Firefox öffnet ständig neue Fenster mit mehreren Tabs

miami007 · 02.12.2009, 15:52

Hallo zusammen!
Seit einigen Tagen habe ich Probleme mit Firefox! Es öffnet ständig neue Fenster mit darin geöffneten Tabs. Es sind immer die gleichen Tabs. 2 davon zeigen einen Seiten-Ladefehler an, 2 andere zeigen den Index von file:///C:/Dokumente und Einstellungen/***/Desktop/# und der letzte zeigt immer die seite h**p://imp.ovh.net/ an!

Ich habe bis jetzt avira antivir scannen lassen. Es hat nichts gefunden!
Anschließend habe ich es mit adaware versucht. Ebenfalls nix!
Als nächstes blieb spybot ohne ergebnis!

In meiner verzweiflung wende ich mich an dieses Forum!
Ich habe bereits bisschen gegoogelt aber nirgendwo das gleiche problem gefunden, häufig öffnet firefox bei anderen leuten werbefenster aber das ist es bei mir glaube ich nicht.

Ich habe also als letzten Schritt mal eine Logfile mit HijackThis gemacht. Ich hoffe die wird aufschlussreich sein.

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:44:50, on 02.12.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Winamp\winampa.exe
C:\Programme\Caere\OmniPagePro90\opware32.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programme\OpenOffice.org 3\program\soffice.exe
C:\Programme\OpenOffice.org 3\program\soffice.bin
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.msn.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?o=13166&l=dis
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe dkgf.ffo axony
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: MSN Toolbar Helper - {d2ce3e00-f94a-4740-988e-03dc2f38c34f} - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: (no name) - {D0943516-5076-4020-A3B5-AEFAF26AB263} - (no file)
O3 - Toolbar: MSN Toolbar - {1E61ED7C-7CB8-49d6-B9E9-AB4C880C8414} - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll
O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [OmniPage] C:\Programme\Caere\OmniPagePro90\opware32.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Serif WebPlus X2 OLR] C:\PROGRA~1\BVRPSO~1\SERIFW~1\BVRPOlr.exe /Serif WebPlus X2
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Save YouTube Video as MP3 - res://C:\Programme\Gemeinsame Dateien\DVDVideoSoft\Dll\IEContextMenuY.dll/scriptY2MP3.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{E8432FA7-9AC8-409B-B263-1BD4814AB5F1}: NameServer = 217.0.43.33 217.0.43.17
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

So ich bedanke mich schon mal im voraus und hoffe ich habe was nützliches reingestellt und beschrieben.
Vg

Chris4You · 02.12.2009, 16:57

Hi,

Askbar deinstallieren und hier haben wir noch was:

Code:

ATTFilter

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe dkgf.ffoaxony

Bitte daher folgende Files prüfen:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

ATTFilter

dkgf.ffo
axony

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Hijackthis, fixen:
öffne das HijackThis -- Button "scan" -- vor den nachfolgenden Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten
Beim fixen müssen alle Programme geschlossen sein!

Code:

ATTFilter

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe dkgf.ffo axony

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.

RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
* Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
* speichere es auf Deinem Desktop.
* Starte mit Doppelklick die RSIT.exe.
* Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
* Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
* In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
* Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
* Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
* Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
* Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

Gmer:
http://www.trojaner-board.de/74908-anleitung-gmer-rootkit-scanner.html
Den Downloadlink findest Du links oben (www.gmer.net/files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris

miami007 · 02.12.2009, 17:40

Schon mal vielen dank für die anleitung!
Ich werde versuchen es hinzubekommen. Ich weiss zwar nicht ob ich es heute noch schaffe da es sich nach sehr viel anhört(ansonsten morgen

) aber sobald ich neuigkeiten habe poste ich sie hier!
Vielen dank.

Chris4You · 03.12.2009, 07:40

Hi,

Ok!
Die Datei kann die Endung dll haben, also:
dkgf.ffo.dll

chris

xeixe · 03.12.2009, 12:27

@Chris4You

Sag mal Chris, ich hab wohl so ein ähnliches Problem. Könntest du Dir mein Topic anschauen und mein Log-File und mir sagen, ob ich genau so vorgehen muss wie du es hier vorschlägst oder ob du was anderes raten würdest? Du scheinst Ahnung zu haben, ansonsten konnte mir bisher keiner helfen ...

Das wäre super, Danke Dir schonmal...

http://www.trojaner-board.de/79976-browser-ie-und-firefox-oefnnen-von-alleine-fenster-mit-vielen-tabs.html

miami007 · 03.12.2009, 16:28

So nun habe ich ein wenig getan.
Ich habe den schritt mit der Virustotal-seite nicht hinbekommen, da ich die dateien: dkgf.ffo(.dll) und axony nicht gefunden habe zum hochladen

Die askbar ist deinstalliert und HijackThis ist auch gefixt!

Den scan mit Malwarebytes habe ich eben auch erledigt. Es gab 1 infizierten fund!
code:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.41
Datenbank Version: 3284
Windows 5.1.2600 Service Pack 2

03.12.2009 16:18:49
mbam-log-2009-12-03 (16-18-49).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 261162
Laufzeit: 3 hour(s), 56 minute(s), 49 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\WINDOWS\system\DRIVER (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Während der scan lief meldete sich mein antivir guard und berichtete über einen trojaner fund (TR/Crypt.CFI.gen). Den habe ich löschen lassen.

So viel vorerst mal. Werde jetzt mit dem rest weiter machen.

vg

Chris4You · 03.12.2009, 16:32

Hi,

das hier sieht nach einem Backdoor aus, mal sehen was RSIT noch so bringt...
"C:\WINDOWS\system\DRIVER"

Eigentlich sollten da aber Files drin sein, die sind dann wohl schon gelöscht worden...

chris

miami007 · 03.12.2009, 16:47

zuerst RSIT logfile:

Code:

ATTFilter

Logfile of random's system information tool 1.06 (written by random/random)
Run by * at 2009-12-03 16:30:48
Microsoft Windows XP Professional Service Pack 2
System drive C: has 5 GB (12%) free of 40 GB
Total RAM: 1279 MB (32% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:31:10, on 03.12.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Winamp\winampa.exe
C:\Programme\Caere\OmniPagePro90\opware32.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\Programme\OpenOffice.org 3\program\soffice.exe
C:\Programme\OpenOffice.org 3\program\soffice.bin
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\Dokumente und Einstellungen\***\Desktop\RSIT.exe
C:\Programme\Trend Micro\HijackThis\Kasapovic.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.msn.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?o=13166&l=dis
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {201f27d4-3704-41d6-89c1-aa35e39143ed} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: MSN Toolbar Helper - {d2ce3e00-f94a-4740-988e-03dc2f38c34f} - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: (no name) - {D0943516-5076-4020-A3B5-AEFAF26AB263} - (no file)
O3 - Toolbar: MSN Toolbar - {1E61ED7C-7CB8-49d6-B9E9-AB4C880C8414} - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [OmniPage] C:\Programme\Caere\OmniPagePro90\opware32.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Serif WebPlus X2 OLR] C:\PROGRA~1\BVRPSO~1\SERIFW~1\BVRPOlr.exe /Serif WebPlus X2
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Save YouTube Video as MP3 - res://C:\Programme\Gemeinsame Dateien\DVDVideoSoft\Dll\IEContextMenuY.dll/scriptY2MP3.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{E8432FA7-9AC8-409B-B263-1BD4814AB5F1}: NameServer = 217.0.43.33 217.0.43.17
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 6006 bytes

======Scheduled tasks folder======

C:\WINDOWS\tasks\Ad-Aware Update (Weekly).job

======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
AcroIEHlprObj Class - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll [2005-09-23 63136]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{201f27d4-3704-41d6-89c1-aa35e39143ed}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]
Spybot-S&D IE Protection - C:\PROGRA~1\SPYBOT~1\SDHelper.dll [2009-01-26 1879896]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}]
Windows Live Anmelde-Hilfsprogramm - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll [2009-01-22 408448]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{d2ce3e00-f94a-4740-988e-03dc2f38c34f}]
MSN Toolbar Helper - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll [2009-03-13 82768]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}]
Java(tm) Plug-In 2 SSV Helper - C:\Programme\Java\jre6\bin\jp2ssv.dll [2009-10-11 41760]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E7E6F031-17CE-4C07-BC86-EABFE594F69C}]
JQSIEStartDetectorImpl Class - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll [2009-10-11 73728]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{D0943516-5076-4020-A3B5-AEFAF26AB263}
{1E61ED7C-7CB8-49d6-B9E9-AB4C880C8414} - MSN Toolbar - C:\Programme\MSN\Toolbar\3.0.1203.0\msneshellx.dll [2009-03-13 82768]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"ZoneAlarm Client"=C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe [2008-07-09 919016]
"SoundMan"=C:\WINDOWS\SOUNDMAN.EXE [2007-04-16 577536]
"WinampAgent"=C:\Programme\Winamp\winampa.exe [2009-03-09 37888]
"OmniPage"=C:\Programme\Caere\OmniPagePro90\opware32.exe [1998-10-22 44032]
"SunJavaUpdateSched"=C:\Programme\Java\jre6\bin\jusched.exe [2009-10-11 149280]
"avgnt"=C:\Programme\Avira\AntiVir Desktop\avgnt.exe [2009-03-02 209153]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe [2002-12-31 15360]
"msnmsgr"=C:\Programme\Windows Live\Messenger\msnmsgr.exe [2009-07-26 3883840]
"Serif WebPlus X2 OLR"=C:\PROGRA~1\BVRPSO~1\SERIFW~1\BVRPOlr.exe [2008-02-11 79104]
"SpybotSD TeaTimer"=C:\Programme\Spybot - Search & Destroy\TeaTimer.exe [2009-03-05 2260480]

C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\Autostart
Adobe Gamma Loader.lnk - C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
Adobe Reader - Schnellstart.lnk - C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Dokumente und Einstellungen\***\Startmenü\Programme\Autostart
OpenOffice.org 3.0.lnk - C:\Programme\OpenOffice.org 3\program\quickstart.exe

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\Lavasoft Ad-Aware Service]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\vsmon]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=145

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\WINDOWS\system32\usmt\migwiz.exe"="C:\WINDOWS\system32\usmt\migwiz.exe:*:Enabled:Assistent zum Übertragen von Dateien und Einstellungen"
"C:\Programme\Messenger\msmsgs.exe"="C:\Programme\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Programme\Skype\Phone\Skype.exe"="C:\Programme\Skype\Phone\Skype.exe:*:Enabled:Skype"
"C:\Programme\Windows Live\Messenger\msnmsgr.exe"="C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Programme\Windows Live\Messenger\msnmsgr.exe"="C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{1ca8dacc-3beb-11de-b6cf-0010dcf86261}]
shell\AutoRun\command - K:\LaunchU3.exe -a


======List of files/folders created in the last 1 months======

2009-12-03 16:30:48 ----D---- C:\rsit
2009-12-03 11:42:29 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Malwarebytes
2009-12-03 11:42:17 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Malwarebytes
2009-12-03 11:42:16 ----D---- C:\Programme\Malwarebytes' Anti-Malware
2009-12-02 20:57:21 ----D---- C:\Programme\Gemeinsame Dateien\fun communications
2009-12-02 20:57:05 ----A---- C:\WINDOWS\Active Setup Log.txt
2009-12-02 15:29:42 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\TEMP
2009-12-02 15:01:13 ----D---- C:\Programme\Trend Micro
2009-12-02 13:39:52 ----D---- C:\Programme\Spybot - Search & Destroy
2009-12-02 13:39:52 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Spybot - Search & Destroy
2009-12-01 15:14:39 ----HDC---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\{CFBD8779-FAAB-4357-84F2-1EC8619FADA6}
2009-12-01 15:13:36 ----D---- C:\Programme\Lavasoft
2009-12-01 15:13:36 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Lavasoft
2009-11-29 14:48:30 ----D---- C:\Programme\Microsoft SQL Server Compact Edition
2009-11-29 14:47:11 ----HDC---- C:\WINDOWS\$NtUninstallWIC$
2009-11-29 14:45:03 ----D---- C:\Programme\Microsoft
2009-11-28 00:53:14 ----D---- C:\Programme\Avira
2009-11-28 00:53:14 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Avira
2009-11-24 15:31:48 ----A---- C:\WINDOWS\system32\javaws.exe
2009-11-24 15:31:48 ----A---- C:\WINDOWS\system32\javaw.exe
2009-11-24 15:31:48 ----A---- C:\WINDOWS\system32\java.exe

======List of files/folders modified in the last 1 months======

2009-12-03 16:31:07 ----D---- C:\WINDOWS\Prefetch
2009-12-03 16:29:29 ----D---- C:\WINDOWS\Internet Logs
2009-12-03 14:44:36 ----D---- C:\WINDOWS\Temp
2009-12-03 12:14:04 ----D---- C:\Programme\Mozilla Firefox
2009-12-03 12:04:51 ----SD---- C:\WINDOWS\Tasks
2009-12-03 11:59:28 ----D---- C:\WINDOWS\system32\CatRoot2
2009-12-03 11:57:53 ----A---- C:\WINDOWS\SchedLgU.Txt
2009-12-03 11:55:16 ----RD---- C:\Programme
2009-12-03 11:42:20 ----D---- C:\WINDOWS\system32\drivers
2009-12-02 20:57:56 ----A---- C:\WINDOWS\win.ini
2009-12-02 20:57:52 ----AD---- C:\WINDOWS\system32
2009-12-02 20:57:21 ----D---- C:\Programme\Gemeinsame Dateien
2009-12-02 20:57:10 ----D---- C:\WINDOWS
2009-12-02 20:56:52 ----A---- C:\TO_InstallLog.txt
2009-12-02 20:56:03 ----D---- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\T-Online_ZusatzSoftware
2009-12-02 18:46:44 ----D---- C:\Programme\MessengerDiscovery
2009-12-02 18:46:12 ----D---- C:\Programme\MSN Messenger
2009-12-02 18:42:56 ----D---- C:\Programme\Gemeinsame Dateien\Dienste
2009-12-01 15:19:52 ----HD---- C:\WINDOWS\inf
2009-12-01 15:19:06 ----DC---- C:\WINDOWS\system32\DRVSTORE
2009-12-01 15:14:39 ----SHD---- C:\WINDOWS\Installer
2009-12-01 15:14:37 ----SHD---- C:\Config.Msi
2009-12-01 13:38:29 ----D---- C:\WINDOWS\system32\CatRoot
2009-12-01 11:28:07 ----D---- C:\Programme\PokerStars
2009-12-01 11:24:39 ----D---- C:\Programme\PokerStars.NET
2009-11-30 18:46:10 ----D---- C:\Ado
2009-11-29 14:48:34 ----RSD---- C:\WINDOWS\assembly
2009-11-29 14:46:21 ----D---- C:\Programme\Windows Live
2009-11-28 00:51:49 ----D---- C:\WINDOWS\WinSxS
2009-11-28 00:51:47 ----D---- C:\Programme\Gemeinsame Dateien\Microsoft Shared
2009-11-24 15:31:16 ----D---- C:\Programme\Java
2009-11-18 16:25:11 ----D---- C:\****
2009-11-16 19:36:23 ----D---- C:\***
2009-11-16 09:14:17 ----D---- C:\My Downloads
2009-11-09 22:11:22 ----SD---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Microsoft

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R1 AmdK7;AMD K7-Prozessortreiber; C:\WINDOWS\system32\DRIVERS\amdk7.sys [2002-12-31 41472]
R1 avgio;avgio; \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys []
R1 avipbb;avipbb; C:\WINDOWS\system32\DRIVERS\avipbb.sys [2009-03-30 96104]
R1 KLIF;KLIF; C:\WINDOWS\system32\DRIVERS\klif.sys [2007-07-19 127768]
R1 ssmdrv;ssmdrv; C:\WINDOWS\system32\DRIVERS\ssmdrv.sys [2009-05-11 28520]
R1 vsdatant;vsdatant; C:\WINDOWS\System32\vsdatant.sys [2008-07-09 394952]
R2 acedrv11;acedrv11; \??\C:\WINDOWS\system32\drivers\acedrv11.sys []
R2 avgntflt;avgntflt; C:\WINDOWS\system32\DRIVERS\avgntflt.sys [2009-07-28 55656]
R3 ALCXWDM;Service for Realtek AC97 Audio (WDM); C:\WINDOWS\system32\drivers\ALCXWDM.SYS [2008-09-24 4122368]
R3 Arp1394;1394-ARP-Clientprotokoll; C:\WINDOWS\system32\DRIVERS\arp1394.sys [2002-12-31 60800]
R3 AVMWAN;AVM NDIS WAN CAPI-Treiber; C:\WINDOWS\system32\DRIVERS\avmwan.sys [2001-08-17 37568]
R3 FETNDIS;VIA PCI 10/100-MBit/s-Fast Ethernetadapter-NT-Treiber; C:\WINDOWS\system32\DRIVERS\fetnd5.sys [2001-08-17 27165]
R3 fpcibase;AVM ISDN-Controller FRITZ!Card PCI; C:\WINDOWS\system32\DRIVERS\fpcibase.sys [2001-08-17 444416]
R3 HidUsb;Microsoft HID Class-Treiber; C:\WINDOWS\system32\DRIVERS\hidusb.sys [2001-08-17 9600]
R3 mouhid;Maus-HID-Treiber; C:\WINDOWS\system32\DRIVERS\mouhid.sys [2001-08-18 12288]
R3 ms_mpu401;Microsoft MPU-401 MIDI UART-Treiber; C:\WINDOWS\system32\drivers\msmpu401.sys [2001-08-17 2944]
R3 NIC1394;1394-Netzwerktreiber; C:\WINDOWS\system32\DRIVERS\nic1394.sys [2002-12-31 61824]
R3 nv;nv; C:\WINDOWS\system32\DRIVERS\nv4_mini.sys [2004-08-03 1897408]
R3 SCREAMINGBDRIVER;Screaming Bee Audio; C:\WINDOWS\system32\drivers\ScreamingBAudio.sys [2009-03-27 23064]
R3 usbehci;Miniporttreiber für erweiterten Microsoft USB 2.0-Hostcontroller; C:\WINDOWS\system32\DRIVERS\usbehci.sys [2002-12-31 26624]
R3 usbhub;USB2-aktivierter Hub; C:\WINDOWS\system32\DRIVERS\usbhub.sys [2002-12-31 57600]
R3 usbstor;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2002-12-31 26496]
R3 usbuhci;Miniporttreiber für universellen Microsoft USB-Hostcontroller; C:\WINDOWS\system32\DRIVERS\usbuhci.sys [2002-12-31 20480]
S3 CA561;ICatch (VI) PC Camera; C:\WINDOWS\System32\Drivers\SPCA561.SYS [2002-10-01 119798]
S3 CCDECODE;Untertiteldecoder; C:\WINDOWS\system32\DRIVERS\CCDECODE.sys [2004-08-03 17024]
S3 MSTEE;Microsoft Streaming Tee/Sink-to-Sink-Konvertierung; C:\WINDOWS\system32\drivers\MSTEE.sys [2004-08-03 5504]
S3 NABTSFEC;NABTS/FEC VBI-Codec; C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys [2004-08-03 85376]
S3 NdisIP;Microsoft TV-/Videoverbindung; C:\WINDOWS\system32\DRIVERS\NdisIP.sys [2004-08-03 10880]
S3 PCANDIS5;PCANDIS5; \??\C:\PROGRA~1\T-DSLS~1\PCANDIS5.SYS []
S3 SLIP;BDA Slip De-Framer; C:\WINDOWS\system32\DRIVERS\SLIP.sys [2004-08-03 11136]
S3 streamip;BDA-IPSink; C:\WINDOWS\system32\DRIVERS\StreamIP.sys [2004-08-03 15360]
S3 usbccgp;Microsoft Standard-USB-Haupttreiber; C:\WINDOWS\system32\DRIVERS\usbccgp.sys [2004-08-03 31616]
S3 usbscan;USB-Scannertreiber; C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 15104]
S3 WSTCODEC;World Standard Teletext-Codec; C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS [2004-08-03 19328]
S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys []

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 AntiVirSchedulerService;Avira AntiVir Planer; C:\Programme\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]
R2 AntiVirService;Avira AntiVir Guard; C:\Programme\Avira\AntiVir Desktop\avguard.exe [2009-07-21 185089]
R2 JavaQuickStarterService;Java Quick Starter; C:\Programme\Java\jre6\bin\jqs.exe [2009-10-11 153376]
R2 UMWdf;Windows User Mode Driver Framework; C:\WINDOWS\system32\wdfmgr.exe [2005-01-28 38912]
R2 vsmon;TrueVector Internet Monitor; C:\WINDOWS\system32\ZoneLabs\vsmon.exe [2008-07-09 75304]
S2 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service; C:\Programme\Lavasoft\Ad-Aware\AAWService.exe [2009-12-01 1184912]
S3 Adobe LM Service;Adobe LM Service; C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe [2005-04-25 68096]
S3 aspnet_state;ASP.NET State Service; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2005-09-23 29896]
S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2005-09-23 66240]

-----------------EOF-----------------

die RSIT info file:

Code:

ATTFilter

info.txt logfile of random's system information tool 1.06 2009-12-03 16:31:13

======Uninstall list======

-->"C:\Programme\InstallShield Installation Information\{0494A42D-5498-4A52-8865-5AF02A992865}\setup.exe" -runfromtemp -l0x0007 -removeonly
-->C:\Programme\DivX\DivXConverterUninstall.exe /CONVERTER
-->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf
Ad-Aware-->"C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\{CFBD8779-FAAB-4357-84F2-1EC8619FADA6}\Ad-AwareInstallation.exe" REMOVE=TRUE MODIFY=FALSE
Ad-Aware-->C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\{CFBD8779-FAAB-4357-84F2-1EC8619FADA6}\Ad-AwareInstallation.exe
Adobe Flash Player 10 ActiveX-->C:\WINDOWS\system32\Macromed\Flash\uninstall_activeX.exe
Adobe Flash Player 10 Plugin-->C:\WINDOWS\system32\Macromed\Flash\uninstall_plugin.exe
Adobe Photoshop CS-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\PROFES~1\RunTime\0701\Intel32\Ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{EFB21DE7-8C19-4A88-BB28-A766E16493BC}\setup.exe" -l0x9 
Adobe Reader 7.0.5 - Deutsch-->MsiExec.exe /I{AC76BA86-7AD7-1031-7B44-A70500000002}
Adobe Shockwave Player 11.5-->C:\WINDOWS\system32\Adobe\uninstaller.exe
ArcSoft PhotoBase-->C:\WINDOWS\IsUn0407.exe -fC:\Programme\ArcSoft\PhotoBase\Uninst.isu
ArcSoft PhotoStudio 2000-->C:\WINDOWS\IsUn0407.exe -f"C:\Programme\ArcSoft\PhotoStudio 2000\Uninst.isu"
Avira AntiVir Personal - Free Antivirus-->C:\Programme\Avira\AntiVir Desktop\setup.exe /REMOVE
Canon ScanGear Toolbox 3.1-->C:\WINDOWS\IsUn0407.exe -f"C:\Programme\Canon\ScanGear Toolbox Ver3.1\Uninst.isu" -c"C:\Programme\Canon\ScanGear Toolbox Ver3.1\uninst.dll"
Clean Virus MSN-->"C:\Programme\Clean Virus MSN\unins000.exe"
DivX Codec-->C:\Programme\DivX\DivXCodecUninstall.exe /CODEC
DivX Converter-->C:\Programme\DivX\DivXConverterUninstall.exe /CONVERTER
DivX Player-->C:\Programme\DivX\DivXPlayerUninstall.exe /PLAYER
DivX Plus DirectShow Filters-->C:\Programme\DivX\DivXDSFiltersUninstall.exe /DSFILTERS
DivX Web Player-->C:\Programme\DivX\DivXWebPlayerUninstall.exe /PLUGIN
Free YouTube Converter-->"C:\Programme\Topsevenreviews\Free YouTube Converter\unins000.exe"
Free YouTube to Mp3 Converter version 3.2-->"C:\Programme\DVDVideoSoft\Free YouTube to Mp3 Converter\unins000.exe"
HijackThis 2.0.2-->"C:\Programme\Trend Micro\HijackThis\HijackThis.exe" /uninstall
homepageMAKER 6 Ultimate v1.1-->"C:\***\Ultimate\unins000.exe"
Hotfix für Windows XP (KB942288-v3)-->"C:\WINDOWS\$NtUninstallKB942288-v3$\spuninst\spuninst.exe"
ICatch (VI) PC Camera-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\engine\6\INTEL3~1\ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{F48C6EA5-3B43-11D6-86A6-0050BA0259A2}\setup.exe" 
Java(TM) 6 Update 17-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216013FF}
Junk Mail filter update-->MsiExec.exe /I{E2DFE069-083E-4631-9B6C-43C48E991DE5}
Malwarebytes' Anti-Malware-->"C:\Programme\Malwarebytes' Anti-Malware\unins000.exe"
Mediscript-CD GK1-->C:\PROGRA~1\GK1neu\UNWISE.EXE C:\PROGRA~1\GK1neu\INSTALL.LOG
Microsoft .NET Framework 2.0-->C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\Microsoft .NET Framework 2.0\install.exe
Microsoft Choice Guard-->MsiExec.exe /X{F0E12BBA-AD66-4022-A453-A1C8A0C4D570}
Microsoft Silverlight-->MsiExec.exe /X{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}
Microsoft SQL Server 2005 Compact Edition [ENU]-->MsiExec.exe /I{F0B430D1-B6AA-473D-9B06-AA3DD01FD0B8}
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17-->MsiExec.exe /X{9A25302D-30C0-39D9-BD6F-21E6EC160475}
MorphVOX Pro-->MsiExec.exe /I{5A78F453-A2EA-4985-AE58-9775F373D7A4}
Mozilla Firefox (3.0.15)-->C:\PROGRAMME\Mozilla Firefox\uninstall\helper.exe
MSN Toolbar-->MsiExec.exe /I{0A88ADDA-E297-4AB8-9540-016230895F62}
MSVCRT-->MsiExec.exe /I{22B775E7-6C42-4FC5-8E10-9A5E3257BD94}
OmniPage Pro 9.0-->C:\Programme\Caere\OmniPagePro90\Deinstall.exe "C:\Programme\Caere\OmniPagePro90\uninstall.exe -f'C:\Programme\Caere\OmniPagePro90\DeIsL1.isu'"
OpenOffice.org 3.0-->MsiExec.exe /I{04B45310-A5FE-4425-BFCA-1A6D8920DE74}
PC Inspector smart recovery-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\PROFES~1\RunTime\0701\Intel32\Ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{C9A87D86-FDFD-418B-BF96-EF09320973B3}\Setup.exe" -l0x7 
ProtectDisc Driver, Version 11-->C:\Programme\ProtectDisc Driver Installer\uninstall_v11.exe
Realtek AC'97 Audio-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\PROFES~1\RunTime\11\50\Intel32\Ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{FB08F381-6533-4108-B7DD-039E11FBC27E}\setup.exe" -l0x7  -removeonly
Scan Manager 5.2-->MsiExec.exe /I{E0A1559B-9886-11D4-8D06-0050DA284A39}
Segoe UI-->MsiExec.exe /I{A1F66FC9-11EE-4F2F-98C9-16F8D1E69FB7}
Serif WebPlus X2 - Ressourcen-->MsiExec.exe /I{05BC428A-F2A5-4E11-8130-10C3237FD67B}
Serif WebPlus X2 Vorlagenpalette: Business & E-Commerce-->MsiExec.exe /I{E17EF5E4-5B2E-4E1D-AF84-707D9A91A383}
Serif WebPlus X2-->MsiExec.exe /I{8829E394-87E1-41C0-BCED-9B47F7C6DCDD}
Spybot - Search & Destroy-->"C:\Programme\Spybot - Search & Destroy\unins000.exe"
T-Online 5.0-->RunDll32 C:\PROGRA~1\GEMEIN~1\INSTAL~1\engine\6\INTEL3~1\Ctor.dll,LaunchSetup "C:\Programme\InstallShield Installation Information\{8283FCCD-AC71-4DC1-A81E-4F244FBBE11D}\setup.exe" CPAS
T-Online Copas-->C:\PROGRA~1\T-Online\Copas\UNWISE.EXE /U C:\PROGRA~1\T-Online\Copas\INSTALL.LOG
Uninstall 1.0.0.1-->"C:\Programme\Gemeinsame Dateien\DVDVideoSoft\unins000.exe"
Update für Windows Internet Explorer 8 (KB968220)-->"C:\WINDOWS\ie8updates\KB968220-IE8\spuninst\spuninst.exe"
Update für Windows XP (KB898461)-->"C:\WINDOWS\$NtUninstallKB898461$\spuninst\spuninst.exe"
VC80CRTRedist - 8.0.50727.762-->MsiExec.exe /I{767CC44C-9BBC-438D-BAD3-FD4595DD148B}
Winamp-->"C:\Programme\Winamp\UninstWA.exe"
Windows Imaging Component-->"C:\WINDOWS\$NtUninstallWIC$\spuninst\spuninst.exe"
Windows Internet Explorer 8-->"C:\WINDOWS\ie8\spuninst\spuninst.exe"
Windows Live Anmelde-Assistent-->MsiExec.exe /I{52B97218-98CB-4B8B-9283-D213C85E1AA4}
Windows Live Call-->MsiExec.exe /I{5FC68772-6D56-41C6-9DF1-24E868198AE6}
Windows Live Communications Platform-->MsiExec.exe /I{3B4E636E-9D65-4D67-BA61-189800823F52}
Windows Live Essentials-->C:\Programme\Windows Live\Installer\wlarp.exe
Windows Live Essentials-->MsiExec.exe /I{F8FF18EE-264A-43FD-B2F6-5EAD40798C2F}
Windows Live Mail-->MsiExec.exe /I{C4D738F7-996A-4C81-B8FA-C4E26D767E41}
Windows Live Messenger-->MsiExec.exe /X{41E654A9-26D0-4EAC-854B-0FA824FFFABB}
Windows Live-Uploadtool-->MsiExec.exe /I{205C6BDD-7B73-42DE-8505-9A093F35A238}
Windows Media Format Runtime-->"C:\Programme\Windows Media Player\wmsetsdk.exe" /UninstallAll
WinRAR-->C:\Programme\WinRAR\uninstall.exe
ZoneAlarm-->C:\Programme\Zone Labs\ZoneAlarm\zauninst.exe

=====HijackThis Backups=====

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) [2009-12-02]
F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe dkgf.ffo axony [2009-12-03]

======Hosts File======

127.0.0.1 localhost
127.0.0.1	www.007guard.com
127.0.0.1	007guard.com
127.0.0.1	008i.com
127.0.0.1	www.008k.com
127.0.0.1	008k.com
127.0.0.1	www.00hq.com
127.0.0.1	00hq.com
127.0.0.1	010402.com
127.0.0.1	www.032439.com

======Security center information======

AV: AntiVir Desktop
FW: ZoneAlarm Firewall (disabled)

======System event log======

Computer Name: BIH
Event Code: 26
Message: Anwendungspopup: : Machine Check:

Record Number: 5
Source Name: Application Popup
Time Written: 20091116192448.000000+060
Event Type: Informationen
User: 

Computer Name: BIH
Event Code: 26
Message: Anwendungspopup: : Machine Check: Regs

Record Number: 4
Source Name: Application Popup
Time Written: 20091116192448.000000+060
Event Type: Informationen
User: 

Computer Name: BIH
Event Code: 26
Message: Anwendungspopup: : Machine Check:

Record Number: 3
Source Name: Application Popup
Time Written: 20091116192448.000000+060
Event Type: Informationen
User: 

Computer Name: BIH
Event Code: 6005
Message: Der Ereignisprotokolldienst wurde gestartet.

Record Number: 2
Source Name: EventLog
Time Written: 20091116192447.000000+060
Event Type: Informationen
User: 

Computer Name: BIH
Event Code: 6009
Message: Microsoft (R) Windows (R) 5.01. 2600 Service Pack 2 Uniprocessor Free.

Record Number: 1
Source Name: EventLog
Time Written: 20091116192447.000000+060
Event Type: Informationen
User: 

=====Application event log=====

Computer Name: BIH
Event Code: 1800
Message: Der Windows-Sicherheitscenterdienst wurde gestartet.

Record Number: 1652
Source Name: SecurityCenter
Time Written: 20091112173352.000000+060
Event Type: Informationen
User: 

Computer Name: BIH
Event Code: 4096
Message: Der AntiVir Dienst wurde erfolgreich gestartet!

Record Number: 1651
Source Name: Avira AntiVir
Time Written: 20091112161351.000000+060
Event Type: Informationen
User: NT-AUTORITÄT\SYSTEM

Computer Name: BIH
Event Code: 1800
Message: Der Windows-Sicherheitscenterdienst wurde gestartet.

Record Number: 1650
Source Name: SecurityCenter
Time Written: 20091112161350.000000+060
Event Type: Informationen
User: 

Computer Name: BIH
Event Code: 4096
Message: Der AntiVir Dienst wurde erfolgreich gestartet!

Record Number: 1649
Source Name: Avira AntiVir
Time Written: 20091111101814.000000+060
Event Type: Informationen
User: NT-AUTORITÄT\SYSTEM

Computer Name: BIH
Event Code: 1800
Message: Der Windows-Sicherheitscenterdienst wurde gestartet.

Record Number: 1648
Source Name: SecurityCenter
Time Written: 20091111101813.000000+060
Event Type: Informationen
User: 

======Environment variables======

"ComSpec"=%SystemRoot%\system32\cmd.exe
"Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;C:\Programme\Gemeinsame Dateien\DivX Shared\
"windir"=%SystemRoot%
"FP_NO_HOST_CHECK"=NO
"OS"=Windows_NT
"PROCESSOR_ARCHITECTURE"=x86
"PROCESSOR_LEVEL"=6
"PROCESSOR_IDENTIFIER"=x86 Family 6 Model 8 Stepping 1, AuthenticAMD
"PROCESSOR_REVISION"=0801
"NUMBER_OF_PROCESSORS"=1
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP
"tvdumpflags"=8

-----------------EOF-----------------

Ok das ging deutlich schneller ;-)
Meinst du die Files im Driver-Ordner wurden durch die scan software gelöscht oder durch den backdoor? Ist das schlecht (mal ganz doof gefragt)?

Chris4You · 03.12.2009, 16:58

Hi,

da die Files nicht mehr da sind, können wir sie nicht überprüfen, allerdings ist das Verzeichnis charakteristisch für einen bestimmten Backdoor.

Ein Backdoor ist ein hohes Risiko, da jemand Zugriff auf Deinen Rechner hatte und damit Passwörter abgefangen, Änderungen etc. vorgenommen haben kann.

Daher empfehlen wir hier das Neuaufsetzen des Rechners in dem Fall...

Kennst Du dieses Verzeichnis?
C:\Programme\Gemeinsame Dateien\fun communications
Was ist da drin, Files bitte prüfen lassen (www.Virustotal.com)

Bitte folgende Files prüfen:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

ATTFilter

K:\LaunchU3.exe -a

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Lass bitte noch GMER laufen und poste das Log...

chris

miami007 · 03.12.2009, 17:32

ich kenne den ordner fun communications und dessen inhalt nicht!
Soll ich ihn nach dem scan löschen?

Code:

ATTFilter

 Datei funAd.dll empfangen 2009.12.03 16:15:02 (UTC)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/40 (0%)

	
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
a-squared	4.5.0.43	2009.12.03	-
AhnLab-V3	5.0.0.2	2009.12.03	-
AntiVir	7.9.1.92	2009.12.03	-
Antiy-AVL	2.0.3.7	2009.12.03	-
Authentium	5.2.0.5	2009.12.02	-
Avast	4.8.1351.0	2009.12.03	-
AVG	8.5.0.426	2009.12.03	-
BitDefender	7.2	2009.12.03	-
CAT-QuickHeal	10.00	2009.12.03	-
ClamAV	0.94.1	2009.12.03	-
Comodo	3103	2009.12.01	-
DrWeb	5.0.0.12182	2009.12.03	-
eSafe	7.0.17.0	2009.12.03	-
eTrust-Vet	35.1.7155	2009.12.03	-
F-Prot	4.5.1.85	2009.12.02	-
F-Secure	9.0.15370.0	2009.12.03	-
Fortinet	4.0.14.0	2009.12.03	-
GData	19	2009.12.03	-
Ikarus	T3.1.1.74.0	2009.12.03	-
K7AntiVirus	7.10.910	2009.12.03	-
Kaspersky	7.0.0.125	2009.12.03	-
McAfee	5819	2009.12.01	-
McAfee+Artemis	5819	2009.12.01	-
McAfee-GW-Edition	6.8.5	2009.12.03	-
Microsoft	1.5302	2009.12.03	-
NOD32	4658	2009.12.03	-
Norman	6.03.02	2009.12.03	-
nProtect	2009.1.8.0	2009.12.03	-
Panda	10.0.2.2	2009.12.03	-
PCTools	7.0.3.5	2009.12.03	-
Prevx	3.0	2009.12.03	-
Rising	22.24.03.06	2009.12.03	-
Sophos	4.48.0	2009.12.03	-
Sunbelt	3.2.1858.2	2009.12.03	-
Symantec	1.4.4.12	2009.12.03	-
TheHacker	6.5.0.2.083	2009.12.01	-
TrendMicro	9.100.0.1001	2009.12.03	-
VBA32	3.12.12.0	2009.12.03	-
ViRobot	2009.12.3.2070	2009.12.03	-
VirusBuster	5.0.21.0	2009.12.03	-
weitere Informationen
File size: 188416 bytes
MD5...: abf792d6e6f4af7127a4717749d71330
SHA1..: e437e073bce0fc3490ab416fff1808c4e9ffb412
SHA256: 2dcdb0177a46b1397cb59815e4717ec7d91658da8b59418f22168a534b5c650e
ssdeep: 3072:wUGUVBh4HoIB9Ut37VDETmMPh7UoiwUqopH:wUGM737B4GqG
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x9135
timedatestamp.....: 0x3fc700eb (Fri Nov 28 08:01:47 2003)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1bf42 0x1c000 6.61 faf46295b089503e9c9372273c9bda4e
.rdata 0x1d000 0x6332 0x7000 4.49 47a526efc0369564fb157ede36d3e400
.data 0x24000 0x74b0 0x4000 2.26 ef4a48849620da6c425fb8abdd1b55ec
.rsrc 0x2c000 0x1568 0x2000 3.49 17c8ff04761606a5ed0e1fa70b4f2653
.reloc 0x2e000 0x3910 0x4000 4.55 0c024b57fbef698775b8c50dcc0cb096

( 10 imports )
> KERNEL32.dll: SetErrorMode, GetVersion, GlobalFindAtomA, GlobalAddAtomA, GlobalGetAtomNameA, GetProcessVersion, GetFileAttributesA, GetFileSize, GetFileTime, GlobalFlags, WritePrivateProfileStringA, GetCPInfo, GetOEMCP, RtlUnwind, GetTimeZoneInformation, GetSystemTime, GetLocalTime, RaiseException, HeapFree, HeapAlloc, HeapReAlloc, GetCommandLineA, GetACP, CreateThread, ExitThread, TlsGetValue, TerminateProcess, HeapSize, SetStdHandle, GetFileType, SetUnhandledExceptionFilter, GetEnvironmentVariableA, GetVersionExA, HeapCreate, VirtualFree, VirtualAlloc, SetHandleCount, GetStdHandle, GetStartupInfoA, FreeEnvironmentStringsA, FreeEnvironmentStringsW, GetEnvironmentStrings, GetEnvironmentStringsW, LCMapStringA, LCMapStringW, GetStringTypeA, GetStringTypeW, UnhandledExceptionFilter, IsBadCodePtr, CompareStringA, CompareStringW, SetEnvironmentVariableA, LocalReAlloc, TlsSetValue, GlobalReAlloc, TlsFree, GlobalHandle, GlobalUnlock, GlobalFree, TlsAlloc, GlobalLock, GlobalAlloc, GlobalDeleteAtom, lstrcmpA, GetCurrentThread, SetLastError, GetFullPathNameA, GetVolumeInformationA, FindFirstFileA, FindClose, SetEndOfFile, UnlockFile, LockFile, FlushFileBuffers, SetFilePointer, WriteFile, ReadFile, CreateFileA, GetCurrentProcess, DuplicateHandle, LocalAlloc, CreateEventA, SuspendThread, GetCurrentThreadId, SetThreadPriority, ResumeThread, SetEvent, WaitForSingleObject, CloseHandle, FormatMessageA, LocalFree, FileTimeToLocalFileTime, FileTimeToSystemTime, Sleep, lstrcatA, lstrcpyA, LoadLibraryA, GetProcAddress, HeapDestroy, IsDBCSLeadByte, lstrcpynA, lstrcmpiA, LoadLibraryExA, GetLastError, FindResourceA, LoadResource, SizeofResource, FreeLibrary, WideCharToMultiByte, GetModuleFileNameA, GetModuleHandleA, GetShortPathNameA, lstrlenA, MultiByteToWideChar, lstrlenW, InterlockedDecrement, EnterCriticalSection, InterlockedIncrement, LeaveCriticalSection, DeleteCriticalSection, InitializeCriticalSection, CreateDirectoryA, IsBadReadPtr, IsBadWritePtr, WritePrivateProfileStructA, GetPrivateProfileStructA, CopyFileA, DeleteFileA, ExitProcess, RemoveDirectoryA
> USER32.dll: LoadIconA, SetWindowTextA, ShowWindow, LoadCursorA, GetSysColorBrush, ReleaseDC, GetDC, GetClassNameA, PtInRect, ClientToScreen, TabbedTextOutA, DrawTextA, GrayStringA, DestroyMenu, SetFocus, AdjustWindowRectEx, GetClientRect, CopyRect, GetTopWindow, GetCapture, WinHelpA, GetClassInfoA, RegisterClassA, GetMenu, GetSubMenu, GetMenuItemID, GetDlgItem, GetWindowTextA, GetDlgCtrlID, DefWindowProcA, DestroyWindow, CreateWindowExA, GetClassLongA, SetPropA, GetPropA, CallWindowProcA, RemovePropA, GetMessageTime, GetMessagePos, GetForegroundWindow, SetForegroundWindow, GetWindow, SetWindowLongA, SetWindowPos, RegisterWindowMessageA, SystemParametersInfoA, IsIconic, GetWindowPlacement, GetWindowRect, LoadStringA, UnregisterClassA, UnhookWindowsHookEx, GetMenuCheckMarkDimensions, LoadBitmapA, GetMenuState, ModifyMenuA, SetMenuItemBitmaps, CheckMenuItem, EnableMenuItem, GetFocus, CharNextA, wsprintfA, SetWindowsHookExA, GetCursorPos, GetNextDlgTabItem, GetParent, GetLastActivePopup, IsWindowEnabled, GetWindowLongA, MessageBoxA, EnableWindow, SetCursor, PostMessageA, PostQuitMessage, GetSystemMetrics, MapWindowPoints, GetMenuItemCount, GetSysColor, CharUpperA, GetDesktopWindow, PeekMessageA, IsWindowVisible, ValidateRect, CallNextHookEx, GetKeyState, SendMessageA, GetActiveWindow, DispatchMessageA, TranslateMessage, GetMessageA
> GDI32.dll: PtVisible, RectVisible, TextOutA, ExtTextOutA, Escape, ScaleWindowExtEx, SetWindowExtEx, ScaleViewportExtEx, SetViewportExtEx, OffsetViewportOrgEx, SetViewportOrgEx, SetMapMode, CreateBitmap, GetStockObject, SelectObject, RestoreDC, SaveDC, DeleteDC, DeleteObject, GetDeviceCaps, GetObjectA, SetBkColor, SetTextColor, GetClipBox
> comdlg32.dll: GetFileTitleA
> WINSPOOL.DRV: OpenPrinterA, ClosePrinter, DocumentPropertiesA
> ADVAPI32.dll: RegSetValueExA, RegEnumValueA, RegQueryInfoKeyA, RegDeleteKeyA, RegEnumKeyExA, RegOpenKeyExA, RegCloseKey, RegDeleteValueA, RegCreateKeyExA
> COMCTL32.dll: -
> ole32.dll: CoTaskMemFree, CoCreateInstance, CLSIDFromProgID, OleRun, CoInitialize, CoUninitialize, CoTaskMemRealloc, CoTaskMemAlloc
> OLEAUT32.dll: -, -, -, -, -, -, -, -, -, -, -, -, -
> WININET.dll: InternetGetLastResponseInfoA, HttpQueryInfoA, HttpSendRequestA, HttpAddRequestHeadersA, InternetErrorDlg, InternetCrackUrlA, InternetCanonicalizeUrlA, InternetOpenA, InternetCloseHandle, InternetSetStatusCallback, InternetSetFilePointer, InternetWriteFile, InternetReadFile, InternetQueryDataAvailable, InternetConnectA, HttpOpenRequestA

( 4 exports )
DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer
RDS...: NSRL Reference Data Set
-
pdfid.: -
sigcheck:
publisher....: fun communications GmbH
copyright....: (C) fun communications GmbH 2000-2003
product......: funAd.dll
description..: Advertising
original name: n/a
internal name: n/a
file version.: 4.0.3.1
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
trid..: Windows OCX File (63.5%)
Win32 Executable MS Visual C++ (generic) (19.3%)
Windows Screen Saver (6.7%)
Win32 Executable Generic (4.3%)
Win32 Dynamic Link Library (generic) (3.8%)

Code:

ATTFilter

 Datei funIntegCheck.dll empfangen 2009.12.03 16:21:43 (UTC)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/41 (0%)

	
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
a-squared	4.5.0.43	2009.12.03	-
AhnLab-V3	5.0.0.2	2009.12.03	-
AntiVir	7.9.1.92	2009.12.03	-
Antiy-AVL	2.0.3.7	2009.12.03	-
Authentium	5.2.0.5	2009.12.02	-
Avast	4.8.1351.0	2009.12.03	-
AVG	8.5.0.426	2009.12.03	-
BitDefender	7.2	2009.12.03	-
CAT-QuickHeal	10.00	2009.12.03	-
ClamAV	0.94.1	2009.12.03	-
Comodo	3103	2009.12.01	-
DrWeb	5.0.0.12182	2009.12.03	-
eSafe	7.0.17.0	2009.12.03	-
eTrust-Vet	35.1.7155	2009.12.03	-
F-Prot	4.5.1.85	2009.12.02	-
F-Secure	9.0.15370.0	2009.12.03	-
Fortinet	4.0.14.0	2009.12.03	-
GData	19	2009.12.03	-
Ikarus	T3.1.1.74.0	2009.12.03	-
Jiangmin	13.0.900	2009.12.02	-
K7AntiVirus	7.10.910	2009.12.03	-
Kaspersky	7.0.0.125	2009.12.03	-
McAfee	5819	2009.12.01	-
McAfee+Artemis	5819	2009.12.01	-
McAfee-GW-Edition	6.8.5	2009.12.03	-
Microsoft	1.5302	2009.12.03	-
NOD32	4658	2009.12.03	-
Norman	6.03.02	2009.12.03	-
nProtect	2009.1.8.0	2009.12.03	-
Panda	10.0.2.2	2009.12.03	-
PCTools	7.0.3.5	2009.12.03	-
Prevx	3.0	2009.12.03	-
Rising	22.24.03.06	2009.12.03	-
Sophos	4.48.0	2009.12.03	-
Sunbelt	3.2.1858.2	2009.12.03	-
Symantec	1.4.4.12	2009.12.03	-
TheHacker	6.5.0.2.083	2009.12.01	-
TrendMicro	9.100.0.1001	2009.12.03	-
VBA32	3.12.12.0	2009.12.03	-
ViRobot	2009.12.3.2070	2009.12.03	-
VirusBuster	5.0.21.0	2009.12.03	-
weitere Informationen
File size: 421888 bytes
MD5...: d6602c8c4421116cb623ad8888211d0a
SHA1..: 14df00504aef6fe19a0fd1665ef544077daa369f
SHA256: 1e6649a7ee38b62df22359997df51ce49e07f1fca2cf9b0c027bf92139aed268
ssdeep: 12288:lC98ZKn96zxBf57sWiWuepmqcsPjoQBOZKcP:XhB7oW3d97oQBCKc
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1fb5b
timedatestamp.....: 0x3b45ed68 (Fri Jul 06 16:55:04 2001)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x4bcd6 0x4c000 6.78 a64f78030dbd74e64b882c8c61c9b5fc
.rdata 0x4d000 0x9f6a 0xa000 5.20 411851e027071173ee530942c9bc13e3
.data 0x57000 0x543cc 0x7000 3.85 5ed932e953e19b6c568b5b7b698410c5
.rsrc 0xac000 0x21b8 0x3000 3.48 aa84a086c5d3e7ec510d9d80e5aa0111
.reloc 0xaf000 0x526a 0x6000 5.65 c35b8b93786339a079779af176311cb3

( 5 imports )
> KERNEL32.dll: IsDBCSLeadByte, lstrcpynA, lstrcpyA, LoadLibraryA, GetProcAddress, lstrcmpiA, LoadLibraryExA, GetLastError, FindResourceA, LoadResource, SizeofResource, FreeLibrary, GetModuleFileNameA, GetShortPathNameA, lstrlenA, lstrlenW, WideCharToMultiByte, EnterCriticalSection, LeaveCriticalSection, InitializeCriticalSection, DisableThreadLibraryCalls, DeleteCriticalSection, HeapDestroy, InterlockedDecrement, InterlockedIncrement, lstrcatA, TlsAlloc, GetCurrentDirectoryA, GetACP, GetCurrentThreadId, CloseHandle, ReadFile, CreateFileA, LocalFree, Sleep, InterlockedExchange, RtlUnwind, HeapFree, HeapAlloc, HeapReAlloc, GetCommandLineA, GetVersion, DeleteFileA, RaiseException, GetTimeZoneInformation, GetSystemTime, GetLocalTime, FindFirstFileA, FindNextFileA, FindClose, FileTimeToSystemTime, FileTimeToLocalFileTime, GetFullPathNameA, ExitProcess, LCMapStringA, LCMapStringW, GetCPInfo, CompareStringA, CompareStringW, TerminateProcess, GetCurrentProcess, HeapSize, TlsSetValue, MultiByteToWideChar, TlsFree, SetLastError, TlsGetValue, GetModuleHandleA, GetEnvironmentVariableA, GetVersionExA, HeapCreate, VirtualFree, VirtualAlloc, IsBadWritePtr, SetHandleCount, GetStdHandle, GetFileType, GetStartupInfoA, FreeEnvironmentStringsA, FreeEnvironmentStringsW, GetEnvironmentStrings, GetEnvironmentStringsW, WriteFile, SetCurrentDirectoryA, GetOEMCP, SetUnhandledExceptionFilter, SetFilePointer, FlushFileBuffers, GlobalUnlock, GetDriveTypeA, IsValidLocale, IsValidCodePage, GetLocaleInfoA, EnumSystemLocalesA, GetUserDefaultLCID, GetStringTypeA, GetStringTypeW, IsBadReadPtr, IsBadCodePtr, SetStdHandle, GetLocaleInfoW, SetEndOfFile, SetEnvironmentVariableA, SetFileTime, SetFileAttributesA, SystemTimeToFileTime, GetFileInformationByHandle, LocalFileTimeToFileTime, WaitForSingleObject, GlobalLock, GlobalAlloc, GlobalFree, GetProcessHeap, GetFileAttributesA, GetVolumeInformationA, GetFileTime, ReleaseMutex, PeekNamedPipe, CreateMutexA, CreateDirectoryA, MoveFileA, SetVolumeLabelA, FileTimeToDosDateTime, RemoveDirectoryA
> USER32.dll: CharNextA, CharToOemA, wvsprintfA, OemToCharA
> ADVAPI32.dll: GetKernelObjectSecurity, GetSecurityDescriptorLength, AdjustTokenPrivileges, LookupPrivilegeValueA, OpenProcessToken, GetSecurityDescriptorGroup, IsValidSid, GetSecurityDescriptorOwner, GetSecurityDescriptorSacl, IsValidAcl, GetSecurityDescriptorDacl, IsValidSecurityDescriptor, RegEnumValueA, RegQueryInfoKeyA, RegSetValueExA, RegOpenKeyExA, RegCreateKeyExA, RegCloseKey, RegEnumKeyExA, RegDeleteKeyA, RegDeleteValueA, GetSecurityDescriptorControl, SetKernelObjectSecurity
> ole32.dll: CoTaskMemFree, CoTaskMemAlloc, CoTaskMemRealloc, CoCreateInstance
> OLEAUT32.dll: -, -, -, -, -, -, -, -, -

( 4 exports )
DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: DirectShow filter (50.8%)
Windows OCX File (31.1%)
Win32 Executable MS Visual C++ (generic) (9.5%)
Windows Screen Saver (3.3%)
Win32 Executable Generic (2.1%)
sigcheck:
publisher....: fun communications GmbH, http://www.fun.de
copyright....: Copyright (c) 2000-2001 fun communications GmbH, Karlsruhe
product......: funIntegCheck Module
description..: funIntegCheck Module
original name: funIntegCheck.DLL
internal name: funIntegCheck
file version.: 1, 1, 0, 500
comments.....:
signers......: -
signing date.: -
verified.....: Unsigned

Code:

ATTFilter

 Datei UdaComServer.dll empfangen 2009.12.03 16:25:05 (UTC)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/39 (0%)

	
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
a-squared	4.5.0.43	2009.12.03	-
AhnLab-V3	5.0.0.2	2009.12.03	-
AntiVir	7.9.1.92	2009.12.03	-
Antiy-AVL	2.0.3.7	2009.12.03	-
Authentium	5.2.0.5	2009.12.02	-
Avast	4.8.1351.0	2009.12.03	-
AVG	8.5.0.426	2009.12.03	-
BitDefender	7.2	2009.12.03	-
CAT-QuickHeal	10.00	2009.12.03	-
ClamAV	0.94.1	2009.12.03	-
Comodo	3103	2009.12.01	-
DrWeb	5.0.0.12182	2009.12.03	-
eSafe	7.0.17.0	2009.12.03	-
eTrust-Vet	35.1.7155	2009.12.03	-
F-Prot	4.5.1.85	2009.12.02	-
F-Secure	9.0.15370.0	2009.12.03	-
Fortinet	4.0.14.0	2009.12.03	-
GData	19	2009.12.03	-
Ikarus	T3.1.1.74.0	2009.12.03	-
Jiangmin	13.0.900	2009.12.02	-
K7AntiVirus	7.10.910	2009.12.03	-
Kaspersky	7.0.0.125	2009.12.03	-
McAfee	5819	2009.12.01	-
McAfee+Artemis	5819	2009.12.01	-
McAfee-GW-Edition	6.8.5	2009.12.03	-
Microsoft	1.5302	2009.12.03	-
NOD32	4658	2009.12.03	-
Norman	6.03.02	2009.12.03	-
nProtect	2009.1.8.0	2009.12.03	-
PCTools	7.0.3.5	2009.12.03	-
Rising	22.24.03.06	2009.12.03	-
Sophos	4.48.0	2009.12.03	-
Sunbelt	3.2.1858.2	2009.12.03	-
Symantec	1.4.4.12	2009.12.03	-
TheHacker	6.5.0.2.083	2009.12.01	-
TrendMicro	9.100.0.1001	2009.12.03	-
VBA32	3.12.12.0	2009.12.03	-
ViRobot	2009.12.3.2070	2009.12.03	-
VirusBuster	5.0.21.0	2009.12.03	-
weitere Informationen
File size: 450560 bytes
MD5...: 82f9eb483dd91ea44df57e33f2a8db23
SHA1..: 278afedbf44f56754a704b02114c016fd5db6a2e
SHA256: 0544d0345346f2ea6b37d8d442f78aea471c181bab645fd252133ee5f26c153d
ssdeep: 12288:Smsg6+KJxVyz65yvpZBC1vngnPeRNr7ji6G7H1df7lwkpYb9:SmkJxVy25
IpZq2Lf7Gb9
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x3a1d1
timedatestamp.....: 0x3e75e535 (Mon Mar 17 15:09:41 2003)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x4ceb8 0x4d000 6.65 7beb6e898b0b1f4f59cf64ce299fd5c1
.rdata 0x4e000 0xc5f9 0xd000 4.33 ae8d5234b75c876f61db782ea2f7051f
.data 0x5b000 0x96b4 0x8000 4.10 078903c8dff0c917c0cf760f79cdccf8
.rsrc 0x65000 0x4698 0x5000 4.23 55d4037db68b585021e078ccfbd06c6f
.reloc 0x6a000 0x5e88 0x6000 6.13 55837b6ccc9c80800bf9437c923353fd

( 5 imports )
> KERNEL32.dll: WideCharToMultiByte, lstrlenW, GetShortPathNameA, EnterCriticalSection, GetModuleHandleA, GetModuleFileNameA, FreeLibrary, SizeofResource, DisableThreadLibraryCalls, LeaveCriticalSection, GetLastError, LoadLibraryExA, lstrcmpiA, lstrcpynA, IsDBCSLeadByte, GetProcAddress, LoadLibraryA, lstrcatA, InitializeCriticalSection, lstrcpyA, DeleteCriticalSection, HeapDestroy, InterlockedIncrement, lstrlenA, MultiByteToWideChar, LoadResource, FindResourceA, GetCommandLineA, GetCPInfo, CompareStringA, ExitProcess, ReleaseMutex, LCMapStringW, LCMapStringA, SetEnvironmentVariableA, SetEndOfFile, CreateMutexA, SetStdHandle, GetLocaleInfoW, IsBadCodePtr, IsBadReadPtr, GetCurrentThreadId, TlsAlloc, TlsFree, TlsSetValue, TlsGetValue, LocalFree, CloseHandle, SetFilePointer, ReadFile, CreateFileA, WriteFile, GetFileSize, Sleep, InterlockedExchange, RtlUnwind, RaiseException, HeapFree, HeapAlloc, HeapReAlloc, InterlockedDecrement, GetVersion, GetTimeZoneInformation, GetSystemTime, GetLocalTime, GetFullPathNameA, CreateDirectoryA, GetFileAttributesA, MoveFileA, DeleteFileA, FindClose, FileTimeToSystemTime, FileTimeToLocalFileTime, GetDriveTypeA, FindFirstFileA, WaitForSingleObject, GetStdHandle, SetHandleCount, GetStringTypeW, GetStringTypeA, CompareStringW, TerminateProcess, GetCurrentProcess, HeapSize, SetLastError, SetUnhandledExceptionFilter, GetEnvironmentVariableA, GetVersionExA, HeapCreate, VirtualFree, VirtualAlloc, IsBadWritePtr, EnumSystemLocalesA, GetUserDefaultLCID, GetFileType, GetStartupInfoA, FreeEnvironmentStringsA, FreeEnvironmentStringsW, GetEnvironmentStrings, GetEnvironmentStringsW, GetACP, GetOEMCP, GetCurrentDirectoryA, FlushFileBuffers, IsValidLocale, IsValidCodePage, GetLocaleInfoA
> USER32.dll: LoadStringA, CharNextA
> ADVAPI32.dll: RegOpenKeyExA, RegCreateKeyExA, RegSetValueExA, RegEnumKeyExA, RegDeleteKeyA, RegCloseKey, RegQueryInfoKeyA, RegEnumValueA, RegDeleteValueA
> ole32.dll: CoInitialize, CoUninitialize, CoCreateInstance, CoGetClassObject, CoTaskMemAlloc, ProgIDFromCLSID, CoTaskMemFree, CoTaskMemRealloc
> OLEAUT32.dll: -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -

( 4 exports )
DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer
RDS...: NSRL Reference Data Set
-
trid..: DirectShow filter (50.8%)
Windows OCX File (31.1%)
Win32 Executable MS Visual C++ (generic) (9.5%)
Windows Screen Saver (3.3%)
Win32 Executable Generic (2.1%)
sigcheck:
publisher....: fun communications GmbH, http://www.fun.de/
copyright....: Copyright (c) 2000-2003 fun communications GmbH, Karlsruhe
product......: UdaComServer Module
description..: UdaComServer Module
original name: UdaComServer.DLL
internal name: UdaComServer
file version.: 1, 1, 0, 506
comments.....:
signers......: -
signing date.: -
verified.....: Unsigned
pdfid.: -

zu der datei

Code:

ATTFilter

 K:\LaunchU3.exe -a

ich habe gar kein Laufwerk K:\
wie finde ich diese datei?

Gmer scan läuft...

miami007 · 03.12.2009, 22:08

So nun poste ich auch was GMER dazu sagt:

Code:

ATTFilter

 
GMER 1.0.15.15252 - http://www.gmer.net
Rootkit scan 2009-12-03 22:05:41
Windows 5.1.2600 Service Pack 2
Running: njno5z8g.exe; Driver: C:\DOKUME~1\KASAPO~1\LOKALE~1\Temp\pxtdqpow.sys


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwConnectPort [0xB4280040]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateFile [0xB427C930]
SSDT            B46E018E                                                                     ZwCreateKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreatePort [0xB4280510]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateProcess [0xB4286870]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateProcessEx [0xB4286AA0]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateSection [0xB4289FD0]
SSDT            B46E0184                                                                     ZwCreateThread
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwCreateWaitablePort [0xB4280600]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwDeleteFile [0xB427CF20]
SSDT            B46E0193                                                                     ZwDeleteKey
SSDT            B46E019D                                                                     ZwDeleteValueKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwDuplicateObject [0xB4286580]
SSDT            B46E01A2                                                                     ZwLoadKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwOpenFile [0xB427CD70]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwOpenProcess [0xB4286350]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwOpenThread [0xB4286150]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwRenameKey [0xB4289250]
SSDT            B46E01AC                                                                     ZwReplaceKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwRequestWaitReplyPort [0xB427FC00]
SSDT            B46E01A7                                                                     ZwRestoreKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwSecureConnectPort [0xB4280220]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwSetInformationFile [0xB427D120]
SSDT            B46E0198                                                                     ZwSetValueKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)  ZwTerminateProcess [0xB4286CD0]

---- Kernel code sections - GMER 1.0.15 ----

.text           ntoskrnl.exe!_abnormal_termination + 107                                     804E2DD8 12 Bytes  [10, 05, 28, B4, 70, 68, 28, ...]
?               srescan.sys                                                                  Das System kann die angegebene Datei nicht finden. !
.reloc          C:\WINDOWS\system32\drivers\acedrv11.sys                                     section is executable [0xAD2BF300, 0x25D4C, 0xE0000060]

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRegisterProtocol]     [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisOpenAdapter]          [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisCloseAdapter]         [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisDeregisterProtocol]   [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisDeregisterProtocol]     [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRegisterProtocol]       [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisOpenAdapter]            [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisCloseAdapter]           [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRegisterProtocol]      [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisCloseAdapter]          [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisOpenAdapter]           [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisDeregisterProtocol]    [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisCloseAdapter]            [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRegisterProtocol]        [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisOpenAdapter]             [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisDeregisterProtocol]     [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRegisterProtocol]       [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisOpenAdapter]            [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisCloseAdapter]           [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\drivers\afd.sys[ntoskrnl.exe!IoCreateFile]              [B4292330] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\arp1394.sys[NDIS.SYS!NdisCloseAdapter]          [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\arp1394.sys[NDIS.SYS!NdisOpenAdapter]           [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\arp1394.sys[NDIS.SYS!NdisDeregisterProtocol]    [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\arp1394.sys[NDIS.SYS!NdisRegisterProtocol]      [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisRegisterProtocol]      [B4284CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisDeregisterProtocol]    [B4284E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisCloseAdapter]          [B4285320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisOpenAdapter]           [B42851C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtOpenFile]                [B427D670] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtSetInformationFile]      [B427D5C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!IoCreateFile]              [B427D770] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtCreateFile]              [B427D2D0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

---- Devices - GMER 1.0.15 ----

Device          \Driver\Tcpip \Device\Ip                                                     vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\Tcp                                                    vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

AttachedDevice  \Driver\Tcpip \Device\Tcp                                                    Lbd.sys (Boot Driver/Lavasoft AB)

Device          \Driver\Tcpip \Device\Udp                                                    vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\RawIp                                                  vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\IPMULTICAST                                            vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

AttachedDevice  \FileSystem\Fastfat \Fat                                                     fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

Device          \Driver\00000218 -> \Driver\atapi \Device\Harddisk0\DR0                      896EE170

---- Disk sectors - GMER 1.0.15 ----

Disk            \Device\Harddisk0\DR0                                                        sector 61: malicious code @ sector 0x6fc7c80 size 0x1c1
Disk            \Device\Harddisk0\DR0                                                        sector 62: copy of MBR

---- Files - GMER 1.0.15 ----

File            C:\WINDOWS\system32\drivers\atapi.sys                                        suspicious modification

---- EOF - GMER 1.0.15 ----

ich hoffe es ist aufschlussreich!
gruß

Chris4You · 04.12.2009, 07:32

Hi,

der Ordner (C:\Programme\Gemeinsame Dateien\fun communications) könnte zu Telekom-SW gehören, daher erst mal nichts unternehmen.

Leider ist das eingetroffen was ich eigentlich erwartet habe, Du hast ein ziemlich bösartiges Rootkit auf dem Rechner, was sich tief in Windows verankert und leider derzeit von keinem Scanner so richtig gefunden und entfernt werden kann (gibt aber erste Ansätze)...

Das Rootkit hängt in dem zentralen Treiber für die Festplatte (atapi.sys) und bei Dir auch noch im Bootblock...

Wir konnen mal Dr. Web bzw. CF versuchen...
http://www.trojaner-board.de/59299-anleitung-drweb-cureit.html
Falls CureIT nichts ausrichten kann:

Combofix
Lade Combo Fix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.

Falls das auch nicht klappt müssen wir wie folgt vorgehen:
Hast Du eine XP-CD von der gebootet werden kann?

Im Bios die Bootreihenfolge umstellen, dann CD einlegen und von CD booten.
In die Rettungskonsole gehen und dort fixmbr eingeben (bereinigt erstmal den Bootblock). Danach muss über die infizierte atapi.sys eine saubere kopiert werden, wie folgt (je nachdem was Dir zur Verfügung steht):

Code:

ATTFilter

expand c:\WINDOWS\ServicePackFiles\i386\atapi.sy_ c:\windows\system32\atapi.sys

oder

expand X:\i386\atapi.sy_ c:\windows\system32\atapi.sys

Wobei "X" Dein CD/DVD-Laufwerk ist!

Danach CD raus, von Festplatte booten und ohne Netzwerkanbindung die Virenscanner auf die Reise schicken...

Weiterhin solltest Du unbedingt auf SP3 gehen...

chris

Timme95 · 04.12.2009, 14:47

HAllo, ich bin neu hier im Forum und habe genau dasselbe Problem Firefox öffnet staändig neue Fenster mit 2mal Index von file:///C:/Programme/Mozilla Firefox/ und 2mal Seiten-Ladefehler, außerdem öffnet der Windows Internetexplorer zig Fenster, z.T. sogar ohne dass ich ihn gestartet habe. Mein PC im allgemeinen kommt mir in letzter Zeit sowieso sehr langsam vor und hängt sich immer wieder auf.
Bitte um Hilfe!
LG
Tim

Chris4You · 04.12.2009, 14:52

@Timme95
Bitte einen eigenen Thread mit folgenden Infos eröffnen:

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.

RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
* Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
* speichere es auf Deinem Desktop.
* Starte mit Doppelklick die RSIT.exe.
* Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
* Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
* In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
* Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
* Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
* Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
* Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

Gmer:
http://www.trojaner-board.de/74908-anleitung-gmer-rootkit-scanner.html
Den Downloadlink findest Du links oben (www.gmer.net/files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris

miami007 · 09.12.2009, 17:14

Hallo chris!
Schon mal vielen vielen dank für die ganzen infos und anleitungen hier!
Ich habe CureIT laufen lassen vor paar tagen und bei ca. 70% ist mein pc abgestürzt. Habe aber gelesen dass einige viren gefunden und desinfiziert bzw. gelöscht wurden (darunter atapy.sys)! Seitdem kamen keine beschwerden mit neuen fentsern etc.!

Da ich derzeit stark im Stress bin und noch nicht die Zeit gefunden habe CureIT nochmal komplett laufen zu lassen konnte ich die logfile noch nicht posten!

Ich melde mich sobald es was neues gibt!

Dennoch schon mal vielen vielen Dank!

Firefox öffnet ständig neue Fenster mit mehreren Tabs

Log-Analyse und Auswertung: Firefox öffnet ständig neue Fenster mit mehreren Tabs