Problem mit TR/Crypt.XPack.Gen3

cosinus · 01.11.2011, 20:08

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Twix · 02.11.2011, 18:31

Hallo, ComboFix läuft auch nicht. Es geht alles glatt bis zu dem Zeitpunkt, an dem im Textfenster steht. Sinngemäß "... das dauert i. d. R. 10 min. Wenn der R. stark infiziert ist, können es auch 20 sein." Dann tut sich gar nichts mehr.
Das ist doof, oder?
Gruß

cosinus · 02.11.2011, 20:20

Starte Windows neu, lösch die alte combofix.exe, lade CF neu runter und probier es bitte nochmal.

Twix · 04.11.2011, 12:05

Moin,
auch in einem weiteren Versuch keine Änderung...

Gruß

cosinus · 04.11.2011, 12:09

Kopier die combofix.exe bitte direkt nach C:
Starte Windows dann im abgesicherten Modus mit Eingabeaufforderung, tipp in der Kommandozeile

start c:\combofix.exe

ein und führe mit Enter/Return aus. POste dann ob CF lief oder nicht und was genau passierte bzw. ob Probleme da waren usw

Twix · 04.11.2011, 12:28

Hi,
habe Auftrag in Angriff genommen, leider meldete Combo, dass AntiVir aktiv sei und dass das Probleme geben könnte...
Habe daraufhin abgebrochen, um nachzufragen, was zu tun ist????
Gruß

Twix · 04.11.2011, 12:30

musste mit Reset abbrechen...

cosinus · 04.11.2011, 12:42

Nein im abgesicherten Modus kann das nicht sein. Die Meldung bitte ignorieren und CF weiter werkeln lassen. Schuld ist AntiVir, dass bestimmte Einträge im Sicherheitscenter zumüllt und das Programm noch als aktiv kennzeichnet. CF fragt diese Info ab und glaubt AntiVir ei noch aktiv obwohl das ja im abgesicherten Modus nicht sein kann.

Twix · 04.11.2011, 12:45

okay! dann noch einmal...

Twix · 04.11.2011, 13:42

Hallo,

auch hier tut sich nichts mehr, nachdem angezeigt wird, dass der Suchlauf 10min oder länger dauern kann.

Habe nach ca. 25Min mit Reset abgebrochen.
Gruß
Twix

cosinus · 04.11.2011, 13:56

Ok dann lassen wir CF erstmal weg. Starte wieder im normalen Modus.

Bitte da Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Twix · 04.11.2011, 17:03

Hier zunächst GMER:

GMER Logfile:

Code:

ATTFilter

GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2011-11-04 17:01:13
Windows 5.1.2600 Service Pack 3 
Running: gmer.exe; Driver: H:\DOKUME~1\FAHREN~1\LOKALE~1\Temp\ugriipog.sys


---- System - GMER 1.0.15 ----

SSDT   A66EA804                                                                            ZwClose
SSDT   A66EA7BE                                                                            ZwCreateKey
SSDT   A66EA80E                                                                            ZwCreateSection
SSDT   A66EA7B4                                                                            ZwCreateThread
SSDT   A66EA7C3                                                                            ZwDeleteKey
SSDT   A66EA7CD                                                                            ZwDeleteValueKey
SSDT   A66EA7FF                                                                            ZwDuplicateObject
SSDT   A66EA7D2                                                                            ZwLoadKey
SSDT   A66EA7A0                                                                            ZwOpenProcess
SSDT   A66EA7A5                                                                            ZwOpenThread
SSDT   A66EA7DC                                                                            ZwReplaceKey
SSDT   A66EA7D7                                                                            ZwRestoreKey
SSDT   A66EA813                                                                            ZwSetContextThread
SSDT   A66EA7C8                                                                            ZwSetValueKey
SSDT   A66EA7AF                                                                            ZwTerminateProcess

---- Kernel code sections - GMER 1.0.15 ----

.text  H:\WINDOWS\system32\DRIVERS\nv4_mini.sys                                            section is writeable [0xB8652360, 0x32DEFD, 0xE8000020]
init   H:\WINDOWS\system32\drivers\Senfilt.sys                                             entry point in "init" section [0xB2E59A80]

---- Registry - GMER 1.0.15 ----

Reg    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@DeviceNotSelectedTimeout  15
Reg    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@GDIProcessHandleQuota     10000
Reg    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@Spooler                   yes
Reg    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@swapdisk                  
Reg    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@TransmissionRetryTimeout  90
Reg    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@USERProcessHandleQuota    10000

---- Disk sectors - GMER 1.0.15 ----

Disk   \Device\Harddisk5\DR10                                                              MBR read error
Disk   \Device\Harddisk5\DR10                                                              MBR BIOS signature not found 0

---- EOF - GMER 1.0.15 ----

--- --- ---

Twix · 04.11.2011, 17:27

Als nächstes nun Osam

Twix · 04.11.2011, 17:30

OSAM Logfile:

Code:

ATTFilter

Report of OSAM: Autorun Manager v5.0.11926.0
hxxp://www.online-solutions.ru/en/
Saved at 17:26:47 on 04.11.2011

OS: Windows XP Home Edition Service Pack 3 (Build 2600)
Default Browser: Opera Software Opera Internet Browser 11.52

Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures

Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries


[Common]
-----( %SystemRoot%\Tasks )-----
"GoogleUpdateTaskMachineCore.job" - "Google Inc." - H:\Programme\Google\Update\GoogleUpdate.exe
"GoogleUpdateTaskMachineUA.job" - "Google Inc." - H:\Programme\Google\Update\GoogleUpdate.exe
"Microsoft Outlook.job" - ? - H:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Microsoft Outlook.lnk

[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"Ddbaccpl.cpl" - "DataDesign AG" - H:\WINDOWS\system32\Ddbaccpl.cpl
"ddBACCTM.cpl" - "DataDesign AG" - H:\WINDOWS\system32\ddBACCTM.cpl
"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - H:\WINDOWS\system32\FlashPlayerCPLApp.cpl
"infocardcpl.cpl" - "Microsoft Corporation" - H:\WINDOWS\system32\infocardcpl.cpl
"javacpl.cpl" - "Sun Microsystems, Inc." - H:\WINDOWS\system32\javacpl.cpl
"nvcpl.cpl" - "NVIDIA Corporation" - H:\WINDOWS\system32\nvcpl.cpl
"nvtuicpl.cpl" - "NVIDIA Corporation" - H:\WINDOWS\system32\nvtuicpl.cpl
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"Avira AntiVir Personal - Free Antivirus " - "Avira GmbH" - H:\PROGRA~1\Avira\ANTIVI~1\avconfig.cpl
"Avira AntiVir PersonalEdition Classic" - ? - H:\PROGRA~1\ANTIVI~1\avconfig.cpl  (File not found)
"Nero BurnRights" - "Nero AG" - H:\Programme\Nero\Nero 7\Nero Toolkit\NeroBurnRights.cpl
"SMAX4CP" - "Analog Devices, Inc." - H:\Programme\Analog Devices\SoundMAX\SMax4.cpl

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"actser" (actser) - "Siemens AG" - H:\WINDOWS\System32\drivers\actser.sys
"avgio" (avgio) - "Avira GmbH" - H:\Programme\Avira\AntiVir Desktop\avgio.sys
"avgntflt" (avgntflt) - "Avira GmbH" - H:\WINDOWS\System32\DRIVERS\avgntflt.sys
"avipbb" (avipbb) - "Avira GmbH" - H:\WINDOWS\System32\DRIVERS\avipbb.sys
"catchme" (catchme) - ? - H:\DOKUME~1\FAHREN~1\LOKALE~1\Temp\catchme.sys  (File not found)
"CdaC15BA" (CdaC15BA) - ? - H:\WINDOWS\system32\drivers\CDAC15BA.SYS  (File found, but it contains no detailed information)
"Changer" (Changer) - ? - H:\WINDOWS\system32\drivers\Changer.sys  (File not found)
"i2omgmt" (i2omgmt) - ? - H:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)
"lbrtfdc" (lbrtfdc) - ? - H:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)
"MIINPazX NDIS Protocol Driver" (MIINPazX) - "T-Online International AG, Marmiko IT-Solutions GmbH" - H:\PROGRA~1\GEMEIN~1\MARMIK~1\MInfraIS\MIINPazX.SYS
"MTOnlPktAlyX NDIS Protocol Driver" (MTOnlPktAlyX) - "T-Online International AG, Marmiko IT-Solutions GmbH" - H:\PROGRA~1\T-Online\T-ONLI~2\BASIS-~1\Basis1\MTOnlPktAlyX.SYS
"PCIDump" (PCIDump) - ? - H:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)
"PDCOMP" (PDCOMP) - ? - H:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)
"PDFRAME" (PDFRAME) - ? - H:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)
"PDRELI" (PDRELI) - ? - H:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)
"PDRFRAME" (PDRFRAME) - ? - H:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)
"PxHelp20" (PxHelp20) - "Sonic Solutions" - H:\WINDOWS\System32\Drivers\PxHelp20.sys
"ssmdrv" (ssmdrv) - "Avira GmbH" - H:\WINDOWS\System32\DRIVERS\ssmdrv.sys
"Symantec Eraser Control driver" (eeCtrl) - "Symantec Corporation" - H:\Programme\Gemeinsame Dateien\Symantec Shared\EENGINE\eeCtrl.sys
"ugriipog" (ugriipog) - ? - H:\DOKUME~1\FAHREN~1\LOKALE~1\Temp\ugriipog.sys  (Hidden registry entry, rootkit activity | File not found)
"WDICA" (WDICA) - ? - H:\WINDOWS\system32\drivers\WDICA.sys  (File not found)

[Explorer]
-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----
{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - h:\WINDOWS\system32\Rundll32.exe h:\WINDOWS\system32\mscories.dll,Install
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - H:\Programme\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - H:\Programme\Sun\StarOffice 8\program\shlxthdl.dll
-----( HKLM\Software\Classes\Protocols\Filter )-----
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - H:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - H:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - H:\WINDOWS\system32\mscoree.dll
-----( HKLM\Software\Classes\Protocols\Handler )-----
{3D9F03FA-7A94-11D3-BE81-0050048385D1} "Data Page Pluggable Protocol mso-offdap Handler" - "Microsoft Corporation" - H:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\10\OWC10.DLL
{CD00020A-8B95-11D1-82DB-00C04FB1625D} "Microsoft PKM KnowledgePluggable Class" - "Microsoft Corporation" - H:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\PKMCDO.DLL
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - H:\Programme\7-Zip\7-zip.dll
{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? -   (File not found | COM-object registry key not found)
{1CDB2949-8F65-4355-8456-263E7C208A5D} "Desktop Explorer" - "NVIDIA Corporation" - H:\WINDOWS\system32\nvshell.dll
{1E9B04FB-F9E5-4718-997B-B8DA88302A47} "Desktop Explorer Menu" - "NVIDIA Corporation" - H:\WINDOWS\system32\nvshell.dll
{1D2680C9-0E2A-469d-B787-065558BC7D43} "Fusion Cache" - "Microsoft Corporation" - h:\WINDOWS\system32\mscoree.dll
{ED6E87C6-8A83-43aa-8208-8DBC8247F4D2} "IntelliType Pro Key Settings Property Page" - "Microsoft Corporation" - H:\Programme\Microsoft IntelliType Pro\itcplkey.dll
{111D8120-25EB-4E1C-A4DF-C9EE5FCA35CB} "IntelliType Pro Scrolling Property Page" - "Microsoft Corporation" - H:\Programme\Microsoft IntelliType Pro\itcplwhl.dll
{1825D0FA-5B0C-4e20-A929-3EFD15B6DF71} "IntelliType Pro Touchpad Control Property Page" - "Microsoft Corporation" - H:\Programme\Microsoft IntelliType Pro\itcpltp.dll
{A2569D1F-4E06-43EC-9825-0088B471BE47} "IntelliType Pro Wireless Control Panel Property Page" - "Microsoft Corporation" - H:\Programme\Microsoft IntelliType Pro\itcplwir.dll
{97FA8AA2-EE77-4FF2-9449-424D8924EF21} "IntelliType Pro Zooming Property Page" - "Microsoft Corporation" - H:\Programme\Microsoft IntelliType Pro\itcplzm.dll
{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -   (File not found | COM-object registry key not found)
{42042206-2D85-11D3-8CFF-005004838597} "Microsoft Office HTML Icon Handler" - "Microsoft Corporation" - H:\Programme\Microsoft Office\Office10\msohev.dll
{1E9B04FB-F9E5-4718-997B-B8DA88302A48} "nView Desktop Context Menu" - "NVIDIA Corporation" - H:\WINDOWS\system32\nvshell.dll
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - H:\Programme\Sun\StarOffice 8\program\shlxthdl.dll
{087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - H:\Programme\Sun\StarOffice 8\program\shlxthdl.dll
{63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - H:\Programme\Sun\StarOffice 8\program\shlxthdl.dll
{3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - H:\Programme\Sun\StarOffice 8\program\shlxthdl.dll
{0006F045-0000-0000-C000-000000000046} "Outlook-Dateisymbolerweiterung" - "Microsoft Corporation" - H:\Programme\Microsoft Office\Office10\OLKFSTUB.DLL
{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4} "RealOne Player Context Menu Class" - "RealNetworks, Inc." - H:\Programme\Real\RealPlayer\rpshell.dll
{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira GmbH" - H:\Programme\Avira\AntiVir Desktop\shlext.dll
{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - h:\WINDOWS\system32\dfshim.dll
{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -   (File not found | COM-object registry key not found)
{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - h:\WINDOWS\system32\dfshim.dll
{ED65AC21-B24F-11d3-BA80-00C0CA16AA37} "Siemens Device" - "Siemens AG" - H:\Programme\Mobile Phone Manager\DES\DESShellExt.dll
{ED65AC22-B24F-11d3-BA80-00C0CA16AA37} "Siemens Device ContextMenuHandler" - "Siemens AG" - H:\Programme\Mobile Phone Manager\DES\DESShellExt.dll
{ED65AC23-B24F-11d3-BA80-00C0CA16AA37} "Siemens Device PropertySheetHandler" - "Siemens AG" - H:\Programme\Mobile Phone Manager\DES\DESShellExt.dll
{BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Webordner" - "Microsoft Corporation" - H:\PROGRA~1\GEMEIN~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL

[Internet Explorer]
-----( HKCU\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars )-----
{555D4D79-4BD2-4094-A395-CFC534424A05} "HP Smart Web Printing" - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\Smart Web Printing\hpswp_bho.dll
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
<binary data> "DVDVideoSoftTB Toolbar" - "Conduit Ltd." - H:\Programme\DVDVideoSoftTB\prxtbDVDV.dll
ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)
<binary data> "ITBarLayout" - ? -   (File not found | COM-object registry key not found)
<binary data> "Winamp Toolbar" - "AOL LLC." - H:\Programme\Winamp Toolbar\winamptb.dll
<binary data> "{0B53EAC3-8D69-4B9E-9B19-A37C9A5676A7}" - ? -   (File not found | COM-object registry key not found)
-----( HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks )-----
{872b5b88-9db5-4310-bdd0-ac189557e5f5} "DVDVideoSoftTB Toolbar" - "Conduit Ltd." - H:\Programme\DVDVideoSoftTB\prxtbDVDV.dll
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA} "Java Plug-in 1.6.0_04" - "Sun Microsystems, Inc." - H:\Programme\Java\jre1.6.0_04\bin\npjpi160_04.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_04-windows-i586.cab
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_22" - "Sun Microsystems, Inc." - H:\Programme\Java\jre6\bin\npjpi160_22.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab
{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} "Java Plug-in 1.6.0_22" - "Sun Microsystems, Inc." - H:\Programme\Java\jre6\bin\npjpi160_22.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_22" - "Sun Microsystems, Inc." - H:\Programme\Java\jre6\bin\npjpi160_22.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab
{02BCC737-B171-4746-94C9-0D8A0B2C0089} "Microsoft Office Template and Media Control" - "Microsoft Corporation" - H:\WINDOWS\Downloaded Program Files\IEAWSDC.DLL / hxxp://office.microsoft.com/templates/ieawsdc.cab
{D27CDB6E-AE6D-11CF-96B8-444553540000} "Shockwave Flash Object" - "Adobe Systems, Inc." - H:\WINDOWS\system32\Macromed\Flash\Flash9f.ocx / hxxp://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab
{CAFEEFAC-0015-0000-0010-ABCDEFFEDCBA} "{CAFEEFAC-0015-0000-0010-ABCDEFFEDCBA}" - ? -   (File not found | COM-object registry key not found) / hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_10-windows-i586.cab
{CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA} "{CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA}" - ? -   (File not found | COM-object registry key not found) / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_01-windows-i586.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars )-----
{555D4D79-4BD2-4094-A395-CFC534424A05} "HP Smart Web Printing" - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\Smart Web Printing\hpswp_bho.dll
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBC} "ClsidExtension" - "Sun Microsystems, Inc." - H:\Programme\Java\jre1.6.0_04\bin\npjpi160_04.dll
{DDE87865-83C5-48c4-8357-2F5B1AA84522} "HP Smart Web Printing ein- oder ausblenden" - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----
{30F9B915-B755-4826-820B-08FBA6BD249D} "Conduit Engine" - "Conduit Ltd." - H:\Programme\ConduitEngine\prxConduitEngine.dll
{872b5b88-9db5-4310-bdd0-ac189557e5f5} "DVDVideoSoftTB Toolbar" - "Conduit Ltd." - H:\Programme\DVDVideoSoftTB\prxtbDVDV.dll
{EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} "Winamp Toolbar" - "AOL LLC." - H:\Programme\Winamp Toolbar\winamptb.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} "Adobe PDF Reader Link Helper" - "Adobe Systems Incorporated" - H:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
{30F9B915-B755-4826-820B-08FBA6BD249D} "Conduit Engine" - "Conduit Ltd." - H:\Programme\ConduitEngine\prxConduitEngine.dll
{872b5b88-9db5-4310-bdd0-ac189557e5f5} "DVDVideoSoftTB Toolbar" - "Conduit Ltd." - H:\Programme\DVDVideoSoftTB\prxtbDVDV.dll
{0347C33E-8762-4905-BF09-768834316C61} "HP Print Enhancer" - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll
{FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} "HP Smart BHO Class" - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - H:\Programme\Java\jre6\bin\jp2ssv.dll
{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - H:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} "SSVHelper Class" - "Sun Microsystems, Inc." - H:\Programme\Java\jre6\bin\ssv.dll
{25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} "Winamp Toolbar Loader" - "AOL LLC." - H:\Programme\Winamp Toolbar\winamptb.dll

[Logon]
-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - H:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
"FRITZ!DSL Startcenter.lnk" - "AVM Berlin" - H:\Programme\FRITZ!DSL\StCenter.exe  (Shortcut exists | File exists)
"HP Digital Imaging Monitor.lnk" - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\bin\hpqtra08.exe  (Shortcut exists | File exists)
"Office-Bibliothek-Direktsuche.lnk" - ? - H:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Office-Bibliothek-Direktsuche.lnk  (Shortcut exists | File not found)
"Quicken 2009 Zahlungserinnerung.lnk" - "Lexware GmbH & Co. KG" - H:\Programme\Lexware\Quicken\2009\billmind.exe  (Shortcut exists | File exists)
"WISO Mein Steuer-Sparbuch heute.lnk" - "Buhl Tax Service, Hannover" - H:\Programme\WISO\Steuersoftware 2011\mshaktuell.exe  (Shortcut exists | File exists)
-----( %UserProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - H:\Dokumente und Einstellungen\****\Startmenü\Programme\Autostart\desktop.ini
"StarOffice 8.lnk" - ? - H:\Programme\Sun\StarOffice 8\program\quickstart.exe  (Shortcut exists | File found, but it contains no detailed information | File exists)
-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----
"updateMgr" - "Adobe Systems Incorporated" - "H:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_1_0 -reboot 1
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"avgnt" - "Avira GmbH" - "H:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
"FreePDF Assistant" - "shbox.de" - H:\Programme\FreePDF_XP\fpassist.exe
"itype" - "Microsoft Corporation" - "H:\Programme\Microsoft IntelliType Pro\itype.exe"
"nTrayFw" - "NVIDIA Corporation" - H:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
"nwiz" - "NVIDIA Corporation" - nwiz.exe /install
"RemoteControl" - "Cyberlink Corp." - H:\Programme\CyberLink\PowerDVD\PDVDServ.exe
"SunJavaUpdateSched" - ? - "H:\Programme\Java\jre6\bin\jusched.exe"  (File not found)
"TkBellExe" - "RealNetworks, Inc." - "H:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot

[Print Monitors]
-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----
"avm:" - "AVM Berlin GmbH" - H:\WINDOWS\system32\avmprmon.dll
"Redirected Port" - ? - H:\WINDOWS\system32\redmonnt.dll  (File found, but it contains no detailed information)

[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - H:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
"Anwendungsverwaltung" (AppMgmt) - ? - H:\WINDOWS\System32\appmgmts.dll  (File not found)
"ASP.NET State Service" (aspnet_state) - "Microsoft Corporation" - H:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe
"Automatic Updates" (wuauserv) - ? - C:\WINDOWS\system32\wuauserv.dll  (File not found)
"Avira AntiVir Guard" (AntiVirService) - "Avira GmbH" - H:\Programme\Avira\AntiVir Desktop\avguard.exe
"Avira AntiVir Planer" (AntiVirSchedulerService) - "Avira GmbH" - H:\Programme\Avira\AntiVir Desktop\sched.exe
"AVM IGD CTRL Service" (IGDCTRL) - "AVM Berlin" - H:\Programme\FRITZ!DSL\IGDCTRL.EXE
"C-DillaCdaC11BA" (C-DillaCdaC11BA) - "C-Dilla Ltd" - H:\WINDOWS\system32\drivers\CDAC11BA.EXE
"ForceWare Intelligent Application Manager (IAM)" (ForceWare Intelligent Application Manager (IAM)) - ? - H:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
"ForceWare IP service" (nSvcIp) - "NVIDIA Corporation" - H:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
"ForceWare user log service" (nSvcLog) - "NVIDIA" - H:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
"Google Update Service (gupdate)" (gupdate) - "Google Inc." - H:\Programme\Google\Update\GoogleUpdate.exe
"Google Update-Dienst (gupdatem)" (gupdatem) - "Google Inc." - H:\Programme\Google\Update\GoogleUpdate.exe
"HP CUE DeviceDiscovery Service" (hpqddsvc) - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\bin\hpqddsvc.dll
"HP Network Devices Support" (HPSLPSVC) - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\bin\HPSLPSVC32.DLL
"hpqcxs08" (hpqcxs08) - "Hewlett-Packard Co." - H:\Programme\HP\Digital Imaging\bin\hpqcxs08.dll
"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - H:\Programme\Java\jre6\bin\jqs.exe
"NBService" (NBService) - "Nero AG" - H:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
"Net Driver HPZ12" (Net Driver HPZ12) - "Hewlett-Packard" - H:\WINDOWS\system32\HPZinw12.dll
"NMIndexingService" (NMIndexingService) - "Nero AG" - H:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
"NMSAccessU" (NMSAccessU) - ? - H:\Programme\Gemeinsame Dateien\NMSAccessU.exe  (File found, but it contains no detailed information)
"PEVSystemStart" (PEVSystemStart) - ? - H:\ComboFix\pev.3XE  (File found, but it contains no detailed information)
"PLFlash DeviceIoControl Service" (PLFlash DeviceIoControl Service) - "Prolific Technology Inc." - H:\WINDOWS\system32\IoctlSvc.exe
"Pml Driver HPZ12" (Pml Driver HPZ12) - "Hewlett-Packard" - H:\WINDOWS\system32\HPZipm12.dll
"Windows CardSpace" (idsvc) - "Microsoft Corporation" - h:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - h:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe

[Winlogon]
-----( HKCU\Control Panel\IOProcs )-----
"MVB" - ? - mvfs32.dll  (File not found)
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )-----
{c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll  (File not found)

[Winsock Providers]
-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries )-----
"Sarah NSP" - "AVM Berlin" - H:\Programme\FRITZ!DSL\sarah.dll
-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries )-----
"SARAH LSP" - "AVM Berlin" - H:\Programme\FRITZ!DSL\sarah.dll

===[ Logfile end ]=========================================[ Logfile end ]===

--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

Twix · 04.11.2011, 19:09

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-11-04 17:33:55
-----------------------------
17:33:55.390 OS Version: Windows 5.1.2600 Service Pack 3
17:33:55.390 Number of processors: 2 586 0x4B02
17:33:55.390 ComputerName: ARBEITSZIMMER UserName: ****
17:33:55.906 Initialize success
17:37:16.890 AVAST engine defs: 11110400
17:42:20.921 Disk 0 \Device\Harddisk0\DR0 -> \Device\00000070
17:42:20.937 Disk 0 Vendor: ST3160211AS 3.AAE Size: 152627MB BusType: 3
17:42:20.937 Device \Driver\usbstor -> DriverStartIo USBSTOR.SYS b1cc4f26
17:42:22.937 Disk 5 MBR read error 0
17:42:22.937 Disk 5 MBR scan
17:42:22.968 Disk 5 unknown MBR code
17:42:22.968 MBR BIOS signature not found 0
17:42:23.109 Disk 5 scanning H:\WINDOWS\system32\drivers
17:43:18.656 Service scanning
17:43:19.562 Modules scanning
17:44:33.421 Disk 5 trace - called modules:
17:44:33.421 ntkrnlpa.exe CLASSPNP.SYS disk.sys hal.dll
17:44:33.437 1 nt!IofCallDriver -> \Device\Harddisk5\DR10[0x89afcab8]
17:44:33.953 AVAST engine scan H:\WINDOWS
17:45:25.640 AVAST engine scan H:\WINDOWS\system32
17:53:36.328 AVAST engine scan H:\WINDOWS\system32\drivers
17:55:07.421 AVAST engine scan H:\Dokumente und Einstellungen\****
18:01:31.671 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\Downloads\esetsmartinstaller_enu.exe **INFECTED** Win32:Tenga
18:01:31.843 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\Downloads\GCHR10.EXE **INFECTED** Win32:Tenga
18:01:32.265 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\Downloads\GTB6IE.EXE **INFECTED** Win32:Tenga
18:01:32.531 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\Downloads\mbam-setup-1.51.2.1300.exe **INFECTED** Win32:Tenga
18:07:09.828 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\Eigene Bilder\nrzngf.exe **INFECTED** Win32:Tenga
18:20:24.640 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\Eigene Musik\nrzngf.exe **INFECTED** Win32:Tenga
18:25:43.265 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\StarOffice 8 (en-US de) Installation Files\adabas\soa-13.01.00-bin-windows-multi.exe **INFECTED** Win32:Tenga
18:25:44.187 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\StarOffice 8 (en-US de) Installation Files\instmsia.exe **INFECTED** Win32:Tenga
18:25:45.421 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\StarOffice 8 (en-US de) Installation Files\instmsiw.exe **INFECTED** Win32:Tenga
18:25:47.015 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\StarOffice 8 (en-US de) Installation Files\setup.exe **INFECTED** Win32:Tenga
18:27:14.656 File: H:\Dokumente und Einstellungen\****\Eigene Dateien\Worddokumente Niels\Worddateien von Niels\Schule\Deutsch\Kabale und Liebe\Acrobat_Reader\Windows\rp500deu.exe **INFECTED** Win32:Tenga
18:42:38.453 AVAST engine scan H:\Dokumente und Einstellungen\All Users
18:44:49.484 File: H:\Dokumente und Einstellungen\All Users\Dokumente\Dokumente\nrzngf.exe **INFECTED** Win32:Tenga
18:45:02.390 File: H:\Dokumente und Einstellungen\All Users\Dokumente\nrzngf.exe **INFECTED** Win32:Tenga
18:45:13.140 Scan finished successfully
19:08:34.906 Disk 5 MBR has been saved successfully to "H:\Dokumente und Einstellungen\****\Desktop\MBR.dat"
19:08:34.906 The log file has been saved successfully to "H:\Dokumente und Einstellungen\****\Desktop\aswMBR.txt"

02.11.2011, 20:20	#33
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Problem mit TR/Crypt.XPack.Gen3 Starte Windows neu, lösch die alte combofix.exe, lade CF neu runter und probier es bitte nochmal. __________________ __________________

04.11.2011, 12:09	#35
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Problem mit TR/Crypt.XPack.Gen3 Kopier die combofix.exe bitte direkt nach C: Starte Windows dann im abgesicherten Modus mit Eingabeaufforderung, tipp in der Kommandozeile start c:\combofix.exe ein und führe mit Enter/Return aus. POste dann ob CF lief oder nicht und was genau passierte bzw. ob Probleme da waren usw __________________ Logfiles bitte immer in CODE-Tags posten

Problem mit TR/Crypt.XPack.Gen3

Plagegeister aller Art und deren Bekämpfung: Problem mit TR/Crypt.XPack.Gen3