Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   TR/Crypt.XPACK.Gen2 auch noch nach Malwarescan aktiv (https://www.trojaner-board.de/91583-tr-crypt-xpack-gen2-noch-malwarescan-aktiv.html)

KiLLaLeNiN 08.10.2010 11:01
TR/Crypt.XPACK.Gen2 auch noch nach Malwarescan aktiv
 
Hallo,

Antivir meldet ständig:
C:\Windows\ehoqoqiw.dll ist das Trojanische Pferd TR/Crypt.XPACK.Gen2.

Und der Firefox funktioniert auch nicht mehr :heulen:

Habe schon hier im Forum einige Themen diesbezüglich gelesen, doch scheint mir die Vorgehensweise ziemlich individuell und nun will ich nicht einfach etwas kopieren und dadurch verschlimmbesser.

Habe Maleware geladen, aktualisiert und schon 2 x laufen lassen. Die Ergebnisse gelöscht, doch nach jedem Neustart kommt immer noch die oben genannte Warnmeldung. Was kann ich nun noch tun?

Danke für jede Hilfe!

Chris4You 08.10.2010 11:05
Hi,

OTL
Lade Dir OTL von Oldtimer herunter (http://filepony.de/download-otl/) und speichere es auf Deinem Desktop
  • Doppelklick auf die OTL.exe
  • Vista/Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
  • Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
  • Unter Extra Registry, wähle bitte Use SafeList
  • Klicke nun auf Run Scan links oben
  • Wenn der Scan beendet wurde werden 2 Logfiles erstellt (OTL.TXT und EXTRAS.TXT)
  • Poste die Logfiles hier in den Thread

Wenn kein 64-Bitsystem:
Gmer:
http://www.trojaner-board.de/74908-a...t-scanner.html
Den Downloadlink findest Du links oben (GMER - Rootkit Detector and Remover), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte gmer und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris
Ps. Bin jetzt erst mal wech.....

KiLLaLeNiN 08.10.2010 11:28
Ist ein 32-BitSystem.

Habe mir wie in der Anleitung beschrieben GMER runtergeladen und alle Anwendungen geschlossen. Antivir ebenso deaktiviert und dann die Exe vom Desktop aus gestartet. Der Scan startet und dann schließt sich das Fenster einfach ohne Meldung oder Möglichkeit, irgendwelche Fenster, Reiter oder Logfiles auszuwählen.
Also im abgesicherten Modus ausprobiert doch mit dem selben negativen Ergebnis.:heulen:

KiLLaLeNiN 08.10.2010 12:03
Hier die OTL.TXT:OTL Logfile:
Code:
OTL logfile created on: 08.10.2010 13:01:01 - Run 2
OTL by OldTimer - Version 3.2.14.1    Folder = C:\Dokumente und Einstellungen\Administrator\Desktop
Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 90,00% Memory free
5,00 Gb Paging File | 5,00 Gb Available in Paging File | 99,00% Paging File free
Paging file location(s): C:\pagefile.sys 3072 3072 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 20,00 Gb Total Space | 2,93 Gb Free Space | 14,63% Space Free | Partition Type: NTFS
Drive D: | 50,00 Gb Total Space | 43,57 Gb Free Space | 87,14% Space Free | Partition Type: NTFS
Drive E: | 50,00 Gb Total Space | 37,63 Gb Free Space | 75,27% Space Free | Partition Type: NTFS
Drive F: | 102,89 Gb Total Space | 59,34 Gb Free Space | 57,67% Space Free | Partition Type: NTFS
G: Drive not present or media not loaded
H: Drive not present or media not loaded
Drive I: | 10,00 Gb Total Space | 0,97 Gb Free Space | 9,66% Space Free | Partition Type: NTFS
 
Computer Name: ROMAN
Current User Name: Administrator
Logged in as Administrator.
 
Current Boot Mode: SafeMode
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 1 Day
Output = Minimal
 
========== Processes (SafeList) ==========
 
PRC - C:\Dokumente und Einstellungen\Administrator\Desktop\OTL.exe (OldTimer Tools)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
 
 
========== Modules (SafeList) ==========
 
MOD - C:\Dokumente und Einstellungen\Administrator\Desktop\OTL.exe (OldTimer Tools)
MOD - C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9\comctl32.dll (Microsoft Corporation)
MOD - C:\WINDOWS\system32\msscript.ocx (Microsoft Corporation)
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
SRV - (MSSQL$ACROSS) SQL Server (ACROSS) -- C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe (Microsoft Corporation)
SRV - (SQLBrowser) -- C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe (Microsoft Corporation)
SRV - (MSSQLServerADHelper) -- C:\Programme\Microsoft SQL Server\90\Shared\sqladhlp90.exe (Microsoft Corporation)
SRV - (AAV UpdateService) -- D:\Programme\AAVUpdateManager\aavus.exe ()
SRV - (O&O Defrag) -- C:\WINDOWS\system32\oodag.exe (O&O Software GmbH)
SRV - (ose) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH)
DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH)
DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH)
DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH)
DRV - (hamachi) -- C:\WINDOWS\system32\drivers\hamachi.sys (LogMeIn, Inc.)
DRV - (HPFXBULK) -- C:\WINDOWS\system32\drivers\hpfxbulk.sys (Hewlett Packard)
DRV - (ati2mtag) -- C:\WINDOWS\system32\drivers\ati2mtag.sys (ATI Technologies Inc.)
DRV - (ATIAVAIW) -- C:\WINDOWS\system32\drivers\atinavt2.sys (ATI Technologies Inc.)
DRV - (ULI5261XP) -- C:\WINDOWS\system32\drivers\ULILAN51.SYS (ULi Electronics Inc.)
DRV - (MPE) -- C:\WINDOWS\system32\drivers\MPE.sys (Microsoft Corporation)
DRV - (gameenum) -- C:\WINDOWS\system32\drivers\gameenum.sys (Microsoft Corporation)
DRV - (atapi) -- C:\WINDOWS\system32\DRIVERS\atapi.sys ()
DRV - (ALCXWDM) Service for Realtek AC97 Audio (WDM) -- C:\WINDOWS\system32\drivers\ALCXWDM.SYS (Realtek Semiconductor Corp.)
DRV - (a347bus) -- C:\WINDOWS\system32\DRIVERS\a347bus.sys ( )
DRV - (a347scsi) -- C:\WINDOWS\System32\Drivers\a347scsi.sys ( )
DRV - (ALCXSENS) -- C:\WINDOWS\system32\drivers\ALCXSENS.SYS (Sensaura)
DRV - (AliIde) -- C:\WINDOWS\system32\DRIVERS\aliide.sys (Acer Laboratories Inc.)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
 
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
 
FF - HKLM\software\mozilla\Firefox\extensions\\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}: C:\Dokumente und Einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F} [2010.09.28 14:27:02 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.10\extensions\\Components: C:\Programme\Mozilla Firefox\components [2010.10.01 09:51:33 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.10\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2010.10.01 10:49:26 | 000,000,000 | ---D | M]
 
[2007.05.05 20:31:19 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\uh87lj6j.default\extensions
[2010.10.04 21:35:43 | 000,000,000 | ---D | M] -- C:\Programme\Mozilla Firefox\extensions
[2010.10.01 10:49:27 | 000,000,000 | ---D | M] (Java Console) -- C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA}
[2010.07.17 05:00:04 | 000,423,656 | ---- | M] (Sun Microsystems, Inc.) -- C:\Programme\Mozilla Firefox\plugins\npdeployJava1.dll
[2010.09.14 23:32:39 | 000,001,392 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml
[2010.09.14 23:32:39 | 000,002,344 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml
[2010.09.14 23:32:39 | 000,006,805 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\leo_ende_de.xml
[2010.09.14 23:32:39 | 000,001,178 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml
[2010.09.14 23:32:39 | 000,001,105 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2001.08.18 14:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1      localhost
O2 - BHO: (Adobe PDF Reader) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated)
O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [Gmebizazizazizaz] C:\WINDOWS\ehoqoqiw.DLL (VoLT, 2010)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O9 - Extra Button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Programme\Microsoft Office\OFFICE11\REFIEBAR.DLL (Microsoft Corporation)
O9 - Extra Button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\PartyPoker\PartyPoker\RunApp.exe File not found
O9 - Extra 'Tools' menuitem : PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\PartyPoker\PartyPoker\RunApp.exe File not found
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O16 - DPF: {CAFEEFAC-0015-0000-0011-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_11-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object)
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation)
O18 - Protocol\Filter\text/xml {807553E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - Winlogon\Notify\AtiExtEvent: DllName - Ati2evxx.dll - C:\WINDOWS\System32\ati2evxx.dll (ATI Technologies Inc.)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop BackupWallPaper:
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2007.02.09 17:24:11 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O32 - AutoRun File - [2010.02.13 15:23:08 | 000,206,972 | ---- | M] () - F:\AUTO.pat -- [ NTFS ]
O32 - AutoRun File - [2010.02.13 15:23:08 | 000,247,040 | ---- | M] () - F:\AUTO.pst -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O34 - HKLM BootExecute: (OODBS) - C:\WINDOWS\System32\OODBS.exe (O&O Software GmbH)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O36 - AppCertDlls: conv2bin - (C:\WINDOWS\system32\rshdump.dll) - C:\WINDOWS\System32\rshdump.dll File not found
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 1 Day ==========
 
[2010.10.08 12:26:38 | 000,576,512 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Administrator\Desktop\OTL.exe
[2010.10.08 10:45:59 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys
[2010.10.08 10:45:56 | 000,020,952 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2010.10.08 10:45:56 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
[2007.06.08 13:02:39 | 000,774,144 | ---- | C] (RealNetworks, Inc.) -- C:\Programme\RngInterstitial.dll
[2007.02.09 19:22:13 | 000,160,640 | ---- | C] ( ) -- C:\WINDOWS\System32\drivers\a347bus.sys
[2007.02.09 19:22:13 | 000,005,248 | ---- | C] ( ) -- C:\WINDOWS\System32\drivers\a347scsi.sys
[3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 1 Day ==========
 
[2010.10.08 12:49:01 | 000,786,432 | -H-- | M] () -- C:\Dokumente und Einstellungen\Administrator\NTUSER.DAT
[2010.10.08 12:25:48 | 000,576,512 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Administrator\Desktop\OTL.exe
[2010.10.08 12:20:20 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2010.10.08 12:20:06 | 000,740,595 | ---- | M] () -- C:\WINDOWS\System32\OODBS.lor
[2010.10.08 12:19:22 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT
[2010.10.08 12:18:05 | 000,001,098 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
[2010.10.08 12:14:54 | 000,293,376 | ---- | M] () -- C:\Dokumente und Einstellungen\Administrator\Desktop\r86vdk58.exe
[2010.10.08 12:00:25 | 001,110,306 | ---- | M] () -- C:\WINDOWS\System32\PerfStringBackup.INI
[2010.10.08 12:00:25 | 000,467,880 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2010.10.08 12:00:25 | 000,452,404 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2010.10.08 12:00:25 | 000,094,060 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2010.10.08 12:00:25 | 000,080,740 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2010.10.08 11:56:12 | 000,001,094 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
[2010.10.08 11:32:52 | 000,000,000 | ---- | M] () -- C:\WINDOWS\Xlihayiyohuy.bin
[2010.10.08 10:46:01 | 000,000,559 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.10.08 10:32:36 | 000,002,206 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2010.10.08 12:21:22 | 000,293,376 | ---- | C] () -- C:\Dokumente und Einstellungen\Administrator\Desktop\r86vdk58.exe
[2010.10.08 10:46:01 | 000,000,559 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.03.21 21:24:02 | 000,000,763 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\hpzinstall.log
[2009.07.04 08:31:38 | 000,116,224 | ---- | C] () -- C:\WINDOWS\System32\pdfcmnnt.dll
[2008.06.28 16:26:08 | 000,765,952 | ---- | C] () -- C:\WINDOWS\System32\xvidcore.dll
[2008.06.28 16:26:08 | 000,180,224 | ---- | C] () -- C:\WINDOWS\System32\xvidvfw.dll
[2008.04.13 07:18:16 | 000,000,104 | ---- | C] () -- C:\WINDOWS\wiso.ini
[2007.05.16 22:08:50 | 000,043,520 | ---- | C] () -- C:\WINDOWS\System32\CmdLineExt03.dll
[2007.04.03 21:29:28 | 000,008,704 | ---- | C] () -- C:\WINDOWS\System32\CNMVS7M.DLL
[2007.02.28 13:16:52 | 000,000,016 | ---- | C] () -- C:\WINDOWS\wininit.ini
[2007.02.12 18:56:14 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2007.02.10 03:16:15 | 000,000,305 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\addr_file.html
[2007.02.09 18:40:08 | 000,003,972 | ---- | C] () -- C:\WINDOWS\System32\drivers\PciBus.sys
[2007.02.09 17:59:48 | 000,363,520 | ---- | C] () -- C:\WINDOWS\System32\PsisDecd.dll
[2007.02.09 17:34:23 | 000,155,648 | ---- | C] () -- C:\WINDOWS\System32\RTLCPAPI.dll
[2007.02.09 17:33:44 | 000,004,223 | ---- | C] () -- C:\WINDOWS\Ascd_tmp.ini
[2007.02.09 17:33:42 | 000,005,824 | ---- | C] () -- C:\WINDOWS\System32\drivers\ASUSHWIO.SYS
[2004.08.04 00:57:22 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\ieencode.dll
[2004.08.03 22:59:44 | 000,095,360 | ---- | C] () -- C:\WINDOWS\System32\drivers\atapi.sys
[2004.07.17 11:36:38 | 000,027,440 | ---- | C] () -- C:\WINDOWS\System32\drivers\secdrv.sys
< End of report >
--- --- ---

KiLLaLeNiN 08.10.2010 12:04
Und hier die Extra.TXT dazu:OTL EXTRAS Logfile:
Code:
OTL Extras logfile created on: 08.10.2010 13:01:01 - Run 2
OTL by OldTimer - Version 3.2.14.1    Folder = C:\Dokumente und Einstellungen\Administrator\Desktop
Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 90,00% Memory free
5,00 Gb Paging File | 5,00 Gb Available in Paging File | 99,00% Paging File free
Paging file location(s): C:\pagefile.sys 3072 3072 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 20,00 Gb Total Space | 2,93 Gb Free Space | 14,63% Space Free | Partition Type: NTFS
Drive D: | 50,00 Gb Total Space | 43,57 Gb Free Space | 87,14% Space Free | Partition Type: NTFS
Drive E: | 50,00 Gb Total Space | 37,63 Gb Free Space | 75,27% Space Free | Partition Type: NTFS
Drive F: | 102,89 Gb Total Space | 59,34 Gb Free Space | 57,67% Space Free | Partition Type: NTFS
G: Drive not present or media not loaded
H: Drive not present or media not loaded
Drive I: | 10,00 Gb Total Space | 0,97 Gb Free Space | 9,66% Space Free | Partition Type: NTFS
 
Computer Name: ROMAN
Current User Name: Administrator
Logged in as Administrator.
 
Current Boot Mode: SafeMode
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 1 Day
Output = Minimal
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
htmlfile [edit] -- Reg Error: Key error.
http [open] -- "D:\Programme\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" File not found
https [open] -- "D:\Programme\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" File not found
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation)
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002
"6112:TCP" = 6112:TCP:*:Enabled:warcraft3 - the frozen throne
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"D:\Programme\mIRC\mirc.exe" = D:\Programme\mIRC\mirc.exe:*:Enabled:mIRC -- File not found
"D:\Programme\Trillian\trillian.exe" = D:\Programme\Trillian\trillian.exe:*:Enabled:Trillian -- (Cerulean Studios)
"E:\Downloads\utorrent161.exe" = E:\Downloads\utorrent161.exe:*:Enabled:µTorrent -- File not found
"D:\Programme\Mozilla Firefox\firefox.exe" = D:\Programme\Mozilla Firefox\firefox.exe:*:Enabled:Firefox -- File not found
"F:\Wc3\Frozen Throne.exe" = F:\Wc3\Frozen Throne.exe:*:Enabled:Frozen Throne -- File not found
"D:\Programme\Hamachi\hamachi.exe" = D:\Programme\Hamachi\hamachi.exe:*:Enabled:Hamachi -- (LogMeIn Inc.)
"C:\WINDOWS\system32\dplaysvr.exe" = C:\WINDOWS\system32\dplaysvr.exe:*:Enabled:Microsoft DirectPlay Helper -- (Microsoft Corporation)
"F:\Age of Empires 2\age2_x1\age2_x1.exe" = F:\Age of Empires 2\age2_x1\age2_x1.exe:*:Enabled:Age of Empires II Expansion -- (Microsoft Corporation)
"F:\Call of Duty 2\CoD2MP_s.exe" = F:\Call of Duty 2\CoD2MP_s.exe:*:Enabled:CoD2MP_s -- File not found
"D:\Programme\SopCast\SopCast.exe" = D:\Programme\SopCast\SopCast.exe:*:Enabled:SopCast Main Application -- File not found
"D:\Programme\SopCast\adv\SopAdver.exe" = D:\Programme\SopCast\adv\SopAdver.exe:*:Enabled:SopCast Adver -- File not found
"D:\Programme\TVAnts\Tvants.exe" = D:\Programme\TVAnts\Tvants.exe:*:Enabled:TVAnts -- File not found
"D:\Programme\TVUPlayer\TVUPlayer.exe" = D:\Programme\TVUPlayer\TVUPlayer.exe:*:Enabled:TVUPlayer Component -- File not found
"E:\Across\Across\Across.exe" = E:\Across\Across\Across.exe:*:Enabled:across application -- (Across Systems GmbH)
"C:\WINDOWS\explorer.exe" = C:\WINDOWS\explorer.exe:*:Enabled:Windows Explorer -- (Microsoft Corporation)
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{0001B4FD-9EA3-4D90-A79E-FD14BA3AB01D}" = PDFCreator
"{055EE59D-217B-43A7-ABFF-507B966405D8}" = ATI Catalyst Control Center
"{143BE018-D8F8-4014-8CB6-AF63F5799D21}" = ULi LAN Driver
"{255E0D2A-6AC9-40CB-8F5E-84C8FD7E9DA9}" = hppscanCM1312
"{26A24AE4-039D-4CA4-87B4-2F83216016FF}" = Java(TM) 6 Update 21
"{2A09274B-98DE-CB96-1EE9-2436A0D37480}" = CCC Help English
"{2AFFFDD7-ED85-4A90-8C52-5DA9EBDC9B8F}" = Microsoft SQL Server 2005 Express Edition (ACROSS)
"{3248F0A8-6813-11D6-A77B-00B0D0150110}" = J2SE Runtime Environment 5.0 Update 11
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{3C38D421-BC10-4C08-92AB-6C0C8D834275}" = Across Personal Edition
"{46697B13-FCD5-7BC4-78C4-49FE0D60A00B}" = Catalyst Control Center Graphics Light
"{484A13AB-A4C1-41FD-87E0-EBE2DA01250E}" = hppSendFaxCM1312
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{52A69E11-7CEB-4a7d-9607-68BA4F39A89B}" = DeviceDiscovery
"{53480370-6CA2-47EC-BC05-02B4B9271C31}" = O&O Defrag Professional Edition
"{53F5C3EE-05ED-4830-994B-50B2F0D50FCE}" = Microsoft SQL Server Setup Support Files (English)
"{56192D4B-DB85-7029-6E77-E1505FBD5173}" = Catalyst Control Center Core Implementation
"{56B4002F-671C-49F4-984C-C760FE3806B5}" = Microsoft SQL Server VSS Writer
"{583EDB12-4CEA-48B5-A7BA-88069DD47BA2}" = hppQFolderCM1312
"{5ACA9227-30FC-0DFE-B74F-C106F36A50B6}" = Catalyst Control Center Graphics Previews Common
"{5ACE69F0-A3E8-44eb-88C1-0A841E700180}" = TrayApp
"{5DF72004-F4A7-6AA2-0552-F7737199491E}" = ccc-core-static
"{687FEF8A-8597-40b4-832C-297EA3F35817}" = BufferChm
"{74379B6F-C173-F80E-5E3E-6A5F3E523DEC}" = Catalyst Control Center Graphics Full Existing
"{77F45E76-E897-42CA-A9FE-5F56817D875C}" = Locomotion
"{78CC3BAB-DE2A-4FB4-8FBB-E4DADDC26747}" = Ad-Aware SE Personal
"{7985C7FA-B151-4BA7-B19E-1577A7B527F1}" = hppFaxDrvCM1312
"{80533B67-C407-485D-8B5D-63BB8ED9D878}" = Scan
"{80BA9DC6-D628-4752-A1C3-15349C71BB42}" = hppManualsCM1312
"{84ACBCA0-E149-4830-97E6-107D70D9CA0A}" = WISO Steuer 2008
"{8EEDB90E-6ABC-42bb-AD4C-39DEE05E3EEA}" = HP Color LaserJet CM1312 MFP Series 5.0
"{90110407-6000-11D3-8CFE-0150048383C9}" = Microsoft Office Professional Edition 2003
"{987F2E66-35EC-D7CC-02E0-6F7094D35B71}" = ccc-core-preinstall
"{995F2783-8311-49BF-833E-DB659774B4F6}" = hppFonts
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{9DE3F260-B88E-42CE-90E7-73C78C37D95E}" = 32 Bit HP BiDi Channel Components Installer
"{A43BF6A5-D5F0-4AAA-BF41-65995063EC44}" = MSXML 6.0 Parser
"{A49F249F-0C91-497F-86DF-B2585E8E76B7}" = Microsoft Visual C++ 2005 Redistributable
"{A925C778-5E00-477D-A282-B772C9E76DC7}" = hppScanToCM1312
"{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}" = Google Update Helper
"{AB5D51AE-EBC3-438D-872C-705C7C2084B0}" = DeviceManagementQFolder
"{AC76BA86-7AD7-1031-7B44-A81000000003}" = Adobe Reader 8.1.0 - Deutsch
"{B330C431-CDF4-E40D-A9E9-FF275A47AB7E}" = Catalyst Control Center Graphics Full New
"{B480BD2A-F1BA-4FE6-8C8E-34C6111B72C9}" = ElsterFormular 2007/2008
"{B7050CBDB2504B34BC2A9CA0A692CC29}" = DivX Web Player
"{BD68F46D-8A82-4664-8E68-F87C55BDEFD4}" = Microsoft SQL Server Native Client
"{BF638E12-90F1-443D-B93F-51BCCFD487BA}" = hppCLJCM1312
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{CCB9B81A-167F-4832-B305-D2A0430840B3}" = WebReg
"{D050D7362D214723AD585B541FFB6C11}" = DivX Content Uploader
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"{D29E46AC-B703-5A56-A795-12FB8E6C5DFC}" = Skins
"{D8E1DFEE-622B-46BA-AEFF-AB7E541C0B21}" = Steuer-Spar-Erklärung 2010
"{D99A8E3A-AE5A-4692-8B19-6F16D454E240}" = Destination Component
"{DF6FE172-006A-4324-AF7F-ACFE4BA290FE}" = AAVUpdateManager
"{E3EC0A0D-3FA5-9175-F81C-BDD77FC1A087}" = ccc-utility
"{E9F81423-211E-46B6-9AE0-38568BC5CF6F}" =           
"{ECDC2BC0-0449-48EA-9EBA-95048591DA17}" = hppFaxUtilityCM1312
"{F7B0939E-58DF-11DF-B3A6-005056806466}" = Google Earth
"{FB08F381-6533-4108-B7DD-039E11FBC27E}" = Realtek AC'97 Audio
"{FEB690DE-045C-4FAF-A6A6-4DC7376E24EE}" = Tippfix1_1
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11
"All ATI Software" = ATI - Software Uninstall Utility
"ATI Display Driver" = ATI Display Driver
"Avira AntiVir Desktop" = Avira AntiVir Personal - Free Antivirus
"EVEREST Home Edition_is1" = EVEREST Home Edition v2.20
"Hamachi" = Hamachi 1.0.1.5
"Hattrick Organizer" = Hattrick Organizer (remove only)
"HP Imaging Device Functions" = HP Imaging Device Functions 10.0
"Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware
"Microsoft SQL Server 2005" = Microsoft SQL Server 2005
"Mozilla Firefox (3.6.10)" = Mozilla Firefox (3.6.10)
"Rossmann Fotoservice_is1" = Rossmann Fotoservice 2.6
"Spybot - Search & Destroy_is1" = Spybot - Search & Destroy 1.4
"Teamspeak 2 RC2_is1" = TeamSpeak 2 RC2
"VLC media player" = VideoLAN VLC media player 0.8.6a
"Winamp" = Winamp
"Windows Media Format Runtime" = Windows Media Format Runtime
"WinRAR archiver" = WinRAR Archivierer
"Xvid_is1" = Xvid 1.1.3 final uninstall
"Zak McKracken - Between Time and Space" = Zak McKracken - Between Time and Space
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 08.10.2010 05:18:06 | Computer Name = ROMAN | Source = Google Update | ID = 20
Description =
 
Error - 08.10.2010 06:18:05 | Computer Name = ROMAN | Source = Google Update | ID = 20
Description =
 
[ System Events ]
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7001
Description = Der Dienst "DHCP-Client" ist vom Dienst "NetBios über TCP/IP" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:  %%31
 
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7001
Description = Der Dienst "DNS-Client" ist vom Dienst "TCP/IP-Protokolltreiber" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:  %%31
 
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7001
Description = Der Dienst "TCP/IP-NetBIOS-Hilfsprogramm" ist vom Dienst "AFD" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:  %%31
 
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7001
Description = Der Dienst "IPSEC-Dienste" ist vom Dienst "IPSEC-Treiber" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:  %%31
 
Error - 08.10.2010 06:21:52 | Computer Name = ROMAN | Source = Service Control Manager | ID = 7026
Description = Das Laden folgender Boot- oder Systemstarttreiber ist fehlgeschlagen:
  AFD  avgio  avipbb  Fips  IPSec  MRxSmb  NetBIOS  NetBT  Processor  RasAcd  Rdbss  Tcpip
 
Error - 08.10.2010 06:26:28 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
Error - 08.10.2010 06:26:28 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
Error - 08.10.2010 06:48:57 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
Error - 08.10.2010 06:49:07 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
Error - 08.10.2010 07:01:36 | Computer Name = ROMAN | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "StiSvc"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {A1F4E726-8CF1-11D1-BF92-0060081ED811}
 
 
< End of report >
--- --- ---

Chris4You 08.10.2010 13:56
Hi,

das gefällt mir nicht, da war ein Banker/Passwort-Spy drauf...
Sofort von einem sauberen Rechner aus alle Passwörter ändern...

Bereinigungsvorlage
--------------------

OTL:
  • Doppelklick auf die OTL.exe, um das Programm auszuführen.
  • Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.
  • Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"
http://oldtimer.geekstogo.com/OTL/OTL_Main_Tutorial.gif
Code:
:OTL
O9 - Extra Button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\PartyPoker\PartyPoker\RunApp.exe File not found
O9 - Extra 'Tools' menuitem : PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\PartyPoker\PartyPoker\RunApp.exe File not found
O32 - AutoRun File - [2010.02.13 15:23:08 | 000,206,972 | ---- | M] () - F:\AUTO.pat -- [ NTFS ]
O32 - AutoRun File - [2010.02.13 15:23:08 | 000,247,040 | ---- | M] () - F:\AUTO.pst -- [ NTFS ]
O36 - AppCertDlls: conv2bin - (C:\WINDOWS\system32\rshdump.dll) - C:\WINDOWS\System32\rshdump.dll File not found
[2010.10.08 11:32:52 | 000,000,000 | ---- | M] () -- C:\WINDOWS\Xlihayiyohuy.bin

:Commands
[purity]
[resethosts]
[emptytemp]
[CREATERESTOREPOINT]
[EMPTYFLASH]
[Reboot]
  • Den roten Run Fixes! Button anklicken.
  • Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.
  • Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:
  • %systemroot%\_OTL

Combofix
Lade Combo Fix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Antivierenlösung komplett auschalten und zwar so, dass sie sich auch nach einem Reboot NICHT einschaltet!

Achtung: In einigen wenigen Fällen kann es vorkommen, das der Rechner nicht mehr booten kann und Neuaufgesetzt werden muß!

Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report (ComboFix.txt) angezeigt, den bitte kopieren und in deinem Thread einfuegen.

Cureit:
http://www.trojaner-board.de/59299-a...eb-cureit.html
Nach Beendigung des Scans findes Du das Log unter %USERPROFILE%\DoctorWeb\CureIt.log.
Bevor du irgendwelche Aktionen unternimmst, kopiere bitte den Inhalt des Logs und poste ihn.
Die Log Datei ist sehr groß, ca. über 5MB Text. Benutzt einfach die Suche nach "infiziert" und kopiert betreffende Teile heraus, bevor Du sie postet.

chris

KiLLaLeNiN 08.10.2010 19:54
Autsch, das ist ja fast der worstcase :pfui:

Woran hast du das denn erkannt? Ich habe hier ja noch den Laptop, der mir derzeit (noch?) nicht diese Trojanermeldung bringt, doch woher weiß ich denn, dass dieses System nun zum Ändern der Passwörter eignet?

Danke für die schnelle Hilfe!

KiLLaLeNiN 09.10.2010 07:53
Hier die Results nach dem ersten Bereinigungsschritt mit deinem OTL-Code:

All processes killed
========== OTL ==========
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}\ not found.
F:\AUTO.pat moved successfully.
F:\AUTO.pst moved successfully.
Registry value HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls\\conv2bin:C:\WINDOWS\system32\rshdump.dll deleted successfully.
C:\WINDOWS\Xlihayiyohuy.bin moved successfully.
========== COMMANDS ==========
C:\Dokumente und Einstellungen\billistdoof\Eigene Dateien\ѕystem folder moved successfully.
C:\Dokumente und Einstellungen\billistdoof\Anwendungsdaten\Мicrosoft.NET folder moved successfully.
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 3371 bytes
->Temporary Internet Files folder emptied: 32902 bytes
->FireFox cache emptied: 8166691 bytes
->Flash cache emptied: 348 bytes

User: All Users

User: billistdoof
->Temp folder emptied: 320151181 bytes
->Temporary Internet Files folder emptied: 10535085 bytes
->Java cache emptied: 43443257 bytes
->FireFox cache emptied: 39207817 bytes
->Flash cache emptied: 131397 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 12118713 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 32768 bytes
->Temporary Internet Files folder emptied: 14400499 bytes
->Flash cache emptied: 1536 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2114764 bytes
%systemroot%\System32 .tmp files removed: 2951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 116522390 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 541,00 mb

Restore point Set: OTL Restore Point (0)

[EMPTYFLASH]

User: Administrator
->Flash cache emptied: 0 bytes

User: All Users

User: billistdoof
->Flash cache emptied: 0 bytes

User: Default User

User: LocalService

User: NetworkService
->Flash cache emptied: 0 bytes

Total Flash Files Cleaned = 0,00 mb


OTL by OldTimer - Version 3.2.14.1 log created on 10092010_084232

Files\Folders moved on Reboot...
File move failed. C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temp\Perflib_Perfdata_708.dat scheduled to be moved on reboot.

Registry entries deleted on Reboot...

KiLLaLeNiN 09.10.2010 08:28
Und hier der ComboFix Durchlauf:

Combofix Logfile:
Code:
ComboFix 10-10-07.01 - billistdoof 09.10.2010  9:16.1.1 - x86
Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.2543.2188 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\billistdoof\Desktop\ComboFix.exe

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}
c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}\chrome.manifest
c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}\chrome\content\_cfg.js
c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}\chrome\content\overlay.xul
c:\dokumente und einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\{6FCA6C84-C0B3-40FD-BB34-B544ECC7781F}\install.rdf
c:\windows\ehoqoqiw.dll
c:\windows\system32\spool\prtprocs\w32x86\CNMPD7M.DLL
c:\windows\system32\spool\prtprocs\w32x86\CNMPP7M.DLL

.
(((((((((((((((((((((((  Dateien erstellt von 2010-09-09 bis 2010-10-09  ))))))))))))))))))))))))))))))
.

2010-10-09 07:06 . 2010-10-09 07:06        0        ----a-w-        c:\windows\Xlihayiyohuy.bin
2010-10-09 06:42 . 2010-10-09 06:42        --------        d-----w-        C:\_OTL
2010-10-08 08:46 . 2010-10-08 08:46        --------        d-----w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Malwarebytes
2010-10-08 08:45 . 2010-04-29 13:39        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys
2010-10-08 08:45 . 2010-10-08 08:45        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-10-08 08:45 . 2010-04-29 13:39        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys
2010-10-01 08:49 . 2010-10-01 08:49        503808        ----a-w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-3638bd4a-n\msvcp71.dll
2010-10-01 08:49 . 2010-10-01 08:49        499712        ----a-w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-3638bd4a-n\jmc.dll
2010-10-01 08:49 . 2010-10-01 08:49        348160        ----a-w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-3638bd4a-n\msvcr71.dll
2010-10-01 08:49 . 2010-10-01 08:49        61440        ----a-w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-69f27243-n\decora-sse.dll
2010-10-01 08:49 . 2010-10-01 08:49        12800        ----a-w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-69f27243-n\decora-d3d.dll
2010-10-01 08:49 . 2010-07-17 03:00        423656        ----a-w-        c:\windows\system32\deployJava1.dll
2010-09-28 12:35 . 2010-09-28 12:35        --------        d-s---w-        c:\dokumente und einstellungen\NetworkService\UserData
2010-09-28 12:27 . 2010-10-01 07:43        120        ----a-w-        c:\windows\Mmapehib.dat
2010-09-28 12:23 . 2004-08-03 22:58        25088        ----a-w-        c:\windows\system32\stu2.exe

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-10-09 07:18 . 2001-08-18 12:00        94060        ----a-w-        c:\windows\system32\perfc007.dat
2010-10-09 07:18 . 2001-08-18 12:00        467880        ----a-w-        c:\windows\system32\perfh007.dat
2010-10-08 09:22 . 2010-05-31 17:15        --------        d-----w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Vikaos
2010-10-08 09:22 . 2010-04-06 22:06        --------        d-----w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Asmu
2010-10-04 19:28 . 2007-02-28 13:54        --------        d-----w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Skype
2010-10-01 08:49 . 2007-02-12 01:13        --------        d-----w-        c:\programme\Gemeinsame Dateien\Java
2010-10-01 08:49 . 2010-01-22 13:05        --------        d-----w-        c:\programme\Java
2010-09-10 12:56 . 2008-12-13 10:20        188346        ----a-w-        c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\mdbu.bin
2010-08-10 18:17 . 2010-08-10 18:17        6884        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\AAV\SSE\15\UpdateFiles\SSEStandard_Patch_15.12.bat
2007-06-08 11:02 . 2007-06-08 11:02        774144        ----a-w-        c:\programme\RngInterstitial.dll
.

------- Sigcheck -------

[7] 2004-08-03 . CDFE4411A69C224BD1D11B2DA92DAC51 . 95360 . . [5.1.2600.2180] . . c:\windows\system32\dllcache\atapi.sys
[-] 2004-08-03 18:59 . !HASH: COULD NOT OPEN FILE !!!!! . 95360 . . [------] . . c:\windows\system32\drivers\atapi.sys

[-] 2004-08-09 . 7B11118B078B88F87183FE69EDA43137 . 359040 . . [5.1.2600.2180] . . c:\windows\system32\drivers\tcpip.sys
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-05-14 248552]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-03 15360]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute        REG_MULTI_SZ          autocheck autochk *\0OODBS

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk
backup=c:\windows\pss\Adobe Reader - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader Synchronizer.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk
backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^HP Digital Imaging Monitor.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\HP Digital Imaging Monitor.lnk
backup=c:\windows\pss\HP Digital Imaging Monitor.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^InterVideo WinCinema Manager.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\InterVideo WinCinema Manager.lnk
backup=c:\windows\pss\InterVideo WinCinema Manager.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
c:\windows\system32\dumprep 0 -k [X]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATIModeChange]
2007-05-18 01:50        26112        ----a-w-        c:\windows\system32\Ati2mdxx.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan]
2004-07-27 16:01        68096        ----a-w-        c:\windows\SOUNDMAN.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]
2005-05-30 23:04        1415824        ----a-w-        d:\programme\Spybot - Search & Destroy\TeaTimer.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]
2006-11-10 10:35        90112        ----a-w-        c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
2010-05-14 09:44        248552        ----a-w-        c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"d:\\Programme\\Trillian\\trillian.exe"=
"d:\\Programme\\Hamachi\\hamachi.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"f:\\Age of Empires 2\\age2_x1\\age2_x1.exe"=
"e:\\Across\\Across\\Across.exe"=
"d:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"6112:TCP"= 6112:TCP:warcraft3 - the frozen throne

R0 a347bus;a347bus;c:\windows\system32\drivers\a347bus.sys [09.02.2007 19:22 160640]
R0 a347scsi;a347scsi;c:\windows\system32\drivers\a347scsi.sys [09.02.2007 19:22 5248]
R2 AAV UpdateService;AAV UpdateService;d:\programme\AAVUpdateManager\aavus.exe [24.10.2008 16:35 128296]
R2 MSSQL$ACROSS;SQL Server (ACROSS);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [24.11.2008 22:31 29263712]
R3 ULI5261XP;ULi M526X Ethernet NT Driver;c:\windows\system32\drivers\ULILAN51.SYS [09.02.2007 17:34 28672]
S?2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [14.03.2010 22:03 135664]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12        REG_MULTI_SZ          Pml Driver HPZ12 Net Driver HPZ12
hpdevmgmt        REG_MULTI_SZ          hpqcxs08 hpqddsvc
.
Inhalt des "geplante Tasks" Ordners

2010-10-09 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-03-14 20:03]

2010-10-09 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-03-14 20:03]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = https://owa.ezag.de/CookieAuth.dll?GetLogon?reason=0&formdir=1&curl=Z2Fowa
uInternet Settings,ProxyOverride = *.local
IE: Nach Microsoft &Excel exportieren - d:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\billistdoof\Anwendungsdaten\Mozilla\Firefox\Profiles\b3iminv1.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.hattrick.org/
FF - plugin: c:\programme\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\Google\Update\1.2.183.29\npGoogleOneClick8.dll
FF - plugin: c:\programme\Java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: d:\programme\DivX\DivX Content Uploader\npUpload.dll
FF - plugin: d:\programme\DivX\DivX Web Player\npdivx32.dll

---- FIREFOX Richtlinien ----
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

HKLM-Run-Gmebizazizazizaz - c:\windows\ehoqoqiw.dll
MSConfigStartUp-WinampAgent - d:\programme\Winamp\winampa.exe
MSConfigStartUp-WinDVR SchSvr - c:\programme\Gemeinsame Dateien\InterVideo\SchSvr\SchSvr.exe
AddRemove-EVEREST Home Edition_is1 - d:\programme\Lavalys\EVEREST Home Edition\unins000.exe
AddRemove-Hattrick Organizer - d:\programme\HattrickOrganizer\Uninstall.exe



Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, hxxp://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x8AB03EC5]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xba8ecfc3
\Driver\ACPI -> ACPI.sys @ 0xba756cb8
\Driver\atapi -> 0x8a92c820
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x80577d44
 ParseProcedure -> ntkrnlpa.exe @ 0x80576964
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x80577d44
 ParseProcedure -> ntkrnlpa.exe @ 0x80576964
NDIS: ULi PCI Fast Ethernet Controller -> SendCompleteHandler -> NDIS.sys @ 0xba5ddba0
 PacketIndicateHandler -> NDIS.sys @ 0xba5cca0b
 SendHandler -> NDIS.sys @ 0xba5e0b31
Warning: possible MBR rootkit infection !
user & kernel MBR OK

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\System*]
"OODEFRAG08.00.00.01WORKSTATION"="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"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(684)
c:\windows\system32\Ati2evxx.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\Ati2evxx.exe
c:\windows\system32\Ati2evxx.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\system32\oodag.exe
c:\programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe
c:\windows\system32\wdfmgr.exe
c:\windows\system32\wscntfy.exe
c:\\?\c:\windows\system32\WBEM\WMIADAP.EXE
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-10-09  09:23:34 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2010-10-09 07:23

Vor Suchlauf: 3.675.467.776 Bytes frei
Nach Suchlauf: 3.638.202.368 Bytes frei

- - End Of File - - 9BB3D38B4BCF34C0D513D658FE83EB2C
--- --- ---

KiLLaLeNiN 09.10.2010 09:01
So, der Trojaner samt Rootkit scheinen nun weg zu sein. Doch beim Starten des Systems braucht er ziemlich lange und es erscheint anfänglich auch der Hinweis, dass Antivir deaktiviert und die Windowsfirewall nicht aktiv ist. Nach ca. 1 Minute rattert dann die Festplatte und die Firewall samt Antivir sind aktiv. Das ist doch auch nicht gut oder? In der "ungeschützten" Zeit kann doch ganz leicht wieder etwas auf den Rechner gelangen?!

KiLLaLeNiN 09.10.2010 13:35
Hm...nun hat Antivir den nächsten Fund:

TR/Dldr.Sinmis.A.25 :headbang:

Und in E:\System Volume Information\...\A0112603.exe hat Antivir noch einen Fund: TR/Trash.Gen

DJ-D 09.10.2010 14:03
Lade Dir Malwarebytes Anti-Malware herunter und installiere es.

Nach der Installation bitte updaten, danach einen vollständigen Scan ausführen, die gefundenen Ergebnisse "alle entfernen" und dann das Logfile hier posten.

Edit: Falls Du noch Fragen zu Malwarebytes hast, klick in meine Notiz unter dem Punkt "Malwarebytes" und Du siehst eine ausführliche Anleitung.

KiLLaLeNiN 09.10.2010 14:15
Malware findet leider gar nix?!

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4773

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

09.10.2010 15:14:26
mbam-log-2010-10-09 (15-14-26).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|G:\|H:\|I:\|J:\|)
Durchsuchte Objekte: 254901
Laufzeit: 37 Minute(n), 37 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Chris4You 09.10.2010 19:20
Hi,

da hat sich was zusammengebraut, was CF matt setzt...
Er kommt nicht an die atapi.sys ran... GMER meldet MBR-Rookitverdacht und auch die Meldungen von GMER bezogen auf die Treiber sind verdächtig...
Sieht nach einer neuen Version aus...

Welchem rücken wir jetzt zuerst auf den Pelz...
Das kann jetzt gefährlich werden, Backup vorhanden?

Ausserdem gibt es eine kleine Rüge, weil kein SP3 drauf ist!

Versuchen wir unser Glück mit dem TDSS-Killer, das müssen wir ggf. später wiederholen...

TDSS-Killer
Download und Anweisung unter: Wie werden Schadprogramme der Familie Rootkit.Win32.TDSS bek&#228;mpft?
Entpacke alle Dateien in einem eigenen Verzeichnis (z. B: C:\TDSS)!
Aufruf über den Explorer duch Doppelklick auf die TDSSKiller.exe.
Nach dem Start erscheint ein Fenster, dort dann "Start Scan".
Wenn der Scan fertig ist bitte "Report" anwählen. Es öffnet sich ein Fenster, den Text abkopieren und hier posten...

MBR-Check
Lade Dir http://ad13.geekstogo.com/MBRCheck.exe und speichere die Datei auf dem Desktop.
  • Doppelklick auf die MBRCheck.exe.
  • Vista und Win7 User mit Rechtsklick "als Administrator starten"
  • Das Tool braucht nur eine Sekunde.
  • Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.
Poste bitte den Inhalt des .txt Dokumentes

Die Spannung steigt...

chris

Romy1309 09.10.2010 19:28
sorry, ich weiss, dass man hier nicht auf fremde beiträge anworten soll, aber ich habe den selben trojaner auf meinem rechner und nach deinen feststellungen krieg ich langsam angst.. kannst du (sofern du zeit hast) mein olt und so ansehen? lieben gruss, r

Chris4You 09.10.2010 19:50
@Romy1309
Bitte einen eigenen Thread eröffnen...

chris

KiLLaLeNiN 09.10.2010 20:04
Hi Chris4You, hier der erste Report, genau wie du gesagt hast. Die atapi ist locked und Rootkit wird bemängelt :daumenrunter:

2010/10/09 20:58:04.0578 TDSS rootkit removing tool 2.4.4.0 Oct 4 2010 09:06:59
2010/10/09 20:58:04.0578 ================================================================================
2010/10/09 20:58:04.0578 SystemInfo:
2010/10/09 20:58:04.0578
2010/10/09 20:58:04.0578 OS Version: 5.1.2600 ServicePack: 2.0
2010/10/09 20:58:04.0578 Product type: Workstation
2010/10/09 20:58:04.0578 ComputerName: ROMAN
2010/10/09 20:58:04.0578 UserName: billistdoof
2010/10/09 20:58:04.0578 Windows directory: C:\WINDOWS
2010/10/09 20:58:04.0578 System windows directory: C:\WINDOWS
2010/10/09 20:58:04.0578 Processor architecture: Intel x86
2010/10/09 20:58:04.0578 Number of processors: 1
2010/10/09 20:58:04.0578 Page size: 0x1000
2010/10/09 20:58:04.0578 Boot type: Normal boot
2010/10/09 20:58:04.0578 ================================================================================
2010/10/09 20:58:05.0062 Initialize success
2010/10/09 20:58:07.0421 ================================================================================
2010/10/09 20:58:07.0421 Scan started
2010/10/09 20:58:07.0421 Mode: Manual;
2010/10/09 20:58:07.0421 ================================================================================
2010/10/09 20:58:08.0375 a347bus (1f61cacacb521215f39061789147968c) C:\WINDOWS\system32\DRIVERS\a347bus.sys
2010/10/09 20:58:08.0406 a347scsi (113e4b318bbaa7483ca4e582a4d63f49) C:\WINDOWS\system32\Drivers\a347scsi.sys
2010/10/09 20:58:08.0515 ACPI (94b4741d2cf9ed38140b831293d1601a) C:\WINDOWS\system32\DRIVERS\ACPI.sys
2010/10/09 20:58:08.0562 ACPIEC (9e1ca3160dafb159ca14f83b1e317f75) C:\WINDOWS\system32\drivers\ACPIEC.sys
2010/10/09 20:58:08.0640 aec (841f385c6cfaf66b58fbd898722bb4f0) C:\WINDOWS\system32\drivers\aec.sys
2010/10/09 20:58:08.0687 AFD (5ac495f4cb807b2b98ad2ad591e6d92e) C:\WINDOWS\System32\drivers\afd.sys
2010/10/09 20:58:08.0812 ALCXSENS (ba88534a3ceb6161e7432438b9ea4f54) C:\WINDOWS\system32\drivers\ALCXSENS.SYS
2010/10/09 20:58:08.0906 ALCXWDM (4d4593c10f2c90d48da9fd1b14ace825) C:\WINDOWS\system32\drivers\ALCXWDM.SYS
2010/10/09 20:58:08.0953 AliIde (1140ab9938809700b46bb88e46d72a96) C:\WINDOWS\system32\DRIVERS\aliide.sys
2010/10/09 20:58:09.0140 AsyncMac (02000abf34af4c218c35d257024807d6) C:\WINDOWS\system32\DRIVERS\asyncmac.sys
2010/10/09 20:58:09.0187 atapi (cdfe4411a69c224bd1d11b2da92dac51) C:\WINDOWS\system32\DRIVERS\atapi.sys
2010/10/09 20:58:09.0187 Suspicious file (NoAccess): C:\WINDOWS\system32\DRIVERS\atapi.sys. md5: cdfe4411a69c224bd1d11b2da92dac51
2010/10/09 20:58:09.0203 atapi - detected Locked file (1)
2010/10/09 20:58:09.0328 ati2mtag (33b6866fbf4bf0ad3c97e7b55513e5ab) C:\WINDOWS\system32\DRIVERS\ati2mtag.sys
2010/10/09 20:58:09.0406 ATIAVAIW (9ec2b4fb45a9b90a31eca8245bed28b3) C:\WINDOWS\system32\DRIVERS\atinavt2.sys
2010/10/09 20:58:09.0453 Atmarpc (ec88da854ab7d7752ec8be11a741bb7f) C:\WINDOWS\system32\DRIVERS\atmarpc.sys
2010/10/09 20:58:09.0515 audstub (d9f724aa26c010a217c97606b160ed68) C:\WINDOWS\system32\DRIVERS\audstub.sys
2010/10/09 20:58:09.0593 avgio (0b497c79824f8e1bf22fa6aacd3de3a0) C:\Programme\Avira\AntiVir Desktop\avgio.sys
2010/10/09 20:58:09.0640 avgntflt (a88d29d928ad2b830e87b53e3f9bc182) C:\WINDOWS\system32\DRIVERS\avgntflt.sys
2010/10/09 20:58:09.0687 avipbb (524b9e78e396c00968c5629ed5bbfab0) C:\WINDOWS\system32\DRIVERS\avipbb.sys
2010/10/09 20:58:09.0734 Beep (da1f27d85e0d1525f6621372e7b685e9) C:\WINDOWS\system32\drivers\Beep.sys
2010/10/09 20:58:09.0859 cbidf2k (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINDOWS\system32\drivers\cbidf2k.sys
2010/10/09 20:58:09.0890 CCDECODE (6163ed60b684bab19d3352ab22fc48b2) C:\WINDOWS\system32\DRIVERS\CCDECODE.sys
2010/10/09 20:58:09.0953 Cdaudio (c1b486a7658353d33a10cc15211a873b) C:\WINDOWS\system32\drivers\Cdaudio.sys
2010/10/09 20:58:10.0000 Cdfs (cd7d5152df32b47f4e36f710b35aae02) C:\WINDOWS\system32\drivers\Cdfs.sys
2010/10/09 20:58:10.0031 Cdrom (af9c19b3100fe010496b1a27181fbf72) C:\WINDOWS\system32\DRIVERS\cdrom.sys
2010/10/09 20:58:10.0265 Disk (00ca44e4534865f8a3b64f7c0984bff0) C:\WINDOWS\system32\DRIVERS\disk.sys
2010/10/09 20:58:10.0312 dmboot (5789b83ba87fc84c3568cf86cacef8ce) C:\WINDOWS\system32\drivers\dmboot.sys
2010/10/09 20:58:10.0390 dmio (084eb0a50a4f7b4705c8a57f234e5291) C:\WINDOWS\system32\drivers\dmio.sys
2010/10/09 20:58:10.0406 dmload (5909b79955c2b22c9d9104af56c25665) C:\WINDOWS\system32\drivers\dmload.sys
2010/10/09 20:58:10.0406 Suspicious file (Forged): C:\WINDOWS\system32\drivers\dmload.sys. Real md5: 5909b79955c2b22c9d9104af56c25665, Fake md5: e9317282a63ca4d188c0df5e09c6ac5f
2010/10/09 20:58:10.0421 dmload - detected Rootkit.Win32.TDSS.tdl3 (0)
2010/10/09 20:58:10.0468 DMusic (a6f881284ac1150e37d9ae47ff601267) C:\WINDOWS\system32\drivers\DMusic.sys
2010/10/09 20:58:10.0546 drmkaud (1ed4dbbae9f5d558dbba4cc450e3eb2e) C:\WINDOWS\system32\drivers\drmkaud.sys
2010/10/09 20:58:10.0578 ENTECH (fd9fc82f134b1c91004ffc76a5ae494b) C:\WINDOWS\system32\DRIVERS\ENTECH.sys
2010/10/09 20:58:10.0656 Fastfat (3117f595e9615e04f05a54fc15a03b20) C:\WINDOWS\system32\drivers\Fastfat.sys
2010/10/09 20:58:10.0703 Fdc (ced2e8396a8838e59d8fd529c680e02c) C:\WINDOWS\system32\DRIVERS\fdc.sys
2010/10/09 20:58:10.0734 Fips (9e9af89f9b14aa6249065c309ce73bd8) C:\WINDOWS\system32\drivers\Fips.sys
2010/10/09 20:58:10.0781 Flpydisk (0dd1de43115b93f4d85e889d7a86f548) C:\WINDOWS\system32\DRIVERS\flpydisk.sys
2010/10/09 20:58:10.0828 FltMgr (157754f0df355a9e0a6f54721914f9c6) C:\WINDOWS\system32\DRIVERS\fltMgr.sys
2010/10/09 20:58:10.0859 Fs_Rec (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINDOWS\system32\drivers\Fs_Rec.sys
2010/10/09 20:58:10.0906 Ftdisk (8f1955ce42e1484714b542f341647778) C:\WINDOWS\system32\DRIVERS\ftdisk.sys
2010/10/09 20:58:10.0937 gameenum (5f92fd09e5610a5995da7d775eadcd12) C:\WINDOWS\system32\DRIVERS\gameenum.sys
2010/10/09 20:58:10.0984 Gpc (c0f1d4a21de5a415df8170616703debf) C:\WINDOWS\system32\DRIVERS\msgpc.sys
2010/10/09 20:58:11.0046 hamachi (d30b31375c40309425c21efe75db90bb) C:\WINDOWS\system32\DRIVERS\hamachi.sys
2010/10/09 20:58:11.0093 HidUsb (1de6783b918f540149aa69943bdfeba8) C:\WINDOWS\system32\DRIVERS\hidusb.sys
2010/10/09 20:58:11.0125 HPFXBULK (299683d4c8aaa3f6f5d5d226a1782a6e) C:\WINDOWS\system32\drivers\hpfxbulk.sys
2010/10/09 20:58:11.0218 HTTP (c19b522a9ae0bbc3293397f3055e80a1) C:\WINDOWS\system32\Drivers\HTTP.sys
2010/10/09 20:58:11.0328 i8042prt (7c575018d0413440d75432a78b88c899) C:\WINDOWS\system32\DRIVERS\i8042prt.sys
2010/10/09 20:58:11.0375 Imapi (f8aa320c6a0409c0380e5d8a99d76ec6) C:\WINDOWS\system32\DRIVERS\imapi.sys
2010/10/09 20:58:11.0468 Ip6Fw (4448006b6bc60e6c027932cfc38d6855) C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys
2010/10/09 20:58:11.0500 IpFilterDriver (731f22ba402ee4b62748adaf6363c182) C:\WINDOWS\system32\DRIVERS\ipfltdrv.sys
2010/10/09 20:58:11.0531 IpInIp (e1ec7f5da720b640cd8fb8424f1b14bb) C:\WINDOWS\system32\DRIVERS\ipinip.sys
2010/10/09 20:58:11.0562 IpNat (b5a8e215ac29d24d60b4d1250ef05ace) C:\WINDOWS\system32\DRIVERS\ipnat.sys
2010/10/09 20:58:11.0609 IPSec (64537aa5c003a6afeee1df819062d0d1) C:\WINDOWS\system32\DRIVERS\ipsec.sys
2010/10/09 20:58:11.0640 IRENUM (50708daa1b1cbb7d6ac1cf8f56a24410) C:\WINDOWS\system32\DRIVERS\irenum.sys
2010/10/09 20:58:11.0687 isapnp (ce9b7afdf0a3d7dd8d1487262316b959) C:\WINDOWS\system32\DRIVERS\isapnp.sys
2010/10/09 20:58:11.0734 Kbdclass (b128fc0a5cd83f669d5de4b58f77c7d6) C:\WINDOWS\system32\DRIVERS\kbdclass.sys
2010/10/09 20:58:11.0765 kbdhid (7ec877aa899323b92874fe62c7ddcde7) C:\WINDOWS\system32\DRIVERS\kbdhid.sys
2010/10/09 20:58:11.0812 kmixer (d93cad07c5683db066b0b2d2d3790ead) C:\WINDOWS\system32\drivers\kmixer.sys
2010/10/09 20:58:11.0875 KSecDD (eb7ffe87fd367ea8fca0506f74a87fbb) C:\WINDOWS\system32\drivers\KSecDD.sys
2010/10/09 20:58:11.0968 mnmdd (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINDOWS\system32\drivers\mnmdd.sys
2010/10/09 20:58:12.0000 Modem (91a3da4b12f6f1d760463a7f7857f748) C:\WINDOWS\system32\drivers\Modem.sys
2010/10/09 20:58:12.0046 Mouclass (71e15ca47fd947552054afb28536268f) C:\WINDOWS\system32\DRIVERS\mouclass.sys
2010/10/09 20:58:12.0093 mouhid (66a6f73c74e1791464160a7065ce711a) C:\WINDOWS\system32\DRIVERS\mouhid.sys
2010/10/09 20:58:12.0140 MountMgr (65653f3b4477f3c63e68a9659f85ee2e) C:\WINDOWS\system32\drivers\MountMgr.sys
2010/10/09 20:58:12.0171 MPE (55a9a7e6bb297bf0f5b144029dcb79cc) C:\WINDOWS\system32\DRIVERS\MPE.sys
2010/10/09 20:58:12.0218 MRxDAV (46edcc8f2db2f322c24f48785cb46366) C:\WINDOWS\system32\DRIVERS\mrxdav.sys
2010/10/09 20:58:12.0250 MRxSmb (1fd607fc67f7f7c633c3da65bfc53d18) C:\WINDOWS\system32\DRIVERS\mrxsmb.sys
2010/10/09 20:58:12.0312 Msfs (561b3a4333ca2dbdba28b5b956822519) C:\WINDOWS\system32\drivers\Msfs.sys
2010/10/09 20:58:12.0359 MSKSSRV (ae431a8dd3c1d0d0610cdbac16057ad0) C:\WINDOWS\system32\drivers\MSKSSRV.sys
2010/10/09 20:58:12.0375 MSPCLOCK (13e75fef9dfeb08eeded9d0246e1f448) C:\WINDOWS\system32\drivers\MSPCLOCK.sys
2010/10/09 20:58:12.0406 MSPQM (1988a33ff19242576c3d0ef9ce785da7) C:\WINDOWS\system32\drivers\MSPQM.sys
2010/10/09 20:58:12.0437 mssmbios (469541f8bfd2b32659d5d463a6714bce) C:\WINDOWS\system32\DRIVERS\mssmbios.sys
2010/10/09 20:58:12.0468 MSTEE (bf13612142995096ab084f2db7f40f77) C:\WINDOWS\system32\drivers\MSTEE.sys
2010/10/09 20:58:12.0515 Mup (82035e0f41c2dd05ae41d27fe6cf7de1) C:\WINDOWS\system32\drivers\Mup.sys
2010/10/09 20:58:12.0562 NABTSFEC (5c8dc6429c43dc6177c1fa5b76290d1a) C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys
2010/10/09 20:58:12.0625 NDIS (558635d3af1c7546d26067d5d9b6959e) C:\WINDOWS\system32\drivers\NDIS.sys
2010/10/09 20:58:12.0656 NdisIP (520ce427a8b298f54112857bcf6bde15) C:\WINDOWS\system32\DRIVERS\NdisIP.sys
2010/10/09 20:58:12.0687 NdisTapi (08d43bbdacdf23f34d79e44ed35c1b4c) C:\WINDOWS\system32\DRIVERS\ndistapi.sys
2010/10/09 20:58:12.0734 Ndisuio (34d6cd56409da9a7ed573e1c90a308bf) C:\WINDOWS\system32\DRIVERS\ndisuio.sys
2010/10/09 20:58:12.0765 NdisWan (0b90e255a9490166ab368cd55a529893) C:\WINDOWS\system32\DRIVERS\ndiswan.sys
2010/10/09 20:58:12.0796 NDProxy (59fc3fb44d2669bc144fd87826bb571f) C:\WINDOWS\system32\drivers\NDProxy.sys
2010/10/09 20:58:12.0843 NetBIOS (3a2aca8fc1d7786902ca434998d7ceb4) C:\WINDOWS\system32\DRIVERS\netbios.sys
2010/10/09 20:58:12.0875 NetBT (0c80e410cd2f47134407ee7dd19cc86b) C:\WINDOWS\system32\DRIVERS\netbt.sys
2010/10/09 20:58:12.0937 Npfs (4f601bcb8f64ea3ac0994f98fed03f8e) C:\WINDOWS\system32\drivers\Npfs.sys
2010/10/09 20:58:13.0015 Ntfs (b78be402c3f63dd55521f73876951cdd) C:\WINDOWS\system32\drivers\Ntfs.sys
2010/10/09 20:58:13.0078 Null (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINDOWS\system32\drivers\Null.sys
2010/10/09 20:58:13.0125 NwlnkFlt (b305f3fad35083837ef46a0bbce2fc57) C:\WINDOWS\system32\DRIVERS\nwlnkflt.sys
2010/10/09 20:58:13.0156 NwlnkFwd (c99b3415198d1aab7227f2c88fd664b9) C:\WINDOWS\system32\DRIVERS\nwlnkfwd.sys
2010/10/09 20:58:13.0218 Parport (b2f17a2edb5450e61973a037f63a595b) C:\WINDOWS\system32\DRIVERS\parport.sys
2010/10/09 20:58:13.0234 PartMgr (3334430c29dc338092f79c38ef7b4cd0) C:\WINDOWS\system32\drivers\PartMgr.sys
2010/10/09 20:58:13.0265 ParVdm (c2bf987829099a3eaa2ca6a0a90ecb4f) C:\WINDOWS\system32\drivers\ParVdm.sys
2010/10/09 20:58:13.0312 PCI (6fb463e5b243fbd6f3d3c83f914d94fb) C:\WINDOWS\system32\DRIVERS\pci.sys
2010/10/09 20:58:13.0359 PCIIde (59ba86d9a61cbcf4df8e598c331f5b82) C:\WINDOWS\system32\DRIVERS\pciide.sys
2010/10/09 20:58:13.0406 Pcmcia (e2363f4c1daff89abee5f593e13d8a05) C:\WINDOWS\system32\drivers\Pcmcia.sys
2010/10/09 20:58:13.0640 PptpMiniport (1c5cc65aac0783c344f16353e60b72ac) C:\WINDOWS\system32\DRIVERS\raspptp.sys
2010/10/09 20:58:13.0671 Processor (3d7f196e77f986c106e9320b81a5ebbf) C:\WINDOWS\system32\DRIVERS\processr.sys
2010/10/09 20:58:13.0703 PSched (48671f327553dcf1d27f6197f622a668) C:\WINDOWS\system32\DRIVERS\psched.sys
2010/10/09 20:58:13.0734 Ptilink (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINDOWS\system32\DRIVERS\ptilink.sys
2010/10/09 20:58:13.0781 PxHelp20 (d86b4a68565e444d76457f14172c875a) C:\WINDOWS\system32\Drivers\PxHelp20.sys
2010/10/09 20:58:14.0187 RasAcd (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINDOWS\system32\DRIVERS\rasacd.sys
2010/10/09 20:58:14.0343 Rasl2tp (98faeb4a4dcf812ba1c6fca4aa3e115c) C:\WINDOWS\system32\DRIVERS\rasl2tp.sys
2010/10/09 20:58:14.0375 RasPppoe (7306eeed8895454cbed4669be9f79faa) C:\WINDOWS\system32\DRIVERS\raspppoe.sys
2010/10/09 20:58:14.0421 Raspti (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINDOWS\system32\DRIVERS\raspti.sys
2010/10/09 20:58:14.0437 Rdbss (29d66245adba878fff574cd66abd2884) C:\WINDOWS\system32\DRIVERS\rdbss.sys
2010/10/09 20:58:14.0468 RDPCDD (4912d5b403614ce99c28420f75353332) C:\WINDOWS\system32\DRIVERS\RDPCDD.sys
2010/10/09 20:58:14.0515 rdpdr (a2cae2c60bc37e0751ef9dda7ceaf4ad) C:\WINDOWS\system32\DRIVERS\rdpdr.sys
2010/10/09 20:58:14.0562 RDPWD (d4f5643d7714ef499ae9527fdcd50894) C:\WINDOWS\system32\drivers\RDPWD.sys
2010/10/09 20:58:14.0593 redbook (aa56702e230860565cb8d43680f57f33) C:\WINDOWS\system32\DRIVERS\redbook.sys
2010/10/09 20:58:14.0671 Secdrv (d26e26ea516450af9d072635c60387f4) C:\WINDOWS\system32\DRIVERS\secdrv.sys
2010/10/09 20:58:14.0750 serenum (a2d868aeeff612e70e213c451a70cafb) C:\WINDOWS\system32\DRIVERS\serenum.sys
2010/10/09 20:58:14.0781 Serial (cd5b9995afcdb466c9efc048d167e3be) C:\WINDOWS\system32\DRIVERS\serial.sys
2010/10/09 20:58:14.0812 Sfloppy (0d13b6df6e9e101013a7afb0ce629fe0) C:\WINDOWS\system32\drivers\Sfloppy.sys
2010/10/09 20:58:14.0875 SLIP (5caeed86821fa2c6139e32e9e05ccdc9) C:\WINDOWS\system32\DRIVERS\SLIP.sys
2010/10/09 20:58:14.0937 splitter (8e186b8f23295d1e42c573b82b80d548) C:\WINDOWS\system32\drivers\splitter.sys
2010/10/09 20:58:15.0000 sr (e4200cb2f418d8fc4acdd7e38c419d6a) C:\WINDOWS\system32\DRIVERS\sr.sys
2010/10/09 20:58:15.0046 Srv (20b7e396720353e4117d64d9dcb926ca) C:\WINDOWS\system32\DRIVERS\srv.sys
2010/10/09 20:58:15.0093 ssmdrv (a36ee93698802cd899f98bfd553d8185) C:\WINDOWS\system32\DRIVERS\ssmdrv.sys
2010/10/09 20:58:15.0125 streamip (284c57df5dc7abca656bc2b96a667afb) C:\WINDOWS\system32\DRIVERS\StreamIP.sys
2010/10/09 20:58:15.0171 swenum (03c1bae4766e2450219d20b993d6e046) C:\WINDOWS\system32\DRIVERS\swenum.sys
2010/10/09 20:58:15.0218 swmidi (94abc808fc4b6d7d2bbf42b85e25bb4d) C:\WINDOWS\system32\drivers\swmidi.sys
2010/10/09 20:58:15.0343 sysaudio (650ad082d46bac0e64c9c0e0928492fd) C:\WINDOWS\system32\drivers\sysaudio.sys
2010/10/09 20:58:15.0390 Tcpip (7b11118b078b88f87183fe69eda43137) C:\WINDOWS\system32\DRIVERS\tcpip.sys
2010/10/09 20:58:15.0453 TDPIPE (38d437cf2d98965f239b0abcd66dcb0f) C:\WINDOWS\system32\drivers\TDPIPE.sys
2010/10/09 20:58:15.0484 TDTCP (ed0580af02502d00ad8c4c066b156be9) C:\WINDOWS\system32\drivers\TDTCP.sys
2010/10/09 20:58:15.0500 TermDD (a540a99c281d933f3d69d55e48727f47) C:\WINDOWS\system32\DRIVERS\termdd.sys
2010/10/09 20:58:15.0593 Udfs (12f70256f140cd7d52c58c7048fde657) C:\WINDOWS\system32\drivers\Udfs.sys
2010/10/09 20:58:15.0640 ULI5261XP (ce2dd5efb0f773382376faaf9f506542) C:\WINDOWS\system32\DRIVERS\ULILAN51.SYS
2010/10/09 20:58:15.0703 Update (aff2e5045961bbc0a602bb6f95eb1345) C:\WINDOWS\system32\DRIVERS\update.sys
2010/10/09 20:58:15.0765 usbccgp (bffd9f120cc63bcbaa3d840f3eef9f79) C:\WINDOWS\system32\DRIVERS\usbccgp.sys
2010/10/09 20:58:15.0796 usbehci (15e993ba2f6946b2bfbbfcd30398621e) C:\WINDOWS\system32\DRIVERS\usbehci.sys
2010/10/09 20:58:15.0828 usbhub (c72f40947f92cea56a8fb532edf025f1) C:\WINDOWS\system32\DRIVERS\usbhub.sys
2010/10/09 20:58:15.0859 usbohci (bdfe799a8531bad8a5a985821fe78760) C:\WINDOWS\system32\DRIVERS\usbohci.sys
2010/10/09 20:58:15.0890 usbprint (a42369b7cd8886cd7c70f33da6fcbcf5) C:\WINDOWS\system32\DRIVERS\usbprint.sys
2010/10/09 20:58:15.0937 usbscan (a6bc71402f4f7dd5b77fd7f4a8ddba85) C:\WINDOWS\system32\DRIVERS\usbscan.sys
2010/10/09 20:58:15.0968 USBSTOR (6cd7b22193718f1d17a47a1cd6d37e75) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
2010/10/09 20:58:16.0015 VgaSave (8a60edd72b4ea5aea8202daf0e427925) C:\WINDOWS\System32\drivers\vga.sys
2010/10/09 20:58:16.0093 VolSnap (d6888520ff56d72a50437e371ca25fc9) C:\WINDOWS\system32\drivers\VolSnap.sys
2010/10/09 20:58:16.0140 Wanarp (984ef0b9788abf89974cfed4bfbaacbc) C:\WINDOWS\system32\DRIVERS\wanarp.sys
2010/10/09 20:58:16.0203 wdmaud (2797f33ebf50466020c430ee4f037933) C:\WINDOWS\system32\drivers\wdmaud.sys
2010/10/09 20:58:16.0281 WpdUsb (1385e5aa9c9821790d33a9563b8d2dd0) C:\WINDOWS\system32\Drivers\wpdusb.sys
2010/10/09 20:58:16.0328 WSTCODEC (d5842484f05e12121c511aa93f6439ec) C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS
2010/10/09 20:58:16.0468 ================================================================================
2010/10/09 20:58:16.0468 Scan finished
2010/10/09 20:58:16.0468 ================================================================================
2010/10/09 20:58:16.0500 Detected object count: 2
2010/10/09 21:00:56.0656 Locked file(atapi) - User select action: Skip
2010/10/09 21:00:56.0718 dmload (5909b79955c2b22c9d9104af56c25665) C:\WINDOWS\system32\drivers\dmload.sys
2010/10/09 21:00:56.0718 Suspicious file (Forged): C:\WINDOWS\system32\drivers\dmload.sys. Real md5: 5909b79955c2b22c9d9104af56c25665, Fake md5: e9317282a63ca4d188c0df5e09c6ac5f
2010/10/09 21:01:02.0671 Backup copy found, using it..
2010/10/09 21:01:02.0687 C:\WINDOWS\system32\drivers\dmload.sys - will be cured after reboot
2010/10/09 21:01:02.0687 Rootkit.Win32.TDSS.tdl3(dmload) - User select action: Cure

KiLLaLeNiN 09.10.2010 20:09
Und hier ist die MBRCheck:


MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 2 (build 2600)
Logical Drives Mask: 0x000003fc

Kernel Drivers (total 121):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806CE000 \WINDOWS\system32\hal.dll
0xBADA8000 \WINDOWS\system32\KDCOM.DLL
0xBACB8000 \WINDOWS\system32\BOOTVID.dll
0xBA77F000 a347bus.sys
0xBA750000 ACPI.sys
0xBADAA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xBA73F000 pci.sys
0xBA8A8000 isapnp.sys
0xBAE70000 pciide.sys
0xBAB28000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xBADAC000 aliide.sys
0xBA8B8000 MountMgr.sys
0xBA720000 ftdisk.sys
0xBADAE000 dmload.sys
0xBA6FA000 dmio.sys
0xBAB30000 PartMgr.sys
0xBA8C8000 VolSnap.sys
0xBA6E2000
0xBADB0000 a347scsi.sys
0xBA6CA000 \WINDOWS\System32\Drivers\SCSIPORT.SYS
0xBA8D8000 disk.sys
0xBA8E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xBA6AB000 fltMgr.sys
0xBA699000 sr.sys
0xBA8F8000 PxHelp20.sys
0xBA682000 KSecDD.sys
0xBA5F5000 Ntfs.sys
0xBA5C8000 NDIS.sys
0xBA5AD000 Mup.sys
0xBA948000 \SystemRoot\system32\DRIVERS\processr.sys
0xBA323000 \SystemRoot\system32\DRIVERS\ati2mtag.sys
0xBA30F000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xBA2FB000 \SystemRoot\system32\DRIVERS\parport.sys
0xBAD64000 \SystemRoot\system32\DRIVERS\gameenum.sys
0xBA958000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xBAC18000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xBA2EA000 \SystemRoot\system32\DRIVERS\serial.sys
0xBAD68000 \SystemRoot\system32\DRIVERS\serenum.sys
0xBA251000 \SystemRoot\system32\drivers\ALCXWDM.SYS
0xBA22D000 \SystemRoot\system32\drivers\portcls.sys
0xBA968000 \SystemRoot\system32\drivers\drmk.sys
0xBA20A000 \SystemRoot\system32\drivers\ks.sys
0xBA1A8000 \SystemRoot\system32\drivers\ALCXSENS.SYS
0xBAC20000 \SystemRoot\system32\DRIVERS\ULILAN51.SYS
0xBA978000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xBA988000 \SystemRoot\system32\DRIVERS\redbook.sys
0xBA998000 \SystemRoot\system32\DRIVERS\imapi.sys
0xBAC28000 \SystemRoot\system32\DRIVERS\usbohci.sys
0xBA15D000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xBAC30000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xBAF3D000 \SystemRoot\system32\DRIVERS\audstub.sys
0xBA9A8000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xBAD74000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xBA146000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xBA9B8000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xBA9C8000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xBAC38000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xBA135000 \SystemRoot\system32\DRIVERS\psched.sys
0xBA9D8000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xBAC40000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xBAC48000 \SystemRoot\system32\DRIVERS\raspti.sys
0xBA104000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xBA9E8000 \SystemRoot\system32\DRIVERS\termdd.sys
0xBAC50000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xBADBC000 \SystemRoot\system32\DRIVERS\swenum.sys
0xBA0D0000 \SystemRoot\system32\DRIVERS\update.sys
0xBAD90000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xBA9F8000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xBADBE000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xBAA08000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xBADC0000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xBAF79000 \SystemRoot\System32\Drivers\Null.SYS
0xBADC2000 \SystemRoot\System32\Drivers\Beep.SYS
0xBAC68000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xBAC70000 \SystemRoot\System32\drivers\vga.sys
0xBADC4000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xBADC6000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xBAC78000 \SystemRoot\System32\Drivers\Msfs.SYS
0xBAC80000 \SystemRoot\System32\Drivers\Npfs.SYS
0xBAD50000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xADF8D000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xADF35000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xADF0D000 \SystemRoot\system32\DRIVERS\netbt.sys
0xADEEB000 \SystemRoot\System32\drivers\afd.sys
0xBAA38000 \SystemRoot\system32\DRIVERS\netbios.sys
0xADEBF000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xADE50000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xBAA48000 \SystemRoot\System32\Drivers\Fips.SYS
0xADE2F000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xBAA58000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xADE0D000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xBADCE000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xBA0C8000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xBAAF8000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xBA0C0000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xBA088000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xBAC00000 \SystemRoot\System32\watchdog.sys
0xBA0AC000 \SystemRoot\System32\drivers\Dxapi.sys
0xBF9C1000 \SystemRoot\System32\drivers\dxg.sys
0xBAF82000 \SystemRoot\System32\drivers\dxgthk.sys
0xAC8A4000 \SystemRoot\system32\DRIVERS\atinavt2.sys
0xADC46000 \SystemRoot\system32\DRIVERS\BdaSup.SYS
0xBF9D3000 \SystemRoot\System32\ati2dvag.dll
0xBFA18000 \SystemRoot\System32\ati2cqag.dll
0xBFA72000 \SystemRoot\System32\atikvmag.dll
0xBFAC2000 \SystemRoot\System32\ati3duag.dll
0xBFD8C000 \SystemRoot\System32\ativvaxx.dll
0xAA68F000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xAA673000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xAA522000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xBADFC000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xAA46D000 \SystemRoot\system32\drivers\wdmaud.sys
0xBAAA8000 \SystemRoot\system32\drivers\sysaudio.sys
0xAA062000 \SystemRoot\system32\DRIVERS\srv.sys
0xA996F000 \SystemRoot\System32\Drivers\HTTP.sys
0xA98CD000 \SystemRoot\system32\drivers\kmixer.sys
0xA98AA000 \SystemRoot\System32\Drivers\Fastfat.SYS
0xA9898000 \SystemRoot\system32\drivers\klmd.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 37):
0 System Idle Process
4 System
584 C:\WINDOWS\system32\smss.exe
664 csrss.exe
692 C:\WINDOWS\system32\winlogon.exe
740 C:\WINDOWS\system32\services.exe
752 C:\WINDOWS\system32\lsass.exe
932 C:\WINDOWS\system32\ati2evxx.exe
952 C:\WINDOWS\system32\svchost.exe
1064 svchost.exe
1252 svchost.exe
1392 C:\WINDOWS\system32\ati2evxx.exe
1452 svchost.exe
1624 C:\WINDOWS\system32\spoolsv.exe
1680 C:\Programme\Avira\AntiVir Desktop\sched.exe
1824 D:\Programme\AAVUpdateManager\aavus.exe
1848 C:\Programme\Avira\AntiVir Desktop\avguard.exe
232 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
236 C:\WINDOWS\explorer.exe
436 C:\WINDOWS\system32\svchost.exe
608 C:\Programme\Java\jre6\bin\jqs.exe
668 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
1144 sqlservr.exe
1224 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
1248 D:\Programme\FileHippo.com\UpdateChecker.exe
1264 C:\WINDOWS\system32\ctfmon.exe
1404 C:\WINDOWS\system32\svchost.exe
1548 C:\WINDOWS\system32\oodag.exe
1808 C:\WINDOWS\system32\svchost.exe
2020 sqlbrowser.exe
352 C:\WINDOWS\system32\svchost.exe
568 wdfmgr.exe
2812 C:\WINDOWS\system32\wscntfy.exe
3168 alg.exe
1908 C:\WINDOWS\system32\svchost.exe
3508 wmiprvse.exe
3580 C:\Dokumente und Einstellungen\billistdoof\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive0 at offset 0x00000007`7fe11600 (NTFS)
\\.\E: --> \\.\PhysicalDrive0 at offset 0x00000013`ffd69400 (NTFS)
\\.\F: --> \\.\PhysicalDrive0 at offset 0x00000020`7fcc1200 (NTFS)
\\.\I: --> \\.\PhysicalDrive0 at offset 0x00000005`0014e600 (NTFS)

PhysicalDrive0 Model Number: ST3250620AS, Rev: 3.AAE

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A


Done!

Chris4You 09.10.2010 20:43
Hi,

dann zäumen wir von hinten auf...
Hast Du eine XP-CD? Wir können von der Booten und dann die Datei per Hand "rüberkopieren" (atapi.sys)...

Per Hand Treiber kopieren (atapi.sys etc.)
Code:
Von XP-CD booten und in die Rettungskonsole/Wiederherstellungskonsole gehen.
Wenn auf der Festplatte das Verzeichnis "C:\WINDOWS\ServicePackFiles\i386"
zur Verfügung steht:
expand C:\WINDOWS\ServicePackFiles\i386\atapi.sy_ c:\windows\system32\Drivers
oder sonst von CD kopieren
expand X:\i386\atapi.sy_ c:\windows\system32\Drivers
Wobei "X" Dein CD/DVD-Laufwerk ist!
Mehr zur Wiederherstellungs/Rettungskonsole unter:
Installieren und Verwenden der Wiederherstellungskonsole in Windows XP
und
How to expand Windows XP files from the installation disk
Das gleiche dann auch für weitere verseuchten Treiber.

Falls das Kopieren oder das Expand in der Rettungskonsole nicht klappt wie folgt vorgehen:
Windows von Festplatte aus starten, eine Commandshell starten (Start->Ausführen cmd, dort dann die atapi.sys von CD in ein anderes
Verzeichnis auspacken (z. B.: expand X:\i386\atapi.sy_ c:\Temp\atapi.sys), dann von CD booten und versuchen den sauberen Treiber an die richtige Stelle zu kopieren (copy c:\Temp\atapi.sys c:\windows\system32\drivers)...

chris

KiLLaLeNiN 09.10.2010 21:12
Hm... habe gerade keine XP-CD hier vor Ort. Morgen hoffentlich. Ist ein BackUp notwendig? ist leider auch nicht vorhanden. Aber das System scheint ja eh nicht mehr zu gebrauchen, wenn wir den Schädling nicht entfernt bekommen:confused:

KiLLaLeNiN 10.10.2010 09:18
Hallo,

habe nun die Reparatur per WindowsCD durchgeführt und die atapi.sy ersetzt. Allerdings meldet TDSSKiller immer noch, dass die atapi.sys gesperrt und seltsam ist :aufsmaul:

2010/10/10 10:15:44.0703 TDSS rootkit removing tool 2.4.4.0 Oct 4 2010 09:06:59
2010/10/10 10:15:44.0703 ================================================================================
2010/10/10 10:15:44.0703 SystemInfo:
2010/10/10 10:15:44.0703
2010/10/10 10:15:44.0703 OS Version: 5.1.2600 ServicePack: 2.0
2010/10/10 10:15:44.0703 Product type: Workstation
2010/10/10 10:15:44.0703 ComputerName: ROMAN
2010/10/10 10:15:44.0703 UserName: billistdoof
2010/10/10 10:15:44.0703 Windows directory: C:\WINDOWS
2010/10/10 10:15:44.0703 System windows directory: C:\WINDOWS
2010/10/10 10:15:44.0703 Processor architecture: Intel x86
2010/10/10 10:15:44.0703 Number of processors: 1
2010/10/10 10:15:44.0703 Page size: 0x1000
2010/10/10 10:15:44.0703 Boot type: Normal boot
2010/10/10 10:15:44.0703 ================================================================================
2010/10/10 10:15:45.0109 Initialize success
2010/10/10 10:15:46.0031 ================================================================================
2010/10/10 10:15:46.0031 Scan started
2010/10/10 10:15:46.0031 Mode: Manual;
2010/10/10 10:15:46.0031 ================================================================================
2010/10/10 10:15:46.0796 a347bus (1f61cacacb521215f39061789147968c) C:\WINDOWS\system32\DRIVERS\a347bus.sys
2010/10/10 10:15:46.0843 a347scsi (113e4b318bbaa7483ca4e582a4d63f49) C:\WINDOWS\system32\Drivers\a347scsi.sys
2010/10/10 10:15:46.0968 ACPI (94b4741d2cf9ed38140b831293d1601a) C:\WINDOWS\system32\DRIVERS\ACPI.sys
2010/10/10 10:15:47.0015 ACPIEC (9e1ca3160dafb159ca14f83b1e317f75) C:\WINDOWS\system32\drivers\ACPIEC.sys
2010/10/10 10:15:47.0093 aec (841f385c6cfaf66b58fbd898722bb4f0) C:\WINDOWS\system32\drivers\aec.sys
2010/10/10 10:15:47.0140 AFD (5ac495f4cb807b2b98ad2ad591e6d92e) C:\WINDOWS\System32\drivers\afd.sys
2010/10/10 10:15:47.0296 ALCXSENS (ba88534a3ceb6161e7432438b9ea4f54) C:\WINDOWS\system32\drivers\ALCXSENS.SYS
2010/10/10 10:15:47.0359 ALCXWDM (4d4593c10f2c90d48da9fd1b14ace825) C:\WINDOWS\system32\drivers\ALCXWDM.SYS
2010/10/10 10:15:47.0406 AliIde (1140ab9938809700b46bb88e46d72a96) C:\WINDOWS\system32\DRIVERS\aliide.sys
2010/10/10 10:15:47.0578 AsyncMac (02000abf34af4c218c35d257024807d6) C:\WINDOWS\system32\DRIVERS\asyncmac.sys
2010/10/10 10:15:47.0640 atapi (cdfe4411a69c224bd1d11b2da92dac51) C:\WINDOWS\system32\DRIVERS\atapi.sys
2010/10/10 10:15:47.0640 Suspicious file (NoAccess): C:\WINDOWS\system32\DRIVERS\atapi.sys. md5: cdfe4411a69c224bd1d11b2da92dac51
2010/10/10 10:15:47.0640 atapi - detected Locked file (1)
2010/10/10 10:15:47.0750 ati2mtag (33b6866fbf4bf0ad3c97e7b55513e5ab) C:\WINDOWS\system32\DRIVERS\ati2mtag.sys
2010/10/10 10:15:47.0812 ATIAVAIW (9ec2b4fb45a9b90a31eca8245bed28b3) C:\WINDOWS\system32\DRIVERS\atinavt2.sys
2010/10/10 10:15:47.0875 Atmarpc (ec88da854ab7d7752ec8be11a741bb7f) C:\WINDOWS\system32\DRIVERS\atmarpc.sys
2010/10/10 10:15:47.0906 audstub (d9f724aa26c010a217c97606b160ed68) C:\WINDOWS\system32\DRIVERS\audstub.sys
2010/10/10 10:15:47.0984 avgio (0b497c79824f8e1bf22fa6aacd3de3a0) C:\Programme\Avira\AntiVir Desktop\avgio.sys
2010/10/10 10:15:48.0046 avgntflt (a88d29d928ad2b830e87b53e3f9bc182) C:\WINDOWS\system32\DRIVERS\avgntflt.sys
2010/10/10 10:15:48.0078 avipbb (524b9e78e396c00968c5629ed5bbfab0) C:\WINDOWS\system32\DRIVERS\avipbb.sys
2010/10/10 10:15:48.0125 Beep (da1f27d85e0d1525f6621372e7b685e9) C:\WINDOWS\system32\drivers\Beep.sys
2010/10/10 10:15:48.0234 cbidf2k (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINDOWS\system32\drivers\cbidf2k.sys
2010/10/10 10:15:48.0296 CCDECODE (6163ed60b684bab19d3352ab22fc48b2) C:\WINDOWS\system32\DRIVERS\CCDECODE.sys
2010/10/10 10:15:48.0359 Cdaudio (c1b486a7658353d33a10cc15211a873b) C:\WINDOWS\system32\drivers\Cdaudio.sys
2010/10/10 10:15:48.0390 Cdfs (cd7d5152df32b47f4e36f710b35aae02) C:\WINDOWS\system32\drivers\Cdfs.sys
2010/10/10 10:15:48.0437 Cdrom (af9c19b3100fe010496b1a27181fbf72) C:\WINDOWS\system32\DRIVERS\cdrom.sys
2010/10/10 10:15:48.0656 Disk (00ca44e4534865f8a3b64f7c0984bff0) C:\WINDOWS\system32\DRIVERS\disk.sys
2010/10/10 10:15:48.0718 dmboot (5789b83ba87fc84c3568cf86cacef8ce) C:\WINDOWS\system32\drivers\dmboot.sys
2010/10/10 10:15:48.0796 dmio (084eb0a50a4f7b4705c8a57f234e5291) C:\WINDOWS\system32\drivers\dmio.sys
2010/10/10 10:15:48.0843 dmload (e9317282a63ca4d188c0df5e09c6ac5f) C:\WINDOWS\system32\drivers\dmload.sys
2010/10/10 10:15:48.0906 DMusic (a6f881284ac1150e37d9ae47ff601267) C:\WINDOWS\system32\drivers\DMusic.sys
2010/10/10 10:15:48.0953 drmkaud (1ed4dbbae9f5d558dbba4cc450e3eb2e) C:\WINDOWS\system32\drivers\drmkaud.sys
2010/10/10 10:15:49.0000 ENTECH (fd9fc82f134b1c91004ffc76a5ae494b) C:\WINDOWS\system32\DRIVERS\ENTECH.sys
2010/10/10 10:15:49.0046 Fastfat (3117f595e9615e04f05a54fc15a03b20) C:\WINDOWS\system32\drivers\Fastfat.sys
2010/10/10 10:15:49.0093 Fdc (ced2e8396a8838e59d8fd529c680e02c) C:\WINDOWS\system32\DRIVERS\fdc.sys
2010/10/10 10:15:49.0125 Fips (9e9af89f9b14aa6249065c309ce73bd8) C:\WINDOWS\system32\drivers\Fips.sys
2010/10/10 10:15:49.0156 Flpydisk (0dd1de43115b93f4d85e889d7a86f548) C:\WINDOWS\system32\DRIVERS\flpydisk.sys
2010/10/10 10:15:49.0218 FltMgr (157754f0df355a9e0a6f54721914f9c6) C:\WINDOWS\system32\DRIVERS\fltMgr.sys
2010/10/10 10:15:49.0250 Fs_Rec (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINDOWS\system32\drivers\Fs_Rec.sys
2010/10/10 10:15:49.0281 Ftdisk (8f1955ce42e1484714b542f341647778) C:\WINDOWS\system32\DRIVERS\ftdisk.sys
2010/10/10 10:15:49.0328 gameenum (5f92fd09e5610a5995da7d775eadcd12) C:\WINDOWS\system32\DRIVERS\gameenum.sys
2010/10/10 10:15:49.0375 Gpc (c0f1d4a21de5a415df8170616703debf) C:\WINDOWS\system32\DRIVERS\msgpc.sys
2010/10/10 10:15:49.0421 hamachi (d30b31375c40309425c21efe75db90bb) C:\WINDOWS\system32\DRIVERS\hamachi.sys
2010/10/10 10:15:49.0468 HidUsb (1de6783b918f540149aa69943bdfeba8) C:\WINDOWS\system32\DRIVERS\hidusb.sys
2010/10/10 10:15:49.0515 HPFXBULK (299683d4c8aaa3f6f5d5d226a1782a6e) C:\WINDOWS\system32\drivers\hpfxbulk.sys
2010/10/10 10:15:49.0593 HTTP (c19b522a9ae0bbc3293397f3055e80a1) C:\WINDOWS\system32\Drivers\HTTP.sys
2010/10/10 10:15:49.0687 i8042prt (7c575018d0413440d75432a78b88c899) C:\WINDOWS\system32\DRIVERS\i8042prt.sys
2010/10/10 10:15:49.0750 Imapi (f8aa320c6a0409c0380e5d8a99d76ec6) C:\WINDOWS\system32\DRIVERS\imapi.sys
2010/10/10 10:15:49.0984 Ip6Fw (4448006b6bc60e6c027932cfc38d6855) C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys
2010/10/10 10:15:50.0015 IpFilterDriver (731f22ba402ee4b62748adaf6363c182) C:\WINDOWS\system32\DRIVERS\ipfltdrv.sys
2010/10/10 10:15:50.0046 IpInIp (e1ec7f5da720b640cd8fb8424f1b14bb) C:\WINDOWS\system32\DRIVERS\ipinip.sys
2010/10/10 10:15:50.0093 IpNat (b5a8e215ac29d24d60b4d1250ef05ace) C:\WINDOWS\system32\DRIVERS\ipnat.sys
2010/10/10 10:15:50.0109 IPSec (64537aa5c003a6afeee1df819062d0d1) C:\WINDOWS\system32\DRIVERS\ipsec.sys
2010/10/10 10:15:50.0140 IRENUM (50708daa1b1cbb7d6ac1cf8f56a24410) C:\WINDOWS\system32\DRIVERS\irenum.sys
2010/10/10 10:15:50.0234 isapnp (ce9b7afdf0a3d7dd8d1487262316b959) C:\WINDOWS\system32\DRIVERS\isapnp.sys
2010/10/10 10:15:50.0281 Kbdclass (b128fc0a5cd83f669d5de4b58f77c7d6) C:\WINDOWS\system32\DRIVERS\kbdclass.sys
2010/10/10 10:15:50.0343 kbdhid (7ec877aa899323b92874fe62c7ddcde7) C:\WINDOWS\system32\DRIVERS\kbdhid.sys
2010/10/10 10:15:50.0375 kmixer (d93cad07c5683db066b0b2d2d3790ead) C:\WINDOWS\system32\drivers\kmixer.sys
2010/10/10 10:15:50.0421 KSecDD (eb7ffe87fd367ea8fca0506f74a87fbb) C:\WINDOWS\system32\drivers\KSecDD.sys
2010/10/10 10:15:50.0531 mnmdd (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINDOWS\system32\drivers\mnmdd.sys
2010/10/10 10:15:50.0562 Modem (91a3da4b12f6f1d760463a7f7857f748) C:\WINDOWS\system32\drivers\Modem.sys
2010/10/10 10:15:50.0593 Mouclass (71e15ca47fd947552054afb28536268f) C:\WINDOWS\system32\DRIVERS\mouclass.sys
2010/10/10 10:15:50.0640 mouhid (66a6f73c74e1791464160a7065ce711a) C:\WINDOWS\system32\DRIVERS\mouhid.sys
2010/10/10 10:15:50.0671 MountMgr (65653f3b4477f3c63e68a9659f85ee2e) C:\WINDOWS\system32\drivers\MountMgr.sys
2010/10/10 10:15:50.0734 MPE (55a9a7e6bb297bf0f5b144029dcb79cc) C:\WINDOWS\system32\DRIVERS\MPE.sys
2010/10/10 10:15:50.0812 MRxDAV (46edcc8f2db2f322c24f48785cb46366) C:\WINDOWS\system32\DRIVERS\mrxdav.sys
2010/10/10 10:15:50.0859 MRxSmb (1fd607fc67f7f7c633c3da65bfc53d18) C:\WINDOWS\system32\DRIVERS\mrxsmb.sys
2010/10/10 10:15:50.0953 Msfs (561b3a4333ca2dbdba28b5b956822519) C:\WINDOWS\system32\drivers\Msfs.sys
2010/10/10 10:15:51.0000 MSKSSRV (ae431a8dd3c1d0d0610cdbac16057ad0) C:\WINDOWS\system32\drivers\MSKSSRV.sys
2010/10/10 10:15:51.0031 MSPCLOCK (13e75fef9dfeb08eeded9d0246e1f448) C:\WINDOWS\system32\drivers\MSPCLOCK.sys
2010/10/10 10:15:51.0062 MSPQM (1988a33ff19242576c3d0ef9ce785da7) C:\WINDOWS\system32\drivers\MSPQM.sys
2010/10/10 10:15:51.0093 mssmbios (469541f8bfd2b32659d5d463a6714bce) C:\WINDOWS\system32\DRIVERS\mssmbios.sys
2010/10/10 10:15:51.0125 MSTEE (bf13612142995096ab084f2db7f40f77) C:\WINDOWS\system32\drivers\MSTEE.sys
2010/10/10 10:15:51.0171 Mup (82035e0f41c2dd05ae41d27fe6cf7de1) C:\WINDOWS\system32\drivers\Mup.sys
2010/10/10 10:15:51.0218 NABTSFEC (5c8dc6429c43dc6177c1fa5b76290d1a) C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys
2010/10/10 10:15:51.0265 NDIS (558635d3af1c7546d26067d5d9b6959e) C:\WINDOWS\system32\drivers\NDIS.sys
2010/10/10 10:15:51.0328 NdisIP (520ce427a8b298f54112857bcf6bde15) C:\WINDOWS\system32\DRIVERS\NdisIP.sys
2010/10/10 10:15:51.0343 NdisTapi (08d43bbdacdf23f34d79e44ed35c1b4c) C:\WINDOWS\system32\DRIVERS\ndistapi.sys
2010/10/10 10:15:51.0390 Ndisuio (34d6cd56409da9a7ed573e1c90a308bf) C:\WINDOWS\system32\DRIVERS\ndisuio.sys
2010/10/10 10:15:51.0421 NdisWan (0b90e255a9490166ab368cd55a529893) C:\WINDOWS\system32\DRIVERS\ndiswan.sys
2010/10/10 10:15:51.0453 NDProxy (59fc3fb44d2669bc144fd87826bb571f) C:\WINDOWS\system32\drivers\NDProxy.sys
2010/10/10 10:15:51.0484 NetBIOS (3a2aca8fc1d7786902ca434998d7ceb4) C:\WINDOWS\system32\DRIVERS\netbios.sys
2010/10/10 10:15:51.0500 NetBT (0c80e410cd2f47134407ee7dd19cc86b) C:\WINDOWS\system32\DRIVERS\netbt.sys
2010/10/10 10:15:51.0578 Npfs (4f601bcb8f64ea3ac0994f98fed03f8e) C:\WINDOWS\system32\drivers\Npfs.sys
2010/10/10 10:15:51.0625 Ntfs (b78be402c3f63dd55521f73876951cdd) C:\WINDOWS\system32\drivers\Ntfs.sys
2010/10/10 10:15:51.0687 Null (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINDOWS\system32\drivers\Null.sys
2010/10/10 10:15:51.0718 NwlnkFlt (b305f3fad35083837ef46a0bbce2fc57) C:\WINDOWS\system32\DRIVERS\nwlnkflt.sys
2010/10/10 10:15:51.0765 NwlnkFwd (c99b3415198d1aab7227f2c88fd664b9) C:\WINDOWS\system32\DRIVERS\nwlnkfwd.sys
2010/10/10 10:15:51.0812 Parport (b2f17a2edb5450e61973a037f63a595b) C:\WINDOWS\system32\DRIVERS\parport.sys
2010/10/10 10:15:51.0859 PartMgr (3334430c29dc338092f79c38ef7b4cd0) C:\WINDOWS\system32\drivers\PartMgr.sys
2010/10/10 10:15:51.0890 ParVdm (c2bf987829099a3eaa2ca6a0a90ecb4f) C:\WINDOWS\system32\drivers\ParVdm.sys
2010/10/10 10:15:51.0937 PCI (6fb463e5b243fbd6f3d3c83f914d94fb) C:\WINDOWS\system32\DRIVERS\pci.sys
2010/10/10 10:15:51.0984 PCIIde (59ba86d9a61cbcf4df8e598c331f5b82) C:\WINDOWS\system32\DRIVERS\pciide.sys
2010/10/10 10:15:52.0031 Pcmcia (e2363f4c1daff89abee5f593e13d8a05) C:\WINDOWS\system32\drivers\Pcmcia.sys
2010/10/10 10:15:52.0265 PptpMiniport (1c5cc65aac0783c344f16353e60b72ac) C:\WINDOWS\system32\DRIVERS\raspptp.sys
2010/10/10 10:15:52.0281 Processor (3d7f196e77f986c106e9320b81a5ebbf) C:\WINDOWS\system32\DRIVERS\processr.sys
2010/10/10 10:15:52.0312 PSched (48671f327553dcf1d27f6197f622a668) C:\WINDOWS\system32\DRIVERS\psched.sys
2010/10/10 10:15:52.0343 Ptilink (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINDOWS\system32\DRIVERS\ptilink.sys
2010/10/10 10:15:52.0390 PxHelp20 (d86b4a68565e444d76457f14172c875a) C:\WINDOWS\system32\Drivers\PxHelp20.sys
2010/10/10 10:15:52.0546 RasAcd (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINDOWS\system32\DRIVERS\rasacd.sys
2010/10/10 10:15:52.0593 Rasl2tp (98faeb4a4dcf812ba1c6fca4aa3e115c) C:\WINDOWS\system32\DRIVERS\rasl2tp.sys
2010/10/10 10:15:52.0625 RasPppoe (7306eeed8895454cbed4669be9f79faa) C:\WINDOWS\system32\DRIVERS\raspppoe.sys
2010/10/10 10:15:52.0656 Raspti (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINDOWS\system32\DRIVERS\raspti.sys
2010/10/10 10:15:52.0687 Rdbss (29d66245adba878fff574cd66abd2884) C:\WINDOWS\system32\DRIVERS\rdbss.sys
2010/10/10 10:15:52.0718 RDPCDD (4912d5b403614ce99c28420f75353332) C:\WINDOWS\system32\DRIVERS\RDPCDD.sys
2010/10/10 10:15:52.0765 rdpdr (a2cae2c60bc37e0751ef9dda7ceaf4ad) C:\WINDOWS\system32\DRIVERS\rdpdr.sys
2010/10/10 10:15:52.0812 RDPWD (d4f5643d7714ef499ae9527fdcd50894) C:\WINDOWS\system32\drivers\RDPWD.sys
2010/10/10 10:15:52.0875 redbook (aa56702e230860565cb8d43680f57f33) C:\WINDOWS\system32\DRIVERS\redbook.sys
2010/10/10 10:15:52.0953 Secdrv (d26e26ea516450af9d072635c60387f4) C:\WINDOWS\system32\DRIVERS\secdrv.sys
2010/10/10 10:15:53.0000 serenum (a2d868aeeff612e70e213c451a70cafb) C:\WINDOWS\system32\DRIVERS\serenum.sys
2010/10/10 10:15:53.0031 Serial (cd5b9995afcdb466c9efc048d167e3be) C:\WINDOWS\system32\DRIVERS\serial.sys
2010/10/10 10:15:53.0062 Sfloppy (0d13b6df6e9e101013a7afb0ce629fe0) C:\WINDOWS\system32\drivers\Sfloppy.sys
2010/10/10 10:15:53.0140 SLIP (5caeed86821fa2c6139e32e9e05ccdc9) C:\WINDOWS\system32\DRIVERS\SLIP.sys
2010/10/10 10:15:53.0218 splitter (8e186b8f23295d1e42c573b82b80d548) C:\WINDOWS\system32\drivers\splitter.sys
2010/10/10 10:15:53.0265 sr (e4200cb2f418d8fc4acdd7e38c419d6a) C:\WINDOWS\system32\DRIVERS\sr.sys
2010/10/10 10:15:53.0328 Srv (20b7e396720353e4117d64d9dcb926ca) C:\WINDOWS\system32\DRIVERS\srv.sys
2010/10/10 10:15:53.0390 ssmdrv (a36ee93698802cd899f98bfd553d8185) C:\WINDOWS\system32\DRIVERS\ssmdrv.sys
2010/10/10 10:15:53.0437 streamip (284c57df5dc7abca656bc2b96a667afb) C:\WINDOWS\system32\DRIVERS\StreamIP.sys
2010/10/10 10:15:53.0453 swenum (03c1bae4766e2450219d20b993d6e046) C:\WINDOWS\system32\DRIVERS\swenum.sys
2010/10/10 10:15:53.0500 swmidi (94abc808fc4b6d7d2bbf42b85e25bb4d) C:\WINDOWS\system32\drivers\swmidi.sys
2010/10/10 10:15:53.0656 sysaudio (650ad082d46bac0e64c9c0e0928492fd) C:\WINDOWS\system32\drivers\sysaudio.sys
2010/10/10 10:15:53.0718 Tcpip (7b11118b078b88f87183fe69eda43137) C:\WINDOWS\system32\DRIVERS\tcpip.sys
2010/10/10 10:15:53.0765 TDPIPE (38d437cf2d98965f239b0abcd66dcb0f) C:\WINDOWS\system32\drivers\TDPIPE.sys
2010/10/10 10:15:53.0796 TDTCP (ed0580af02502d00ad8c4c066b156be9) C:\WINDOWS\system32\drivers\TDTCP.sys
2010/10/10 10:15:53.0828 TermDD (a540a99c281d933f3d69d55e48727f47) C:\WINDOWS\system32\DRIVERS\termdd.sys
2010/10/10 10:15:53.0921 Udfs (12f70256f140cd7d52c58c7048fde657) C:\WINDOWS\system32\drivers\Udfs.sys
2010/10/10 10:15:53.0968 ULI5261XP (ce2dd5efb0f773382376faaf9f506542) C:\WINDOWS\system32\DRIVERS\ULILAN51.SYS
2010/10/10 10:15:54.0031 Update (aff2e5045961bbc0a602bb6f95eb1345) C:\WINDOWS\system32\DRIVERS\update.sys
2010/10/10 10:15:54.0093 usbccgp (bffd9f120cc63bcbaa3d840f3eef9f79) C:\WINDOWS\system32\DRIVERS\usbccgp.sys
2010/10/10 10:15:54.0140 usbehci (15e993ba2f6946b2bfbbfcd30398621e) C:\WINDOWS\system32\DRIVERS\usbehci.sys
2010/10/10 10:15:54.0171 usbhub (c72f40947f92cea56a8fb532edf025f1) C:\WINDOWS\system32\DRIVERS\usbhub.sys
2010/10/10 10:15:54.0203 usbohci (bdfe799a8531bad8a5a985821fe78760) C:\WINDOWS\system32\DRIVERS\usbohci.sys
2010/10/10 10:15:54.0234 usbprint (a42369b7cd8886cd7c70f33da6fcbcf5) C:\WINDOWS\system32\DRIVERS\usbprint.sys
2010/10/10 10:15:54.0281 usbscan (a6bc71402f4f7dd5b77fd7f4a8ddba85) C:\WINDOWS\system32\DRIVERS\usbscan.sys
2010/10/10 10:15:54.0312 USBSTOR (6cd7b22193718f1d17a47a1cd6d37e75) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
2010/10/10 10:15:54.0375 VgaSave (8a60edd72b4ea5aea8202daf0e427925) C:\WINDOWS\System32\drivers\vga.sys
2010/10/10 10:15:54.0406 VolSnap (d6888520ff56d72a50437e371ca25fc9) C:\WINDOWS\system32\drivers\VolSnap.sys
2010/10/10 10:15:54.0453 Wanarp (984ef0b9788abf89974cfed4bfbaacbc) C:\WINDOWS\system32\DRIVERS\wanarp.sys
2010/10/10 10:15:54.0531 wdmaud (2797f33ebf50466020c430ee4f037933) C:\WINDOWS\system32\drivers\wdmaud.sys
2010/10/10 10:15:54.0625 WpdUsb (1385e5aa9c9821790d33a9563b8d2dd0) C:\WINDOWS\system32\Drivers\wpdusb.sys
2010/10/10 10:15:54.0687 WSTCODEC (d5842484f05e12121c511aa93f6439ec) C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS
2010/10/10 10:15:54.0828 ================================================================================
2010/10/10 10:15:54.0828 Scan finished
2010/10/10 10:15:54.0828 ================================================================================
2010/10/10 10:15:54.0859 Detected object count: 1
2010/10/10 10:16:56.0156 Locked file(atapi) - User select action: Skip

Chris4You 10.10.2010 18:54
Hi,

bist Du Dir sicher, dass die Datei ersetzt wurde?
Versuche mal über unlocker an den handle zu kommen, welche App die atapi.sys "locked"...
Unlocker (32 Bit) - Download - CHIP Online

chris

Chris4You 11.10.2010 11:49
Hi,

falls Du nicht weiterkommst:
Rootkit Unhooker
Downloade Dir bitte RKUnhookerLE und speichere die Datei auf deinem Desktop.
  • Deaktiviere alle Hintergrundwächter. Besonders den deiner Anti Virensoftware.
  • Starte die RKUnhookerLE.exe
  • Klicke auf den Report Tab und danach auf Scan
  • Setze ein Häckchen bei
    • Drivers
    • Stealth Code
    • Files
    • Code Hooks
    Entferne alle anderen Hacken
  • Wenn Du gefragt wirst welcher Bereich gescannt werden soll, gehe sicher das deine Systemplatte ( meistens C: ) angehackt ist.
  • Klicke OK
  • Wenn der Scan beendet wurde
    File --> Save Report
    klicken.
  • Speichere die Datei als RKU.txt auf dem Desktop.
  • Klicke Close
Hinweis:
Solltest Du folgende Warnung bekommen
Zitat:
"Rootkit Unhooker has detected a parasite inside itself! It is recommended to remove parasite, okay?"
Klicke auf OK

Cureit:
http://www.trojaner-board.de/59299-a...eb-cureit.html
Nach Beendigung des Scans findes Du das Log unter %USERPROFILE%\DoctorWeb\CureIt.log.
Bevor du irgendwelche Aktionen unternimmst, kopiere bitte den Inhalt des Logs und poste ihn.
Die Log Datei ist sehr groß, ca. über 5MB Text. Benutzt einfach die Suche nach "infiziert" und kopiert betreffende Teile heraus, bevor Du sie postet.

chris

KiLLaLeNiN 11.10.2010 19:41
Bin gerade nicht in der Rechnerreichweite. Hoffe, ich kann morgen dem Übeltäter wieder zu Leibe rücken. Melde mich dann.

KiLLaLeNiN 12.10.2010 20:09
Report RkU:


RkU Version: 3.8.388.590, Type LE (SR2)
==============================================
OS Name: Windows XP
Version 5.1.2600 (Service Pack 2)
Number of processors #1
==============================================
>Drivers
==============================================
0xBFAC2000 C:\WINDOWS\System32\ati3duag.dll 2924544 bytes (ATI Technologies Inc. , ati3duag.dll)
0xBA323000 C:\WINDOWS\system32\DRIVERS\ati2mtag.sys 2367488 bytes (ATI Technologies Inc., ATI Radeon WindowsNT Miniport Driver)
0x804D7000 C:\WINDOWS\system32\ntkrnlpa.exe 2059136 bytes (Microsoft Corporation, NT-Kernel und -System)
0x804D7000 PnpManager 2059136 bytes
0x804D7000 RAW 2059136 bytes
0x804D7000 WMIxWDM 2059136 bytes
0xBF800000 Win32k 1839104 bytes
0xBF800000 C:\WINDOWS\System32\win32k.sys 1839104 bytes (Microsoft Corporation, Mehrbenutzer-Win32-Treiber)
0xBFD8C000 C:\WINDOWS\System32\ativvaxx.dll 1515520 bytes (ATI Technologies Inc. , Radeon Video Acceleration Universal Driver)
0xBA251000 C:\WINDOWS\system32\drivers\ALCXWDM.SYS 626688 bytes (Realtek Semiconductor Corp., Realtek AC'97 Audio Driver (WDM))
0xBA5F5000 Ntfs.sys 577536 bytes (Microsoft Corporation, NT File System Driver)
0xADE50000 C:\WINDOWS\system32\DRIVERS\mrxsmb.sys 454656 bytes (Microsoft Corporation, Windows NT SMB Minirdr)
0xBA1A8000 C:\WINDOWS\system32\drivers\ALCXSENS.SYS 401408 bytes (Sensaura, Sensaura WDM 3D Audio Driver)
0xBFA18000 C:\WINDOWS\System32\ati2cqag.dll 368640 bytes (ATI Technologies Inc., Central Memory Manager / Queue Server Module)
0xADF35000 C:\WINDOWS\system32\DRIVERS\tcpip.sys 360448 bytes (Microsoft Corporation, TCP/IP Protocol Driver)
0xAB573000 C:\WINDOWS\system32\DRIVERS\srv.sys 339968 bytes (Microsoft Corporation, Server driver)
0xBFA72000 C:\WINDOWS\System32\atikvmag.dll 327680 bytes (ATI Technologies Inc., Virtual Command And Memory Manager)
0xBF9D3000 C:\WINDOWS\System32\ati2dvag.dll 282624 bytes (ATI Technologies Inc., ATI Radeon WindowsNT Display Driver)
0xAAE66000 C:\WINDOWS\System32\Drivers\HTTP.sys 266240 bytes (Microsoft Corporation, HTTP Protocol Stack)
0xBA0D0000 C:\WINDOWS\system32\DRIVERS\update.sys 212992 bytes (Microsoft Corporation, Update Driver)
0xBA104000 C:\WINDOWS\system32\DRIVERS\rdpdr.sys 200704 bytes (Microsoft Corporation, Microsoft RDP Device redirector)
0xBA750000 ACPI.sys 192512 bytes (Microsoft Corporation, ACPI-Treiber für NT)
0xAB72E000 C:\WINDOWS\system32\DRIVERS\mrxdav.sys 184320 bytes (Microsoft Corporation, Windows NT WebDav Minirdr)
0xBA5C8000 NDIS.sys 184320 bytes (Microsoft Corporation, NDIS 5.1 wrapper driver)
0xADEBF000 C:\WINDOWS\system32\DRIVERS\rdbss.sys 180224 bytes (Microsoft Corporation, Redirected Drive Buffering SubSystem Driver)
0xADD58000 C:\WINDOWS\system32\DRIVERS\atinavt2.sys 172032 bytes (ATI Technologies Inc., ATI T200 Unified AVStream Driver)
0xAAC84000 C:\WINDOWS\system32\drivers\kmixer.sys 172032 bytes (Microsoft Corporation, Kernel Mode Audio Mixer)
0xBA77F000 a347bus.sys 163840 bytes ( , Plug and Play BIOS Extension)
0xADF0D000 C:\WINDOWS\system32\DRIVERS\netbt.sys 163840 bytes (Microsoft Corporation, MBT Transport driver)
0xBA6FA000 dmio.sys 155648 bytes (Microsoft Corp., Veritas Software, E/A-Treiber für NT Datenträgerverwaltung)
0xBA22D000 C:\WINDOWS\system32\drivers\portcls.sys 147456 bytes (Microsoft Corporation, Port Class (Class Driver for Port/Miniport Devices))
0xADDC2000 C:\WINDOWS\System32\Drivers\Fastfat.SYS 143360 bytes (Microsoft Corporation, Fast FAT File System Driver)
0xBA20A000 C:\WINDOWS\system32\drivers\ks.sys 143360 bytes (Microsoft Corporation, Kernel CSA Library)
0xBA15D000 C:\WINDOWS\system32\DRIVERS\USBPORT.SYS 143360 bytes (Microsoft Corporation, USB 1.1 & 2.0 Port Driver)
0xADEEB000 C:\WINDOWS\System32\drivers\afd.sys 139264 bytes (Microsoft Corporation, Ancillary Function Driver for WinSock)
0xADDE5000 C:\WINDOWS\system32\DRIVERS\avipbb.sys 139264 bytes (Avira GmbH, Avira Driver for Security Enhancement)
0xADE2F000 C:\WINDOWS\system32\DRIVERS\ipnat.sys 135168 bytes (Microsoft Corporation, IP Network Address Translator)
0x806CE000 ACPI_HAL 131968 bytes
0x806CE000 C:\WINDOWS\system32\hal.dll 131968 bytes (Microsoft Corporation, Hardware Abstraction Layer DLL)
0xBA6AB000 fltMgr.sys 126976 bytes (Microsoft Corporation, Microsoft Filesystem Filter Manager)
0xBA720000 ftdisk.sys 126976 bytes (Microsoft Corporation, FT-Datenträgertreiber)
0xBA5AD000 Mup.sys 110592 bytes (Microsoft Corporation, Multiple UNC Provider driver)
0xBA6E2000 98304 bytes
0xADDAA000 C:\WINDOWS\System32\Drivers\dump_atapi.sys 98304 bytes
0xBA6CA000 C:\WINDOWS\System32\Drivers\SCSIPORT.SYS 98304 bytes (Microsoft Corporation, SCSI Port Driver)
0xBA682000 KSecDD.sys 94208 bytes (Microsoft Corporation, Kernel Security Support Provider Interface)
0xBA146000 C:\WINDOWS\system32\DRIVERS\ndiswan.sys 94208 bytes (Microsoft Corporation, MS PPP Framing Driver (Strong Encryption))
0xABA2B000 C:\WINDOWS\system32\DRIVERS\avgntflt.sys 86016 bytes (Avira GmbH, Avira Minifilter Driver)
0xAB32E000 C:\WINDOWS\system32\drivers\wdmaud.sys 86016 bytes (Microsoft Corporation, MMSYSTEM Wave/Midi API mapper)
0xBA2FB000 C:\WINDOWS\system32\DRIVERS\parport.sys 81920 bytes (Microsoft Corporation, Treiber für parallelen Anschluss)
0xBA30F000 C:\WINDOWS\system32\DRIVERS\VIDEOPRT.SYS 81920 bytes (Microsoft Corporation, Video Port Driver)
0xADF8D000 C:\WINDOWS\system32\DRIVERS\ipsec.sys 77824 bytes (Microsoft Corporation, IPSec Driver)
0xBF9C1000 C:\WINDOWS\System32\drivers\dxg.sys 73728 bytes (Microsoft Corporation, DirectX Graphics Driver)
0xBA699000 sr.sys 73728 bytes (Microsoft Corporation, Dateisystemfilter-Treiber der Systemwiederherstellung)
0xBA73F000 pci.sys 69632 bytes (Microsoft Corporation, NT-Plug & Play PCI-Enumerator)
0xBA135000 C:\WINDOWS\system32\DRIVERS\psched.sys 69632 bytes (Microsoft Corporation, MS QoS Packet Scheduler)
0xBA2EA000 C:\WINDOWS\system32\DRIVERS\serial.sys 69632 bytes (Microsoft Corporation, Treiber für serielle Geräte)
0xBAA88000 C:\WINDOWS\System32\Drivers\Cdfs.SYS 65536 bytes (Microsoft Corporation, CD-ROM File System Driver)
0xBA968000 C:\WINDOWS\system32\drivers\drmk.sys 61440 bytes (Microsoft Corporation, Microsoft Kernel DRM Descrambler Filter)
0xBA988000 C:\WINDOWS\system32\DRIVERS\redbook.sys 61440 bytes (Microsoft Corporation, Redbook-Audiofiltertreiber)
0xAB7EB000 C:\WINDOWS\system32\drivers\sysaudio.sys 61440 bytes (Microsoft Corporation, System Audio WDM Filter)
0xBA9F8000 C:\WINDOWS\system32\DRIVERS\usbhub.sys 61440 bytes (Microsoft Corporation, Default Hub Driver for USB)
0xBA8C8000 VolSnap.sys 57344 bytes (Microsoft Corporation, Volumeschattenkopie-Treiber)
0xBA978000 C:\WINDOWS\system32\DRIVERS\cdrom.sys 53248 bytes (Microsoft Corporation, SCSI CD-ROM Driver)
0xBA8E8000 C:\WINDOWS\system32\DRIVERS\CLASSPNP.SYS 53248 bytes (Microsoft Corporation, SCSI Class System Dll)
0xBA958000 C:\WINDOWS\system32\DRIVERS\i8042prt.sys 53248 bytes (Microsoft Corporation, i8042-Anschlusstreiber)
0xBA9A8000 C:\WINDOWS\system32\DRIVERS\rasl2tp.sys 53248 bytes (Microsoft Corporation, RAS L2TP mini-port/call-manager driver)
0xBA9C8000 C:\WINDOWS\system32\DRIVERS\raspptp.sys 49152 bytes (Microsoft Corporation, Peer-to-Peer Tunneling Protocol)
0xBA998000 C:\WINDOWS\system32\DRIVERS\imapi.sys 45056 bytes (Microsoft Corporation, IMAPI Kernel Driver)
0xBA8B8000 MountMgr.sys 45056 bytes (Microsoft Corporation, Mount Manager)
0xBA9B8000 C:\WINDOWS\system32\DRIVERS\raspppoe.sys 45056 bytes (Microsoft Corporation, RAS PPPoE mini-port/call-manager driver)
0xBAA08000 C:\WINDOWS\System32\Drivers\NDProxy.SYS 40960 bytes (Microsoft Corporation, NDIS Proxy)
0xBA948000 C:\WINDOWS\system32\DRIVERS\processr.sys 40960 bytes (Microsoft Corporation, Prozessorgerätetreiber)
0xBA9E8000 C:\WINDOWS\system32\DRIVERS\termdd.sys 40960 bytes (Microsoft Corporation, Terminal Server Driver)
0xBA8D8000 disk.sys 36864 bytes (Microsoft Corporation, PnP Disk Driver)
0xBAA48000 C:\WINDOWS\System32\Drivers\Fips.SYS 36864 bytes (Microsoft Corporation, FIPS-Verschlüsselungstreiber)
0xBAA78000 C:\WINDOWS\system32\DRIVERS\HIDCLASS.SYS 36864 bytes (Microsoft Corporation, Hid Class Library)
0xBA8A8000 isapnp.sys 36864 bytes (Microsoft Corporation, PNP-ISA-Bustreiber)
0xBA9D8000 C:\WINDOWS\system32\DRIVERS\msgpc.sys 36864 bytes (Microsoft Corporation, MS General Packet Classifier)
0xBAA38000 C:\WINDOWS\system32\DRIVERS\netbios.sys 36864 bytes (Microsoft Corporation, NetBIOS interface driver)
0xAB473000 C:\WINDOWS\System32\Drivers\Normandy.SYS 36864 bytes (RKU Driver)
0xBA8F8000 PxHelp20.sys 36864 bytes (Sonic Solutions, Px Engine Device Driver for Windows 2000/XP)
0xBAA58000 C:\WINDOWS\system32\DRIVERS\wanarp.sys 36864 bytes (Microsoft Corporation, MS Remote Access and Routing ARP Driver)
0xBABD8000 C:\WINDOWS\System32\Drivers\Npfs.SYS 32768 bytes (Microsoft Corporation, NPFS Driver)
0xBABC0000 C:\WINDOWS\system32\DRIVERS\HIDPARSE.SYS 28672 bytes (Microsoft Corporation, Hid Parsing Library)
0xBAB70000 C:\WINDOWS\system32\DRIVERS\kbdclass.sys 28672 bytes (Microsoft Corporation, Tastaturklassentreiber)
0xBAB28000 C:\WINDOWS\system32\DRIVERS\PCIIDEX.SYS 28672 bytes (Microsoft Corporation, PCI IDE Bus Driver Extension)
0xBAB78000 C:\WINDOWS\system32\DRIVERS\ULILAN51.SYS 28672 bytes (ULi Electronics Inc., Driver for ULi PCI Fast Ethernet Controller)
0xBAB88000 C:\WINDOWS\system32\DRIVERS\usbehci.sys 28672 bytes (Microsoft Corporation, EHCI eUSB Miniport Driver)
0xBAC00000 C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS 28672 bytes (Microsoft Corporation, USB Mass Storage Class Driver)
0xBABA8000 C:\WINDOWS\system32\DRIVERS\mouclass.sys 24576 bytes (Microsoft Corporation, Mausklassentreiber)
0xBABC8000 C:\WINDOWS\System32\drivers\vga.sys 24576 bytes (Microsoft Corporation, VGA/Super VGA Video Driver)
0xBABD0000 C:\WINDOWS\System32\Drivers\Msfs.SYS 20480 bytes (Microsoft Corporation, Mailslot driver)
0xBAB30000 PartMgr.sys 20480 bytes (Microsoft Corporation, Partition Manager)
0xBAB98000 C:\WINDOWS\system32\DRIVERS\ptilink.sys 20480 bytes (Parallel Technologies, Inc., Parallel Technologies DirectParallel IO Library)
0xBABA0000 C:\WINDOWS\system32\DRIVERS\raspti.sys 20480 bytes (Microsoft Corporation, PTI DirectParallel(R) mini-port/call-manager driver)
0xBAB90000 C:\WINDOWS\system32\DRIVERS\TDI.SYS 20480 bytes (Microsoft Corporation, TDI Wrapper)
0xBAB80000 C:\WINDOWS\system32\DRIVERS\usbohci.sys 20480 bytes (Microsoft Corporation, OHCI USB Miniport Driver)
0xBAC08000 C:\WINDOWS\System32\watchdog.sys 20480 bytes (Microsoft Corporation, Watchdog Driver)
0xBAD80000 C:\WINDOWS\system32\DRIVERS\mssmbios.sys 16384 bytes (Microsoft Corporation, System Management BIOS Driver)
0xABA54000 C:\WINDOWS\system32\DRIVERS\ndisuio.sys 16384 bytes (Microsoft Corporation, NDIS User mode I/O Driver)
0xBAD58000 C:\WINDOWS\system32\DRIVERS\serenum.sys 16384 bytes (Microsoft Corporation, Serial Port Enumerator)
0xADFE4000 C:\WINDOWS\system32\DRIVERS\BdaSup.SYS 12288 bytes (Microsoft Corporation, Microsoft BDA Driver Support Library)
0xBACB8000 C:\WINDOWS\system32\BOOTVID.dll 12288 bytes (Microsoft Corporation, VGA Boot Driver)
0xBA0B0000 C:\WINDOWS\System32\drivers\Dxapi.sys 12288 bytes (Microsoft Corporation, DirectX API Driver)
0xBAD54000 C:\WINDOWS\system32\DRIVERS\gameenum.sys 12288 bytes (Microsoft Corporation, Game Port Enumerator)
0xBA0CC000 C:\WINDOWS\system32\DRIVERS\hidusb.sys 12288 bytes (Microsoft Corporation, USB Miniport Driver for Input Devices)
0xBA0C8000 C:\WINDOWS\system32\DRIVERS\mouhid.sys 12288 bytes (Microsoft Corporation, HID-Mausfiltertreiber)
0xBAD64000 C:\WINDOWS\system32\DRIVERS\ndistapi.sys 12288 bytes (Microsoft Corporation, NDIS 3.0 connection wrapper driver)
0xBA56D000 C:\WINDOWS\system32\DRIVERS\rasacd.sys 12288 bytes (Microsoft Corporation, RAS Automatic Connection Driver)
0xBADB0000 a347scsi.sys 8192 bytes ( , SCSI miniport)
0xBADAC000 aliide.sys 8192 bytes (Acer Laboratories Inc., ALi mini IDE Driver)
0xBADC2000 C:\Programme\Avira\AntiVir Desktop\avgio.sys 8192 bytes (Avira GmbH, Avira AntiVir Support for Minifilter)
0xBADBA000 C:\WINDOWS\System32\Drivers\Beep.SYS 8192 bytes (Microsoft Corporation, BEEP Driver)
0xBADAE000 dmload.sys 8192 bytes (Microsoft Corp., Veritas Software., NT Disk Manager Startup Driver)
0xBADC6000 C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS 8192 bytes
0xBADB8000 C:\WINDOWS\System32\Drivers\Fs_Rec.SYS 8192 bytes (Microsoft Corporation, File System Recognizer Driver)
0xBADA8000 C:\WINDOWS\system32\KDCOM.DLL 8192 bytes (Microsoft Corporation, Kernel Debugger HW Extension DLL)
0xBADBC000 C:\WINDOWS\System32\Drivers\mnmdd.SYS 8192 bytes (Microsoft Corporation, Frame buffer simulator)
0xBADEC000 C:\WINDOWS\System32\Drivers\ParVdm.SYS 8192 bytes (Microsoft Corporation, VDM-Paralleltreiber)
0xBADBE000 C:\WINDOWS\System32\DRIVERS\RDPCDD.sys 8192 bytes (Microsoft Corporation, RDP Miniport)
0xBADB4000 C:\WINDOWS\system32\DRIVERS\swenum.sys 8192 bytes (Microsoft Corporation, Plug and Play Software Device Enumerator)
0xBADB6000 C:\WINDOWS\system32\DRIVERS\USBD.SYS 8192 bytes (Microsoft Corporation, Universal Serial Bus Driver)
0xBADAA000 C:\WINDOWS\system32\DRIVERS\WMILIB.SYS 8192 bytes (Microsoft Corporation, WMILIB WMI support library Dll)
0xBAF70000 C:\WINDOWS\system32\DRIVERS\audstub.sys 4096 bytes (Microsoft Corporation, AudStub Driver)
0xBAE9A000 C:\WINDOWS\System32\drivers\dxgthk.sys 4096 bytes (Microsoft Corporation, DirectX Graphics Driver Thunk)
0xBAFAF000 C:\WINDOWS\System32\Drivers\Null.SYS 4096 bytes (Microsoft Corporation, NULL Driver)
0xBAE70000 pciide.sys 4096 bytes (Microsoft Corporation, Allgemeiner PCI IDE Bustreiber)
0x8AA3E030 unknown_irp_handler 4048 bytes
0x8A9C4178 unknown_irp_handler 3720 bytes
0x8A986218 unknown_irp_handler 3560 bytes
0x8A9CC3E8 unknown_irp_handler 3096 bytes
0x8AA27640 unknown_irp_handler 2496 bytes
0x8ABEF798 unknown_irp_handler 2152 bytes
0x8A993858 unknown_irp_handler 1960 bytes
0x8A976890 unknown_irp_handler 1904 bytes
0x89FE28E0 unknown_irp_handler 1824 bytes
0x8A9A29B0 unknown_irp_handler 1616 bytes
0x8A79FCB0 unknown_irp_handler 848 bytes
0x8A994E88 unknown_irp_handler 376 bytes
==============================================
>Stealth
==============================================
WARNING: File locked for read access [C:\WINDOWS\system32\drivers\atapi.sys]
0x00E10000 Hidden Image-->System.Runtime.Remoting.dll [ EPROCESS 0x89AE9BC0 ] PID: 2052, 307200 bytes
0x00E60000 Hidden Image-->System.configuration.dll [ EPROCESS 0x89AE9BC0 ] PID: 2052, 438272 bytes
0x03990000 Hidden Image-->System.Web.dll [ EPROCESS 0x89AE9BC0 ] PID: 2052, 5246976 bytes
0x00D20000 Hidden Image-->Microsoft.VisualBasic.dll [ EPROCESS 0x89AE9BC0 ] PID: 2052, 675840 bytes
==============================================
>Files
==============================================
!-->[Hidden] C:\WINDOWS\system32\oodag\4BC7013D1A584DAC670C124C233842A1\01CB6A4EE695A030\4D15ABD90EF665EEB9315D1E63253187.id
!-->[Hidden] C:\WINDOWS\system32\oodag\4BC7013D1A584DAC670C124C233842A1\01CB6A4EE695A030\Job.Job
==============================================
>Hooks
==============================================
IDT-->Int 92h-->Unexpected Interrupt, Type: IDT modification[8A976DD4] [unknown_irp_handler]
ntkrnlpa.exe+0x0002A094, Type: Inline - RelativeJump 0x80501094-->80501056 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A0D4, Type: Inline - RelativeJump 0x805010D4-->805010F8 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A0E4, Type: Inline - RelativeJump 0x805010E4-->805010A6 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A12C, Type: Inline - RelativeJump 0x8050112C-->80501150 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A14C, Type: Inline - RelativeJump 0x8050114C-->8050110E [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A154, Type: Inline - RelativeJump 0x80501154-->80501116 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A20C, Type: Inline - PushRet 0x8050120C-->C064BA78 [unknown_code_page]
ntkrnlpa.exe+0x0002A20E, Type: Inline - RelativeJump 0x8050120E-->805011CE [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A2F4, Type: Inline - RelativeJump 0x805012F4-->805012CA [ntkrnlpa.exe]
ntkrnlpa.exe+0x00069C2A, Type: Inline - RelativeJump 0x80540C2A-->80540C31 [ntkrnlpa.exe]
[4040]firefox.exe-->ntdll.dll-->LdrLoadDll, Type: Inline - RelativeJump 0x7C9261CA-->00000000 [firefox.exe]

Report Ende

Vielen Dank und wie gehts nun weiter?!

Chris4You 13.10.2010 07:43
Hi,

gleiches Bild... ein Ami hatte damit erfolg:

Defogger
Downloade Dir bitte defogger von jpshortstuff auf Deinem Desktop.
  • Starte das Tool mit Doppelklick. Vista User: Bitte mit Rechtsklick "als Administrator starten".
  • Klicke nun auf den Disable Button um die Treiber gewisser Emulatoren zu deaktivieren.
  • Wenn der Scan beendet wurde ( Finished ), klicke auf OK.
  • Defogger fordert nun zum Neustart auf. Bestätige dies mit OK.
  • DeFogger erstellt nun ein Logfile auf dem Desktop (defogger_disable).
Poste bitte den Inhalt der Logfile ...
und dann direkt nach dem Reboot noch mal den TDSSKiller...
und dann
starte bitte defogger erneut und klicke den Re-enable Button.


Eine franz. Lösung habe ich auch noch, die muss ich mir aber erst übersetzen lassen (kann die sprache nicht ;o)....
Du?

chris

KiLLaLeNiN 15.10.2010 08:47
Hi,

ok, hab alles ausgeführt wie beschrieben. Inhalt der Log-File ist folgender:

defogger_disable by jpshortstuff (23.02.10.1)
Log created at 09:42 on 15/10/2010 (billistdoof)

Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.

Checking for services/drivers...
a347bus -> Disabled (Service running -> reboot required)
a347scsi -> Disabled (Service running -> reboot required)
Unable to read atapi.sys


-=E.O.F=-

TDSS-Killer reportet "no threats".

Ist die Log-File nich ein bisserl klein?

Thx!

PS: Frz. ist auch nicht meine Stärke ;o)

Chris4You 15.10.2010 09:54
Hi,

d.h. der Killer meldet kein Lock mehr auf die atapi.sys?
Dann lass bitte mal die beiden Dateien die der Defogger disabled hat bei virustotal. com prüfen und poste bei Fund das Ergebnis...
a347bus.sys
a347scs.sys
Wenn keine Funde da sind, wieder über den Defogger enablen lassen und noch mal den TdssKiller laufen lassen.

Falls dann wieder gelockt, hätten wir den Übeltäter...

Sind sonst noch Auffällichkeiten beim PC zu bemerken?

chris

KiLLaLeNiN 15.10.2010 11:51
Danke für deine schnellen Antworten, werde die Dateien checken lassen.


Sonstige Auffälligkeiten:

Nach dem booten ist Antivir eine Weile deaktiviert und auch die Windowsfirewall ist down. Nach ca. 2 min ist beides aktiv. Wenn man versucht, in der Anfangsphase die Windowsfirewall aufzurufen (via Systemsteuerung), dann kommt etwas in der Art: "Wegen eines unbekannten Fehlers kann der Status nicht überprüft werden."

Diese Startverzögerung ist doch nicht normal oder? Und in dieser Zeit ist das System doch ungeschützt oder? :pfui:

KiLLaLeNiN 15.10.2010 19:44
Hi,

habe direkt nach dem Hochfahren und vor der Prüfung bei virustotal.com nochmal den TDSS-Killer laufen lassen - und siehe da, er meldet die atapi.sys wieder. Hab den defogger nochmal wie oben beschrieben ausgeführt und nun wird sie nicht mehr vom TDSS-Killer gefunden. Habe den defogger daraufhin nicht wieder re-enabled. Ist das richtig so?

virustotal.com meldet folgendes für

a347bus

a347bus.sys
Submission date:
2010-10-15 18:32:54 (UTC)
Current status:
queued queued analysing finished
Result:
0/ 43 (0.0%)

VT Community

not reviewed
Safety score: -
Compact
Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.10.15.00 2010.10.15 -
AntiVir 7.10.12.229 2010.10.15 -
Antiy-AVL 2.0.3.7 2010.10.15 -
Authentium 5.2.0.5 2010.10.15 -
Avast 4.8.1351.0 2010.10.15 -
Avast5 5.0.594.0 2010.10.15 -
AVG 9.0.0.851 2010.10.15 -
BitDefender 7.2 2010.10.15 -
CAT-QuickHeal 11.00 2010.10.15 -
ClamAV 0.96.2.0-git 2010.10.15 -
Comodo 6402 2010.10.15 -
DrWeb 5.0.2.03300 2010.10.15 -
Emsisoft 5.0.0.50 2010.10.15 -
eSafe 7.0.17.0 2010.10.14 -
eTrust-Vet 36.1.7913 2010.10.15 -
F-Prot 4.6.2.117 2010.10.15 -
F-Secure 9.0.16160.0 2010.10.15 -
Fortinet 4.2.249.0 2010.10.14 -
GData 21 2010.10.15 -
Ikarus T3.1.1.90.0 2010.10.15 -
Jiangmin 13.0.900 2010.10.15 -
K7AntiVirus 9.66.2760 2010.10.15 -
Kaspersky 7.0.0.125 2010.10.15 -
McAfee 5.400.0.1158 2010.10.15 -
McAfee-GW-Edition 2010.1C 2010.10.15 -
Microsoft 1.6201 2010.10.15 -
NOD32 5535 2010.10.15 -
Norman 6.06.07 2010.10.15 -
nProtect 2010-10-15.01 2010.10.15 -
Panda 10.0.2.7 2010.10.15 -
PCTools 7.0.3.5 2010.10.15 -
Prevx 3.0 2010.10.15 -
Rising 22.69.04.03 2010.10.15 -
Sophos 4.58.0 2010.10.15 -
Sunbelt 7066 2010.10.15 -
SUPERAntiSpyware 4.40.0.1006 2010.10.15 -
Symantec 20101.2.0.161 2010.10.15 -
TheHacker 6.7.0.1.057 2010.10.15 -
TrendMicro 9.120.0.1004 2010.10.15 -
TrendMicro-HouseCall 9.120.0.1004 2010.10.15 -
VBA32 3.12.14.1 2010.10.15 -
ViRobot 2010.9.25.4060 2010.10.15 -
VirusBuster 12.69.1.0 2010.10.15 -
Additional information
Show all
MD5 : 1f61cacacb521215f39061789147968c
SHA1 : 7fb4a4e095e149067131fbf8b0522b74a0ed7c49
SHA256: efbcbd984027b432f6f8b8969f13cea3361c42c7843410d526f899588cb762b1
ssdeep: 3072:1kLJF8rVEZHiR5EnvoT0f3qAO0G6DnyWGn58lzwe9eP5x0h2PQlEJGasl:1kLJ7HibioTM
VCWxGnab9c0UP5J6l
File size : 160640 bytes
First seen: 2009-02-14 15:01:14
Last seen : 2010-10-15 18:32:54
TrID:
Win64 Executable Generic (87.2%)
Win32 Executable Generic (8.6%)
Generic Win/DOS Executable (2.0%)
DOS Executable Generic (2.0%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
sigcheck:
publisher....:
copyright....: Copyright (C) 2002-2004
product......:
description..: Plug and Play BIOS Extension
original name:
internal name:
file version.: 3.47.0.0 built by: WinDDK
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0x20EA3
timedatestamp....: 0x4091F40D (Fri Apr 30 06:37:01 2004)
machinetype......: 0x14c (I386)

[[ 7 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x300, 0x17921, 0x17980, 6.71, 93b8626fb3e8bbf3d0bae65f36df5bb1
.rdata, 0x17C80, 0x2D0, 0x300, 4.78, f965431b6ec48a361d4ff9970b8df2c4
.data, 0x17F80, 0x4B1C, 0x4B80, 6.10, 9cf046b5e79cd867417e9ba928250d0d
PAGE, 0x1CB00, 0x4329, 0x4380, 6.56, 0977ff763a24df8c205a603e71fb0372
INIT, 0x20E80, 0x4624, 0x4680, 6.75, c206d0fc7ef8f2196d348a8fc9e468af
.rsrc, 0x25500, 0x318, 0x380, 2.96, 339b644db0622cda3a70bc9a546fb1c8
.reloc, 0x25880, 0x1AD0, 0x1B00, 6.62, 0be369bd1366445a6e544605911c9539

[[ 2 import(s) ]]
ntoskrnl.exe: RtlAnsiStringToUnicodeString, RtlUnicodeStringToAnsiString, RtlAppendUnicodeStringToString, ZwClose, ZwCreateKey, ZwOpenKey, IofCompleteRequest, KeClearEvent, IofCallDriver, ObfReferenceObject, IoRegisterShutdownNotification, IoDeleteDevice, IoDeleteSymbolicLink, IoCreateSymbolicLink, IoCreateDevice, ZwQueryValueKey, RtlInitAnsiString, RtlCopyUnicodeString, RtlCompareMemory, RtlEqualUnicodeString, RtlInitUnicodeString, KeLeaveCriticalRegion, KeEnterCriticalRegion, IoAttachDeviceToDeviceStack, KeInitializeEvent, KeWaitForSingleObject, IoDetachDevice, RtlWriteRegistryValue, RtlDeleteRegistryValue, swprintf, ObfDereferenceObject, IoBuildSynchronousFsdRequest, KeSynchronizeExecution, _wcsnicmp, MmIsAddressValid, MmProbeAndLockPages, ZwQuerySystemInformation, KeGetCurrentThread, ObReferenceObjectByHandle, ExGetPreviousMode, _strnicmp, _stricmp, IoDriverObjectType, IoWriteErrorLogEntry, RtlFreeUnicodeString, IoGetAttachedDevice, MmMapLockedPages, ExInitializeNPagedLookasideList, ExDeleteNPagedLookasideList, KeCancelTimer, KeSetTimer, KefReleaseSpinLockFromDpcLevel, KefAcquireSpinLockAtDpcLevel, IoFreeMdl, MmUnlockPages, IoAllocateIrp, MmBuildMdlForNonPagedPool, IoAllocateMdl, _alldiv, IoBuildDeviceIoControlRequest, IoGetDeviceObjectPointer, KeResetEvent, ZwSetValueKey, wcslen, KeDelayExecutionThread, IoFreeIrp, ExReleaseResourceLite, ExAcquireResourceExclusiveLite, KeInitializeDpc, ExfInterlockedRemoveHeadList, KeReleaseSemaphore, ExfInterlockedInsertTailList, _allmul, _allshr, memmove, ExDeleteResourceLite, PsGetVersion, KeInitializeSpinLock, RtlQueryRegistryValues, ExInitializeResourceLite, IoGetConfigurationInformation, _allrem, MmUnmapIoSpace, MmMapIoSpace, RtlFreeAnsiString, strstr, KeInitializeSemaphore, KeInitializeTimer, RtlUnwind, strncpy, sprintf, KeSetEvent, ExFreePool, ExAllocatePoolWithTag, IoReleaseCancelSpinLock, IoAcquireCancelSpinLock, IoAllocateErrorLogEntry, PsGetCurrentProcessId
HAL.dll: KfReleaseSpinLock, KeStallExecutionProcessor, KeQueryPerformanceCounter, KfRaiseIrql, KfLowerIrql, ExAcquireFastMutex, ExReleaseFastMutex, KfAcquireSpinLock

a347scsi

File name:
a347scsi.sys
Submission date:
2010-10-15 18:41:55 (UTC)
Current status:
queued (#4) queued (#4) analysing finished
Result:
0/ 43 (0.0%)

VT Community

not reviewed
Safety score: -
Compact
Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.10.15.00 2010.10.15 -
AntiVir 7.10.12.229 2010.10.15 -
Antiy-AVL 2.0.3.7 2010.10.15 -
Authentium 5.2.0.5 2010.10.15 -
Avast 4.8.1351.0 2010.10.15 -
Avast5 5.0.594.0 2010.10.15 -
AVG 9.0.0.851 2010.10.15 -
BitDefender 7.2 2010.10.15 -
CAT-QuickHeal 11.00 2010.10.15 -
ClamAV 0.96.2.0-git 2010.10.15 -
Comodo 6402 2010.10.15 -
DrWeb 5.0.2.03300 2010.10.15 -
Emsisoft 5.0.0.50 2010.10.15 -
eSafe 7.0.17.0 2010.10.14 -
eTrust-Vet 36.1.7913 2010.10.15 -
F-Prot 4.6.2.117 2010.10.15 -
F-Secure 9.0.16160.0 2010.10.15 -
Fortinet 4.2.249.0 2010.10.14 -
GData 21 2010.10.15 -
Ikarus T3.1.1.90.0 2010.10.15 -
Jiangmin 13.0.900 2010.10.15 -
K7AntiVirus 9.66.2760 2010.10.15 -
Kaspersky 7.0.0.125 2010.10.15 -
McAfee 5.400.0.1158 2010.10.15 -
McAfee-GW-Edition 2010.1C 2010.10.15 -
Microsoft 1.6201 2010.10.15 -
NOD32 5535 2010.10.15 -
Norman 6.06.07 2010.10.15 -
nProtect 2010-10-15.01 2010.10.15 -
Panda 10.0.2.7 2010.10.15 -
PCTools 7.0.3.5 2010.10.15 -
Prevx 3.0 2010.10.15 -
Rising 22.69.04.03 2010.10.15 -
Sophos 4.58.0 2010.10.15 -
Sunbelt 7066 2010.10.15 -
SUPERAntiSpyware 4.40.0.1006 2010.10.15 -
Symantec 20101.2.0.161 2010.10.15 -
TheHacker 6.7.0.1.057 2010.10.15 -
TrendMicro 9.120.0.1004 2010.10.15 -
TrendMicro-HouseCall 9.120.0.1004 2010.10.15 -
VBA32 3.12.14.1 2010.10.15 -
ViRobot 2010.9.25.4060 2010.10.15 -
VirusBuster 12.69.1.0 2010.10.15 -
Additional information
Show all
MD5 : 113e4b318bbaa7483ca4e582a4d63f49
SHA1 : f313639ffca1add416c2a79182f9c009d8121653
SHA256: 049b3963306cbf351a1a864779e89b67404c8629d816c5a3ac3a18c48706953c
ssdeep: 96:jQubCInNuDvIRu3+1/ix/aEzsmgJVyyzcTVu6GiEFj:91NuzIRu3Nx/sJAyUPcj
File size : 5248 bytes
First seen: 2008-01-07 15:01:45
Last seen : 2010-10-15 18:41:55
TrID:
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
sigcheck:
publisher....:
copyright....: Copyright (C) 2002-2004
product......:
description..: SCSI miniport
original name:
internal name:
file version.: 3.47.0.0 built by: WinDDK
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0xC00
timedatestamp....: 0x4091F31A (Fri Apr 30 06:32:58 2004)
machinetype......: 0x14c (I386)

[[ 6 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x300, 0x6DA, 0x700, 6.18, 2e3ca1dc2ed74699c2902e92d071650d
.rdata, 0xA00, 0xA0, 0x100, 2.65, 75d14a4cf2e897f4d36d3e8dbbe8790c
.data, 0xB00, 0xA8, 0x100, 0.32, f5c844d1e48cd5b745a6c4938887fcc8
INIT, 0xC00, 0x3FE, 0x400, 5.69, a999d7cf5ec878e43f00e0b4ca0cd99e
.rsrc, 0x1000, 0x2F8, 0x300, 3.19, 02124b3421246dc82de75d265aa416bb
.reloc, 0x1300, 0x10E, 0x180, 4.21, acbd5c278608570f075b42e0317db19b

[[ 3 import(s) ]]
ntoskrnl.exe: IoBuildDeviceIoControlRequest, KeInitializeEvent, ObfReferenceObject, IoGetDeviceObjectPointer, IofCallDriver, RtlInitAnsiString, IoBuildSynchronousFsdRequest, PsGetVersion, KeInitializeSpinLock, KeWaitForSingleObject, ObfDereferenceObject, IoAllocateErrorLogEntry, IoWriteErrorLogEntry, ExFreePool, RtlAnsiStringToUnicodeString, ExAllocatePoolWithTag
HAL.dll: KfAcquireSpinLock, KfReleaseSpinLock
SCSIPORT.SYS: ScsiPortNotification, ScsiPortGetLogicalUnit, ScsiPortInitialize

Vielen Dank!

Chris4You 15.10.2010 20:25
Hi,

darauf kann ich mir noch keinen Reim machen....
Bezüglich Avira. Muss mal nachschauen, aber früher gab es eine Option um Avira bereits beim Systemstart zu laden, das dauert dann halt länger (dann werden alle Treiber etc. beim Laden gescannt)...

chris

KiLLaLeNiN 19.10.2010 08:16
Hi,

also seit ich die beiden durch den defogger geblockten Dateien (die ich auch bei virustotal.com habe prüfen lassen) nicht wieder re-enabled habe, meldet der TDSS-Killer keine threats mehr.

die startverzögerung von avira beim systemstart sowie die sache mit der firewall treten allerdings immer noch auf.

was kann ich denn nun tun? gibts da eine lösung? will diesen sch*** trojaner samt rootkit schnellstmöglich loswerden, is ja klar ...

anyway, vielen dank schonmal :dankeschoen:

Chris4You 19.10.2010 09:27
Hi,

das Rootkir sollte ebenso wie der Trojaner elemeniert sein, hast du diesbezüglich noch Meldungen?

Das Avira langsam startet kann mehrer Gründe hben...

Prüfe mal ob die Rootkitsuche aktiviert ist:
Antivir Konfiguration aufrufen
Expertenmodus, Scanner, Suche und dort "Rootkit-Suche bei Systemstart" deaktivieren!

Die Bindung der Netzwerkkarte an TCP/IP mal aufheben:
XP
Lösung: Startmenü->Verbinden mit->Alle Verbindungen->Eigenschaften von LAN->TCP/IP deaktivieren.

chris

KiLLaLeNiN 25.10.2010 19:38
Hi Chris,

habe die Rootkitsuche deaktiviert (hieß allerdings "Rootkitsuche bei Suchstart" nicht "... bei Systemstart" - war das trotzdem das richtige?!) und beim nächsten Hochfahren war Antivir sofort da mit geöffnetem Regenschirm. Werde das aber erstmal weiter beobachten, ob es auch so bleibt...

Habe gleichzeitig das TCP/IP deaktiviert. Die Firewall hat fast 3 Minuten gebraucht, bis ich darauf zugreifen konnte und sie als aktiv angezeigt wurde :pfui:

Bezüglich des Rootkits und des Trojaners:

TDSS zeigt auch weiterhin keine threats mehr an. Heißt das, dass jetzt alles wieder ok ist und ich das Internet ohne Bedenken nutzen kann?!

Grüße,

killalenin

Chris4You 26.10.2010 07:21
Hi,

sollte soweit ok sein...

chris

KiLLaLeNiN 26.10.2010 19:18
Hi,

danke! Habe leider jetzt ein neues Problem. Hab heute nochmal einen Systemcheck mit Avira gemacht und da hat es einen neuen Fund angezeigt:



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Dienstag, 26. Oktober 2010 18:44

Es wird nach 2970784 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 2) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : ROMAN

Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 07:56:58
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 07:57:01
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 07:57:08
VBASE008.VDF : 7.10.11.133 3454464 Bytes 13.09.2010 07:57:13
VBASE009.VDF : 7.10.11.134 2048 Bytes 13.09.2010 07:57:13
VBASE010.VDF : 7.10.11.135 2048 Bytes 13.09.2010 07:57:13
VBASE011.VDF : 7.10.11.136 2048 Bytes 13.09.2010 07:57:13
VBASE012.VDF : 7.10.11.137 2048 Bytes 13.09.2010 07:57:13
VBASE013.VDF : 7.10.11.165 172032 Bytes 15.09.2010 07:57:13
VBASE014.VDF : 7.10.11.202 144384 Bytes 18.09.2010 07:57:14
VBASE015.VDF : 7.10.11.231 129024 Bytes 21.09.2010 07:57:14
VBASE016.VDF : 7.10.12.4 126464 Bytes 23.09.2010 07:57:14
VBASE017.VDF : 7.10.12.38 146944 Bytes 27.09.2010 07:57:14
VBASE018.VDF : 7.10.12.64 133120 Bytes 29.09.2010 07:57:15
VBASE019.VDF : 7.10.12.99 134144 Bytes 01.10.2010 07:57:15
VBASE020.VDF : 7.10.12.122 131584 Bytes 05.10.2010 07:57:15
VBASE021.VDF : 7.10.12.148 119296 Bytes 07.10.2010 07:57:15
VBASE022.VDF : 7.10.12.175 142848 Bytes 11.10.2010 07:36:55
VBASE023.VDF : 7.10.12.198 131584 Bytes 13.10.2010 07:36:56
VBASE024.VDF : 7.10.12.216 133120 Bytes 14.10.2010 07:36:56
VBASE025.VDF : 7.10.12.238 137728 Bytes 18.10.2010 07:11:53
VBASE026.VDF : 7.10.12.254 129536 Bytes 20.10.2010 07:46:33
VBASE027.VDF : 7.10.13.22 137728 Bytes 22.10.2010 07:46:33
VBASE028.VDF : 7.10.13.23 2048 Bytes 22.10.2010 07:46:33
VBASE029.VDF : 7.10.13.24 2048 Bytes 22.10.2010 07:46:33
VBASE030.VDF : 7.10.13.25 2048 Bytes 22.10.2010 07:46:33
VBASE031.VDF : 7.10.13.37 123392 Bytes 25.10.2010 18:24:51
Engineversion : 8.2.4.84
AEVDF.DLL : 8.1.2.1 106868 Bytes 09.10.2010 07:57:22
AESCRIPT.DLL : 8.1.3.45 1368443 Bytes 09.10.2010 07:57:21
AESCN.DLL : 8.1.6.1 127347 Bytes 09.10.2010 07:57:21
AESBX.DLL : 8.1.3.1 254324 Bytes 09.10.2010 07:57:22
AERDL.DLL : 8.1.9.2 635252 Bytes 09.10.2010 07:57:21
AEPACK.DLL : 8.2.3.11 471416 Bytes 15.10.2010 07:37:00
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 09.10.2010 07:57:20
AEHEUR.DLL : 8.1.2.36 2974072 Bytes 24.10.2010 07:46:35
AEHELP.DLL : 8.1.14.0 246134 Bytes 15.10.2010 07:36:57
AEGEN.DLL : 8.1.3.23 401779 Bytes 09.10.2010 07:57:17
AEEMU.DLL : 8.1.2.0 393588 Bytes 09.10.2010 07:57:17
AECORE.DLL : 8.1.17.0 196982 Bytes 09.10.2010 07:57:17
AEBB.DLL : 8.1.1.0 53618 Bytes 09.10.2010 07:57:16
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, E:, F:, I:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Dienstag, 26. Oktober 2010 18:44

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\System\oodefrag08.00.00.01workstation
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '71' Modul(e) wurden durchsucht
Durchsuche Prozess 'wscntfy.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'UpdateChecker.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '81' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '15' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlbrowser.exe' - '16' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'oodag.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlservr.exe' - '56' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '88' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'aavus.exe' - '13' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '52' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '154' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '11' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'E:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'F:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'I:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '382' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <XPsystem>
C:\Dokumente und Einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\Temp\{7D0E7632-2035-476E-AF7D-2283EFDF1F8A}
[WARNUNG] Die Datei konnte nicht gelesen werden!
C:\System Volume Information\_restore{11108D33-BED3-4E67-84EF-5842B9AE37FD}\RP529\A0112066.exe
[FUND] Ist das Trojanische Pferd TR/Kazy.345
Beginne mit der Suche in 'D:\' <Programme>
Beginne mit der Suche in 'E:\' <Daten>
Beginne mit der Suche in 'F:\' <Spiele>
F:\Age of Empires 2\Extras\crack\MYTAECO1-MS Zone-\MYTAECO1-MS Zone-.ZIP
[0] Archivtyp: ZIP
--> MYTAECO1.ACE
[1] Archivtyp: ACE
--> age2_x1.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> data\empires2_x1_p1.dat
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> data\gamedata_x1_p1.drs
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> language_x1_p1.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Canals_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Capricious_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Dingos_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Graveyards_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Metropolis_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Moats_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@ParadiseIsland_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Pilgrims_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Prairie_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Seasons_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Sherwood_Forest_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Sherwood_Heroes_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Shipwreck_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Team_Glaciers_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@The_Unknown_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> ReadmeX_a.rtf
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> setupenu.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> SetupReg.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
F:\Age of Empires 2\Extras\crack\MYTAOEC1\MYTAOEC1.ZIP
[0] Archivtyp: ZIP
--> MYTAOEC1.ACE
[1] Archivtyp: ACE
--> age2_x1\age2_x1.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\dplayerx.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\drvmgt.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\clcd16.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\clcd32.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\mcp.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\clokspl.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\secdrv.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> data\empires2_x1_p1.dat
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> data\gamedata_x1_p1.drs
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> language_x1_p1.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Canals_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Capricious_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Dingos_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Graveyards_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Metropolis_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Moats_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@ParadiseIsland_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Pilgrims_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Prairie_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Seasons_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Sherwood_Forest_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Sherwood_Heroes_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Shipwreck_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Team_Glaciers_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@The_Unknown_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> ReadmeX_a.rtf
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> setupenu.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'I:\' <XPgames>

Beginne mit der Desinfektion:
C:\System Volume Information\_restore{11108D33-BED3-4E67-84EF-5842B9AE37FD}\RP529\A0112066.exe
[FUND] Ist das Trojanische Pferd TR/Kazy.345
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f7baa90.qua' verschoben!


Ende des Suchlaufs: Dienstag, 26. Oktober 2010 19:20
Benötigte Zeit: 34:18 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

12838 Verzeichnisse wurden überprüft
422794 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
422793 Dateien ohne Befall
3111 Archive wurden durchsucht
51 Warnungen
1 Hinweise
295450 Objekte wurden beim Rootkitscan durchsucht
1 Versteckte Objekte wurden gefunden

Kann damit die Verzögerung der Windows-Firewall zusammenhängen? Und wie werde ich den nun wieder los? Mann mann mann, kaum hat man ein Problem gelöst, taucht ein neues auf :headbang:

Danke,

killalenin

Chris4You 27.10.2010 06:43
Hi,

der Fund liegt in der Systemwiederherstellung und wurde irgenwann mal mitgesichert, dher Systemwiederherstellung ausschalten, booten und dann wieder einschalten, dann sollte das Problem gelöst sein...

Der Rest liegt daran, dass Du verbotene Sw einsetzt, damit endet dann auch unser Support hier...
Zitat:
F:\Age of Empires 2\Extras\crack\MYTAECO1-MS Zone-\MYTAECO1-MS Zone-.ZIP
chris&out


Alle Zeitangaben in WEZ +1. Es ist jetzt 14:25 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131