Backdoor und Adware Probleme

stYle345 · 27.08.2008, 16:51

Hey,

ich habe vorhin mal spyware docotr rüberlaufn lassn..

die gründe dafür waren :

-> ruckeln in online games
-> langsam werden des Pc´s
-> windows dienste starten nicht

bei dem test kam raus das ein Backdoor " Backdoor.Graybird.K " aufm pc sein soll un einiges an adware.

ich hatte schon mal nen beitrag gepostet.. indem es auch um den nie funktionierenden sound ginge.

ich hab herausgefunden, dass manche windows dienste einfach nicht starten.. zB Windows Audio sowie Sicherheitscenter sowie Firewall

Firewall lässt sich gar nicht mehr starten. ich habe antivir drüber laufn lassn un da hatte er nix gfunden.. un bei den kaspersky online scans ebenfalls nicht.

spybot search & destroy hatte gestern nen Cydoor un Malware / Adware gefunden. diese sind jetz ganz vom pc gelöscht. aber spyware doctor bringt immernoch was=?

ich habe die festplatte und den arbeitsspeicher auf fehler geprüft.. aber keine fehler gefunden.

ich poste unten noch ein HijackThis logfile..

thx schonma

cosinus · 27.08.2008, 16:54

Zitat:

Zitat von stYle345

bei dem test kam raus das ein Backdoor " Backdoor.Graybird.K " aufm pc sein soll un einiges an adware.

Das wird dann wohl auf ein Plattmachen und Neuinstallation von Windows hinauslaufen...
WO soll der Graybird denn angeblich stecken? Muß man jedesmal an die Pfadnangaben erinnern?

stYle345 · 27.08.2008, 16:57

Hier das logfile:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:23:24, on 27.08.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\Creative\Shared Files\CTAudSvc.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINNT\system32\CTsvcCDA.EXE
C:\Programme\PrevxCSI\prevxcsi.exe
C:\PROGRA~1\FASTRE~1\IQEngine.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\WebUpdateSvc4.exe
C:\WINNT\System32\alg.exe
C:\WINNT\System32\svchost.exe
C:\Programme\PrevxCSI\prevxcsi.exe
C:\WINNT\Explorer.EXE
C:\Programme\TRIXX\TRIXX.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\Programme\AGEIA Technologies\TrayIcon.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programme\Windows Defender\MSASCui.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINNT\system32\CTHELPER.EXE
C:\WINNT\system32\CTXFIHLP.EXE
C:\Programme\Creative\MediaSource\Detector\CTDetect.exe
C:\WINNT\system32\ctfmon.exe
C:\Programme\DNA\btdna.exe
C:\WINNT\SYSTEM32\CTXFISPI.EXE
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programme\MSI\Common\RaUI.exe
C:\Programme\Nikon\PictureProject\NkbMonitor.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programme\Spyware Doctor\pctsAuxs.exe
C:\Programme\Spyware Doctor\pctsSvc.exe
C:\Programme\Spyware Doctor\pctsTray.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINNT\System32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [UpdReg] C:\WINNT\UpdReg.EXE
O4 - HKLM\..\Run: [TRIXX] "C:\Programme\TRIXX\TRIXX.exe" -s
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [ATIPTA] "C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [AGEIA PhysX SysTray] C:\Programme\AGEIA Technologies\TrayIcon.exe
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [ISTray] "C:\Programme\Spyware Doctor\pctsTray.exe"
O4 - HKCU\..\Run: [Creative Detector] C:\Programme\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINNT\system32\ctfmon.exe
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programme\DNA\btdna.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [internat.exe] internat.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [^SetupICWDesktop] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [internat.exe] internat.exe (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [^SetupICWDesktop] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [internat.exe] internat.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [^SetupICWDesktop] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Lexware Info Service.lnk = C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe
O4 - Global Startup: MSI Wireless Utility.lnk = C:\Programme\MSI\Common\RaUI.exe
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programme\Nikon\PictureProject\NkbMonitor.exe
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll
O9 - Extra button: Secret City - {D401C3A2-12EF-4D1D-A086-F3AB10B565BF} - C:\PROGRA~1\SECRET~1\SECRET~1\SECRET~1.EXE (file missing)
O9 - Extra button: Run IMVU - {d9288080-1baa-4bc4-9cf8-a92d743db949} - C:\Dokumente und Einstellungen\*****\Startmenü\Programme\IMVU\Run IMVU.lnk
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINNT\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINNT\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: *.moove.com
O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} (Office Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=67633
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - h**p://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab
O16 - DPF: {10D1242B-6EFF-465D-B2F6-27AB9B310929} - h**p://www.softwrap.com/wrapper800.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1129898193046
O16 - DPF: {7C5D062A-7A1E-4A46-A02B-A928084CBD66} - h**p://legendofares.netgame.com/download/MusaLauncherNew.cab
O16 - DPF: {9059F30F-4EB1-4BD2-9FDC-36F43A218F4A} - h**p://217.6.109.91/tsweb/msrdp.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} - h**p://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/f/532/6712/4h/player.virtools.com/downloads/player/Install3.0/Installer.exe
O16 - DPF: {D2982A7F-489A-47F5-A319-FC1F14EBC245} - h**p://www.nutzwerk.de/control/NutzNavi.cab
O16 - DPF: {DC75FEF6-165D-4D25-A518-C8C4BDA7BAA6} - h**p://gamenextde.oberon-media.com/online2/diner_dash/DinerDash.1.0.0.80.cab
O16 - DPF: {E8F628B5-259A-4734-97EE-BA914D7BE941} - h**p://driveragent.com/files/driveragent.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4AAD8C1C-CFF6-4F68-A410-4DCD2F6EF7BB}: NameServer = 192.16*.*.*
O17 - HKLM\System\CCS\Services\Tcpip\..\{54D0428A-5A09-40A8-886E-1A5330A3D439}: NameServer = 192.16*.*.*
O17 - HKLM\System\CCS\Services\Tcpip\..\{93CCE1C4-DF74-402F-BFCC-DBCFF0B8A5E5}: NameServer = 192.16*.*.*
O17 - HKLM\System\CCS\Services\Tcpip\..\{E382C60A-2410-4DB8-A96E-DF210ABA6051}: NameServer = 192.16*.*.*
O18 - Protocol: haufereader - (no CLSID) - (no file)
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTsvcCDA.EXE
O23 - Service: CSIScanner - Prevx - C:\Programme\PrevxCSI\prevxcsi.exe
O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Programme\Creative\Shared Files\CTAudSvc.exe
O23 - Service: Haufe iDesk-Service in C:\Programme\Haufe\iDesk\iDeskService\Zope (HRService) - Unknown owner - C:\Programme\Haufe\iDesk\iDeskService\iDeskService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Fastream IQ Reverse Proxy Engine (IQService) - Fastream Technologies - C:\PROGRA~1\FASTRE~1\IQEngine.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe
O23 - Service: SysEnforce - Unknown owner - C:\DOKUME~1\THOMAS~1\EIGENE~1\****!!!\SpyWare\SSI\SYSENF~1.EXE (file missing)
O23 - Service: Web Update Wizard Service V4 (WebUpdate4) - Data Perceptions / PowerProgrammer - C:\WINNT\system32\WebUpdateSvc4.exe

--
End of file - 12883 bytes

ich habe außerdem noch nen screenshot von den "adware" und "backdoor" gemacht:

http://benni3.be.ohost.de/spyware%201.bmp

stYle345 · 27.08.2008, 17:07

das sind die pfade .. geht unten noch weiter x_X

cosinus · 27.08.2008, 17:09

Der Spyware Doctor

hat da "nur" Registryeinträge gefunden...

Acker diese Punkte für weitere Analysen ab:

A.) Führe dieses MBR-Tool aus und poste die Ausgabe

B.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten

C.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste die Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:

[code] Hier das Logfile rein! [/code]

D.) Mach ein Filelisting mit diesem script:

Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
Doppelklick auf listing8.cmd auf dem Desktop
nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

stYle345 · 27.08.2008, 18:09

Blacklight hatte nichtz gefunden.

MBR Tool :

Code:

ATTFilter

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Malwarebytes lädt noch..

hab ne frage zu combofix:

muss man das mit dieser wiederherstellungskonsole machn oder kann man einfach gleich starten=?

greeZ

stYle345 · 27.08.2008, 19:10

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1089
Windows 5.1.2600 Service Pack 3

20:01:17 27.08.2008
mbam-log-08-27-2008 (20-01-08).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 214283
Laufzeit: 1 hour(s), 23 minute(s), 36 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 4
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 6

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{90b5a95a-afd5-4d11-b9bd-a69d53d22226} (Adware.Hotbar) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{8109fd3d-d891-4f80-8339-50a4913ace6f} (Adware.Zango) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\RX ToolBar (Adware.RXToolbar) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Trymedia Systems (Adware.Trymedia) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Programme\QIP\unqip.exe (Adware.Sogou) -> No action taken.
C:\WINNT\rundll16.exe (Fake.Dropped.Malware) -> No action taken.
C:\Win_Rar.exe (Trojan.Agent) -> No action taken.
C:\WINNT\system32\vcmgcd32.dll (Trojan.Agent) -> No action taken.
C:\WINNT\logo1_.exe (Worm.Viking) -> No action taken.
C:\WINNT\system32\systems.txt (Trojan.FakeAlert) -> No action taken.

Hier das Malwarebytes..

er wollte neustart des pc´s dasser sie löschen kann

greeZ

stYle345 · 27.08.2008, 19:36

Hier das Listing [ combofix hab ich noch nicht gemacht.. weiß nämlich nich ob ich des mit wiederherstellungskonsole mahcn soll ]

Code:

ATTFilter

LISTING FILE von root24; 28.01.2008  
"------ SYSTEMROOT ---" 
 Volume in Laufwerk C: hat keine Bezeichnung.
 Volumeseriennummer: 58EB-050F

 Verzeichnis von C:\

27.08.2008  20:04     1.073.274.880 hiberfil.sys
27.08.2008  20:04     1.610.612.736 pagefile.sys
22.08.2008  19:09            60.712 playground.log
03.08.2008  14:21               141 LxDasi.Log
24.07.2008  15:02                14 temp.html
18.07.2008  16:04                24 url_history.xml
10.07.2008  13:39            49.876 Uninstal.exe
18.06.2008  12:59                 0 AILog.txt
24.05.2008  22:24                 0 23990098.$$$
14.05.2008  14:03           251.712 ntldr
13.05.2008  18:20               207 boot.ini
13.05.2008  18:15            47.564 NTDETECT.COM
09.05.2008  23:05             4.273 test.spr
03.04.2008  20:25            77.997 findaudio.log
22.09.2007  15:07             1.024 D
30.05.2007  13:01            14.181 devicetable.log
05.05.2007  13:51           369.152 urkunde_schriftrolle_40.doc
27.04.2007  22:06             1.024 DOKU
27.03.2007  19:49            13.030 PDOXUSRS.NET
25.01.2007  21:20               121 info.txt
22.01.2007  22:39           287.221 AnalysisLog.sr0
14.01.2007  22:35               146 YServer.txt
28.10.2006  12:52               213 debugInstaller.txt
25.10.2006  16:53                91 DownloadLog.txt
23.07.2006  15:39             2.790 LGSInst.Log
21.10.2005  18:46             5.091 CLDMA.LOG
21.10.2005  13:21                 0 AUTOEXEC.BAT
21.10.2005  13:21                 0 CONFIG.SYS
21.10.2005  13:21                 0 MSDOS.SYS
21.10.2005  13:21                 0 IO.SYS
02.09.2005  15:32       498.009.240 disk01.cbf
02.09.2005  15:31           334.167 setup.cbf
18.08.2005  12:30           299.008 setup.exe
18.08.2001  21:00             4.952 bootfont.bin
              34 Datei(en)  3.183.721.587 Bytes
               0 Verzeichnis(se), 104.336.621.568 Bytes frei
 Volume in Laufwerk C: hat keine Bezeichnung.
 Volumeseriennummer: 58EB-050F

Backdoor und Adware Probleme

Plagegeister aller Art und deren Bekämpfung: Backdoor und Adware Probleme