9ba1bb11909d7a94

( 3 imports )
> KERNEL32.DLL: FormatMessageW, VerLanguageNameW, WriteProfileStringA, GlobalLock, SetDefaultCommConfigW, HeapReAlloc, GetProcessHeap, ExitProcess, SetVolumeLabelW, VirtualProtect, FillConsoleOutputAttribute, HeapValidate, GetStringTypeA, GlobalAlloc, FindResourceA, GetNamedPipeHandleStateA, SetVolumeLabelA, EraseTape, GetPrivateProfileStructA, SetHandleCount, lstrcpynA, GetCommandLineA, SetCurrentDirectoryA
> ADVAPI32.DLL: SetEntriesInAccessListW, LookupPrivilegeNameW, RegEnumKeyW, CryptHashSessionKey, LockServiceDatabase, SetSecurityDescriptorGroup, CreatePrivateObjectSecurity, RegRestoreKeyW, InitiateSystemShutdownW, GetMultipleTrusteeA, CryptAcquireContextA, QueryServiceLockStatusW, SetFileSecurityW, CryptDestroyHash, CryptEnumProvidersA, RegDeleteValueA, QueryServiceLockStatusA, BuildExplicitAccessWithNameW, GetSecurityInfo, ObjectDeleteAuditAlarmW
> USER32.DLL: GetWindow, CreateDialogIndirectParamW, DdeNameService, IMPSetIMEW, UnhookWindowsHook, GetUpdateRgn, FlashWindow, DefDlgProcA, SetDoubleClickTime, RemoveMenu, GetCaretPos, SendMessageCallbackW, GetDC, UnlockWindowStation, GetPropA, GetMenuStringA, LoadCursorFromFileA, GetTitleBarInfo

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set
-
ThreatExpert info: <a href='http://www.threatexpert.com/report.aspx?md5=fcf983d86b3422905931df9647408de1' target='_blank'>http://www.threatexpert.com/report.aspx?md5=fcf983d86b3422905931df9647408de1</a>
<a href='http://info.prevx.com/aboutprogramtext.asp?PX5=5DEDBFBCE0D93FAD3C8202C9895F2A001186A0CB' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=5DEDBFBCE0D93FAD3C8202C9895F2A001186A0CB</a>

psychoaki 04.05.2009 10:21
Und schließlich der avenger output

Code:
Logfile of The Avenger Version 2.0, (c) by Swandog46
hxxp://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Registry key "HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nnnmkJyV" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.
ich hoffe, dass jetzt alles ok ist...

Chris4You 04.05.2009 10:56
Hi,

bitte noch ein neues HJ - Log und folgendes:

Aktualisiere Antivir, stelle dein Antivir ein, wie hier beschrieben:
http://www.trojaner-board.de/54192-anleitung-avira-antivir-agressive-einstellungen.html
Dann einen Fullscan über alle Festplatten...

chris

psychoaki 04.05.2009 11:00
Vielen Dank für Deine Antworten und Hilfen.
Hier ist das Hijack Logfile. Antivir scant gerade.
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:58:23, on 04.05.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\ibmpmsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe
C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
C:\WINDOWS\System32\TPHDEXLG.exe
C:\WINDOWS\system32\TpKmpSVC.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
C:\Programme\Lenovo\System Update\SUService.exe
C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Analog Devices\Core\smax4pnp.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Lenovo\HOTKEY\TPONSCR.exe
C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
C:\Programme\Lenovo\Zoom\TpScrex.exe
C:\WINDOWS\system32\TpShocks.exe
C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrobat.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hxxp://www.winfuture.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [TVT Scheduler Proxy] C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
O4 - HKLM\..\Run: [TPHOTKEY] C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog
O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [ACTray] C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
O4 - HKLM\..\Run: [ACWLIcon] C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [TPFNF7] C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe /r
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1226961314428
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB35D719-E31A-470B-B05B-C067DC58F210}: NameServer = 134.147.222.4,134.147.32.40
O18 - Protocol: haufereader - (no CLSID) - (no file)
O20 - Winlogon Notify: ACNotify - ACNotify.dll (file missing)
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft - C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: Ac Profile Manager Service (AcPrfMgrSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
O23 - Service: Access Connections Main Service (AcSvc) - Lenovo  - C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Power Manager DBC Service - Unknown owner - C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - C:\Programme\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINDOWS\System32\TPHDEXLG.exe
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe
O23 - Service: TVT Scheduler - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe

--
End of file - 12923 bytes

psychoaki 04.05.2009 13:00
und hier kommt das avira log file...das sieht immer noch nicht wirklich gut aus, oder? vor allem TR/FakeRean.A wurde oft gefunden, dazu noch eine SmitFraud und eine DR/Delphi.Gen Meldung...au mann, ich werd´bekloppt...zur besseren übersicht kann man sich das logfile von avira hier hxxp://rapidshare.com/files/229033919/1.txt.html downloaden

Code:
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 4. Mai 2009  12:11

Es wird nach 1376542 Virenstämmen gesucht.

Lizenznehmer  : Avira AntiVir Personal - FREE Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : SYSTEM
Computername  : HONDO

Versionsinformationen:
BUILD.DAT      : 9.0.0.394    17962 Bytes  17.04.2009 11:13:00
AVSCAN.EXE    : 9.0.3.5      466689 Bytes  28.04.2009 07:31:34
AVSCAN.DLL    : 9.0.3.0      49409 Bytes  13.02.2009 11:04:10
LUKE.DLL      : 9.0.3.2      209665 Bytes  20.02.2009 10:35:44
LUKERES.DLL    : 9.0.2.0      13569 Bytes  26.01.2009 09:41:59
ANTIVIR0.VDF  : 7.1.0.0    15603712 Bytes  27.10.2008 11:30:36
ANTIVIR1.VDF  : 7.1.2.12    3336192 Bytes  11.02.2009 19:33:26
ANTIVIR2.VDF  : 7.1.3.137  1810944 Bytes  30.04.2009 07:45:19
ANTIVIR3.VDF  : 7.1.3.146    56320 Bytes  04.05.2009 10:01:28
Engineversion  : 8.2.0.160
AEVDF.DLL      : 8.1.1.1      106868 Bytes  04.05.2009 07:45:20
AESCRIPT.DLL  : 8.1.1.79    385403 Bytes  04.05.2009 07:45:20
AESCN.DLL      : 8.1.1.10    127348 Bytes  04.04.2009 20:10:54
AERDL.DLL      : 8.1.1.3      438645 Bytes  29.10.2008 17:24:41
AEPACK.DLL    : 8.1.3.14    397685 Bytes  20.04.2009 18:13:52
AEOFFICE.DLL  : 8.1.0.36    196987 Bytes  26.02.2009 19:01:56
AEHEUR.DLL    : 8.1.0.122  1737080 Bytes  24.04.2009 21:17:11
AEHELP.DLL    : 8.1.2.2      119158 Bytes  26.02.2009 19:01:56
AEGEN.DLL      : 8.1.1.39    348532 Bytes  23.04.2009 21:17:07
AEEMU.DLL      : 8.1.0.9      393588 Bytes  09.10.2008 13:32:40
AECORE.DLL    : 8.1.6.9      176500 Bytes  14.04.2009 13:18:59
AEBB.DLL      : 8.1.0.3      53618 Bytes  09.10.2008 13:32:40
AVWINLL.DLL    : 9.0.0.3      18177 Bytes  12.12.2008 07:47:56
AVPREF.DLL    : 9.0.0.1      43777 Bytes  03.12.2008 10:39:55
AVREP.DLL      : 8.0.0.3      155905 Bytes  20.01.2009 13:34:28
AVREG.DLL      : 9.0.0.0      36609 Bytes  07.11.2008 14:25:04
AVARKT.DLL    : 9.0.0.3      292609 Bytes  28.04.2009 07:31:34
AVEVTLOG.DLL  : 9.0.0.7      167169 Bytes  30.01.2009 09:37:04
SQLITE3.DLL    : 3.6.1.0      326401 Bytes  28.01.2009 14:03:49
SMTPLIB.DLL    : 9.2.0.25      28417 Bytes  02.02.2009 07:21:28
NETNT.DLL      : 9.0.0.0      11521 Bytes  07.11.2008 14:41:21
RCIMAGE.DLL    : 9.0.0.21    2438401 Bytes  09.02.2009 10:41:16
RCTEXT.DLL    : 9.0.37.0      87809 Bytes  28.04.2009 07:31:34

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, F:, G:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Montag, 4. Mai 2009  12:11

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '41895' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'OUTLOOK.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'tpfnf7sp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACWLIcon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACTray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TpShocks.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TpScrex.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SvcGuiHlpr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TPONSCR.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TPOSDSVC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPLpr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'scheduler_proxy.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smax4pnp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'btwdins.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AcSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SUService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PWMDBSVC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'tvtsched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TpKmpSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TPHDEXLG.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'tvt_reg_monitor_svc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NBService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mdm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'LVPrcSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ijplmsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'cvpnd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AcPrfMgrSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'S24EvMon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ibmpmsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '63' Prozesse mit '63' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'F:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'G:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '75' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\hiberfil.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
    [HINWEIS]  Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]  Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\pagefile.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
    [HINWEIS]  Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]  Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Tools\ComboFix.exe
  [0] Archivtyp: RAR SFX (self extracting)
    --> 32788R22FWJFW\NirCmd.cfexe
      [FUND]      Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
    --> 32788R22FWJFW\nircmd.com
      [FUND]      Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
    --> 32788R22FWJFW\NirCmdC.cfexe
      [FUND]      Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.1.B
    --> 32788R22FWJFW\psexec.cfexe
      [1] Archivtyp: RSRC
      --> Object

psychoaki 04.05.2009 13:01
Code:
        [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\Programme\CB Model Pro\CBModelPro.exe.XXX
    [FUND]      Die Datei ist mit einem ungewöhnlichen Laufzeitpacker komprimiert (PCK/Armadillo). Bitte verifizieren Sie den Ursprung dieser Datei.
C:\Programme\Mozilla Firefox\SmitfraudFix\Reboot.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/Tool.Reboot.F-Programmes
C:\Programme\Mozilla Firefox\SmitfraudFix\restart.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/Tool.Hardoff.A-Programmes
C:\Programme\PPStream\XP_SP2_tcpPatch.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/tcpip.sys.Patch-Programmes
C:\Qoobox\Quarantine\C\WINDOWS\system32\UACdcxecwyebfycgwk.dll.vir
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.H.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014321.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014322.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014323.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014324.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014325.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014326.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014327.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014328.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014329.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014330.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014331.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014332.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014333.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014334.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014335.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014336.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014337.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014338.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014339.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014340.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014341.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014342.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014343.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014344.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014345.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014346.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014347.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014348.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014349.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014350.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014351.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014352.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014353.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014354.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014355.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014356.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014357.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014358.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014359.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014360.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014361.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014362.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014363.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014364.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014365.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014366.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014367.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014368.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014369.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014370.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014371.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014372.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014373.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014374.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014375.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014376.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014377.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014378.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014379.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014380.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014381.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014382.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014383.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014384.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014385.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014386.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014387.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014388.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014389.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014390.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014391.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014392.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014393.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014394.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014395.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014396.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014397.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014398.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014399.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014400.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014401.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014402.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014403.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014404.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014405.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014406.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014407.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014408.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014409.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014410.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014411.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014412.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014413.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014414.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014415.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014416.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014417.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014418.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014419.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014420.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014421.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014422.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014423.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014424.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014425.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014426.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014427.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014428.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014429.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014430.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014431.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014432.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014433.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014434.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014435.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014436.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014437.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014438.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014439.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014440.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014441.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014442.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014443.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014444.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014445.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014446.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014447.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014448.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014449.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014450.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014451.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014452.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014453.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014454.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014455.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014456.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014457.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP66\A0014459.dll
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.H.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP66\A0014500.EXE
    [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014560.exe
    [FUND]      Ist das Trojanische Pferd TR/Trash.Gen
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014602.EXE
    [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014687.exe
  [0] Archivtyp: RAR SFX (self extracting)
    --> 32788R22FWJFW\psexec.cfexe
      [1] Archivtyp: RSRC

psychoaki 04.05.2009 13:02
Code:

        [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\Programme\CB Model Pro\CBModelPro.exe.XXX
    [FUND]      Die Datei ist mit einem ungewöhnlichen Laufzeitpacker komprimiert (PCK/Armadillo). Bitte verifizieren Sie den Ursprung dieser Datei.
C:\Programme\Mozilla Firefox\SmitfraudFix\Reboot.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/Tool.Reboot.F-Programmes
C:\Programme\Mozilla Firefox\SmitfraudFix\restart.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/Tool.Hardoff.A-Programmes
C:\Programme\PPStream\XP_SP2_tcpPatch.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/tcpip.sys.Patch-Programmes
C:\Qoobox\Quarantine\C\WINDOWS\system32\UACdcxecwyebfycgwk.dll.vir
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.H.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014321.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014322.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014323.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014324.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014325.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014326.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014327.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014328.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014329.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014330.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014331.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014332.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014333.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014334.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014335.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014336.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014337.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014338.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014339.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014340.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014341.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014342.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014343.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014344.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014345.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014346.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014347.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014348.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014349.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014350.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014351.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014352.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014353.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014354.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014355.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014356.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014357.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014358.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014359.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014360.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014361.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014362.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014363.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014364.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014365.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014366.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014367.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014368.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014369.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014370.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014371.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014372.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014373.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014374.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014375.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014376.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014377.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014378.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014379.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014380.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014381.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014382.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014383.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014384.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014385.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014386.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014387.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014388.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014389.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014390.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014391.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014392.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014393.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014394.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014395.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014396.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014397.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014398.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014399.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014400.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014401.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014402.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014403.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014404.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014405.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014406.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014407.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014408.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014409.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014410.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014411.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014412.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014413.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014414.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014415.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014416.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014417.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014418.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014419.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014420.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014421.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014422.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014423.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014424.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014425.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014426.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014427.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014428.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014429.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014430.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014431.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014432.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014433.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014434.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014435.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014436.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014437.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014438.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014439.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014440.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014441.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014442.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014443.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014444.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014445.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014446.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014447.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014448.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014449.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014450.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014451.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014452.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014453.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014454.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014455.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014456.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014457.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP66\A0014459.dll
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.H.19
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP66\A0014500.EXE
    [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014560.exe
    [FUND]      Ist das Trojanische Pferd TR/Trash.Gen
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014602.EXE
    [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014687.exe
  [0] Archivtyp: RAR SFX (self extracting)
    --> 32788R22FWJFW\psexec.cfexe
      [1] Archivtyp: RSRC

psychoaki 04.05.2009 13:03
Code:
      --> Object
        [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014717.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
C:\WINDOWS\system32\UACkdddovnltkoaiki.dll.XXX
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.F.2615
C:\WINDOWS\system32\UACqjbppktjjbetvpn.dll.XXX
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.F.2617
C:\WINDOWS\system32\UACrngvgtajryotuwq.dll.XXX
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.F.2612
C:\WINDOWS\system32\UACsouchoylyejeubo.dll.XXX
    [FUND]      Enthält Erkennungsmuster des Droppers DR/Delphi.Gen
C:\WINDOWS\system32\drivers\sptd.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'F:\' <Multimedia>
Beginne mit der Suche in 'G:\' <Studium>

Beginne mit der Desinfektion:
C:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Tools\ComboFix.exe
    [WARNUNG]  Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004
    [WARNUNG]  Die Quelldatei konnte nicht gefunden werden.
    [HINWEIS]  Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
    [WARNUNG]  Fehler in der ARK Library
C:\Programme\CB Model Pro\CBModelPro.exe.XXX
    [FUND]      Die Datei ist mit einem ungewöhnlichen Laufzeitpacker komprimiert (PCK/Armadillo). Bitte verifizieren Sie den Ursprung dieser Datei.
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a4bd617.qua' verschoben!
C:\Programme\Mozilla Firefox\SmitfraudFix\Reboot.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/Tool.Reboot.F-Programmes
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a60d63a.qua' verschoben!
C:\Programme\Mozilla Firefox\SmitfraudFix\restart.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/Tool.Hardoff.A-Programmes
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a71d63a.qua' verschoben!
C:\Programme\PPStream\XP_SP2_tcpPatch.exe.XXX
    [FUND]      Enthält Erkennungsmuster des SPR/tcpip.sys.Patch-Programmes
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a5dd625.qua' verschoben!
C:\Qoobox\Quarantine\C\WINDOWS\system32\UACdcxecwyebfycgwk.dll.vir
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.H.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a41d616.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014321.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed605.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014322.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed606.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014323.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bba017f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014324.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '490723d7.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014325.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49042b9f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014326.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49b7e82f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014327.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4902d367.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014328.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4903db2f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014329.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4900c2f7.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014330.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4901cabf.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014331.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491ef287.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014332.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491ffa4f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014333.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491ce217.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014334.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491deddf.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014335.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491a95a7.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014336.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491b9d6f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014337.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49188537.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014338.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed607.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014339.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4916b4c8.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014340.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4917bc80.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014341.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4914a458.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014342.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4915ac10.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014343.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491257e8.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014344.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed608.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014345.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed609.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014346.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49114f32.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014347.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496e770a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014348.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496f7ec2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014349.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496c669a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014350.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496d6e52.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014351.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496a162a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014352.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496b11e2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014353.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496819ba.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014354.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49690172.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014355.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4966094a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014356.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49673102.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014357.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496438da.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014358.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49652092.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014359.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed60b.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014360.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4960d024.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014361.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4961dbfc.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014362.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497ec3b4.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014363.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497fcb8c.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014364.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed60c.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014365.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497dfb1d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014366.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497ae2d5.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014367.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497beaad.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014368.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49789265.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014369.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49799a3d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014370.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497685f5.qua' verschoben!

psychoaki 04.05.2009 13:04
Code:
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014371.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49778dcd.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014372.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed60d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014373.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4902a79e.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014374.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4903af56.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014375.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4900572e.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014376.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49015ee6.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014377.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed60e.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014378.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491f4e77.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014379.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491c764f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014380.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491d7e07.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014381.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491a79df.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014382.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491b6197.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014383.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4918696f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014384.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491633e7.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014385.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49173bbf.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014386.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49142377.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014387.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49152b4f.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014388.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4913d307.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014389.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed611.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014390.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4911c28a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014391.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496eca72.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014392.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496ff23a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014393.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496cfde2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014394.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496de5aa.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014395.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496aed92.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014396.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496b955a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014397.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49689d02.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014398.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496984ca.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014399.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49668cb2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014400.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4967b47a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014401.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4964bc22.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014402.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4965a7ea.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014403.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4962afd2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014404.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4963579a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014405.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49605f42.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014406.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed612.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014407.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed614.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014408.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497f76bd.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014409.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497c7e65.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014410.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497d662d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014411.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497a6e15.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014412.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497b69dd.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014413.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49781185.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014414.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4979194d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014415.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49760135.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014416.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497708fd.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014417.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '497430a5.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014418.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed615.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014419.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49722056.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014420.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4973281e.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014421.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4971d3c6.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014422.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed616.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014423.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed617.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014424.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '494ccb30.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014425.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '494df2e8.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014426.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '494afaa0.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014427.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '494be298.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014428.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4948ea50.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014429.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49499208.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014430.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49428270.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014431.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49438a28.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014432.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4940b5e0.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014433.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4941bdd8.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014434.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '495ea590.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014435.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed619.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014436.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '495c5502.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014437.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '495d5cfa.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014438.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '495a44b2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014439.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '495b4c6a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014440.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49587422.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014441.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49597c1a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014442.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '495667d2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014443.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49576f8a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014444.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49541742.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014445.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ae8822.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014446.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49afb01a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014447.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49acbbd2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014448.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ada38a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014449.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49aaab42.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014450.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ab533a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014451.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49a85af2.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014452.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed61a.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014453.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed61c.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014454.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49a7725d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014455.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49a47aa5.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014456.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49a5629d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP64\A0014457.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49a26a55.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP66\A0014459.dll
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.H.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49a3120d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP66\A0014500.EXE
    [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49a01dc5.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014560.exe
    [FUND]      Ist das Trojanische Pferd TR/Trash.Gen
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2ed61d.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014602.EXE
    [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49be0d76.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014687.exe
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49bf352e.qua' verschoben!
C:\System Volume Information\_restore{91BDBC61-70F8-4901-A2B3-A158822D5D42}\RP67\A0014717.exe
    [FUND]      Ist das Trojanische Pferd TR/FakeRean.A.19
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49bc3ce6.qua' verschoben!

psychoaki 04.05.2009 13:06
Code:
C:\WINDOWS\system32\UACkdddovnltkoaiki.dll.XXX
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.F.2615
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a41d62e.qua' verschoben!
C:\WINDOWS\system32\UACqjbppktjjbetvpn.dll.XXX
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.F.2617
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49d6dc37.qua' verschoben!
C:\WINDOWS\system32\UACrngvgtajryotuwq.dll.XXX
    [FUND]      Ist das Trojanische Pferd TR/PCK.Tdss.F.2612
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49d52ca7.qua' verschoben!
C:\WINDOWS\system32\UACsouchoylyejeubo.dll.XXX
    [FUND]      Enthält Erkennungsmuster des Droppers DR/Delphi.Gen
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49d7d47f.qua' verschoben!


Ende des Suchlaufs: Montag, 4. Mai 2009  13:47
Benötigte Zeit:  1:18:00 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  19108 Verzeichnisse wurden überprüft
 757006 Dateien wurden geprüft
    156 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
    152 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      3 Dateien konnten nicht durchsucht werden
 756847 Dateien ohne Befall
  4781 Archive wurden durchsucht
      4 Warnungen
    155 Hinweise
  41895 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden
Hier noch ein link zum download des logfiles (zur besseren übersicht hxxp://rapidshare.com/files/229033919/1.txt.html)

Chris4You 04.05.2009 15:04
Hi,

die Dateien mit der Endung "XXX" sind die, die wir schon identifiziert haben (die werden von den Tools umbenannt um sie unschädlich zu machen).

Dann kommen die Tools selber (das ist ein false/positive), da die Tools (combofix und Konsorten) die gleichen Mechanismen wie die Trojaner/Viren verwenden...

Und einiges in der Systemwiederherstellung die wir jetzt sicherheitshalber "putzen" werden.

Systemwiederherstellung löschen
http://www.systemwiederherstellung-deaktivieren.de/windows-xp.html
Wenn der Rechner einwandfrei läuft abschließend alle Systemwiederherstellungspunkte löschen lassen(das sind die: C:\System Volume Information\_restore - Dateien die gefunden wurden, d.h. der Trojaner wurde mit gesichert und wenn Du auf einen Restorepunkt zurück gehen solltest, dann ist er wieder da) wie folgt:

Arbeitsplatz ->rechte Maus -> Eigenschaften -> Systemwiederherstellung ->
anhaken: "Systemwiederherstellung auf allen Laufwerken deaktivieren" -> Übernehmen -> Sicherheitsabfrage OK -> Fenster mit OK schliessen -> neu Booten;

Dann das gleiche nochmal nur das Häkchen entfernen (dann läuft sie wieder).

Einen ersten Restorepunkt setzten:
Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen

Dann bitte noch mal ein scan mit Avira...

chris

psychoaki 04.05.2009 23:32
Hallo,

ich habe die punkte von oben abgearbeitet und hier kommt das neue log file von avira

Code:
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 4. Mai 2009  22:59

Es wird nach 1377687 Virenstämmen gesucht.

Lizenznehmer  : Avira AntiVir Personal - FREE Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : 
Computername  : 

Versionsinformationen:
BUILD.DAT      : 9.0.0.394    17962 Bytes  17.04.2009 11:13:00
AVSCAN.EXE    : 9.0.3.5      466689 Bytes  28.04.2009 07:31:34
AVSCAN.DLL    : 9.0.3.0      49409 Bytes  13.02.2009 11:04:10
LUKE.DLL      : 9.0.3.2      209665 Bytes  20.02.2009 10:35:44
LUKERES.DLL    : 9.0.2.0      13569 Bytes  26.01.2009 09:41:59
ANTIVIR0.VDF  : 7.1.0.0    15603712 Bytes  27.10.2008 11:30:36
ANTIVIR1.VDF  : 7.1.2.12    3336192 Bytes  11.02.2009 19:33:26
ANTIVIR2.VDF  : 7.1.3.137  1810944 Bytes  30.04.2009 07:45:19
ANTIVIR3.VDF  : 7.1.3.150    73728 Bytes  04.05.2009 20:58:26
Engineversion  : 8.2.0.160
AEVDF.DLL      : 8.1.1.1      106868 Bytes  04.05.2009 07:45:20
AESCRIPT.DLL  : 8.1.1.79    385403 Bytes  04.05.2009 07:45:20
AESCN.DLL      : 8.1.1.10    127348 Bytes  04.04.2009 20:10:54
AERDL.DLL      : 8.1.1.3      438645 Bytes  29.10.2008 17:24:41
AEPACK.DLL    : 8.1.3.14    397685 Bytes  20.04.2009 18:13:52
AEOFFICE.DLL  : 8.1.0.36    196987 Bytes  26.02.2009 19:01:56
AEHEUR.DLL    : 8.1.0.122  1737080 Bytes  24.04.2009 21:17:11
AEHELP.DLL    : 8.1.2.2      119158 Bytes  26.02.2009 19:01:56
AEGEN.DLL      : 8.1.1.39    348532 Bytes  23.04.2009 21:17:07
AEEMU.DLL      : 8.1.0.9      393588 Bytes  09.10.2008 13:32:40
AECORE.DLL    : 8.1.6.9      176500 Bytes  14.04.2009 13:18:59
AEBB.DLL      : 8.1.0.3      53618 Bytes  09.10.2008 13:32:40
AVWINLL.DLL    : 9.0.0.3      18177 Bytes  12.12.2008 07:47:56
AVPREF.DLL    : 9.0.0.1      43777 Bytes  03.12.2008 10:39:55
AVREP.DLL      : 8.0.0.3      155905 Bytes  20.01.2009 13:34:28
AVREG.DLL      : 9.0.0.0      36609 Bytes  07.11.2008 14:25:04
AVARKT.DLL    : 9.0.0.3      292609 Bytes  28.04.2009 07:31:34
AVEVTLOG.DLL  : 9.0.0.7      167169 Bytes  30.01.2009 09:37:04
SQLITE3.DLL    : 3.6.1.0      326401 Bytes  28.01.2009 14:03:49
SMTPLIB.DLL    : 9.2.0.25      28417 Bytes  02.02.2009 07:21:28
NETNT.DLL      : 9.0.0.0      11521 Bytes  07.11.2008 14:41:21
RCIMAGE.DLL    : 9.0.0.21    2438401 Bytes  09.02.2009 10:41:16
RCTEXT.DLL    : 9.0.37.0      87809 Bytes  28.04.2009 07:31:34

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, F:, G:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Montag, 4. Mai 2009  22:59

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '41325' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'JDownloader.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'tpfnf7sp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dot1XCfg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACWLIcon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACTray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TpScrex.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TPONSCR.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TpShocks.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPLpr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TPOSDSVC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'scheduler_proxy.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smax4pnp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SvcGuiHlpr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'btwdins.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SUService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PWMDBSVC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AcSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'tvtsched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TpKmpSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TPHDEXLG.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'tvt_reg_monitor_svc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NBService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mdm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'LVPrcSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ijplmsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'cvpnd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AcPrfMgrSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'S24EvMon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ibmpmsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '64' Prozesse mit '64' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'F:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'G:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '75' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\hiberfil.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
    [HINWEIS]  Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]  Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\pagefile.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
    [HINWEIS]  Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]  Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Tools\Security\ComboFix.exe
  [0] Archivtyp: RAR SFX (self extracting)
    --> 32788R22FWJFW\NirCmd.cfexe
      [FUND]      Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
    --> 32788R22FWJFW\nircmd.com
      [FUND]      Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
    --> 32788R22FWJFW\NirCmdC.cfexe
      [FUND]      Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.1.B
    --> 32788R22FWJFW\psexec.cfexe
      [1] Archivtyp: RSRC
      --> Object
        [FUND]      Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\WINDOWS\system32\drivers\sptd.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'F:\' <Multimedia>
Beginne mit der Suche in 'G:\' <Studium>

Beginne mit der Desinfektion:
C:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Tools\Security\ComboFix.exe
    [WARNUNG]  Die Datei wurde ignoriert.


Ende des Suchlaufs: Dienstag, 5. Mai 2009  00:12
Benötigte Zeit:  1:13:16 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  18945 Verzeichnisse wurden überprüft
 746951 Dateien wurden geprüft
      4 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      3 Dateien konnten nicht durchsucht werden
 746944 Dateien ohne Befall
  4749 Archive wurden durchsucht
      4 Warnungen
      2 Hinweise
  41325 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden
wenn ich das richtig interpretiere sieht das ok aus, oder?

Chris4You 05.05.2009 06:37
Hi,

ja, ist OKay. Combofix wird meistens (fälschlicherweise) erkannt...
Die anderen Sachen sind Okay...

chris

psychoaki 05.05.2009 06:55
Hi,

super, vielen Dank!!!


Alle Zeitangaben in WEZ +1. Es ist jetzt 04:45 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131