iexplorer startet automatisch mehrere Prozesse im Hintergrund

b_kannter · 24.03.2011, 10:58

Guten Tag,

ich habe das gleiche Problem, wie z.B. in diesem Thread beschrieben ist: http://www.trojaner-board.de/96755-i...ntergrund.html

Momentan laufen 8 Prozesse mit diesem Namen, insgesamt habe ich dadurch einen CPU-Load von 100%.
Ich bin seit mehreren Wochen auf der Suche nach einer Problemlösung, doch leider ohne Erfolg.
Den InternetExplorer nutze ich gar nicht, ausschließlich Firefox, ab und an Safari.

Vielleicht könnt ihr mir ein paar Tipps geben.
Vielen Dank im Voraus, freundliche Grüße
Simon

cosinus · 24.03.2011, 15:45

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.

b_kannter · 24.03.2011, 15:57

Hier noch drei ältere Logs, die jedoch alle schon zum Zeitpunkt der Probleme aufgezeichnet wurden.

cosinus · 24.03.2011, 15:59

Zitat:

O1 - Hosts: 127.0.0.1 xxx
O1 - Hosts: 19 more lines...

hast du hier was zensiert/editiert?

b_kannter · 24.03.2011, 16:08

Zitat:

Zitat von cosinus

hast du hier was zensiert/editiert?

Richtig. Die Einträge in der hosts sind jedoch schon mehrere Monate unverändert. Dort wird das Problem eher nicht liegen.

cosinus · 24.03.2011, 16:10

Mich würde aber interessieren was du da zensiert hast.

b_kannter · 24.03.2011, 16:22

Zitat:

Zitat von cosinus

Mich würde aber interessieren was du da zensiert hast.

Code:

ATTFilter

127.0.0.1  pagead.googlesyndication.com
127.0.0.1  pagead2.googlesyndication.com
127.0.0.1  adservices.google.com
127.0.0.1  video-stats.video.google.com
127.0.0.1  ssl.google-analytics.com
127.0.0.1  www.google-analytics.com
127.0.0.1  4.afs.googleadservices.com
127.0.0.1  imageads.googleadservices.com
127.0.0.1  partner.googleadservices.com
127.0.0.1  www.googleadservices.com
127.0.0.1  apps5.oingo.com
127.0.0.1  www.appliedsemantics.com
127.0.0.1  service.urchin.com
127.0.0.1 service.urchin.com 
127.0.0.1 3dns.adobe.com 
127.0.0.1 3dns.adobe.de
127.0.0.1 imageads.googleadservices.com
127.0.0.1 imageads1.googleadservices.com
127.0.0.1 imageads2.googleadservices.com
127.0.0.1 imageads3.googleadservices.com
127.0.0.1 imageads4.googleadservices.com
127.0.0.1 imageads5.googleadservices.com
127.0.0.1 imageads6.googleadservices.com
127.0.0.1 imageads7.googleadservices.com
127.0.0.1 imageads8.googleadservices.com
127.0.0.1 imageads9.googleadservices.com

cosinus · 24.03.2011, 16:24

Zitat:

127.0.0.1 3dns.adobe.com
127.0.0.1 3dns.adobe.de

Die anderen kann ich nachvollziehen aber die nicht.

b_kannter · 24.03.2011, 16:32

Zitat:

Zitat von cosinus

Die anderen kann ich nachvollziehen aber die nicht.

Wahrscheinlich ein Relikt aus alten Zeiten, genau wie der Rest. Seit dem Umstieg auf Firefox und AdBlock etc. habe ich die hosts zum Blocken von Werbung etc. nicht mehr genutzt.

cosinus · 24.03.2011, 18:18

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

ATTFilter

:OTL
O4 - HKLM..\Run: []  File not found
O4 - HKCU..\Run: [AdobeBridge]  File not found
O32 - HKLM CDRom: AutoRun - 1
O33 - MountPoints2\{7b5c546c-0c3f-11e0-9d0f-0019d1e81edf}\Shell - "" = AutoRun
O33 - MountPoints2\{7b5c546c-0c3f-11e0-9d0f-0019d1e81edf}\Shell\AutoRun\command - "" = M:\cdstart.exe
@Alternate Data Stream - 135 bytes -> C:\ProgramData\TEMP:7FFED16F
:Commands
[purity]
[emptytemp]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

b_kannter · 26.03.2011, 10:07

Vielen Dank. Hier das Log:

Code:

ATTFilter

All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\AdobeBridge deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7b5c546c-0c3f-11e0-9d0f-0019d1e81edf}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7b5c546c-0c3f-11e0-9d0f-0019d1e81edf}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7b5c546c-0c3f-11e0-9d0f-0019d1e81edf}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7b5c546c-0c3f-11e0-9d0f-0019d1e81edf}\ not found.
File M:\cdstart.exe not found.
ADS C:\ProgramData\TEMP:7FFED16F deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56502 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Public
 
User: xxx
->Temp folder emptied: 10944627 bytes
->Temporary Internet Files folder emptied: 89216166 bytes
->Java cache emptied: 24867654 bytes
->FireFox cache emptied: 1070570806 bytes
->Apple Safari cache emptied: 75160576 bytes
->Flash cache emptied: 105970 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 4012008 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50568 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 1.216,00 mb
 
 
OTL by OldTimer - Version 3.2.22.3 log created on 03262011_093843

Files\Folders moved on Reboot...
C:\Users\xxx\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

Registry entries deleted on Reboot...

Momentan nach Reboot ist iexplore auch noch nicht gestartet worden

b_kannter · 26.03.2011, 13:35

Zitat:

Zitat von b_kannter

Momentan nach Reboot ist iexplore auch noch nicht gestartet worden

Mittlerweile leider wieder 4 Prozesse iexplore.exe, CPU-Auslastung 100 %.
Ist das Problem für die Experten ersichtlich und lösbar, oder wäre es einfacher, das System neu aufzusetzen?

cosinus · 26.03.2011, 19:22

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

b_kannter · 27.03.2011, 11:10

Okay, ist gemacht. Hier das Log:

Code:

ATTFilter

ComboFix 11-03-26.01 - xxx 27.03.2011  11:48:31.1.2 - x64
Microsoft Windows 7 Professional   6.1.7601.1.1252.49.1031.18.6078.4218 [GMT 2:00]
ausgeführt von:: c:\users\xxx\Desktop\CoFi.exe
AV: Norton 360 Online *Disabled/Updated* {88C95A36-8C3B-2F2C-1B8B-30FCCFDC4855}
FW: Norton 360 Online *Disabled* {B0F2DB13-C654-2E74-30D4-99C9310F0F2E}
SP: Norton 360 Online *Enabled/Updated* {33A8BBD2-AA01-20A2-213B-0B8EB45B02E8}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((   Dateien erstellt von 2011-02-27 bis 2011-03-27  ))))))))))))))))))))))))))))))
.
.
2011-03-27 09:57 . 2011-03-27 09:57	--------	d-----w-	c:\users\Default\AppData\Local\temp
2011-03-27 09:41 . 2011-03-27 09:41	--------	d-----w-	c:\program files\CCleaner
2011-03-26 17:08 . 2011-03-26 17:08	--------	d-----w-	c:\windows\1C4551A64743409391E41477CD655043.TMP
2011-03-26 17:08 . 2010-06-02 03:55	77656	----a-w-	c:\windows\system32\XAPOFX1_5.dll
2011-03-26 17:08 . 2010-06-02 03:55	74072	----a-w-	c:\windows\SysWow64\XAPOFX1_5.dll
2011-03-26 17:08 . 2010-06-02 03:55	527192	----a-w-	c:\windows\SysWow64\XAudio2_7.dll
2011-03-26 17:08 . 2010-06-02 03:55	518488	----a-w-	c:\windows\system32\XAudio2_7.dll
2011-03-26 17:08 . 2010-05-26 10:41	1998168	----a-w-	c:\windows\SysWow64\D3DX9_43.dll
2011-03-26 17:08 . 2010-05-26 10:41	2401112	----a-w-	c:\windows\system32\D3DX9_43.dll
2011-03-26 17:06 . 2011-03-26 17:41	--------	d-----w-	c:\program files (x86)\Woodcutter Simulator 2011
2011-03-26 16:29 . 2011-03-26 16:29	--------	d-----w-	c:\users\xxx\AppData\Roaming\Rondomedia
2011-03-26 16:27 . 2011-03-26 16:27	--------	d-----w-	c:\program files (x86)\Rondomedia
2011-03-26 08:38 . 2011-03-26 08:38	--------	d-----w-	C:\_OTL
2011-03-23 18:02 . 2011-03-23 18:02	388096	----a-r-	c:\users\xxx\AppData\Roaming\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe
2011-03-23 18:02 . 2011-03-23 18:02	--------	d-----w-	c:\program files (x86)\Trend Micro
2011-03-23 05:11 . 2011-03-23 05:11	--------	d-----w-	c:\program files (x86)\Common Files\Java
2011-03-22 20:53 . 2011-03-22 20:53	521448	----a-w-	c:\windows\system32\deployJava1.dll
2011-03-22 20:52 . 2011-03-22 20:52	--------	d-----w-	c:\program files\Java
2011-03-21 07:22 . 2011-03-21 07:22	--------	d-----w-	c:\windows\SysWow64\wbem\en-US
2011-03-21 07:22 . 2011-03-21 07:22	--------	d-----w-	c:\windows\system32\wbem\en-US
2011-03-20 17:51 . 2011-03-20 17:51	--------	d-----w-	c:\programdata\Deutsche Post AG
2011-03-20 17:51 . 2011-03-20 17:51	--------	d-----w-	c:\program files (x86)\Deutsche Post AG
2011-03-09 18:20 . 2011-03-09 18:20	--------	d-----w-	c:\program files\iTunes
2011-03-09 18:20 . 2011-03-09 18:20	--------	d-----w-	c:\program files (x86)\iTunes
2011-03-09 18:20 . 2011-03-09 18:20	--------	d-----w-	c:\program files\iPod
2011-03-08 16:44 . 2011-03-08 16:44	--------	d-----w-	c:\programdata\ATI
2011-03-08 16:34 . 2011-03-08 16:34	--------	d-----w-	c:\program files\Common Files\ATI Technologies
2011-03-08 16:34 . 2011-03-08 16:34	--------	d-----w-	c:\program files (x86)\Common Files\ATI Technologies
2011-03-08 16:34 . 2011-03-08 16:34	--------	d-----w-	c:\program files (x86)\ATI Stream
2011-03-08 16:34 . 2011-03-08 16:34	--------	d-----w-	c:\program files (x86)\ATI
2011-03-07 10:48 . 2011-03-07 10:48	--------	d-----w-	c:\users\xxx\AppData\Roaming\ATI
2011-03-07 10:48 . 2011-03-07 10:48	--------	d-----w-	c:\users\xxx\AppData\Local\ATI
2011-03-07 10:44 . 2011-03-08 16:39	--------	d-----w-	c:\program files (x86)\ATI Technologies
2011-03-07 10:43 . 2011-03-08 16:34	--------	d-----w-	c:\program files\ATI Technologies
2011-03-07 10:43 . 2011-03-07 10:43	--------	d-----w-	c:\program files\ATI
2011-03-07 10:42 . 2011-03-07 10:42	--------	d-----w-	C:\ATI
2011-03-07 10:19 . 2011-03-08 17:13	--------	d-----w-	c:\program files (x86)\Landwirtschafts Simulator 2011
2011-02-25 21:41 . 2011-02-25 21:41	--------	d-----w-	c:\users\xxx\AppData\Roaming\TweetDeckFast.FFF259DC0CE2657847BBB4AFF0E62062EFC56543.1
2011-02-25 21:40 . 2011-02-25 21:40	--------	d-----w-	c:\program files (x86)\TweetDeck
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-03-23 04:54 . 2010-12-20 14:01	472808	----a-w-	c:\windows\SysWow64\deployJava1.dll
2011-02-23 21:44 . 2009-07-14 02:36	175616	----a-w-	c:\windows\system32\msclmd.dll
2011-02-23 21:44 . 2009-07-14 02:36	152576	----a-w-	c:\windows\SysWow64\msclmd.dll
2011-02-20 13:55 . 2011-02-20 13:55	455680	----a-w-	c:\windows\SetACL.exe
2011-02-18 15:36 . 2011-02-18 15:36	51712	----a-w-	c:\windows\system32\drivers\usbaapl64.sys
2011-02-18 15:36 . 2011-02-18 15:36	4184352	----a-w-	c:\windows\system32\usbaaplrc.dll
2011-01-26 23:37 . 2011-01-26 23:37	9085952	----a-w-	c:\windows\system32\drivers\atikmdag.sys
2011-01-26 23:22 . 2011-01-26 23:22	22295040	----a-w-	c:\windows\system32\atio6axx.dll
2011-01-26 23:00 . 2011-01-26 23:00	143360	----a-w-	c:\windows\system32\atiapfxx.exe
2011-01-26 23:00 . 2011-01-26 23:00	596480	----a-w-	c:\windows\SysWow64\aticfx32.dll
2011-01-26 22:59 . 2011-01-26 22:59	17204736	----a-w-	c:\windows\SysWow64\atioglxx.dll
2011-01-26 22:59 . 2011-01-26 22:59	708608	----a-w-	c:\windows\system32\aticfx64.dll
2011-01-26 22:56 . 2010-02-11 05:32	462848	----a-w-	c:\windows\system32\ATIDEMGX.dll
2011-01-26 22:56 . 2011-01-26 22:56	479232	----a-w-	c:\windows\system32\atieclxx.exe
2011-01-26 22:55 . 2011-01-26 22:55	203776	----a-w-	c:\windows\system32\atiesrxx.exe
2011-01-26 22:54 . 2011-01-26 22:54	120320	----a-w-	c:\windows\system32\atitmm64.dll
2011-01-26 22:54 . 2011-01-26 22:54	423424	----a-w-	c:\windows\system32\atipdl64.dll
2011-01-26 22:53 . 2011-01-26 22:53	356352	----a-w-	c:\windows\SysWow64\atipdlxx.dll
2011-01-26 22:53 . 2011-01-26 22:53	278528	----a-w-	c:\windows\SysWow64\Oemdspif.dll
2011-01-26 22:53 . 2011-01-26 22:53	16384	----a-w-	c:\windows\system32\atimuixx.dll
2011-01-26 22:53 . 2011-01-26 22:53	59392	----a-w-	c:\windows\system32\atiedu64.dll
2011-01-26 22:53 . 2011-01-26 22:53	43520	----a-w-	c:\windows\SysWow64\ati2edxx.dll
2011-01-26 22:49 . 2011-01-26 22:49	4105728	----a-w-	c:\windows\SysWow64\atidxx32.dll
2011-01-26 22:40 . 2011-01-26 22:40	4847616	----a-w-	c:\windows\system32\atidxx64.dll
2011-01-26 22:32 . 2011-01-26 22:32	1208320	----a-w-	c:\windows\system32\atiumd6v.dll
2011-01-26 22:32 . 2011-01-26 22:32	1912832	----a-w-	c:\windows\SysWow64\atiumdmv.dll
2011-01-26 22:32 . 2011-01-26 22:32	3222016	----a-w-	c:\windows\system32\atiumd6a.dll
2011-01-26 22:28 . 2011-01-26 22:28	4170752	----a-w-	c:\windows\SysWow64\atiumdag.dll
2011-01-26 22:27 . 2011-01-26 22:27	51200	----a-w-	c:\windows\system32\aticalrt64.dll
2011-01-26 22:27 . 2011-01-26 22:27	46080	----a-w-	c:\windows\SysWow64\aticalrt.dll
2011-01-26 22:27 . 2011-01-26 22:27	44544	----a-w-	c:\windows\system32\aticalcl64.dll
2011-01-26 22:27 . 2011-01-26 22:27	44032	----a-w-	c:\windows\SysWow64\aticalcl.dll
2011-01-26 22:27 . 2011-01-26 22:27	6982144	----a-w-	c:\windows\system32\aticaldd64.dll
2011-01-26 22:25 . 2011-01-26 22:25	5580800	----a-w-	c:\windows\SysWow64\aticaldd.dll
2011-01-26 22:24 . 2011-01-26 22:24	3463680	----a-w-	c:\windows\SysWow64\atiumdva.dll
2011-01-26 22:21 . 2011-01-26 22:21	5316096	----a-w-	c:\windows\system32\atiumd64.dll
2011-01-26 22:20 . 2011-01-26 22:20	58880	----a-w-	c:\windows\system32\coinst.dll
2011-01-26 22:14 . 2010-02-11 04:48	354304	----a-w-	c:\windows\system32\atiadlxx.dll
2011-01-26 22:14 . 2011-01-26 22:14	249856	----a-w-	c:\windows\SysWow64\atiadlxy.dll
2011-01-26 22:13 . 2011-01-26 22:13	14848	----a-w-	c:\windows\system32\atig6pxx.dll
2011-01-26 22:13 . 2011-01-26 22:13	12800	----a-w-	c:\windows\SysWow64\atiglpxx.dll
2011-01-26 22:13 . 2011-01-26 22:13	12800	----a-w-	c:\windows\system32\atiglpxx.dll
2011-01-26 22:13 . 2011-01-26 22:13	39936	----a-w-	c:\windows\system32\atig6txx.dll
2011-01-26 22:13 . 2011-01-26 22:13	32768	----a-w-	c:\windows\SysWow64\atigktxx.dll
2011-01-26 22:13 . 2011-01-26 22:13	299520	----a-w-	c:\windows\system32\drivers\atikmpag.sys
2011-01-26 22:12 . 2011-01-26 22:12	39936	----a-w-	c:\windows\system32\atiuxp64.dll
2011-01-26 22:12 . 2011-01-26 22:12	30720	----a-w-	c:\windows\SysWow64\atiuxpag.dll
2011-01-26 22:12 . 2011-01-26 22:12	38400	----a-w-	c:\windows\system32\atiu9p64.dll
2011-01-26 22:12 . 2011-01-26 22:12	28672	----a-w-	c:\windows\SysWow64\atiu9pag.dll
2011-01-26 22:11 . 2011-01-26 22:11	53248	----a-w-	c:\windows\system32\drivers\ati2erec.dll
2011-01-26 22:08 . 2011-01-26 22:08	53760	----a-w-	c:\windows\system32\atimpc64.dll
2011-01-26 22:08 . 2011-01-26 22:08	53760	----a-w-	c:\windows\system32\amdpcom64.dll
2011-01-26 22:08 . 2011-01-26 22:08	52736	----a-w-	c:\windows\SysWow64\atimpc32.dll
2011-01-26 22:08 . 2011-01-26 22:08	52736	----a-w-	c:\windows\SysWow64\amdpcom32.dll
2011-01-23 17:46 . 2011-01-23 17:46	230352	----a-w-	c:\windows\system32\drivers\truecrypt.sys
2011-01-17 11:09 . 2011-02-23 18:08	197120	----a-w-	c:\windows\system32\d3d10_1.dll
2011-01-17 05:47 . 2011-02-23 18:08	161792	----a-w-	c:\windows\SysWow64\d3d10_1.dll
2011-01-07 15:02 . 2011-01-07 15:02	45408	----a-w-	c:\windows\system32\drivers\point64.sys
2011-01-07 12:17 . 2011-02-22 22:54	475648	----a-w-	c:\windows\system32\XpsGdiConverter.dll
2011-01-07 12:17 . 2011-02-22 22:54	1465344	----a-w-	c:\windows\system32\XpsPrint.dll
2011-01-07 12:14 . 2011-02-10 00:58	46080	----a-w-	c:\windows\system32\atmlib.dll
2011-01-07 09:20 . 2011-02-10 00:58	366592	----a-w-	c:\windows\system32\atmfd.dll
2011-01-07 07:46 . 2011-02-22 22:54	870912	----a-w-	c:\windows\SysWow64\XpsPrint.dll
2011-01-07 07:46 . 2011-02-22 22:54	288256	----a-w-	c:\windows\SysWow64\XpsGdiConverter.dll
2011-01-07 07:45 . 2011-02-10 00:58	34304	----a-w-	c:\windows\SysWow64\atmlib.dll
2011-01-07 05:43 . 2011-02-10 00:58	294400	----a-w-	c:\windows\SysWow64\atmfd.dll
2011-01-05 06:56 . 2011-02-10 00:58	3129344	----a-w-	c:\windows\system32\win32k.sys
2009-09-24 12:30 . 2010-12-22 13:21	1456640	----a-w-	c:\program files (x86)\Common Files\Falk Navi-Manager.msi
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt1]
@="{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}]
2010-10-06 23:36	94208	----a-w-	c:\users\xxx\AppData\Roaming\Dropbox\bin\DropboxExt.14.dll
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt2]
@="{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}]
2010-10-06 23:36	94208	----a-w-	c:\users\xxx\AppData\Roaming\Dropbox\bin\DropboxExt.14.dll
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt3]
@="{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}]
2010-10-06 23:36	94208	----a-w-	c:\users\xxx\AppData\Roaming\Dropbox\bin\DropboxExt.14.dll
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Growl"="c:\program files (x86)\Growl for Windows\Growl.exe" [2010-11-30 1024000]
"F.lux"="c:\users\xxx\Local Settings\Apps\F.lux\flux.exe" [2009-08-29 966656]
"Sidebar"="c:\program files (x86)\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"Samsung PanelMgr"="c:\windows\Samsung\PanelMgr\ssmmgr.exe" [2009-10-13 606208]
"StartCCC"="c:\program files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2011-01-26 336384]
"ATICustomerCare"="c:\program files (x86)\ATI\ATICustomerCare\ATICustomerCare.exe" [2010-05-04 311296]
"iTunesHelper"="c:\program files (x86)\iTunes\iTunesHelper.exe" [2011-03-07 421160]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2010-10-29 249064]
"Adobe Acrobat Speed Launcher"="c:\program files (x86)\Adobe\Acrobat 10.0\Acrobat\Acrobat_sl.exe" [2011-01-30 36760]
.
c:\users\xxx\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Dropbox.lnk - c:\users\xxx\AppData\Roaming\Dropbox\bin\Dropbox.exe [2011-3-1 24850272]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]
R2 gupdate;Google Update Service (gupdate);c:\program files (x86)\Google\Update\GoogleUpdate.exe [2011-01-14 136176]
R3 Microsoft SharePoint Workspace Audit Service;Microsoft SharePoint Workspace Audit Service;c:\program files (x86)\Microsoft Office\Office14\GROOVE.EXE [2010-03-25 30969208]
R3 SwitchBoard;SwitchBoard;c:\program files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe [2010-02-19 517096]
R3 Symantec SymSnap VSS Provider;Symantec SymSnap VSS Provider;c:\windows\system32\dllhost.exe [2009-07-14 9728]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
R3 USBAAPL64;Apple Mobile USB Driver;c:\windows\system32\Drivers\usbaapl64.sys [x]
R4 GenericMount Helper Service;GenericMount Helper Service;c:\program files (x86)\Norton Ghost\Shared\Drivers\GenericMountHelper.exe [2009-09-21 1571336]
S0 SymDS;Symantec Data Store;c:\windows\system32\drivers\N360x64\0403000.005\SYMDS64.SYS [x]
S0 SymEFA;Symantec Extended File Attributes;c:\windows\system32\drivers\N360x64\0403000.005\SYMEFA64.SYS [x]
S1 BHDrvx64;BHDrvx64;c:\programdata\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\N360_4.0.0.127\Definitions\BASHDefs\20110309.001\BHDrvx64.sys [2011-02-25 1124472]
S1 ccHP;Symantec Hash Provider;c:\windows\system32\drivers\N360x64\0403000.005\ccHPx64.sys [x]
S1 IDSVia64;IDSVia64;c:\programdata\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\N360_4.0.0.127\Definitions\IPSDefs\20110325.001\IDSvia64.sys [2010-12-01 476792]
S1 SymIRON;Symantec Iron Driver;c:\windows\system32\drivers\N360x64\0403000.005\Ironx64.SYS [x]
S1 SYMTDIv;Symantec Vista Network Dispatch Driver;c:\windows\System32\Drivers\N360x64\0403000.005\SYMTDIV.SYS [x]
S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [x]
S2 Apache2.2;Apache2.2;c:\xampp\apache\bin\httpd.exe [2009-12-19 29416]
S2 DragonSvc;Dragon Service;c:\program files (x86)\Common Files\Nuance\dgnsvc.exe [2010-08-12 296808]
S2 N360;Norton 360;c:\program files (x86)\Norton 360\Engine\4.3.0.5\ccSvcHst.exe [2010-02-26 126392]
S2 SBSDWSCService;SBSD Security Center Service;c:\program files (x86)\Spybot - Search & Destroy\SDWinSec.exe [2009-01-26 1153368]
S2 SSPORT;SSPORT;c:\windows\system32\Drivers\SSPORT.sys [x]
S2 TeamViewer6;TeamViewer 6;c:\program files (x86)\TeamViewer\Version6\TeamViewer_Service.exe [2010-12-07 2228008]
S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atikmdag.sys [x]
S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [x]
S3 AtiHDAudioService;ATI Function Driver for HD Audio Service;c:\windows\system32\drivers\AtihdW76.sys [x]
S3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\program files (x86)\Common Files\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [2010-12-20 132656]
S3 GenericMount;Generic Mount Driver;c:\windows\system32\DRIVERS\GenericMount.sys [x]
S3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [2010-01-09 4925184]
S3 Point64;Microsoft IntelliPoint Filter Driver;c:\windows\system32\DRIVERS\point64.sys [x]
S3 SymSnapService;SymSnapService;c:\program files (x86)\Norton Ghost\Shared\Drivers\SymSnapServicex64.exe [2009-09-21 2963960]
.
.
Inhalt des "geplante Tasks" Ordners
.
2011-03-27 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2011-01-14 08:18]
.
2011-03-27 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2011-01-14 08:18]
.
.
--------- x86-64 -----------
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt1]
@="{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}]
2010-10-06 23:36	97792	----a-w-	c:\users\xxx\AppData\Roaming\Dropbox\bin\DropboxExt64.14.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt2]
@="{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}]
2010-10-06 23:36	97792	----a-w-	c:\users\xxx\AppData\Roaming\Dropbox\bin\DropboxExt64.14.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt3]
@="{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}]
2010-10-06 23:36	97792	----a-w-	c:\users\xxx\AppData\Roaming\Dropbox\bin\DropboxExt64.14.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt4]
@="{FB314EDC-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDC-A251-47B7-93E1-CDD82E34AF8B}]
2010-10-06 23:36	97792	----a-w-	c:\users\xxx\AppData\Roaming\Dropbox\bin\DropboxExt64.14.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Mobile Device Center"="c:\windows\WindowsMobile\wmdc.exe" [2007-05-31 660360]
"IntelliPoint"="c:\program files\Microsoft IntelliPoint\ipoint.exe" [2011-01-07 2328944]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"LoadAppInit_DLLs"=0x0
.
------- Zusätzlicher Suchlauf -------
.
uLocal Page = c:\windows\system32\blank.htm
mLocal Page = c:\windows\SysWOW64\blank.htm
uInternet Settings,ProxyOverride = *.local
IE: An OneNote s&enden - c:\progra~2\MICROS~1\Office14\ONBttnIE.dll/105
IE: An vorhandene PDF-Datei anfügen - c:\program files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - c:\program files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
IE: Linkziel an vorhandene PDF-Datei anhängen - c:\program files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Linkziel in Adobe PDF konvertieren - c:\program files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Nach Microsoft E&xcel exportieren - c:\progra~2\MICROS~1\Office14\EXCEL.EXE/3000
Filter: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - c:\program files (x86)\Common Files\microsoft shared\OFFICE14\MSOXMLMF.DLL
FF - ProfilePath - c:\users\xxx\AppData\Roaming\Mozilla\Firefox\Profiles\x4ooj935.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - about:home
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKLM_Wow6432Node-ActiveSetup-{C22B83AB-0161-4C80-A9E9-1446DEA72780} - msiexec
.
.
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\N360]
"ImagePath"="\"c:\program files (x86)\Norton 360\Engine\4.3.0.5\ccSvcHst.exe\" /s \"N360\" /m \"c:\program files (x86)\Norton 360\Engine\4.3.0.5\diMaster.dll\" /prefetch:1"
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil10o_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil10o_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash10o.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.10"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash10o.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash10o.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash10o.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Office\Common\Smart Tag\Actions\{B7EFF951-E52F-45CC-9EF7-57124F2177CC}]
@Denied: (A) (Everyone)
"Solution"="{15727DE6-F92D-4E46-ACB4-0E2C58B31A18}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Schema Library\ActionsPane3]
@Denied: (A) (Everyone)
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Schema Library\ActionsPane3\0]
"Key"="ActionsPane3"
"Location"="c:\\Program Files (x86)\\Common Files\\Microsoft Shared\\VSTO\\ActionsPane3.xsd"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows CE Services]
"SymbolicLinkValue"=hex(6):5c,00,72,00,65,00,67,00,69,00,73,00,74,00,72,00,79,
   00,5c,00,4d,00,41,00,43,00,48,00,49,00,4e,00,45,00,5c,00,53,00,4f,00,46,00,\
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2011-03-27  12:00:30
ComboFix-quarantined-files.txt  2011-03-27 10:00
.
Vor Suchlauf: 14 Verzeichnis(se), 151.110.352.896 Bytes frei
Nach Suchlauf: 20 Verzeichnis(se), 150.812.594.176 Bytes frei
.
- - End Of File - - 770BA89338D56539DBD11F4EC05275AF

cosinus · 27.03.2011, 20:41

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

ATTFilter

Folder::
c:\windows\1C4551A64743409391E41477CD655043.TMP

File::
c:\windows\system32\drivers\tsusbflt.sys

Driver::
TsUsbFlt

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

24.03.2011, 15:45	#2
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	iexplorer startet automatisch mehrere Prozesse im Hintergrund Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind. __________________ __________________

24.03.2011, 16:10	#6
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	iexplorer startet automatisch mehrere Prozesse im Hintergrund Mich würde aber interessieren was du da zensiert hast. __________________ --> iexplorer startet automatisch mehrere Prozesse im Hintergrund

iexplorer startet automatisch mehrere Prozesse im Hintergrund

Log-Analyse und Auswertung: iexplorer startet automatisch mehrere Prozesse im Hintergrund