Hallo fleißige Loggucker, diesmal ist der Rechner meiner Schwester verseucht. Sie hat den nervigen Hijacker "Winfixer" drauf... und das ist sicher nicht alles. Bitte werft mal einen Blick über das Log.

Danke! Yeesha


Logfile of HijackThis v1.99.1
Scan saved at 17:15:24, on 22.08.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ATK0100\Hcontrol.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ASUS\ASUS Live Update\ALU.exe
C:\Progra~1\ASUS\Power4 Gear\BatteryLife.exe
C:\Progra~1\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\Programme\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Moony\moony.exe
C:\Programme\Messenger\MSMSGS.EXE
C:\Programme\Asus\Asus ChkMail\ChkMail.exe
C:\Programme\Asus\ASUS Hotkey\Hotkey.exe
C:\Programme\Eumex 704PC DSL\Capictrl.exe
C:\Programme\Eumex 704PC DSL\HNetCtrl.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programme\OpenOffice.org1.1.3\program\soffice.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\SoftwareDistribution\Download\S-1-5-18\953a9cb86706ade89c5e0f457bab54e9\update\update.exe
C:\Dokumente und Einstellungen\Edit\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.asus.com.tw
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.asus.com.tw/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [ASUS Live Update] C:\Programme\ASUS\ASUS Live Update\ALU.exe
O4 - HKLM\..\Run: [Power_Gear] C:\Progra~1\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [ATIPTA] C:\Progra~1\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [EPSON Stylus C66 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE /P23 "EPSON Stylus C66 Series" /O6 "USB001" /M "Stylus C66"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [KAVPersonal50] C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Moony] C:\Programme\Moony\moony.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\MSMSGS.EXE" /background
O4 - Startup: OpenOffice.org 1.1.3.lnk = C:\Programme\OpenOffice.org1.1.3\program\quickstart.exe
O4 - Global Startup: ASUS ChkMail.lnk = C:\Programme\Asus\Asus ChkMail\ChkMail.exe
O4 - Global Startup: Hotkey.lnk = C:\Programme\Asus\ASUS Hotkey\Hotkey.exe
O4 - Global Startup: CAPIControl.lnk = ?
O4 - Global Startup: HomeNet Control.lnk = ?
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com.tw
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O20 - Winlogon Notify: App Management - C:\WINDOWS\system32\khdru.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: kavsvc - Kaspersky Labs - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
_____________
Anm.
Aktive Links editiert!
Beachte zukünftig die Hinweise dieser Anleitung: HiJackThis.


LG Cidre
S-Mod TB

lass die datei C:\WINDOWS\system32\khdru.dll bei http://virusscan.jotti.org/de überprüfen und poste das ergebnis. ich vermute aber einen trojaner.

update auch mal auf Windows XP Service Pack 2
(das heißt, falls das nicht gerade installiert wird )

@yeesha

wo ist der Hijacker?

Der Hijacker sitz ca. 80 cm vom Bildschirm enfernt und will sein System nicht updaten.

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

C:\WINDOWS\system32\khdru.dll

Datei bei http://virusscan.jotti.org/ checken.
Falls Ergebnis positiv ausfällt - Datei im abgesicherten Modus löschen, Eintrag fixen:

O20 - Winlogon Notify: App Management - C:\WINDOWS\system32\khdru.dll

Der Hijacker sitz ca. 80 cm vom Bildschirm enfernt und will sein System nicht updaten.

Der "Hijacker" sitzt jetzt vor dem anderen Rechner, weil auf Sissis Notebook das SP2 grade zieht

Aber ich kann dich gut verstehen. Es ist nervig, wenn die Leute immer die selben Fehler machen. Umso netter, dass Leute wie ihr hier immer noch unerschrocken in den Kampf gegen die DAUs ziehen.

Die .dll kann ich übrigens nicht hochladen - wegen Firewall oder Malware, sagt jotti..... zippen der Datei geht macht er auch nicht

Hallo,
was mich ein wenig nervt ist das ich es dir vor knapp einer Woche in einem Thread zweimal gesagt habe, und es scheint dich nicht sonderlich beeindruckt zu haben.
http://www.trojaner-board.de/showthread.php?t=20656


Grüße Wildone

Hey Wildone - nicht genervt sein. Es geht hier um einen anderen Rechner! Der von meinem Freund läuft wieder tadellos, da hast du mir klasse geholfen

Gestern hat mir nun meine Schwester ihr verseuchtes Notebook hingestellt mit den Worten "Der Winfixer nervt, mach ihn weg!" und ist abgereist. So ist das halt, wenn die anderen null Ahnung haben und man selber 0,5... und wo man gut beraten wurde, da kommt man gerne wieder. Deshalb jetzt dieser Thread.

Also nicht gleich hauen

Hallo,
achso, dann will ich natürlich nichts gesagt haben.
Gehe mal in den abgesicherten Modus und versuche die C:\WINDOWS\system32\khdru.dll in einen anderen Ordner zu kopieren, dann gehst du wieder in den normalen Modus und lädtst dann die Datei hoch.
Falls das nicht klappt solltest du vielleicht sicherheitshalber Escan (Anleitung genau lesen) über den Rechner laufen lassen und den Inhalt der eScan_neu.txt posten.


Grüße Wildone

So, der EScan rennt, aber ich geh erstmal baden weil krank... bei den Sachen, die bei mir immer rumschwirren, ist es wahrscheinlich Vogelgrippe. Log kommt dann später oder morgen....

Achja: Das Umkopieren hatte er natürlich nicht gemacht.

LG Yeesha

Hallo,
du warst wahrscheinlich in letzter Zeit zu lange in er Nähe von virenverseuchten PCs
Gute Besserung.

Grüße Wildone

Wunderschönen guten Morgen! Jaja, muss mit zu vielen Viren in Kontakt gewesen sein, hab schon inhaliert heute...

Hier sind die Ergebnisse des EScans entsprechend der Anleitung.


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Mon Aug 22 20:57:24 2005 => System found infected with RedV Spyware/Adware (insthelp.dll)! Action taken: No Action Taken.
Mon Aug 22 20:57:32 2005 => System found infected with WhenU.SaveNow Spyware/Adware (setup_wm.exe)! Action taken: No Action Taken.
Mon Aug 22 21:30:07 2005 => Scanning File C:\Dokumente und Einstellungen\Edited\Lokale Einstellungen\Temporary Internet Files\Content.IE5\UZSF2Z83\Winfixer-Virus-infected-my-com_18101[1].html
Mon Aug 22 21:44:13 2005 => Scanning Folder: D:\Programme\AVPersonal\INFECTED\*.*
Mon Aug 22 21:46:22 2005 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Mon Aug 22 20:56:41 2005 => File C:\WINDOWS\system32\kcdhe319.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:00:20 2005 => File C:\WINDOWS\system32\tvflog.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:00:20 2005 => File C:\WINDOWS\system32\dp7vb.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:00:20 2005 => File C:\WINDOWS\system32\olengl32.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:05 2005 => File C:\WINDOWS\system32\cbfgnt.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\ruched20.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\dtsetup.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\mgsap.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\oztext32.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\pztorsvc.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\PRGFILT.DLL tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:06:16 2005 => File C:\WINDOWS\Temp\upd208.exe tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:06:16 2005 => File C:\WINDOWS\Temp\upd209.exe tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:31:17 2005 => File C:\Dokumente und Einstellungen\Edited\Desktop\l2mfix.exe tagged as not-a-virus:RiskTool.Win32.Processor.20. No Action Taken.
Mon Aug 22 21:32:32 2005 => File C:\Dokumente und Einstellungen\Edited\Anwendungsdaten\Mozilla\Firefox\Profiles\k6twrq3m.default\Cache\927E782Ad01 tagged as not-a-virus:RiskTool.Win32.Processor.20. No Action Taken.
Mon Aug 22 21:40:36 2005 => File C:\Recycled\Dc15.tmp tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Mon Aug 22 20:57:24 2005 => Offending file found: C:\DOKUME~1\Edited\LOKALE~1\Temp\insthelp.dll
Mon Aug 22 20:57:32 2005 => Offending file found: C:\DOKUME~1\Edited\LOKALE~1\Temp\setup_wm.exe
Mon Aug 22 21:46:22 2005 => Total Virus(es) Found: 18
Mon Aug 22 21:46:23 2005 => Total Errors: 86
Mon Aug 22 21:46:23 2005 => Time Elapsed: 00:50:02
Mon Aug 22 21:46:22 2005 => Total Objects Scanned: 64437
Mon Aug 22 20:55:33 2005 => Virus Database Date: 2005/08/22
Mon Aug 22 21:46:23 2005 => Virus Database Date: 2005/08/22
Mon Aug 22 23:32:30 2005 => Virus Database Date: 2005/08/22
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~

Hallo,
ich nehme jetzt mal an die l2mfix.exe hast du schon drüberlaufen lassen. Dann solltest du mal schauen ob Einträge unter Systemsteuerung>>Software davon zu finden sind:
RedV
WhenU.SaveNow
wenn ja deinstallieren.
dann diese Dateien im abgesicherten Modus löschen(davor über rechtsklick auf Arbeitsplatz>>Eigenschaften die Systemsteuerung deaktivieren, nicht vergessen sie später wieder zu aktivieren!!) :
Mon Aug 22 20:56:41 2005 => File C:\WINDOWS\system32\kcdhe319.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:00:20 2005 => File C:\WINDOWS\system32\tvflog.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:00:20 2005 => File C:\WINDOWS\system32\dp7vb.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:00:20 2005 => File C:\WINDOWS\system32\olengl32.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:05 2005 => File C:\WINDOWS\system32\cbfgnt.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\ruched20.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\dtsetup.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\mgsap.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\oztext32.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\pztorsvc.dll tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:02:06 2005 => File C:\WINDOWS\system32\PRGFILT.DLL tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:06:16 2005 => File C:\WINDOWS\Temp\upd208.exe tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
Mon Aug 22 21:06:16 2005 => File C:\WINDOWS\Temp\upd209.exe tagged as "not-a-virus:AdWare.Look2Me.ag". Action Taken: No Action Taken.
insthelp.dll
setup_wm.exe
Dann solltest du das Programm cleanup! drüberlaufen lassen und die MWAV.LOG löschen, noch mal Escan laufen lassen und wieder ein Log posten.


Grüße Wildone

Jawohl Sir - ich schaue, dass ich das heute nach der Arbeit noch hinkriege...

Hallo,
gut Gefreiter, ich erwarte dann Meldung.


Grüße Wildone

das hatte ich nur runtergeladen, das l2mfix... ich poste mal den log....

L2MFIX find log 1.02b
These are the registry keys present
**********************************************************************************
Winlogon/notify:
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\crypt32chain]
"Asynchronous"=dword:00000000
"Impersonate"=dword:00000000
"DllName"=hex(2):63,00,72,00,79,00,70,00,74,00,33,00,32,00,2e,00,64,00,6c,00,\
6c,00,00,00
"Logoff"="ChainWlxLogoffEvent"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet]
"Asynchronous"=dword:00000000
"Impersonate"=dword:00000000
"DllName"=hex(2):63,00,72,00,79,00,70,00,74,00,6e,00,65,00,74,00,2e,00,64,00,\
6c,00,6c,00,00,00
"Logoff"="CryptnetWlxLogoffEvent"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cscdll]
"DLLName"="cscdll.dll"
"Logon"="WinlogonLogonEvent"
"Logoff"="WinlogonLogoffEvent"
"ScreenSaver"="WinlogonScreenSaverEvent"
"Startup"="WinlogonStartupEvent"
"Shutdown"="WinlogonShutdownEvent"
"StartShell"="WinlogonStartShellEvent"
"Impersonate"=dword:00000000
"Asynchronous"=dword:00000001

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\Internet Settings]
"Asynchronous"=dword:00000000
"DllName"="C:\\WINDOWS\\system32\\khdru.dll"
"Impersonate"=dword:00000000
"Logon"="WinLogon"
"Logoff"="WinLogoff"
"Shutdown"="WinShutdown"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ScCertProp]
"DLLName"="wlnotify.dll"
"Logon"="SCardStartCertProp"
"Logoff"="SCardStopCertProp"
"Lock"="SCardSuspendCertProp"
"Unlock"="SCardResumeCertProp"
"Enabled"=dword:00000001
"Impersonate"=dword:00000001
"Asynchronous"=dword:00000001

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\Schedule]
"Asynchronous"=dword:00000000
"DllName"=hex(2):77,00,6c,00,6e,00,6f,00,74,00,69,00,66,00,79,00,2e,00,64,00,\
6c,00,6c,00,00,00
"Impersonate"=dword:00000000
"StartShell"="SchedStartShell"
"Logoff"="SchedEventLogOff"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\sclgntfy]
"Logoff"="WLEventLogoff"
"Impersonate"=dword:00000000
"Asynchronous"=dword:00000001
"DllName"=hex(2):73,00,63,00,6c,00,67,00,6e,00,74,00,66,00,79,00,2e,00,64,00,\
6c,00,6c,00,00,00

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\SensLogn]
"DLLName"="WlNotify.dll"
"Lock"="SensLockEvent"
"Logon"="SensLogonEvent"
"Logoff"="SensLogoffEvent"
"Safe"=dword:00000001
"MaxWait"=dword:00000258
"StartScreenSaver"="SensStartScreenSaverEvent"
"StopScreenSaver"="SensStopScreenSaverEvent"
"Startup"="SensStartupEvent"
"Shutdown"="SensShutdownEvent"
"StartShell"="SensStartShellEvent"
"PostShell"="SensPostShellEvent"
"Disconnect"="SensDisconnectEvent"
"Reconnect"="SensReconnectEvent"
"Unlock"="SensUnlockEvent"
"Impersonate"=dword:00000001
"Asynchronous"=dword:00000001

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\termsrv]
"Asynchronous"=dword:00000000
"DllName"=hex(2):77,00,6c,00,6e,00,6f,00,74,00,69,00,66,00,79,00,2e,00,64,00,\
6c,00,6c,00,00,00
"Impersonate"=dword:00000000
"Logoff"="TSEventLogoff"
"Logon"="TSEventLogon"
"PostShell"="TSEventPostShell"
"Shutdown"="TSEventShutdown"
"StartShell"="TSEventStartShell"
"Startup"="TSEventStartup"
"MaxWait"=dword:00000258
"Reconnect"="TSEventReconnect"
"Disconnect"="TSEventDisconnect"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wlballoon]
"DLLName"="wlnotify.dll"
"Logon"="RegisterTicketExpiredNotificationEvent"
"Logoff"="UnregisterTicketExpiredNotificationEvent"
"Impersonate"=dword:00000001
"Asynchronous"=dword:00000001

**********************************************************************************
useragent:
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent\Post Platform]
"{6096C886-32C7-9FB7-93D4-E6B41CCBB504}"=""

**********************************************************************************
Shell Extension key:
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
"{00022613-0000-0000-C000-000000000046}"="Eigenschaften f�r Multimediadatei"
"{176d6597-26d3-11d1-b350-080036a75b03}"="ICM-Scannerverwaltung"
"{1F2E5C40-9550-11CE-99D2-00AA006E086C}"="NTFS-Sicherheit"
"{3EA48300-8CF6-101B-84FB-666CCB9BCD32}"="OLE-Eigenschaftenseite f�r Dokumente"
"{40dd6e20-7c17-11ce-a804-00aa003ca9f6}"="Shellerweiterungen f�r Freigaben"
"{41E300E0-78B6-11ce-849B-444553540000}"="PlusPack CPL Extension"
"{42071712-76d4-11d1-8b24-00a0c9068ff3}"="CPL-Erweiterung f�r Grafikkarten"
"{42071713-76d4-11d1-8b24-00a0c9068ff3}"="CPL-Erweiterung f�r Bildschirme"
"{42071714-76d4-11d1-8b24-00a0c9068ff3}"="CPL-Erweiterung f�r Anzeigeverschiebung"
"{4E40F770-369C-11d0-8922-00A024AB2DBB}"="DS-Sicherheit"
"{513D916F-2A8E-4F51-AEAB-0CBC76FB1AF8}"="Kompatibilit„tsseite"
"{56117100-C0CD-101B-81E2-00AA004AE837}"="Shell-Datenauszughandler"
"{59099400-57FF-11CE-BD94-0020AF85B590}"="Erweiterung f�r Datentr„gerkopien"
"{59be4990-f85c-11ce-aff7-00aa003ca9f6}"="Shellerweiterungen f�r Microsoft Windows-Netzwerkobjekte"
"{5DB2625A-54DF-11D0-B6C4-0800091AA605}"="ICM-Monitorverwaltung"
"{675F097E-4C4D-11D0-B6C1-0800091AA605}"="ICM-Druckerverwaltung"
"{764BF0E1-F219-11ce-972D-00AA00A14F56}"="Shellerweiterungen f�r die Dateikomprimierung"
"{77597368-7b15-11d0-a0c2-080036af3f03}"="Shellerweiterung f�r Webdrucker"
"{7988B573-EC89-11cf-9C00-00AA00A14F56}"="Disk Quota UI"
"{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA}"="Kontextmen� f�r die Verschl�sselung"
"{85BBD920-42A0-1069-A2E4-08002B30309D}"="Aktenkoffer"
"{88895560-9AA2-1069-930E-00AA0030EBC8}"="Erweiterung f�r HyperTerminal-Icons"
"{BD84B380-8CA2-1069-AB1D-08000948F534}"="Schriftarten"
"{DBCE2480-C732-101B-BE72-BA78E9AD5B27}"="ICC-Profil"
"{F37C5810-4D3F-11d0-B4BF-00AA00BBB723}"="Druckersicherheit"
"{f81e9010-6ea4-11ce-a7ff-00aa003ca9f6}"="Shellerweiterungen f�r Freigaben"
"{f92e8c40-3d33-11d2-b1aa-080036a75b03}"="Display TroubleShoot CPL Extension"
"{7444C717-39BF-11D1-8CD9-00C04FC29D45}"="Krypto-PKO-Erweiterung"
"{7444C719-39BF-11D1-8CD9-00C04FC29D45}"="Krypto-Sign-Erweiterung"
"{7007ACC7-3202-11D1-AAD2-00805FC1270E}"="Netzwerkverbindungen"
"{992CFFA0-F557-101A-88EC-00DD010CCC48}"="Netzwerkverbindungen"
"{E211B736-43FD-11D1-9EFB-0000F8757FCD}"="Scanner und Kameras"
"{FB0C9C8A-6C50-11D1-9F1D-0000F8757FCD}"="Scanner und Kameras"
"{905667aa-acd6-11d2-8080-00805f6596d2}"="Scanner und Kameras"
"{3F953603-1008-4f6e-A73A-04AAC7A992F1}"="Scanner und Kameras"
"{83bbcbf3-b28a-4919-a5aa-73027445d672}"="Scanner und Kameras"
"{F0152790-D56E-4445-850E-4F3117DB740C}"="Remote Sessions CPL Extension"
"{5F327514-6C5E-4d60-8F16-D07FA08A78ED}"="Auto Update Property Sheet Extension"
"{60254CA5-953B-11CF-8C96-00AA00B8708C}"="Shellerweiterungen f�r Windows Script Host"
"{2206CDB2-19C1-11D1-89E0-00C04FD7A829}"="Microsoft Datenverkn�pfung"
"{DD2110F0-9EEF-11cf-8D8E-00AA0060F5BF}"="Tasks Folder Icon Handler"
"{797F1E90-9EDD-11cf-8D8E-00AA0060F5BF}"="Tasks Folder Shell Extension"
"{D6277990-4C6A-11CF-8D87-00AA0060F5BF}"="Geplante Tasks"
"{0DF44EAA-FF21-4412-828E-260A8728E7F1}"="Taskleiste und Startmen�"
"{2559a1f0-21d7-11d4-bdaf-00c04f60b9f0}"="Suchen"
"{2559a1f1-21d7-11d4-bdaf-00c04f60b9f0}"="Hilfe und Support"
"{2559a1f2-21d7-11d4-bdaf-00c04f60b9f0}"="Hilfe und Support"
"{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}"="Ausf�hren..."
"{2559a1f4-21d7-11d4-bdaf-00c04f60b9f0}"="Internet"
"{2559a1f5-21d7-11d4-bdaf-00c04f60b9f0}"="E-Mail"
"{D20EA4E1-3957-11d2-A40B-0C5020524152}"="Schriftarten"
"{D20EA4E1-3957-11d2-A40B-0C5020524153}"="Verwaltung"
"{875CB1A1-0F29-45de-A1AE-CFB4950D0B78}"="Audio Media Properties Handler"