Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Auch ich habe so einen TAN Schädling (https://www.trojaner-board.de/90522-habe-so-tan-schaedling.html)

toddie 07.09.2010 22:07
Auch ich habe so einen TAN Schädling
 
Hallo zusammen,
ich verfolge diverse Threeads hier schon ein wenig und nun möchte ich mich auch melden....auch ich habe mir den TAN Tojaner eingefangen.

Ich würde gerne das Ding wieder losbekommen. Ich weiß, Neuinstallation ist das beste, da ich aber selber aus der IT Branche komme (Systemadministrator für Server) bin ich daran interessiert wie das entfernen geht und auch an dem Trojaner sebst interessiert.

Ich habe schon einen Malware Scan und einen OTL Scan durchgeführt.

Auch habe ich mittels F-Secure ein Log mitlaufen lassen.

Bei meiner Bank gibt es einen "Testaccount" den ich im Moment benutze um den Trojaner zu aktivieren.

Wenn der Trojaner aktiv ist und ich den "Weiter" Button drücke kann ich in dem Log folgendes erkennen

----------
2010-09-07T22:35:25+01:00,info,general,daemon,Policy file has been reloaded.
2010-09-07T22:35:26+01:00,info,appl control,C:\PROGRA~1\MOZILL~1\firefox.exe,allow,connect out,6,194.28.112.132,80
-----------
Da kann man zumindest erkennen wo der Trojaner Versucht seine Daten zin zu senden

In den Packetlogs steht leider nichts drin.

Nachdem ich gestern den Trojaner endeckt habe hat sich F-Secure 2 mal gemeldet das er einen Trojaner entdeckt hätte und ihn löschen wollte...hat aber nichts geholfen. Den Zettel auf dem ich dien Nachem geschrieben habe, habe ich leider verschlampt.

Hier die andern Logs die in den anderen Threads auch angefragt worden sind, ich hoffe das mit dem Pasten sofort im ersten thread ist OK

----------
OTL Extras.txt
-----------OTL EXTRAS Logfile:
Code:
OTL Extras logfile created on: 07.09.2010 22:42:44 - Run 1
OTL by OldTimer - Version 3.2.11.0 Folder = C:\Dokumente und Einstellungen\T******\Eigene Dateien\Downloads
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 75,00% Memory free
6,00 Gb Paging File | 5,00 Gb Available in Paging File | 85,00% Paging File free
Paging file location(s): C:\pagefile.sys 3096 3096 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 127,99 Gb Total Space | 17,96 Gb Free Space | 14,03% Space Free | Partition Type: NTFS
Drive D: | 9,31 Gb Total Space | 8,96 Gb Free Space | 96,26% Space Free | Partition Type: FAT32
Drive E: | 21,06 Gb Total Space | 18,96 Gb Free Space | 90,05% Space Free | Partition Type: NTFS
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
 
Computer Name: MEINER
Current User Name: T******
Logged in as Administrator.
 
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
 
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
htmlfile [edit] -- Reg Error: Key error.
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation)
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [ACDBrowse] -- "C:\Programme\ACD Systems\ACDSee\8.0\ACDSee8.exe" "%1" (ACD Systems Ltd.)
Directory [AddToPlaylistVLC] -- C:\Programme\VideoLAN\VLC\vlc.exe --started-from-file --playlist-enqueue "%1" ()
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Directory [PlayWithVLC] -- C:\Programme\VideoLAN\VLC\vlc.exe --started-from-file --no-playlist-enqueue "%1" ()
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 0
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\GIGABYTE\@BIOS\gwflash.exe" = C:\Programme\GIGABYTE\@BIOS\gwflash.exe:LocalSubNet:Disabled:@BIOS Application -- ()
"C:\Programme\GIGABYTE\I-Cool\run.exe" = C:\Programme\GIGABYTE\I-Cool\run.exe:*:Enabled:update -- File not found
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{01840D1A-3B62-1E2A-9997-C9B9007F1E5F}" = Catalyst Control Center Core Implementation
"{0241E073-A1C3-857F-7DA3-9A5DC6C4F60B}" = Catalyst Control Center Graphics Light
"{028ED9C4-25EE-4DEE-9CF4-91034BC89B18}" = Microsoft SQL Server 2005 Express Edition (JTLWAWI)
"{055EE59D-217B-43A7-ABFF-507B966405D8}" = ATI Catalyst Control Center
"{06B06D3B-C133-B15E-AF47-F7FE7F48DE49}" = CCC Help Turkish
"{07629207-FAA0-4F1A-8092-BF5085BE511F}" = Unterstützungsdateien für das Microsoft SQL Server-Setup (Englisch)
"{07E78C07-ECEF-4AEF-9581-2C31A5BDA6C0}" = sipgate Faxdrucker
"{0A5ECD3B-191A-67C7-A04D-D4900C9501E5}" = Catalyst Control Center Graphics Previews Common
"{109CE01E-3C45-4AD0-92D0-9102E0D56648}" = Janosch Straßenverkehr
"{13F3917B56CD4C25848BDC69916971BB}" = DivX Converter
"{18D10072035C4515918F7E37EAFAACFC}" = AutoUpdate
"{192A107E-C6B9-41B9-BDBF-38E3AA226054}" = OpenOffice.org 3.2
"{1A19B4A3-6CE7-4388-B21F-679803C6C76B}" = TAXMAN 2009
"{1CE25480-9ADD-4AA7-840F-314A257DEA15}" = REFLEX Modellflugsimulator
"{1E71806D-587E-3DF8-0BA0-6010E3B4F071}" = CCC Help Swedish
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{1FF713E1-FE5E-4AD0-9C8C-B2E877846B45}" = Catalyst Control Center - Branding
"{216AB108-2AE1-4130-B3D5-20B2C4C80F8F}" = QuickTime
"{26A24AE4-039D-4CA4-87B4-2F83216018FF}" = Java(TM) 6 Update 18
"{26CC62F3-F66B-4F41-9679-421FCE3F03ED}" = ccc-core-static
"{3113E537-41F6-8C1B-109A-38C76DE69271}" = Catalyst Control Center Localization All
"{3248F0A8-6813-11D6-A77B-00B0D0160070}" = Java(TM) 6 Update 7
"{32BAA79B-CBB2-3693-A0E3-71EA4A1E9761}" = ccc-core-static
"{33BA828D-CF19-0B52-8483-61FCFD83F75D}" = Catalyst Control Center HydraVision Full
"{33CF58F5-48D8-4575-83D6-96F574E4D83A}" = Nero DriveSpeed
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{359CFC0A-BEB1-440D-95BA-CF63A86DA34F}" = Nero Recode
"{362CCC45-63D1-9688-C74D-F32F1B0CD919}" = CCC Help English
"{368BA326-73AD-4351-84ED-3C0A7A52CC53}" = Nero Rescue Agent
"{37E5CADC-C146-F72B-EEFE-ABB1C5DC7D98}" = CCC Help Spanish
"{3CCE085E-255D-BBEE-7D51-D46FF3E13B1F}" = Catalyst Control Center HydraVision Full
"{3EC4020D-3D75-ABCD-9BF1-E4D911D4CDED}" = Catalyst Control Center Graphics Full New
"{3FC7CBBC4C1E11DCA1A752EA55D89593}" = DivX Version Checker
"{4183E4E3-F943-416C-D4E1-0673F1CBA6E1}" = ccc-utility
"{43E39830-1826-415D-8BAE-86845787B54B}" = Nero Vision
"{4918D7C5-9025-B706-DEF2-5E29AB5EAFEA}" = Catalyst Control Center Graphics Light
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{4C007A32-9570-725E-4C9A-70BB36785835}" = CCC Help Norwegian
"{4D43D635-6FDA-4fa5-AA9B-23CF73D058EA}" = Nero StartSmart OEM
"{4D5CB2B2-DD58-D8B0-FC08-58A2DC897C23}" = CCC Help English
"{4E457212-AD7F-1747-9D9F-76BA98D44CC2}" = CCC Help Portuguese
"{516CB854-B95B-42AB-7887-9CFC24784A42}" = CCC Help Czech
"{51974F4F-7A40-48AE-99B8-243F34F17884}" = Hello Engines! Standard 4
"{53408AC4-2698-A35E-B41C-571BD549E212}" = Catalyst Control Center Core Implementation
"{53F3256D-DB6A-0E06-7874-A60D87B6AE5C}" = CCC Help Chinese Traditional
"{55408879-D7FF-01C2-DAC4-4146E1439304}" = CCC Help Polish
"{56C049BE-79E9-4502-BEA7-9754A3E60F9B}" = neroxml
"{58B2C07A-CD58-CC42-2DF3-8F433EEF339B}" = CCC Help Finnish
"{595A3116-40BB-4E0F-A2E8-D7951DA56270}" = NeroExpress
"{5B4FA5EA-8C08-4B6D-AAF4-003A1AB8FFBA}" = CCC Help Russian
"{5DA6F06A-B389-407B-BF8C-1548767914D8}" = ATI Problem Report Wizard
"{5EE7D259-D137-4438-9A5F-42F432EC0421}" = VC80CRTRedist - 8.0.50727.4053
"{62AC81F6-BDD3-4110-9D36-3E9EAAB40999}" = Nero CoverDesigner
"{68a09e2d-6e16-4f2d-a099-35f64f89f449}" = Nero 9
"{69496452-FAF3-43BC-9907-BA9CEC65FC10}" = Lexware Info Service
"{6956856F-B6B3-4BE0-BA0B-8F495BE32033}" = Apple Software Update
"{69FAC221-570C-A7A2-10FF-30F3BDDED603}" = Catalyst Control Center Graphics Light
"{6A7C42A3-02F9-C4E2-3A2B-BED15343DB4E}" = ccc-utility
"{6D9306D4-668D-F7B5-30A8-0D20B5D898A0}" = Catalyst Control Center Core Implementation
"{6E9B276F-77BE-49F7-8676-C10017F9E20B}" = Lexware buchhalter Servicepack 2008, Version 13.50
"{700C61BE-9424-4B20-9153-7A0C59722AF4}" = TAXMAN Bibliothek 2009
"{7299052b-02a4-4627-81f2-1818da5d550d}" = Microsoft Visual C++ 2005 Redistributable
"{76C24F39-B161-498F-BD8B-C64789812D13}_is1" = ConvertXtoDVD 3.5.3.139
"{7748ac8c-18e3-43bb-959b-088faea16fb2}" = Nero StartSmart
"{77C4F53F-8618-B4AC-A54D-694CA504BC2E}" = Catalyst Control Center Graphics Full Existing
"{7829DB6F-A066-4E40-8912-CB07887C20BB}" = Nero BurnRights
"{784B383D-1498-77AA-6085-A9EF197193D0}" = CCC Help Italian
"{78A1F747-520C-E068-ED99-08E7C4F75E2A}" = ccc-core-preinstall
"{79AE776D-FA42-4040-B5F3-F317500D0FCD}" = ATI AVIVO Codecs
"{7A5029B2-B9EE-BD2F-D1C2-20A89933BC7B}" = Catalyst Control Center Graphics Full New
"{7B63B2922B174135AFC0E1377DD81EC2}" = DivX Codec
"{7FB12670-0F93-4E1E-B2F5-4F339199A03A}" = Microsoft SQL Server Native Client
"{837b34e3-7c30-493c-8f6a-2b0f04e2912c}" = Microsoft Visual C++ 2005 Redistributable
"{849A32C3-E75A-4791-9B11-E568BA3525A4}" = Microsoft SQL Server VSS Writer
"{869200DB-287A-4DC0-B02B-2B6787FBCD4C}" = Nero DiscSpeed
"{86D4B82A-ABED-442A-BE86-96357B70F4FE}" = Ask Toolbar
"{8937FCB2-2FC6-4FC3-9FB5-DE2C92DB9C38}" = Microsoft .NET Framework 2.0 Language Pack - DEU
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{8ADFC4160D694100B5B8A22DE9DCABD9}" = DivX Player
"{8D7133DE-27D2-47E5-B248-4180278D32AA}" = Catalyst Control Center - Branding
"{909B62B0-8ACA-4061-A83B-09CAEF609619}" = MSXML 6.0 Parser
"{910FC2D0-4BBF-08B1-DED9-96615AC9C33A}" = ccc-utility
"{96AFFF85-9DBE-BE4A-326E-6F12535D2AA8}" = CCC Help Chinese Standard
"{981029E0-7FC9-4CF3-AB39-6F133621921A}" = Skype Toolbars
"{A209525B-3377-43F4-B886-32F6B6E7356F}" = Nero WaveEditor
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A52C4BAB-E8E7-906E-EF34-91EA765505BE}" = ccc-core-preinstall
"{A5E86ABA-C49F-0D98-038A-2BFF8CC14DDE}" = ccc-core-static
"{A778A787-08A4-4089-CB68-02A9737DE532}" = Catalyst Control Center InstallProxy
"{A8F2089B-1F79-4BF6-B385-A2C2B0B9A74D}" = ImagXpress
"{A96E97134CA649888820BCDE5E300BBD}" = H.264 Decoder
"{AA2E6BFE-4351-481C-A720-47CB3506570B}" = ACDSee 8
"{AAC389499AEF40428987B3D30CFC76C9}" = MKV Splitter
"{AC76BA86-7AD7-1031-7B44-A93000000001}" = Adobe Reader 9.3.4 - Deutsch
"{AC76BA86-7AD7-5760-0000-900000000003}" = Japanese Fonts Support For Adobe Reader 9
"{ADD461BD-0409-186A-8056-C1F51B782EDA}" = CCC Help Greek
"{AEF9DC35ADDF4825B049ACBFD1C6EB37}" = AAC Decoder
"{B13A7C41581B411290FBC0395694E2A9}" = DivX Converter
"{B1ADF008-E898-4FE2-8A1F-690D9A06ACAF}" = DolbyFiles
"{B2DC3F08-2EB2-49A5-AA24-15DFC8B1CB83}" = @BIOS Ver.2.03
"{B2EC4A38-B545-4A00-8214-13FE0E915E6D}" = Advertising Center
"{B3471105-8237-6DC4-C8EF-DD4E71344398}" = CCC Help Dutch
"{B569C50C-32D5-4C1C-9313-A154BD2EA14E}" = PhoenixRC
"{B7050CBDB2504B34BC2A9CA0A692CC29}" = DivX Plus Web Player
"{B78120A0-CF84-4366-A393-4D0A59BC546C}" = Menu Templates - Starter Kit
"{B9F8DBD5-EFAF-F5FB-B862-33D4FFC6354C}" = Catalyst Control Center HydraVision Full
"{BBAAAD82-6242-420F-86D4-BD72BB5E6C86}" = Tools für Microsoft SQL Server 2005 Express Edition
"{BC63A4AC-435D-4AAD-9881-D0ED60804D1A}" = Lexware buchhalter Aktualisierung Februar 2008, Version 13.10
"{BCF93617-DD69-74B7-FBDC-0B0AEFAE7D43}" = CCC Help Thai
"{BD5CA0DA-71AD-43DA-B19E-6EEE0C9ADC9A}" = Nero ControlCenter
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C4C2BA9A-E0BE-B4AC-2858-30ED109AAB39}" = CCC Help English
"{c5edf61d-df4b-457c-987f-f3b5176308a2}" = Nero 9 Trial
"{C950420B-4182-49EA-850A-A6A2ABF06C6B}" = Marvell Miniport Driver
"{CC03804C-5D9E-B6F5-D2D6-2E8D11CE7C22}" = Catalyst Control Center Graphics Previews Common
"{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1
"{CFCF9764-6D75-2EAD-D274-45278E48167C}" = CCC Help Japanese
"{D025A639-B9C9-417D-8531-208859000AF8}" = NeroBurningROM
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"{D109FDB4-61EC-4B1E-9782-F54CC3A10024}" = track2
"{D3D79A61-3E3A-7D3D-F094-2614CE007D9F}" = CCC Help Korean
"{D3E434C7-8542-5C5C-FE02-1090E7A1C04A}" = Catalyst Control Center Graphics Full Existing
"{D5C8E140-6E6F-11DD-9AA9-0050560400B1}" = Haufe iDesk-Service
"{D9D93D74-107D-4BD3-87D0-AABCF7C98BD5}" = Catalyst Control Center - Branding
"{dba84796-8503-4ff0-af57-1747dd9a166d}" = Nero Online Upgrade
"{E30DFCDA-9CB6-B062-A0DB-B48D295D6545}" = CCC Help Hungarian
"{E498385E-1C51-459A-B45F-1721E37AA1A0}" = Movie Templates - Starter Kit
"{E8A80433-302B-4FF1-815D-FCC8EAC482FF}" = Nero Installer
"{E98371BD-6C0D-463E-B004-E6303F9A34A7}" = Lexware buchhalter 2008
"{EA14702F-74A1-7A7B-032C-98DEA06F01BE}" = CCC Help German
"{EAF092E3-6B95-41E8-B468-94B85DAD8603}" = eDocPrinter PDF Pro Ver 6.48
"{EB2E2ED5-DE74-F09D-3B23-0C4BA51D8C60}" = Catalyst Control Center Graphics Previews Common
"{ECC3713C-08A4-40E3-95F1-7D0704F1CE5E}" = PL-2303 USB-to-Serial
"{ED05E9DF-45D8-4FA3-86C6-A3704FA21B37}" = REFLEX Model Flight Simulator
"{EFE38CC6-2592-4F93-B59B-CE4B69600890}" = TAXMAN 2009
"{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver
"{F4423F03-A62C-57C2-BF6E-6AC06D27E094}" = CCC Help French
"{F48AAE0F-52F4-11DD-B1F7-0050560400B1}" = Haufe iDesk-Browser
"{F72AB93B-BA2D-423F-A702-8001D7CF33B3}" = RealFlightG3
"{F9D0A12A-1641-A4DB-4649-F7AB1F3A0F59}" = CCC Help Danish
"{FBCDFD61-7DCF-4E71-9226-873BA0053139}" = Nero InfoTool
"{FD3D9B16-44E4-4231-E1E2-85C40A115F87}" = ATI Catalyst Install Manager
"{FDE0EEEA-B1CD-BFED-22BB-AD87B886CC47}" = Catalyst Control Center Graphics Full New
"{FE688026-1C8C-4E50-889D-4B6607CADC24}" = Lexware buchhalter 2008
"{FE6A0D54-A89C-542A-3C0F-7DE1DFC0F3A2}" = Catalyst Control Center Graphics Full Existing
"{FE7ADD14-5576-C865-AB6A-84BBC94C883B}" = ccc-core-preinstall
"{FF1B3317-EADD-4AC3-BE54-37265FC9A133}" = Lexware buchhalter Servicepack 2008, Version 13.50
"3134FEF0E1D959EC0CC2E458C94B7057B2AC0CC9" = Windows-Treiberpaket - FTDI CDM Driver Package (10/22/2009 2.06.00)
"88EB56038379B8B7DCFB4D2448A60F52E064B265" = Windows-Treiberpaket - FTDI CDM Driver Package (10/22/2009 2.06.00)
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"ATI Display Driver" = ATI Display Driver
"Audiograbber" = Audiograbber 1.83 SE
"Audiograbber-Lame" = Audiograbber Lame-MP3-Plugin
"CCleaner" = CCleaner
"CSV-Import_is1" = CSV-Import 3.6
"DivX Plus DirectShow Filters" = DivX Plus DirectShow Filters
"DVDFab (Platinum/Gold/HD Decrypter) (Option: Mobile) 5_is1" = DVDFab (Platinum/Gold/HD Decrypter) (Option: Mobile) 5.2.5.0
"EasyCash&Tax_is1" = EasyCash&Tax 1.48
"FileZilla Server" = FileZilla Server (remove only)
"F-Secure Product 444" = F-Secure Internet Security 2009
"GUT 1" = GUT 1
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie8" = Windows Internet Explorer 8
"IrfanView" = IrfanView (remove only)
"JTL-Wawi_is1" = JTL-Wawi
"Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware
"Microsoft .NET Framework 2.0 Language Pack - DEU" = Microsoft .NET Framework 2.0 Language Pack - DEU
"Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1
"Microsoft SQL Server 2005" = Microsoft SQL Server 2005
"Mozilla Firefox (3.6.8)" = Mozilla Firefox (3.6.8)
"Mozilla Thunderbird (3.1.2)" = Mozilla Thunderbird (3.1.2)
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"ProtectDisc Driver 11" = ProtectDisc Driver, Version 11
"RealFlightG3Pro" = RealFlight G3 R/C Simulator
"Samsung ML-2010 Series" = Samsung ML-2010 Series
"SpeedFan" = SpeedFan (remove only)
"ST6UNST #1" = CubeInterpreter (C:\Programme\CubeInterpreter\)
"Virtual RC Racing_is1" = Virtual RC Racing 3.5
"VLC media player" = VLC media player 0.9.8a
"Windows XP Service Pack" = Windows XP Service Pack 3
"WinGimp-2.0_is1" = GIMP 2.6.6
"WinRAR archiver" = WinRAR
"Zahlenbuch 2" = Zahlenbuch 2
 
========== HKEY_CURRENT_USER Uninstall List ==========
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"UnityWebPlayer" = Unity Web Player
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 06.09.2010 20:51:56 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 3 2010-09-07 02:51:56+02:00 meiner MEINER\T****** F-Secure Anti-Virus
 
Malicious code found in file C:\oldFP\Dokumente und Einstellungen\All Users\Anwendungsdaten\dmxmlwnm.dll_.
Infection: Trojan.Win32.Obfuscated.mi
 
Error - 06.09.2010 20:52:26 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 4 2010-09-07 02:52:26+02:00 meiner MEINER\T****** F-Secure Anti-Virus
 
Malicious code found in file C:\oldFP\Dokumente und Einstellungen\Liane\Lokale
Einstellungen\Temp\aalotqno.0ll. Infection: Trojan.Win32.Monder.gen
 
Error - 06.09.2010 20:52:27 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 5 2010-09-07 02:52:27+02:00 meiner MEINER\T****** F-Secure Anti-Virus
 
Malicious code found in file C:\oldFP\Dokumente und Einstellungen\Liane\Lokale
Einstellungen\Temp\aalotqno.0ll. Infection: Trojan.Win32.Monder.gen
 
Error - 06.09.2010 21:30:44 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 6 2010-09-07 03:30:44+02:00 meiner MEINER\T****** F-Secure Anti-Virus
 
Malicious code found in file C:\System Volume Information\_restore{6C789EAE-DA21-4A94-85C3-2954727FC57B}\RP314\A0056312.exe.
Infection: Packed.Win32.Krap.hc
 
Error - 06.09.2010 21:30:44 | Computer Name = MEINER | Source = F-Secure Anti-Virus | ID = 103
Description = 7 2010-09-07 03:30:44+02:00 meiner MEINER\T****** F-Secure Anti-Virus
 
Malicious code found in file C:\System Volume Information\_restore{6C789EAE-DA21-4A94-85C3-2954727FC57B}\RP314\A0056312.exe.
Infection: Packed.Win32.Krap.hc
 
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 26023
Description = Fehler beim TCP-Anbieter des Servers beim Überwachen von [ 'any' <ipv4>
4271]. Der TCP-Port wird bereits verwendet.
 
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 17182
Description = Fehler bei der TDSSNIClient-Initialisierung. Fehler 0x271d, Statuscode
0xa.
 
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 17182
Description = Fehler bei der TDSSNIClient-Initialisierung. Fehler 0x271d, Statuscode
0x1.
 
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 17826
Description = Aufgrund eines internen Fehlers in einer Netzwerkbibliothek konnte
die Netzwerkbibliothek nicht gestartet werden. Überprüfen Sie zum Bestimmen der
Ursache die diesem Fehler unmittelbar vorhergehenden Fehler im Fehlerprotokoll.
 
Error - 07.09.2010 15:48:34 | Computer Name = MEINER | Source = MSSQL$JTLWAWI | ID = 17120
Description = SQL Server konnte den Thread FRunCM nicht erzeugen. Suchen Sie im
SQL Server-Fehlerprotokoll und in den Windows-Ereignisprotokollen nach Informationen
zu möglichen verwandten Problemen.
 
[ System Events ]
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:58 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:59 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:59 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
Error - 07.09.2010 16:13:59 | Computer Name = MEINER | Source = Service Control Manager | ID = 7023
Description = Der Dienst "Anwendungsverwaltung" wurde mit folgendem Fehler beendet:
%%126
 
 
< End of report >
--- --- ---
-------------------


-----------------
OTL OTL.txt
-----------------OTL Logfile:
OTL EXTRAS Logfile:
Code:
OTL logfile created on: 07.09.2010 22:42:44 - Run 1
OTL by OldTimer - Version 3.2.11.0    Folder = C:\Dokumente und Einstellungen\T******\Eigene Dateien\Downloads
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 75,00% Memory free
6,00 Gb Paging File | 5,00 Gb Available in Paging File | 85,00% Paging File free
Paging file location(s): C:\pagefile.sys 3096 3096 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 127,99 Gb Total Space | 17,96 Gb Free Space | 14,03% Space Free | Partition Type: NTFS
Drive D: | 9,31 Gb Total Space | 8,96 Gb Free Space | 96,26% Space Free | Partition Type: FAT32
Drive E: | 21,06 Gb Total Space | 18,96 Gb Free Space | 90,05% Space Free | Partition Type: NTFS
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
 
Computer Name: MEINER
Current User Name: T******
Logged in as Administrator.
 
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
 
========== Processes (SafeList) ==========
 
PRC - C:\Dokumente und Einstellungen\T******\Eigene Dateien\Downloads\OTL.exe (OldTimer Tools)
PRC - C:\Programme\Mozilla Firefox\plugin-container.exe (Mozilla Corporation)
PRC - C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
PRC - C:\Programme\F-Secure\Anti-Virus\fssm32.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Anti-Virus\fsgk32.exe (F-Secure Corporation)
PRC - C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
PRC - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe (Nero AG)
PRC - C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe (Microsoft Corporation)
PRC - C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe (Microsoft Corporation)
PRC - C:\Programme\F-Secure\FSAUA\program\fsus.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\ORSP Client\fsorsp.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\FSPC\fspc.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Common\FSMB32.EXE (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Common\FSMA32.EXE (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Common\FSM32.EXE (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Common\FAMEH32.EXE (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Common\FCH32.EXE (F-Secure Corporation)
PRC - C:\Programme\F-Secure\FSGUI\fsguidll.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\FSGUI\fsavgui.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\FWES\program\fsdfwd.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Anti-Virus\fsgk32st.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Anti-Virus\fsqh.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\Anti-Virus\fsav32.exe (F-Secure Corporation)
PRC - C:\Programme\F-Secure\FSAUA\program\fsaua.exe (F-Secure Corporation)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
PRC - C:\WINDOWS\Samsung\ComSMMgr\SSMMgr.exe (Samsung Electronics.)
 
 
========== Modules (SafeList) ==========
 
MOD - C:\Dokumente und Einstellungen\T******\Eigene Dateien\Downloads\OTL.exe (OldTimer Tools)
MOD - C:\WINDOWS\system32\logainst.dll ()
MOD - C:\Programme\F-Secure\Spam Control\fsscoepl.dll (F-Secure Corporation)
MOD - C:\WINDOWS\system32\msscript.ocx (Microsoft Corporation)
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (AppMgmt) -- C:\WINDOWS\System32\appmgmts.dll File not found
SRV - (FileZilla Server) -- C:\Programme\FileZilla Server\FileZilla Server.exe (FileZilla Project)
SRV - (Nero BackItUp Scheduler 4.0) -- C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe (Nero AG)
SRV - (MSSQL$JTLWAWI) SQL Server (JTLWAWI) -- C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe (Microsoft Corporation)
SRV - (SQLWriter) -- C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe (Microsoft Corporation)
SRV - (SQLBrowser) -- C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe (Microsoft Corporation)
SRV - (MSSQLServerADHelper) -- C:\Programme\Microsoft SQL Server\90\Shared\sqladhlp90.exe (Microsoft Corporation)
SRV - (FSORSPClient) -- C:\Programme\F-Secure\ORSP Client\fsorsp.exe (F-Secure Corporation)
SRV - (FSMA) -- C:\Programme\F-Secure\Common\FSMA32.EXE (F-Secure Corporation)
SRV - (FSDFWD) -- C:\Programme\F-Secure\FWES\Program\fsdfwd.exe (F-Secure Corporation)
SRV - (F-Secure Gatekeeper Handler Starter) -- C:\Programme\F-Secure\Anti-Virus\fsgk32st.exe (F-Secure Corporation)
SRV - (FSAUA) -- C:\Programme\F-Secure\FSAUA\program\fsaua.exe (F-Secure Corporation)
SRV - (IDriverT) -- C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe (Macrovision Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (ialm) -- C:\WINDOWS\System32\DRIVERS\igxpmp32.sys File not found
DRV - (fsbts) -- C:\WINDOWS\system32\Drivers\fsbts.sys ()
DRV - (F-Secure Gatekeeper) -- C:\Programme\F-Secure\Anti-Virus\minifilter\fsgk.sys ()
DRV - (gdrv) -- C:\WINDOWS\gdrv.sys (Windows (R) 2000 DDK provider)
DRV - (ati2mtag) -- C:\WINDOWS\system32\drivers\ati2mtag.sys (ATI Technologies Inc.)
DRV - (FTDIBUS) -- C:\WINDOWS\system32\drivers\ftdibus.sys (FTDI Ltd.)
DRV - (FTSER2K) -- C:\WINDOWS\system32\drivers\ftser2k.sys (FTDI Ltd.)
DRV - (IntcAzAudAddService) Service for Realtek HD Audio (WDM) -- C:\WINDOWS\system32\drivers\RtkHDAud.sys (Realtek Semiconductor Corp.)
DRV - (AtiHdmiService) -- C:\WINDOWS\system32\drivers\AtiHdmi.sys (ATI Research Inc.)
DRV - (acedrv11) -- C:\WINDOWS\system32\drivers\acedrv11.sys (Protect Software GmbH)
DRV - (F-Secure HIPS) -- C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure Corporation)
DRV - (FSFW) -- C:\WINDOWS\System32\drivers\fsdfw.sys (F-Secure Corporation)
DRV - (F-Secure Filter) -- C:\Programme\F-Secure\Anti-Virus\win2k\fsfilter.sys ()
DRV - (F-Secure Recognizer) -- C:\Programme\F-Secure\Anti-Virus\win2k\fsrec.sys ()
DRV - (Ambfilt) -- C:\WINDOWS\system32\drivers\Ambfilt.sys (Creative)
DRV - (61883) -- C:\WINDOWS\system32\drivers\61883.sys (Microsoft Corporation)
DRV - (Avc) -- C:\WINDOWS\system32\drivers\avc.sys (Microsoft Corporation)
DRV - (MSDV) -- C:\WINDOWS\system32\drivers\msdv.sys (Microsoft Corporation)
DRV - (HDAudBus) -- C:\WINDOWS\system32\drivers\hdaudbus.sys (Windows (R) Server 2003 DDK provider)
DRV - (yukonwxp) -- C:\WINDOWS\system32\drivers\yk51x86.sys (Marvell)
DRV - (speedfan) -- C:\WINDOWS\system32\speedfan.sys (Windows (R) 2000 DDK provider)
DRV - (Monfilt) -- C:\WINDOWS\system32\drivers\Monfilt.sys (Creative Technology Ltd.)
DRV - (Ser2pl) -- C:\WINDOWS\system32\drivers\ser2pl.sys (Prolific Technology Inc.)
DRV - (DgiVecp) -- C:\WINDOWS\system32\drivers\DGIVECP.SYS (DeviceGuys, Inc.)
DRV - (giveio) -- C:\WINDOWS\system32\giveio.sys ()
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.8\extensions\\Components: C:\Programme\Mozilla Firefox\components [2010.09.07 22:21:34 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.8\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2010.08.31 00:33:15 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Thunderbird 3.1.2\extensions\\Components: C:\Programme\Mozilla Thunderbird\components [2010.08.21 16:23:20 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Thunderbird 3.1.2\extensions\\Plugins: C:\Programme\Mozilla Thunderbird\plugins [2010.08.31 00:33:15 | 000,000,000 | ---D | M]
 
[2010.08.21 16:23:30 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Extensions
[2010.08.21 16:23:30 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Extensions\{3550f703-e582-4d05-9a08-453d09bdfdc6}
[2010.09.07 01:18:24 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions
[2010.08.02 23:20:13 | 000,000,000 | ---D | M] (FireFTP) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{a7c6cf7f-112c-4500-a7ea-39801a327e5f}
[2010.08.19 16:38:05 | 000,000,000 | ---D | M] (Adblock Plus) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}
[2010.08.28 23:56:29 | 000,000,000 | ---D | M] (Download Statusbar) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{D4DD63FA-01E4-46a7-B6B1-EDAB7D6AD389}
[2010.03.12 12:37:00 | 000,000,000 | ---D | M] (Mouse Gestures Redox) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{FFA36170-80B1-4535-B0E3-A4569E497DD0}
[2010.07.05 08:15:21 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\toolbar@ask.com
[2010.09.07 01:18:24 | 000,000,000 | ---D | M] -- C:\Programme\Mozilla Firefox\extensions
[2010.03.26 02:16:32 | 000,000,000 | ---D | M] (Skype extension for Firefox) -- C:\Programme\Mozilla Firefox\extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1}
[2008.09.15 11:52:06 | 000,376,832 | ---- | M] ( ) -- C:\Programme\Mozilla Firefox\plugins\npsnapfish.dll
[2010.08.02 19:33:23 | 000,001,392 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml
[2010.08.02 19:33:23 | 000,002,344 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml
[2010.08.02 19:33:23 | 000,006,805 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\leo_ende_de.xml
[2010.08.02 19:33:23 | 000,001,178 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml
[2010.08.02 19:33:23 | 000,001,105 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2001.08.18 12:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1      localhost
O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated)
O2 - BHO: (Nero Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask.com)
O3 - HKLM\..\Toolbar: (Nero Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask.com)
O3 - HKCU\..\Toolbar\WebBrowser: (Nero Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask.com)
O4 - HKLM..\Run: [] C:\Programme\WiFi Engine\WIFI_Engine.exe 1.exe File not found
O4 - HKLM..\Run: [Adobe ARM] C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe (Adobe Systems Incorporated)
O4 - HKLM..\Run: [FileZilla Server Interface] C:\Programme\FileZilla Server\FileZilla Server Interface.exe (FileZilla Project)
O4 - HKLM..\Run: [F-Secure Manager] C:\Programme\F-Secure\Common\FSM32.EXE (F-Secure Corporation)
O4 - HKLM..\Run: [F-Secure TNB] C:\Programme\F-Secure\FSGUI\TNBUtil.exe (F-Secure Corporation)
O4 - HKLM..\Run: [LexwareInfoService] C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe (Lexware GmbH & Co. KG)
O4 - HKLM..\Run: [Samsung Common SM] C:\WINDOWS\Samsung\ComSMMgr\ssmmgr.exe (Samsung Electronics.)
O4 - HKLM..\Run: [StartCCC] C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe (Advanced Micro Devices, Inc.)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoCDBurning = 0
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O9 - Extra Button: Erwachsene... - {200DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programme\F-Secure\FSPC\fspcmsie.dll (F-Secure Corporation)
O9 - Extra 'Tools' menuitem : Erwachsene... - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Programme\F-Secure\FSPC\fspcmsie.dll (F-Secure Corporation)
O10 - Protocol_Catalog9\Catalog_Entries\000000000001 - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL (F-Secure Corporation)
O10 - Protocol_Catalog9\Catalog_Entries\000000000002 - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL (F-Secure Corporation)
O10 - Protocol_Catalog9\Catalog_Entries\000000000003 - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL (F-Secure Corporation)
O10 - Protocol_Catalog9\Catalog_Entries\000000000019 - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL (F-Secure Corporation)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} hxxp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1233963213977 (WUWebControl Class)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18)
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Java Plug-in 1.6.0_07)
O16 - DPF: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object)
O18 - Protocol\Handler\haufereader - No CLSID value found
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Programme\Gemeinsame Dateien\Skype\Skype4COM.dll (Skype Technologies)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - Winlogon\Notify\AtiExtEvent: DllName - Ati2evxx.dll - C:\WINDOWS\System32\ati2evxx.dll (ATI Technologies Inc.)
O20 - Winlogon\Notify\igfxcui: DllName - igfxdev.dll -  File not found
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.02.07 01:31:09 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O33 - MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\Shell - "" = Autorun
O33 - MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\Shell\AutoRun\command - "" = G:\Install_Nokia_Ovi_Suite.exe -- File not found
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell - "" = AutoRun
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell\AutoRun\command - "" = I:\LaunchU3.exe -- File not found
O33 - MountPoints2\{fd859203-0039-11de-8579-00148572b077}\Shell\AutoRun\command - "" = G:\.\_autorun\autorun_win.exe -- File not found
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O36 - AppCertDlls: fingrate - (C:\WINDOWS\system32\logainst.dll) - C:\WINDOWS\system32\logainst.dll ()
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2010.09.07 02:11:00 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\Malwarebytes
[2010.09.07 02:10:47 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys
[2010.09.07 02:10:45 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
[2010.09.07 02:10:43 | 000,020,952 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2010.09.07 02:10:42 | 000,000,000 | ---D | C] -- C:\Programme\MalwarebytesAnti-Malware
[2010.09.02 23:36:55 | 000,000,000 | ---D | C] -- C:\Programme\DIFX
[2009.02.24 02:12:52 | 000,047,360 | ---- | C] (VSO Software) -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\pcouffin.sys
[5 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2010.09.07 22:06:54 | 000,000,548 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled scanning task.job
[2010.09.07 22:01:02 | 000,000,230 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled Update for Ask Toolbar.job
[2010.09.07 21:55:33 | 004,980,736 | -H-- | M] () -- C:\Dokumente und Einstellungen\T******\NTUSER.DAT
[2010.09.07 21:48:41 | 000,002,422 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2010.09.07 21:48:17 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT
[2010.09.07 21:48:12 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2010.09.07 08:12:58 | 000,000,190 | -HS- | M] () -- C:\Dokumente und Einstellungen\T******\ntuser.ini
[2010.09.07 02:10:51 | 000,000,666 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.09.02 00:02:39 | 000,046,592 | -H-- | M] () -- C:\WINDOWS\System32\logainst.dll
[2010.09.01 08:00:04 | 000,041,624 | ---- | M] () -- C:\WINDOWS\System32\drivers\fsbts.sys
[2010.08.31 00:33:16 | 000,001,709 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Adobe Reader 9.lnk
[2010.08.20 01:45:58 | 000,016,504 | ---- | M] () -- C:\error.fstmp
[2010.08.20 00:04:44 | 000,000,467 | ---- | M] () -- C:\infect.fstmp
[2010.08.19 22:29:18 | 000,130,888 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2010.08.19 17:23:26 | 000,001,374 | ---- | M] () -- C:\WINDOWS\imsins.BAK
[2010.08.19 17:22:17 | 001,163,900 | ---- | M] () -- C:\WINDOWS\System32\PerfStringBackup.INI
[2010.08.19 17:22:17 | 000,512,130 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2010.08.19 17:22:17 | 000,485,754 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2010.08.19 17:22:17 | 000,106,360 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2010.08.19 17:22:17 | 000,087,758 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[5 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2010.09.07 02:10:51 | 000,000,666 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.09.02 00:02:39 | 000,046,592 | -H-- | C] () -- C:\WINDOWS\System32\logainst.dll
[2010.08.20 00:00:27 | 000,016,504 | ---- | C] () -- C:\error.fstmp
[2010.08.20 00:00:27 | 000,000,467 | ---- | C] () -- C:\infect.fstmp
[2010.02.11 10:26:46 | 000,000,288 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2009.12.17 21:38:26 | 000,000,041 | ---- | C] () -- C:\WINDOWS\COMDH.INI
[2009.12.09 21:32:45 | 000,000,376 | ---- | C] () -- C:\WINDOWS\EasyCT.INI
[2009.11.25 01:57:05 | 000,000,099 | ---- | C] () -- C:\WINDOWS\RealFlight.INI
[2009.11.24 22:42:34 | 000,354,816 | ---- | C] () -- C:\WINDOWS\System32\psisdecd.dll
[2009.11.10 02:04:01 | 000,041,624 | ---- | C] () -- C:\WINDOWS\System32\drivers\fsbts.sys
[2009.11.08 18:27:59 | 000,003,006 | ---- | C] () -- C:\WINDOWS\Wickie.ini
[2009.08.30 22:02:25 | 000,000,010 | ---- | C] () -- C:\WINDOWS\WININIT.INI
[2009.04.05 15:31:26 | 000,001,315 | ---- | C] () -- C:\WINDOWS\cdplayer.ini
[2009.03.06 18:33:26 | 000,143,360 | ---- | C] () -- C:\WINDOWS\System32\epdf0407.dll
[2009.03.06 18:31:38 | 000,135,168 | ---- | C] () -- C:\WINDOWS\System32\epdf0406.dll
[2009.02.24 02:13:15 | 000,000,668 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\vso_ts_preview.xml
[2009.02.24 02:13:02 | 000,000,034 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\pcouffin.log
[2009.02.24 02:12:53 | 000,087,608 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\inst.exe
[2009.02.24 02:12:53 | 000,007,887 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\pcouffin.cat
[2009.02.24 02:12:52 | 000,001,144 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Anwendungsdaten\pcouffin.inf
[2009.02.09 03:19:02 | 000,023,552 | ---- | C] () -- C:\Dokumente und Einstellungen\T******\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2009.02.07 18:17:06 | 000,024,944 | ---- | C] () -- C:\WINDOWS\System32\drivers\GVTDrv.sys
[2008.07.23 17:41:16 | 000,344,064 | ---- | C] () -- C:\WINDOWS\System32\BH_DATA110VC8.dll
[2007.11.15 22:27:40 | 000,303,104 | ---- | C] () -- C:\WINDOWS\System32\dnt27VC8.dll
[2007.11.15 22:25:28 | 000,090,112 | ---- | C] () -- C:\WINDOWS\System32\dntvmc27VC8.dll
[2007.11.15 22:25:12 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\dntvm27VC8.dll
[2007.11.13 10:39:30 | 000,057,344 | ---- | C] () -- C:\WINDOWS\System32\FKStampPainter20.dll
[2007.11.09 16:18:10 | 000,208,896 | ---- | C] () -- C:\WINDOWS\System32\LXPrnUtil10.dll
[2005.11.09 13:13:48 | 000,282,624 | ---- | C] () -- C:\WINDOWS\System32\dnt27VC7.dll
[2005.11.09 13:11:46 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\dntvmc27VC7.dll
[2005.11.09 13:11:30 | 000,077,824 | ---- | C] () -- C:\WINDOWS\System32\dntvm27VC7.dll
[2002.03.21 15:39:02 | 000,073,728 | ---- | C] () -- C:\WINDOWS\System32\UNACEV2.DLL
[1996.04.03 21:33:26 | 000,005,248 | ---- | C] () -- C:\WINDOWS\System32\giveio.sys
 
========== LOP Check ==========
 
[2009.09.01 19:08:09 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ACD Systems
[2010.01.04 01:54:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BTrieve
[2009.12.11 12:09:43 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\EasyCash&Tax
[2009.11.10 01:45:45 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\F-Secure
[2009.11.10 01:46:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\fssg
[2009.12.21 09:07:13 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Haufe
[2009.12.11 00:50:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\jtl-software
[2010.03.16 22:43:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware
[2009.11.25 00:43:45 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\VRCGameUpdater
[2009.04.30 14:15:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\vsosdk
[2010.09.07 22:06:54 | 000,000,548 | ---- | M] () -- C:\WINDOWS\Tasks\Scheduled scanning task.job
[2010.09.07 22:01:02 | 000,000,230 | ---- | M] () -- C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job
 
========== Purity Check ==========
 
 
< End of report >
--- --- ---

--- --- ---
-------------------


Malwarebytes habe ich 2 mal laufen lassen, einmal mit normalen Scan da hat er etwas gefunden und dann als Vollständigen Scan und da hat er dann nichts mehr gefunden.
Hier die Logs

---------
Quick Scan
---------
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4557

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

07.09.2010 02:21:29
mbam-log-2010-09-07 (02-21-29).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 157854
Laufzeit: 8 Minute(n), 40 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\RECYCLER\S-1-5-21-1844237615-2147130017-725345543-1004\Dc22.exe (Trojan.Agent) -> Quarantined and deleted successfully.

-----------------

2ter Vollständiger Scan
-----------------
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4557

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

07.09.2010 03:56:25
mbam-log-2010-09-07 (03-56-25).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Durchsuchte Objekte: 273953
Laufzeit: 1 Stunde(n), 26 Minute(n), 22 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
-----------------

Ich hoffe das ihr mir helfen könnt mehr Details zu erfahren.

EDIT:
Und gerade kam wieder die F-Secure Meldung das Echtzeit-Scanning etwas blokiert hat.

Der Trojaner war dieser : Backdoor.Win32.Papras.pb

Ist das der selbe wie mein TAN Trojaner, tarnt er sich so, oder habe ich ein multiple infiziertes System :shock:

EDIT2:
Und der: Trojan.win32.monder.gen
Oder liegt das am Malware Scan den ich im moment durchlaufen lasse ? Denkt da F-Secure das ein Problem besteht ?


Danke und Gruß
Toddie

cosinus 08.09.2010 21:07
Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)


Code:
:OTL
MOD - C:\WINDOWS\system32\logainst.dll ()
O33 - MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\Shell - "" = Autorun
O33 - MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\Shell\AutoRun\command - "" = G:\Install_Nokia_Ovi_Suite.exe -- File not found
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell - "" = AutoRun
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{fd859202-0039-11de-8579-00148572b077}\Shell\AutoRun\command - "" = I:\LaunchU3.exe -- File not found
O33 - MountPoints2\{fd859203-0039-11de-8579-00148572b077}\Shell\AutoRun\command - "" = G:\.\_autorun\autorun_win.exe -- File not found
O36 - AppCertDlls: fingrate - (C:\WINDOWS\system32\logainst.dll) - C:\WINDOWS\system32\logainst.dll ()
[2010.08.20 01:45:58 | 000,016,504 | ---- | M] () -- C:\error.fstmp
[2010.08.20 00:04:44 | 000,000,467 | ---- | M] () -- C:\infect.fstmp
:Commands
[purity]
[resethosts]
[emptytemp]
Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

toddie 08.09.2010 21:32
Hallo Arne,
super das ihr euch meines Problems annimmt.

Diese TAN Trojaner poppen ja im Moment zu hauf hier im Forum auf.

Hab das mal alles gemacht und hier ist das neue OTL Log


----------------
All processes killed
========== OTL ==========
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7fc3d78a-b609-11df-b9d9-00148572b077}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7fc3d78a-b609-11df-b9d9-00148572b077}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7fc3d78a-b609-11df-b9d9-00148572b077}\ not found.
File G:\Install_Nokia_Ovi_Suite.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd859202-0039-11de-8579-00148572b077}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fd859202-0039-11de-8579-00148572b077}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd859202-0039-11de-8579-00148572b077}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fd859202-0039-11de-8579-00148572b077}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd859202-0039-11de-8579-00148572b077}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fd859202-0039-11de-8579-00148572b077}\ not found.
File I:\LaunchU3.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd859203-0039-11de-8579-00148572b077}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fd859203-0039-11de-8579-00148572b077}\ not found.
File G:\.\_autorun\autorun_win.exe not found.
Registry value HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls\\fingrate:C:\WINDOWS\system32\logainst.dll deleted successfully.
C:\WINDOWS\system32\logainst.dll moved successfully.
C:\error.fstmp moved successfully.
C:\infect.fstmp moved successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: eMule_Secure
->Temp folder emptied: 617185 bytes
->Temporary Internet Files folder emptied: 52405 bytes

User: Liane
->Temp folder emptied: 2663981 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 1189022 bytes
->FireFox cache emptied: 49262205 bytes
->Flash cache emptied: 18417 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 98304 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Tom
->Temp folder emptied: 1381799 bytes
->Temporary Internet Files folder emptied: 47091 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 50563555 bytes
->Flash cache emptied: 602 bytes

User: Torsten
->Temp folder emptied: 3914348040 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 39286836 bytes
->FireFox cache emptied: 16130320 bytes
->Flash cache emptied: 47244 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 1138908 bytes
%systemroot%\System32 .tmp files removed: 2951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 5616598122 bytes
RecycleBin emptied: 711065961 bytes

Total Files Cleaned = 9.923,00 mb


OTL by OldTimer - Version 3.2.11.0 log created on 09082010_221619

Files\Folders moved on Reboot...
File\Folder C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temp\Perflib_Perfdata_710.dat not found!

Registry entries deleted on Reboot...
---------------

Bevor ihr fragt, nein emule läuft nicht mehr, diese Sturm, Drang und sammelzeit ist vorbei.

Meint ihr das System ist schon sauber ? Ich traue mich nicht es mal bei der Sparkasse mit dem Testaccount zu versuchen.

Ich habe hier auch schon einige Kollegen gesehen die den MBR verseucht hatten, kommt das auch bei mir in Frage ?

Gruß
Torsten

cosinus 08.09.2010 22:02
Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.
http://saved.im/mtm0nzyzmzd5/cofi.jpg
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

toddie 08.09.2010 22:47
Hi,
CCleaner habe ich schon gemacht bevor du gepostet hast...ich habe in anderen Threads gestöbert.

ComboFix habe ich mich erstmal nicht getraut, da ich dieses Tool gar nicht kenne und nicht weiß was es alles machen könnte.

Naja nun habe ich es gemacht und hier ist das Log:

----------------------
Combofix Logfile:
Code:
ComboFix 10-09-08.01 - Torsten 08.09.2010  23:37:00.1.2 - x86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.3071.2271 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Torsten\Desktop\cofi.exe
AV: F-Secure Internet Security 2009 9.00 *On-access scanning disabled* (Updated) {E7512ED5-4245-4B4D-AF3A-382D3F313F15}
FW: F-Secure Internet Security 2009 9.00 *disabled* {D4747503-0346-49EB-9262-997542F79BF4}
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\Torsten\Anwendungsdaten\inst.exe

.
(((((((((((((((((((((((  Dateien erstellt von 2010-08-08 bis 2010-09-08  ))))))))))))))))))))))))))))))
.

2010-09-08 20:19 . 2010-09-08 20:19        --------        d-----w-        c:\windows\system32\Lang
2010-09-08 20:16 . 2010-09-08 20:16        --------        d-----w-        C:\_OTL
2010-09-07 00:11 . 2010-09-07 00:11        --------        d-----w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Malwarebytes
2010-09-07 00:10 . 2010-04-29 13:39        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-07 00:10 . 2010-09-07 00:10        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-09-07 00:10 . 2010-04-29 13:39        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys
2010-09-07 00:10 . 2010-09-07 00:21        --------        d-----w-        c:\programme\MalwarebytesAnti-Malware
2010-09-02 21:36 . 2010-09-02 21:36        --------        d-----w-        c:\programme\DIFX
2010-09-01 06:57 . 2010-09-01 06:57        348160        ----a-w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-6bdfa75b-n\msvcr71.dll
2010-09-01 06:57 . 2010-09-01 06:57        503808        ----a-w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-6bdfa75b-n\msvcp71.dll
2010-09-01 06:57 . 2010-09-01 06:57        499712        ----a-w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-6bdfa75b-n\jmc.dll
2010-09-01 06:57 . 2010-09-01 06:57        61440        ----a-w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-13d32af3-n\decora-sse.dll
2010-09-01 06:57 . 2010-09-01 06:57        12800        ----a-w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-13d32af3-n\decora-d3d.dll
2010-08-21 14:30 . 2010-06-20 02:21        214016        ----a-w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Thunderbird\Profiles\arlt\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\components\calbscmp.dll

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-08 21:40 . 2009-02-22 22:31        --------        d-----w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Skype
2010-09-08 20:56 . 2009-11-27 07:52        --------        d-----w-        c:\programme\CCleaner
2010-09-08 20:48 . 2009-02-07 14:42        --------        d-----w-        c:\programme\Mozilla Thunderbird
2010-09-08 20:20 . 2009-02-09 16:01        --------        d-----w-        c:\programme\F-Secure
2010-09-08 19:29 . 2009-02-22 22:32        --------        d-----w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\skypePM
2010-09-08 19:26 . 2010-03-11 00:22        --------        d-----w-        c:\programme\Microsoft Silverlight
2010-09-07 20:12 . 2010-05-26 22:33        --------        d-----w-        c:\programme\1&1
2010-09-07 20:11 . 2010-02-11 08:17        --------        d-----w-        c:\programme\CubeInterpreter
2010-09-07 20:02 . 2009-02-09 16:14        --------        d-----w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\F-Secure
2010-09-06 09:23 . 2009-02-22 22:36        --------        d-----w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\Skype
2010-09-06 07:12 . 2009-02-22 22:40        --------        d-----w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\skypePM
2010-09-02 20:15 . 2009-02-07 15:48        1        ----a-w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-09-01 06:58 . 2009-11-29 21:37        1        ----a-w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-09-01 06:00 . 2009-11-10 00:04        41624        ----a-w-        c:\windows\system32\drivers\fsbts.sys
2010-08-31 06:40 . 2010-06-06 19:11        --------        d-----w-        c:\programme\JTL-Software
2010-08-21 14:23 . 2009-02-07 14:43        --------        d-----w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Thunderbird
2010-08-19 15:22 . 2001-08-18 10:00        512130        ----a-w-        c:\windows\system32\perfh007.dat
2010-08-19 15:22 . 2001-08-18 10:00        106360        ----a-w-        c:\windows\system32\perfc007.dat
2010-08-03 18:44 . 2010-08-03 18:44        348160        ----a-w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-26becca6-n\msvcr71.dll
2010-08-03 18:44 . 2010-08-03 18:44        503808        ----a-w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-26becca6-n\msvcp71.dll
2010-08-03 18:44 . 2010-08-03 18:44        499712        ----a-w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-26becca6-n\jmc.dll
2010-08-03 18:44 . 2010-08-03 18:44        61440        ----a-w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-6ba3575b-n\decora-sse.dll
2010-08-03 18:44 . 2010-08-03 18:44        12800        ----a-w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-6ba3575b-n\decora-d3d.dll
2010-08-03 18:44 . 2009-02-24 00:34        1324        ----a-w-        c:\windows\system32\d3d9caps.dat
2010-08-03 08:26 . 2010-08-03 08:25        --------        d-----w-        c:\programme\FileZilla Server
2010-07-25 16:54 . 2010-07-25 16:54        --------        d-----w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Unity
2010-07-17 20:45 . 2010-07-17 20:45        --------        d-----w-        c:\dokumente und einstellungen\Liane\Anwendungsdaten\eDocPrintPro
2010-07-12 11:49 . 2010-07-12 11:49        67400        ----a-w-        c:\windows\system32\ftcserco.dll
2010-06-30 12:28 . 2001-08-18 10:00        149504        ----a-w-        c:\windows\system32\schannel.dll
2010-06-24 12:22 . 2001-08-18 10:00        916480        ----a-w-        c:\windows\system32\wininet.dll
2010-06-24 09:02 . 2001-08-18 10:00        1852032        ----a-w-        c:\windows\system32\win32k.sys
2010-06-23 22:02 . 2010-06-23 22:02        2728840        ----a-w-        c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\toolbar@ask.com\chrome\temp\askToolbar.exe
2010-06-21 15:27 . 2001-08-18 10:00        354304        ----a-w-        c:\windows\system32\drivers\srv.sys
2010-06-17 14:03 . 2001-08-18 10:00        80384        ----a-w-        c:\windows\system32\iccvid.dll
2010-06-14 14:31 . 2009-02-06 23:29        744448        ----a-w-        c:\windows\PCHEALTH\HELPCTR\Binaries\helpsvc.exe
2010-06-14 07:41 . 2001-08-18 10:00        1172480        ----a-w-        c:\windows\system32\msxml3.dll
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}]
2010-06-10 15:28        1233288        ----a-w-        c:\programme\Ask.com\GenericAskToolbar.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"= "c:\programme\Ask.com\GenericAskToolbar.dll" [2010-06-10 1233288]

[HKEY_CLASSES_ROOT\clsid\{d4027c7f-154a-4066-a1ad-4243d8127440}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd.1]
[HKEY_CLASSES_ROOT\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"= "c:\programme\Ask.com\GenericAskToolbar.dll" [2010-06-10 1233288]

[HKEY_CLASSES_ROOT\clsid\{d4027c7f-154a-4066-a1ad-4243d8127440}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd.1]
[HKEY_CLASSES_ROOT\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Skype"="c:\programme\Skype\\Phone\Skype.exe" [2010-05-13 26192168]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"F-Secure Manager"="c:\programme\F-Secure\Common\FSM32.EXE" [2008-10-14 182936]
"F-Secure TNB"="c:\programme\F-Secure\FSGUI\TNBUtil.exe" [2008-10-14 957024]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2009-01-05 413696]
"Samsung Common SM"="c:\windows\Samsung\ComSMMgr\ssmmgr.exe" [2005-07-03 372736]
"RTHDCPL"="RTHDCPL.EXE" [2009-10-16 18782720]
"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2009-11-24 98304]
"LexwareInfoService"="c:\programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe" [2008-09-11 339240]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-06-20 35760]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-01-11 246504]
"FileZilla Server Interface"="c:\programme\FileZilla Server\FileZilla Server Interface.exe" [2010-07-18 1258496]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]
"DWQueuedReporting"="c:\progra~1\GEMEIN~1\MICROS~1\DW\dwtrig20.exe" [2007-03-13 39264]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

R0 fsbts;fsbts;c:\windows\system32\drivers\fsbts.sys [10.11.2009 02:04 41624]
R0 FSFW;F-Secure Firewall Driver;c:\windows\system32\drivers\fsdfw.sys [09.02.2009 18:02 79904]
R1 F-Secure HIPS;F-Secure HIPS;c:\programme\F-Secure\HIPS\drivers\fshs.sys [10.11.2009 01:48 66720]
R2 acedrv11;acedrv11;c:\windows\system32\drivers\acedrv11.sys [19.01.2009 20:31 277544]
R2 MSSQL$JTLWAWI;SQL Server (JTLWAWI);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [27.05.2009 04:27 29262680]
R3 F-Secure Gatekeeper;F-Secure Gatekeeper;c:\programme\F-Secure\Anti-Virus\minifilter\fsgk.sys [09.02.2009 18:01 113864]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [07.02.2009 02:35 1684736]
S3 FSORSPClient;F-Secure ORSP Client;c:\programme\F-Secure\ORSP Client\fsorsp.exe [10.11.2009 01:48 55904]
S4 F-Secure Filter;F-Secure File System Filter;c:\programme\F-Secure\Anti-Virus\win2k\fsfilter.sys [09.02.2009 18:01 39776]
S4 F-Secure Recognizer;F-Secure File System Recognizer;c:\programme\F-Secure\Anti-Virus\win2k\fsrec.sys [09.02.2009 18:01 25184]
.
Inhalt des "geplante Tasks" Ordners

2010-09-08 c:\windows\Tasks\Scheduled scanning task.job
- c:\progra~1\F-Secure\ANTI-V~1\fsav.exe [2009-02-09 13:00]

2010-09-08 c:\windows\Tasks\Scheduled Update for Ask Toolbar.job
- c:\programme\Ask.com\UpdateTask.exe [2010-06-10 15:28]
.
.
------- Zusätzlicher Suchlauf -------
.
LSP: c:\programme\F-Secure\FSPS\program\FSLSP.DLL
FF - ProfilePath - c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\
FF - prefs.js: browser.startup.homepage - hxxp://adac.24h-rennen.de/|https://signin.ebay.de/ws/eBayISAPI.dll?SignIn&UsingSSL=1&pUserId=&co_partnerId=2&siteid=77&ru=http%3A%2F%2Fmy.ebay.de%2Fws%2FeBayISAPI.dll%3FMyEbayBeta%26migrateVisitor%3D3%26CurrentPage%3DMyeBaySummary%26guest%3D1%26guest%3D1&pageType=3984|hxxp://www.naviboard.de/vb/|hxxp://www.rcweb.de/forum/search.php?search_id=newposts&sid=c00d4a7e0f56e356d304f52a67a0812a|hxxp://www.invertoforum.de/index.php|hxxp://www.virtualrc.com/messages/messages.aspx|hxxp://www.rc-heli.de/index.php|hxxp://www.rc-heli-fan.org/|hxxp://walkera-raptor-forum.de/search.php?action=results&sid=84ba1ddbcba89abc95aae5b3d485524d|hxxp://helistammtisch.de/
FF - component: c:\dokumente und einstellungen\Torsten\Anwendungsdaten\Mozilla\Firefox\Profiles\arlt\extensions\{a7c6cf7f-112c-4500-a7ea-39801a327e5f}\platform\WINNT_x86-msvc\components\ipc_fireftp.dll
FF - component: c:\programme\Mozilla Firefox\extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1}\components\SkypeFfComponent.dll
FF - plugin: c:\dokumente und einstellungen\Torsten\Lokale Einstellungen\Anwendungsdaten\Unity\WebPlayer\loader\npUnity3D32.dll
FF - plugin: c:\programme\DivX\DivX Plus Web Player\npdivx32.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.

**************************************************************************
Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien:

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(716)
c:\windows\system32\Ati2evxx.dll
c:\programme\F-Secure\FWES\Program\fsdc32.dll

- - - - - - - > 'lsass.exe'(772)
c:\programme\F-Secure\FSPS\program\FSLSP.DLL
c:\programme\F-Secure\FWES\Program\fsdc32.dll

- - - - - - - > 'csrss.exe'(684)
c:\programme\F-Secure\FWES\Program\fsdc32.dll
.
Zeit der Fertigstellung: 2010-09-08  23:41:54
ComboFix-quarantined-files.txt  2010-09-08 21:41

Vor Suchlauf: 17 Verzeichnis(se), 28.963.598.336 Bytes frei
Nach Suchlauf: 18 Verzeichnis(se), 28.986.920.960 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /NoExecute=OptIn

- - End Of File - - 81B0DBFA1216994A22BE92B0C695BF5E
--- --- ---
---------------------

Gruß
Torsten

toddie 10.09.2010 12:54
Hallo zusammen,
ich habe mal weitergemacht mit den Scans, hier ist OSAM, GMER and bootkit_remover.exe.

Der bootkit remover zeigt komische Werte, daher habe ich mal den MBR gedumpt.
Ich benutze übrigens noch Win XP

GMER logfile
-------------------------
GMER Logfile:
Code:
GMER 1.0.15.15281 - hxxp://www.gmer.net
Rootkit scan 2010-09-10 13:12:24
Windows 5.1.2600 Service Pack 3
Running: gmer.exe; Driver: C:\DOKUME~1\Torsten\LOKALE~1\Temp\uftdypog.sys


---- System - GMER 1.0.15 ----

SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwCreateProcess [0xB8A97C26]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwCreateProcessEx [0xB8A97C40]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwCreateThread [0xB8A96DE4]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwLoadDriver [0xB8A9710C]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwMapViewOfSection [0xB8A96B30]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwOpenSection [0xB8A9753E]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwRenameKey [0xB8A987DC]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwSetSystemInformation [0xB8A9738E]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwSuspendProcess [0xB8A969B6]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwSuspendThread [0xB8A96E18]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwSystemDebugControl [0xB8A96F92]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwTerminateProcess [0xB8A96916]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwTerminateThread [0xB8A96A6C]
SSDT            \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys (F-Secure HIPS 32-bit Driver/F-Secure Corporation)  ZwWriteVirtualMemory [0xB8A96EDC]

Code            fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)                                    IoCreateDevice

---- Kernel code sections - GMER 1.0.15 ----

PAGE            ntkrnlpa.exe!IoCreateDevice                                                                        805758EE 5 Bytes  JMP B9E52FA8 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENPNP        NDIS.SYS!NdisRegisterProtocol                                                                      B9E2317F 5 Bytes  JMP B9E52DBA fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENPNP        NDIS.SYS!NdisOpenAdapter                                                                            B9E23399 5 Bytes  JMP B9E53342 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENPNP        NDIS.SYS!NdisCloseAdapter                                                                          B9E2D642 5 Bytes  JMP B9E52EC6 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENPNP        NDIS.SYS!NdisDeregisterProtocol                                                                    B9E2D821 5 Bytes  JMP B9E5315E fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP        NDIS.SYS!NdisReturnPackets                                                                          B9E30810 5 Bytes  JMP B9E53BF4 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP        NDIS.SYS!NdisRequest                                                                                B9E3097B 5 Bytes  JMP B9E5355A fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP        NDIS.SYS!NdisSend                                                                                  B9E33986 5 Bytes  JMP B9E54574 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP        NDIS.SYS!NdisSendPackets                                                                            B9E339A3 5 Bytes  JMP B9E54646 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDSP        NDIS.SYS!NdisTransferData                                                                          B9E339BE 5 Bytes  JMP B9E53CF2 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDCO        NDIS.SYS!NdisCoCreateVc                                                                            B9E3A186 5 Bytes  JMP B9E52E24 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDCO        NDIS.SYS!NdisCoDeleteVc                                                                            B9E3B557 5 Bytes  JMP B9E52E92 fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
PAGENDCO        NDIS.SYS!NdisCoSendPackets                                                                          B9E3BAF1 5 Bytes  JMP B9E5435E fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
.text          C:\WINDOWS\system32\DRIVERS\ati2mtag.sys                                                            section is writeable [0xB8603000, 0x2191E7, 0xE8000020]
.reloc          C:\WINDOWS\system32\drivers\acedrv11.sys                                                            section is executable [0xA8D06300, 0x25D4C, 0xE0000060]

---- Devices - GMER 1.0.15 ----

Device          \Driver\Tcpip \Device\Ip                                                                            fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
Device          \Driver\Tcpip \Device\Tcp                                                                          fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
Device          \Driver\Tcpip \Device\Udp                                                                          fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
Device          \Driver\Tcpip \Device\RawIp                                                                        fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)
Device          \Driver\Tcpip \Device\IPMULTICAST                                                                  fsdfw.sys (F-Secure Internet Shield Driver/F-Secure Corporation)

AttachedDevice  \FileSystem\Fastfat \Fat                                                                            fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- EOF - GMER 1.0.15 ----
--- --- ---
--------------------

OSAM Logfile
--------------------

OSAM Logfile:
Code:
Report of OSAM: Autorun Manager v5.0.11926.0
hxxp://www.online-solutions.ru/en/
Saved at 13:39:15 on 10.09.2010

OS: Windows XP Home Edition Service Pack 3 (Build 2600)
Default Browser: Mozilla Corporation Firefox 3.6.9

Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures

Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries


[Common]
-----( %SystemRoot%\Tasks )-----
"Scheduled Update for Ask Toolbar.job" - ? - C:\Programme\Ask.com\UpdateTask.exe  (File found, but it contains no detailed information)
"Scheduled scanning task.job" - "F-Secure Corporation" - C:\PROGRA~1\F-Secure\ANTI-V~1\fsav.exe

[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl
"ISUSPM.cpl" - "Macrovision Corporation" - C:\WINDOWS\system32\ISUSPM.cpl
"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"Nero BurnRights" - "Nero AG" - C:\Programme\Nero\Nero 9\Nero BurnRights\NeroBurnRights_cpl.cpl
"QuickTime" - "Apple Inc." - C:\Programme\QuickTime\QTSystem\QuickTime.cpl

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"acedrv11" (acedrv11) - "Protect Software GmbH" - C:\WINDOWS\system32\drivers\acedrv11.sys
"catchme" (catchme) - ? - C:\DOKUME~1\Torsten\LOKALE~1\Temp\catchme.sys  (File not found)
"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)
"F-Secure Firewall Driver" (FSFW) - "F-Secure Corporation" - C:\WINDOWS\System32\drivers\fsdfw.sys
"F-Secure Gatekeeper" (F-Secure Gatekeeper) - "F-Secure Corporation" - C:\Programme\F-Secure\Anti-Virus\minifilter\fsgk.sys
"F-Secure HIPS" (F-Secure HIPS) - "F-Secure Corporation" - C:\Programme\F-Secure\HIPS\drivers\fshs.sys
"fsbts" (fsbts) - "F-Secure Corporation" - C:\WINDOWS\System32\Drivers\fsbts.sys
"gdrv" (gdrv) - "Windows (R) 2000 DDK provider" - C:\WINDOWS\gdrv.sys
"giveio" (giveio) - ? - C:\WINDOWS\System32\giveio.sys  (File found, but it contains no detailed information)
"i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)
"ialm" (ialm) - ? - C:\WINDOWS\System32\DRIVERS\igxpmp32.sys  (File not found)
"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)
"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)
"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)
"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)
"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)
"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)
"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys
"SASDIFSV" (SASDIFSV) - "SUPERAdBlocker.com and SUPERAntiSpyware.com" - C:\Programme\SUPERAntiSpyware\SASDIFSV.SYS
"SASKUTIL" (SASKUTIL) - "SUPERAdBlocker.com and SUPERAntiSpyware.com" - C:\Programme\SUPERAntiSpyware\SASKUTIL.SYS
"speedfan" (speedfan) - "Windows (R) 2000 DDK provider" - C:\WINDOWS\System32\speedfan.sys
"Team MFP Comm Driver" (DgiVecp) - "DeviceGuys, Inc." - C:\WINDOWS\System32\Drivers\DgiVecp.sys
"VSO Software pcouffin" (pcouffin) - "VSO Software" - C:\WINDOWS\System32\Drivers\pcouffin.sys
"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)

[Explorer]
-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----
{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
-----( HKLM\Software\Classes\Protocols\Filter )-----
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
-----( HKLM\Software\Classes\Protocols\Handler )-----
{FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks )-----
{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA} "SABShellExecuteHook Class" - "SuperAdBlocker.com" - C:\Programme\SUPERAntiSpyware\SASSEH.DLL
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? - deskpan.dll  (File not found)
{872A9397-E0D6-4e28-B64D-52B8D0A7EA35} "DisplayCplExt Class" - "Advanced Micro Devices, Inc." - C:\Programme\ATI Technologies\ATI.ACE\Core-Static\atiamaxx.dll
{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -  (File not found | COM-object registry key not found)
{32683183-48a0-441b-a342-7c2a440a9478} "Media Band" - ? -  (File not found | COM-object registry key not found)
{97F68CE3-7146-45FF-BE24-D9A7DD7CB8A2} "NeroCoverEdLiveIcons Class" - "Nero AG" - C:\Programme\Nero\Nero 9\Nero CoverDesigner\CoverEdExtension.dll
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll
{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -  (File not found | COM-object registry key not found)
{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll
{5E2121EE-0300-11D4-8D3B-444553540000} "SimpleShlExt Class" - "Advanced Micro Devices, Inc." - C:\Programme\ATI Technologies\ATI.ACE\Core-Static\atiacmxx.dll
{B41DB860-8EE4-11D2-9906-E49FADC173CA} "WinRAR" - "Alexander Roshal" - C:\Programme\WinRAR\rarext.dll

[Internet Explorer]
-----( HKCU\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars )-----
{32683183-48a0-441b-a342-7c2a440a9478} "{32683183-48a0-441b-a342-7c2a440a9478}" - ? -  (File not found | COM-object registry key not found)
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
ITBar7Height "ITBar7Height" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBarLayout" - ? -  (File not found | COM-object registry key not found)
<binary data> "Nero Toolbar" - "Ask.com" - C:\Programme\Ask.com\GenericAskToolbar.dll
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} "Java Plug-in 1.6.0_07" - "Sun Microsystems, Inc." - C:\Programme\Java\jre1.6.0_07\bin\npjpi160_07.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_18" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_18.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab
{CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} "Java Plug-in 1.6.0_18" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_18.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_18" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_18.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab
{D27CDB6E-AE6D-11CF-96B8-444553540000} "Shockwave Flash Object" - "Adobe Systems, Inc." - C:\WINDOWS\system32\Macromed\Flash\Flash10b.ocx / hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
{D68926FD-18FD-4B0E-A1C7-917D13FAB760} "ClsidExtension" - "F-Secure Corporation" - C:\Programme\F-Secure\FSPC\fspcmsie.dll
{D68926FD-18FD-4B0E-A1C7-917D13FAB760} "Erwachsene..." - "F-Secure Corporation" - C:\Programme\F-Secure\FSPC\fspcmsie.dll
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----
<binary data> "Nero Toolbar" - "Ask.com" - C:\Programme\Ask.com\GenericAskToolbar.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----
{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll
{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
{D4027C7F-154A-4066-A1AD-4243D8127440} "Nero Toolbar" - "Ask.com" - C:\Programme\Ask.com\GenericAskToolbar.dll

[Logon]
-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
-----( %UserProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\Torsten\Startmenü\Programme\Autostart\desktop.ini
-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----
"Skype" - "Skype Technologies S.A." - "C:\Programme\Skype\\Phone\Skype.exe" /nosplash /minimized
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"Adobe ARM" - "Adobe Systems Incorporated" - "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
"Adobe Reader Speed Launcher" - "Adobe Systems Incorporated" - "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
"F-Secure Manager" - "F-Secure Corporation" - "C:\Programme\F-Secure\Common\FSM32.EXE" /splash
"F-Secure TNB" - "F-Secure Corporation" - "C:\Programme\F-Secure\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW
"FileZilla Server Interface" - "FileZilla Project" - "C:\Programme\FileZilla Server\FileZilla Server Interface.exe"
"LexwareInfoService" - "Lexware GmbH & Co. KG" - C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe /autostart
"QuickTime Task" - "Apple Inc." - "C:\Programme\QuickTime\QTTask.exe" -atboottime
"Samsung Common SM" - "Samsung Electronics." - "C:\WINDOWS\Samsung\ComSMMgr\ssmmgr.exe" /autorun
"StartCCC" - "Advanced Micro Devices, Inc." - "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

[Print Monitors]
-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----
"eDocPDF" - "ITEKSOFT Corporation" - C:\WINDOWS\system32\epdfmon.dll
"eDocPortMonitor" - "May Software" - C:\Programme\Gemeinsame Dateien\MAYComputer\eDocPrintPro\eDocPort.dll

[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
"Anwendungsverwaltung" (AppMgmt) - ? - C:\WINDOWS\System32\appmgmts.dll  (File not found)
"ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe
"ATI Smart" (ATI Smart) - ? - C:\WINDOWS\system32\ati2sgag.exe
"F-Secure Anti-Virus Firewall Daemon" (FSDFWD) - "F-Secure Corporation" - C:\Programme\F-Secure\FWES\Program\fsdfwd.exe
"F-Secure Automatic Update Agent" (FSAUA) - "F-Secure Corporation" - C:\Programme\F-Secure\FSAUA\program\fsaua.exe
"F-Secure ORSP Client" (FSORSPClient) - "F-Secure Corporation" - C:\Programme\F-Secure\ORSP Client\fsorsp.exe
"FileZilla Server FTP server" (FileZilla Server) - "FileZilla Project" - C:\Programme\FileZilla Server\FileZilla Server.exe
"FSGKHS" (F-Secure Gatekeeper Handler Starter) - "F-Secure Corporation" - C:\Programme\F-Secure\Anti-Virus\fsgk32st.exe
"FSMA" (FSMA) - "F-Secure Corporation" - C:\Programme\F-Secure\Common\FSMA32.EXE
"HID Input Service" (HidServ) - ? -  C:\WINDOWS\System32\hidserv.dll  (File not found)
"InstallDriver Table Manager" (IDriverT) - "Macrovision Corporation" - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe
"Nero BackItUp Scheduler 4.0" (Nero BackItUp Scheduler 4.0) - "Nero AG" - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
"SQL Server (JTLWAWI)" (MSSQL$JTLWAWI) - "Microsoft Corporation" - C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
"SQL Server VSS Writer" (SQLWriter) - "Microsoft Corporation" - C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
"SQL Server-Browser" (SQLBrowser) - "Microsoft Corporation" - C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe
"Windows CardSpace" (idsvc) - "Microsoft Corporation" - c:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - c:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe

[Winlogon]
-----( HKCU\Control Panel\IOProcs )-----
"MVB" - ? - mvfs32.dll  (File not found)
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )-----
{c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll  (File not found)
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )-----
"!SASWinLogon" - "SUPERAntiSpyware.com" - C:\Programme\SUPERAntiSpyware\SASWINLO.DLL
"igfxcui" - ? - igfxdev.dll  (File not found)

[Winsock Providers]
-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries )-----
"F-Secure Protocol Scanner" - "F-Secure Corporation" - C:\Programme\F-Secure\FSPS\program\FSLSP.DLL

===[ Logfile end ]=========================================[ Logfile end ]===
--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

--------------------


bootkit_remover
------------------

C:\temp\bootkit_remover>bootkit_remover.exe
Bootkit Remover
(c) 2009 eSage Lab
www.esagelab.com

Program version: 1.2.0.0
OS Version: Microsoft Windows XP Home Edition Service Pack 3 (build 2600)

System volume is \\.\C:
\\.\C: -> \\.\PhysicalDrive0 at offset 0x00000000`00007e00
Boot sector MD5 is: 5ddc20efcc4d1dab37c348c7db7289cf

Size Device Name MBR Status
--------------------------------------------
149 GB \\.\PhysicalDrive0 Unknown boot code

Unknown boot code has been found on some of your physical disks.
To inspect the boot code manually, dump the master boot sector:
remover.exe dump <device_name> [output_file]
To disinfect the master boot sector, use the following command:
remover.exe fix <device_name>


Done;
Press any key to quit...


----------

Dump des bootkit
----------------

C:\temp\bootkit_remover>bootkit_remover.exe dump \\.\PhysicalDrive0 dump.txt
Bootkit Remover
(c) 2009 eSage Lab
www.esagelab.com

Program version: 1.2.0.0
OS Version: Microsoft Windows XP Home Edition Service Pack 3 (build 2600)

System volume is \\.\C:
\\.\C: -> \\.\PhysicalDrive0 at offset 0x00000000`00007e00
Dumping master boot sector of \\.\PhysicalDrive0...

00000000: 33 c0 8e d0 bc 00 7c fb 50 07 50 1f fc be 1b 7c | 3.....|.P.P....|
00000010: bf 1b 06 50 57 b9 e5 01 f3 a4 cb bd be 07 b1 04 | ...PW...........
00000020: 38 6e 00 7c 09 75 13 83 c5 10 e2 f4 cd 18 8b f5 | 8n.|.u..........
00000030: 83 c6 10 49 74 19 38 2c 74 f6 a0 b5 07 b4 07 8b | ...It.8,t.......
00000040: f0 ac 3c 00 74 fc bb 07 00 b4 0e cd 10 eb f2 88 | ..<.t...........
00000050: 4e 10 e8 46 00 73 2a fe 46 10 80 7e 04 0b 74 0b | N..F.s*.F..~..t.
00000060: 80 7e 04 0c 74 05 a0 b6 07 75 d2 80 46 02 06 83 | .~..t....u..F...
00000070: 46 08 06 83 56 0a 00 e8 21 00 73 05 a0 b6 07 eb | F...V...!.s.....
00000080: bc 81 3e fe 7d 55 aa 74 0b 80 7e 10 00 74 c8 a0 | ..>.}U.t..~..t..
00000090: b7 07 eb a9 8b fc 1e 57 8b f5 cb bf 05 00 8a 56 | .......W.......V
000000a0: 00 b4 08 cd 13 72 23 8a c1 24 3f 98 8a de 8a fc | .....r#..$?.....
000000b0: 43 f7 e3 8b d1 86 d6 b1 06 d2 ee 42 f7 e2 39 56 | C..........B..9V
000000c0: 0a 77 23 72 05 39 46 08 73 1c b8 01 02 bb 00 7c | .w#r.9F.s......|
000000d0: 8b 4e 02 8b 56 00 cd 13 73 51 4f 74 4e 32 e4 8a | .N..V...sQOtN2..
000000e0: 56 00 cd 13 eb e4 8a 56 00 60 bb aa 55 b4 41 cd | V......V.`..U.A.
000000f0: 13 72 36 81 fb 55 aa 75 30 f6 c1 01 74 2b 61 60 | .r6..U.u0...t+a`
00000100: 6a 00 6a 00 ff 76 0a ff 76 08 6a 00 68 00 7c 6a | j.j..v..v.j.h.|j
00000110: 01 6a 10 b4 42 8b f4 cd 13 61 61 73 0e 4f 74 0b | .j..B....aas.Ot.
00000120: 32 e4 8a 56 00 cd 13 eb d6 61 f9 c3 55 6e 67 81 | 2..V.....a..Ung.
00000130: 6c 74 69 67 65 20 50 61 72 74 69 74 69 6f 6e 73 | ltige Partitions
00000140: 74 61 62 65 6c 6c 65 00 46 65 68 6c 65 72 20 62 | tabelle.Fehler b
00000150: 65 69 6d 20 4c 61 64 65 6e 20 64 65 73 20 42 65 | eim Laden des Be
00000160: 74 72 69 65 62 73 73 79 73 74 65 6d 73 00 42 65 | triebssystems.Be
00000170: 74 72 69 65 62 73 73 79 73 74 65 6d 20 6e 69 63 | triebssystem nic
00000180: 68 74 20 76 6f 72 68 61 6e 64 65 6e 00 00 00 00 | ht vorhanden....
00000190: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
000001a0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
000001b0: 00 00 00 00 00 2c 48 6e ff c1 0d 00 00 00 80 01 | .....,Hn........
000001c0: 01 00 07 fe ff ff 3f 00 00 00 05 ac ff 0f 00 fe | ......?.........
000001d0: ff ff 07 fe ff ff 44 ac ff 0f 7d de a1 02 00 00 | ......D...}.....
000001e0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
000001f0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 55 aa | ..............U.

512 bytes written to dump.txt

Done;
Press any key to quit...

---------

Sieht komisch aus, das System läuft ja :-) umd im MBR steht das kein BS drauf ist :-)
Nach GMER musste ich aber rebooten und beim ersten reboot wollte er nicht richtig, daher ausgemacht und wieder eingeschaltet. Dann bootete er.

-Torsten

toddie 10.09.2010 13:06
Hi nochmals,
so ich habe noch den MBR Checker ausprobiert und der passt besser.

Die 10GB Platte ist eine alte aus meinem vorherigen Rechner. Sollte eigendlich auch XP sein...oder war es noch Win 95 ?

Naja die 150er Platte zeigt ja einen richtigen XP Sektor.

Dumps der beiden Platten habe ich auch, könnte ich auch hochladen wenn nötig.

Und ? Ideen was zu machen ?

-----------------------------

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Home Edition
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000003d

Kernel Drivers (total 128):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806E5000 \WINDOWS\system32\hal.dll
0xBA5A8000 \WINDOWS\system32\KDCOM.DLL
0xBA4B8000 \WINDOWS\system32\BOOTVID.dll
0xB9F78000 ACPI.sys
0xBA5AA000 \WINDOWS\System32\DRIVERS\WMILIB.SYS
0xB9F67000 pci.sys
0xBA0A8000 isapnp.sys
0xBA0B8000 ohci1394.sys
0xBA0C8000 \WINDOWS\System32\DRIVERS\1394BUS.SYS
0xBA670000 pciide.sys
0xBA328000 \WINDOWS\System32\DRIVERS\PCIIDEX.SYS
0xBA0D8000 MountMgr.sys
0xB9F48000 ftdisk.sys
0xBA330000 PartMgr.sys
0xBA0E8000 VolSnap.sys
0xB9F30000 atapi.sys
0xBA0F8000 disk.sys
0xBA108000 \WINDOWS\System32\DRIVERS\CLASSPNP.SYS
0xB9F10000 fltmgr.sys
0xB9EFE000 sr.sys
0xBA118000 PxHelp20.sys
0xB9EE7000 KSecDD.sys
0xB9E5A000 Ntfs.sys
0xB9E48000 fsdfw.sys
0xB9E1B000 \WINDOWS\System32\drivers\NDIS.SYS
0xBA5AC000 speedfan.sys
0xB9E01000 Mup.sys
0xBA671000 giveio.sys
0xBA128000 fsbts.sys
0xBA158000 \SystemRoot\System32\DRIVERS\nic1394.sys
0xBA288000 \SystemRoot\System32\DRIVERS\intelppm.sys
0xB8610000 \SystemRoot\system32\DRIVERS\ati2mtag.sys
0xB85FC000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB85D4000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xBA380000 \SystemRoot\System32\DRIVERS\usbuhci.sys
0xB85B0000 \SystemRoot\System32\DRIVERS\USBPORT.SYS
0xBA390000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xBA398000 \SystemRoot\System32\DRIVERS\fdc.sys
0xBA2A8000 \SystemRoot\System32\DRIVERS\serial.sys
0xB9DCD000 \SystemRoot\System32\DRIVERS\serenum.sys
0xB859C000 \SystemRoot\System32\DRIVERS\parport.sys
0xBA2B8000 \SystemRoot\System32\DRIVERS\i8042prt.sys
0xBA3A8000 \SystemRoot\System32\DRIVERS\kbdclass.sys
0xBA2D8000 \SystemRoot\system32\DRIVERS\imapi.sys
0xBA2F8000 \SystemRoot\System32\DRIVERS\cdrom.sys
0xB8B33000 \SystemRoot\System32\DRIVERS\redbook.sys
0xB8579000 \SystemRoot\System32\DRIVERS\ks.sys
0xBA71B000 \SystemRoot\System32\DRIVERS\audstub.sys
0xB8B13000 \SystemRoot\System32\DRIVERS\rasl2tp.sys
0xB9DBD000 \SystemRoot\System32\DRIVERS\ndistapi.sys
0xB8562000 \SystemRoot\System32\DRIVERS\ndiswan.sys
0xB8AF3000 \SystemRoot\System32\DRIVERS\raspppoe.sys
0xB8AE3000 \SystemRoot\System32\DRIVERS\raspptp.sys
0xBA3C0000 \SystemRoot\System32\DRIVERS\TDI.SYS
0xB8551000 \SystemRoot\System32\DRIVERS\psched.sys
0xB8AC3000 \SystemRoot\System32\DRIVERS\msgpc.sys
0xBA3D0000 \SystemRoot\System32\DRIVERS\ptilink.sys
0xBA3E0000 \SystemRoot\System32\DRIVERS\raspti.sys
0xB8AA3000 \SystemRoot\System32\Drivers\pcouffin.sys
0xBA318000 \SystemRoot\System32\DRIVERS\termdd.sys
0xBA3F0000 \SystemRoot\System32\DRIVERS\mouclass.sys
0xBA604000 \SystemRoot\System32\DRIVERS\swenum.sys
0xB84F3000 \SystemRoot\System32\DRIVERS\update.sys
0xB92E5000 \SystemRoot\System32\DRIVERS\mssmbios.sys
0xBA1C8000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xAC4B8000 \SystemRoot\system32\drivers\AtiHdmi.sys
0xAC494000 \SystemRoot\system32\drivers\portcls.sys
0xBA1D8000 \SystemRoot\system32\drivers\drmk.sys
0xABEBE000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xBA238000 \SystemRoot\System32\DRIVERS\usbhub.sys
0xBA648000 \SystemRoot\System32\DRIVERS\USBD.SYS
0xBA448000 \SystemRoot\System32\DRIVERS\flpydisk.sys
0xBA652000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xBA6F2000 \SystemRoot\System32\Drivers\Null.SYS
0xBA656000 \SystemRoot\System32\Drivers\Beep.SYS
0xBA460000 \SystemRoot\System32\drivers\vga.sys
0xBA65A000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xBA65E000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xBA468000 \SystemRoot\System32\Drivers\Msfs.SYS
0xBA478000 \SystemRoot\System32\Drivers\Npfs.SYS
0xB92DD000 \SystemRoot\System32\DRIVERS\rasacd.sys
0xABE3B000 \SystemRoot\System32\DRIVERS\ipsec.sys
0xABDE2000 \SystemRoot\System32\DRIVERS\tcpip.sys
0xABD1A000 \SystemRoot\System32\DRIVERS\netbt.sys
0xABCF4000 \SystemRoot\System32\DRIVERS\ipnat.sys
0xBA278000 \SystemRoot\System32\DRIVERS\wanarp.sys
0xABCD2000 \SystemRoot\System32\drivers\afd.sys
0xBA2C8000 \SystemRoot\System32\DRIVERS\arp1394.sys
0xB8B23000 \SystemRoot\System32\DRIVERS\netbios.sys
0xABC88000 \??\C:\Programme\SUPERAntiSpyware\SASKUTIL.SYS
0xBA490000 \??\C:\Programme\SUPERAntiSpyware\SASDIFSV.SYS
0xABC5D000 \SystemRoot\System32\DRIVERS\rdbss.sys
0xABBED000 \SystemRoot\System32\DRIVERS\mrxsmb.sys
0xBA308000 \SystemRoot\System32\Drivers\Fips.SYS
0xBA178000 \??\C:\Programme\F-Secure\HIPS\drivers\fshs.sys
0xABBC9000 \SystemRoot\System32\Drivers\Fastfat.SYS
0xABE9A000 \SystemRoot\System32\DRIVERS\hidusb.sys
0xBA198000 \SystemRoot\System32\DRIVERS\HIDCLASS.SYS
0xBA498000 \SystemRoot\System32\DRIVERS\HIDPARSE.SYS
0xBA58C000 \SystemRoot\System32\DRIVERS\mouhid.sys
0xABBB1000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xBA664000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xABE8A000 \SystemRoot\System32\drivers\Dxapi.sys
0xBA340000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xBA7C4000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\ati2dvag.dll
0xBF060000 \SystemRoot\System32\ati2cqag.dll
0xBF0FC000 \SystemRoot\System32\atikvmag.dll
0xBF196000 \SystemRoot\System32\atiok3x2.dll
0xBF1FC000 \SystemRoot\System32\ati3duag.dll
0xBF55C000 \SystemRoot\System32\ativvaxx.dll
0xBFFA0000 \SystemRoot\System32\ATMFD.DLL
0xA907C000 \SystemRoot\System32\DRIVERS\ndisuio.sys
0xA8E03000 \SystemRoot\System32\DRIVERS\mrxdav.sys
0xBA60E000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xA8CF8000 \??\C:\WINDOWS\system32\drivers\acedrv11.sys
0xA8F00000 \SystemRoot\System32\Drivers\DgiVecp.sys
0xA8B89000 \SystemRoot\System32\DRIVERS\srv.sys
0xA8781000 \??\C:\Programme\F-Secure\Anti-Virus\minifilter\fsgk.sys
0xA8396000 \SystemRoot\system32\drivers\wdmaud.sys
0xA8529000 \SystemRoot\system32\drivers\sysaudio.sys
0xA8599000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xA7F8F000 \SystemRoot\System32\Drivers\HTTP.sys
0xA7B4A000 \SystemRoot\System32\DRIVERS\yk51x86.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 56):
0 System Idle Process
4 System
448 C:\WINDOWS\system32\smss.exe
500 csrss.exe
532 C:\WINDOWS\system32\winlogon.exe
576 C:\WINDOWS\system32\services.exe
588 C:\WINDOWS\system32\lsass.exe
748 C:\WINDOWS\system32\ati2evxx.exe
768 C:\WINDOWS\system32\svchost.exe
852 svchost.exe
892 C:\WINDOWS\system32\svchost.exe
940 svchost.exe
976 svchost.exe
1088 C:\WINDOWS\system32\ati2evxx.exe
1148 C:\WINDOWS\system32\spoolsv.exe
1232 svchost.exe
1316 C:\Programme\F-Secure\Anti-Virus\fsgk32st.exe
1332 C:\Programme\F-Secure\Common\FSMA32.EXE
1352 C:\Programme\F-Secure\Anti-Virus\fsgk32.exe
1364 C:\Programme\Java\jre6\bin\jqs.exe
1432 C:\Programme\F-Secure\Common\FSMB32.EXE
1480 sqlservr.exe
1556 C:\Programme\F-Secure\Common\FCH32.EXE
1648 C:\Programme\F-Secure\Common\FAMEH32.EXE
1672 C:\Programme\F-Secure\Anti-Virus\fsqh.exe
1700 C:\Programme\F-Secure\FSPC\fspc.exe
1788 C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
1832 sqlbrowser.exe
1848 C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
1896 C:\WINDOWS\system32\svchost.exe
920 C:\Programme\F-Secure\FSAUA\program\fsaua.exe
988 C:\Programme\F-Secure\Anti-Virus\fssm32.exe
1108 fsorsp.exe
1204 C:\Programme\F-Secure\FWES\program\fsdfwd.exe
2088 alg.exe
2196 C:\Programme\F-Secure\FSAUA\program\fsus.exe
3128 C:\Programme\F-Secure\Anti-Virus\fsav32.exe
3288 C:\WINDOWS\explorer.exe
3348 C:\Programme\F-Secure\Common\FSM32.EXE
3460 C:\PROGRA~1\F-Secure\FSGUI\fsguidll.exe
3468 C:\WINDOWS\Samsung\ComSMMgr\SSMMgr.exe
3744 C:\WINDOWS\RTHDCPL.EXE
3832 C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
4088 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
1716 C:\Programme\Skype\Phone\Skype.exe
2192 C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
876 C:\Programme\Skype\Plugin Manager\skypePM.exe
2840 C:\WINDOWS\system32\svchost.exe
2812 C:\Programme\Mozilla Firefox\firefox.exe
4028 C:\Programme\Skype\Toolbars\Shared\SkypeNames2.exe
1200 C:\Programme\Mozilla Firefox\plugin-container.exe
3376 C:\temp\osam_autorun_manager_5_0_portable\osam.exe
1720 C:\WINDOWS\system32\notepad.exe
2712 C:\WINDOWS\system32\cmd.exe
2176 C:\WINDOWS\system32\notepad.exe
3180 C:\Dokumente und Einstellungen\Torsten\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (FAT32)
\\.\E: --> \\.\PhysicalDrive0 at offset 0x0000001f`ff588800 (NTFS)

PhysicalDrive0 Model Number: ST3160812AS, Rev: 3.AAH
PhysicalDrive1 Model Number: WDCWD100BA, Rev: 16.13M16

Size Device Name MBR Status
--------------------------------------------
149 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
9 GB \\.\PhysicalDrive1 Unknown MBR code
SHA1: AD3FC4CB6E48EBDEBB99DD11DC0DACE60E32274C


Found non-standard or infected MBR.
Enter 'Y' and hit ENTER for more options, or 'N' to exit:
Options:
[1] Dump the MBR of a physical disk to file.
[2] Restore the MBR of a physical disk with a standard boot code.
[3] Exit.

Enter your choice: Enter the physical disk number to dump (0-99, -1 to exit): 1Dumping \\.\PhysicalDisk1...
Enter filename to dump to: disk1.txtDumped successfully!

Enter the physical disk number to dump (0-99, -1 to exit): 0Dumping \\.\PhysicalDisk0...
Enter filename to dump to: disk0.txtDumped successfully!

Enter the physical disk number to dump (0-99, -1 to exit): -1

Done!

-------------

Torsten

cosinus 10.09.2010 13:43
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

toddie 10.09.2010 15:49
Hi,

Malwares logfile

---------
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4589

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

10.09.2010 16:27:28
mbam-log-2010-09-10 (16-27-28).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Durchsuchte Objekte: 271427
Laufzeit: 1 Stunde(n), 18 Minute(n), 10 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

-----------

SuperAntiSpyware sucht noch..

-Torsten

toddie 10.09.2010 17:53
Hi,
und hier ist SuperantiSpy.

--------------
SUPERAntiSpyware Scan Log
SUPERAntiSpyware.com | Remove Malware | Remove Spyware - AntiMalware, AntiSpyware, AntiAdware!

Generated 09/10/2010 at 05:25 PM

Application Version : 4.42.1000

Core Rules Database Version : 5410
Trace Rules Database Version: 3296

Scan type : Complete Scan
Total Scan Time : 00:35:26

Memory items scanned : 718
Memory threats detected : 0
Registry items scanned : 6541
Registry threats detected : 0
File items scanned : 25175
File threats detected : 0

------------

Ich teste das nun mal...

-Torsten

toddie 10.09.2010 17:57
Hi nochmals,

Das Ding ist weg !

Danke! Da ist doch mal eine Spende fällig, werde das mal später anleiern !

Kann man nun nachvollziehen welche Datei die Schadhafte war ?

-Torsten

cosinus 11.09.2010 14:12
Dann wären wir durch! :abklatsch:

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update



PDF-Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst.

Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink => http://filepony.de/?q=Flash+Player


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.


Alle Zeitangaben in WEZ +1. Es ist jetzt 23:49 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19