Win32.downloader.gen unmöglich mit spybot zu entfernen

Lord of the · 13.06.2013, 18:20

Hallo Trojaner-Jäger,

ich bin auf dieses Forum gestoßen, weil Spybot mir die malware win32downloader.gen angezeigt hat. Ich weiß das es bereits einen Thread gab, erstellt ca. 3 Tage zuvor, durch diesen bin ich erst auf euer Forum gestoßen. Das Problem ist das gleiche, spybot detektiert den Trojaner, beim Klick auf "Probleme beheben" kam die Meldung "Unexpected error in fixing problems (cannot create file C:\Windows\wininit.ini Zugriff verweigert). Da Ihr dem User golfbravo erfolgreich geholfen habe, hoffe ich mal das ihr das auch bei mir könnt.

Viele Grüße

Lord of the Ski

Edith sagt: unten findet ihr die Dateien aus OTL und Gmer

markusg · 13.06.2013, 18:22

hi, bitte das Spybot scanergebniss posten.

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die
OTL.exe
.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die
Textbox.

Code:

ATTFilter

activex
netsvcs
msconfig
%SYSTEMDRIVE%\*.
%PROGRAMFILES%\*.exe
%LOCALAPPDATA%\*.exe
%systemroot%\*. /mp /s
C:\Windows\system32\*.tsp
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\*.dll /lockedfiles
%USERPROFILE%\*.*
%USERPROFILE%\Local Settings\Temp\*.exe
%USERPROFILE%\Local Settings\Temp\*.dll
%USERPROFILE%\Application Data\*.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems|Windows /rs
CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Kopiere
nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

Lord of the · 13.06.2013, 18:44

Man verzeihe mir die Frage aber ist es in eurem Forum auch so üblich die Dateien an den Ausgangspost anzuhängen oder nicht? Denn wie erwünscht hängen die Dateien dran.

markusg · 13.06.2013, 19:26

Hi,
is ok, jetzt aber immer an den Nächsten

otl fix

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

ATTFilter

:OTL
O4 - HKCU..\Run: [IExplorer Util] C:\Users\Chris\AppData\Roaming\ie_util.exe (Acronis)
O4 - HKCU..\Run: [Aflio] C:\Users\Chris\AppData\Roaming\Likayq\kaxe.exe (Sysinternals - www.sysinternals.com)
[2013.06.06 14:13:01 | 000,000,000 | ---D | C] -- C:\Users\Chris\AppData\Roaming\Likayq
[2013.06.06 14:13:01 | 000,000,000 | ---D | C] -- C:\Users\Chris\AppData\Roaming\Beetho
:files
:Commands
[emptytemp]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang
in den Thread posten!

Drücke bitte die

+ E Taste.

Öffne dein Systemlaufwerk ( meistens C: )
Suche nun
folgenden Ordner: _OTL und öffne diesen.
Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner
Dies wird eine Movedfiles.zip Datei in _OTL erstellen
Lade diese bitte in unseren Uploadchannel
hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )

Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus

Lord of the · 13.06.2013, 19:38

Servus,

Upload war erfolgreich. Ich möchte mich bereits im Vorhinein für deine Hilfe bedanken, ich finde es toll das es euer Forum gibt

markusg · 13.06.2013, 19:39

Kein prob, danke fürs hochladen
Downloade dir bitte

TDSSKiller.exe und speichere diese Datei auf dem Desktop

Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
Drücke Start Scan
Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.

Lord of the · 13.06.2013, 19:47

Servus,

erledigt, da ich ja nun schon einmal hier bin, erlaube ich mir ein paar Fragen zu stellen wenn du nix gegen hast.
I. Was macht dieser win32downloader.gen, habe zwar schon etwas drüber gelesen aber das war auch nur wage
II. Ich nutze avira (kostenlos), spybot und den cc-cleaner, gibt es da etwas besseres kostenloses bzw. ist meine Wahl ausreichend?
III. Was hälts du/Ihr vom dem vidalia TOR bündle, bringts das?
IV. Ich habe jetzt mal alle Passwörter geändert, ist dies notwendig und richtig gewesen bei dem Trojaner?

Ich freue mich auf deine/eure Antworten

markusg · 13.06.2013, 19:48

hi,
der spybot fund is nicht weiter schlimm, zusätzlich hast du malware, die banking und sonstige sensible daten klaut, also passwörter ändern. absicherung kommt später, tdss killer log fehlt

Lord of the · 13.06.2013, 20:02

Servus,

den log hab ich durch euren uploadchannel hochgeladen.

markusg · 13.06.2013, 20:03

log bitte hier anhängen

Lord of the · 13.06.2013, 20:11

Servus,

anbei das Log. Ich hoffe das passt so. Ich weiß nämlich nicht wie man das anders hinbekommt ohne das ein morts Text im Thread ist.

markusg · 13.06.2013, 20:27

bitte noch mal nach anleitung ausführen, is leider nicht korekt

Lord of the · 13.06.2013, 20:40

Servus,

so jetzt aber richtig, tut mir Leid wenn ich da was falsch mach bin aweng nervös. So etwas ist mir nämlich noch nie passiert

markusg · 13.06.2013, 21:19

Passt
Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

WICHTIG: Speichere Combofix auf deinem Desktop.

Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!

Wenn Combofix fertig ist, wird es ein Logfile erstellen.

Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

Lord of the · 13.06.2013, 21:52

Servus,

im Folgenden nun das Log in Code Tags.

Code:

ATTFilter

ComboFix 13-06-13.01 - Chris 13.06.2013  22:33:21.1.4 - x64
Microsoft Windows 7 Home Premium   6.1.7601.1.1252.49.1031.18.4078.381 [GMT 2:00]
ausgeführt von:: c:\users\Chris\Desktop\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\Chris\AppData\Roaming\.#
c:\windows\SysWow64\tmp2AE9.tmp
c:\windows\SysWow64\tmp2AEA.tmp
c:\windows\SysWow64\tmp9C6D.tmp
c:\windows\SysWow64\tmpD94E.tmp
c:\windows\SysWow64\tmpD98D.tmp
c:\windows\SysWow64\tmpE5FA.tmp
.
.
(((((((((((((((((((((((   Dateien erstellt von 2013-05-13 bis 2013-06-13  ))))))))))))))))))))))))))))))
.
.
2013-06-13 20:38 . 2013-06-13 20:38	--------	d-----w-	c:\users\UpdatusUser\AppData\Local\temp
2013-06-13 20:38 . 2013-06-13 20:38	--------	d-----w-	c:\users\Default\AppData\Local\temp
2013-06-13 18:33 . 2013-06-13 18:35	--------	d-----w-	C:\_OTL
2013-06-13 17:14 . 2013-06-13 17:14	--------	d-----w-	c:\program files (x86)\7-Zip
2013-06-13 15:36 . 2013-06-13 15:36	--------	d-----w-	c:\program files\Enigma Software Group
2013-06-13 15:33 . 2013-06-13 15:35	--------	d-----w-	c:\windows\BCD5545077AC4347B24F654B1189F8D4.TMP
2013-06-13 15:33 . 2013-06-13 15:33	--------	d-----w-	c:\program files (x86)\Common Files\Wise Installation Wizard
2013-06-13 07:20 . 2013-05-08 06:39	1910632	----a-w-	c:\windows\system32\drivers\tcpip.sys
2013-06-06 12:13 . 2013-06-06 12:13	--------	d-----w-	c:\users\Chris\AppData\Roaming\Tootn
2013-05-15 14:59 . 2013-04-10 03:30	3153920	----a-w-	c:\windows\system32\win32k.sys
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-05-20 07:58 . 2012-10-30 10:30	692104	----a-w-	c:\windows\SysWow64\FlashPlayerApp.exe
2013-05-20 07:58 . 2011-12-01 21:26	71048	----a-w-	c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2013-05-13 14:02 . 2011-03-29 01:36	22240	----a-w-	c:\programdata\Microsoft\IdentityCRL\production\ppcrlconfig600.dll
2013-04-30 15:21 . 2013-04-30 15:21	1054720	----a-w-	c:\windows\system32\MsSpellCheckingFacility.exe
2013-04-30 15:21 . 2013-04-30 15:21	719360	----a-w-	c:\windows\SysWow64\mshtmlmedia.dll
2013-04-30 15:21 . 2013-04-30 15:21	226304	----a-w-	c:\windows\system32\elshyph.dll
2013-04-30 15:21 . 2013-04-30 15:21	185344	----a-w-	c:\windows\SysWow64\elshyph.dll
2013-04-30 15:21 . 2013-04-30 15:21	158720	----a-w-	c:\windows\SysWow64\msls31.dll
2013-04-30 15:21 . 2013-04-30 15:21	150528	----a-w-	c:\windows\SysWow64\iexpress.exe
2013-04-30 15:21 . 2013-04-30 15:21	138752	----a-w-	c:\windows\SysWow64\wextract.exe
2013-04-30 15:21 . 2013-04-30 15:21	73728	----a-w-	c:\windows\SysWow64\SetIEInstalledDate.exe
2013-04-30 15:21 . 2013-04-30 15:21	61952	----a-w-	c:\windows\SysWow64\tdc.ocx
2013-04-30 15:21 . 2013-04-30 15:21	523264	----a-w-	c:\windows\SysWow64\vbscript.dll
2013-04-30 15:21 . 2013-04-30 15:21	48640	----a-w-	c:\windows\SysWow64\mshtmler.dll
2013-04-30 15:21 . 2013-04-30 15:21	38400	----a-w-	c:\windows\SysWow64\imgutil.dll
2013-04-30 15:21 . 2013-04-30 15:21	361984	----a-w-	c:\windows\SysWow64\html.iec
2013-04-30 15:21 . 2013-04-30 15:21	137216	----a-w-	c:\windows\SysWow64\ieUnatt.exe
2013-04-30 15:21 . 2013-04-30 15:21	12800	----a-w-	c:\windows\SysWow64\mshta.exe
2013-04-30 15:21 . 2013-04-30 15:21	110592	----a-w-	c:\windows\SysWow64\IEAdvpack.dll
2013-04-30 15:21 . 2013-04-30 15:21	23040	----a-w-	c:\windows\SysWow64\licmgr10.dll
2013-04-30 15:21 . 2013-04-30 15:21	1441280	----a-w-	c:\windows\SysWow64\inetcpl.cpl
2013-04-30 15:21 . 2013-04-30 15:21	81408	----a-w-	c:\windows\system32\icardie.dll
2013-04-30 15:21 . 2013-04-30 15:21	762368	----a-w-	c:\windows\system32\ieapfltr.dll
2013-04-30 15:21 . 2013-04-30 15:21	452096	----a-w-	c:\windows\system32\dxtmsft.dll
2013-04-30 15:21 . 2013-04-30 15:21	441856	----a-w-	c:\windows\system32\html.iec
2013-04-30 15:21 . 2013-04-30 15:21	281600	----a-w-	c:\windows\system32\dxtrans.dll
2013-04-30 15:21 . 2013-04-30 15:21	216064	----a-w-	c:\windows\system32\msls31.dll
2013-04-30 15:21 . 2013-04-30 15:21	197120	----a-w-	c:\windows\system32\msrating.dll
2013-04-30 15:21 . 2013-04-30 15:21	1400416	----a-w-	c:\windows\system32\ieapfltr.dat
2013-04-30 15:21 . 2013-04-30 15:21	97280	----a-w-	c:\windows\system32\mshtmled.dll
2013-04-30 15:21 . 2013-04-30 15:21	905728	----a-w-	c:\windows\system32\mshtmlmedia.dll
2013-04-30 15:21 . 2013-04-30 15:21	27648	----a-w-	c:\windows\system32\licmgr10.dll
2013-04-30 15:21 . 2013-04-30 15:21	270848	----a-w-	c:\windows\system32\iedkcs32.dll
2013-04-30 15:21 . 2013-04-30 15:21	247296	----a-w-	c:\windows\system32\webcheck.dll
2013-04-30 15:21 . 2013-04-30 15:21	235008	----a-w-	c:\windows\system32\url.dll
2013-04-30 15:21 . 2013-04-30 15:21	167424	----a-w-	c:\windows\system32\iexpress.exe
2013-04-30 15:21 . 2013-04-30 15:21	1509376	----a-w-	c:\windows\system32\inetcpl.cpl
2013-04-30 15:21 . 2013-04-30 15:21	144896	----a-w-	c:\windows\system32\wextract.exe
2013-04-30 15:21 . 2013-04-30 15:21	102912	----a-w-	c:\windows\system32\inseng.dll
2013-04-30 15:21 . 2013-04-30 15:21	599552	----a-w-	c:\windows\system32\vbscript.dll
2013-04-30 15:21 . 2013-04-30 15:21	173568	----a-w-	c:\windows\system32\ieUnatt.exe
2013-04-30 15:21 . 2013-04-30 15:21	92160	----a-w-	c:\windows\system32\SetIEInstalledDate.exe
2013-04-30 15:21 . 2013-04-30 15:21	77312	----a-w-	c:\windows\system32\tdc.ocx
2013-04-30 15:21 . 2013-04-30 15:21	62976	----a-w-	c:\windows\system32\pngfilt.dll
2013-04-30 15:21 . 2013-04-30 15:21	52224	----a-w-	c:\windows\system32\msfeedsbs.dll
2013-04-30 15:21 . 2013-04-30 15:21	51200	----a-w-	c:\windows\system32\imgutil.dll
2013-04-30 15:21 . 2013-04-30 15:21	48640	----a-w-	c:\windows\system32\mshtmler.dll
2013-04-30 15:21 . 2013-04-30 15:21	149504	----a-w-	c:\windows\system32\occache.dll
2013-04-30 15:21 . 2013-04-30 15:21	13824	----a-w-	c:\windows\system32\mshta.exe
2013-04-30 15:21 . 2013-04-30 15:21	136192	----a-w-	c:\windows\system32\iepeers.dll
2013-04-30 15:21 . 2013-04-30 15:21	135680	----a-w-	c:\windows\system32\IEAdvpack.dll
2013-04-30 15:21 . 2013-04-30 15:21	12800	----a-w-	c:\windows\system32\msfeedssync.exe
2013-04-13 05:49 . 2013-05-15 15:00	135168	----a-w-	c:\windows\apppatch\AppPatch64\AcXtrnal.dll
2013-04-13 05:49 . 2013-05-15 15:00	350208	----a-w-	c:\windows\apppatch\AppPatch64\AcLayers.dll
2013-04-13 05:49 . 2013-05-15 15:00	308736	----a-w-	c:\windows\apppatch\AppPatch64\AcGenral.dll
2013-04-13 05:49 . 2013-05-15 15:00	111104	----a-w-	c:\windows\apppatch\AppPatch64\acspecfc.dll
2013-04-13 04:45 . 2013-05-15 15:00	474624	----a-w-	c:\windows\apppatch\AcSpecfc.dll
2013-04-13 04:45 . 2013-05-15 15:00	2176512	----a-w-	c:\windows\apppatch\AcGenral.dll
2013-04-12 14:45 . 2013-04-24 15:23	1656680	----a-w-	c:\windows\system32\drivers\ntfs.sys
2013-03-19 06:04 . 2013-04-11 12:56	5550424	----a-w-	c:\windows\system32\ntoskrnl.exe
2013-03-19 05:46 . 2013-04-11 12:56	43520	----a-w-	c:\windows\system32\csrsrv.dll
2013-03-19 05:04 . 2013-04-11 12:56	3968856	----a-w-	c:\windows\SysWow64\ntkrnlpa.exe
2013-03-19 05:04 . 2013-04-11 12:56	3913560	----a-w-	c:\windows\SysWow64\ntoskrnl.exe
2013-03-19 04:47 . 2013-04-11 12:56	6656	----a-w-	c:\windows\SysWow64\apisetschema.dll
2013-03-19 03:06 . 2013-04-11 12:56	112640	----a-w-	c:\windows\system32\smss.exe
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ccleaner"="c:\program files (x86)\CCleaner\CCleaner.exe" [2010-05-25 1694520]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"IAStorIcon"="c:\program files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" [2011-05-20 284440]
"BCSSync"="c:\program files (x86)\Microsoft Office\Office14\BCSSync.exe" [2010-03-13 91520]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2012-08-09 348664]
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2013-04-04 958576]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux1"=wdmaud.drv
.
R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [x]
R2 SkypeUpdate;Skype Updater;c:\program files (x86)\Skype\Updater\Updater.exe;c:\program files (x86)\Skype\Updater\Updater.exe [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys;c:\windows\SYSNATIVE\drivers\tsusbflt.sys [x]
R3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys;c:\windows\SYSNATIVE\drivers\TsUsbGD.sys [x]
R3 WatAdminSvc;Windows-Aktivierungstechnologieservice;c:\windows\system32\Wat\WatAdminSvc.exe;c:\windows\SYSNATIVE\Wat\WatAdminSvc.exe [x]
R3 wsvd;wsvd;c:\windows\system32\DRIVERS\wsvd.sys;c:\windows\SYSNATIVE\DRIVERS\wsvd.sys [x]
R4 wlcrasvc;Windows Live Mesh remote connections service;c:\program files\Windows Live\Mesh\wlcrasvc.exe;c:\program files\Windows Live\Mesh\wlcrasvc.exe [x]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys;c:\windows\SYSNATIVE\DRIVERS\avkmgr.sys [x]
S2 AntiVirSchedulerService;Avira Planer;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [x]
S2 IAStorDataMgrSvc;Intel(R) Rapid Storage Technology;c:\program files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe;c:\program files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe [x]
S2 MemeoBackgroundService;MemeoBackgroundService;c:\program files (x86)\Memeo\AutoBackup\MemeoBackgroundService.exe;c:\program files (x86)\Memeo\AutoBackup\MemeoBackgroundService.exe [x]
S2 SBSDWSCService;SBSD Security Center Service;c:\program files (x86)\Spybot - Search & Destroy\SDWinSec.exe;c:\program files (x86)\Spybot - Search & Destroy\SDWinSec.exe [x]
S2 UNS;Intel(R) Management and Security Application User Notification Service;c:\program files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe;c:\program files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [x]
S2 watchmi;watchmi service;c:\program files (x86)\watchmi\TvdService.exe;c:\program files (x86)\watchmi\TvdService.exe [x]
S3 asmthub3;ASMedia USB3 Hub Service;c:\windows\system32\drivers\asmthub3.sys;c:\windows\SYSNATIVE\drivers\asmthub3.sys [x]
S3 asmtxhci;ASMEDIA XHCI Service;c:\windows\system32\drivers\asmtxhci.sys;c:\windows\SYSNATIVE\drivers\asmtxhci.sys [x]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt64win7.sys;c:\windows\SYSNATIVE\DRIVERS\Rt64win7.sys [x]
S3 RTL8192su;Realtek RTL8192SU Wireless LAN 802.11n USB 2.0 Network Adapter;c:\windows\system32\DRIVERS\RTL8192su.sys;c:\windows\SYSNATIVE\DRIVERS\RTL8192su.sys [x]
.
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\svchost]
hpdevmgmt	REG_MULTI_SZ   	hpqcxs08 hpqddsvc
.
.
--------- X64 Entries -----------
.
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDVCPL"="c:\program files\Realtek\Audio\HDA\RAVCpl64.exe" [2011-08-16 12673128]
.
------- Zusätzlicher Suchlauf -------
.
uLocal Page = c:\windows\system32\blank.htm
mLocal Page = c:\windows\SysWOW64\blank.htm
uInternet Settings,ProxyOverride = *.local
IE: {{0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - hxxp://rover.ebay.com/rover/1/707-37276-17534-31/4
TCP: DhcpNameServer = 192.168.2.1
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKLM_Wow6432Node-ActiveSetup-{2D46B6DC-2207-486B-B523-A557E6D54B47} - start
WebBrowser-{3BBD3C14-4C16-4989-8366-95BC9179779D} - (no file)
WebBrowser-{9427041A-A8DC-4D06-9A68-93873486E957} - (no file)
AddRemove-Adobe Shockwave Player - c:\windows\system32\Adobe\Shockwave 11\uninstaller.exe
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.htm\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="ChromeHTML"
.
[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.html\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="ChromeHTML"
.
[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.shtml\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="ChromeHTML"
.
[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xht\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="ChromeHTML"
.
[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xhtml\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="ChromeHTML"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_11_7_700_202_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_11_7_700_202_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="IFlashBroker5"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_11_7_700_202_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_11_7_700_202_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_7_700_202.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.11"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_7_700_202.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_7_700_202.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_7_700_202.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="IFlashBroker5"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Office\Common\Smart Tag\Actions\{B7EFF951-E52F-45CC-9EF7-57124F2177CC}]
@Denied: (A) (Everyone)
"Solution"="{15727DE6-F92D-4E46-ACB4-0E2C58B31A18}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Schema Library\ActionsPane3]
@Denied: (A) (Everyone)
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Schema Library\ActionsPane3\0]
"Key"="ActionsPane3"
"Location"="c:\\Program Files (x86)\\Common Files\\Microsoft Shared\\VSTO\\ActionsPane3.xsd"
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2013-06-13  22:40:43
ComboFix-quarantined-files.txt  2013-06-13 20:40
.
Vor Suchlauf: 8 Verzeichnis(se), 738.730.700.800 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 738.610.614.272 Bytes frei
.
- - End Of File - - A5D8CF6919736D6CF63F665E152E905D
D41D8CD98F00B204E9800998ECF8427E

13.06.2013, 20:03	#10
markusg /// Malware-holic	Win32.downloader.gen unmöglich mit spybot zu entfernen log bitte hier anhängen __________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet

Win32.downloader.gen unmöglich mit spybot zu entfernen

Log-Analyse und Auswertung: Win32.downloader.gen unmöglich mit spybot zu entfernen