Trojaner-Board - TR/Spyeye.H.2, DR/Ransom.Losya.I.5, TR/Spy.Spyeye.F und JAVA/OpenConnect.CF

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TR/Spyeye.H.2, DR/Ransom.Losya.I.5, TR/Spy.Spyeye.F und JAVA/OpenConnect.CF (https://www.trojaner-board.de/94427-tr-spyeye-h-2-dr-ransom-losya-i-5-tr-spy-spyeye-f-java-openconnect-cf.html)

TR/Spyeye.H.2, DR/Ransom.Losya.I.5, TR/Spy.Spyeye.F und JAVA/OpenConnect.CF

Hallo,
ich reihe mich wohl ein in die Gruppe derer, die sich nicht besonders mit dem entfernen von Trojanern etc. auskennen. Um das System nicht formatieren und neu aufbauen zu müssen, wende ich mich an euch. Ich hoffe, Ihr könnt mir etwas weiter helfen. Ich habe mir schon die anderen Themen mit dem PRoblem angeschaut und eine Reihe der empfohlenen Checks gemacht, die vielleicht einen Anhaltspunkt für die Möglichkeiten der Bereinigung geben können.
Ich bin euch schon mal sehr sehr dankbar für Tips und Hilfe.

Im folgenden habe ich die ganzen LOGs als ZIP angehangen (Hoffe, das ist jetzt nicht zu umfangreich):

1. AVIRA
2. Gmer
3. hjtscanlist v2.0
4. OTL

Danke

Christoph

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.

Hallo.
Danke für die schnelle Antwort.
Ich habe MAlwarebytes runtergeladen. Leider ging der Update nicht.
Folgende Fehlermeldung kam:

PROGRAM_ERROR_UPDATING (12007, 0, WinHttpSendRequest)

Hier ist dennoch der Log vom Quickscan:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 5363

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

04.01.2011 22:33:35
mbam-log-2011-01-04 (22-33-35).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 136504
Laufzeit: 10 Minute(n), 55 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel (Hijack.ControlPanelStyle) -> Value: ForceClassicControlPanel -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowHelp (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Deinstallier bitte diesen ZoneAlarm-Blödsinn und starte Windows neu. Probier das Update von MBAM danach erneut.

Wenn das immer noch nicht geht, aktuelle rules.ref hier => File-Upload.net - rules.ref

Runterladen und deine rules.ref in C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes\Malwarebytes' Anti-Malware ersetzen

Hallo.

Runterladen der neuen Datenbank ging jetzt.
Anbei das LOG von Malwarebytes.

Mit Dank und besten Grüßen

Christoph

P.S:Scheint alles Recht sauber zu sein, oder?

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 5464

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

05.01.2011 19:15:44
mbam-log-2011-01-05 (19-15-44).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 138064
Laufzeit: 10 Minute(n), 33 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Mach bitte einen Vollscan mit den aktuellen Signaturen.

HALLO, anbei der neue Log nach dem Vollscan.

Grüße

Christoph

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 5464

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

06.01.2011 19:47:50
mbam-log-2011-01-06 (19-47-50).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|G:\|H:\|Z:\|)
Durchsuchte Objekte: 188732
Laufzeit: 54 Minute(n), 16 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O4 - HKCU..\Run: [RestorData.exe] C:\RestorData.exe\RestorData.exe File not found

O33 - MountPoints2\{482150ad-791b-11df-8764-506313c52391}\Shell - "" = AutoRun

O33 - MountPoints2\{482150ad-791b-11df-8764-506313c52391}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{482150ad-791b-11df-8764-506313c52391}\Shell\AutoRun\command - "" = E:\LaunchU3.exe -- File not found

O33 - MountPoints2\{5348e9e0-0878-11e0-87d4-0026c71071a6}\Shell - "" = AutoRun

O33 - MountPoints2\{5348e9e0-0878-11e0-87d4-0026c71071a6}\Shell\Auto\command - "" = E:\serivces.exe -- File not found

O33 - MountPoints2\{5348e9e0-0878-11e0-87d4-0026c71071a6}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{74336a31-0ea7-11e0-87dd-0026c71071a6}\Shell\AutoRun\command - "" = E:\Menu.exe -- File not found

O33 - MountPoints2\{9c303040-203a-11df-86f1-00269ed9a363}\Shell - "" = AutoRun

O33 - MountPoints2\{9c303040-203a-11df-86f1-00269ed9a363}\Shell\Auto\command - "" = serivces.exe

O33 - MountPoints2\{9c303040-203a-11df-86f1-00269ed9a363}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{a0e14f64-377a-11df-8711-bbce15f459d0}\Shell - "" = AutoRun

O33 - MountPoints2\{a0e14f64-377a-11df-8711-bbce15f459d0}\Shell\AutoRun - "" = Auto&Play

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hallo-
anbei:

All processes killed
========== OTL ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\RestorData.exe deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{482150ad-791b-11df-8764-506313c52391}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{482150ad-791b-11df-8764-506313c52391}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{482150ad-791b-11df-8764-506313c52391}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{482150ad-791b-11df-8764-506313c52391}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{482150ad-791b-11df-8764-506313c52391}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{482150ad-791b-11df-8764-506313c52391}\ not found.
File E:\LaunchU3.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{5348e9e0-0878-11e0-87d4-0026c71071a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5348e9e0-0878-11e0-87d4-0026c71071a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{5348e9e0-0878-11e0-87d4-0026c71071a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5348e9e0-0878-11e0-87d4-0026c71071a6}\ not found.
File E:\serivces.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{5348e9e0-0878-11e0-87d4-0026c71071a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5348e9e0-0878-11e0-87d4-0026c71071a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{74336a31-0ea7-11e0-87dd-0026c71071a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{74336a31-0ea7-11e0-87dd-0026c71071a6}\ not found.
File E:\Menu.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9c303040-203a-11df-86f1-00269ed9a363}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9c303040-203a-11df-86f1-00269ed9a363}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9c303040-203a-11df-86f1-00269ed9a363}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9c303040-203a-11df-86f1-00269ed9a363}\ not found.
File serivces.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9c303040-203a-11df-86f1-00269ed9a363}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9c303040-203a-11df-86f1-00269ed9a363}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{a0e14f64-377a-11df-8711-bbce15f459d0}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{a0e14f64-377a-11df-8711-bbce15f459d0}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{a0e14f64-377a-11df-8711-bbce15f459d0}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{a0e14f64-377a-11df-8711-bbce15f459d0}\ not found.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 1407564906 bytes
->Temporary Internet Files folder emptied: 116220776 bytes
->Java cache emptied: 41001 bytes
->FireFox cache emptied: 95861758 bytes
->Flash cache emptied: 44077 bytes

User: All Users

User: Default User
->Temp folder emptied: 229989 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 992232 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 991928 bytes
->Temporary Internet Files folder emptied: 33170 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2385509 bytes
%systemroot%\System32 .tmp files removed: 2577 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 77361752 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 8297983586 bytes

Total Files Cleaned = 9.537,00 mb

OTL by OldTimer - Version 3.2.20.1 log created on 01072011_092149

Files\Folders moved on Reboot...
C:\Documents and Settings\Administrator\Local Settings\Temp\~DF638C.tmp moved successfully.
File\Folder C:\WINDOWS\temp\ZLT06124.TMP not found!

Registry entries deleted on Reboot...

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hallo,
anbei die log.txt von ComboFix.
Danke!

Christoph

Combofix Logfile:

Code:

ComboFix 11-01-07.01 - Administrator 08.01.2011  13:28:17.1.2 - x86

Microsoft Windows XP Professional  5.1.2600.3.1252.1.1033.18.1913.1185 [GMT 1:00]

Running from: c:\documents and settings\Administrator\Desktop\cofi.exe

 * Created a new restore point
 

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

.
 

(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

C:\RestorData.exe

c:\restordata.exe\config.bin

c:\windows\AppPatch\Custom\{deb7008b-681e-4a4a-8aae-cc833e8216ce}.sdb
 

.

(((((((((((((((((((((((((   Files Created from 2010-12-08 to 2011-01-08  )))))))))))))))))))))))))))))))

.
 

2011-01-07 08:21 . 2011-01-07 08:21        --------        d-----w-        C:\_OTL

2011-01-04 21:00 . 2011-01-04 21:00        --------        d-----w-        c:\documents and settings\Administrator\Application Data\Malwarebytes

2011-01-04 21:00 . 2010-12-20 17:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-01-04 21:00 . 2011-01-04 21:00        --------        d-----w-        c:\documents and settings\All Users\Application Data\Malwarebytes

2011-01-04 21:00 . 2011-01-04 21:00        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware

2011-01-04 21:00 . 2010-12-20 17:08        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys

2010-12-14 17:29 . 2010-12-14 17:29        --------        d-----w-        c:\program files\Common Files\Skype
 

.

((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-10-23 13:42 . 2010-10-23 13:42        1700352        ----a-w-        c:\windows\system32\gdiplus.dll

.
 

------- Sigcheck -------
 

[-] 2009-01-24 . BA8C046D98345129723E6BCAA1E8AB99 . 361600 . . [5.1.2600.5649] . . c:\windows\system32\drivers\tcpip.sys
 

[-] 2009-01-24 . 2547D2CF090AC7636898F16957EBCEDC . 502272 . . [1.0626.6002.16497] . . c:\windows\system32\usp10.dll
 
 

c:\windows\System32\wscntfy.exe ... is missing !!

.

(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries & legit default entries are not shown 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Skype"="c:\program files\Skype\Phone\Skype.exe" [2010-10-11 14940040]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2008-04-14 208952]

"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2008-04-14 455168]

"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2008-04-14 455168]

"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-01-11 246504]

"CoolSwitch"="c:\windows\system32\taskswitch.exe" [2002-03-19 45632]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2009-07-09 141336]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2009-07-09 173592]

"Persistence"="c:\windows\system32\igfxpers.exe" [2009-07-09 142872]

"PWRMGRTR"="c:\progra~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL" [2010-01-06 513384]

"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\iaanotif.exe" [2009-08-07 186904]

"TPHOTKEY"="c:\program files\Lenovo\HOTKEY\TPOSDSVC.exe" [2009-03-13 68976]

"LENOVO.TPFNF6R"="c:\program files\Lenovo\HOTKEY\TPFNF6R.exe" [2009-08-20 62752]

"RTHDCPL"="RTHDCPL.EXE" [2009-07-02 18665472]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"NeroFilterCheck"="c:\program files\Common Files\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]

"SetDefPrt"="c:\program files\Brother\Brmfl04a\BrStDvPt.exe" [2004-05-25 49152]

"ControlCenter2.0"="c:\program files\Brother\ControlCenter2\brctrcen.exe" [2009-01-09 114688]

"PDFPrint"="c:\program files\pdf24\pdf24.exe" [2010-03-11 208528]

"ZoneAlarm Client"="c:\program files\Zone Labs\ZoneAlarm\zlclient.exe" [2010-06-23 1043968]

"ISW"="c:\program files\CheckPoint\ZAForceField\ForceField.exe" [2010-05-26 730600]

"SSBkgdUpdate"="c:\program files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-10-25 210472]

"PaperPort PTD"="c:\program files\ScanSoft\PaperPort\pptd40nt.exe" [2008-07-09 29984]

"IndexSearch"="c:\program files\ScanSoft\PaperPort\IndexSearch.exe" [2008-07-09 46368]

"PPort11reminder"="c:\program files\ScanSoft\PaperPort\Ereg\Ereg.exe" [2007-08-31 328992]

"BrMfcWnd"="c:\program files\Brother\Brmfcmon\BrMfcWnd.exe" [2009-01-19 1150976]

"ControlCenter3"="c:\program files\Brother\ControlCenter3\brctrcen.exe" [2009-01-09 114688]

"QuickTime Task"="c:\program files\QuickTime Alternative\QTTask.exe" [2010-09-08 421888]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2010-09-24 421160]

"AirPort Base Station Agent"="c:\program files\AirPort\APAgent.exe" [2008-05-20 737280]

"AppleSyncNotifier"="c:\program files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe" [2010-10-08 47904]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"_nltide_3"="advpack.dll" [2009-01-24 124928]
 

c:\documents and settings\All Users\Start Menu\Programs\Startup\

Bluetooth.lnk - c:\program files\ThinkPad\Bluetooth Software\BTTray.exe [2009-8-14 607584]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"MaxRecentDocs"= 18 (0x12)

"NoSMConfigurePrograms"= 1 (0x1)

"NoRecentDocsNetHood"= 1 (0x1)

"MemCheckBoxInRunDlg"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]

2006-09-06 15:37        34344        ----a-w-        c:\program files\Lenovo\HOTKEY\notifyf2.dll
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\sessmgr.exe"=

"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=

"c:\\WINDOWS\\system32\\ZoneLabs\\vsmon.exe"=

"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"c:\\Program Files\\iTunes\\iTunes.exe"=

"c:\\Program Files\\AirPort\\APAgent.exe"=

"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"54925:UDP"= 54925:UDP:BrotherNetwork Scanner
 

R0 iastor86;iastor86;c:\windows\system32\drivers\iastor86.sys [24.01.2009 15:08 327192]

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [23.02.2010 17:17 108289]

R2 ISWKL;ZoneAlarm Toolbar ISWKL;c:\program files\CheckPoint\ZAForceField\ISWKL.sys [26.05.2010 14:35 26352]

R2 IswSvc;ZoneAlarm Toolbar IswSvc;c:\program files\CheckPoint\ZAForceField\ISWSVC.exe [26.05.2010 14:35 493032]

R2 LENOVO.MICMUTE;Lenovo Microphone Mute;c:\program files\Lenovo\HOTKEY\micmute.exe [19.02.2010 04:19 45424]

R2 Power Manager DBC Service;Power Manager DBC Service;c:\program files\ThinkPad\Utilities\PWMDBSVC.exe [19.02.2010 04:16 53248]

R2 QDLService;Qualcomm Gobi Download Service;c:\qualcomm\QDLService\QDLService.exe [15.12.2009 15:20 345336]

R2 TPHKSVC;On Screen Display;c:\program files\Lenovo\HOTKEY\TPHKSVC.exe [19.02.2010 04:19 62320]

R3 IntcHdmiAddService;Intel(R) High Definition Audio HDMI Service;c:\windows\system32\drivers\IntcHdmi.sys [19.02.2010 03:53 110080]

R3 JMCR;JMCR;c:\windows\system32\drivers\jmcr.sys [19.02.2010 04:20 119256]

S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [19.02.2010 04:22 1684736]

S3 epmntdrv;epmntdrv;c:\windows\system32\epmntdrv.sys [23.02.2010 14:52 13192]

S3 EuGdiDrv;EuGdiDrv;c:\windows\system32\EuGdiDrv.sys [23.02.2010 14:52 8456]
 

--- Other Services/Drivers In Memory ---
 

*Deregistered* - uphcleanhlp

.

Contents of the 'Scheduled Tasks' folder
 

2010-12-18 c:\windows\Tasks\PCDoctorBackgroundMonitorTask.job

- c:\program files\PC-Doctor\pcdlauncher.exe [2009-11-20 10:12]
 

2011-01-08 c:\windows\Tasks\PMTask.job

- c:\progra~1\ThinkPad\UTILIT~1\PWMIDTSK.EXE [2010-02-19 00:13]
 

2010-11-11 c:\windows\Tasks\SystemToolsDailyTest.job

- c:\program files\PC-Doctor\pcdr5cuiw32.exe [2009-11-22 09:14]

.

.

------- Supplementary Scan -------

.

uStart Page = hxxp://www.google.com/

uInternet Settings,ProxyOverride = *.local

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

IE: Send to &Bluetooth Device... - c:\program files\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm

IE: Send To Bluetooth - c:\program files\ThinkPad\Bluetooth Software\btsendto_ie.htm

FF - ProfilePath - c:\documents and settings\Administrator\Application Data\Mozilla\Firefox\Profiles\879fg0p1.default\

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Skype extension: {AB2CE124-6272-4b12-94A9-7303C7397BD1} - c:\program files\Mozilla Firefox\extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA}

FF - Ext: Adobe DLM (powered by getPlus(R)): {E2883E8F-472F-4fb0-9522-AC9BF37916A7} - %profile%\extensions\{E2883E8F-472F-4fb0-9522-AC9BF37916A7}

FF - Ext: Java Quick Starter: jqs@sun.com - c:\program files\Java\jre6\lib\deploy\jqs\ff

FF - Ext: ZoneAlarm Security Engine: {FFB96CC1-7EB3-449D-B827-DB661701C6BB} - c:\program files\CheckPoint\ZAForceField\TrustChecker

.

- - - - ORPHANS REMOVED - - - -
 

HKLM-Run-SynTPEnh - %ProgramFiles%\Synaptics\SynTP\SynTPEnh.exe

HKU-Default-Run-RestorData.exe - c:\restordata.exe\RestorData.exe
 
 
 

**************************************************************************
 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-01-08 13:33

Windows 5.1.2600 Service Pack 3 NTFS
 

scanning hidden processes ...  
 

scanning hidden autostart entries ... 
 

scanning hidden files ...  
 

scan completed successfully

hidden files: 0
 

**************************************************************************

.

--------------------- DLLs Loaded Under Running Processes ---------------------
 

- - - - - - - > 'winlogon.exe'(960)

c:\program files\CheckPoint\ZAForceField\Plugins\ISWSHEX.dll
 

- - - - - - - > 'lsass.exe'(1016)

c:\program files\CheckPoint\ZAForceField\Plugins\ISWSHEX.dll

.

Completion time: 2011-01-08  13:35:24

ComboFix-quarantined-files.txt  2011-01-08 12:35
 

Pre-Run: 13.674.598.400 bytes free

Post-Run: 13.631.168.512 bytes free
 

WindowsXP-KB310994-SP2-Pro-BootDisk-ENU.exe
 

- - End Of File - - E60D895D998D649D7E3F737994647A2F

--- --- ---

Zitat:

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

Warum wurde die WHK (Recover Console bzw. Wiederherstellungskonsole) nicht installiert?!

Hallo,
keine Ahnung - schlimm?
Grüße

Christoph

Hast du die Anleitung genau beachtet? War die Internetverbindung aktiv? Die muss aktiv sein wenn CF läuft - bitte nochmal CF ausführen falls sie nicht aktiv war.