![]() |
| |||||||
Log-Analyse und Auswertung: Browser hijacked und Explorer startet nichtWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
| | #3 |
| | Browser hijacked und Explorer startet nicht Danke für die schnelle Antwort !
__________________Die Systemwiederherstellung war bereits deaktiviert. Hm. Virustotal.com scheint zur Zeit nicht erreichbar zu sein. (Geblockt von irgendeinem Mist auf meiner Festplatte kann das aber fieserweise nich werden oder !?^^) Na, ich sauge ja, aber nicht mit Emule. Ich werd mir das schon dabei eingefangen haben, keine Frage. Hier der mbam-Log: Code:
ATTFilter Malwarebytes' Anti-Malware 1.31
Datenbank Version: 1567
Windows 5.1.2600 Service Pack 3
29.12.2008 16:42:58
mbam-log-2008-12-29 (16-42-54).txt
Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 60849
Laufzeit: 6 minute(s), 26 second(s)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 7
Infizierte Registrierungsschlüssel: 19
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 0
Infizierte Dateien: 25
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
C:\WINDOWS\system32\nnnopppm.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\sirmqbhj.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\qagccd.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\qprdnn.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\xxyaxUom.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\jbevrvlv.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\tbhlns.dll (Trojan.Vundo) -> No action taken.
Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\xxyaxuom (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{99ab2a0d-2c4f-4bbb-bab0-a22a20a21258} (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{99ab2a0d-2c4f-4bbb-bab0-a22a20a21258} (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{d6831875-82a4-4f01-bb43-03871e59b945} (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{d6831875-82a4-4f01-bb43-03871e59b945} (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{91eb670f-417b-4873-be4b-1c108c3fe3cf} (Trojan.Vundo) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{63ab44f9-c005-46f6-9393-d7b9d4b7a6d2} (Trojan.Vundo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{d6831875-82a4-4f01-bb43-03871e59b945} (Trojan.Vundo.H) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{99ab2a0d-2c4f-4bbb-bab0-a22a20a21258} (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\instkey (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> No action taken.
Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\585a9459 (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> No action taken.
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Security Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\nnnopppm -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\nnnopppm -> No action taken.
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
C:\WINDOWS\system32\xxyaxUom.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\tbhlns.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\nnnopppm.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\mppponnn.ini (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\mppponnn.ini2 (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\erbdkros.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\sorkdbre.ini (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\sirmqbhj.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\jhbqmris.ini (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\tutqtloh.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\holtqtut.ini (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\ywoxwuok.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\kouwxowy.ini (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\qagccd.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\qprdnn.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\jbevrvlv.dll (Trojan.Vundo) -> No action taken.
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q0K7A8U4\divx[1] (Trojan.Vundo.H) -> No action taken.
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q0K7A8U4\index[1] (Trojan.Vundo) -> No action taken.
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\UTQLL7ZA\divx[1] (Trojan.Vundo) -> No action taken.
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\UTQLL7ZA\upd105320[1] (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\gjxdsx.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\gttidbtb.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\igevdare.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\xmrrtnma.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\mcrh.tmp (Malware.Trace) -> No action taken.
ComboFix-Log: Code:
ATTFilter ComboFix 08-12-28.04 - Administrator 2008-12-29 17:06:23.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.1033.18.767.500 [GMT 1:00]
Running from: c:\documents and settings\Administrator\Desktop\ComboFix.exe
AV: Avira AntiVir PersonalEdition *On-access scanning disabled* (Updated)
* Created a new restore point
WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat
c:\windows\system32\GQXwDJlm.ini
c:\windows\system32\GQXwDJlm.ini2
c:\windows\system32\qgqgiuib.ini
----- BITS: Possible infected sites -----
hxxp://childhe.com
.
((((((((((((((((((((((((( Files Created from 2008-11-28 to 2008-12-29 )))))))))))))))))))))))))))))))
.
2008-12-29 17:09 . 2008-12-29 17:09 <DIR> d-------- c:\windows\system32\xircom
2008-12-29 17:09 . 2008-12-29 17:09 <DIR> d-------- c:\program files\microsoft frontpage
2008-12-29 16:19 . 2008-12-29 16:19 <DIR> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2008-12-29 16:19 . 2008-12-29 16:19 <DIR> d-------- c:\documents and settings\Administrator\Application Data\Malwarebytes
2008-12-29 16:19 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2008-12-29 16:19 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2008-12-28 21:27 . 2008-12-28 21:27 <DIR> d-------- c:\program files\Avira
2008-12-28 21:27 . 2008-12-28 21:27 <DIR> d-------- c:\documents and settings\All Users\Application Data\Avira
2008-12-27 15:09 . 2008-12-27 15:09 <DIR> d-------- c:\program files\Common Files\Skype
2008-12-27 15:09 . 2008-12-27 15:09 <DIR> d-------- c:\documents and settings\All Users\Application Data\Skype
2008-12-27 15:09 . 2008-12-28 11:23 <DIR> d-------- c:\documents and settings\Administrator\Application Data\Skype
2008-12-27 15:08 . 2008-12-27 15:09 <DIR> d-------- c:\program files\Skype
2008-12-27 14:58 . 2008-12-27 14:58 <DIR> d-------- c:\documents and settings\Administrator\Application Data\teamspeak2
2008-12-27 14:58 . 2008-12-27 14:58 34,064 --a------ c:\windows\system32\lhacm.acm
2008-12-27 14:05 . 2008-12-27 14:05 95 --a------ c:\windows\wininit.ini
2008-12-27 12:12 . 2008-12-29 15:55 <DIR> d-------- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2008-12-24 22:16 . 2008-12-24 22:16 223,128 --a------ c:\windows\system32\drivers\vaxscsi.sys
2008-12-24 00:08 . 2008-12-24 12:32 69,632 --a------ c:\windows\ScUnin.exe
2008-12-24 00:08 . 2008-12-24 12:32 34,001 --a------ c:\windows\scunin.dat
2008-12-24 00:08 . 2008-12-24 12:32 967 --a------ c:\windows\ScUnin.pif
2008-12-24 00:06 . 2008-12-24 00:06 <DIR> d-------- c:\windows\system32\LogFiles
2008-12-11 12:09 . 2008-08-30 03:14 990,208 --a------ c:\windows\system32\syssetup.dll
2008-12-11 12:09 . 2008-12-11 12:09 7,306 --a------ c:\windows\system32\oemlogo.bmp
2008-12-11 12:09 . 2008-12-11 12:09 167 --a------ c:\windows\system32\oeminfo.ini
2008-12-11 11:58 . 2008-12-11 11:58 361,344 --a------ c:\windows\system32\drivers\tcpip.sys
2008-12-11 11:58 . 2008-12-11 11:58 218,624 --a------ c:\windows\system32\uxtheme.dll
2008-12-11 11:58 . 2008-12-11 11:58 140,288 --a------ c:\windows\system32\sfc_os.dll
.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-29 14:55 --------- d-----w c:\documents and settings\All Users\Application Data\Lavasoft
2008-12-28 20:21 --------- d---a-w c:\documents and settings\All Users\Application Data\TEMP
2008-12-28 15:25 --------- d-----w c:\documents and settings\Administrator\Application Data\uTorrent
2008-12-26 18:54 --------- d--h--w c:\program files\InstallShield Installation Information
2001-01-02 22:37 32,768 --sha-w c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\MSHist012001010220010103\index.dat
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AVMWlanClient"="c:\program files\avmwlanstick\FRITZWLANMini.exe" [2006-06-23 343552]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-27 31016]
"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]
"Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2005-07-23 c:\windows\KHALMNPR.Exe]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]
"_nltide_3"="advpack.dll" [2008-06-23 c:\windows\system32\advpack.dll]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)
[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=qagccd.dll qprdnn.dll tbhlns.dll
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages REG_MULTI_SZ msv1_0 nwprovau
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools]
--a------ 2006-11-12 11:48 157592 c:\neue programme\DAEMON Tools\daemon.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
--a------ 2006-12-18 17:32 25365032 c:\program files\Skype\Phone\Skype.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\C-Media Mixer]
-ra------ 2002-10-15 18:00 1818624 c:\windows\mixer.exe
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Neue Programme\\Die Gilde\\gilde.exe"=
"g:\\Neue Programme\\uTorrent\\utorrent.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
R2 NwSapAgent;SAP Agent;c:\windows\system32\svchost.exe -k netsvcs [4/14/2008 5:42:38 AM 14336]
R3 FWLANUSB;AVM FRITZ!WLAN;c:\windows\system32\DRIVERS\fwlanusb.sys [1/3/2001 12:34:25 AM 264704]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c930609a-e106-11d4-ad45-fea17e729f33}]
\Shell\AutoRun\command - G:\pushinst.exe
.
Contents of the 'Scheduled Tasks' folder
2008-12-29 c:\windows\Tasks\ughggmpu.job
- c:\windows\system32\rundll32.exe [2008-04-14 05:42]
.
- - - - ORPHANS REMOVED - - - -
MSConfigStartUp-585a9459 - c:\windows\system32\ywoxwuok.dll
MSConfigStartUp-WinampAgent - e:\neue programme\WinAmp Pro\Winamp\winampa.exe
.
------- Supplementary Scan -------
.
uStart Page = hxxp://www.google.com/
uInternet Connection Wizard,ShellNext = hxxp://conn.skype.com/
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\Administrator\Application Data\Mozilla\Firefox\Profiles\5ps89mmv.default\
FF - prefs.js: browser.search.selectedEngine - Wikipedia (de)
FF - prefs.js: browser.startup.homepage - google.de
FF - plugin: c:\neue programme\AdobeAcrobat\Reader\browser\nppdf32.dll
.
**************************************************************************
catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-29 17:10:03
Windows 5.1.2600 Service Pack 3 NTFS
scanning hidden processes ...
scanning hidden autostart entries ...
scanning hidden files ...
scan completed successfully
hidden files: 0
**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------
- - - - - - - > 'winlogon.exe'(780)
c:\windows\system32\Ati2evxx.dll
.
------------------------ Other Running Processes ------------------------
.
c:\windows\system32\ati2evxx.exe
c:\windows\system32\ati2evxx.exe
c:\program files\Avira\AntiVir PersonalEdition Classic\avguard.exe
c:\program files\Avira\AntiVir PersonalEdition Classic\sched.exe
c:\neue programme\Alcohol 120\StarWind\StarWindService.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Completion time: 2008-12-29 17:11:46 - machine was rebooted
ComboFix-quarantined-files.txt 2008-12-29 16:11:41
Pre-Run: 131.515.957.248 bytes free
Post-Run: 131,425,759,232 bytes free
148
Geändert von ElComandante (29.12.2008 um 17:20 Uhr) |
| Themen zu Browser hijacked und Explorer startet nicht |
| ad-aware, antivir, avira, browser, dll, explorer, firefox, herunterfahren, hijack, hkus\s-1-5-18, hotkey, immer wieder, internet, internet explorer, löschen, malware, messenger, microsoft, programme, rundll, senden, software, stick, trojaner, windows, windows xp, windows xp sp3, xp sp3 |