| |
| |||||||
Log-Analyse und Auswertung: flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch?Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
24.04.2011, 16:23
| #1 |
 |  flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Hallo, ich habe seit längerem bei jedem Windowsstart (WinXP SP3) die Fehlermeldung "RUNDLL - Fehler beim Laden von C:\Dokumente und Einstellungen\mr\Anwendungsdaten\Adobe\Update\flacor.dat - %1 ist keine zulässige Win32-Anwendung." Sie tauchte auf, nachdem Avira AntiVir einen Trojaner gefunden und gelöscht hatte (genaueres kann ich dazu leider nicht mehr sagen). Ich ging aber davon aus, daß diese Meldung nicht kritisch ist (der Virus war ja gelöscht). Ich habe mich der Sache nun nochmal angenommen und bin durch die Suchergebnisse hier im Board und auch sonst etwas verunsichert und würde mich freuen, wenn Ihr mir sagen könnt, ob eine Gefährung besteht und wie ich sie ggf. beseitigen kann. Folgenden Thread zum wohl gleichen Thema habe ich zwar gelesen, muß aber gestehen, daß ich ab einem gewissen Punkt nicht mehr folgen konnte und auch glaube, daß das Problem am Ende in eine andere Richtung ging. http://www.trojaner-board.de/86138-f...t-malware.html Im Anhang sind die Protokolle von: 1. OTL (mit Extras) 2. Gmer 3. SystemLook von jpshortstuff regfind: flacor (weil im o.g. Thread darum gebeten wurde (#22)) und mir das als möglicherweise nützlich erschien. 4. Avira AntiVir Scan Falls Ihr noch etwas braucht wird gerne nachgeliefert. Schon mal vielen Dank im Voraus und frohe Ostern Markus |
|
25.04.2011, 15:45
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   |  flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.
__________________
__________________ |
|
25.04.2011, 17:33
| #3 |
| | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Hallo Arne,
__________________an älteren Protokollen kann ich nur welche von Avira AntiVir anbieten... Malwarebytes war bisher nicht installiert. (Hatte ich unterlassen, weil es im "Für alle Hilfesuchenden"-Thread als Alternative zu load.exe genannt war. Sorry.) Habe die Installation nun nachgeholt. Beim ersten Suchlauf fand Malwarebytes u.a. flacor.dat und ich habe sie löschen lassen. Nach dem Neustart tauchte die Windows-Fehlermeldung nicht mehr auf, die Datei flacor.dat ist nicht mehr im Verzeichnis und beim erneuten Malwarebytes-Suchlauf wurde nichts gefunden. Wäre ja zu schön, wenn damit schon alles gut wäre... Die beiden Malwarebytes-Protokolldateien von heute sind angehängt. VG Markus |
|
25.04.2011, 20:19
| #4 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch?Zitat:
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
26.04.2011, 10:09
| #5 |
| | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Aktueller Vollscan - ältere gibt es wie gesagt leider nicht.. Malwarebytes' Anti-Malware 1.50.1.1100 |
|
26.04.2011, 12:24
| #6 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code:
ATTFilter :OTL
FF - prefs.js..browser.search.defaultenginename: "ICQ Search"
FF - prefs.js..browser.search.selectedEngine: "Google"
FF - prefs.js..browser.startup.homepage: "http://www.gmx.de/"
FF - prefs.js..keyword.URL: "http://search.icq.com/search/afe_results.php?ch_id=afex&q="
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/
O4 - HKCU..\Run: [Getdo] C:\Dokumente und Einstellungen\mr\Anwendungsdaten\Adobe\Update\flacor.dat ()
[2006.12.02 12:00:02 | 000,000,000 | ---D | M] -- C:\6a0cf7ebb60012b8e27c97
:Commands
[purity]
[resethosts]
[emptytemp]
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.
__________________ --> flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? |
|
26.04.2011, 14:58
| #7 |
| | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch?All processes killed |
|
26.04.2011, 17:18
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )  Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
26.04.2011, 17:47
| #9 |
| | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Zugriff auf "Eigene Dateien" ist kein Problem. Der TDSSKiller hat auch nichts gefunden, was hätte gelöscht werden können. Hier das Protokoll: 2011/04/26 18:44:01.0970 3552 TDSS rootkit removing tool 2.4.21.0 Mar 10 2011 12:26:28 |
|
26.04.2011, 18:42
| #10 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
26.04.2011, 19:53
| #11 |
| | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Combofix Logfile: Code:
ATTFilter ComboFix 11-04-25.03 - mr 26.04.2011 20:38:09.1.2 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.1022.521 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\mr\Desktop\CoFi.exe
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
AV: Avira AntiVir PersonalEdition Classic *Enabled/Outdated* {00000000-0000-0000-0000-000000000000}
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\dokumente und einstellungen\mr\WINDOWS
c:\windows\jestertb.dll
c:\windows\system32\midas.dll
.
.
((((((((((((((((((((((( Dateien erstellt von 2011-03-26 bis 2011-04-26 ))))))))))))))))))))))))))))))
.
.
2011-04-26 18:26 . 2011-04-26 18:26 -------- d-----w- c:\programme\CCleaner
2011-04-26 13:54 . 2011-04-26 13:54 -------- d-----w- C:\_OTL
2011-04-25 15:52 . 2011-04-25 15:52 -------- d-----w- c:\dokumente und einstellungen\mr\Anwendungsdaten\Malwarebytes
2011-04-25 15:52 . 2010-12-20 16:09 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2011-04-25 15:52 . 2011-04-25 15:52 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-04-25 15:52 . 2011-04-25 15:52 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2011-04-25 15:52 . 2010-12-20 16:08 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2011-04-24 11:13 . 2011-04-24 11:14 -------- d-----w- c:\programme\ERUNT
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-03-16 15:32 . 2009-08-05 09:46 137656 ----a-w- c:\windows\system32\drivers\avipbb.sys
2011-03-07 05:33 . 2006-09-29 11:34 692736 ----a-w- c:\windows\system32\inetcomm.dll
2011-03-04 06:36 . 2006-03-24 12:00 420864 ----a-w- c:\windows\system32\vbscript.dll
2011-03-03 13:53 . 2006-03-24 12:00 1858048 ----a-w- c:\windows\system32\win32k.sys
2011-02-22 23:05 . 2006-03-24 12:00 916480 ----a-w- c:\windows\system32\wininet.dll
2011-02-22 23:05 . 2006-03-24 12:00 43520 ----a-w- c:\windows\system32\licmgr10.dll
2011-02-22 23:05 . 2006-03-24 12:00 1469440 ------w- c:\windows\system32\inetcpl.cpl
2011-02-22 11:41 . 2006-03-24 12:00 385024 ----a-w- c:\windows\system32\html.iec
2011-02-17 13:18 . 2006-03-24 12:00 455936 ----a-w- c:\windows\system32\drivers\mrxsmb.sys
2011-02-17 13:18 . 2006-03-24 12:00 357888 ----a-w- c:\windows\system32\drivers\srv.sys
2011-02-17 12:54 . 2008-05-05 05:25 5632 ----a-w- c:\windows\system32\xpsp4res.dll
2011-02-15 12:56 . 2006-03-24 12:00 290432 ----a-w- c:\windows\system32\atmfd.dll
2011-02-11 14:44 . 2006-10-09 12:01 236032 ----a-w- c:\windows\system32\fxscover.exe
2011-02-08 13:33 . 2006-03-24 12:00 978944 ----a-w- c:\windows\system32\mfc42.dll
2011-02-08 13:33 . 2006-03-24 12:00 974848 ----a-w- c:\windows\system32\mfc42u.dll
2011-02-04 16:48 . 2006-03-24 12:00 456192 ----a-w- c:\windows\system32\encdec.dll
2011-02-04 16:48 . 2006-03-24 12:00 291840 ----a-w- c:\windows\system32\sbe.dll
2011-02-02 07:58 . 2006-09-29 11:30 2067456 ----a-w- c:\windows\system32\mstscax.dll
2011-01-27 11:57 . 2006-09-29 11:30 677888 ----a-w- c:\windows\system32\mstsc.exe
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TVBroadcast"="c:\programme\Sceneo\Bonavista\SERVICES\ODSBC\ODSBCApp.exe" [2006-10-19 814080]
"PhotoShow Deluxe Media Manager"="c:\progra~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe" [2005-02-01 163840]
"WMPNSCFG"="c:\programme\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="c:\windows\ehome\ehtray.exe" [2005-09-29 67584]
"RTHDCPL"="RTHDCPL.EXE" [2006-10-09 16236032]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-11-06 8523776]
"nwiz"="nwiz.exe" [2007-11-06 1626112]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]
"SetIcon"="\Programme\SMSC\SetIcon.exe" [2004-04-28 42496]
"LanguageShortcut"="c:\programme\Home Cinema\PowerDVD\Language\Language.exe" [2006-05-18 49152]
"TVEService"="c:\programme\Home Cinema\TV Enhance\TVEService.exe" [2006-10-19 151552]
"InstantOn"="c:\programme\CyberLink\PowerCinema Linux\ion_install.exe" [2006-06-21 93640]
"SSBkgdUpdate"="c:\programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-09-29 155648]
"OpwareSE4"="c:\programme\ScanSoft\OmniPageSE4.0\OpwareSE4.exe" [2006-03-21 69632]
"SAFEHOME HotKeys"="c:\programme\Steganos Safe Home\SteganosHotKeyService.exe" [2007-03-21 25088]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"HP Software Update"="c:\programme\HP\HP Software Update\HPWuSchd2.exe" [2010-06-09 49208]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-11-04 281768]
"NvMediaCenter"="NvMCTray.dll" [2007-11-06 81920]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2010-09-08 421888]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\dokumente und einstellungen\mr\Startmen\Programme\Autostart\
OpenOffice.org 2.0.lnk - c:\programme\OpenOffice.org 2.0\program\quickstart.exe [2006-7-14 393216]
.
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
HP Digital Imaging Monitor.lnk - c:\programme\HP\Digital Imaging\bin\hpqtra08.exe [2006-2-19 288472]
HP Photosmart Premier - Schnellstart.lnk - c:\programme\HP\Digital Imaging\bin\hpqthb08.exe [2006-2-10 73728]
Microsoft Office.lnk - c:\programme\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360]
VersionBackup.lnk - c:\programme\VersionBackup\VersionBackup.exe [2006-12-25 3897128]
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Programme\\MSN Messenger\\msnmsgr.exe"=
"c:\\WINDOWS\\system32\\fxsclnt.exe"=
"c:\\Programme\\NetMeeting\\Conf.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"c:\\Programme\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
"c:\\Programme\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\programme\Microsoft ActiveSync\rapimgr.exe"= c:\programme\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager
"c:\programme\Microsoft ActiveSync\wcescomm.exe"= c:\programme\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
"c:\programme\Microsoft ActiveSync\WCESMgr.exe"= c:\programme\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009
"26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service
.
R1 SLEE_15_DRIVER;Steganos Live Encryption Engine 15 [Driver];c:\windows\system32\drivers\sleen15.sys [21.02.2007 14:33 80232]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [05.08.2009 11:46 135336]
R2 srvcPVR;Sceneo PVR Service;c:\programme\Sceneo\Bonavista\Services\PVR\pvrservice.exe [31.10.2006 14:16 1441280]
R2 TVECapSvc;TVEnhance Background Capture Service (TBCS);c:\programme\Home Cinema\TV Enhance\Kernel\TV\TVECapSvc.exe [23.10.2006 12:50 282709]
R2 TVESched;TVEnhance Task Scheduler (TTS));c:\programme\Home Cinema\TV Enhance\Kernel\TV\TVESched.exe [23.10.2006 12:50 122971]
R3 3xHybrid;Philips SAA713x PCI Card;c:\windows\system32\drivers\3xHybrid.sys [17.10.2006 12:28 1105664]
R3 X10Hid;X10 Hid Device;c:\windows\system32\drivers\x10hid.sys [23.10.2006 12:37 7040]
.
Inhalt des "geplante Tasks" Ordners
.
2011-04-05 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page =
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
mWindow Title = Microsoft Internet Explorer
uInternet Connection Wizard,ShellNext = hxxp://www.arcor.de/
IE: Google Sidewiki... - c:\programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~3\Office10\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\mr\Anwendungsdaten\Mozilla\Firefox\Profiles\nb9s4ahg.default\
FF - prefs.js: browser.search.selectedEngine -
FF - prefs.js: browser.startup.homepage - hxxp://www.gmx.net/
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKLM-Run-BullGuard - c:\programme\BullGuard Software\BullGuard\bullguard.exe
HKLM-Run-Arcor Online - (no file)
AddRemove-{FAF88B432344413595BB2DED98385684} - c:\programme\DivX\DivXUserGuideUninstall
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-04-26 20:44
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'explorer.exe'(228)
c:\windows\system32\nview.dll
c:\windows\system32\NVWRSDE.DLL
c:\programme\ScanSoft\OmniPageSE4.0\OpHookSE4.dll
c:\windows\system32\nvwddi.dll
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\windows\eHome\ehRecvr.exe
c:\windows\eHome\ehSched.exe
c:\programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\windows\system32\nvsvc32.exe
c:\programme\Avira\AntiVir Desktop\avshadow.exe
c:\programme\CyberLink\Shared Files\RichVideo.exe
c:\programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
c:\progra~1\COMMON~1\X10\Common\x10nets.exe
c:\windows\ehome\mcrdsvc.exe
c:\programme\Windows Media Player\wmpnetwk.exe
c:\programme\Canon\CAL\CALMAIN.exe
c:\windows\system32\dllhost.exe
c:\windows\eHome\ehmsas.exe
c:\windows\RTHDCPL.EXE
c:\windows\system32\rundll32.exe
c:\programme\SMSC\SetIcon.exe
c:\windows\system32\RunDLL32.exe
c:\programme\Microsoft ActiveSync\Wcescomm.exe
c:\progra~1\MI3AA1~1\rapimgr.exe
c:\programme\OpenOffice.org 2.0\program\soffice.exe
c:\programme\OpenOffice.org 2.0\program\soffice.BIN
c:\programme\HP\Digital Imaging\bin\hpqimzone.exe
c:\programme\HP\Digital Imaging\bin\hpqSTE08.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2011-04-26 20:49:48 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2011-04-26 18:49
.
Vor Suchlauf: 24 Verzeichnis(se), 276.260.347.904 Bytes frei
Nach Suchlauf: 26 Verzeichnis(se), 276.321.492.992 Bytes frei
.
WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows XP Media Center Edition" /noexecute=optin /fastdetect
.
- - End Of File - - 7B13F3DF8E89C56567DF064B7193EAA6
|
|
27.04.2011, 09:25
| #12 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
27.04.2011, 12:13
| #13 |
| | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? GMER Logfile: Code:
ATTFilter GMER 1.0.15.15570 - hxxp://www.gmer.net
Rootkit scan 2011-04-27 12:36:08
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 ST3320820AS rev.3.AAC
Running: g2m3e4r.exe; Driver: C:\DOKUME~1\mr\LOKALE~1\Temp\fgtdypow.sys
---- System - GMER 1.0.15 ----
SSDT F7C709AE ZwCreateKey
SSDT F7C709A4 ZwCreateThread
SSDT F7C709B3 ZwDeleteKey
SSDT F7C709BD ZwDeleteValueKey
SSDT F7C709C2 ZwLoadKey
SSDT F7C70990 ZwOpenProcess
SSDT F7C70995 ZwOpenThread
SSDT F7C709CC ZwReplaceKey
SSDT F7C709C7 ZwRestoreKey
SSDT F7C709B8 ZwSetValueKey
---- Kernel code sections - GMER 1.0.15 ----
.text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xF641A360, 0x3441C7, 0xE8000020]
---- Devices - GMER 1.0.15 ----
AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- Registry - GMER 1.0.15 ----
Reg HKLM\SOFTWARE\Classes\CLSID\{B6A930A0-A4F5-43A5-9B4E-6189A6C2B9E8}@j!s!i!`!r!`!e!d!\30!\30!t!e!s!m!s!y! 71230
---- EOF - GMER 1.0.15 ----
OSAM Logfile: Code:
ATTFilter Report of OSAM: Autorun Manager v5.0.11926.0 hxxp://www.online-solutions.ru/en/ Saved at 13:08:55 on 27.04.2011 OS: Windows XP Professional Service Pack 3 (Build 2600) Default Browser: Mozilla Corporation Firefox 3.6.16 Scanner Settings [x] Rootkits detection (hidden registry) [x] Rootkits detection (hidden files) [x] Retrieve files information [x] Check Microsoft signatures Filters [ ] Trusted entries [ ] Empty entries [x] Hidden registry entries (rootkit activity) [x] Exclusively opened files [x] Not found files [x] Files without detailed information [x] Existing files [ ] Non-startable services [ ] Non-startable drivers [x] Active entries [x] Disabled entries [Common] -----( %SystemRoot%\Tasks )----- "AppleSoftwareUpdate.job" - "Apple Inc." - C:\Programme\Apple Software Update\SoftwareUpdate.exe [Control Panel Objects] -----( %SystemRoot%\system32 )----- "ddbaccpl.cpl" - "DataDesign AG" - C:\WINDOWS\system32\ddbaccpl.cpl "ddbacctm.cpl" - "DataDesign AG" - C:\WINDOWS\system32\ddbacctm.cpl "infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl "jpicpl32.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\jpicpl32.cpl "nvcpl.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvcpl.cpl "nvtuicpl.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvtuicpl.cpl "xhidcpl.cpl" - ? - C:\WINDOWS\system32\xhidcpl.cpl (File found, but it contains no detailed information) -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )----- "Avira AntiVir Personal - Free Antivirus " - "Avira GmbH" - C:\PROGRA~1\Avira\ANTIVI~1\avconfig.cpl "Avira AntiVir PersonalEdition Classic Konfiguration" - ? - C:\PROGRA~1\ANTIVI~1\avconfig.cpl (File not found) "Nero BurnRights" - "Nero AG" - C:\Programme\Nero\Nero 7\Nero Toolkit\NeroBurnRights.cpl "QuickTime" - "Apple Inc." - C:\Programme\QuickTime\QTSystem\QuickTime.cpl [Drivers] -----( HKLM\SYSTEM\CurrentControlSet\Services )----- "AEGIS Protocol (IEEE 802.1x) v3.4.10.0" (AegisP) - "Meetinghouse Data Communications" - C:\WINDOWS\System32\DRIVERS\AegisP.sys "avgio" (avgio) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avgio.sys "avgntflt" (avgntflt) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avgntflt.sys "avipbb" (avipbb) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avipbb.sys "catchme" (catchme) - ? - C:\CoFi\catchme.sys (File not found) "Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys (File not found) "fgtdypow" (fgtdypow) - ? - C:\DOKUME~1\mr\LOKALE~1\Temp\fgtdypow.sys (Hidden registry entry, rootkit activity | File not found) "i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys (File not found) "IVI ASPI Shell" (Iviaspi) - "InterVideo, Inc." - C:\WINDOWS\System32\drivers\iviaspi.sys "lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys (File not found) "MHN-Treiber" (MHNDRV) - "Microsoft Corporation" - C:\WINDOWS\System32\DRIVERS\mhndrv.sys "PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys (File not found) "PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys (File not found) "PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys (File not found) "PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys (File not found) "PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys (File not found) "PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys "ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys "Steganos Live Encryption Engine 15 [Driver]" (SLEE_15_DRIVER) - "Softwareentwicklung Remus - ArchiCrypt " - C:\WINDOWS\system32\drivers\Sleen15.sys "WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys (File not found) [Explorer] -----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )----- {89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install -----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )----- {7D4D6379-F301-4311-BEBA-E26EB0561882} "NeroDigitalColumnHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll {F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll {C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - C:\Programme\OpenOffice.org 2.0\program\shlxthdl.dll -----( HKLM\Software\Classes\Protocols\Filter )----- {1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll {1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll {1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll -----( HKLM\Software\Classes\Protocols\Handler )----- {3D9F03FA-7A94-11D3-BE81-0050048385D1} "Data Page Pluggable Protocol mso-offdap Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\10\OWC10.DLL {828030A1-22C1-4009-854F-8E305202313F} "livecall" - "Microsoft Corporation" - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL {0A9007C0-4076-11D3-8789-0000F8105754} "Microsoft Infotech Storage Protocol for IE 4.0" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Information Retrieval\msitss.dll {CD00020A-8B95-11D1-82DB-00C04FB1625D} "Microsoft PKM KnowledgePluggable Class" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\PKMCDO.DLL {828030A1-22C1-4009-854F-8E305202313F} "msnim" - "Microsoft Corporation" - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )----- {42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? - deskpan.dll (File not found) {1CDB2949-8F65-4355-8456-263E7C208A5D} "Desktop Explorer" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll {1E9B04FB-F9E5-4718-997B-B8DA88302A47} "Desktop Explorer Menu" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll {1D2680C9-0E2A-469d-B787-065558BC7D43} "Fusion Cache" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll {853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? - (File not found | COM-object registry key not found) {FC9FB64A-1EB2-4CCF-AF5E-1A497A9B5C2D} "Meine freigegebenen Ordner" - "Microsoft Corporation" - C:\Programme\MSN Messenger\fsshext.8.0.0812.00.dll {42042206-2D85-11D3-8CFF-005004838597} "Microsoft Office HTML Icon Handler" - "Microsoft Corporation" - C:\Programme\Microsoft Office\Office10\msohev.dll {49BF5420-FA7F-11cf-8011-00A0C90A8F78} "Mobiles Gerät" - "Microsoft Corporation" - C:\PROGRA~1\MI3AA1~1\Wcesview.dll {B327765E-D724-4347-8B16-78AE18552FC3} "NeroDigitalIconHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll {7F1CF152-04F8-453A-B34C-E609530A9DC8} "NeroDigitalPropSheetHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll {1E9B04FB-F9E5-4718-997B-B8DA88302A48} "nView Desktop Context Menu" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll {C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - C:\Programme\OpenOffice.org 2.0\program\shlxthdl.dll {087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - C:\Programme\OpenOffice.org 2.0\program\shlxthdl.dll {63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - C:\Programme\OpenOffice.org 2.0\program\shlxthdl.dll {3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - C:\Programme\OpenOffice.org 2.0\program\shlxthdl.dll {0006F045-0000-0000-C000-000000000046} "Outlook-Dateisymbolerweiterung" - "Microsoft Corporation" - C:\Programme\Microsoft Office\Office10\OLKFSTUB.DLL {45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\shlext.dll {E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll {764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? - (File not found | COM-object registry key not found) {e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll {FAE0A3E0-3010-41BA-9DDC-A631394F047F} "SteganosShellExtension" - ? - C:\Programme\Steganos Safe Home\ShellExtension.dll (File found, but it contains no detailed information) {BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Webordner" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL {B41DB860-8EE4-11D2-9906-E49FADC173CA} "WinRAR" - "Alexander Roshal" - C:\Programme\WinRAR\rarext.dll [Internet Explorer] -----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )----- ITBar7Height "ITBar7Height" - ? - (File not found | COM-object registry key not found) -----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )----- {15B782AF-55D8-11D1-B477-006097098764} "Macromedia Authorware Web Player Control" - "Macromedia, Inc." - C:\WINDOWS\system32\macromed\authorwa\awswax.ocx / hxxp://fpdownload.macromedia.com/get/shockwave/cabs/authorware/awswaxd.cab {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} "MUWebControl Class" - "Microsoft Corporation" - C:\WINDOWS\system32\muweb.dll / hxxp://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1161001832152 {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} "Office Update Installation Engine" - "Microsoft Corporation" - C:\WINDOWS\opuc.dll / hxxp://office.microsoft.com/officeupdate/content/opuc3.cab {D27CDB6E-AE6D-11CF-96B8-444553540000} "Shockwave Flash Object" - "Adobe Systems, Inc." - C:\WINDOWS\system32\Macromed\Flash\Flash10d.ocx / hxxp://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab {17492023-C23A-453E-A040-C7C580BBF700} "Windows Genuine Advantage Validation Tool" - "Microsoft Corporation" - C:\WINDOWS\system32\legitcheckcontrol.dll / hxxp://go.microsoft.com/fwlink/?LinkID=39204 -----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )----- {CAFEEFAC-0015-0000-0008-ABCDEFFEDCBC} "ClsidExtension" - "Sun Microsystems, Inc." - C:\Programme\Java\jre1.5.0_08\bin\npjpi150_08.dll {2EAF5BB0-070F-11D3-9307-00C04FAE2D4F} "ClsidExtension" - "Microsoft Corporation" - C:\PROGRA~1\MI3AA1~1\INetRepl.dll {2EAF5BB0-070F-11D3-9307-00C04FAE2D4F} "Create Mobile Favorite" - "Microsoft Corporation" - C:\PROGRA~1\MI3AA1~1\INetRepl.dll "ICQ6" - "ICQ, LLC." - C:\Programme\ICQ6.5\ICQ.exe -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )----- {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} "Adobe PDF Reader" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} "SSVHelper Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll [Logon] -----( %AllUsersProfile%\Startmenü\Programme\Autostart )----- "desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini "HP Digital Imaging Monitor.lnk" - "Hewlett-Packard Development Company, L.P." - C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe (Shortcut exists | File exists) "HP Photosmart Premier – Schnellstart.lnk" - "Hewlett-Packard Development Company, L.P." - C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe (Shortcut exists | File exists) "Microsoft Office.lnk" - "Microsoft Corporation" - C:\Programme\Microsoft Office\Office10\OSA.EXE (Shortcut exists | File exists) "VersionBackup.lnk" - "SB-AW" - C:\Programme\VersionBackup\VersionBackup.exe (Shortcut exists | File exists) -----( %UserProfile%\Startmenü\Programme\Autostart )----- "desktop.ini" - ? - C:\Dokumente und Einstellungen\mr\Startmenü\Programme\Autostart\desktop.ini "OpenOffice.org 2.0.lnk" - ? - C:\Programme\OpenOffice.org 2.0\program\quickstart.exe (Shortcut exists | File found, but it contains no detailed information | File exists) -----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )----- "H/PC Connection Agent" - "Microsoft Corporation" - "C:\Programme\Microsoft ActiveSync\Wcescomm.exe" "PhotoShow Deluxe Media Manager" - "Simple Star, Inc." - C:\PROGRA~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe "TVBroadcast" - "ODSoft multimedia" - C:\Programme\Sceneo\Bonavista\SERVICES\ODSBC\ODSBCApp.exe -----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )----- "Adobe Reader Speed Launcher" - "Adobe Systems Incorporated" - "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" "avgnt" - "Avira GmbH" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min "HP Software Update" - "Hewlett-Packard Development Company, L.P." - C:\Programme\HP\HP Software Update\HPWuSchd2.exe "InstantOn" - ? - "C:\Programme\CyberLink\PowerCinema Linux\ion_install.exe /c " (File not found) "LanguageShortcut" - ? - "C:\Programme\Home Cinema\PowerDVD\Language\Language.exe" "NeroFilterCheck" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe "nwiz" - "NVIDIA Corporation" - nwiz.exe /install "OpwareSE4" - "ScanSoft, Inc." - "C:\Programme\ScanSoft\OmniPageSE4.0\OpwareSE4.exe" "QuickTime Task" - "Apple Inc." - "C:\Programme\QuickTime\QTTask.exe" -atboottime "SAFEHOME HotKeys" - ? - "C:\Programme\Steganos Safe Home\SteganosHotKeyService.exe" "SetIcon" - ? - \Programme\SMSC\SetIcon.exe (File not found) "SSBkgdUpdate" - "Scansoft, Inc." - "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot "TVEService" - "CyberLink Corp." - "C:\Programme\Home Cinema\TV Enhance\TVEService.exe" [Print Monitors] -----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )----- "HP Standard TCP/IP Port" - "Hewlett Packard" - C:\WINDOWS\system32\HpTcpMon.dll "PDFCreator" - ? - C:\WINDOWS\system32\pdfcmnnt.dll (File found, but it contains no detailed information) [Services] -----( HKLM\SYSTEM\CurrentControlSet\Services )----- ".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe "ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe "Avira AntiVir Guard" (AntiVirService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avguard.exe "Avira AntiVir Planer" (AntiVirSchedulerService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\sched.exe "Canon Camera Access Library 8" (CCALib8) - "Canon Inc." - C:\Programme\Canon\CAL\CALMAIN.exe "Cyberlink RichVideo Service(CRVS)" (RichVideo) - ? - C:\Programme\CyberLink\Shared Files\RichVideo.exe "LightScribeService Direct Disc Labeling Service" (LightScribeService) - "Hewlett-Packard Company" - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe "Machine Debug Manager" (MDM) - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE "Messenger Sharing USN Journal Reader-Service" (usnsvc) - "Microsoft Corporation" - C:\Programme\MSN Messenger\usnsvc.dll "MHN" (MHN) - "Microsoft Corporation" - C:\WINDOWS\System32\mhn.dll "Pml Driver HPZ12" (Pml Driver HPZ12) - "HP" - C:\WINDOWS\system32\HPZipm12.exe "Sceneo PVR Service" (srvcPVR) - "Buhl Data Service GmbH" - C:\Programme\Sceneo\Bonavista\Services\PVR\PVRService.exe "TVEnhance Background Capture Service (TBCS)" (TVECapSvc) - ? - C:\Programme\Home Cinema\TV Enhance\Kernel\TV\TVECapSvc.exe "TVEnhance Task Scheduler (TTS))" (TVESched) - ? - C:\Programme\Home Cinema\TV Enhance\Kernel\TV\TVESched.exe "Ulead Burning Helper" (UleadBurningHelper) - "Ulead Systems, Inc." - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe "Windows CardSpace" (idsvc) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe "Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe "X10 Device Network Service" (x10nets) - "X10" - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe [Winlogon] -----( HKCU\Control Panel\IOProcs )----- "MVB" - ? - mvfs32.dll (File not found) -----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )----- "WgaLogon" - "Microsoft Corporation" - C:\WINDOWS\system32\WgaLogon.dll ===[ Logfile end ]=========================================[ Logfile end ]=== If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru MBRCheck, version 1.2.3 (c) 2010, AD Command-line: Windows Version: Windows XP Professional Windows Information: Service Pack 3 (build 2600) Logical Drives Mask: 0x000007fc Kernel Drivers (total 132): 0x804D7000 \WINDOWS\system32\ntkrnlpa.exe 0x806E6000 \WINDOWS\system32\hal.dll 0xF7A90000 \WINDOWS\system32\KDCOM.DLL 0xF79A0000 \WINDOWS\system32\BOOTVID.dll 0xF7460000 ACPI.sys 0xF7A92000 \WINDOWS\system32\DRIVERS\WMILIB.SYS 0xF744F000 pci.sys 0xF7590000 isapnp.sys 0xF75A0000 ohci1394.sys 0xF75B0000 \WINDOWS\system32\DRIVERS\1394BUS.SYS 0xF7B58000 pciide.sys 0xF7810000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS 0xF7A94000 viaide.sys 0xF75C0000 MountMgr.sys 0xF7430000 ftdisk.sys 0xF7A96000 dmload.sys 0xF740A000 dmio.sys 0xF7818000 PartMgr.sys 0xF7820000 videX32.sys 0xF75D0000 VolSnap.sys 0xF73F2000 atapi.sys 0xF75E0000 disk.sys 0xF75F0000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS 0xF73D2000 fltmgr.sys 0xF73C0000 sr.sys 0xF7828000 xfilt.sys 0xF7600000 PxHelp20.sys 0xF73A9000 KSecDD.sys 0xF731C000 Ntfs.sys 0xF72EF000 NDIS.sys 0xF7610000 uagp35.sys 0xF72D5000 Mup.sys 0xF6B40000 \SystemRoot\system32\DRIVERS\intelppm.sys 0xF641A000 \SystemRoot\system32\DRIVERS\nv4_mini.sys 0xF6406000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS 0xF6B30000 \SystemRoot\system32\DRIVERS\imapi.sys 0xF7A84000 \SystemRoot\system32\drivers\iviaspi.sys 0xF7640000 \SystemRoot\system32\DRIVERS\cdrom.sys 0xF7650000 \SystemRoot\system32\DRIVERS\redbook.sys 0xF63E3000 \SystemRoot\system32\DRIVERS\ks.sys 0xF7920000 \SystemRoot\system32\DRIVERS\usbuhci.sys 0xF63BF000 \SystemRoot\system32\DRIVERS\USBPORT.SYS 0xF7928000 \SystemRoot\system32\DRIVERS\usbehci.sys 0xF7660000 \SystemRoot\system32\DRIVERS\fetnd5bv.sys 0xF6397000 \SystemRoot\system32\DRIVERS\HDAudBus.sys 0xF6289000 \SystemRoot\system32\DRIVERS\3xHybrid.sys 0xF72B1000 \SystemRoot\system32\DRIVERS\BdaSup.SYS 0xF7930000 \SystemRoot\system32\DRIVERS\fdc.sys 0xF7670000 \SystemRoot\system32\DRIVERS\serial.sys 0xF72AD000 \SystemRoot\system32\DRIVERS\serenum.sys 0xF6275000 \SystemRoot\system32\DRIVERS\parport.sys 0xF7680000 \SystemRoot\system32\DRIVERS\i8042prt.sys 0xF7938000 \SystemRoot\system32\DRIVERS\mouclass.sys 0xF7940000 \SystemRoot\system32\DRIVERS\kbdclass.sys 0xF7ADC000 \SystemRoot\System32\Drivers\x10hid.sys 0xF7690000 \SystemRoot\System32\Drivers\HIDCLASS.SYS 0xF7948000 \SystemRoot\System32\Drivers\HIDPARSE.SYS 0xF7CC2000 \SystemRoot\system32\DRIVERS\audstub.sys 0xF76A0000 \SystemRoot\system32\DRIVERS\rasl2tp.sys 0xF72A9000 \SystemRoot\system32\DRIVERS\ndistapi.sys 0xF625E000 \SystemRoot\system32\DRIVERS\ndiswan.sys 0xF76B0000 \SystemRoot\system32\DRIVERS\raspppoe.sys 0xF76C0000 \SystemRoot\system32\DRIVERS\raspptp.sys 0xF7950000 \SystemRoot\system32\DRIVERS\TDI.SYS 0xF7958000 \SystemRoot\system32\DRIVERS\ptilink.sys 0xF7960000 \SystemRoot\system32\DRIVERS\raspti.sys 0xF6206000 \SystemRoot\system32\DRIVERS\rdpdr.sys 0xF76D0000 \SystemRoot\system32\DRIVERS\termdd.sys 0xF7ADE000 \SystemRoot\system32\DRIVERS\swenum.sys 0xF61A8000 \SystemRoot\system32\DRIVERS\update.sys 0xF7291000 \SystemRoot\system32\DRIVERS\mssmbios.sys 0xF728D000 \SystemRoot\system32\DRIVERS\kbdhid.sys 0xF7700000 \SystemRoot\System32\Drivers\NDProxy.SYS 0xF7710000 \SystemRoot\system32\DRIVERS\usbhub.sys 0xF7AEA000 \SystemRoot\system32\DRIVERS\USBD.SYS 0xF3C2C000 \SystemRoot\system32\drivers\RtkHDAud.sys 0xF3C08000 \SystemRoot\system32\drivers\portcls.sys 0xF7720000 \SystemRoot\system32\drivers\drmk.sys 0xF7AEE000 \SystemRoot\System32\Drivers\Fs_Rec.SYS 0xF7B76000 \SystemRoot\System32\Drivers\Null.SYS 0xF7AF0000 \SystemRoot\System32\Drivers\Beep.SYS 0xF7980000 \SystemRoot\System32\drivers\vga.sys 0xF7AF2000 \SystemRoot\System32\Drivers\mnmdd.SYS 0xF7AF4000 \SystemRoot\System32\DRIVERS\RDPCDD.sys 0xF7988000 \SystemRoot\System32\Drivers\Msfs.SYS 0xF7990000 \SystemRoot\System32\Drivers\Npfs.SYS 0xF6256000 \SystemRoot\system32\DRIVERS\rasacd.sys 0xF3B85000 \SystemRoot\system32\DRIVERS\ipsec.sys 0xF7740000 \SystemRoot\system32\DRIVERS\msgpc.sys 0xF3B2C000 \SystemRoot\system32\DRIVERS\tcpip.sys 0xF3B04000 \SystemRoot\system32\DRIVERS\netbt.sys 0xF3ADE000 \SystemRoot\system32\DRIVERS\ipnat.sys 0xF7750000 \SystemRoot\system32\DRIVERS\wanarp.sys 0xF3ABC000 \SystemRoot\System32\drivers\afd.sys 0xF7760000 \SystemRoot\system32\DRIVERS\netbios.sys 0xF7998000 \SystemRoot\system32\DRIVERS\ssmdrv.sys 0xF3AAA000 \??\C:\WINDOWS\system32\drivers\Sleen15.sys 0xF3A7F000 \SystemRoot\system32\DRIVERS\rdbss.sys 0xF3A0F000 \SystemRoot\system32\DRIVERS\mrxsmb.sys 0xF7770000 \SystemRoot\System32\Drivers\Fips.SYS 0xF39E9000 \SystemRoot\system32\DRIVERS\avipbb.sys 0xF7B04000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys 0xF399D000 \SystemRoot\System32\Drivers\Fastfat.SYS 0xF7870000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS 0xF7878000 \SystemRoot\System32\Drivers\x10ufx2.sys 0xF6E5E000 \SystemRoot\System32\Drivers\Cdfs.SYS 0xF3985000 \SystemRoot\System32\Drivers\dump_atapi.sys 0xF7A9A000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS 0xBF800000 \SystemRoot\System32\win32k.sys 0xF61A4000 \SystemRoot\System32\drivers\Dxapi.sys 0xF7888000 \SystemRoot\System32\watchdog.sys 0xBF000000 \SystemRoot\System32\drivers\dxg.sys 0xF7CA1000 \SystemRoot\System32\drivers\dxgthk.sys 0xBF012000 \SystemRoot\System32\nv4_disp.dll 0xBA6D3000 \SystemRoot\system32\DRIVERS\avgntflt.sys 0xF78F0000 \SystemRoot\system32\DRIVERS\AegisP.sys 0xBA6C3000 \SystemRoot\system32\DRIVERS\ndisuio.sys 0xBA44E000 \SystemRoot\system32\DRIVERS\mrxdav.sys 0xBA3BD000 \SystemRoot\System32\Drivers\HTTP.sys 0xBA275000 \SystemRoot\system32\DRIVERS\srv.sys 0xB9B5D000 \SystemRoot\system32\drivers\wdmaud.sys 0xBA05A000 \SystemRoot\system32\drivers\sysaudio.sys 0xF7B40000 \SystemRoot\system32\drivers\MSPQM.sys 0xBF593000 \SystemRoot\System32\ATMFD.DLL 0xF7918000 \SystemRoot\system32\DRIVERS\usbccgp.sys 0xB9578000 \SystemRoot\system32\DRIVERS\usbscan.sys 0xF78A8000 \SystemRoot\system32\DRIVERS\usbprint.sys 0xF78B8000 \SystemRoot\system32\DRIVERS\HPZius12.sys 0xB91E8000 \SystemRoot\system32\DRIVERS\HPZid412.sys 0xB9574000 \SystemRoot\system32\DRIVERS\HPZipr12.sys 0xB8815000 \??\C:\DOKUME~1\mr\LOKALE~1\Temp\fgtdypow.sys 0x7C910000 \WINDOWS\system32\ntdll.dll Processes (total 63): 0 System Idle Process 4 System 420 C:\WINDOWS\system32\smss.exe 480 csrss.exe 504 C:\WINDOWS\system32\winlogon.exe 548 C:\WINDOWS\system32\services.exe 560 C:\WINDOWS\system32\lsass.exe 748 C:\WINDOWS\system32\svchost.exe 800 svchost.exe 868 C:\WINDOWS\system32\svchost.exe 964 svchost.exe 1096 svchost.exe 1184 C:\WINDOWS\system32\spoolsv.exe 1276 svchost.exe 1364 C:\WINDOWS\ehome\ehrecvr.exe 1380 C:\WINDOWS\ehome\ehSched.exe 1456 C:\WINDOWS\system32\svchost.exe 1504 C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe 1556 C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE 1696 C:\WINDOWS\system32\nvsvc32.exe 1772 C:\WINDOWS\system32\HPZipm12.exe 1828 C:\Programme\CyberLink\Shared Files\RichVideo.exe 1896 C:\Programme\Sceneo\Bonavista\Services\PVR\pvrservice.exe 696 svchost.exe 852 C:\WINDOWS\system32\svchost.exe 916 C:\Programme\Home Cinema\TV Enhance\Kernel\TV\TVECapSvc.exe 1056 C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe 1352 C:\Programme\Common Files\X10\Common\X10nets.exe 1868 mcrdsvc.exe 2004 wmpnetwk.exe 2140 C:\Programme\Canon\CAL\CALMAIN.exe 2528 C:\Programme\Home Cinema\TV Enhance\Kernel\TV\TVESched.exe 2924 C:\WINDOWS\explorer.exe 3068 C:\WINDOWS\system32\dllhost.exe 3368 alg.exe 3736 C:\WINDOWS\ehome\ehtray.exe 3748 C:\WINDOWS\RTHDCPL.exe 3772 C:\WINDOWS\ehome\ehmsas.exe 3884 C:\WINDOWS\system32\rundll32.exe 3940 C:\Programme\SMSC\SetIcon.exe 4016 C:\Programme\Home Cinema\TV Enhance\TVEService.exe 356 C:\Programme\ScanSoft\OmniPageSE4.0\OpWareSE4.exe 368 C:\Programme\Steganos Safe Home\SteganosHotKeyService.exe 1408 C:\WINDOWS\system32\rundll32.exe 2300 C:\Programme\HP\HP Software Update\hpwuSchd2.exe 2324 C:\Programme\Sceneo\Bonavista\Services\ODSBC\ODSBCApp.exe 2312 C:\PROGRA~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe 2072 C:\Programme\Windows Media Player\wmpnscfg.exe 2124 C:\Programme\Microsoft ActiveSync\wcescomm.exe 2136 C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe 2712 C:\PROGRA~1\MI3AA1~1\rapimgr.exe 2992 C:\Programme\OpenOffice.org 2.0\program\soffice.exe 3076 C:\Programme\OpenOffice.org 2.0\program\soffice.bin 3140 C:\Programme\HP\Digital Imaging\bin\hpqimzone.exe 2892 C:\Programme\HP\Digital Imaging\bin\hpqste08.exe 4004 C:\Programme\Mozilla Firefox\firefox.exe 4068 C:\Programme\Mozilla Firefox\plugin-container.exe 2352 C:\Programme\Avira\AntiVir Desktop\avguard.exe 2336 C:\Programme\Avira\AntiVir Desktop\avshadow.exe 4076 C:\Programme\Avira\AntiVir Desktop\avgnt.exe 3680 C:\Programme\Avira\AntiVir Desktop\sched.exe 2620 C:\Dokumente und Einstellungen\mr\Desktop\osam_autorun_manager_5_0_portable\osam.exe 3400 C:\Dokumente und Einstellungen\mr\Desktop\MBRCheck.exe \\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS) \\.\D: --> \\.\PhysicalDrive0 at offset 0x00000045`a3811400 (FAT32) \\.\J: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (FAT32) PhysicalDrive0 Model Number: ST3320820AS, Rev: 3.AAC PhysicalDrive1 Model Number: ST3500820AS, Rev: SD45 Size Device Name MBR Status -------------------------------------------- 298 GB \\.\PhysicalDrive0 Unknown MBR code SHA1: 37A7DEC0F491D819C35BCE1B3E4CD6BC5576EDC4 465 GB \\.\PhysicalDrive1 Unknown MBR code SHA1: 639AC5CDF8A5CF3245975932C6A4215450A7B98F Found non-standard or infected MBR. Enter 'Y' and hit ENTER for more options, or 'N' to exit: Done! |
|
27.04.2011, 13:23
| #14 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Bitte mal den Avenger anwenden: 1.) Lade Dir von hier Avenger: Swandog46's Public Anti-Malware Tools (Download, linksseitig) 2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:  3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld: Code:
ATTFilter registry keys to delete:
HKLM\SOFTWARE\Classes\CLSID\{B6A930A0-A4F5-43A5-9B4E-6189A6C2B9E8}
5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein. 6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso. 7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier. 8.) Die Datei c:\avenger\backup.zip bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und hier verlinken
__________________ Logfiles bitte immer in CODE-Tags posten |
|
27.04.2011, 14:21
| #15 |
| | flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? Hi Arne, ich hab den Avenger zweimal ausgeführt, weil ich beim ersten mal den Haken bei "Automatically disable any rootkits found" vergessen hatte. Leider war danach das Logfile vom erstenmal mit dem neuen überschrieben. Sorry. Im ersten stand aber, daß er den HKLM\SOFTWARE\Classes\CLSID\{B6A930A0-A4F5-43A5-9B4E-6189A6C2B9E8} erfolgreich gelöscht hat. Logfile of The Avenger Version 2.0, (c) by Swandog46 hxxp://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! Error: registry key "HKLM\SOFTWARE\Classes\CLSID\{B6A930A0-A4F5-43A5-9B4E-6189A6C2B9E8}" not found! Deletion of registry key "HKLM\SOFTWARE\Classes\CLSID\{B6A930A0-A4F5-43A5-9B4E-6189A6C2B9E8}" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Completed script processing. ******************* Finished! Terminate. Backupfiles (zuerst die neue, dann die vom ersten mal) hxxp://www.file-upload.net/download-3390028/backup.zip.html hxxp://www.file-upload.net/download-3390059/backup-27.04.2011-15.10.04-89.zip.html Geändert von CLMarkus (27.04.2011 um 14:24 Uhr) Grund: Nachtrag |
|
| Themen zu flacor.dat Fehlermeldung (RUNDLL) bei Windows-Start - kritisch? |
| adobe, anhang, antivir, avira, avira antivir, beseitigen, board, brauch, dll, dll -, einstellungen, fehlermeldung, flacor.dat, gelöscht, gen, gmer, laden, nicht mehr, problem, rundll, sp3, suchergebnisse, systemlook, thema, trojaner, trojaner gefunden, update, virus, winxp |
Linear-Darstellung
