WinAntiVirusPro2006 PopUp & Co - Selbst nach Formatieren noch da?!

donstevano · 31.08.2007, 12:51

Hallo,

Also langsam bin ich echt am Verzweifeln... Ich hatte noch nie einen ernst zu nehmenden Virus, bin eigentlich auch abgesichert hinter Router, Firewall und Antivir, und auch sicher nicht so blöde irgendwelche angeblichen AntiVirus-Tool oder ähnliches zu installieren. Vor einer Woche aber gings dann auf einmal los mit PopUps, die mir sagten, dass mein System die Daten irgendwelcher Pornoseiten die ich angeblich besucht hätte speichern würde, dass ich dieses WinAntivirus oder DriveCleaner installieren solle (was ich naürlich nie gemacht habe) - oder eben auch so sachen wie "Falls ihr PC langsamer wurde, könnte das an Trojanern liegen. Laden Sie blabla herunter", etc, pp... Naja, nachdem Scans und Fundlöschen mit Antivir, Spybot und Konsorten keine Erfolge brachten (die Dinger kamen immer wider), habe ich dann eben doch formatiert. Allerdings musste ich viele Daten des alten Systems auf einer anderen Festplatte zwischen speichern (meine Musik, Bilder, Saves, etc). Dachte eigentlich nicht dass sich die Teile direkt in Ordnern wie Eigene Musik oder so festsetzen.

Jetzt habe ich gerade mein System neu aufgesetzt, alle Updates von MS installiert, und die alten Ordner wieder rüber gezogen, da kommt plötzlich wieder dieses WinAntiVirusPro2006 PopUp Ding und Spybot findet auch wieder Spyware-Einträge. Obwohl ich noch nicht ein Programm installiert hatte..

Was mach ich denn jetzt? Hat sich diese Spyware wirklich irgendwie in meinen Ordnern mit den Urlaubsfotos, oder Musik oder was weis ich festgesetzt? Wie kann ich das Zeugs löschen ohne meine ganzen Daten zu verlieren?

Hier ein Log, in dem ich aber eigentlich nix finden konnte...:

Code:

ATTFilter

Logfile of HijackThis v1.99.1
Scan saved at 13:37:12, on 31.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
C:\WINDOWS\RTHDCPL.EXE
D:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wscntfy.exe
D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
D:\Programme\Adobe\Reader 8.0\Reader\AcroRd32.exe
D:\Programme\Internet Explorer\iexplore.exe
D:\Dokumente und Einstellungen\Stefan\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\JM\JMInsIDE.exe
O4 - HKLM\..\Run: [JMB36X Configure] C:\WINDOWS\system32\JMRaidSetup.exe boot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\MSMSGS.EXE
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1188511586781
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1188511572546
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://javadl-esd.sun.com/update/1.6.0/jinstall-6u2-windows-i586-jc.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{FFE36DF6-0C80-4AB5-A872-02C8657F9C8B}: NameServer = 192.168.0.1
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

Danke schonmal für die Hilfe

myrtille · 31.08.2007, 13:27

Hi,
gib doch bitte noch den Spybot bericht an, dein HJTLog sieht soweit sauber aus.

Lasse bitte außerdem noch Smitfraudfix mit der Option 1 über dein System laufen und poste das Ergebnis hier.

lg myrtille

donstevano · 31.08.2007, 13:58

Hallo,

SpyBot-Bericht:

Code:

ATTFilter

FastClick: Verfolgender Cookie (Internet Explorer: Stefan) (Cookie, nothing done)
  

BurstMedia: Verfolgender Cookie (Internet Explorer: Stefan) (Cookie, nothing done)
  

CasaleMedia: Verfolgender Cookie (Internet Explorer: Stefan) (Cookie, nothing done)
  

Winsoftware.WinAntiVirusPro2006: Verfolgender Cookie (Internet Explorer: Stefan) (Cookie, nothing done)
  

DoubleClick: Verfolgender Cookie (Internet Explorer: Stefan) (Cookie, nothing done)
  

MediaPlex: Verfolgender Cookie (Internet Explorer: Stefan) (Cookie, nothing done)
  

WebTrends live: Verfolgender Cookie (Internet Explorer: Stefan) (Cookie, nothing done)
  

ReliableStats: Verfolgender Cookie (Internet Explorer: Stefan) (Cookie, nothing done)
  


--- Spybot - Search & Destroy version: 1.4  (build: 20050523) ---

2005-05-31 blindman.exe (1.0.0.1)
2005-05-31 SpybotSD.exe (1.4.0.3)
2005-05-31 TeaTimer.exe (1.4.0.2)
2007-08-31 unins000.exe (51.41.0.0)
2005-05-31 Update.exe (1.4.0.0)
2007-05-23 advcheck.dll (1.5.3.0)
2005-05-31 aports.dll (2.1.0.0)
2005-05-31 borlndmm.dll (7.0.4.453)
2005-05-31 delphimm.dll (7.0.4.453)
2005-05-31 SDHelper.dll (1.4.0.0)
2007-07-31 Tools.dll (2.1.2.0)
2005-05-31 UnzDll.dll (1.73.1.1)
2005-05-31 ZipDll.dll (1.73.2.0)
2007-08-29 Includes\Cookies.sbi (*)
2007-07-25 Includes\Dialer.sbi (*)
2007-08-29 Includes\DialerC.sbi (*)
2007-08-29 Includes\Hijackers.sbi (*)
2007-08-29 Includes\HijackersC.sbi (*)
2007-07-25 Includes\Keyloggers.sbi (*)
2007-08-29 Includes\KeyloggersC.sbi (*)
2004-11-29 Includes\LSP.sbi (*)
2007-08-29 Includes\Malware.sbi (*)
2007-08-29 Includes\MalwareC.sbi (*)
2007-08-29 Includes\PUPS.sbi (*)
2007-08-29 Includes\PUPSC.sbi (*)
2007-08-29 Includes\Revision.sbi (*)
2007-05-30 Includes\Security.sbi (*)
2007-08-29 Includes\SecurityC.sbi (*)
2007-08-01 Includes\Spybots.sbi (*)
2007-08-29 Includes\SpybotsC.sbi (*)
2007-08-21 Includes\Tracks.uti
2007-08-29 Includes\Trojans.sbi (*)
2007-08-29 Includes\TrojansC.sbi (*)
2007-06-06 Plugins\TCPIPAddress.dll

SmitFraud-Bericht:

Code:

ATTFilter

SmitFraudFix v2.218

Scan done at 15:05:12,34, 31.08.2007
Run from D:\Dokumente und Einstellungen\Stefan\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\RTHDCPL.EXE
D:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

hosts file corrupted !

127.0.0.1       mpa.one.microsoft.com

»»»»»»»»»»»»»»»»»»»»»»»» D:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» D:\Dokumente und Einstellungen\Stefan


»»»»»»»»»»»»»»»»»»»»»»»» D:\Dokumente und Einstellungen\Stefan\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» D:\DOKUME~1\Stefan\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» D:\Programme 


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Realtek RTL8187 Wireless 802.11g 54Mbps USB 2.0 Network Adapter - Paketplaner-Miniport
DNS Server Search Order: 192.168.0.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{FFE36DF6-0C80-4AB5-A872-02C8657F9C8B}: NameServer=192.168.0.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{FFE36DF6-0C80-4AB5-A872-02C8657F9C8B}: NameServer=192.168.0.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{FFE36DF6-0C80-4AB5-A872-02C8657F9C8B}: NameServer=192.168.0.1


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End

Man muss dazu sagen, dass SpyBot diese Einträge eben schon wieder gefunden hat, obwohl ich sie erst vor einigen Minuten gelöscht hatte.. Bei SmitFraud ist vllt. anzumerken, dass das hosts-File nicht wirklich "corrupted" ist, diesen Eintrag habe ich dort selbst eingefügt und er ist völlig harmlos.

Hoffe diese Logs bringen uns weiter..

myrtille · 31.08.2007, 14:42

Hi,
auch hier ist nichts zu sehen. Lösche mal die Cookies (insbesondere das von Winantiviruspro), vielleicht stammt das ja doch daher?
Alle Logs sind soweit unauffällig, das kann daran liegen, das nur Stücke von WAVP existieren oder daran, dass du eine neue Variante aufm Rechner hast.
Kam das Pop-Up beim surfen, oder ershcien es obwohl du ncht online warst? Einige Seiten bewerben WAVP noch.

Welche Ordner hast du denn als ganzes zurückkopiert? Welche Dateien hattest du in deinem Backup? Es kann durchaus sein, dass du Teile von WAVP auf dein neues System kopiert hast.

Mach bitte noch folgendes:
1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp

*Ein Dankeschön an das Forum HijackThis und besonders Karl83 für die Anleitung*

und kopiere das hier in ein Textdokument:

Code:

ATTFilter

@echo off
set log="%userprofile%\Desktop\temp.txt"

if exist %log% del %log%

echo Anwendungsdaten >> %log%
dir "%userprofile%\Anwendungsdaten\" /a /o  >> %log%
echo Allusers Ordner>> %log%
dir C:\"Dokumente und Einstellungen"\"All Users"\Anwendungsdaten\ /a /o>> %log%
echo Programme >>%log%
dir C:\Programme\ /a /o >> %log%
echo Gemeinsame Dateien >>%log%
dir C:\Programme\"Gemeinsame Dateien"\ /a /o >>%log%

start notepad %log%
pause
exit

benenne das Textdokument um in liste.bat und führe es mit einem Doppelklick aus.

Poste das Ergebnis hier.
Gibt es bei dir einen Ordner "program files" unter C:\`? Wenn ja was befindet sich in ihm?

lg myrtille

donstevano · 31.08.2007, 15:44

So, bitte sehr:

Das liste.bat-Log:

Code:

ATTFilter

Anwendungsdaten 
 Datentr„ger in Laufwerk D: ist Programme und Saves
 Volumeseriennummer: 6865-87EA

 Verzeichnis von D:\Dokumente und Einstellungen\Stefan\Anwendungsdaten

31.08.2007  11:48    <DIR>          .
31.08.2007  11:48    <DIR>          ..
31.08.2007  11:42    <DIR>          Adobe
25.08.2007  16:27    <DIR>          Identities
31.08.2007  11:34    <DIR>          Macromedia
31.08.2007  13:02    <DIR>          Microsoft
31.08.2007  11:48    <DIR>          Sun
30.08.2007  23:09    <DIR>          WinRAR
25.08.2007  17:16                62 desktop.ini
               1 Datei(en)             62 Bytes
               8 Verzeichnis(se), 261.020.909.568 Bytes frei
Allusers Ordner
Programme 
Gemeinsame Dateien

(allerdings steht in dem dos-fenster dann noch 3mal pfad konnte nicht gefunden werden - könnte daren liegen dass ich via unattended installation nur meinen windows ordner auf c:, den rest auf d: gelegt habe)

Und dann noch das Tagebuch:

Code:

ATTFilter

Verzeichnis von C:\

31.08.2007  15:05             3.039 rapport.txt
31.08.2007  14:35     2.145.386.496 pagefile.sys
31.08.2007  00:00               665 Genuine Advantage Ordner.lnk
30.08.2007  23:37               211 boot.ini
25.08.2007  16:39               569 hosts-Datei.lnk
25.08.2007  16:23                 0 MSDOS.SYS
25.08.2007  16:23                 0 IO.SYS
25.08.2007  16:23                 0 AUTOEXEC.BAT
25.08.2007  16:23                 0 CONFIG.SYS
23.11.2006  19:49               446 Installation.txt



Verzeichnis von C:\WINDOWS\system32

31.08.2007  15:05             1.816 tmp.reg
31.08.2007  15:05                 0 tmp.txt
31.08.2007  11:50             2.206 wpa.dbl
31.08.2007  11:45             5.214 jupdate-1.6.0_02-b06.log
31.08.2007  11:30           436.056 perfh009.dat
31.08.2007  11:30           453.106 perfh007.dat
31.08.2007  11:30            70.202 perfc009.dat
31.08.2007  11:30            82.966 perfc007.dat
31.08.2007  11:30         1.030.922 PerfStringBackup.INI
31.08.2007  10:41            93.480 FNTCACHE.DAT
31.08.2007  01:01           128.998 TZLog.log
31.08.2007  00:51            16.832 amcompat.tlb
31.08.2007  00:51            23.392 nscompat.tlb
30.08.2007  23:11           146.650 BuzzingBee.wav
30.08.2007  23:11           940.794 LoopyMusic.wav
25.08.2007  17:19                 0 h323log.txt
25.08.2007  16:25               954 $winnt$.inf
25.08.2007  16:23             2.951 CONFIG.NT
25.08.2007  16:22               488 WindowsLogon.manifest
25.08.2007  16:22               488 logonui.exe.manifest
25.08.2007  16:22               749 wuaucpl.cpl.manifest
25.08.2007  16:22               749 sapi.cpl.manifest
25.08.2007  16:22               749 cdplayer.exe.manifest
25.08.2007  16:22               749 nwc.cpl.manifest
25.08.2007  16:22               749 ncpa.cpl.manifest
25.08.2007  16:20            21.740 emptyregdb.dat
02.08.2007  21:34        16.789.464 MRT.exe
30.07.2007  19:20            30.040 wuaucpl.cpl.mui
30.07.2007  19:20            30.040 wuapi.dll.mui
30.07.2007  19:19           203.096 wuweb.dll
30.07.2007  19:19         1.712.984 wuaueng.dll
30.07.2007  19:19           549.720 wuapi.dll
30.07.2007  19:19           325.976 wucltui.dll
30.07.2007  19:19           216.408 wuaucpl.cpl
30.07.2007  19:19            92.504 cdm.dll
30.07.2007  19:19            53.080 wuauclt.exe
30.07.2007  19:19            43.352 wups2.dll
30.07.2007  19:18            34.136 wucltui.dll.mui
30.07.2007  19:18            33.624 wups.dll
30.07.2007  19:18           207.736 muweb.dll
30.07.2007  19:18            20.824 wuaueng.dll.mui



Verzeichnis von C:\WINDOWS

31.08.2007  14:36                 0 0.log
31.08.2007  14:36           883.174 WindowsUpdate.log
31.08.2007  14:36             2.048 bootstat.dat
31.08.2007  14:35             4.988 SchedLgU.Txt
31.08.2007  11:46             2.908 COM+.log
31.08.2007  11:46           661.436 setupapi.log
31.08.2007  11:23           205.128 DirectX.log
31.08.2007  11:05            32.707 wmsetup.log
31.08.2007  10:56             7.147 spupdsvc.log
31.08.2007  10:54           744.559 iis6.log
31.08.2007  10:54            36.751 ocmsn.log
31.08.2007  10:54           138.362 ntdtcsetup.log
31.08.2007  10:54             1.374 imsins.log
31.08.2007  10:54           231.070 comsetup.log
31.08.2007  10:54            33.907 tabletoc.log
31.08.2007  10:54           306.457 tsoc.log
31.08.2007  10:54            26.523 KB939683.log
31.08.2007  10:54            32.595 msgsocm.log
31.08.2007  10:54            46.112 MedCtrOC.log
31.08.2007  10:54           116.505 netfxocm.log
31.08.2007  10:54           320.776 ocgen.log
31.08.2007  10:54           660.765 FaxSetup.log
31.08.2007  10:54           206.394 msmqinst.log
31.08.2007  10:54           520.546 msxml6-KB933579-enu-x86.LOG
31.08.2007  10:54             1.374 imsins.BAK
31.08.2007  10:54            30.728 KB938127-IE7.log
31.08.2007  10:54            27.841 KB936782.log
31.08.2007  10:54            35.490 KB937143-IE7.log
31.08.2007  10:54            63.502 updspapi.log
31.08.2007  10:53            13.950 XPSEPSCLP.log
31.08.2007  10:53            52.779 XpsEPSC.log
31.08.2007  10:52            14.162 KB929399.log
31.08.2007  10:52            17.966 KB925720.log
31.08.2007  10:52            18.369 KB920342.log
31.08.2007  01:01           121.381 KB933360.log
31.08.2007  01:01           111.035 KB938127.log
31.08.2007  01:01           110.615 KB936021.log
31.08.2007  01:01           123.320 KB937143.log
31.08.2007  01:01           112.362 KB938829.log
31.08.2007  01:01           111.620 KB921503.log
31.08.2007  01:01           111.441 KB938828.log
31.08.2007  01:01           111.148 KB936357.log
31.08.2007  01:00           102.422 KB923689.log
31.08.2007  01:00           101.862 KB925398.log
31.08.2007  01:00           110.809 KB935839.log
31.08.2007  01:00           110.442 KB935840.log
31.08.2007  01:00           110.941 KB929123.log
31.08.2007  01:00           100.942 KB927891.log
31.08.2007  01:00           109.764 KB930916.log
31.08.2007  01:00           110.165 KB920213.log
31.08.2007  01:00           109.759 KB890046.log
31.08.2007  01:00           100.940 KB935448.log
31.08.2007  01:00           111.142 KB932168.log
31.08.2007  01:00            24.113 ie7_main.log
31.08.2007  01:00           102.333 ie7.log
31.08.2007  00:59            47.005 IDNMitigationAPIs.log
31.08.2007  00:58            45.320 NLSDownlevelMapping.log
31.08.2007  00:58            44.619 KB915865.log
31.08.2007  00:58            43.667 KB914440.log
31.08.2007  00:56            54.381 KB931261.log
31.08.2007  00:56            55.279 KB930178.log
31.08.2007  00:56            56.363 KB931784.log
31.08.2007  00:56            55.892 KB925902.log
31.08.2007  00:51            41.091 WIC.log
31.08.2007  00:51            40.119 KB926239.log
31.08.2007  00:51            35.680 MSCompPackV1.log
31.08.2007  00:51            48.452 wmp11.log
31.08.2007  00:51             2.096 wmsetup10.log
31.08.2007  00:51               507 win.ini
31.08.2007  00:51            58.387 WMFDist11.log
31.08.2007  00:50            37.392 Wudf01000Inst.log
31.08.2007  00:50            48.347 KB925876.log
31.08.2007  00:50            44.417 KB926436.log
31.08.2007  00:50            44.632 KB918118.log
31.08.2007  00:50            45.151 KB927779.log
31.08.2007  00:50            39.737 KB924667.log
31.08.2007  00:50            41.685 KB927802.log
31.08.2007  00:50            42.584 KB928843.log
31.08.2007  00:50            42.784 KB928255.log
31.08.2007  00:50            41.471 KB926255.log
31.08.2007  00:50            41.582 KB923980.log
31.08.2007  00:49            41.409 KB924270.log
31.08.2007  00:49            40.196 KB922819.log
31.08.2007  00:49            35.937 KB923191.log
31.08.2007  00:49            38.033 KB924496.log
31.08.2007  00:49            37.516 KB923414.log
31.08.2007  00:49            39.160 KB920872.log
31.08.2007  00:49            37.383 KB920685.log
31.08.2007  00:49            37.526 KB919007.log
31.08.2007  00:49            37.480 KB916595.log
31.08.2007  00:49            29.817 KB922582.log
31.08.2007  00:49            35.413 KB920683.log
31.08.2007  00:49            33.876 KB920670.log
31.08.2007  00:49            34.434 KB914388.log
31.08.2007  00:49            32.786 KB904942.log
31.08.2007  00:49            31.961 KB911280.log
31.08.2007  00:49            32.293 KB917953.log
31.08.2007  00:49            33.859 KB913580.log
31.08.2007  00:49            32.158 KB918439.log
31.08.2007  00:48            32.836 KB917344.log
31.08.2007  00:48            32.473 KB914389.log
31.08.2007  00:47            32.600 KB908531.log
31.08.2007  00:47            32.630 KB900485.log
31.08.2007  00:47            31.907 KB911562.log
31.08.2007  00:47            21.187 KB911564.log
31.08.2007  00:46            31.070 KB911927.log
31.08.2007  00:46            30.443 KB908519.log
31.08.2007  00:46            30.559 KB904706.log
31.08.2007  00:46            24.404 KB910437.log
31.08.2007  00:46            15.866 basecsp.log
31.08.2007  00:46            18.931 KB891122.log
31.08.2007  00:46           316.640 WMSysPr9.prx
31.08.2007  00:46            30.895 KB900725.log
31.08.2007  00:46            28.328 KB905749.log
31.08.2007  00:46            27.798 KB905414.log
31.08.2007  00:46            26.984 KB901017.log
31.08.2007  00:45            32.363 KB902400.log
31.08.2007  00:45            23.494 KB894391.log
31.08.2007  00:45            21.613 KB896423.log
31.08.2007  00:45            21.098 KB899587.log
31.08.2007  00:45            20.591 KB899591.log
31.08.2007  00:45            20.463 KB893756.log
31.08.2007  00:45            20.959 KB896358.log
31.08.2007  00:45            22.066 KB890859.log
31.08.2007  00:45            17.840 KB901214.log
31.08.2007  00:45            17.651 KB896428.log
31.08.2007  00:45            17.921 KB885835.log
31.08.2007  00:45            16.803 KB891781.log
31.08.2007  00:45            16.587 KB888302.log
31.08.2007  00:45            16.180 KB885836.log
31.08.2007  00:45            12.372 KB886185.log
31.08.2007  00:45            16.023 KB873339.log
31.08.2007  00:10             7.853 KB892130.log
31.08.2007  00:09             7.756 KB898461.log
31.08.2007  00:09             9.356 KB893803v2.log
30.08.2007  23:50             1.502 ATIWDM.LOG
30.08.2007  23:37               227 system.ini
30.08.2007  23:34                 0 AS_Debug.txt
30.08.2007  23:24             5.556 RTacDbg.txt
30.08.2007  23:20            45.558 ydi.log
30.08.2007  23:10             4.566 KB888111.log
25.08.2007  17:19                50 wiaservc.log
25.08.2007  17:19               509 wiadebug.log
25.08.2007  17:19                 0 Sti_Trace.log
25.08.2007  17:17             1.310 regopt.log
25.08.2007  17:16                 0 setuperr.log
25.08.2007  16:27               829 OEWABLog.txt
25.08.2007  16:27           755.681 setuplog.txt
25.08.2007  16:25             8.192 REGLOCS.OLD
25.08.2007  16:25           165.907 setupact.log
25.08.2007  16:23                 0 control.ini
25.08.2007  16:23             4.161 ODBCINST.INI
25.08.2007  16:22               749 WindowsShell.Manifest
25.08.2007  16:21             1.023 sessmgr.setup.log
25.08.2007  16:20                36 vb.ini
25.08.2007  16:20                37 vbaddin.ini
25.08.2007  16:20               133 DtcInstall.log
25.08.2007  16:19               200 cmsetacl.log
13.06.2007  15:21         1.036.288 explorer.exe
03.05.2007  19:52            11.557 atiogl.xml



Verzeichnis von C:\WINDOWS\Prefetch

31.08.2007  16:18            11.042 CMD.EXE-087B4001.pf
31.08.2007  16:18            11.112 FIND.EXE-0EC32F1E.pf
31.08.2007  16:18           190.690 WINRAR.EXE-1A0EFB18.pf
31.08.2007  16:18            71.312 RUNDLL32.EXE-16B45610.pf
31.08.2007  16:13            74.154 IEXPLORE.EXE-360BBB5C.pf
31.08.2007  15:54           405.300 Layout.ini
31.08.2007  15:44            84.454 MSCORSVW.EXE-1BF30400.pf
31.08.2007  15:16            15.272 REGEDIT.EXE-1B606482.pf
31.08.2007  15:05            27.912 WMIPRVSE.EXE-28F301A9.pf
31.08.2007  14:56            17.328 NOTEPAD.EXE-336351A9.pf
31.08.2007  14:37           657.424 NTOSBOOT-B00DFAAD.pf
31.08.2007  14:37            22.808 WUAUCLT.EXE-399A8E72.pf
31.08.2007  11:44           125.620 MSIEXEC.EXE-2F8A8CAE.pf
31.08.2007  11:31            32.924 WMIADAP.EXE-2DF425B2.pf
31.08.2007  11:29            17.320 LANGPACK.EXE-1C830883.pf
31.08.2007  11:19            27.856 LODCTR.EXE-1009C3B4.pf
31.08.2007  11:18            23.646 MOFCOMP.EXE-01718E95.pf
31.08.2007  11:18            57.564 INSTALL.EXE-02B06895.pf
31.08.2007  11:05            49.166 UNREGMP2.EXE-07CACB61.pf
31.08.2007  10:54            23.002 SPUPDSVC.EXE-21B36524.pf
31.08.2007  10:54            43.410 REGSVCS.EXE-11A17120.pf
31.08.2007  10:54            35.520 ASPNET_REGIIS.EXE-009D6E80.pf
31.08.2007  10:53            10.432 REGTLIBV12.EXE-0E2FA54B.pf
31.08.2007  10:53            11.006 NGEN.EXE-38021CCC.pf
31.08.2007  10:52            17.184 REGSVR32.EXE-25EEFE2F.pf
31.08.2007  00:51            14.354 LOGAGENT.EXE-027AF92B.pf
31.08.2007  00:45            18.358 MSMSGSIN.EXE-36FEB629.pf
31.08.2007  00:44            54.138 UPDATE.EXE-29F8917B.pf
31.08.2007  00:44            75.398 UPDATE.EXE-1F702906.pf
31.08.2007  00:44            87.556 UPDATE.EXE-2BB1999F.pf
31.08.2007  00:43            64.318 UPDATE.EXE-0610BA9A.pf
31.08.2007  00:41            14.644 DEFRAG.EXE-273F131E.pf
31.08.2007  00:41            24.582 DFRGNTFS.EXE-269967DF.pf
30.08.2007  23:54            11.018 RUNDLL32.EXE-451FC2C0.pf
30.08.2007  23:50            19.426 RUNONCE.EXE-2803F297.pf
30.08.2007  23:50            50.966 IKERNEL.EXE-1ED7DD43.pf
30.08.2007  23:40            67.376 SVCHOST.EXE-3530F672.pf



Verzeichnis von C:\WINDOWS\tasks

31.08.2007  14:36                 6 SA.DAT
18.08.2001  14:00                65 desktop.ini



Verzeichnis von C:\WINDOWS\temp

31.08.2007  11:33             9.986 NetFxUpdate_v1.1.4322.log
03.07.2007  07:57            11.698 atirt2xp.cat
14.06.2007  04:29            14.711 atirt2xp.inf
14.06.2007  03:24           106.496 atinppt2.ax
14.06.2007  03:23           169.344 atinavt2.sys
02.12.2005  23:49            64.352 ativmc01.cod



Verzeichnis von D:\DOKUME~1\Stefan\LOKALE~1\Temp

31.08.2007  16:18           113.816 filelist.txt
31.08.2007  14:41             1.053 jusched.log
31.08.2007  14:37               793 java_install_reg.log
31.08.2007  11:45                 0 java_install.log
31.08.2007  11:43             1.160 jinstall.cfg
31.08.2007  11:41               520 {AC76BA86-7AD7-1031-7B44-A81000000003}.ini
31.08.2007  11:35            71.680 GLB18A.tmp
31.08.2007  11:35                 0 MSW189.tmp
31.08.2007  11:34         1.214.520 MSW180.tmp
31.08.2007  11:32            25.890 netfxsl.log
31.08.2007  11:32             1.547 NetFxUpdate_v1.1.4322.log
31.08.2007  11:30             6.659 netfxupdate.log
31.08.2007  11:30             5.755 ASPNETSetup.log
31.08.2007  11:29             1.167 langpackSetup.log
31.08.2007  11:19             2.474 dotNetFx.log
31.08.2007  10:54             5.012 ASPNETSetup_00003.log
31.08.2007  10:52             5.012 ASPNETSetup_00002.log
31.08.2007  10:51             5.012 ASPNETSetup_00001.log
31.08.2007  00:56           302.082 dd_dotnetfx3lpinstall.txt
31.08.2007  00:56           469.578 uxeventlog.txt
31.08.2007  00:56           233.347 dd_depcheckdotnetfx30.txt
31.08.2007  00:56            39.216 dd_XPS_langpack.txt
31.08.2007  00:56           133.040 dd_WF_Langpack_x86_msi3CA3.txt
31.08.2007  00:56           296.212 dd_wcf_langpack_msi3C90.txt
31.08.2007  00:55           297.922 dd_wpf_langpack_msi3C6F.txt
31.08.2007  00:55           303.486 dd_dotnetfx3install.txt
31.08.2007  00:54           239.374 dd_WF_3.0_x86retMSI3B80.txt
31.08.2007  00:54           733.546 dd_wpf_retMSI3A19.txt
31.08.2007  00:52           772.634 dd_wcf_retMSI39E5.txt
31.08.2007  00:52             5.132 dd_wcf_retCA547.txt
31.08.2007  00:52           134.472 dd_rgb_retMSI39D1.txt
31.08.2007  00:48            41.598 dd_netfxLP20UI36EF.txt
31.08.2007  00:48           807.244 dd_netfxLP20MSI36EF.txt
31.08.2007  00:48            42.404 dd_netfx20UI35D7.txt
31.08.2007  00:48         4.603.188 dd_netfx20MSI35D7.txt
31.08.2007  00:47             4.562 ASPNETSetup_00000.log
30.08.2007  23:14               228 _isdelet.ini
30.08.2007  23:11            23.467 Greek.bin
30.08.2007  23:11            22.862 Czech.bin
30.08.2007  23:11            18.436 Hebrew.bin
30.08.2007  23:11            20.859 Turkish.bin
30.08.2007  23:11            20.608 Norwegian.bin
30.08.2007  23:11            21.562 Finnish.bin
30.08.2007  23:11            24.446 Hungarian.bin
30.08.2007  23:11            20.733 Thai.bin
30.08.2007  23:11            22.606 Polish.bin
30.08.2007  23:11            23.522 Portuguese(Brazil).bin
30.08.2007  23:11            24.274 German.bin
30.08.2007  23:11            25.665 French.bin
30.08.2007  23:11            21.773 English.bin
30.08.2007  23:11            25.824 Italian.bin
30.08.2007  23:11            22.684 SWEDISH.bin
30.08.2007  23:11            24.654 Portuguese.bin
30.08.2007  23:11            24.638 Russian.bin
30.08.2007  23:11            15.534 SimChin.bin
30.08.2007  23:11            26.062 Spanish.bin
30.08.2007  23:11            19.506 Arabic.bin
30.08.2007  23:11            16.913 TradChin.bin
30.08.2007  23:11            24.173 Dutch.bin
30.08.2007  23:11            21.343 Danish.bin
30.08.2007  23:11            22.809 Japanese.bin
30.08.2007  23:11            18.978 Korean.bin
18.09.2006  21:31            57.656 Catalyst.bmp

Ich hab die Ordner Eigene Musik, Eigene Bilder, Eigene Dokumente, dann noch einige Verzeichnisse in denen Downloads oder Arbeitsspeicherungen lagen und den Ordner in dem die Thunderbird Mails sind, gespeichert. Aber keinerlei Systemordner oder sowas, und außerdem habe ich nach der Neuinstallation gestern die meisten der Zwischengespeicherten Dateien noch nichtmal angerührt..

Den Ordner "Program Files" hab ich nicht. Das PopUp kam beim Surfen und es öffnete sich auch gleich wieder die Seite wo man das Antivirusteil runterladen soll - hab ich natürlich nicht gemacht..

myrtille · 31.08.2007, 18:49

Sach doch das alles bei dir unter D:\ liegt.

Ich hab leider geschlafen, es war durchaus ersichtlihc, dass deine Benutzerprofile und die Programme auf ner anderen Platte liegen.
Für bitte den korrigierten Text als liste.bat aus:

Zitat:

@echo off
set log="%userprofile%\Desktop\temp.txt"

if exist %log% del %log%

echo Anwendungsdaten >> %log%
dir "%userprofile%\Anwendungsdaten\" /a /o >> %log%
echo Allusers Ordner>> %log%
dir D:\"Dokumente und Einstellungen"\"All Users"\Anwendungsdaten\ /a /o>> %log%
echo Programme >>%log%
dir D:\Programme\ /a /o >> %log%
echo Gemeinsame Dateien >>%log%
dir D:\Programme\"Gemeinsame Dateien"\ /a /o >>%log%

Zitat:

Ich hab die Ordner Eigene Musik, Eigene Bilder, Eigene Dokumente, dann noch einige Verzeichnisse in denen Downloads oder Arbeitsspeicherungen lagen und den Ordner in dem die Thunderbird Mails sind, gespeichert. Aber keinerlei Systemordner oder sowas, und außerdem habe ich nach der Neuinstallation gestern die meisten der Zwischengespeicherten Dateien noch nichtmal angerührt..

Hört sich erstmal nicht unbedingt falsch an. Ganze Ordner zu übernehmen ist dahingehend eine Gefahr, dass du eventuell unsichtbare, schädliche Dateien mitkopierst.
In die von dir genannten Ordner legt WAVP meines Wissens allerdings keine Daten ab.

Zitat:

Das PopUp kam beim Surfen und es öffnete sich auch gleich wieder die Seite wo man das Antivirusteil runterladen soll - hab ich natürlich nicht gemacht..

Richtig so

Es kann sich wirklich auch um ein normales Popup handeln. Mit welchem Programm warst du im Netz? Hast du seitdem nochmal ein Popup gehabt?

lg myrtille

31.08.2007, 13:27	#2
myrtille /// TB-Ausbilder	WinAntiVirusPro2006 PopUp & Co - Selbst nach Formatieren noch da?! Hi, gib doch bitte noch den Spybot bericht an, dein HJTLog sieht soweit sauber aus. Lasse bitte außerdem noch Smitfraudfix mit der Option 1 über dein System laufen und poste das Ergebnis hier. lg myrtille __________________

WinAntiVirusPro2006 PopUp & Co - Selbst nach Formatieren noch da?!

Plagegeister aller Art und deren Bekämpfung: WinAntiVirusPro2006 PopUp & Co - Selbst nach Formatieren noch da?!