| |
| |||||||
Log-Analyse und Auswertung: Brief von Telekom / "Sicherheitswarnung zu Ihrem Internetzugang" / "TR/Crypt.ULPM.Gen"Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
| |
16.10.2012, 15:00
| #1 |
 |  Brief von Telekom / "Sicherheitswarnung zu Ihrem Internetzugang" / "TR/Crypt.ULPM.Gen" Combofix hab ich ausgeführt, bis dahin liefs auch noch in Ordnung. Beim automatischen Neustart hat sich der Laptop aber aufgehangen (schwarzer Bildschirm nach Windows Screen für ca 10 Minuten)... Nach dem manuellen ausschalten und wieder hochfahren hat mir Combofix dann kein Log ausgespuckt... Das Combofix Fenster ist noch offen und es hängt schon 10 Minuten bei "Starte keine anderen Programme, bevor ComboFix fertig ist" *********************** Sorry für den Doppelpost - Ich war zu ungeduldig ! Nach absenden dieses Postings gings plötzlich weiter.... Und hab jetzt auch ein Log: Sorry  Code:
ATTFilter ComboFix 12-10-16.02 - Sigrid 16.10.2012 15:27:32.2.1 - x86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.49.1031.18.511.292 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Sigrid\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Outdated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Service_xcpip
-------\Service_xpsec
.
.
((((((((((((((((((((((( Dateien erstellt von 2012-09-16 bis 2012-10-16 ))))))))))))))))))))))))))))))
.
.
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-08-30 20:28 . 2006-02-28 12:00 672768 ----a-w- c:\windows\system32\wininet.dll
2012-08-30 20:28 . 2006-02-28 12:00 61952 ----a-w- c:\windows\system32\tdc.ocx
2012-08-30 20:28 . 2006-02-28 12:00 81920 ----a-w- c:\windows\system32\ieencode.dll
2012-08-30 20:26 . 2006-02-28 12:00 371200 ----a-w- c:\windows\system32\html.iec
2012-04-06 14:13 . 2012-03-24 20:44 97208 ----a-w- c:\programme\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMAXPnP"="c:\programme\Analog Devices\SoundMAX\SMax4PNP.exe" [2004-10-14 1388544]
"ATIPTA"="c:\programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2007-02-06 344064]
"SynTPLpr"="c:\programme\Synaptics\SynTP\SynTPLpr.exe" [2003-06-24 126976]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2003-06-24 561152]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-05-14 248552]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-11-30 281768]
"TVT Scheduler Proxy"="c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" [2008-03-04 487424]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2012-01-02 843712]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2012-03-27 37296]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\dokumente und einstellungen\Sigrid\Startmenü\Programme\Autostart\
OpenOffice.org 3.1.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2009-4-16 384000]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" -atboottime
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:Remote Desktop
"65533:TCP"= 65533:TCP:Services
"52344:TCP"= 52344:TCP:Services
.
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [12.12.2010 14:12 136360]
S3 Lavasoft Kernexplorer;Lavasoft helper driver;\??\c:\programme\Lavasoft\Ad-Aware\KernExplorer.sys --> c:\programme\Lavasoft\Ad-Aware\KernExplorer.sys [?]
S3 PCX504;Cisco Systems Wireless LAN Adapter Driver;c:\windows\system32\drivers\PCX504.sys [04.05.2004 12:35 119296]
.
--- Andere Dienste/Treiber im Speicher ---
.
*Deregistered* - xcpip
*Deregistered* - xpsec
.
Inhalt des "geplante Tasks" Ordners
.
2012-02-19 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2011-06-01 15:57]
.
.
------- Zusätzlicher Suchlauf -------
.
FF - ProfilePath - c:\dokumente und einstellungen\Sigrid\Anwendungsdaten\Mozilla\Firefox\Profiles\arxt7v7m.default\
FF - prefs.js: network.proxy.type - 2
FF - ExtSQL: !HIDDEN! 2009-09-03 09:46; {20a82645-c095-46ed-80e3-08825760534b}; c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF - user.js: network.http.max-connections-per-server - 6
FF - user.js: network.http.max-persistent-connections-per-server - 3
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2012-10-16 15:50
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(884)
c:\windows\system32\Ati2evxx.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\windows\system32\Ati2evxx.exe
c:\windows\system32\Ati2evxx.exe
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Analog Devices\SoundMAX\SMAgent.exe
c:\programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
c:\programme\Lenovo\System Update\SUService.exe
c:\programme\Avira\AntiVir Desktop\avshadow.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\programme\OpenOffice.org 3\program\soffice.exe
c:\programme\OpenOffice.org 3\program\soffice.bin
.
**************************************************************************
.
Zeit der Fertigstellung: 2012-10-16 16:03:41 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2012-10-16 14:03
ComboFix2.txt 2012-10-07 17:05
.
Vor Suchlauf: 6 Verzeichnis(se), 31.655.927.808 Bytes frei
Nach Suchlauf: 7 Verzeichnis(se), 31.649.587.200 Bytes frei
.
- - End Of File - - 2F5B02D362B1AEBA0A5F88F07BCFB499
|
|
17.10.2012, 17:39
| #2 |
| | Brief von Telekom / "Sicherheitswarnung zu Ihrem Internetzugang" / "TR/Crypt.ULPM.Gen" hier ist das log!
__________________Code:
ATTFilter aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-10-17 19:30:09
-----------------------------
19:30:09.644 OS Version: Windows 5.1.2600 Service Pack 3
19:30:09.644 Number of processors: 1 586 0x905
19:30:09.644 ComputerName: OGV UserName:
19:30:10.626 Initialize success
18:14:59.638 AVAST engine defs: 12101700
18:16:42.406 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3
18:16:42.406 Disk 0 Vendor: FUJITSU_MHT2040AT 0022 Size: 38154MB BusType: 3
18:16:42.406 Device owAZEVAoRGRCZ -> DriverStartIo RGRCZ @J@ f8486864
18:16:42.606 Disk 0 MBR read successfully
18:16:42.606 Disk 0 MBR scan
18:16:43.357 Disk 0 Win32:MBRoot-J [Trj]
18:16:43.357 Disk 0 Windows XP default MBR code found via API
18:16:43.397 Disk 0 MBR hidden
18:16:43.467 Disk 0 Partition 1 80 (A) 07 HPFS/NTFS NTFS 38153 MB offset 63
18:16:43.467 Disk 0 MBR [Win32:MBRoot] **ROOTKIT**
18:16:43.467 Disk 0 trace - called modules:
18:16:43.467 ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x82372000]<<
18:16:43.467 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x8236eab8]
18:16:43.477 3 CLASSPNP.SYS[f8575fd7] -> nt!IofCallDriver -> \Device\00000076[0x8235f9e8]
18:16:43.477 5 ACPI.sys[f84eb620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-3[0x82313940]
18:16:49.236 AVAST engine scan C:\WINDOWS
18:17:06.200 AVAST engine scan C:\WINDOWS\system32
18:26:45.703 AVAST engine scan C:\WINDOWS\system32\drivers
18:27:24.639 AVAST engine scan C:\Dokumente und Einstellungen\Sigrid
18:33:18.068 AVAST engine scan C:\Dokumente und Einstellungen\All Users
18:33:32.428 Scan finished successfully
18:35:50.427 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Sigrid\Desktop\MBR.dat"
18:35:50.497 The log file has been saved successfully to "C:\Dokumente und Einstellungen\Sigrid\Desktop\aswMBR.txt"
|
|
| Themen zu Brief von Telekom / "Sicherheitswarnung zu Ihrem Internetzugang" / "TR/Crypt.ULPM.Gen" |
| ad-aware, antivir guard, avira, bho, booten, brief, browser, converter, desktop, flash player, google, kis, langsam, logfile, mozilla, mp3, object, prozess, realtek, registry, sehr langsam, senden, software, system, usb, windows, windows xp |
Hybrid-Darstellung
