| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: AnitVirenSoftware hat "Worm/Bot.21504" gefundenWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
23.08.2011, 18:54
| #1 |
 |  AnitVirenSoftware hat "Worm/Bot.21504" gefunden Hallo und guten Tag. Ich arbeite als Mitarbeiter eines EDV-Verantwortlichen. Derzeit bin ich allein (Urlaubszeit) und stehe vor folgendem Problem: Vorgeschichte: Wir produzieren Geräte, welche regelmäßig zur Reparatur / Justierung von unseren Kunden zu uns kommen. Diese Geräte haben einen internen Speicher, auf dem Daten gespeichert werden, die während der Gerätebenutzung aufgezeichnet wurden. Diese Daten kann der Kunde mittels PC-Software auswerten. Verbindet man ein Gerät per USB-Kabel mit einem Windows-PC, so wird ein Wechseldatenträger verbunden. Auf diesem Wechseldatenträger gibt es nur eine einzige Datei "xyz.dat". Vorfall: Einer unserer Mitarbeiter hat ein solches Gerät per USB-Kabel mit einem PC verbunden. Die AntiVirenSoftware meldete daraufhin, dass auf dem Wechseldatenträger eine "autorun.exe" vom Schädling "Worm/Bot.21504" befallen sei. Der Mitarbeiter holte mich und ich klickte auf "In Quarantäne verschieben". Daraufhin meldete die AntiVirenSoftware (im folgenden Text "AVS" genannt) dass ein Neustart dazu notwendig sei. Den Neustart habe ich durchgeführt. Während des Startvorgang (schon in Windows) meldete die AVS, es wäre "Worm/Bot.21504" auch in "C:\Windows\system32\hdaudio.exe" gefunden worden. Ich war dann etwas verwundert, weil in der AVS eingestellt ist dass Autoruns zu blockieren sind und nun scheinbar doch eine Verbreitung stattgefunden hatte. Ich prüfte die Aktualität der AVS - ein Update der Signaturen hat heute stattgefunden. Erste Maßnahmen: - Ich habe das Netzwerkkabel abgezogen und mit "MiniXP" von "Hirens Boot-CD 13.1" den PC neu gestartet. - Ich habe den noch vorhandenen Wechseldatenträger geöffnet, um zu schauen ob die autorun.exe weg ist. Die Datei ist weg, es befand sich aber noch eine "autorun.inf" auf dem Wechseldatenträger. Diese habe ich gelöscht. - Ich habe einen USB-Stick an einem vermeintlich sicheren PC formatiert und mir das "Microsoft Tool zum Entfernen bösartiger Software" vom 9.8.2011 drauf gezogen. - Auf den befallenen PC (im folgenden Text "WurmPC" genannt) habe ich dann das Tool in C:\Temp kopiert, es hat sich jedoch kein Scan starten lassen (Abbruch bei ScanStart mit Fehlermeldung). Ich vermute es liegt an diesem "MiniXP". - Ich habe den WurmPC im abgesicherten Modus neu gestartet und dann das MS-Tool laufen lassen. Der Scan (erst schneller Scan, dann vollständiger Scan über 2 Stunden) war negativ. - Ich habe den WurmPC dann normal gestartet und von der AVS wieder die Meldung über die befallene hdaudio.exe erhalten. Diese habe dann auch in Quarantäne verschieben lassen. Nun ist Ruhe. Ich traue mich nun nicht, einfach den WurmPC wieder ans Netz zu nehmen und für die Benutzung frei zu geben. Ich bin kein Experte für Beseitigung von Schadsoftware und möchte nun hier mit Hilfe herausfinden, ob der WurmPC wieder sauber ist. Auch möchte ich wissen, ob die hdaudio.exe eine benötigte Datei ist, vielleicht bekomme ich das ja während der Problembearbeitung mit. Eine Info noch am Rande: Es gab mit dem WurmPC schonmal Probleme wegen einer Conficker-Variante, die laut meinem EDV-Leiter aber vollständig behoben wurden. Ich habe versucht mich an die Anleitung zum Erstellen eines Themas zu halten, die Log-Dateien häng' ich am Ende meines Post an. Leider musste ich "Schritt 2" wiederholen, da ich nicht kapiert hatte dass ich die Zeilen aus der Anleitung in das OTL-Fenster kopieren muss, bevor ich den QuickScan starte. Also hatte ich beim 1. Mal OTL mit leerer Textbox laufen lassen.  (Ich poste die OTL_Logs vom zweiten Durchlauf.)Übrigens ist mir während des Durcharbeiten der Anleitung Einiges aufgefallen: - In "Schritt 1" musste ich noch eine zusätzliche Meldung bestätigen, bevor der Scan gestartet wurde. - Ich habe am Ende von "Schritt 1" keine Aufforderung zum Neustart erhalten. (defogger_disable poste ich auch) - Ich wusste nicht, ob ich defogger am Ende von "Schritt 1" schliessen soll -> ich habs geschlossen - In "Schritt 2" ist es nicht offensichtlich dass ich die Zeilen aus der Anleitung kopieren soll - Die Datei OTL.Txt, welche von OTL erstellt wird, erkennt mein AVS "AVG Free Anti-Virus: Small Business Edition 2011" auf dem PC von dem aus ich schreibe als "Worm/Downadup" (das macht mir Sorgen) - Die zweite Datei die durch OTL erstellt wird heisst nicht "Extra.txt", sondern "Extras.txt" Hier nun die Ergebnisse: defogger_disable Code:
ATTFilter defogger_disable by jpshortstuff (23.02.10.1)
Log created at 17:27 on 23/08/2011 (GE)
Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.
Checking for services/drivers...
-=E.O.F=-
Code:
ATTFilter OTL logfile created on: 23.08.2011 19:07:38 - Run 2 OTL by OldTimer - Version 3.2.26.5 Folder = C:\Dokumente und Einstellungen\GE\Desktop Windows XP Home Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 6.0.2900.2180) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 959,23 Mb Total Physical Memory | 610,01 Mb Available Physical Memory | 63,59% Memory free 1,51 Gb Paging File | 1,24 Gb Available in Paging File | 81,83% Paging File free Paging file location(s): C:\pagefile.sys 672 1344 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 38,28 Gb Total Space | 25,59 Gb Free Space | 66,86% Space Free | Partition Type: NTFS Drive E: | 15,90 Mb Total Space | 15,90 Mb Free Space | 99,98% Space Free | Partition Type: FAT Drive G: | 982,06 Mb Total Space | 966,29 Mb Free Space | 98,39% Space Free | Partition Type: FAT32 Computer Name: JUSTIER | User Name: GE | Logged in as Administrator. Boot Mode: Normal | Scan Mode: Current user | Quick Scan Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days ========== Processes (SafeList) ========== PRC - [2011.08.23 17:03:00 | 000,580,096 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\GE\Desktop\OTL.exe PRC - [2010.12.08 13:27:55 | 000,267,944 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe PRC - [2010.11.02 12:48:59 | 000,135,336 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\sched.exe PRC - [2010.11.02 12:48:57 | 000,403,624 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avwebgrd.exe PRC - [2010.11.02 12:48:57 | 000,339,624 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avmailc.exe PRC - [2010.11.02 12:48:57 | 000,281,768 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avgnt.exe PRC - [2010.04.06 11:17:55 | 000,076,968 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avshadow.exe PRC - [2006.01.17 02:05:20 | 001,527,895 | ---- | M] (The Firebird Project) -- C:\Programme\Firebird\Firebird_1_5\bin\fbserver.exe PRC - [2006.01.17 02:05:20 | 000,065,536 | ---- | M] (The Firebird Project) -- C:\Programme\Firebird\Firebird_1_5\bin\fbguard.exe PRC - [2006.01.11 21:05:18 | 001,035,264 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe PRC - [2003.11.20 03:00:00 | 000,049,204 | ---- | M] (AVM Berlin) -- C:\Programme\KEN!\kencli.exe PRC - [2003.03.19 11:55:56 | 000,335,872 | ---- | M] (Microsoft Corporation) -- C:\Programme\Common\Microsoft Shared\VS7Debug\mdm.exe ========== Modules (No Company Name) ========== MOD - [2010.04.06 11:18:21 | 000,355,688 | ---- | M] () -- C:\Programme\Avira\AntiVir Desktop\sqlite3.dll MOD - [2003.11.20 03:00:00 | 000,827,392 | ---- | M] () -- C:\Programme\KEN!\libeay32.dll MOD - [2003.11.20 03:00:00 | 000,159,744 | ---- | M] () -- C:\Programme\KEN!\ssleay32.dll ========== Win32 Services (SafeList) ========== SRV - File not found [Disabled | Stopped] -- -- (HidServ) SRV - File not found [Auto | Stopped] -- -- (btyxuqfev) SRV - File not found [On_Demand | Stopped] -- -- (AppMgmt) SRV - [2010.12.08 13:27:55 | 000,267,944 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\avguard.exe -- (AntiVirService) SRV - [2010.11.02 12:48:59 | 000,135,336 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\sched.exe -- (AntiVirSchedulerService) SRV - [2010.11.02 12:48:57 | 000,403,624 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\AVWEBGRD.EXE -- (AntiVirWebService) SRV - [2010.11.02 12:48:57 | 000,339,624 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\avmailc.exe -- (AntiVirMailService) SRV - [2006.01.17 02:05:20 | 001,527,895 | ---- | M] (The Firebird Project) [On_Demand | Running] -- C:\Programme\Firebird\Firebird_1_5\bin\fbserver.exe -- (FirebirdServerDefaultInstance) SRV - [2006.01.17 02:05:20 | 000,065,536 | ---- | M] (The Firebird Project) [Auto | Running] -- C:\Programme\Firebird\Firebird_1_5\bin\fbguard.exe -- (FirebirdGuardianDefaultInstance) SRV - [2004.10.22 03:24:18 | 000,073,728 | ---- | M] (Macrovision Corporation) [On_Demand | Stopped] -- C:\Programme\Common\InstallShield\Driver\1050\Intel 32\IDriverT.exe -- (IDriverT) SRV - [2003.11.20 03:00:00 | 000,049,204 | ---- | M] (AVM Berlin) [Auto | Running] -- C:\Programme\KEN!\kencli.exe -- (KEN Client Service) SRV - [2003.03.19 11:55:56 | 000,335,872 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Programme\Common\Microsoft Shared\VS7Debug\mdm.exe -- (MDM) ========== Driver Services (SafeList) ========== DRV - [2010.12.20 12:38:38 | 000,135,096 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\avipbb.sys -- (avipbb) DRV - [2010.11.22 12:53:11 | 000,061,960 | ---- | M] (Avira GmbH) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\avgntflt.sys -- (avgntflt) DRV - [2010.04.06 11:18:34 | 000,028,520 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\ssmdrv.sys -- (ssmdrv) DRV - [2010.04.06 11:17:49 | 000,011,608 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\Programme\Avira\AntiVir Desktop\avgio.sys -- (avgio) DRV - [2006.11.10 15:05:00 | 000,018,688 | ---- | M] (Arcsoft, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\afc.sys -- (Afc) DRV - [2006.01.12 11:25:32 | 000,063,744 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\mf.sys -- (mf) DRV - [2005.09.22 10:34:18 | 003,727,680 | R--- | M] (Realtek Semiconductor Corp.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\alcxwdm.sys -- (ALCXWDM) Service for Realtek AC97 Audio (WDM) DRV - [2005.07.29 11:11:04 | 000,012,928 | R--- | M] (NVIDIA Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\nvnetbus.sys -- (nvnetbus) DRV - [2005.07.29 11:11:02 | 000,034,048 | R--- | M] (NVIDIA Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\NVENETFD.sys -- (NVENETFD) DRV - [2005.03.09 16:53:00 | 000,043,008 | ---- | M] (Advanced Micro Devices) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\AmdK8.sys -- (AmdK8) DRV - [2004.08.04 12:00:00 | 000,223,616 | ---- | M] (Microsoft Corporation) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\tcpip6.sys -- (Tcpip6) DRV - [2004.04.14 16:04:14 | 000,215,640 | ---- | M] (Jungo) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\windrvr.sys -- (WinDriver) DRV - [2003.11.20 03:00:00 | 000,057,664 | ---- | M] (AVM Berlin) [Kernel | Auto | Running] -- C:\WINDOWS\System32\Drivers\ndc.sys -- (ndc) DRV - [2003.07.16 15:27:40 | 000,043,264 | ---- | M] (Prolific Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\ser2pl.sys -- (Ser2pl) DRV - [2002.04.03 14:09:16 | 000,049,457 | R--- | M] (FTDI Ltd.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\ftser2k.sys -- (FTSER2K) DRV - [2002.04.03 13:09:14 | 000,018,102 | R--- | M] (FTDI Ltd.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\ftdibus.sys -- (FTDIBUS) ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://129.84.3.82:3128/ken.html IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com/ie IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = hxxp://www.google.com/ie IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.google.com/ie IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/ IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie IE - HKCU\Software\Microsoft\Internet Explorer\SearchURL\g, = hxxp://www.google.com/search?hl=en&q=%s IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1 IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = localhost IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = ftp=172.16.10.18:3128;http=172.16.10.18:3128;https=172.16.10.18:3128;socks=172.16.10.18:1080 ========== FireFox ========== FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll () FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.5.6\extensions\\Components: C:\Programme\Mozilla Firefox\components [2009.12.22 11:25:16 | 000,000,000 | ---D | M] FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.5.6\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2009.12.22 11:25:16 | 000,000,000 | ---D | M] [2009.02.26 08:49:39 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Mozilla\Extensions [2009.12.17 13:20:44 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Mozilla\Firefox\Profiles\2qi6siok.default\extensions [2009.11.18 17:00:57 | 000,000,000 | ---D | M] ("Ask Toolbar for Firefox") -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Mozilla\Firefox\Profiles\2qi6siok.default\extensions\{E9A1DEE0-C623-4439-8932-001E7D17607D} [2009.02.26 08:49:28 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions File not found (No name found) -- C:\PROGRAMME\HAUFE\IDESK\IDESKBROWSER\EXTENSIONS\{C24AECC7-7C95-507F-D71F-155CB86656DF} [2009.11.18 17:00:44 | 000,075,208 | ---- | M] (Foxit Software Company) -- C:\Programme\mozilla firefox\plugins\npFoxitReaderPlugin.dll [2009.10.20 16:51:54 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml [2009.10.20 16:51:54 | 000,002,344 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml [2009.10.20 16:51:54 | 000,006,805 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml [2009.10.20 16:51:54 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml [2009.10.20 16:51:54 | 000,000,801 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml O1 HOSTS File: ([2006.01.31 13:48:37 | 000,000,847 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O1 - Hosts: 127.0.0.1 localhost O2 - BHO: (AcroIEHlprObj Class) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated) O2 - BHO: (AskBar BHO) - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll (Ask.com) O2 - BHO: (SSVHelper Class) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (Sun Microsystems, Inc.) O3 - HKLM\..\Toolbar: (Foxit Toolbar) - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll (Ask.com) O3 - HKCU\..\Toolbar\ShellBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found. O3 - HKCU\..\Toolbar\ShellBrowser: (Foxit Toolbar) - {3041D03E-FD4B-44E0-B742-2D9B88305F98} - C:\Programme\AskBarDis\bar\bin\askBar.dll (Ask.com) O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.dll (NVIDIA Corporation) O4 - HKLM..\Run: [nwiz] C:\WINDOWS\System32\nwiz.exe () O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\AutorunsDisabled [2010.04.06 12:57:34 | 000,000,000 | -H-D | M] O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableStatusMessages = 0 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: VerboseStatus = 0 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 O10 - Protocol_Catalog9\Catalog_Entries\000000000001 - C:\Programme\Avira\AntiVir Desktop\avsda.dll (Avira GmbH) O10 - Protocol_Catalog9\Catalog_Entries\000000000002 - C:\Programme\Avira\AntiVir Desktop\avsda.dll (Avira GmbH) O10 - Protocol_Catalog9\Catalog_Entries\000000000008 - C:\Programme\Avira\AntiVir Desktop\avsda.dll (Avira GmbH) O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1270551363562 (WUWebControl Class) O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab (Java Plug-in 1.5.0_06) O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} hxxp://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab (Java Plug-in 1.5.0_06) O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11D1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\ms-help {314111c7-a502-11d2-bbca-00c04f8ec294} - C:\Programme\Common\Microsoft Shared\Help\hxds.dll (Microsoft Corporation) O18 - Protocol\Handler\ms-itss {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Programme\Common\Microsoft Shared\Information Retrieval\msitss.dll (Microsoft Corporation) O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Common\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation) O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation) O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) - C:\WINDOWS\system32\userinit.exe (Microsoft Corporation) O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2009.04.30 11:34:37 | 000,000,040 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ] O33 - MountPoints2\{15b38382-de14-11dd-a420-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{15b38382-de14-11dd-a420-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{15b38382-de14-11dd-a420-00138f6c4ef8}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn O33 - MountPoints2\{401f12a0-05b2-11df-a57c-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{401f12a0-05b2-11df-a57c-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{401f12a0-05b2-11df-a57c-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O33 - MountPoints2\{401f12a5-05b2-11df-a57c-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{401f12a5-05b2-11df-a57c-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{401f12a5-05b2-11df-a57c-00138f6c4ef8}\Shell\AutoRun\command - "" = G:\AutoRun.exe O33 - MountPoints2\{846724da-3bcb-11df-a5bd-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{846724da-3bcb-11df-a5bd-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{846724da-3bcb-11df-a5bd-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\LaunchU3.exe -a O33 - MountPoints2\{b1ec3f7e-1620-11df-a595-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\Menu.exe O33 - MountPoints2\{f572d91a-0b03-11df-a585-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{f572d91a-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{f572d91a-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O33 - MountPoints2\{f572d91b-0b03-11df-a585-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{f572d91b-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{f572d91b-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O33 - MountPoints2\{f572d91d-0b03-11df-a585-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{f572d91d-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{f572d91d-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O33 - MountPoints2\{f572d91e-0b03-11df-a585-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{f572d91e-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{f572d91e-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O34 - HKLM BootExecute: (autocheck autochk *) - File not found O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* ActiveX: {10072CEC-8CC1-11D1-986E-00A0C955B42F} - Vektorgrafik-Rendering (VML) ActiveX: {2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} - NetShow ActiveX: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 6.4 ActiveX: {283807B5-2C60-11D0-A31D-00AA00B92C03} - DirectAnimation ActiveX: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll ActiveX: {36f8ec70-c29a-11d1-b5c7-0000f8051515} - Dynamic HTML-Datenbindung für Java ActiveX: {3af36230-a269-11d1-b5bf-0000f8051515} - Offlinebrowsingpaket ActiveX: {3bf42070-b3b1-11d1-b5c5-0000f8051515} - Uniscribe ActiveX: {411EDCF7-755D-414E-A74B-3DCD6583F589} - Microsoft .NET Framework 1.1 Service Pack 1 (KB867460) ActiveX: {4278c270-a269-11d1-b5bf-0000f8051515} - Erweitertes Authoring ActiveX: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install ActiveX: {44BBA842-CC51-11CF-AAFA-00AA00B6015B} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT ActiveX: {44BBA848-CC51-11CF-AAFA-00AA00B6015C} - DirectShow ActiveX: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx ActiveX: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer-Hilfe ActiveX: {4f216970-c90c-11d1-b5c7-0000f8051515} - DirectAnimation Java Classes ActiveX: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.6 ActiveX: {5945c046-1e7d-11d1-bc44-00c04fd912be} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser ActiveX: {5A8D6EE0-3E18-11D0-821E-444553540000} - ICW ActiveX: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools ActiveX: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsererweiterungen ActiveX: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player ActiveX: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - Zugang zu MSN Site ActiveX: {7131646D-CD3C-40F4-97B9-CD9E4E6262EF} - .NET Framework ActiveX: {73fa19d0-2d75-11d2-995d-00c04f98bbc9} - Web Folders ActiveX: {7790769C-0471-11d2-AF11-00C04FA35D02} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4383} - %SystemRoot%\system32\ie4uinit.exe ActiveX: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install ActiveX: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML-Datenbindung ActiveX: {ACC563BC-4266-43f0-B6ED-9D38C4202C7E} - ActiveX: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer-Hauptschriftarten ActiveX: {CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1} - .NET Framework ActiveX: {CC2A9BA0-3BDD-11D0-821E-444553540000} - Taskplaner ActiveX: {CDD7975E-60F8-41d5-8149-19E51D6F71D0} - Windows Movie Maker v2.1 ActiveX: {D27CDB6E-AE6D-11cf-96B8-444553540000} - Adobe Flash Player ActiveX: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML-Hilfe ActiveX: {E78BFA60-5393-4C38-82AB-E8019E464EB4} - .NET Framework ActiveX: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface ActiveX: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - C:\WINDOWS\inf\unregmp2.exe /ShowWMP ActiveX: >{26923b43-4d38-484f-9b9e-de460746276c} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigIE ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS - RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP ActiveX: >{881dd1c5-3dcf-431b-b061-f3f88e8be88a} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigOE ActiveX: Microsoft Base Smart Card Crypto Provider Package - NetSvcs: AppMgmt - File not found NetSvcs: HidServ - File not found NetSvcs: Ias - File not found NetSvcs: Iprip - File not found NetSvcs: Irmon - File not found NetSvcs: NWCWorkstation - File not found NetSvcs: Nwsapagent - File not found NetSvcs: WmdmPmSp - File not found NetSvcs: btyxuqfev - File not found MsConfig - StartUpReg: KEN Taskbar Client - hkey= - key= - C:\Programme\KEN!\kentbcli.exe (AVM Berlin) MsConfig - StartUpReg: NvMediaCenter - hkey= - key= - File not found MsConfig - StartUpReg: SoundMan - hkey= - key= - C:\WINDOWS\soundman.exe (Realtek Semiconductor Corp.) MsConfig - StartUpReg: swg - hkey= - key= - C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe (Google Inc.) MsConfig - State: "system.ini" - 0 MsConfig - State: "win.ini" - 0 MsConfig - State: "bootini" - 0 MsConfig - State: "services" - 0 MsConfig - State: "startup" - 0 CREATERESTOREPOINT Restore point Set: OTL Restore Point ========== Files/Folders - Created Within 30 Days ========== [2011.08.23 17:25:23 | 000,580,096 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\GE\Desktop\OTL.exe [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2011.08.23 19:04:55 | 000,039,291 | ---- | M] () -- C:\WINDOWS\System32\nvapps.xml [2011.08.23 19:04:48 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2011.08.23 17:27:02 | 000,000,000 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\defogger_reenable [2011.08.23 17:03:52 | 000,302,592 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Desktop\zjqedoxt.exe [2011.08.23 17:03:00 | 000,580,096 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\GE\Desktop\OTL.exe [2011.08.23 17:02:24 | 000,050,477 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Desktop\Defogger.exe [2011.08.23 12:07:43 | 000,000,066 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Desktop\SM.CIL [2011.08.22 08:03:44 | 000,013,646 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2011.08.15 14:53:26 | 000,000,053 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Desktop\SMPRO.CIL [2011.08.12 14:05:05 | 000,002,781 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Eigene Dateien\eaglerc.usr [2011.08.11 15:53:29 | 000,000,725 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\TGUNI1PROT05.lnk [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files Created - No Company Name ========== [2011.08.23 17:27:02 | 000,000,000 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\defogger_reenable [2011.08.23 17:25:23 | 000,302,592 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Desktop\zjqedoxt.exe [2011.08.23 17:25:23 | 000,050,477 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Desktop\Defogger.exe [2011.08.23 13:07:05 | 000,021,504 | -H-- | C] () -- C:\Programme\Common\dvdaudio.exe [2011.08.11 15:53:29 | 000,000,725 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\TGUNI1PROT05.lnk [2009.02.26 08:49:41 | 000,000,000 | ---- | C] () -- C:\WINDOWS\nsreg.dat [2009.02.25 12:41:05 | 000,241,664 | ---- | C] () -- C:\WINDOWS\System32\hppapr04.DLL [2009.02.25 12:41:05 | 000,000,526 | ---- | C] () -- C:\WINDOWS\System32\hppapr04.DAT [2008.03.05 11:38:24 | 000,000,169 | ---- | C] () -- C:\WINDOWS\RtlRack.ini [2007.09.28 13:10:23 | 000,000,050 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\AVSDVDPlayer.m3u [2007.09.28 13:09:40 | 000,524,288 | ---- | C] () -- C:\WINDOWS\System32\xvidcore.dll [2007.09.28 13:09:40 | 000,139,264 | ---- | C] () -- C:\WINDOWS\System32\xvidvfw.dll [2007.09.25 12:02:26 | 000,053,248 | ---- | C] () -- C:\WINDOWS\System32\escTime.dll [2007.02.21 16:33:09 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI [2006.12.18 10:51:01 | 000,000,092 | R--- | C] () -- C:\WINDOWS\System32\ftdiun2k.ini [2006.11.01 11:15:37 | 000,000,066 | ---- | C] () -- C:\WINDOWS\zyyusb.ini [2006.10.09 16:35:46 | 000,100,864 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [2006.06.30 12:01:13 | 000,000,028 | ---- | C] () -- C:\Programme\Common\AUTORUN.INF [2006.05.09 08:27:47 | 000,240,640 | ---- | C] () -- C:\WINDOWS\System32\nmocod.dll [2006.05.09 08:26:58 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\B3UNINST.DLL [2006.05.09 08:26:58 | 000,036,864 | ---- | C] () -- C:\WINDOWS\System32\PDUNINST.DLL [2006.03.20 11:00:40 | 000,000,145 | ---- | C] () -- C:\WINDOWS\System32\EBPPORT3.DAT [2006.03.17 08:32:08 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\capi2032.dll [2006.02.28 14:39:57 | 000,000,135 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat [2006.02.01 09:58:20 | 000,212,992 | R--- | C] () -- C:\WINDOWS\System32\NmUninst.exe [2006.01.31 13:42:18 | 000,000,364 | ---- | C] () -- C:\WINDOWS\System32\OEMINFO.INI [2006.01.31 13:33:30 | 000,040,960 | R--- | C] () -- C:\WINDOWS\System32\ChCfg.exe [2006.01.31 13:33:07 | 000,157,184 | R--- | C] () -- C:\WINDOWS\System32\RtlCPAPI.dll [2006.01.31 13:32:57 | 000,000,164 | R--- | C] () -- C:\WINDOWS\avrack.ini [2006.01.31 13:30:42 | 000,003,797 | ---- | C] () -- C:\WINDOWS\Ascd_tmp.ini [2006.01.31 13:30:40 | 000,005,824 | ---- | C] () -- C:\WINDOWS\System32\drivers\ASUSHWIO.SYS [2006.01.31 12:39:41 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat [2006.01.31 12:32:24 | 000,005,347 | ---- | C] () -- C:\WINDOWS\mozver.dat [2006.01.31 12:28:29 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat [2006.01.31 12:21:48 | 000,004,335 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI [2006.01.31 12:20:00 | 000,130,888 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2005.10.10 15:49:00 | 001,662,976 | ---- | C] () -- C:\WINDOWS\System32\nvwdmcpl.dll [2005.10.10 15:49:00 | 001,519,616 | ---- | C] () -- C:\WINDOWS\System32\nwiz.exe [2005.10.10 15:49:00 | 001,466,368 | ---- | C] () -- C:\WINDOWS\System32\nview.dll [2005.10.10 15:49:00 | 001,339,392 | ---- | C] () -- C:\WINDOWS\System32\nvdspsch.exe [2005.10.10 15:49:00 | 001,019,904 | ---- | C] () -- C:\WINDOWS\System32\nvwimg.dll [2005.10.10 15:49:00 | 000,573,440 | ---- | C] () -- C:\WINDOWS\System32\nvhwvid.dll [2005.10.10 15:49:00 | 000,466,944 | ---- | C] () -- C:\WINDOWS\System32\nvshell.dll [2005.10.10 15:49:00 | 000,442,368 | ---- | C] () -- C:\WINDOWS\System32\nvappbar.exe [2005.10.10 15:49:00 | 000,425,984 | ---- | C] () -- C:\WINDOWS\System32\keystone.exe [2005.10.10 15:49:00 | 000,286,720 | ---- | C] () -- C:\WINDOWS\System32\nvnt4cpl.dll [2005.10.10 15:49:00 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\nvapi.dll [2004.08.04 12:00:00 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin [2004.08.04 12:00:00 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat [2004.08.04 12:00:00 | 000,415,470 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat [2004.08.04 12:00:00 | 000,401,064 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat [2004.08.04 12:00:00 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat [2004.08.04 12:00:00 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat [2004.08.04 12:00:00 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat [2004.08.04 12:00:00 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\ieencode.dll [2004.08.04 12:00:00 | 000,074,996 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat [2004.08.04 12:00:00 | 000,062,344 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat [2004.08.04 12:00:00 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin [2004.08.04 12:00:00 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat [2004.08.04 12:00:00 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat [2004.08.04 12:00:00 | 000,027,440 | ---- | C] () -- C:\WINDOWS\System32\drivers\secdrv.sys [2004.08.04 12:00:00 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat [2004.08.04 12:00:00 | 000,004,461 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat [2004.08.04 12:00:00 | 000,001,788 | ---- | C] () -- C:\WINDOWS\System32\Dcache.bin [2004.08.04 12:00:00 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat ========== LOP Check ========== [2006.02.28 15:28:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Borland [2007.12.04 13:00:58 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CanonBJ [2007.02.01 10:00:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Haufe [2006.03.03 12:45:57 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Hummingbird [2006.11.01 11:14:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\MEBEDO [2009.10.26 13:34:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\sPlan70 [2006.02.28 15:28:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Borland [2009.07.23 15:44:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\CadSoft [2009.11.18 17:00:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Foxit [2007.06.07 09:08:00 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Harzwanderung2007_Screensaver [2007.02.01 10:09:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Haufe [2010.04.06 13:27:15 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\MSNInstaller [2006.11.13 16:16:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\SimonTools ========== Purity Check ========== ========== Custom Scans ========== < %SYSTEMDRIVE%\*. > [2011.07.20 11:42:10 | 000,000,000 | ---D | M] -- C:\A [2011.07.13 13:45:43 | 000,000,000 | ---D | M] -- C:\Ablage [2009.08.21 10:03:48 | 000,000,000 | ---D | M] -- C:\Bedienanleitungen [2011.06.27 14:15:51 | 000,000,000 | ---D | M] -- C:\Beha [2011.06.28 07:45:16 | 000,000,000 | -HSD | M] -- C:\Config.Msi [2010.03.31 17:00:20 | 000,000,000 | ---D | M] -- C:\ConfRem [2011.08.23 15:02:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen [2010.07.13 14:51:51 | 000,000,000 | ---D | M] -- C:\Download [2010.07.09 13:11:55 | 000,000,000 | ---D | M] -- C:\Eagle_Halle_230709 [2010.03.15 14:04:35 | 000,000,000 | ---D | M] -- C:\HEX_PROG [2007.10.11 13:43:16 | 000,000,000 | ---D | M] -- C:\Kundendaten [2006.02.28 15:27:38 | 000,000,000 | ---D | M] -- C:\Program Files [2011.06.22 15:05:07 | 000,000,000 | ---D | M] -- C:\Programme [2006.06.28 07:52:24 | 000,000,000 | ---D | M] -- C:\PROG_SST554 [2009.11.30 11:20:38 | 000,000,000 | ---D | M] -- C:\projekte [2010.07.05 09:40:04 | 000,000,000 | ---D | M] -- C:\Projekte_V6 [2006.01.31 13:30:29 | 000,000,000 | -HSD | M] -- C:\RECYCLER [2009.08.12 16:23:16 | 000,000,000 | ---D | M] -- C:\RoS_Test [2011.08.22 12:46:57 | 000,000,000 | -HSD | M] -- C:\System Volume Information [2011.08.23 17:24:59 | 000,000,000 | ---D | M] -- C:\Temp [2007.11.06 12:18:05 | 000,000,000 | ---D | M] -- C:\Test_LP200 [2006.09.28 16:43:35 | 000,000,000 | ---D | M] -- C:\TG_KALI_HEX [2006.12.14 10:15:40 | 000,000,000 | ---D | M] -- C:\usb [2011.08.23 15:01:37 | 000,000,000 | ---D | M] -- C:\WINDOWS [2006.11.21 16:37:53 | 000,000,000 | ---D | M] -- C:\WinHex < %PROGRAMFILES%\*.exe > Invalid Environment Variable: LOCALAPPDATA < %systemroot%\*. /mp /s > < MD5 for: EXPLORER.EXE > [2006.01.11 21:05:18 | 001,035,264 | ---- | M] (Microsoft Corporation) MD5=64322E8399B205B7281FF883737A9B03 -- C:\WINDOWS\explorer.exe [2006.01.11 21:05:18 | 001,035,264 | ---- | M] (Microsoft Corporation) MD5=64322E8399B205B7281FF883737A9B03 -- C:\WINDOWS\system32\dllcache\explorer.exe < MD5 for: REGEDIT.EXE > [2004.08.04 12:00:00 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=8193CE5FB09E83F2699FD65BBCBE2FD2 -- C:\WINDOWS\regedit.exe [2004.08.04 12:00:00 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=8193CE5FB09E83F2699FD65BBCBE2FD2 -- C:\WINDOWS\system32\dllcache\regedit.exe < MD5 for: USERINIT.EXE > [2004.08.04 12:00:00 | 000,025,088 | ---- | M] (Microsoft Corporation) MD5=D1E53DC57143F2584B1DD53B036C0633 -- C:\WINDOWS\system32\dllcache\userinit.exe [2004.08.04 12:00:00 | 000,025,088 | ---- | M] (Microsoft Corporation) MD5=D1E53DC57143F2584B1DD53B036C0633 -- C:\WINDOWS\system32\userinit.exe < MD5 for: WINLOGON.EXE > [2004.08.04 12:00:00 | 000,507,392 | ---- | M] (Microsoft Corporation) MD5=2B6A0BAF33A9918F09442D873848FF72 -- C:\WINDOWS\system32\dllcache\winlogon.exe [2004.08.04 12:00:00 | 000,507,392 | ---- | M] (Microsoft Corporation) MD5=2B6A0BAF33A9918F09442D873848FF72 -- C:\WINDOWS\system32\winlogon.exe < HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU > < HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs > < End of report > Code:
ATTFilter OTL Extras logfile created on: 23.08.2011 17:30:34 - Run 1
OTL by OldTimer - Version 3.2.26.5 Folder = C:\Dokumente und Einstellungen\GE\Desktop
Windows XP Home Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
959,23 Mb Total Physical Memory | 668,70 Mb Available Physical Memory | 69,71% Memory free
1,51 Gb Paging File | 1,23 Gb Available in Paging File | 81,44% Paging File free
Paging file location(s): C:\pagefile.sys 672 1344 [binary data]
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 38,28 Gb Total Space | 25,59 Gb Free Space | 66,86% Space Free | Partition Type: NTFS
Drive E: | 15,90 Mb Total Space | 15,90 Mb Free Space | 99,98% Space Free | Partition Type: FAT
Drive G: | 982,06 Mb Total Space | 966,53 Mb Free Space | 98,42% Space Free | Partition Type: FAT32
Computer Name: JUSTIER | User Name: GE | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
========== Extra Registry (SafeList) ==========
========== File Associations ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
.url [@ = InternetShortcut] -- rundll32.exe shdocvw.dll,OpenURL %l
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = htmlfile] -- Reg Error: Key error. File not found
========== Shell Spawning ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
exefile [open] -- "%1" %*
http [open] -- "C:\Programme\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" (Mozilla Corporation)
https [open] -- "C:\Programme\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" (Mozilla Corporation)
InternetShortcut [open] -- rundll32.exe shdocvw.dll,OpenURL %l
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
========== Security Center Settings ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 1
"AntiVirusOverride" = 1
"FirewallOverride" = 0
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
========== System Restore Settings ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
========== Firewall Settings ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
"139:TCP" = 139:TCP:172.16.10.0/255.255.255.0,172.16.30.0/255.255.255.0:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:172.16.10.0/255.255.255.0,172.16.30.0/255.255.255.0:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:172.16.10.0/255.255.255.0,172.16.30.0/255.255.255.0:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:172.16.10.0/255.255.255.0,172.16.30.0/255.255.255.0:Enabled:@xpsp2res.dll,-22002
"3197:TCP" = 3197:TCP:*:Enabled:xbdgyaiw
========== Authorized Applications List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\Hummingbird\Connectivity\7.11\Exceed\exceed.exe" = C:\Programme\Hummingbird\Connectivity\7.11\Exceed\exceed.exe:*:Enabled:X server for Win32 -- (Hummingbird Ltd.)
"C:\Programme\KEN!\kentbcli.exe" = C:\Programme\KEN!\kentbcli.exe:*:Enabled:kentbcli -- (AVM Berlin)
"C:\WINDOWS\system32\mmc.exe" = C:\WINDOWS\system32\mmc.exe:*:Enabled:Microsoft Management Console -- (Microsoft Corporation)
"C:\Programme\Borland\BDS\4.0\RaveReports\Rave.exe" = C:\Programme\Borland\BDS\4.0\RaveReports\Rave.exe:*:Disabled:Rave -- ()
========== HKEY_LOCAL_MACHINE Uninstall List ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{00030407-78E1-11D2-B60F-006097C998E7}" = Microsoft Office 2000 SR-1 Small Business
"{01E970F7-212F-4C07-87E9-5B48C52E247D}" = Wise Owl Demeanor for .NET, Personal Edition
"{0819E89D-6214-4B6F-A18D-4633CB4E0E4A}" = Softwareupdate für Webordner
"{1A655D51-1423-48A3-B748-8F5A0BE294C8}" = Microsoft Visual J# .NET Redistributable Package 1.1
"{1AA69CCD-1078-473A-BD6E-11CE30A81C57}" = NUnit 2.2
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{3248F0A8-6813-11D6-A77B-00B0D0150060}" = J2SE Runtime Environment 5.0 Update 6
"{626B1DBF-33FA-4AA7-ABBC-2293DB0275CC}" = es control 2.5 professional
"{63E921D9-799A-44F9-A742-DE3DC968AFEF}" = Microsoft .NET Framework SDK (German) 1.1
"{7131646D-CD3C-40F4-97B9-CD9E4E6262EF}" = Microsoft .NET Framework 2.0
"{716E0306-8318-4364-8B8F-0CC4E9376BAC}" = MSXML 4.0 SP2 Parser und SDK
"{7ED5371F-F4EA-48F9-B8F7-C8777AD9DF69}" = Borland Developer Studio 2006
"{88DD0B6C-B174-40C9-84F4-531D414BC949}" = ComponentOne Studio Enterprise™
"{95120000-00AF-0407-0000-0000000FF1CE}" = Microsoft Office PowerPoint Viewer 2007 (German)
"{AC76BA86-7AD7-1031-7B44-A70500000002}" = Adobe Reader 7.0.5 - Deutsch
"{BE400420-A422-4802-A06B-5BAAF59DC569}" = Prog_Platz
"{C151CE54-E7EA-4804-854B-F515368B0798}" = Athlon 64 Processor Driver
"{CAFE2005-7F33-477F-8257-C49D3F7C91F4}" = CaliberRM SDK
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{CFAF70CE-A0BE-46F6-B9C9-4901D8096D22}" = Hummingbird Exceed V7.1.1
"{E78BFA60-5393-4C38-82AB-E8019E464EB4}" = Microsoft .NET Framework 1.1 German Language Pack
"{E865EE59-DA46-42AC-8B66-ECEF0B2F163E}" = TGuni_kali
"{ECC3713C-08A4-40E3-95F1-7D0704F1CE5E}" = PL-2303 USB-to-Serial
"{FB08F381-6533-4108-B7DD-039E11FBC27E}" = Realtek AC'97 Audio
"A5359590-2884-4757-911A-FE8D81D883CC_is1" = TG uni 1 Ver. 2.0.3
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Ask Toolbar_is1" = Foxit Toolbar
"Avira AntiVir Desktop" = Avira AntiVir Professional
"AVM KEN!" = AVM KEN!
"AVS DVD Player_is1" = AVS DVD Player version 2.4
"BBA246BF-8980-42C0-B35F-EBFE5D711E21_is1" = TG uni 1 Ver. 2.0.5
"CCleaner" = CCleaner
"Der grandiose Bildverkleinerer" = Der grandiose Bildverkleinerer
"EAGLE 4.09" = EAGLE 4.09
"EAGLE 5.6.0" = EAGLE 5.6.0
"ELEKTROmanagerProfessional_is1" = ELEKTROmanager 5B03, 15.09.2006
"FBDBServer_1_5_is1" = Firebird 1.5.3.4870
"Flash Magic_is1" = Flash Magic 4.64
"Foxit Reader" = Foxit Reader
"FTDICOMM" = FTDI USB Serial Converter Drivers
"G-MW" = G-MW
"Installation PC-Software TG uni 1" = Installation PC-Software TG uni 1
"IrfanView" = IrfanView (remove only)
"Java Runtime 1.5.0_03" = Java Runtime 1.5.0_03 for Borland COM APIs
"Kali_Tg" = Kali_Tg
"Microsoft .NET Framework 1.1 (1033)" = Microsoft .NET Framework 1.1
"Microsoft .NET Framework 2.0" = Microsoft .NET Framework 2.0
"Mozilla Firefox (3.5.6)" = Mozilla Firefox (3.5.6)
"MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP
"NetMos Technology" = NetMos Multi-IO Controller
"NVIDIA Drivers" = NVIDIA Drivers
"Rave Reports_is1" = Rave Reports 6.5 BE
"TG_ uni_1" = TG_ uni_1
"TG_TE" = TG_TE
"Uninstall FLIP 2.4.2" = FLIP 2.4.2
"Windows Media Format Runtime" = Windows Media Format 11 runtime
"Windows Media Player" = Windows Media Player 11
"WMFDist11" = Windows Media Format 11 runtime
"wmp11" = Windows Media Player 11
"Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0
"ZOC5" = ZOC Terminal 5.0
========== HKEY_CURRENT_USER Uninstall List ==========
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Borland C++Builder 3" = Borland C++Builder 3
========== Last 10 Event Log Errors ==========
[ Application Events ]
Error - 16.08.2011 07:30:05 | Computer Name = JUSTIER | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung Kali_TG_uni.exe, Version 0.0.0.0, Stillstandmodul
hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.
Error - 16.08.2011 07:41:04 | Computer Name = JUSTIER | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung IEXPLORE.EXE, Version 6.0.2900.2180, Stillstandmodul
hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.
Error - 17.08.2011 01:50:30 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 18.08.2011 02:59:54 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 19.08.2011 02:17:29 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 22.08.2011 02:04:52 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 23.08.2011 01:53:45 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 23.08.2011 07:05:11 | Computer Name = JUSTIER | Source = .NET Runtime 2.0 Error Reporting | ID = 1000
Description = Faulting application autorun.exe, version 0.0.0.0, stamp 4c87b3ed,
faulting module kernel32.dll, version 5.1.2600.2180, stamp 411096d4, debug? 0,
fault address 0x0001eb33.
Error - 23.08.2011 07:18:04 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 23.08.2011 11:14:06 | Computer Name = JUSTIER | Source = .NET Runtime 2.0 Error Reporting | ID = 5000
Description = EventType clr20r3, P1 hdaudio.exe, P2 0.0.0.0, P3 4c87b3ed, P4 mscorlib,
P5 2.0.0.0, P6 4333ab80, P7 32f8, P8 15a, P9 system.unauthorizedaccess, P10 NIL.
[ System Events ]
Error - 23.08.2011 11:19:28 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:31 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:34 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:37 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:40 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:43 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:46 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:49 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:52 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:55 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
< End of report >
Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2011-08-23 18:47:29
Windows 5.1.2600 Service Pack 2 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 Maxtor_6K040L0 rev.NAR61HA0
Running: zjqedoxt.exe; Driver: C:\DOKUME~1\GE\LOKALE~1\Temp\pwrdypow.sys
---- System - GMER 1.0.15 ----
SSDT F7C86E86 ZwCreateKey
SSDT F7C86E7C ZwCreateThread
SSDT F7C86E8B ZwDeleteKey
SSDT F7C86E95 ZwDeleteValueKey
SSDT F7C86E9A ZwLoadKey
SSDT F7C86E68 ZwOpenProcess
SSDT F7C86E6D ZwOpenThread
SSDT F7C86EA4 ZwReplaceKey
SSDT F7C86E9F ZwRestoreKey
SSDT F7C86E90 ZwSetValueKey
---- Kernel code sections - GMER 1.0.15 ----
.text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xF6AF4360, 0x20469D, 0xE8000020]
---- Devices - GMER 1.0.15 ----
AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- Registry - GMER 1.0.15 ----
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@DisplayName Security Time
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@Type 32
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@Start 2
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@ErrorControl 0
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@ImagePath %SystemRoot%\system32\svchost.exe -k netsvcs
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@ObjectName LocalSystem
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@Description Stellt die Designverwaltung zur Verf?gung.
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev\Parameters (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev\Parameters@ServiceDll C:\WINDOWS\system32\fvtnns.dll
---- EOF - GMER 1.0.15 ----
MfG Icy |
|
24.08.2011, 13:39
| #2 | ||
| | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Guten Tag,
__________________bevor sich jemand aufregt: Ich möchte nicht pushen, sondern die neuesten Informationen bereit stellen! Da am WurmPC dringend gearbeitet werden muss, habe ich ihn heut' morgen kurz ans Netzwerk angeschlossen um die AVS (es läuft AntiVir Professional als Vollversion) zu aktualisieren. Nach Produkt- und VDF-Updates habe ich die AVS relativ "scharf" konfiguriert (Konfiguration etc. bei der Gelegenheit per Passwort gesichert) und einen vollständigen Systemscan mit vollständiger Protokollierung laufen lassen. Es gab viele Warnungen wegen nicht erreichbarer Netzwerklaufwerke und Verknüpfungen die ins Nirgendwo führen (aber alle nachvollziehbar von Mitarbeitern angelegt). Außerdem gab es einen Fund: "Worm/Bot.21504" in Datei "dvdaudio.exe". Diese habe ich in Quarantäne verschieben lassen. Der Fund passt zu: Zitat:
Die gestern in Quarantäne verschobene hdaudio.exe passt zu: Zitat:
Zusätzlich habe ich noch den Thread "MS Firewall deaktiviert: hdaudio.exe usbflash.exe" (hxxp://ip-forum.net/forum/viren-trojaner/ms-firewall-deaktiviert-hdaudio-exe-usbflash-exe/) aus dem "IP Security Forum" gelesen und manuell die Registrierung des WurmPC auf die im Thread genannten Einträge durchsucht. Keiner der laut Thread zu löschenden Einträge ist vorhanden (oder können die auch versteckt sein?). Keiner der zu korrigierenden Einträge ist falsch eingestellt. Eine Suche (Start > Ausführen > regedit > Bearbeiten > Suchen) nach "hdaudio.exe", "hdaudio", "dvdaudio" oder dvdaudio.exe" brachte keine dubiosen Einträge zum Vorschein. Ich habe jetzt einen Mitarbeiter erstmal an den WurmPC wieder ran gelassen, aber das Netzwerkkabel noch getrennt gelassen. Ich bin mir sicherer, dass das System sauber ist - allerdings nicht vollkommen sicher und würde mich deswegen weiterhin über weiter gehende Hilfe freuen! MfG Icy |
|
24.08.2011, 15:16
| #3 |
| |  AnitVirenSoftware hat "Worm/Bot.21504" gefunden Update: Der WurmPC ist jetzt aus und bleibt es, bis sich hier jemand meldet. Der Wurm ist schon wieder aufgetaucht...
__________________Ich könnte mich schwarz ärgern, dass ich nicht die Regeln befolgt und abgewartet habe, aber was soll ich machen... die Leute stehen da und sagen "wir müssen mit dem PC arbeiten" und ich steh' da und bin der Dumme. Ist nicht einfach den Leuten zu erklären, das KEINE AntivirenSoftware JEDEN Wurm oder Virus den sie erkennt auch zuverlässig beseitigen kann...  Wie gesagt, mein letzter Post vorerst hier damit ich nicht weiter unnötig den Thread pushe... Ich warte nun ab! MfG Icy |
|
26.08.2011, 10:56
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Hast du auf dem Wurm-PC schon Malwarebytes ausgeführt? Wenn nicht bitte einen Vollscan machen
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
26.08.2011, 11:12
| #5 |
| | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Hallo, ich könnte nun zwar Malwarebytes downloaden und auf dem WurmPC installieren, aber ich habe keine Internetverbindung zum Aktualisieren der Datenbank... dann wäre der WurmPC nämlich wieder am Firmennetz angeschlossen und das ist mir zu riskant. Gibt es eine Möglichkeit die Datenbank von Malwarebytes manuell zu aktualisieren (Download der DB und manuelles Kopieren in Malwarebytes-Ordner)? Mir wurde empfohlen Folgendes zu tun: Platte ausbauen, per USB-Adapter an PC mit eigener Internetverbindung hängen (hab dazu jetzt so einen UMTS-Stick hier), Vollversion irgendeiner namenhaften AntiVirenSoftware mit aktiver I-Net-Verbindung über die Platte laufen lassen. Ich hätte dazu jetzt einen Win 7 x64 Prof. Laptop mit Vollversion von Norton Internet Security und UMTS-Stick genutzt. Für die Platte ist ein USB-Adapter vorhanden. Ist dieser Weg auch Ok? Danke für dein Feedback Icy |
|
26.08.2011, 11:19
| #6 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | AnitVirenSoftware hat "Worm/Bot.21504" gefunden
__________________ --> AnitVirenSoftware hat "Worm/Bot.21504" gefunden |
|
26.08.2011, 11:58
| #7 |
| | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Hey, Danke für den Link. Ich werd' also Malwarebytes AntiMalware Free auf meinem PC installieren, dann ein Update machen, dann Malwarebytes auf dem WurmPC installieren und per vorher formatiertem Stick die rules.ref auf den WurmPC kopieren. So hatte ich mir das vorgestellt. Danach starte ich den Scan nach Trojaner-Board-Anleitung. Soll ich MalwareBytes-Installation und -Scan besser auch im abgesicherten Modus durchführen? Was ist mit dem 2. Weg aus meinem letzten Post hier? Den hast du irgendwie garnicht kommentiert...  Icy Edit: Vielleicht könnte man ja mal die Anleitung zum MalwareBytes-AntiMalware-Updaten via zweitem PC hier in die Board-Anleitung mit aufnehmen!?! Geändert von <-IceD@te-> (26.08.2011 um 12:08 Uhr) Grund: Ich hatte halt noch ne Idee ;) |
|
26.08.2011, 12:08
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Nein, mach das über die http://data.mbamupdates.com/tools/mbam-rules.exe Manuelles rüberkopieren der rules.ref führt zur falschen ANzeige der DB-Version. Den zweiten Weg wollte ich erstmal nicht kommentieren, aber Platte ausgebaut hätte ich nicht. Es gibt auch Rescue-CDs von AntiVir oder kaspersky
__________________ Logfiles bitte immer in CODE-Tags posten |
|
26.08.2011, 12:44
| #9 |
| | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Hmm... Laut dem von dir verlinkten Thread im MB-Forum ist die von dir verlinkte Datei NICHT mit einer aktuellen DB-Version zu haben, da sie nicht mit jeder DB-Version aktualisiert wird!!! Ob die DB-Version richtig angezeigt wird ist mir egal, solange ich weiß dass die aktuelle DB drin ist... Versteh' mich nicht falsch, ich möchte nicht mit dir diskutieren (du bist der Profi  ), aber ich hab' halt den Thread im MB-Forum gelesen und der sagt: DB von anderem PC rüber kopieren ist aktuell, mbam_rules.exe ist nicht aktuell. Zu den Rescue-CD's: Am effektivsten arbeitet eine Lösung, die Internetzugriff hat, weil man nur damit auf alle verfügbaren Entfernungsroutinen zugreifen kann - so sagte es mir gestern ein Techniker von einem Avira-Partner am Telefon. Bei Offline-Scan sind einfach nicht alle Informationen über alle bekannten Bedrohungen verfügbar (aus Platzmangel auf dem Datenträger des Nutzers). Die Scan-Variante mit bestehender Internetverbindung greift zum Beispiel bei Avira im Hintergrund auf bis zu 6 verschiedene Server weltweit zu, wenn eine Signatur erkannt wurde, so hat man mir erklärt. Im Netz wird dann die Information geholt, wie der Schädling zu beseitigen sei. Ansonsten wird eben nur die erkannte Datei in Quarantäne verschoben (wie in meinem Fall). Klingt für mich nachvollziehbar! Was meinst du? Icy |
|
26.08.2011, 12:57
| #10 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Mich verwirrt das ganze aber, wenn die Signatur aktuell ist aber nichts aktuelles angezeigt wird  Und ja, die DB-Version über die mbam-rules.exe ist nicht ganz aktuell, aber immer noch besser als gnaz ohne Updates. Naja, mach das was dir lieber ist. Prinzipiell ist eine Analyse aber wirklich besser, wenn der betroffene Rechner im Netz hängt. Kannst du den nicht in seinem eigenen abgeschotten Netz packen oder weg aus dem LAN, Internet über UMTS oder sowas?
__________________ Logfiles bitte immer in CODE-Tags posten |
|
26.08.2011, 13:07
| #11 |
| | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Ich könnt' den per Stick ans Netz bringen ja. Aber nicht mehr heut' dann erst Montag wieder. Jetzt mach' ich erstmal den Malwarebytes-Scan mit Update per rules.ref. Hab' mir überlegt das auf CD zu brennen - ist besser als n Stick. Dann können wir ja zu Punkt 2 von dem 2. Weg kommen, Platte ausbauen: Prinzipiell soll es wohl besser sein, wenn die Platte nicht aktiv genutzt wird (OS etc.), da sonst bestimmte Dateien gesperrt sind in denen sich der Schädling befinden könnte. Auch richtig oder? |
|
26.08.2011, 13:31
| #12 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | AnitVirenSoftware hat "Worm/Bot.21504" gefundenZitat:
__________________ Logfiles bitte immer in CODE-Tags posten |
|
26.08.2011, 13:46
| #13 |
| | AnitVirenSoftware hat "Worm/Bot.21504" gefunden Gut soweit. Der Scan mit Malwarebytes Anti-Malware läuft grad (hab' vollständig gewählt). Ich hab' im Abgesicherten Modus den WurmPC gestartet, mich als Administrator angemeldet, MBAM installiert, rules.ref kopiert, ein paar Einstellungen in MBAM gemacht und dann den VollScan gestartet. Sollte MBAM nicht erfolgreich sein (ich werde die Ergebnisse posten und dann können wir ja entscheiden), werde ich am Mo die Platte ausbauen und nen Scan mit Norton Internet Security bei aktiver Internetverbindung per UMTS-Stick (wird wahrscheinlich nur GPRS-Verbindung haben) machen. Icy |
|
26.08.2011, 15:37
| #14 | |
| |  AnitVirenSoftware hat "Worm/Bot.21504" gefunden So, ich verabschiede mich schonmal ins Wochenende. Das Ergebnis von 2x Malwarebytes Antimalware Vollscan (1. als Administrator im Abgesicherten Modus, 2. als Benutzer im Normalmodus) ist Folgendes: Code:
ATTFilter Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org
Datenbank Version: 7035 => Manuell rules.ref 7576 eingefügt
Windows 5.1.2600 Service Pack 2 (Safe Mode)
Internet Explorer 6.0.2900.2180
26.08.2011 15:15:35
mbam-log-2011-08-26 (15-15-35).txt
Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 243700
Laufzeit: 31 Minute(n), 59 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Not selected for removal.
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
c:\system volume information\_restore{8a990e74-a2c5-4445-b65a-eeac14419558}\RP296\A0029508.exe (Trojan.MSIL.ND3) -> Quarantined and deleted successfully.
c:\system volume information\_restore{8a990e74-a2c5-4445-b65a-eeac14419558}\RP297\A0029651.exe (Trojan.MSIL.ND3) -> Quarantined and deleted successfully.
Code:
ATTFilter Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org
Datenbank Version: 7035 => Manuell rules.ref 7576 eingefügt
Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180
26.08.2011 16:22:58
mbam-log-2011-08-26 (16-22-49).txt
Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 245180
Laufzeit: 51 Minute(n), 50 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
Zitat:
Anbei 2 Screenshots dazu: MfG und schönes WE Icy |
|
26.08.2011, 18:57
| #15 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | AnitVirenSoftware hat "Worm/Bot.21504" gefunden OTL.txt ist die Logdatei von OTL, wie soll da ausführbarer Schadcode drin sein?!  Natürlich ist das ein Fehlalarm. Führ bitte auch ESET aus, danach sehen wir weiter: ESET Online Scanner
__________________ Logfiles bitte immer in CODE-Tags posten |
|
| Themen zu AnitVirenSoftware hat "Worm/Bot.21504" gefunden |
| 0x00000001, abbruch, askbar, avira, beseitigung, bho, boot-cd, c:\windows\system32\rundll32.exe, converter, crypto, entfernen, error, firefox, home, homepage, iexplore.exe, installation, kunde, logfile, maßnahme, mmc.exe, object, otl.txt, plug-in, problem, realtek, registry, scan, schädling, security, shell32.dll, shortcut, software, starten, studio, svchost.exe, system, virensoftware, worm/bot.21504 |
Linear-Darstellung
