Unerwünschte Werbeseiten mit IE7

Ingodwetrust · 20.11.2008, 15:07

Hallo,

ich bin neu hier und bin aufgrund meines Problems auf diese Site aufmerksam geworden.
Ich habe ein neues Notebook auf dem IE7 läuft, seit dem habe ich ständig unerwünschte Werbeseiten die aufgehen. Ich wäre froh wenn ich diese nichtmehr erhalten würde. Es wäre toll wenn mir hier jemand helfen könnte.

Vielen Dank im voraus.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:34:41, on 20.11.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINXP\System32\smss.exe
C:\WINXP\system32\winlogon.exe
C:\WINXP\system32\services.exe
C:\WINXP\system32\lsass.exe
C:\WINXP\system32\ibmpmsvc.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\Programme\Intel\WiFi\bin\S24EvMon.exe
C:\WINXP\Explorer.EXE
C:\WINXP\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe
C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
C:\WINXP\system32\rundll32.exe
C:\Programme\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe
C:\Programme\Lenovo\PkgMgr\HOTKEY_1\TpScrex.exe
C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINXP\system32\TpShocks.exe
C:\WINXP\system32\igfxtray.exe
C:\WINXP\system32\hkcmd.exe
C:\WINXP\system32\igfxpers.exe
C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe
C:\WINXP\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
D:\Thinkpad Treiber\pfcontrol_v0.9.1\fcontrol.exe
C:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Digital Line Detect\DLG.exe
C:\Programme\Gemeinsame Dateien\Sonic Shared\cinetray.exe
C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Intel\WiFi\bin\EvtEng.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINXP\system32\oodag.exe
C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINXP\System32\TPHDEXLG.exe
C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
C:\Programme\Lenovo\System Update\SUService.exe
C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\system32\wbem\wmiapsrv.exe
C:\WINXP\system32\wuauclt.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.internetcologne.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=74005
O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - C:\Programme\eBay\eBay Toolbar2\eBayTB.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: RoboForm - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll
O2 - BHO: Password Manager Browser Helper Object - {BF468356-BB7E-42D7-9F15-4F3B9BCFCED2} - C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Programme\eBay\eBay Toolbar2\eBayTB.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\roboform.dll
O4 - HKLM\..\Run: [TVT Scheduler Proxy] C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe
O4 - HKLM\..\Run: [EZEJMNAP] C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog
O4 - HKLM\..\Run: [ACTray] C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
O4 - HKLM\..\Run: [ACWLIcon] C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [TP4EX] tp4ex.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINXP\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINXP\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINXP\system32\igfxpers.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] C:\Programme\Analog Devices\SoundMAX\Smax4.exe /tray
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [eBayToolbar] C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINXP\system32\NeroCheck.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINXP\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [fcontrol] D:\\Thinkpad Treiber\\pfcontrol_v0.9.1\\fcontrol.exe
O4 - HKCU\..\Run: [wpijzrt] "c:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe" wpijzrt
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O4 - Startup: OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk = C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Startup: Sonic CinePlayer Quick Launch.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Digital Line Detect.lnk = C:\Programme\Digital Line Detect\DLG.exe
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: RF - Formular ausfüllen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O8 - Extra context menu item: RF - Formular speichern - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: RF - Menü anpassen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF - RoboForm-Leiste ein/aus - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Suche - res://C:\Programme\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Ausfüllen - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: RF - Formular ausfüllen - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Speichern - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: RF - Formular speichern - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF - RoboForm-Leiste ein/aus - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: (no name) - {F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3} - C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O9 - Extra 'Tools' menuitem: Lenovo Password Manager... - {F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3} - C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://dl8-cdn-03.sun.com/s/ESD5/JSCDL/jre/6u10-b92-b/jinstall-6u10-windows-i586-jc.cab?e=1226361126985&h=5914408a35a25f0110a46d438a552134/&filename=jinstall-6u10-windows-i586-jc.cab
O20 - Winlogon Notify: ACNotify - ACNotify.dll (file missing)
O23 - Service: Ac Profile Manager Service (AcPrfMgrSvc) - Lenovo - C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
O23 - Service: Access Connections Main Service (AcSvc) - Lenovo - C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel(R) Corporation - C:\Programme\Intel\WiFi\bin\EvtEng.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINXP\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINXP\system32\oodag.exe
O23 - Service: Power Manager DBC Service - Unknown owner - C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe
O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel(R) Corporation - C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
O23 - Service: Intel® PROSet/Wireless WiFi Service (S24EventMonitor) - Intel(R) Corporation - C:\Programme\Intel\WiFi\bin\S24EvMon.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - C:\Programme\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINXP\System32\TPHDEXLG.exe
O23 - Service: TSS Core Service (TSSCoreService) - Lenovo - C:\Programme\Lenovo\Client Security Solution\tvttcsd.exe
O23 - Service: TVT Scheduler - Lenovo Group Limited - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe

--
End of file - 13042 bytes

cosinus · 20.11.2008, 19:41

Hallo und

Acker diese Punkte für weitere Analysen ab:

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

ATTFilter

C:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten. Vor dem Ausführen von Malwarebytes den Wächter Deines Virenscanners abschalten!!

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:

[code] Hier das Logfile rein! [/code]

7.) Mach auch ein Filelisting mit diesem script:

Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
Doppelklick auf listing8.cmd auf dem Desktop
nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

8.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe - editiere die Links und privaten Infos!!

Ingodwetrust · 20.11.2008, 20:25

Hallo und vielen Dank für deine ausführliche Anleitung.
ich habe nun die Datei:

C:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe

bei Virustotal.com auswerten lassen.

Code:

ATTFilter

Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2008.11.21.0 2008.11.20 - 
AntiVir 7.9.0.34 2008.11.20 - 
Authentium 5.1.0.4 2008.11.20 - 
Avast 4.8.1281.0 2008.11.20 - 
AVG 8.0.0.199 2008.11.20 - 
BitDefender 7.2 2008.11.20 - 
CAT-QuickHeal 10.00 2008.11.20 - 
ClamAV 0.94.1 2008.11.20 - 
DrWeb 4.44.0.09170 2008.11.20 - 
eSafe 7.0.17.0 2008.11.19 - 
eTrust-Vet 31.6.6219 2008.11.20 - 
Ewido 4.0 2008.11.20 - 
F-Prot 4.4.4.56 2008.11.20 - 
F-Secure 8.0.14332.0 2008.11.20 - 
Fortinet 3.117.0.0 2008.11.20 - 
GData 19 2008.11.20 - 
Ikarus T3.1.1.45.0 2008.11.20 - 
K7AntiVirus 7.10.529 2008.11.20 - 
Kaspersky 7.0.0.125 2008.11.20 - 
McAfee 5439 2008.11.19 - 
Microsoft 1.4104 2008.11.20 Trojan:Win32/Skintrim.gen!D 
NOD32 3627 2008.11.20 - 
Norman 5.80.02 2008.11.20 - 
Panda 9.0.0.4 2008.11.20 - 
PCTools 4.4.2.0 2008.11.20 - 
Prevx1 V2 2008.11.20 - 
Rising 21.04.32.00 2008.11.20 - 
SecureWeb-Gateway 6.7.6 2008.11.20 - 
Sophos 4.35.0 2008.11.20 - 
Sunbelt 3.1.1801.2 2008.11.14 Backdoor.Win32.S (vf) 
Symantec 10 2008.11.20 - 
TheHacker 6.3.1.1.159 2008.11.19 - 
TrendMicro 8.700.0.1004 2008.11.20 - 
VBA32 3.12.8.9 2008.11.20 - 
ViRobot 2008.11.18.1474 2008.11.18 - 
VirusBuster 4.5.11.0 2008.11.20 - 
weitere Informationen 
File size: 303104 bytes 
MD5...: 9b459d84361a588901d7a21efe156fd7 
SHA1..: 233204288a2ad00971dd584ac940183de387e23d 
SHA256: 5c9d9a35d931c04460b2a49fef6c43be7e21717bd93017cfeed5a88d0a2aa96c 
SHA512: bd5c7f9aa8d025182800be47ecefe02d965c78fbd15406e7e03e9df7aa899e18
71714f9c6eda85751cb7b423d47881a65fe41600f4fd092e34888cd6883d518f 
PEiD..: Armadillo v1.71 
TrID..: File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%) 
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x4019d0
timedatestamp.....: 0x469e8766 (Wed Jul 18 21:34:30 2007)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
ycyqqu 0x1000 0xb5c 0x1000 5.26 2d9e91f0a4d0131d227d6d678bede52e
aayucky 0x2000 0x1bea 0x2000 4.95 7a75410a97c119c42687e29e0f8e439c
gkqqc 0x4000 0x436cc 0x44000 7.30 ec6eefa06ab7a115b9750cf33c2cf5a7
wcuwk 0x48000 0x1c5c 0x2000 3.86 4f03f0d45e261b41998161600ddc8e16

( 10 imports ) 
> KERNEL32.dll: GlobalFindAtomW, ClearCommBreak, GetConsoleCursorInfo, CompareStringW, GetCommState, GetEnvironmentVariableW, VirtualAllocEx, EndUpdateResourceA, QueryDosDeviceW, GetProfileIntA, _llseek, SetThreadPriorityBoost, GlobalFlags, SetStdHandle, EnumDateFormatsW, CreateFileW, GlobalAddAtomA, GetConsoleMode, IsDBCSLeadByteEx, GetUserDefaultLCID, SetProcessWorkingSetSize, SetTimeZoneInformation, LoadLibraryExA, FillConsoleOutputCharacterA, CreateDirectoryA, GetAtomNameA, GlobalDeleteAtom, lstrcpyA, SetVolumeLabelA, ExitThread, GetCurrentProcessId, _lopen, SetSystemTime, GetTickCount, SetEnvironmentVariableA, GetDiskFreeSpaceExA, SetCurrentDirectoryA, ReadConsoleA, DeleteCriticalSection, SetEnvironmentVariableW, OpenMutexA, GetThreadContext, AllocConsole, FlushFileBuffers, SetMailslotInfo, GetBinaryTypeW, GetCommandLineW, CompareStringA, SetCommTimeouts, GetPrivateProfileStringW, PeekNamedPipe, SetEndOfFile, WritePrivateProfileSectionW, CreateNamedPipeW, FindResourceExA, FindFirstFileW, OutputDebugStringW, TryEnterCriticalSection, GetDriveTypeW, GetSystemTime, GetCurrentProcess, GlobalFindAtomA, CreateDirectoryW, CreateMutexW, GetOEMCP, WaitNamedPipeA, FormatMessageW, OutputDebugStringA, CopyFileExW, GetCPInfo, SizeofResource, GenerateConsoleCtrlEvent, SetConsoleCursorPosition, IsBadReadPtr, GetCompressedFileSizeW, GetVolumeInformationW, FreeLibraryAndExitThread, GetModuleFileNameW, GetPrivateProfileStringA, CloseHandle, LocalLock, SetHandleCount, ReadFileScatter, EraseTape, GetModuleHandleA, CreateIoCompletionPort, Beep, LocalReAlloc, GetWindowsDirectoryA, lstrcatW, IsBadWritePtr, SetLastError, RaiseException, ExpandEnvironmentStringsW, WriteConsoleOutputW, GetFileAttributesExA, MoveFileExA, SetThreadAffinityMask, LoadResource, SystemTimeToFileTime, SetFileTime, SetNamedPipeHandleState, GetTapeParameters, GetPrivateProfileSectionW, ReadFile, MultiByteToWideChar, GetLocaleInfoW, PrepareTape, LCMapStringA, FormatMessageA, lstrlenA, GetStartupInfoA, GetACP, VirtualAlloc
> USER32.dll: GetDC, ShowWindow, GetScrollRange, SendMessageA, UnregisterHotKey, GetKeyboardState, SetProcessDefaultLayout, WinHelpA, DrawFocusRect, MoveWindow, TrackPopupMenuEx, GetClipboardData, LoadCursorFromFileW, DispatchMessageA, GetDCEx, UnionRect, TranslateMessage, PostThreadMessageA, GetLastActivePopup, ChangeDisplaySettingsA, GetClassLongW, GetNextDlgTabItem, MapVirtualKeyW, GetDialogBaseUnits, SetWindowContextHelpId, TranslateAcceleratorA, IsClipboardFormatAvailable, GetKeyState, MsgWaitForMultipleObjects, CharToOemBuffA, SetWinEventHook, SetKeyboardState, SystemParametersInfoA, wvsprintfW, SetClipboardViewer, GetSysColorBrush, OpenDesktopA, IsDlgButtonChecked, UnregisterClassA, SetWindowTextW, ModifyMenuW, LoadImageA, GetWindowWord, IsIconic, SetSysColors, DefMDIChildProcA, DefMDIChildProcW, DrawMenuBar, GetSysColor, EnumChildWindows, InsertMenuItemA, EnableWindow, CreateMenu, CopyRect, TrackPopupMenu, GetCaretBlinkTime, OpenDesktopW
> GDI32.dll: PolyBezierTo, ExtCreateRegion, GetCharWidth32W, RectVisible
> ADVAPI32.dll: GetSecurityDescriptorSacl, EqualSid, CreateServiceW, LogonUserW, QueryServiceObjectSecurity, CloseServiceHandle, RegisterServiceCtrlHandlerA, LookupPrivilegeNameA, RegOpenKeyExW, RegDeleteKeyW, BuildSecurityDescriptorW, AddAccessDeniedAce, CryptImportKey, DeleteAce, GetFileSecurityA, FreeSid, AbortSystemShutdownA, CryptGetKeyParam
> SHELL32.dll: SHBrowseForFolderA, DragAcceptFiles, SHGetSettings, SHFileOperationA, SHChangeNotify, SHGetSpecialFolderPathW, ShellExecuteA
> ole32.dll: CreateBindCtx
> OLEAUT32.dll: -, -, -, -, -, -, -, -, -, -, -
> COMCTL32.dll: ImageList_DragLeave, ImageList_DragEnter, ImageList_Add
> SHLWAPI.dll: StrFormatByteSizeW, PathFindExtensionA, StrPBrkW, SHGetValueA, StrChrW, StrCpyNW, SHRegQueryUSValueW, PathRemoveBackslashA, SHGetValueW, StrRChrA, PathQuoteSpacesW, StrStrW, UrlGetPartW, StrFormatByteSizeA, StrCmpW, PathIsPrefixW
> MSVCRT.dll: _controlfp, _except_handler3, __set_app_type, __p__fmode, __p__commode, _adjust_fdiv, __setusermatherr, _initterm, __getmainargs, _acmdln, exit, _XcptFilter, _exit, _chdir, _wfreopen, isalnum, strcspn, _strdup, wcslen, _lseek, _cexit, _read, _isctype, getc, _chmod, strncat, _wtoi64, bsearch, remove, _eof, _makepath, rewind, free, perror, calloc, mktime, _putws, _mbsrchr

( 0 exports )

Auswerung MBR:

Code:

ATTFilter

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Blacklight:

Code:

ATTFilter

keine funde

Malwarebytes:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1414
Windows 5.1.2600 Service Pack 3

20.11.2008 21:07:55
mbam-log-2008-11-20 (21-07-55).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 79129
Laufzeit: 13 minute(s), 8 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Danke und Grüße

Ingodwetrust · 20.11.2008, 22:21

Und weiter geht´s

Silentrunner:

Code:

ATTFilter

"Silent Runners.vbs", revision 58, http://www.silentrunners.org/
Operating System: Windows XP
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"ctfmon.exe" = "C:\WINXP\system32\ctfmon.exe" [MS]
"MSMSGS" = ""C:\Programme\Messenger\msmsgs.exe" /background" [MS]
"fcontrol" = "D:\\Thinkpad Treiber\\pfcontrol_v0.9.1\\fcontrol.exe" [empty string]
"wpijzrt" = ""c:\dokumente und einstellungen\ingodwetrust\lokale einstellungen\anwendungsdaten\wpijzrt.exe" wpijzrt" [null data]
"SpybotSD TeaTimer" = "C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" ["Safer Networking Limited"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"TVT Scheduler Proxy" = "C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" ["Lenovo Group Limited"]
"avgnt" = ""C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min" ["Avira GmbH"]
"TPHOTKEY" = "C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe" [null data]
"EZEJMNAP" = "C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe" ["Lenovo Group Ltd."]
"PWRMGRTR" = "rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor" [MS]
"BLOG" = "rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog" [MS]
"ACTray" = "C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe" ["Lenovo "]
"ACWLIcon" = "C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" ["Lenovo "]
"SynTPEnh" = "C:\Programme\Synaptics\SynTP\SynTPEnh.exe" ["Synaptics, Inc."]
"(Default)" = "(empty string)" [file not found]
"TpShocks" = "TpShocks.exe" ["Lenovo."]
"TP4EX" = "tp4ex.exe" ["Lenovo Group Limited"]
"igfxtray" = "C:\WINXP\system32\igfxtray.exe" ["Intel Corporation"]
"igfxhkcmd" = "C:\WINXP\system32\hkcmd.exe" ["Intel Corporation"]
"igfxpers" = "C:\WINXP\system32\igfxpers.exe" ["Intel Corporation"]
"SoundMAXPnP" = "C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe" ["Analog Devices, Inc."]
"SoundMAX" = "C:\Programme\Analog Devices\SoundMAX\Smax4.exe /tray" ["Analog Devices, Inc."]
"SunJavaUpdateSched" = ""C:\Programme\Java\jre6\bin\jusched.exe"" ["Sun Microsystems, Inc."]
"eBayToolbar" = "C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe" ["eBay Inc."]
"NeroFilterCheck" = "C:\WINXP\system32\NeroCheck.exe" ["Nero AG"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\ {++}
"Malwarebytes' Anti-Malware" = "C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent" ["Malwarebytes Corporation"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{22D8E815-4A5E-4DFB-845E-AAB64207F5BD}\(Default) = (no title provided)
  -> {HKLM...CLSID} = "eBay Toolbar Helper"
                   \InProcServer32\(Default) = "C:\Programme\eBay\eBay Toolbar2\eBayTB.dll" ["eBay Inc."]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
  -> {HKLM...CLSID} = "Spybot-S&D IE Protection"
                   \InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]
{724d43a9-0d85-11d4-9908-00400523e39a}\(Default) = "RoboForm"
  -> {HKLM...CLSID} = (no title provided)
                   \InProcServer32\(Default) = "C:\Programme\Siber Systems\AI RoboForm\roboform.dll" ["Siber Systems Inc."]
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided)
  -> {HKLM...CLSID} = "Java(tm) Plug-In SSV Helper"
                   \InProcServer32\(Default) = "C:\Programme\Java\jre6\bin\ssv.dll" ["Sun Microsystems, Inc."]
{BF468356-BB7E-42D7-9F15-4F3B9BCFCED2}\(Default) = "Password Manager Browser Helper Object"
  -> {HKLM...CLSID} = "IePasswordManagerHelper Class"
                   \InProcServer32\(Default) = "C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll" ["Lenovo Group Limited"]
{DBC80044-A445-435b-BC74-9C25C1C588A9}\(Default) = (no title provided)
  -> {HKLM...CLSID} = "Java(tm) Plug-In 2 SSV Helper"
                   \InProcServer32\(Default) = "C:\Programme\Java\jre6\bin\jp2ssv.dll" ["Sun Microsystems, Inc."]
{E7E6F031-17CE-4C07-BC86-EABFE594F69C}\(Default) = "JQSIEStartDetectorImpl"
  -> {HKLM...CLSID} = "JQSIEStartDetectorImpl Class"
                   \InProcServer32\(Default) = "C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll" ["Sun Microsystems, Inc."]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
  -> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung"
                   \InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
  -> {HKLM...CLSID} = "HyperTerminal Icon Ext"
                   \InProcServer32\(Default) = "C:\WINXP\system32\hticons.dll" ["Hilgraeve, Inc."]
"{EFA24E62-B078-11d0-89E4-00C04FC9E26E}" = "History Band"
  -> {HKLM...CLSID} = "History Band"
                   \InProcServer32\(Default) = "C:\WINXP\system32\shdocvw.dll" [MS]
"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning"
  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"
                   \InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
"{2F603045-309F-11CF-9774-0020AFD0CFF6}" = "Synaptics Control Panel"
  -> {HKLM...CLSID} = (no title provided)
                   \InProcServer32\(Default) = "C:\Programme\Synaptics\SynTP\SynTPCpl.dll" ["Synaptics, Inc."]
"{23170F69-40C1-278A-1000-000100020000}" = "7-Zip Shell Extension"
  -> {HKLM...CLSID} = "7-Zip Shell Extension"
                   \InProcServer32\(Default) = "C:\Programme\ThinkVantage\SMA\7z\7-zip.dll" ["Igor Pavlov"]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]
"{92085AD4-F48A-450D-BD93-B28CC7DF67CE}" = "eBay Toolbar"
  -> {HKLM...CLSID} = "eBay Toolbar"
                   \InProcServer32\(Default) = "C:\Programme\eBay\eBay Toolbar2\eBayTB.dll" ["eBay Inc."]
"{5858A72C-C2B4-4dd7-B2BF-B76DB1BD9F6C}" = "Microsoft Office OneNote Namespace Extension for Windows Desktop Search"
  -> {HKLM...CLSID} = "Microsoft Office OneNote Namespace Extension for Windows Desktop Search"
                   \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\Office12\ONFILTER.DLL" [MS]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
  -> {HKLM...CLSID} = (no title provided)
                   \InProcServer32\(Default) = "C:\Programme\Microsoft Office\Office12\msohevi.dll" [MS]
"{993BE281-6695-4BA5-8A2A-7AACBFAAB69E}" = "Microsoft Office Metadata Handler"
  -> {HKLM...CLSID} = "Microsoft Office Metadata Handler"
                   \InProcServer32\(Default) = "C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll" [MS]
"{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97}" = "Microsoft Office Thumbnail Handler"
  -> {HKLM...CLSID} = "Microsoft Office Thumbnail Handler"
                   \InProcServer32\(Default) = "C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\
"WPDShServiceObj" = "{AAA288BA-9A4C-45B0-95D7-94D524869DB5}"
  -> {HKLM...CLSID} = "WPDShServiceObj Class"
                   \InProcServer32\(Default) = "C:\WINXP\system32\wpdshserviceobj.dll" [MS]

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
<<!>> "BootExecute" = "autocheck autochk *"|"OODBS" ["O&O Software GmbH"]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
<<!>> ACNotify\DLLName = "ACNotify.dll" [file not found]
<<!>> dimsntfy\DLLName = "C:\WINXP\System32\dimsntfy.dll" [MS]
<<!>> igfxcui\DLLName = "igfxdev.dll" ["Intel Corporation"]
<<!>> tpfnf2\DLLName = "notifyf2.dll" [null data]
<<!>> tphotkey\DLLName = "tphklock.dll" [null data]

HKLM\SOFTWARE\Classes\PROTOCOLS\Filter\
<<!>> text/xml\CLSID = "{807563E5-5146-11D5-A672-00B0D022E945}"
  -> {HKLM...CLSID} = "Microsoft Office InfoPath XML Mime Filter"
                   \InProcServer32\(Default) = "C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\MSOXMLMF.DLL" [MS]

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"
                   \InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\
MBAMShlExt\(Default) = "{57CE581A-0CB6-4266-9CA0-19364C90A0B3}"
  -> {HKLM...CLSID} = "MBAMShlExt Class"
                   \InProcServer32\(Default) = "C:\Programme\Malwarebytes' Anti-Malware\mbamext.dll" ["Malwarebytes Corporation"]
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
  -> {HKLM...CLSID} = "Shell Extension for Malware scanning"
                   \InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\AllFilesystemObjects\shellex\ContextMenuHandlers\
MBAMShlExt\(Default) = "{57CE581A-0CB6-4266-9CA0-19364C90A0B3}"
  -> {HKLM...CLSID} = "MBAMShlExt Class"
                   \InProcServer32\(Default) = "C:\Programme\Malwarebytes' Anti-Malware\mbamext.dll" ["Malwarebytes Corporation"]


Group Policies {GPedit.msc branch and setting}:
-----------------------------------------------

Note: detected settings may not have any effect.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Devices: Allow undock without having to log on}


Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:
HKCU\Software\Microsoft\Internet Explorer\Desktop\General\
"Wallpaper" = "C:\WINXP\system32\config\systemprofile\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:
HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Dokumente und Einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINXP\system32\ssmypics.scr" [MS]


Windows Portable Device AutoPlay Handlers
-----------------------------------------

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\Handlers\

MSWPDShellNamespaceHandler\
"Provider" = "@%SystemRoot%\System32\WPDShextRes.dll,-501"
"CLSID" = "{A55803CC-4D53-404c-8557-FD63DBA95D24}"
"InitCmdLine" = " "
  -> {HKLM...CLSID} = "WPDShextAutoplay"
                   \LocalServer32\(Default) = "C:\WINXP\system32\WPDShextAutoplay.exe" [MS]

VLCPlayCDAudioOnArrival\
"Provider" = "VideoLAN VLC media player"
"InvokeProgID" = "VLC.CDAudio"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\VLC.CDAudio\shell\play\command\(Default) = "C:\Programme\VideoLAN\VLC\vlc.exe --started-from-file cdda://%1" ["the VideoLAN Team"]

VLCPlayDVDMovieOnArrival\
"Provider" = "VideoLAN VLC media player"
"InvokeProgID" = "VLC.DVDMovie"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\VLC.DVDMovie\shell\play\command\(Default) = "C:\Programme\VideoLAN\VLC\vlc.exe --started-from-file dvd://%1" ["the VideoLAN Team"]


Startup items in "Ingodwetrust" & "All Users" startup folders:
--------------------------------------------------------------

C:\Dokumente und Einstellungen\Ingodwetrust\Startmenü\Programme\Autostart
"OneNote 2007 Bildschirmausschnitt- und Startprogramm" -> shortcut to: "C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE /tsr" [MS]
"Sonic CinePlayer Quick Launch" -> shortcut to: "C:\Programme\Gemeinsame Dateien\Sonic Shared\cinetray.exe" ["Sonic Solutions"]

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart
"Adobe Gamma Loader" -> shortcut to: "C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe" ["Adobe Systems, Inc."]
"Digital Line Detect" -> shortcut to: "C:\Programme\Digital Line Detect\DLG.exe" ["Avanquest Software "]


Enabled Scheduled Tasks:
------------------------

"PMTask" -> launches: "C:\PROGRA~1\ThinkPad\UTILIT~1\PWMIDTSK.EXE" [null data]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 04, 07 - 16
%SystemRoot%\system32\rsvpsp.dll [MS], 05 - 06


Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\
"{724D43A0-0D85-11D4-9908-00400523E39A}"
  -> {HKLM...CLSID} = "&RoboForm"
                   \InProcServer32\(Default) = "C:\Programme\Siber Systems\AI RoboForm\roboform.dll" ["Siber Systems Inc."]

HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\
"{92085AD4-F48A-450D-BD93-B28CC7DF67CE}" = (no title provided)
  -> {HKLM...CLSID} = "eBay Toolbar"
                   \InProcServer32\(Default) = "C:\Programme\eBay\eBay Toolbar2\eBayTB.dll" ["eBay Inc."]
"{724D43A0-0D85-11D4-9908-00400523E39A}" = (no title provided)
  -> {HKLM...CLSID} = "&RoboForm"
                   \InProcServer32\(Default) = "C:\Programme\Siber Systems\AI RoboForm\roboform.dll" ["Siber Systems Inc."]

Explorer Bars

HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\

HKLM\SOFTWARE\Classes\CLSID\{FF059E31-CC5A-4E2E-BF3B-96E929D65503}\(Default) = "&Recherchieren"
Implemented Categories\{00021493-0000-0000-C000-000000000046}\ [vertical bar]
InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL" [MS]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\
{2670000A-7350-4F3C-8081-5663EE0C6C49}\
"ButtonText" = "An OneNote senden"
"MenuText" = "An OneNote s&enden"
"CLSIDExtension" = "{48E73304-E1D6-4330-914C-F5F514E3486C}"
  -> {HKLM...CLSID} = "Send to OneNote from Internet Explorer button"
                   \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll" [MS]

{320AF880-6646-11D3-ABEE-C5DBF3571F46}\
"ButtonText" = "Ausfüllen"
"MenuText" = "RF - Formular ausfüllen"
"Script" = "file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html" [file not found]

{320AF880-6646-11D3-ABEE-C5DBF3571F49}\
"ButtonText" = "Speichern"
"MenuText" = "RF - Formular speichern"
"Script" = "file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html" [file not found]

{724D43AA-0D85-11D4-9908-00400523E39A}\
"ButtonText" = "RoboForm"
"MenuText" = "RF - RoboForm-Leiste ein/aus"
"Script" = "file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html" [file not found]

{92780B25-18CC-41C8-B9BE-3C9C571A8263}\
"ButtonText" = "Research"

{DFB852A3-47F8-48C4-A200-58CAB36FD2A2}\
"MenuText" = "Spybot - Search & Destroy Configuration"
"CLSIDExtension" = "{53707962-6F74-2D53-2644-206D7942484F}"
  -> {HKLM...CLSID} = "Spybot-S&D IE Protection"
                   \InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]

{E2E2DD38-D088-4134-82B7-F2BA38496583}\
"MenuText" = "@xpsp3res.dll,-20001"
"Exec" = "%windir%\Network Diagnostic\xpnetdiag.exe" [MS]

{F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3}\
"MenuText" = "Lenovo Password Manager..."
"CLSIDExtension" = "{F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3}"
  -> {HKLM...CLSID} = "IePasswordManagerMenu Class"
                   \InProcServer32\(Default) = "C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll" ["Lenovo Group Limited"]

{FB5F1910-F110-11D2-BB9E-00C04F795683}\
"ButtonText" = "Messenger"
"MenuText" = "Windows Messenger"
"Exec" = "C:\Programme\Messenger\msmsgs.exe" [MS]


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

Ac Profile Manager Service, AcPrfMgrSvc, "C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe" ["Lenovo "]
Access Connections Main Service, AcSvc, "C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe" ["Lenovo "]
Avira AntiVir Personal - Free Antivirus Guard, AntiVirService, ""C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe"" ["Avira GmbH"]
Avira AntiVir Personal - Free Antivirus Planer, AntiVirScheduler, ""C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe"" ["Avira GmbH"]
Intel® PROSet/Wireless Event Log, EvtEng, "C:\Programme\Intel\WiFi\bin\EvtEng.exe" ["Intel(R) Corporation"]
Intel® PROSet/Wireless Registry Service, RegSrvc, "C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe" ["Intel(R) Corporation"]
Intel® PROSet/Wireless WiFi Service, S24EventMonitor, "C:\Programme\Intel\WiFi\bin\S24EvMon.exe" ["Intel(R) Corporation"]
Java Quick Starter, JavaQuickStarterService, ""C:\Programme\Java\jre6\bin\jqs.exe" -service -config "C:\Programme\Java\jre6\lib\deploy\jqs\jqs.conf"" ["Sun Microsystems, Inc."]
O&O Defrag, O&O Defrag, "C:\WINXP\system32\oodag.exe" ["O&O Software GmbH"]
Power Manager DBC Service, Power Manager DBC Service, "C:\Programme\ThinkPad\Utilities\PWMDBSVC.exe" [empty string]
SoundMAX Agent Service, SoundMAX Agent Service (default), "C:\Programme\Analog Devices\SoundMAX\SMAgent.exe" ["Analog Devices, Inc."]
System Update, SUService, ""C:\Programme\Lenovo\System Update\SUService.exe"" [null data]
ThinkPad HDD APS Logging Service, TPHDEXLGSVC, "System32\TPHDEXLG.exe" ["Lenovo."]
ThinkPad PM Service, IBMPMSVC, "C:\WINXP\system32\ibmpmsvc.exe" ["Lenovo"]
TSS Core Service, TSSCoreService, ""C:\Programme\Lenovo\Client Security Solution\tvttcsd.exe"" ["Lenovo"]
TVT Scheduler, TVT Scheduler, ""C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe"" ["Lenovo Group Limited"]
WMI-Leistungsadapter, WmiApSrv, "C:\WINXP\system32\wbem\wmiapsrv.exe" [MS]


Keyboard Driver Filters:
------------------------

HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\
"UpperFilters" = <<!>> "TPInput" ["Lenovo, Ltd. and IBM Corporation."]


Print Monitors:
---------------

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\
Send To Microsoft OneNote Monitor\Driver = "msonpmon.dll" [MS]


---------- (launch time: 2008-11-20 21:23:40)
<<!>>: Suspicious data at a malware launch point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
  launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
  DLL launch points, use the -supp parameter or answer "No" at the
  first message box and "Yes" at the second message box.
---------- (total run time: 48 seconds, including 12 seconds for message boxes)

Filelisting:
File-Upload.net - listing.txt

So jetzt fehlt noch combofix, ich habe noch probleme bei Microsoft eine Wiederherstellungskonsole herunterzuladen. Ich habe XP mit SP3 und auf der Microsoft Website gibt es nur Wiederherstellungskonsolen bis SP2, da weiß ich nicht was ich machen soll. Die XP CD habe ich nicht zu Hand.

Danke und Grüße

cosinus · 21.11.2008, 20:27

Eigentlich kannst Du Combofix so ohne Weiteres ausführen, die Wiederherstellungskonsole extra vorher noch manuell zu installieren ist nicht nötig.

Ingodwetrust · 22.11.2008, 12:12

Hallo,

hier nun der ComboFix Logfile.

Code:

ATTFilter

ComboFix 08-11-21.03 - Ingodwetrust 2008-11-22  2:31:26.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.1415 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Ingodwetrust\Desktop\ComboFix.exe

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\wpijzrt.dat
c:\dokumente und einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\wpijzrt.exe
c:\dokumente und einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\wpijzrt_nav.dat
c:\dokumente und einstellungen\Ingodwetrust\Lokale Einstellungen\Anwendungsdaten\wpijzrt_navps.dat
c:\winxp\system32\polynet.dll

.
(((((((((((((((((((((((   Dateien erstellt von 2008-10-22 bis 2008-11-22  ))))))))))))))))))))))))))))))
.

2008-11-21 23:43 . 2008-11-21 23:43	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\WINDOWS
2008-11-21 15:33 . 2008-11-21 15:33	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\ScreenSeven
2008-11-21 15:32 . 2008-11-21 23:50	<DIR>	d--------	c:\programme\DEUTSCHLAND SPIELT
2008-11-21 14:36 . 2008-11-21 14:36	<DIR>	d--------	C:\SWSHARE
2008-11-20 21:42 . 2008-11-20 21:42	<DIR>	d--------	c:\programme\CCleaner
2008-11-20 20:53 . 2008-11-20 20:53	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Malwarebytes
2008-11-20 20:53 . 2008-10-22 16:10	15,504	--a------	c:\winxp\system32\drivers\mbam.sys
2008-11-20 20:52 . 2008-11-20 20:53	<DIR>	d--------	c:\programme\Malwarebytes' Anti-Malware
2008-11-20 20:52 . 2008-11-20 20:52	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-11-20 20:52 . 2008-10-22 16:10	38,496	--a------	c:\winxp\system32\drivers\mbamswissarmy.sys
2008-11-20 14:33 . 2008-11-20 14:33	<DIR>	d--------	c:\programme\Trend Micro
2008-11-19 23:00 . 2008-11-19 23:00	0	--a------	c:\winxp\nsreg.dat
2008-11-19 21:48 . 2008-11-19 21:48	<DIR>	d--------	c:\programme\Gemeinsame Dateien\Sonic Shared
2008-11-19 21:47 . 2008-11-19 21:47	<DIR>	d--------	c:\programme\Gemeinsame Dateien\Wise Installation Wizard
2008-11-19 21:07 . 2008-11-19 21:33	156,910	--a------	c:\winxp\WMSysPr8.prx
2008-11-19 15:30 . 2008-11-19 15:30	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\CMUV
2008-11-19 13:38 . 2008-11-19 22:51	<DIR>	d--------	C:\Videos
2008-11-19 13:32 . 2008-11-19 13:32	<DIR>	d--------	c:\programme\Viola
2008-11-19 13:28 . 2005-03-20 18:05	10,112	--a------	c:\winxp\system32\drivers\digitelmo1.sys
2008-11-19 00:35 . 2008-11-19 00:35	<DIR>	d--------	c:\programme\Gemeinsame Dateien\DirectX
2008-11-18 15:12 . 2008-11-18 16:11	<DIR>	d--------	c:\programme\Spybot - Search & Destroy
2008-11-18 15:12 . 2008-11-20 21:44	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-11-18 12:45 . 2008-11-18 15:48	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Lavasoft
2008-11-17 17:40 . 2008-11-20 12:02	69	--a------	c:\winxp\NeroDigital.ini
2008-11-17 13:42 . 2008-11-22 02:34	<DIR>	d--------	c:\programme\OXXOGames
2008-11-15 13:52 . 2001-08-18 02:22	12,288	--a------	c:\winxp\system32\drivers\mouhid.sys
2008-11-15 13:52 . 2001-08-18 02:22	12,288	--a--c---	c:\winxp\system32\dllcache\mouhid.sys
2008-11-15 13:52 . 2008-04-13 22:15	10,368	--a------	c:\winxp\system32\drivers\hidusb.sys
2008-11-15 13:52 . 2008-04-13 22:15	10,368	--a--c---	c:\winxp\system32\dllcache\hidusb.sys
2008-11-14 19:46 . 2008-11-14 19:46	<DIR>	d--------	c:\programme\Gemeinsame Dateien\Ahead
2008-11-14 19:46 . 2008-11-14 19:46	<DIR>	d--------	c:\programme\Ahead
2008-11-14 19:46 . 2004-07-26 17:16	1,568,768	---------	c:\winxp\system32\ImagX7.dll
2008-11-14 19:46 . 2004-07-26 17:16	476,320	---------	c:\winxp\system32\ImagXpr7.dll
2008-11-14 19:46 . 2004-07-26 17:16	471,040	---------	c:\winxp\system32\ImagXRA7.dll
2008-11-14 19:46 . 2004-07-09 09:43	364,544	---------	c:\winxp\system32\TwnLib4.dll
2008-11-14 19:46 . 2004-07-26 17:16	262,144	---------	c:\winxp\system32\ImagXR7.dll
2008-11-14 19:46 . 2006-01-12 16:40	155,648	--a------	c:\winxp\system32\NeroCheck.exe
2008-11-14 19:46 . 2005-09-01 12:03	127,488	---------	c:\winxp\system32\drivers\imagesrv.sys
2008-11-14 19:46 . 2000-06-26 11:45	106,496	--a------	c:\winxp\system32\TwnLib20.dll
2008-11-14 19:46 . 2005-09-01 12:03	5,888	---------	c:\winxp\system32\drivers\imagedrv.sys
2008-11-14 16:00 . 2008-10-24 12:21	455,296	-----c---	c:\winxp\system32\dllcache\mrxsmb.sys
2008-11-13 22:22 . 2008-11-13 22:22	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Phenomedia
2008-11-13 22:20 . 2008-11-13 22:20	<DIR>	d--------	c:\programme\bellaundben
2008-11-13 21:12 . 2008-11-13 21:12	<DIR>	d--------	c:\programme\Microsoft Works
2008-11-13 21:12 . 2006-10-26 19:56	32,592	--a------	c:\winxp\system32\msonpmon.dll
2008-11-13 21:10 . 2008-11-13 21:10	<DIR>	d--------	c:\programme\Microsoft.NET
2008-11-13 21:08 . 2008-11-13 21:11	<DIR>	d--------	c:\winxp\SHELLNEW
2008-11-13 21:07 . 2008-11-13 21:07	<DIR>	dr-h-----	C:\MSOCache
2008-11-13 21:07 . 2008-11-13 21:13	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft Help
2008-11-12 23:07 . 2008-11-12 23:07	<DIR>	d--------	c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\Avaya
2008-11-12 23:07 . 2008-11-12 23:07	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Avaya
2008-11-12 01:57 . 2008-11-12 12:51	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\dvdcss
2008-11-12 00:52 . 2008-11-12 00:52	<DIR>	d--------	c:\winxp\Sun
2008-11-12 00:52 . 2008-11-22 00:02	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\TV-Browser
2008-11-12 00:52 . 2008-11-12 00:52	410,976	--a------	c:\winxp\system32\deploytk.dll
2008-11-12 00:52 . 2008-11-12 00:52	73,728	--a------	c:\winxp\system32\javacpl.cpl
2008-11-12 00:51 . 2008-11-12 00:51	<DIR>	d--------	c:\programme\Java
2008-11-12 00:45 . 2008-11-11 01:15	<DIR>	d--------	c:\programme\eBay
2008-11-12 00:45 . 2008-11-11 01:19	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\eBay
2008-11-12 00:45 . 2008-11-22 02:19	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\WholeSecurity
2008-11-12 00:45 . 2008-11-11 01:17	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\eBay
2008-11-12 00:25 . 2008-11-12 00:25	<DIR>	d--------	c:\programme\Foxit Software
2008-11-12 00:12 . 2008-11-19 23:29	<DIR>	d--------	c:\programme\XP-Clean Express
2008-11-12 00:03 . 2008-11-12 00:03	<DIR>	d--------	c:\programme\Zattoo
2008-11-11 23:59 . 2008-11-11 23:59	<DIR>	d--------	c:\programme\TV-Browser
2008-11-11 23:24 . 2008-11-11 23:24	<DIR>	d--------	c:\winxp\system32\LogFiles
2008-11-11 23:21 . 2008-11-22 00:46	<DIR>	d--------	c:\programme\eMule
2008-11-11 23:11 . 2008-11-11 23:11	<DIR>	d--------	c:\programme\Digital Line Detect
2008-11-11 23:11 . 2008-11-11 23:11	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\InstallShield
2008-11-11 23:10 . 2008-11-11 23:11	<DIR>	d--------	c:\programme\NetWaiting
2008-11-11 23:10 . 2008-11-11 23:10	<DIR>	d--------	c:\programme\CONEXANT
2008-11-11 23:03 . 2008-11-11 23:03	<DIR>	d--------	c:\programme\Analog Devices
2008-11-11 23:03 . 2001-09-11 14:20	1,285,632	--a------	c:\winxp\system32\SMMedia.dll
2008-11-11 22:55 . 2008-11-11 22:55	<DIR>	d--------	c:\programme\Gemeinsame Dateien\Adobe
2008-11-11 22:53 . 1998-10-21 18:43	328,704	--a------	c:\winxp\IsUn0407.exe
2008-11-11 22:43 . 2008-09-23 18:31	38,912	-----c---	c:\winxp\system32\dllcache\WgaTray.exe
2008-11-11 22:43 . 2008-09-23 18:31	3,584	-----c---	c:\winxp\system32\dllcache\wgaLogon.dll
2008-11-11 22:27 . 2006-09-15 09:54	155,648	--a------	c:\winxp\system32\igfxres.dll
2008-11-11 22:21 . 2008-11-11 22:21	<DIR>	d--------	c:\programme\ThinkVantage
2008-11-11 22:19 . 2008-11-11 18:31	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Lenovo
2008-11-11 22:18 . 2008-11-11 22:18	<DIR>	d--------	c:\winxp\Downloaded Installations
2008-11-11 22:15 . 2008-11-20 02:07	109	--a------	c:\winxp\oodcnt.INI
2008-11-11 22:14 . 2005-10-17 01:11	65,536	--a------	c:\winxp\system32\TP4EX.exe
2008-11-11 22:14 . 2005-10-17 01:11	61,440	--a------	c:\winxp\system32\tp4ex.cpl
2008-11-11 22:14 . 2006-10-02 01:55	55,296	---------	c:\winxp\system32\TP98.CPL
2008-11-11 22:14 . 2005-10-17 01:11	45,056	--a------	c:\winxp\system32\FPCALL.dll
2008-11-11 22:14 . 2005-10-17 01:11	40,960	--a------	c:\winxp\system32\TP4HOOK.dll
2008-11-11 22:14 . 2005-10-17 01:11	40,960	--a------	c:\winxp\system32\tp4cross.exe
2008-11-11 22:14 . 2006-10-02 01:55	14,848	---------	c:\winxp\system32\drivers\SMAPINT.SYS
2008-11-11 22:14 . 2006-10-02 01:55	9,343	---------	c:\winxp\system32\drivers\TDSMAPI.SYS
2008-11-11 22:14 . 2005-10-17 01:11	8,507	--a------	c:\winxp\system32\TP4EX.HLP
2008-11-11 22:14 . 2005-10-17 01:11	5,928	--a------	c:\winxp\system32\TP4LATCH.WAV
2008-11-11 22:14 . 2005-10-17 01:11	4,458	--a------	c:\winxp\system32\TP4CLICK.WAV
2008-11-11 22:13 . 2008-11-11 23:46	<DIR>	d--------	C:\Program Files
2008-11-11 22:13 . 2006-09-26 14:13	14,848	--a------	c:\winxp\system32\drivers\TPDiskPM.sys
2008-11-11 22:13 . 2006-09-26 14:13	6,528	--a------	c:\winxp\system32\drivers\TPInput.sys
2008-11-11 22:13 . 2008-11-11 22:13	2,086	--a------	c:\winxp\system32\SMBIOS.bin
2008-11-11 22:12 . 2008-11-11 22:12	<DIR>	d--------	c:\programme\Synaptics
2008-11-11 22:12 . 2008-07-03 15:53	225,664	--a------	c:\winxp\system32\drivers\SynTP.sys
2008-11-11 22:12 . 2008-07-03 15:56	200,704	--a------	c:\winxp\system32\SynCtrl.dll
2008-11-11 22:12 . 2008-07-03 15:55	163,840	--a------	c:\winxp\system32\SynCOM.dll
2008-11-11 22:12 . 2008-07-03 16:09	147,456	--a------	c:\winxp\system32\SynTPAPI.dll
2008-11-11 22:12 . 2008-07-03 16:29	110,592	--a------	c:\winxp\system32\SynTPCo4.dll
2008-11-11 22:12 . 2008-11-11 22:12	0	-rah-----	c:\winxp\system32\drivers\IBM_1858_A32_TP.MRK
2008-11-11 22:11 . 2008-08-15 20:12	582,968	--a------	c:\winxp\system32\tvt_gina.dll
2008-11-11 22:11 . 2008-08-15 20:12	292,152	--a------	c:\winxp\system32\tvt_gina_api.dll
2008-11-11 22:11 . 2008-09-25 01:47	16,384	---------	c:\winxp\PWMBTHLP.EXE
2008-11-11 22:11 . 2008-08-15 20:12	11,520	--a------	c:\winxp\system32\drivers\ANC.sys
2008-11-11 22:11 . 2008-09-25 01:47	4,442	---------	c:\winxp\system32\drivers\TPPWRIF.SYS
2008-11-11 22:11 . 2008-08-15 20:12	4,224	--a------	c:\winxp\system32\drivers\IBMBLDID.sys
2008-11-11 22:11 . 2008-11-11 22:12	188	--a------	c:\winxp\x
2008-11-11 22:11 . 2008-11-11 22:11	0	--a------	c:\winxp\system32\AccConnAdvanced.html
2008-11-11 22:10 . 2008-11-11 23:11	<DIR>	d--------	c:\programme\ThinkPad
2008-11-11 22:09 . 2008-11-19 00:33	<DIR>	d--h-----	c:\programme\InstallShield Installation Information
2008-11-11 22:09 . 2008-11-11 23:03	<DIR>	d--------	c:\programme\Gemeinsame Dateien\InstallShield
2008-11-11 22:01 . 2008-11-11 22:01	<DIR>	d--------	c:\programme\OO Software
2008-11-11 21:53 . 2008-11-11 21:55	<DIR>	d--------	c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\vlc
2008-11-11 21:52 . 2008-11-11 21:52	<DIR>	d--------	c:\programme\VideoLAN
2008-11-11 21:06 . 2008-11-11 21:06	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\RoboForm
2008-11-11 21:05 . 2008-11-11 21:05	<DIR>	d--------	c:\programme\Siber Systems
2008-11-11 21:05 . 2008-11-11 21:05	<DIR>	d--------	C:\My RoboForm Data
2008-11-11 21:02 . 2008-11-11 21:02	<DIR>	d--------	c:\programme\Avira
2008-11-11 21:02 . 2008-11-11 21:02	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2008-11-11 20:10 . 2008-11-11 20:10	<DIR>	d--h-----	c:\winxp\system32\GroupPolicy
2008-11-11 19:32 . 2008-04-13 22:15	26,368	--a--c---	c:\winxp\system32\dllcache\usbstor.sys

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-11-11 21:19	---------	d-----w	c:\programme\Lenovo
2008-11-11 21:19	---------	d-----w	c:\programme\Gemeinsame Dateien\Lenovo
2008-11-11 21:18	30,144	----a-w	c:\winxp\system32\drivers\psadd.sys
2008-11-11 21:17	---------	d-----w	c:\programme\Intel
2008-11-10 19:36	---------	d-----w	c:\programme\Gemeinsame Dateien\Intel
2008-11-10 19:36	---------	d-----w	c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\Intel
2008-11-10 19:36	---------	d-----w	c:\dokumente und einstellungen\LocalService\Anwendungsdaten\Intel
2008-11-10 19:36	---------	d-----w	c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Intel
2008-11-10 19:36	---------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Intel
2008-11-10 19:08	---------	d-----w	c:\programme\microsoft frontpage
2008-11-10 19:04	---------	d-----w	c:\programme\Online-Dienste
2008-11-10 19:03	---------	d-----w	c:\programme\Gemeinsame Dateien\Dienste
2008-11-10 19:01	---------	d-----w	c:\programme\Windows Media Connect 2
2008-10-24 11:21	455,296	----a-w	c:\winxp\system32\drivers\mrxsmb.sys
2008-10-17 22:43	1,847,040	----a-w	c:\winxp\system32\win32k.sys
2008-10-17 22:42	333,824	----a-w	c:\winxp\system32\drivers\srv.sys
2008-10-17 22:42	2,191,488	----a-w	c:\winxp\system32\ntoskrnl.exe
2008-10-16 13:13	202,776	----a-w	c:\winxp\system32\wuweb.dll
2008-10-16 13:13	1,809,944	----a-w	c:\winxp\system32\wuaueng.dll
2008-10-16 13:12	561,688	----a-w	c:\winxp\system32\wuapi.dll
2008-10-16 13:12	323,608	----a-w	c:\winxp\system32\wucltui.dll
2008-10-16 13:09	92,696	----a-w	c:\winxp\system32\cdm.dll
2008-10-16 13:09	51,224	----a-w	c:\winxp\system32\wuauclt.exe
2008-10-16 13:09	43,544	----a-w	c:\winxp\system32\wups2.dll
2008-10-16 13:08	34,328	----a-w	c:\winxp\system32\wups.dll
2008-09-30 15:43	1,286,152	----a-w	c:\winxp\system32\msxml4.dll
2008-09-10 01:13	1,307,648	----a-w	c:\winxp\system32\msxml6.dll
2008-09-04 17:15	1,106,944	----a-w	c:\winxp\system32\msxml3.dll
2008-08-26 09:57	826,368	----a-w	c:\winxp\system32\wininet.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="c:\winxp\system32\ctfmon.exe" [2008-04-14 15360]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]
"fcontrol"="d:\\Thinkpad Treiber\\pfcontrol_v0.9.1\\fcontrol.exe" [2008-06-02 283136]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TVT Scheduler Proxy"="c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" [2008-03-04 487424]
"avgnt"="c:\programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]
"TPHOTKEY"="c:\progra~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe" [2006-10-02 94208]
"EZEJMNAP"="c:\progra~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe" [2008-06-05 242976]
"PWRMGRTR"="c:\progra~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL" [2008-09-25 331776]
"BLOG"="c:\progra~1\ThinkPad\UTILIT~1\BatLogEx.DLL" [2008-09-25 208896]
"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2008-08-15 425984]
"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2008-08-15 143360]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2008-07-03 1323008]
"igfxtray"="c:\winxp\system32\igfxtray.exe" [2006-09-15 94208]
"igfxhkcmd"="c:\winxp\system32\hkcmd.exe" [2006-09-15 77824]
"igfxpers"="c:\winxp\system32\igfxpers.exe" [2006-09-15 118784]
"SoundMAXPnP"="c:\programme\Analog Devices\SoundMAX\SMax4PNP.exe" [2004-10-14 1388544]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2008-11-12 136600]
"eBayToolbar"="c:\programme\eBay\eBay Toolbar2\eBayTBDaemon.exe" [2008-08-06 652528]
"NeroFilterCheck"="c:\winxp\system32\NeroCheck.exe" [2006-01-12 155648]
"TpShocks"="TpShocks.exe" [2008-06-06 c:\winxp\system32\TpShocks.exe]
"TP4EX"="tp4ex.exe" [2005-10-17 c:\winxp\system32\TP4EX.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]

c:\dokumente und einstellungen\Ingodwetrust\Startmen\Programme\Autostart\
OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk - c:\programme\Microsoft Office\Office12\ONENOTEM.EXE [2006-10-26 98632]
Sonic CinePlayer Quick Launch.lnk - c:\programme\Gemeinsame Dateien\Sonic Shared\cinetray.exe [2002-09-18 98304]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Adobe Gamma Loader.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2008-11-11 110592]
Digital Line Detect.lnk - c:\programme\Digital Line Detect\DLG.exe [2008-11-11 45056]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ACNotify]
2008-08-15 21:37 32768 c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]
2005-07-05 23:45 28672 c:\winxp\system32\notifyf2.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]
2005-11-30 20:16 24576 c:\winxp\system32\tphklock.dll

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages	REG_MULTI_SZ   	scecli ACGina

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Zattoo\\zattood.exe"=
"c:\\Programme\\Zattoo\\Zattoo2.exe"=
"c:\programme\eMule\emule.exe"= c:\programme\eMule\emule.exe:192.168.1.3/255.255.255.255:Enabled:eMule
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"d:\\Programme\\soft Xpansion\\Billard Deluxe\\Pool2.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"2222:TCP"= 2222:TCP:Emule
"3333:UDP"= 3333:UDP:emule2

R0 Shockprf;Shockprf;c:\winxp\system32\DRIVERS\Apsx86.sys [2008-05-14 114728]
R0 TPDIGIMN;TPDIGIMN;c:\winxp\system32\DRIVERS\ApsHM86.sys [2008-05-14 19496]
R0 TPDiskPM;TPDiskPM;c:\winxp\system32\drivers\TPDiskPM.sys [2008-11-11 14848]
R1 ANC;ANC;c:\winxp\system32\drivers\ANC.SYS [2008-11-11 11520]
R1 Cinemsup;Cinemsup;c:\winxp\system32\drivers\Cinemsup.sys [2002-07-19 6656]
R1 IBMTPCHK;IBMTPCHK;\??\c:\winxp\system32\Drivers\IBMBLDID.sys [2008-11-11 4224]
R1 TPPWRIF;TPPWRIF;c:\winxp\system32\drivers\Tppwrif.sys [2008-11-11 4442]
R2 Power Manager DBC Service;Power Manager DBC Service;c:\programme\ThinkPad\Utilities\PWMDBSVC.exe [2008-11-11 94208]
R3 TPInput;TPInput;c:\winxp\system32\DRIVERS\TPInput.sys [2008-11-11 6528]
R3 TPM11;NSC Integrated Trusted Platform Module 1.1;c:\winxp\system32\DRIVERS\nsctpm11.sys [2008-05-05 14336]
R3 TVTI2C;Lenovo SM bus driver;c:\winxp\system32\DRIVERS\Tvti2c.sys [2008-02-22 37312]
S3 digitelmo1;DIGITELMO 1;c:\winxp\system32\DRIVERS\digitelmo1.sys [2008-11-19 10112]
.
Inhalt des "geplante Tasks" Ordners

2008-11-22 c:\winxp\Tasks\PMTask.job
- c:\progra~1\ThinkPad\UTILIT~1\PWMIDTSK.EXE [2008-09-25 01:47]
.
.
------- Zusätzlicher Suchlauf -------
.
FireFox -: Profile - c:\dokumente und einstellungen\Ingodwetrust\Anwendungsdaten\Mozilla\Firefox\Profiles\9yp5q2qw.default\
FF -: plugin - c:\programme\Java\jre6\bin\new_plugin\npdeploytk.dll
FF -: plugin - c:\programme\Java\jre6\bin\new_plugin\npjp2.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-11-22 02:34:27
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

Prozess: c:\winxp\system32\winlogon.exe
-> c:\winxp\system32\tphklock.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\winxp\system32\ibmpmsvc.exe
c:\programme\Intel\WiFi\bin\S24EvMon.exe
c:\programme\Avira\AntiVir PersonalEdition Classic\sched.exe
c:\programme\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe
c:\programme\ThinkPad\Utilities\EZEJMNAP.EXE
c:\winxp\system32\rundll32.exe
c:\programme\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe
c:\programme\Lenovo\PkgMgr\HOTKEY_1\TpScrex.exe
c:\programme\Synaptics\SynTP\SynTPLpr.exe
d:\thinkpad treiber\pfcontrol_v0.9.1\fcontrol.exe
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
c:\programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
c:\programme\Intel\WiFi\bin\EvtEng.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\winxp\system32\oodag.exe
c:\programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
c:\programme\Analog Devices\SoundMAX\SMAgent.exe
c:\winxp\system32\TPHDEXLG.exe
c:\programme\Lenovo\Client Security Solution\tvttcsd.exe
c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
c:\programme\Lenovo\System Update\SUService.exe
c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe
c:\programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
c:\winxp\system32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-11-22  2:36:36 - PC wurde neu gestartet [Ingodwetrust]
ComboFix-quarantined-files.txt  2008-11-22 01:36:31

Vor Suchlauf: 13 Verzeichnis(se), 30,902,558,720 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 30,840,016,896 Bytes frei

303

cosinus · 22.11.2008, 12:35

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

ATTFilter

c:\winxp\system32\notifyf2.dll
c:\winxp\WMSysPr8.prx
c:\winxp\system32\deploytk.dll
c:\winxp\system32\drivers\psadd.sys
c:\winxp\system32\drivers\Tppwrif.sys

21.11.2008, 20:27	#5
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Unerwünschte Werbeseiten mit IE7 Eigentlich kannst Du Combofix so ohne Weiteres ausführen, die Wiederherstellungskonsole extra vorher noch manuell zu installieren ist nicht nötig. __________________ Logfiles bitte immer in CODE-Tags posten

Unerwünschte Werbeseiten mit IE7

Log-Analyse und Auswertung: Unerwünschte Werbeseiten mit IE7