|
Log-Analyse und Auswertung: Win32/Spy.Banker.WBU trojaner im ArbeitsspeicherWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
18.01.2012, 22:28 | #1 |
| Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher Hallo! Mein Laptop benimmt sich merkwürdig und auf der Suche nach dem Fehler bin ich auf dieses Forum gestossen und habe einen Virenscanner namens ESET laufen lassen. Dieser hat dann auch einiges gefunden (86 infizierte Dateien) und diese gelöscht. Jedoch war die letzte Meldung des Scanners "Operating memory probably a variant of Win32/Spy.Banker.WBU trojan " und leider funktioniert das System immer noch nicht richtig. Viele Programme lassen sich beim ersten Mal nicht starten (eine Initialisierung ist fehlgeschlagen oder so ähnlich) und der Browser (Google Chrome) stürzt nach dem ersten Start immer ab. Tatsächlich meldet eset, wenn ich es erneut den Speicher scannen lasse, obigen Trojaner. Wie gehe ich da am besten weiter vor? Über jede Hilfe freut sich Karsten. Hier die otl.txt, die extra.txt und gmer.log hänge ich als zip an. und auch das logfile des eset scans. OTL Logfile: Code:
ATTFilter OTL logfile created on: 18.01.2012 21:49:45 - Run 1 OTL by OldTimer - Version 3.2.31.0 Folder = C:\Dokumente und Einstellungen\TravelMate\Desktop Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 6.0.2900.5512) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 502,04 Mb Total Physical Memory | 284,59 Mb Available Physical Memory | 56,69% Memory free 1,20 Gb Paging File | 0,92 Gb Available in Paging File | 76,87% Paging File free Paging file location(s): C:\pagefile.sys 756 1512 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 35,06 Gb Total Space | 5,05 Gb Free Space | 14,41% Space Free | Partition Type: FAT32 Drive D: | 35,55 Gb Total Space | 35,54 Gb Free Space | 99,97% Space Free | Partition Type: FAT32 Computer Name: ACER-8E86865245 | User Name: TravelMate | Logged in as Administrator. Boot Mode: Normal | Scan Mode: Current user | Quick Scan Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days ========== Processes (SafeList) ========== PRC - [2012.01.18 21:48:26 | 000,584,192 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\OTL.exe PRC - [2012.01.18 21:42:04 | 000,500,224 | ---- | M] (Realtek Semiconductor Corp.) -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Temp\RtkBtMnt.exe PRC - [2010.11.23 19:26:00 | 000,039,936 | ---- | M] () -- C:\Programme\phonostar-Player\phonostarTimer.exe PRC - [2008.07.22 22:44:06 | 000,357,376 | ---- | M] (shbox.de) -- C:\Programme\FreePDF_XP\fpassist.exe PRC - [2008.04.14 04:23:04 | 000,026,624 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\system32\userinit.exe PRC - [2008.04.14 04:22:46 | 001,036,800 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe PRC - [2007.04.03 16:18:08 | 001,516,584 | ---- | M] (Cisco Systems, Inc.) -- C:\Programme\Cisco Systems\VPN Client\cvpnd.exe PRC - [2005.12.13 17:08:48 | 000,344,064 | ---- | M] (Acer Incorporated) -- C:\Acer\Empowering Technology\ePower\ePower_DMC.exe PRC - [2005.11.24 12:45:42 | 000,589,824 | ---- | M] (Dritek System Inc.) -- C:\Programme\Launch Manager\LManager.exe PRC - [2005.11.16 17:00:50 | 000,397,312 | ---- | M] (acer Inc.) -- C:\Acer\Empowering Technology\eRecovery\Monitor.exe PRC - [2005.10.24 16:45:32 | 002,462,208 | ---- | M] (Avocent Inc.) -- C:\Acer\Empowering Technology\admtray.exe PRC - [2005.10.24 16:40:52 | 001,314,816 | ---- | M] (Avocent Inc.) -- C:\Acer\Empowering Technology\admServ.exe PRC - [2005.10.19 09:30:16 | 000,069,632 | ---- | M] (HiTRUST) -- C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe ========== Modules (No Company Name) ========== MOD - [2012.01.16 08:08:30 | 003,391,488 | ---- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\mscorlib\1.0.5000.0__b77a5c561934e089_f120454b\mscorlib.dll MOD - [2012.01.16 08:08:26 | 000,835,584 | ---- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system.drawing\1.0.5000.0__b03f5f7f11d50a3a_0a5746e7\system.drawing.dll MOD - [2012.01.16 08:08:14 | 003,035,136 | ---- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system.windows.forms\1.0.5000.0__b77a5c561934e089_53f6fc32\system.windows.forms.dll MOD - [2012.01.16 08:08:04 | 001,966,080 | ---- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system\1.0.5000.0__b77a5c561934e089_1ca8ced0\system.dll MOD - [2012.01.16 08:07:52 | 001,232,896 | ---- | M] () -- c:\windows\assembly\gac\system\1.0.5000.0__b77a5c561934e089\system.dll MOD - [2012.01.16 08:07:50 | 002,064,384 | ---- | M] () -- c:\windows\assembly\gac\system.windows.forms\1.0.5000.0__b77a5c561934e089\system.windows.forms.dll MOD - [2011.07.18 22:04:08 | 000,296,448 | ---- | M] () -- C:\Programme\Notepad++\NppShell_04.dll MOD - [2010.11.23 19:26:00 | 000,039,936 | ---- | M] () -- C:\Programme\phonostar-Player\phonostarTimer.exe MOD - [2010.10.01 13:06:52 | 002,278,912 | ---- | M] () -- C:\Programme\phonostar-Player\QtCore4.dll MOD - [2010.09.10 15:07:26 | 000,416,256 | ---- | M] () -- C:\Programme\phonostar-Player\plugins\sqldrivers\qsqlite4.dll MOD - [2010.09.10 12:20:48 | 008,151,040 | ---- | M] () -- C:\Programme\phonostar-Player\QtGui4.dll MOD - [2010.09.10 12:06:58 | 000,190,464 | ---- | M] () -- C:\Programme\phonostar-Player\QtSql4.dll MOD - [2008.02.25 22:23:10 | 000,116,224 | ---- | M] () -- C:\WINDOWS\system32\redmonnt.dll MOD - [2007.04.03 16:18:26 | 000,197,672 | ---- | M] () -- C:\WINDOWS\system32\vpnapi.dll MOD - [2005.11.28 11:59:16 | 000,876,544 | ---- | M] () -- C:\Programme\Intel\Wireless\Bin\Libeay32.dll MOD - [2005.11.28 11:59:16 | 000,208,965 | ---- | M] () -- C:\Programme\Intel\Wireless\Bin\iWMSProv.dll MOD - [2005.11.28 11:59:16 | 000,053,322 | ---- | M] () -- C:\Programme\Intel\Wireless\Bin\IntStngs.dll MOD - [2005.10.20 17:20:24 | 000,208,896 | ---- | M] () -- C:\Acer\Empowering Technology\ePower\DialogDLL.dll MOD - [2005.10.11 13:18:54 | 000,028,672 | ---- | M] () -- C:\Acer\Empowering Technology\ePower\SysHook.dll MOD - [2005.09.05 16:31:56 | 000,229,472 | ---- | M] () -- C:\Acer\Empowering Technology\NetMonitor.dll MOD - [2005.08.24 01:24:00 | 000,010,752 | ---- | M] () -- C:\WINDOWS\system32\MSNChatHook.dll MOD - [2005.01.11 14:31:38 | 000,466,944 | ---- | M] () -- c:\windows\assembly\gac\system.drawing\1.0.5000.0__b03f5f7f11d50a3a\system.drawing.dll MOD - [2005.01.11 14:30:46 | 000,233,472 | ---- | M] () -- c:\windows\assembly\gac\mscorlib.resources\1.0.5000.0_de_b77a5c561934e089\mscorlib.resources.dll MOD - [2003.12.29 20:45:08 | 000,040,960 | ---- | M] () -- C:\Acer\Empowering Technology\ServiceControl.dll MOD - [2003.06.07 13:30:08 | 000,057,344 | ---- | M] () -- C:\Programme\Launch Manager\PowerUtl.dll ========== Win32 Services (SafeList) ========== SRV - [2007.04.03 16:18:08 | 001,516,584 | ---- | M] (Cisco Systems, Inc.) [Auto | Running] -- C:\Programme\Cisco Systems\VPN Client\cvpnd.exe -- (CVPND) SRV - [2005.10.24 16:40:52 | 001,314,816 | ---- | M] (Avocent Inc.) [Auto | Running] -- C:\Acer\Empowering Technology\admServ.exe -- (AWService) SRV - [2004.10.22 02:24:18 | 000,073,728 | ---- | M] (Macrovision Corporation) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe -- (IDriverT) ========== Driver Services (SafeList) ========== DRV - [2007.04.03 16:17:08 | 000,306,295 | ---- | M] (Cisco Systems, Inc.) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\CVPNDRVA.sys -- (CVPNDRVA) DRV - [2007.01.24 00:23:16 | 000,127,376 | ---- | M] (Deterministic Networks, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\dne2000.sys -- (DNE) DRV - [2007.01.18 14:28:02 | 000,005,275 | ---- | M] (Cisco Systems, Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\CVirtA.sys -- (CVirtA) DRV - [2006.09.24 15:28:46 | 000,005,248 | ---- | M] (Windows (R) 2000 DDK provider) [Kernel | Boot | Running] -- C:\WINDOWS\system32\speedfan.sys -- (speedfan) DRV - [2005.12.28 04:37:58 | 000,015,488 | R--- | M] (WideView Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\WDM_Loader_220A.sys -- (WDM_Loader_220A) DRV - [2005.11.28 12:09:26 | 000,013,568 | ---- | M] (Intel Corporation) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\s24trans.sys -- (s24trans) DRV - [2005.11.27 00:36:08 | 001,427,968 | ---- | M] (Intel® Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\w39n51.sys -- (w39n51) Intel(R) DRV - [2005.11.17 17:20:12 | 000,037,888 | ---- | M] (ENE Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\ESD7SK.sys -- (ESDCR) DRV - [2005.11.17 17:20:08 | 000,074,624 | ---- | M] (ENE Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\ESM7SK.sys -- (ESMCR) DRV - [2005.11.17 17:20:02 | 000,060,928 | ---- | M] (ENE Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\EMS7SK.sys -- (EMSCR) DRV - [2005.11.17 15:45:40 | 004,069,888 | ---- | M] (Realtek Semiconductor Corp.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\RtkHDAud.Sys -- (IntcAzAudAddService) Service for Realtek HD Audio (WDM) DRV - [2005.10.31 14:16:00 | 000,046,080 | ---- | M] (SMSC) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\smcirda.sys -- (SMCIRDA) DRV - [2005.10.31 14:16:00 | 000,045,312 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\bcm4sbxp.sys -- (bcm4sbxp) DRV - [2005.10.24 10:20:52 | 000,218,496 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\HSFHWAZL.sys -- (HSFHWAZL) DRV - [2005.10.18 16:53:24 | 000,998,656 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\HSF_DPV.sys -- (HSF_DPV) DRV - [2005.10.18 16:52:30 | 000,721,280 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\HSF_CNXT.sys -- (winachsf) DRV - [2005.10.15 18:20:44 | 000,012,106 | ---- | M] (OSA Technologies) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\OsaFsLoc.sys -- (OsaFsLoc) DRV - [2005.09.13 15:34:40 | 000,004,392 | ---- | M] (OSA Technologies) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\NdisFilt.sys -- (NdisFilt) DRV - [2005.08.03 05:10:14 | 000,032,512 | ---- | M] (CACE Technologies) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\npf.sys -- (NPF) DRV - [2005.06.30 16:58:24 | 000,007,296 | ---- | M] (OSA Technologies, An Avocent Company) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\osaio.sys -- (osaio) DRV - [2005.05.02 12:13:42 | 000,009,600 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\NETMNT.sys -- (NETMNT) DRV - [2005.04.22 16:57:06 | 000,078,208 | ---- | M] (Acer Value Labs, USA) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\epm-shd.sys -- (EpmShd) DRV - [2005.04.22 16:57:06 | 000,004,096 | ---- | M] (Acer Value Labs, USA) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\epm-psd.sys -- (EpmPsd) DRV - [2005.01.26 08:22:20 | 000,280,344 | ---- | M] (Zone Labs LLC) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\vsdatant.sys -- (vsdatant) DRV - [2005.01.14 15:57:16 | 000,004,010 | ---- | M] (Windows (R) 2000 DDK provider) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\osanbm.sys -- (osanbm) DRV - [2005.01.13 14:46:16 | 000,069,632 | ---- | M] () [Kernel | Auto | Running] -- C:\Acer\Empowering Technology\eRecovery\int15.sys -- (int15.sys) DRV - [2004.10.23 02:23:00 | 000,084,352 | R--- | M] (MCCI) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\sscdmdm.sys -- (sscdmdm) DRV - [2004.10.23 02:23:00 | 000,052,384 | R--- | M] (MCCI) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\sscdbus.sys -- (sscdbus) SAMSUNG USB Composite Device driver (WDM) DRV - [2004.10.23 02:23:00 | 000,006,032 | R--- | M] (MCCI) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\sscdmdfl.sys -- (sscdmdfl) DRV - [2004.09.06 15:40:04 | 000,018,432 | R--- | M] (Computer & Entertainment, Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\WDM_Capture_220A.sys -- (WDM_Capture_220A) DRV - [1996.04.03 21:33:26 | 000,005,248 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\system32\giveio.sys -- (giveio) ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com/ie IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = hxxp://www.google.com/ie IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.google.com/ie IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.msn.com/ IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 FF - HKLM\Software\MozillaPlugins\@divx.com/DivX Browser Plugin,version=1.0.0: C:\Programme\DivX\DivX Plus Web Player\npdivx32.dll File not found FF - HKLM\Software\MozillaPlugins\@divx.com/DivX VOD Helper,version=1.0.0: C:\Programme\DivX\DivX OVS Helper\npovshelper.dll File not found FF - HKLM\Software\MozillaPlugins\@google.com/npPicasa3,version=3.0.0: C:\Programme\Google\Picasa3\npPicasa3.dll (Google, Inc.) FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Programme\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.) FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation) FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Programme\Google\Update\1.3.21.79\npGoogleUpdate3.dll (Google Inc.) FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Programme\Google\Update\1.3.21.79\npGoogleUpdate3.dll (Google Inc.) FF - HKLM\Software\MozillaPlugins\@viewpoint.com/VMP: C:\Programme\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll () FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.3.21.79\npGoogleUpdate3.dll (Google Inc.) FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.3.21.79\npGoogleUpdate3.dll (Google Inc.) FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{23fcfd51-4958-4f00-80a3-ae97e717ed8b}: C:\Programme\DivX\DivX Plus Web Player\firefox\html5video FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{6904342A-8307-11DF-A508-4AE2DFD72085}: C:\Programme\DivX\DivX Plus Web Player\firefox\wpa FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{184AA5E6-741D-464a-820E-94B3ABC2F3B4}: C:\WINDOWS\system32\5054 [2011.12.10 02:52:46 | 000,000,000 | ---D | M] FF - HKEY_CURRENT_USER\software\mozilla\Firefox\extensions\\{184AA5E6-741D-464a-820E-94B3ABC2F3B4}: C:\WINDOWS\system32\5054 [2011.12.10 02:52:46 | 000,000,000 | ---D | M] ========== Chrome ========== CHR - default_search_provider: Google (Enabled) CHR - default_search_provider: search_url = {google:baseURL}search?{google:RLZ}{google:acceptedSuggestion}{google:originalQueryForSuggestion}{google:searchFieldtrialParameter}{google:instantFieldTrialGroupParameter}sourceid=chrome&ie={inputEncoding}&q={searchTerms} CHR - default_search_provider: suggest_url = {google:baseSuggestURL}search?{google:searchFieldtrialParameter}{google:instantFieldTrialGroupParameter}client=chrome&hl={language}&q={searchTerms} CHR - plugin: Remoting Viewer (Enabled) = internal-remoting-viewer CHR - plugin: Native Client (Enabled) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\16.0.912.75\ppGoogleNaClPluginChrome.dll CHR - plugin: Chrome PDF Viewer (Enabled) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\16.0.912.75\pdf.dll CHR - plugin: Shockwave Flash (Enabled) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\16.0.912.75\gcswf32.dll CHR - plugin: Adobe Acrobat (Enabled) = C:\Programme\Adobe\Reader 8.0\Reader\Browser\nppdf32.dll CHR - plugin: Java Deployment Toolkit 6.0.290.11 (Enabled) = C:\Programme\Java\jre6\bin\new_plugin\npdeployJava1.dll CHR - plugin: Java(TM) Platform SE 6 U29 (Enabled) = C:\Programme\Java\jre6\bin\new_plugin\npjp2.dll CHR - plugin: Microsoft\u00AE DRM (Enabled) = C:\Programme\Windows Media Player\npwmsdrm.dll CHR - plugin: Microsoft\u00AE DRM (Enabled) = C:\Programme\Windows Media Player\npdrmv2.dll CHR - plugin: Microsoft\u00AE Windows Media Player Firefox Plugin (Enabled) = D:\PFiles\Plugins\np-mswmp.dll CHR - plugin: Google Update (Enabled) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.3.21.79\npGoogleUpdate3.dll CHR - plugin: Picasa (Enabled) = C:\Programme\Google\Picasa3\npPicasa3.dll CHR - plugin: MetaStream 3 Plugin (Enabled) = C:\Programme\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll CHR - plugin: Windows Presentation Foundation (Enabled) = C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll CHR - plugin: Default Plug-in (Enabled) = default_plugin CHR - Extension: Send using Gmail\u2122 (no button) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\ahldefgplekckalfcolhhnljbbgaiboc\1.11.12.4_0\ CHR - Extension: ChromeLite = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\bjekedpipaedojkbialnhabcecmfpofh\1.1_0\ CHR - Extension: YouTube = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo\4.2.3_0\ CHR - Extension: Google-Suche = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf\0.0.0.16_0\ CHR - Extension: AdBlock = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\gighmmpiobklfepjocnamgkkbiglidom\2.5.13_0\ CHR - Extension: SourceKit = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\iieeldjdihkpoapgipfkeoddjckopgjg\0.7.4_0\ CHR - Extension: dotEPUB = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\okpfiebkkmjcnodegbbbiellepfhoglm\0.7.0_0\ CHR - Extension: Google Mail = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia\7_0\ O1 HOSTS File: ([2010.08.31 19:20:06 | 000,000,867 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O1 - Hosts: 192.168.0.1 amd366.klausur.net amd366 O2 - BHO: (no name) - {184AA5E6-741D-464a-820E-94B3ABC2F3B4} - No CLSID value found. O3 - HKLM\..\Toolbar: (Acer eDataSecurity Management) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - C:\WINDOWS\system32\ToolBand.dll (HiTRUST) O3 - HKCU\..\Toolbar\ShellBrowser: (Acer eDataSecurity Management) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - C:\WINDOWS\system32\ToolBand.dll (HiTRUST) O4 - HKLM..\Run: [Acer ePower Management] C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe (Acer Value Labs, Taiwan) O4 - HKLM..\Run: [ADMTray.exe] C:\Acer\Empowering Technology\admtray.exe (Avocent Inc.) O4 - HKLM..\Run: [Alcmtr] C:\WINDOWS\Alcmtr.exe (Realtek Semiconductor Corp.) O4 - HKLM..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe (HiTRUST) O4 - HKLM..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe (Acer Incorporated) O4 - HKLM..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe (acer Inc.) O4 - HKLM..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe (shbox.de) O4 - HKLM..\Run: [FreePDFAssistent] C:\Programme\FreePDF\FreePDFA.exe File not found O4 - HKLM..\Run: [LManager] C:\Programme\Launch Manager\LManager.exe (Dritek System Inc.) O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.) O4 - HKCU..\Run: [phonostarTimer] C:\Programme\phonostar-Player\phonostarTimer.exe () O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoCDBurning = 0 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoInternetIcon = 1 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} hxxp://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_03-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_05-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab (Java Plug-in 1.6.0_29) O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab (Java Plug-in 1.6.0_29) O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.178.1 O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{A01878D9-F689-4ECE-B18C-FFFF809D204A}: DhcpNameServer = 192.168.178.1 O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O20 - HKLM Winlogon: Shell - (Explorer.exe) -C:\WINDOWS\explorer.exe (Microsoft Corporation) O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) -C:\WINDOWS\system32\userinit.exe (Microsoft Corporation) O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\appconf32.exe) -C:\WINDOWS\system32\appconf32.exe () O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2010.05.17 22:53:42 | 000,000,002 | ---- | M] () - C:\AUTOEXEC.BAT -- [ FAT32 ] O33 - MountPoints2\{09c5c378-8cb6-11dd-80c8-001302037a9c}\Shell - "" = AutoRun O33 - MountPoints2\{09c5c378-8cb6-11dd-80c8-001302037a9c}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{09c5c378-8cb6-11dd-80c8-001302037a9c}\Shell\AutoRun\command - "" = F:\AutoRun.exe O33 - MountPoints2\{09c5c379-8cb6-11dd-80c8-001302037a9c}\Shell - "" = AutoRun O33 - MountPoints2\{09c5c379-8cb6-11dd-80c8-001302037a9c}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{09c5c379-8cb6-11dd-80c8-001302037a9c}\Shell\AutoRun\command - "" = F:\AutoRun.exe O33 - MountPoints2\{1fe4883e-7d72-11df-8486-001302037a9c}\Shell - "" = AutoRun O33 - MountPoints2\{1fe4883e-7d72-11df-8486-001302037a9c}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{1fe4883e-7d72-11df-8486-001302037a9c}\Shell\AutoRun\command - "" = G:\autorun.exe O33 - MountPoints2\{ab9a8e7a-5715-11de-826f-001302037a9c}\Shell - "" = AutoRun O33 - MountPoints2\{ab9a8e7a-5715-11de-826f-001302037a9c}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{ab9a8e7a-5715-11de-826f-001302037a9c}\Shell\AutoRun\command - "" = F:\LaunchU3.exe -a O34 - HKLM BootExecute: (autocheck autochk *) O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* ActiveX: {0213C6AF-5562-4D09-884C-2ADCFC8C2F35} - Microsoft .NET Framework 1.1 Security Update (KB2656353) ActiveX: {03F998B2-0E00-11D3-A498-00104B6EB52E} - Viewpoint Media Player ActiveX: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} - Java (Sun) ActiveX: {10072CEC-8CC1-11D1-986E-00A0C955B42F} - Vektorgrafik-Rendering (VML) ActiveX: {1B00725B-C455-4DE6-BFB6-AD540AD427CD} - Viewpoint Media Player ActiveX: {2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} - NetShow ActiveX: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 6.4 ActiveX: {283807B5-2C60-11D0-A31D-00AA00B92C03} - DirectAnimation ActiveX: {2A3320D6-C805-4280-B423-B665BDE33D8F} - Microsoft .NET Framework 1.1 Security Update (KB979906) ActiveX: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll ActiveX: {36f8ec70-c29a-11d1-b5c7-0000f8051515} - Dynamic HTML-Datenbindung für Java ActiveX: {3af36230-a269-11d1-b5bf-0000f8051515} - Offlinebrowsingpaket ActiveX: {3bf42070-b3b1-11d1-b5c5-0000f8051515} - Uniscribe ActiveX: {411EDCF7-755D-414E-A74B-3DCD6583F589} - Microsoft .NET Framework 1.1 Service Pack 1 (KB867460) ActiveX: {4278c270-a269-11d1-b5bf-0000f8051515} - Erweitertes Authoring ActiveX: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install ActiveX: {44BBA842-CC51-11CF-AAFA-00AA00B6015B} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT ActiveX: {44BBA848-CC51-11CF-AAFA-00AA00B6015C} - DirectShow ActiveX: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx ActiveX: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer-Hilfe ActiveX: {4f216970-c90c-11d1-b5c7-0000f8051515} - DirectAnimation Java Classes ActiveX: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.6 ActiveX: {5945c046-1e7d-11d1-bc44-00c04fd912be} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser ActiveX: {5A8D6EE0-3E18-11D0-821E-444553540000} - ICW ActiveX: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools ActiveX: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsererweiterungen ActiveX: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player ActiveX: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - Zugang zu MSN Site ActiveX: {7131646D-CD3C-40F4-97B9-CD9E4E6262EF} - .NET Framework ActiveX: {73FA19D0-2D75-11D2-995D-00C04F98BBC9} - Webordner ActiveX: {7790769C-0471-11d2-AF11-00C04FA35D02} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4383} - %SystemRoot%\system32\ie4uinit.exe ActiveX: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install ActiveX: {8b15971b-5355-4c82-8c07-7e181ea07608} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\fxsocm.inf,Fax.UnInstall.PerUser ActiveX: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML-Datenbindung ActiveX: {94de52c8-2d59-4f1b-883e-79663d2d9a8c} - rundll32.exe C:\WINDOWS\system32\Setup\FxsOcm.dll,XP_UninstallProvider ActiveX: {B508B3F1-A24A-32C0-B310-85786919EF28} - .NET Framework ActiveX: {C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F} - .NET Framework ActiveX: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer-Hauptschriftarten ActiveX: {CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1} - .NET Framework ActiveX: {CC2A9BA0-3BDD-11D0-821E-444553540000} - Taskplaner ActiveX: {CDD7975E-60F8-41d5-8149-19E51D6F71D0} - Windows Movie Maker v2.1 ActiveX: {D27CDB6E-AE6D-11cf-96B8-444553540000} - Adobe Flash Player ActiveX: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML-Hilfe ActiveX: {E78BFA60-5393-4C38-82AB-E8019E464EB4} - .NET Framework ActiveX: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface ActiveX: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - C:\WINDOWS\inf\unregmp2.exe /ShowWMP ActiveX: >{26923b43-4d38-484f-9b9e-de460746276c} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigIE ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS - RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP ActiveX: >{881dd1c5-3dcf-431b-b061-f3f88e8be88a} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigOE NetSvcs: 6to4 - File not found NetSvcs: Ias - File not found NetSvcs: Iprip - File not found NetSvcs: NWCWorkstation - File not found NetSvcs: Nwsapagent - File not found NetSvcs: WmdmPmSp - File not found CREATERESTOREPOINT Restore point Set: OTL Restore Point ========== Files/Folders - Created Within 30 Days ========== [2012.01.18 21:48:27 | 000,584,192 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\OTL.exe [2012.01.16 15:53:25 | 000,000,000 | ---D | C] -- C:\Programme\ESET [2012.01.16 15:53:18 | 002,322,184 | ---- | C] (ESET) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\esetsmartinstaller_enu.exe [2012.01.16 07:57:22 | 000,000,000 | -HSD | C] -- C:\Config.Msi [2012.01.12 09:07:59 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\TravelMate\Desktop\fotos [2012.01.12 09:01:56 | 000,000,000 | R--D | C] -- C:\Dokumente und Einstellungen\All Users\Dokumente\Eigene Musik [2011.12.31 17:28:21 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\TravelMate\Startmenü\Programme\Google Chrome [2011.12.28 14:10:23 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\MiKTeX [2011.12.28 14:10:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\MiKTeX [2011.12.28 13:59:10 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\MiKTeX 2.9 [2011.12.28 13:57:39 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\MiKTeX [2011.12.28 13:54:48 | 000,000,000 | ---D | C] -- C:\Programme\MiKTeX 2.9 [2011.12.26 08:36:58 | 000,000,000 | ---D | C] -- C:\Programme\stinger [2011.02.18 14:52:52 | 003,887,480 | ---- | C] (Sysinternals - www.sysinternals.com) -- C:\Programme\procexp.exe [2010.12.12 20:06:20 | 001,604,472 | ---- | C] (Netviewer AG) -- C:\Programme\Netviewer_Meet_free.exe [2010.08.21 00:55:16 | 000,427,008 | ---- | C] (Anny Studio) -- C:\Programme\jcpicker.exe [2010.02.22 15:35:10 | 000,282,624 | ---- | C] (Simon Tatham) -- C:\Programme\plink.exe [2010.02.20 19:26:57 | 000,172,032 | ---- | C] (Simon Tatham) -- C:\Programme\puttygen.exe [2008.05.20 09:57:27 | 000,520,192 | ---- | C] (Andrew Zhezherun) -- C:\Programme\WinDjView-0.5.exe [2007.11.07 23:28:51 | 000,454,656 | ---- | C] (Simon Tatham) -- C:\Programme\putty.exe [2007.09.11 18:29:38 | 002,814,101 | ---- | C] (ActiveState Corporation) -- C:\Programme\tksqlite.exe [5 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] [1 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2012.01.18 21:48:26 | 000,584,192 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\OTL.exe [2012.01.18 21:47:24 | 000,000,000 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\defogger_reenable [2012.01.18 21:46:36 | 000,050,477 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\Defogger.exe [2012.01.18 21:42:08 | 000,000,451 | ---- | M] () -- C:\WINDOWS\System32\eRLog.ini [2012.01.18 21:41:48 | 000,001,158 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2012.01.18 21:41:48 | 000,001,094 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job [2012.01.18 21:41:26 | 526,503,936 | -HS- | M] () -- C:\hiberfil.sys [2012.01.18 21:41:26 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2012.01.18 08:41:18 | 000,001,098 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job [2012.01.18 08:39:56 | 000,221,632 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2012.01.18 07:45:56 | 000,014,664 | ---- | M] (McAfee, Inc.) -- C:\WINDOWS\stinger.sys [2012.01.17 08:05:40 | 000,069,360 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\swr2-wissen-20120116.pdf [2012.01.16 17:30:04 | 000,001,178 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1785036086-2971949145-1346396146-1005Core.job [2012.01.16 15:53:24 | 002,322,184 | ---- | M] (ESET) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\esetsmartinstaller_enu.exe [2012.01.16 08:12:18 | 000,001,374 | ---- | M] () -- C:\WINDOWS\imsins.BAK [2012.01.16 08:10:44 | 000,506,602 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat [2012.01.16 08:10:44 | 000,478,882 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat [2012.01.16 08:10:44 | 000,105,888 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat [2012.01.16 08:10:44 | 000,087,176 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat [2012.01.14 01:54:12 | 000,000,754 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\.recently-used.xbel [2012.01.08 18:53:04 | 000,099,039 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\Effective-techniques-in-health-eating-and-physical-activity-interventions-A-meta-regression-2009.pdf [2012.01.08 17:08:32 | 000,000,600 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\winscp.rnd [2012.01.08 12:38:58 | 001,281,178 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\FI_Program_Guide_20090421.pdf [2012.01.01 18:27:54 | 000,006,581 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\ofx.py [2011.12.26 08:40:00 | 000,015,360 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [5 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] [1 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] ========== Files Created - No Company Name ========== [2012.01.18 21:47:23 | 000,000,000 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\defogger_reenable [2012.01.18 21:46:39 | 000,050,477 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\Defogger.exe [2012.01.17 08:05:55 | 000,069,360 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\swr2-wissen-20120116.pdf [2012.01.14 01:54:11 | 000,000,754 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\.recently-used.xbel [2012.01.08 18:52:48 | 000,099,039 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\Effective-techniques-in-health-eating-and-physical-activity-interventions-A-meta-regression-2009.pdf [2012.01.08 12:39:02 | 001,281,178 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\FI_Program_Guide_20090421.pdf [2012.01.01 18:27:53 | 000,006,581 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\ofx.py [2011.12.31 17:25:23 | 000,001,178 | ---- | C] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1785036086-2971949145-1346396146-1005Core.job [2011.12.26 10:00:22 | 000,000,454 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Sweethome.lnk [2011.12.26 08:37:13 | 000,000,496 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Stinger.lnk [2011.12.26 08:31:19 | 000,000,548 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Cool Reader.lnk [2011.11.26 22:54:55 | 017,266,025 | ---- | C] () -- C:\Programme\sweethome3d-3.3.jar [2011.06.28 00:37:47 | 000,000,600 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\winscp.rnd [2011.03.31 13:52:27 | 000,000,412 | ---- | C] () -- C:\Programme\ProcessExplorer.lnk [2011.02.18 14:52:52 | 000,072,268 | ---- | C] () -- C:\Programme\procexp.chm [2010.10.15 22:44:29 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\GkSui20.EXE [2010.08.13 00:42:28 | 000,000,092 | ---- | C] () -- C:\WINDOWS\cedt.INI [2010.07.22 00:45:57 | 000,354,304 | ---- | C] () -- C:\WINDOWS\System32\pythoncom26.dll [2010.07.22 00:45:57 | 000,110,592 | ---- | C] () -- C:\WINDOWS\System32\pywintypes26.dll [2010.04.03 09:57:20 | 000,074,240 | ---- | C] () -- C:\WINDOWS\AKDeInstall.exe [2010.01.23 10:41:10 | 000,044,116 | -H-- | C] () -- C:\WINDOWS\System32\mlfcache.dat [2009.01.21 13:37:31 | 000,000,056 | -H-- | C] () -- C:\WINDOWS\System32\ezsidmv.dat [2009.01.04 17:01:08 | 000,116,224 | ---- | C] () -- C:\WINDOWS\System32\redmonnt.dll [2009.01.04 17:01:08 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\unredmon.exe [2008.12.25 13:57:25 | 000,036,734 | ---- | C] () -- C:\WINDOWS\System32\OggDSuninst.exe [2008.12.09 16:23:13 | 000,052,784 | RHS- | C] () -- C:\WINDOWS\System32\appconf32.exe [2008.11.17 23:23:08 | 000,339,968 | ---- | C] () -- C:\WINDOWS\System32\pythoncom25.dll [2008.11.17 23:23:08 | 000,114,688 | ---- | C] () -- C:\WINDOWS\System32\pywintypes25.dll [2008.11.07 12:21:22 | 002,309,120 | ---- | C] () -- C:\Programme\pdftk.exe [2008.09.09 23:22:16 | 000,000,017 | ---- | C] () -- C:\WINDOWS\Missing.ini [2008.02.23 18:46:44 | 000,080,351 | ---- | C] () -- C:\WINDOWS\System32\Autorun.ini [2007.07.24 11:55:36 | 000,001,315 | ---- | C] () -- C:\WINDOWS\wininit.ini [2007.07.12 23:45:30 | 000,000,038 | ---- | C] () -- C:\WINDOWS\camcodec100.ini [2007.07.09 22:39:13 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI [2007.06.26 23:06:38 | 000,614,912 | ---- | C] () -- C:\Programme\I_view32.exe [2007.06.26 23:05:24 | 000,001,140 | ---- | C] () -- C:\WINDOWS\I_VIEW32.INI [2007.05.29 10:49:29 | 000,029,744 | ---- | C] () -- C:\WINDOWS\System32\InstHelper.dll [2007.05.29 10:48:55 | 000,197,672 | ---- | C] () -- C:\WINDOWS\System32\vpnapi.dll [2007.05.29 10:48:54 | 000,193,576 | ---- | C] () -- C:\WINDOWS\System32\CSGina.dll [2007.04.28 08:43:52 | 000,000,600 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\PUTTY.RND [2007.04.02 21:28:56 | 000,000,305 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\addr_file.html [2007.03.15 21:21:02 | 000,015,360 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [2007.02.12 19:28:17 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI [2006.12.27 08:57:53 | 000,000,000 | ---- | C] () -- C:\WINDOWS\JCMKR32.INI [2006.12.27 08:19:43 | 000,000,188 | ---- | C] () -- C:\WINDOWS\System32\eDataSecurity.dat [2006.12.27 08:09:16 | 000,000,002 | ---- | C] () -- C:\WINDOWS\msoffice.ini [2006.01.24 16:40:40 | 000,000,451 | ---- | C] () -- C:\WINDOWS\System32\eRLog.ini [2006.01.24 16:35:40 | 000,053,299 | ---- | C] () -- C:\WINDOWS\System32\pthreadVC.dll [2006.01.24 16:34:50 | 000,000,000 | ---- | C] () -- C:\WINDOWS\NT.INI [2006.01.24 16:32:55 | 000,067,072 | ---- | C] () -- C:\WINDOWS\System32\HTCA_SelfExtract.bin [2006.01.24 16:32:51 | 000,053,248 | ---- | C] () -- C:\WINDOWS\System32\APISlice.dll [2006.01.24 16:32:51 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\SC_res.dll [2006.01.24 16:32:51 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\EN_res.dll [2006.01.24 16:32:51 | 000,032,768 | ---- | C] () -- C:\WINDOWS\System32\TC_res.dll [2006.01.24 16:32:51 | 000,010,752 | ---- | C] () -- C:\WINDOWS\System32\MSNChatHook.dll [2006.01.24 16:32:15 | 000,000,143 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat [2005.12.26 23:05:10 | 000,589,824 | ---- | C] () -- C:\WINDOWS\AntiV.EXE [2005.12.26 23:05:10 | 000,002,772 | ---- | C] () -- C:\WINDOWS\AntiV.INI [2005.12.14 20:59:52 | 000,000,038 | ---- | C] () -- C:\WINDOWS\Acer.ini [2005.11.29 13:12:38 | 000,037,772 | ---- | C] () -- C:\WINDOWS\System32\oeminfo.ini [2005.10.31 18:17:38 | 000,135,168 | ---- | C] () -- C:\WINDOWS\System32\RtlCPAPI.dll [2005.07.15 16:48:46 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\ChCfg.exe [2005.05.02 12:13:42 | 000,009,600 | ---- | C] () -- C:\WINDOWS\System32\drivers\NETMNT.sys [2005.03.27 23:45:26 | 000,000,093 | ---- | C] () -- C:\WINDOWS\alaunch.ini [2005.01.15 05:49:12 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat [2005.01.15 05:49:02 | 000,000,061 | ---- | C] () -- C:\WINDOWS\smscfg.ini [2005.01.15 05:37:16 | 000,506,602 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat [2005.01.15 05:37:16 | 000,478,882 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat [2005.01.15 05:37:16 | 000,105,888 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat [2005.01.15 05:37:16 | 000,087,176 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat [2005.01.15 05:28:56 | 000,000,335 | ---- | C] () -- C:\WINDOWS\nsreg.dat [2005.01.12 02:55:58 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTIBUN4.dll [2005.01.12 02:54:32 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTIMPEG2.dll [2005.01.12 02:54:32 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTIMP3.dll [2005.01.12 02:54:32 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTIFCD3.dll [2005.01.12 02:54:32 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTICDMK7.dll [2005.01.12 02:51:18 | 000,221,632 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2005.01.11 14:10:54 | 000,004,161 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI [2005.01.11 14:08:48 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat [2004.12.17 16:14:44 | 000,013,952 | ---- | C] () -- C:\WINDOWS\System32\drivers\UBHelper.sys [2004.08.04 05:00:00 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat [2004.08.04 05:00:00 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat [2004.08.04 05:00:00 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat [2004.08.04 05:00:00 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat [2004.08.04 05:00:00 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin [2004.08.04 05:00:00 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat [2004.08.04 05:00:00 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat [2004.08.04 05:00:00 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat [2004.08.04 05:00:00 | 000,001,804 | ---- | C] () -- C:\WINDOWS\System32\Dcache.bin [2004.08.04 05:00:00 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat [2004.02.13 13:49:44 | 000,356,352 | ---- | C] () -- C:\WINDOWS\EMCRI.dll [2003.12.29 20:45:08 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\ServiceControl.dll [2002.10.06 19:42:57 | 000,237,568 | ---- | C] () -- C:\WINDOWS\System32\OggDS.dll [2002.10.05 00:04:25 | 000,921,600 | ---- | C] () -- C:\WINDOWS\System32\vorbisenc.dll [2002.10.05 00:04:24 | 000,188,416 | ---- | C] () -- C:\WINDOWS\System32\vorbis.dll [2002.10.05 00:04:17 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\ogg.dll [2002.05.24 00:34:46 | 000,032,768 | ---- | C] () -- C:\WINDOWS\AMove.exe [2001.12.26 15:12:30 | 000,065,536 | ---- | C] () -- C:\WINDOWS\System32\multiplex_vcd.dll [2001.10.10 08:57:58 | 000,073,786 | ---- | C] () -- C:\WINDOWS\System32\dntvmc23.dll [2001.10.10 08:57:58 | 000,061,497 | ---- | C] () -- C:\WINDOWS\System32\dntvm23.dll [2001.09.03 22:46:38 | 000,110,592 | ---- | C] () -- C:\WINDOWS\System32\Hmpg12.dll [2001.08.26 01:04:08 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin [2001.08.26 01:02:42 | 000,004,524 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat [2001.07.30 15:33:56 | 000,118,784 | ---- | C] () -- C:\WINDOWS\System32\HMPV2_ENC.dll [2001.07.23 21:04:36 | 000,118,784 | ---- | C] () -- C:\WINDOWS\System32\HMPV2_ENC_MMX.dll [2001.03.07 08:02:30 | 000,229,431 | ---- | C] () -- C:\WINDOWS\System32\dnt23.dll [1996.04.03 21:33:26 | 000,005,248 | ---- | C] () -- C:\WINDOWS\System32\giveio.sys ========== LOP Check ========== [2005.01.15 05:30:18 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Viewpoint [2006.01.24 16:38:06 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Acer [2006.12.27 10:51:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Downloaded Installations [2007.05.30 13:42:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Nokia [2009.04.15 20:38:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{8CD7F5AF-ECFA-4793-BF40-D8F42DBFF906} [2009.08.22 22:47:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\FRISK Software [2009.10.22 20:02:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{755AC846-7372-4AC8-8550-C52491DAA8BD} [2011.04.01 14:15:42 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\elsterformular [2006.01.24 16:38:10 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Acer [2006.12.27 10:55:26 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Nokia [2007.01.01 22:03:24 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\WebRenderer [2007.02.03 15:06:28 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Subversion [2007.07.26 02:40:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Meckwiki [2007.08.09 19:58:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Notepad++ [2008.10.14 21:15:44 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\JAM Software [2008.12.25 20:00:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Kwlernintervall [2009.10.27 21:15:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\phonostar GmbH [2009.11.04 00:22:04 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\FLV Extract [2010.01.06 22:40:30 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\.thinkingrock [2010.02.22 16:44:16 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\.purple [2010.02.25 19:33:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\SumatraPDF [2010.05.16 00:04:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\inkscape [2010.06.27 01:43:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\FreeAudioPack [2010.12.05 14:15:10 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\wzd [2011.02.05 15:23:42 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Dropbox [2011.03.01 23:30:28 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\RStudio [2011.03.20 15:10:34 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\calibre [2011.04.01 14:42:16 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\elsterformular [2011.04.03 16:38:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Netviewer [2011.06.04 16:48:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\nbDemo [2011.07.14 00:55:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Echo Software [2011.03.10 01:51:08 | 000,000,756 | ---- | M] () -- C:\WINDOWS\Tasks\SymInstallStub.job ========== Purity Check ========== ========== Custom Scans ========== < %SYSTEMDRIVE%\*. > [2005.01.14 02:14:38 | 000,000,000 | ---D | M] -- C:\i386 [2004.08.04 05:00:00 | 000,000,000 | ---D | M] -- C:\VALUEADD [2004.08.04 05:00:00 | 000,000,000 | ---D | M] -- C:\dotnetfx [2008.04.14 11:48:48 | 000,000,000 | ---D | M] -- C:\MSDERelA [2005.01.14 02:14:34 | 000,000,000 | ---D | M] -- C:\Book [2005.01.14 02:14:34 | 000,000,000 | ---D | M] -- C:\Sysinfo [2005.01.14 02:14:38 | 000,000,000 | ---D | M] -- C:\WINDOWS [2005.01.11 14:02:08 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen [2005.01.11 14:10:04 | 000,000,000 | ---D | M] -- C:\Programme [2006.01.24 16:31:38 | 000,000,000 | -HSD | M] -- C:\System Volume Information [2010.02.19 00:26:46 | 000,000,000 | ---D | M] -- C:\Rtools [2012.01.16 07:57:24 | 000,000,000 | -HSD | M] -- C:\Config.Msi [2006.01.24 16:32:52 | 000,000,000 | ---D | M] -- C:\Acer [2006.03.03 22:35:20 | 000,000,000 | ---D | M] -- C:\DirectX [2006.07.16 20:05:24 | 000,000,000 | -HSD | M] -- C:\Recycled [2007.12.24 16:37:52 | 000,000,000 | ---D | M] -- C:\Python25 [2008.01.20 21:27:16 | 000,000,000 | ---D | M] -- C:\GTK < %PROGRAMFILES%\*.exe > [1997.12.15 03:12:22 | 000,614,912 | ---- | M] () -- C:\Programme\I_view32.exe [2007.09.05 04:04:00 | 002,814,101 | ---- | M] (ActiveState Corporation) -- C:\Programme\tksqlite.exe [2007.11.07 23:28:54 | 000,454,656 | ---- | M] (Simon Tatham) -- C:\Programme\putty.exe [2008.05.20 09:53:30 | 000,520,192 | ---- | M] (Andrew Zhezherun) -- C:\Programme\WinDjView-0.5.exe [2006.11.28 17:30:12 | 002,309,120 | ---- | M] () -- C:\Programme\pdftk.exe [2010.02.20 19:26:58 | 000,172,032 | ---- | M] (Simon Tatham) -- C:\Programme\puttygen.exe [2010.02.22 15:35:12 | 000,282,624 | ---- | M] (Simon Tatham) -- C:\Programme\plink.exe [2010.06.07 16:16:56 | 003,887,480 | ---- | M] (Sysinternals - www.sysinternals.com) -- C:\Programme\procexp.exe [2010.08.21 00:55:18 | 000,427,008 | ---- | M] (Anny Studio) -- C:\Programme\jcpicker.exe [2010.12.12 20:06:16 | 001,604,472 | ---- | M] (Netviewer AG) -- C:\Programme\Netviewer_Meet_free.exe Invalid Environment Variable: LOCALAPPDATA < %systemroot%\*. /mp /s > < %systemroot%\system32\*.manifest /3 > [5 C:\WINDOWS\system32\*.tmp files -> C:\WINDOWS\system32\*.tmp -> ] < MD5 for: AFD.SYS > [2011.08.17 14:49:54 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=1E44BC1E83D8FD2305F8D452DB109CF9 -- C:\WINDOWS\SoftwareDistribution\Download\43f8920a763d09a9c6404053368aa5ee\SP3GDR\afd.sys [2011.08.17 14:49:54 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=1E44BC1E83D8FD2305F8D452DB109CF9 -- C:\WINDOWS\system32\dllcache\afd.sys [2011.08.17 14:49:54 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=1E44BC1E83D8FD2305F8D452DB109CF9 -- C:\WINDOWS\system32\drivers\afd.sys [2008.04.13 21:19:24 | 000,138,112 | ---- | M] (Microsoft Corporation) MD5=322D0E36693D6E24A2398BEE62A268CD -- C:\WINDOWS\$NtUninstallKB951748$\afd.sys [2008.04.13 21:19:24 | 000,138,112 | ---- | M] (Microsoft Corporation) MD5=322D0E36693D6E24A2398BEE62A268CD -- C:\WINDOWS\ServicePackFiles\i386\afd.sys [2011.02.16 15:22:48 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=355556D9E580915118CD7EF736653A89 -- C:\WINDOWS\$NtUninstallKB2592799$\afd.sys [2008.10.16 17:07:58 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=38D7B715504DA4741DF35E3594FE2099 -- C:\WINDOWS\$hf_mig$\KB2509553\SP3QFE\afd.sys [2008.08.14 11:34:26 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=4D43E74F2A1239D53929B82600F1971C -- C:\WINDOWS\$hf_mig$\KB956803\SP3QFE\afd.sys [2008.08.14 10:51:44 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=55E6E1C51B6D30E54335750955453702 -- C:\WINDOWS\$NtServicePackUninstall$\afd.sys [2004.08.04 05:00:00 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=5AC495F4CB807B2B98AD2AD591E6D92E -- C:\WINDOWS\$NtUninstallKB951748_0$\afd.sys [2008.08.14 10:48:52 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=6A0397376853E604DE8E1E7A87FC08AC -- C:\WINDOWS\$hf_mig$\KB956803\SP2QFE\afd.sys [2008.10.16 16:43:02 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7618D5218F2A614672EC61A80D854A37 -- C:\WINDOWS\$NtUninstallKB2503665$\afd.sys [2008.08.14 11:04:36 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7E775010EF291DA96AD17CA4B17137D7 -- C:\WINDOWS\$hf_mig$\KB956803\SP3GDR\afd.sys [2008.08.14 11:04:36 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7E775010EF291DA96AD17CA4B17137D7 -- C:\WINDOWS\$NtUninstallKB2509553$\afd.sys [2011.02.16 15:25:06 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=8D499B1276012EB907E7A9E0F4D8FDA4 -- C:\WINDOWS\$hf_mig$\KB2503665\SP3QFE\afd.sys [2008.06.20 12:44:38 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=944CA435BFCFC82CC1ED9E3A7D731AA9 -- C:\WINDOWS\$NtUninstallKB956803_0$\afd.sys [2008.06.20 13:48:04 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=D6EE6014241D034E63C49A50CB2B442A -- C:\WINDOWS\$hf_mig$\KB951748\SP3QFE\afd.sys [2008.06.20 12:44:08 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=D99DDFFB33DEACDCF20717CB520379F6 -- C:\WINDOWS\$hf_mig$\KB951748\SP2QFE\afd.sys [2008.06.20 13:40:08 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=E3049B90FE06F3F740B7CFDA44995E2C -- C:\WINDOWS\$hf_mig$\KB951748\SP3GDR\afd.sys [2008.06.20 13:40:08 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=E3049B90FE06F3F740B7CFDA44995E2C -- C:\WINDOWS\$NtUninstallKB956803$\afd.sys [2011.08.17 14:41:46 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=F6B7B1ECD7B41736BDB6FF4B092BCB79 -- C:\WINDOWS\$hf_mig$\KB2592799\SP3QFE\afd.sys [2011.08.17 14:41:46 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=F6B7B1ECD7B41736BDB6FF4B092BCB79 -- C:\WINDOWS\SoftwareDistribution\Download\43f8920a763d09a9c6404053368aa5ee\SP3QFE\afd.sys < MD5 for: EXPLORER.EXE > [2004.08.04 05:00:00 | 001,035,264 | ---- | M] (Microsoft Corporation) MD5=22FE1BE02EADDE1632E478E4125639E0 -- C:\WINDOWS\$NtUninstallKB938828$\explorer.exe [2007.06.13 15:10:08 | 001,036,288 | ---- | M] (Microsoft Corporation) MD5=331ED93570BAF3CFE30340298762CD56 -- C:\WINDOWS\$hf_mig$\KB938828\SP2QFE\explorer.exe [2008.04.14 04:22:46 | 001,036,800 | ---- | M] (Microsoft Corporation) MD5=418045A93CD87A352098AB7DABE1B53E -- C:\WINDOWS\explorer.exe [2008.04.14 04:22:46 | 001,036,800 | ---- | M] (Microsoft Corporation) MD5=418045A93CD87A352098AB7DABE1B53E -- C:\WINDOWS\ServicePackFiles\i386\explorer.exe [2007.06.13 15:21:46 | 001,036,288 | ---- | M] (Microsoft Corporation) MD5=64D320C0E301EEDC5A4ADBBDC5024F7F -- C:\WINDOWS\$NtServicePackUninstall$\explorer.exe < MD5 for: IPSEC.SYS > [2008.04.13 21:19:42 | 000,075,264 | ---- | M] (Microsoft Corporation) MD5=23C74D75E36E7158768DD63D92789A91 -- C:\WINDOWS\ServicePackFiles\i386\ipsec.sys [2008.04.13 21:19:42 | 000,075,264 | ---- | M] (Microsoft Corporation) MD5=23C74D75E36E7158768DD63D92789A91 -- C:\WINDOWS\system32\drivers\ipsec.sys [2004.08.04 05:00:00 | 000,074,752 | ---- | M] (Microsoft Corporation) MD5=64537AA5C003A6AFEEE1DF819062D0D1 -- C:\WINDOWS\$NtServicePackUninstall$\ipsec.sys < MD5 for: REGEDIT.EXE > [2004.08.04 05:00:00 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=8193CE5FB09E83F2699FD65BBCBE2FD2 -- C:\WINDOWS\$NtServicePackUninstall$\regedit.exe [2008.04.14 04:22:58 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\regedit.exe [2008.04.14 04:22:58 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\ServicePackFiles\i386\regedit.exe < MD5 for: USERINIT.EXE > [2008.04.14 04:23:04 | 000,026,624 | ---- | M] (Microsoft Corporation) MD5=788F95312E26389D596C0FA55834E106 -- C:\WINDOWS\ServicePackFiles\i386\userinit.exe [2008.04.14 04:23:04 | 000,026,624 | ---- | M] (Microsoft Corporation) MD5=788F95312E26389D596C0FA55834E106 -- C:\WINDOWS\system32\userinit.exe [2004.08.04 05:00:00 | 000,025,088 | ---- | M] (Microsoft Corporation) MD5=D1E53DC57143F2584B1DD53B036C0633 -- C:\WINDOWS\$NtServicePackUninstall$\userinit.exe < MD5 for: WINLOGON.EXE > [2004.08.04 05:00:00 | 000,507,392 | ---- | M] (Microsoft Corporation) MD5=2B6A0BAF33A9918F09442D873848FF72 -- C:\WINDOWS\$NtServicePackUninstall$\winlogon.exe [2008.04.14 04:23:06 | 000,513,024 | ---- | M] (Microsoft Corporation) MD5=F09A527B422E25C478E38CAA0E44417A -- C:\WINDOWS\ServicePackFiles\i386\winlogon.exe [2008.04.14 04:23:06 | 000,513,024 | ---- | M] (Microsoft Corporation) MD5=F09A527B422E25C478E38CAA0E44417A -- C:\WINDOWS\system32\winlogon.exe < HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems|Windows /rs > HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Kmode: %SystemRoot%\system32\win32k.sys [2011.11.23 15:40:14 | 001,859,712 | ---- | M] (Microsoft Corporation) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Required: DebugWindows [binary data] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Windows: %SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16 < HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU > < HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs > < > < End of report > [/QUOTE] Geändert von karstenw (18.01.2012 um 22:36 Uhr) |
19.01.2012, 12:17 | #2 |
/// Malware-holic | Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher hi
__________________dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user. wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts. • Starte bitte die OTL.exe • Kopiere nun das Folgende in die Textbox. Code:
ATTFilter :OTL O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\appconf32.exe) -C:\WINDOWS\system32\appconf32.exe () :Files :Commands [purity] [EMPTYFLASH] [emptytemp] [Reboot] • Schliesse bitte nun alle Programme. • Klicke nun bitte auf den Fix Button. • OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen. • Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren. starte in den normalen modus. falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden Drücke bitte die + E Taste.
__________________ |
19.01.2012, 22:18 | #3 | |
| Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher Hi Markus,
__________________dein Skript scheint das Wunder bewirkt zu haben... ESET (ich hab nur den Arbeitsspeicher gescannt) meldet keinen Threat mehr!! Ich hab das Archiv Movedfiles.zip erfolgreich hochgeladen. Hier das Logfile Zitat:
Karsten |
20.01.2012, 07:55 | #4 | |
| Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher Hallo nochmal, so ganz sauber ist das Laptop noch nicht. Ich hab nochmal ESET über Laufwerk C geschickt und es hat drei Bedrohungen gefunden, s.u. Ist es eigentlich angezeigt, in ESET die Option "delete quarantined files" anzuwenden? Viele Grüße, Karsten Zitat:
|
20.01.2012, 12:28 | #5 |
/// Malware-holic | Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher hi, nutzt du das gerät für onlinebanking einkäufe sonstige zahlungsabwicklungen oder ähnlich wichtiges, wie zb berufliches?
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
20.01.2012, 12:42 | #6 |
| Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher Hi, hmm, - ich habe Dropbox installiert, worauf ich auch von der Arbeit aus zugreife (keine sensiblen Daten) - ich frage schonmal meine Kontoumsätze bei der Sparkasse und DAB ab, mache aber keine Überweisungen und im letzten Jahr auch keine Börsentransaktionen - ich benutze Outlook Web Access um berufliche Emails zu lesen - ich habe bei Google Chrome "Synchronisieren" eingestellt, so dass die Bookmarks, Apps, etc. auch auf Arbeit verfügbar sind. - ich hab in den letzten Jahr vielleicht zweimal online eingekauft, ja mit diesem Gerät. |
20.01.2012, 12:58 | #7 |
/// Malware-holic | Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher hi, dann würde ichs neu aufsetzen. du hast nen trojan banker mit keylogging funktion. also müssen auch sämmtliche passwörter geendert werden. 1. Datenrettung:
4. alle Passwörter ändern! 5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen. 6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
20.01.2012, 17:45 | #8 |
| Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher Ok, das sieht nach einer Menge Arbeit aus. Dieses Wochenende schaffe ich das nicht. So mein Plan ist, erstmal nichts Sensibles mit dem Rechner zu machen (außer Dropbox) und nächstes Wochenende einen halben Tag dafür Zeit nehmen. Vielen Dank für die Warnung und die professionelle Hilfe! Karsten. |
20.01.2012, 17:48 | #9 |
/// Malware-holic | Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher ok, gib bescheid wenn du so weit bist. übrigens ist dropbox auch nicht sonderlich vertrauenswürdig, die hatten schon einige gravierende sicherheitslücken. wenn du da dokumente etc hochlädst würde ich mit verschlüsselung pgp, zb arbeiten.
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
Themen zu Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher |
0x00000001, adblock, adobe, bho, browser, device driver, einstellungen, error, explorer, fehler, firefox, format, gmer.log, google, google chrome, helper, homepage, infizierte, infizierte dateien, launch, logfile, nicht starten, plug-in, realtek, registry, required, rundll, scan, security update, software, starten, studio, system, temp, trojaner, usb, win32/spy.banker.wbu, win32k.sys, winlogon.exe |