Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: RKIT/Agent.483456 in C:\WINDOWS\system32

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 07.04.2009, 18:22   #1
mika1
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



Hi, hoffentlich stürzt mein PC nicht gleich wieder ab...
Hab heute neuen Arbeitsspeicher gekauft, dachte zuerst dass es
daran liegt, stimmt aber nicht.
Antivir hat gerade 2 Schädlinge gefunden:

RKIT/Agent.483856 in C:\WINDOWS\system32\drivers\kbdqrk.sys

und

TR/TDss.vix in C:\System Volume Information\_restore{9B0900B7-6293-436E-84D8-32C4B09BFC4F}\RP29\A0008786.sys

Seitdem stürz ich dauernd, ab, kann kaum ins Internet
und Antivir und Zonealarm schalten sich regelmäßig von alleine (!)
aus.. Noch nie erlebt..


Kann mir jemand helfen bitte ?

Alt 07.04.2009, 18:27   #2
john.doe
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



Hallo und

GMER - Rootkit Detection
  • Lade Trallala von file-upload.net
  • Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
  • Doppelklick auf Trallala.exe
  • Der Reiter Rootkit oben ist schon angewählt
  • Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
  • nach Beendigung des Scan, drücke "Copy"
  • nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
  • Sollte GMER sagen "Gmer hasen´t found any System Modifikation", so hat GMER keine Einträge gefunden.

ciao, andreas
__________________

__________________

Alt 07.04.2009, 18:36   #3
RushHour777
Gesperrt
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



Hallo und wilkommen auf trojanerboard

bitte zuerst das abarbeiten http://www.trojaner-board.de/69886-a...-beachten.html
und die Ergebnisse hier reinstellen

mfg RushHour777
__________________

Alt 07.04.2009, 21:02   #4
mika1
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



hi, danke für die schnelle antwort.
pc läuft gerade etwas stabiler, AV/Zonealarm auch.
Soll ich jetzt der ersten oder zweiten Anweisung folgen?

ich mach einfach mal beides

Alt 07.04.2009, 21:09   #5
mika1
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



hier die trallala ergebnisse
der rest dauert leider noch bisschen

http://www.materialordner.de/4qqRJxB6AmagQg3cSDvS7vRbsG9jW0KP.html


Alt 07.04.2009, 21:12   #6
john.doe
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



Das Log von Gmer (Trallala) ist nicht vollständig. Bitte nocheinmal hochladen.

ciao, andreas
__________________
--> RKIT/Agent.483456 in C:\WINDOWS\system32

Alt 07.04.2009, 21:47   #7
mika1
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



so jetzt

http://www.materialordner.de/LrudFr04VKdT0OtJFmVEOKk0Zd3D6adH.html

danke

Alt 07.04.2009, 22:21   #8
john.doe
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



1.) Deinstalliere Zonealarm.

2.) Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:
  • Doppelklick auf das Avenger-Symbol
  • Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"
Code:
ATTFilter
Drivers to delete:
ovfsthlwmitafwkpamrxlyapulnbefrprqxeow 

Registry keys to delete:
HKLM\SYSTEM\ControlSet002\Services\ovfsthlwmitafwkpamrxlyapulnbefrprqxeow

Folders to delete:
C:\Program Files\Mozilla Firefox\extensions\{FA555011-84A3-4CBE-ADE6-6D30F05A4A89}

Files to delete:
C:\Program Files\Mozilla Firefox\extensions\{FA555011-84A3-4CBE-ADE6-6D30F05A4A89}
C:\WINDOWS\system32\drivers\ovfsthtrsmpnabpxdqyrblibvqpeqbjuyxmfjw.sys
C:\WINDOWS\system32\ovfsthbilofkicmothqowqbfuvkpgxxekeufxb.dll
C:\WINDOWS\system32\ovfsthxeajcbfmsgvjriflxfnvipurmpxvhjyd.dat
C:\WINDOWS\system32\ovfsthtsvyriedwvrxuofublfvsiwwmymnuojm.dll
C:\WINDOWS\system32\ovfsthuoccvsollqyrdgebqinnkcssmxlivqwi.dll
C:\WINDOWS\system32\ovfsthiexhwcbplxwgbwfykogxkfdgwoyprlav.dat
         
  • Schliesse nun alle Programme und Browser-Fenster
  • Um den Avenger zu starten klicke auf -> Execute
  • Dann bestätigen mit "Yes" das der Rechner neu startet
  • Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt
  • Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

3.) Poste ein neues Gmer-Log.

ciao, andreas
__________________
Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung!
Privatbetreuung nur gegen Bezahlung und ich koste sehr teuer.
Für alle Neuen
Anleitungen
Virenscanner
Kompromittierung unvermeidbar?

Alt 07.04.2009, 22:22   #9
mika1
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



lasse CCleaner laufen.
starte malwarebytes.
malwarebytes hängt sich im scan auf-
program not responding.
ändert sich auch nicht wenn man 30 minuten wartet.

Alt 07.04.2009, 22:26   #10
john.doe
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



Vergiss die anderen Programme, jetzt Avenger. Der Rootkit muss weg, der blockiert alle anderen Programme.

ciao, andreas
__________________
Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung!
Privatbetreuung nur gegen Bezahlung und ich koste sehr teuer.
Für alle Neuen
Anleitungen
Virenscanner
Kompromittierung unvermeidbar?

Alt 07.04.2009, 23:09   #11
mika1
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



hier die avenger-file: http://www.materialordner.de/PrJaFhLb5DzziKB424kLV3Uy7IzDfTBV.html

gmer läuft noch.

danke!

Alt 07.04.2009, 23:23   #12
john.doe
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



Code:
ATTFilter
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Driver "ovfsthlwmitafwkpamrxlyapulnbefrprqxeow" deleted successfully.
Registry key "HKLM\SYSTEM\ControlSet002\Services\ovfsthlwmitafwkpamrxlyapulnbefrprqxeow" deleted successfully.
Folder "C:\Program Files\Mozilla Firefox\extensions\{FA555011-84A3-4CBE-ADE6-6D30F05A4A89}" deleted successfully.

Error:  file "C:\Program Files\Mozilla Firefox\extensions\{FA555011-84A3-4CBE-ADE6-6D30F05A4A89}" not found!
Deletion of file "C:\Program Files\Mozilla Firefox\extensions\{FA555011-84A3-4CBE-ADE6-6D30F05A4A89}" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\drivers\ovfsthtrsmpnabpxdqyrblibvqpeqbjuyxmfjw.sys" not found!
Deletion of file "C:\WINDOWS\system32\drivers\ovfsthtrsmpnabpxdqyrblibvqpeqbjuyxmfjw.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\ovfsthbilofkicmothqowqbfuvkpgxxekeufxb.dll" deleted successfully.
File "C:\WINDOWS\system32\ovfsthxeajcbfmsgvjriflxfnvipurmpxvhjyd.dat" deleted successfully.
File "C:\WINDOWS\system32\ovfsthtsvyriedwvrxuofublfvsiwwmymnuojm.dll" deleted successfully.
File "C:\WINDOWS\system32\ovfsthuoccvsollqyrdgebqinnkcssmxlivqwi.dll" deleted successfully.
File "C:\WINDOWS\system32\ovfsthiexhwcbplxwgbwfykogxkfdgwoyprlav.dat" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.
         

Alt 07.04.2009, 23:33   #13
mika1
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



ok sorry, war zu blöd daß hier in der richtigen Form
zu posten- kommt nicht mehr vor.

hier die GMER file!

http://www.materialordner.de/plZgvfYfsIipvfRHmJtvTzeALoO6fdj.html

Alt 07.04.2009, 23:40   #14
john.doe
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



Zitat:
ok sorry, war zu blöd daß hier in der richtigen Form zu posten
Kein Problem, beim Materialordner verschwinden sie nach einiger Zeit. Da es hier was neues ist, interessiert das vll einige.
Zitat:
hier die GMER file!
Gekillt.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK
Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
    Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas
__________________
Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung!
Privatbetreuung nur gegen Bezahlung und ich koste sehr teuer.
Für alle Neuen
Anleitungen
Virenscanner
Kompromittierung unvermeidbar?

Alt 08.04.2009, 00:30   #15
mika1
 
RKIT/Agent.483456 in C:\WINDOWS\system32 - Standard

RKIT/Agent.483456 in C:\WINDOWS\system32



hab antivir irgendwie nicht ganz ausbekommen, im task manager kann ich
ihn nicht beenden. hoffe ich habe alles richtig gemacht

Code:
ATTFilter
ComboFix 09-04-04.01 - Snitch Snitchovic 2009-04-08  0:23:25.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.1.1033.18.1023.694 [GMT 2:00]
Running from: c:\documents and settings\Snitch Snitchovic\Desktop\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated)
.

(((((((((((((((((((((((((   Files Created from 2009-03-07 to 2009-04-07  )))))))))))))))))))))))))))))))
.

2009-04-07 21:49 . 2009-04-07 21:49	<DIR>	d--------	c:\program files\Malwarebytes' Anti-Malware
2009-04-07 21:49 . 2009-04-07 21:49	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\Malwarebytes
2009-04-07 21:49 . 2009-04-07 21:49	<DIR>	d--------	c:\documents and settings\All Users\Application Data\Malwarebytes
2009-04-07 21:49 . 2009-04-06 15:32	38,496	--a------	c:\windows\system32\drivers\mbamswissarmy.sys
2009-04-07 21:49 . 2009-04-06 15:32	15,504	--a------	c:\windows\system32\drivers\mbam.sys
2009-04-06 11:43 . 2009-04-06 11:43	<DIR>	d--------	c:\program files\Realtek AC97
2009-04-06 01:36 . 2009-04-07 15:44	<DIR>	d--------	c:\program files\SUPERAntiSpyware
2009-04-06 01:36 . 2009-04-06 01:36	<DIR>	d--------	c:\program files\Common Files\Wise Installation Wizard
2009-04-06 01:36 . 2009-04-06 01:36	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\SUPERAntiSpyware.com
2009-04-06 01:36 . 2009-04-06 01:36	<DIR>	d--------	c:\documents and settings\All Users\Application Data\SUPERAntiSpyware.com
2009-04-06 00:56 . 2009-04-06 00:56	<DIR>	d--------	c:\documents and settings\All Users\Application Data\Soulseek
2009-04-06 00:55 . 2009-04-06 00:55	<DIR>	d--------	c:\program files\SoulseekNS
2009-04-02 01:23 . 2009-04-02 07:44	<DIR>	d--------	c:\program files\Google
2009-04-01 19:02 . 2009-04-01 19:02	<DIR>	d--------	c:\program files\JAM Software
2009-04-01 19:02 . 2009-04-01 19:02	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\JAM Software
2009-04-01 03:06 . 2009-04-01 03:06	<DIR>	d--------	c:\windows\system32\KB905474
2009-04-01 03:06 . 2009-03-10 22:26	1,403,264	--a------	c:\windows\system32\KB905474\wganotifypackageinner.exe
2009-04-01 03:06 . 2009-03-10 22:18	453,512	--a------	c:\windows\system32\KB905474\wgasetup.exe
2009-04-01 03:06 . 2009-02-09 18:51	12,490	--a------	c:\windows\system32\KB905474\wga_eula.txt
2009-03-31 23:27 . 2008-08-14 12:11	2,189,184	---------	c:\windows\system32\dllcache\ntoskrnl.exe
2009-03-31 23:27 . 2008-08-14 12:09	2,145,280	---------	c:\windows\system32\dllcache\ntkrnlmp.exe
2009-03-31 23:27 . 2008-08-14 11:33	2,066,048	---------	c:\windows\system32\dllcache\ntkrnlpa.exe
2009-03-31 23:27 . 2008-08-14 11:33	2,023,936	---------	c:\windows\system32\dllcache\ntkrpamp.exe
2009-03-31 23:27 . 2008-06-13 13:05	272,128	---------	c:\windows\system32\drivers\bthport.sys
2009-03-31 23:27 . 2008-06-13 13:05	272,128	---------	c:\windows\system32\dllcache\bthport.sys
2009-03-31 23:25 . 2008-09-04 19:15	1,106,944	---------	c:\windows\system32\dllcache\msxml3.dll
2009-03-31 23:25 . 2008-10-15 18:34	337,408	---------	c:\windows\system32\dllcache\netapi32.dll
2009-03-31 23:25 . 2008-10-03 12:02	247,326	---------	c:\windows\system32\dllcache\strmdll.dll
2009-03-31 17:20 . 2009-04-01 03:06	<DIR>	d--h-----	c:\windows\$hf_mig$
2009-03-30 19:57 . 2009-04-06 23:24	281	--a------	c:\windows\BeatBox.INI
2009-03-30 15:39 . 2009-04-06 23:24	28	--a------	c:\windows\Robota.INI
2009-03-30 15:38 . 2009-03-30 15:38	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\MAGIX
2009-03-30 15:38 . 2001-05-11 13:18	420,240	--a------	c:\windows\system32\mpg4c32.dll
2009-03-30 15:38 . 2001-05-16 17:54	309,616	--a------	c:\windows\system32\wmv8dmod.dll
2009-03-30 15:38 . 2001-03-26 04:41	245,760	--a------	c:\windows\system32\mp4sds32.ax
2009-03-30 15:36 . 2009-04-08 00:20	<DIR>	d--------	c:\documents and settings\All Users\Application Data\MAGIX
2009-03-30 15:32 . 2009-04-08 00:20	<DIR>	d--------	c:\program files\MAGIX
2009-03-30 15:32 . 2007-04-27 10:43	120,200	--a------	c:\windows\system32\DLLDEV32i.dll
2009-03-30 15:31 . 2009-04-08 00:20	<DIR>	d--------	c:\windows\system32\MAGIX
2009-03-30 15:31 . 2008-04-15 16:14	700,416	--a------	c:\windows\system32\mgxoschk.dll
2009-03-30 15:31 . 2009-03-30 15:41	5,937	--a------	c:\windows\mgxoschk.ini
2009-03-28 15:17 . 2009-03-28 15:17	<DIR>	d--------	c:\windows\Sun
2009-03-28 05:32 . 2009-03-28 05:32	<DIR>	d--------	c:\program files\Avira
2009-03-28 05:32 . 2009-03-28 05:32	<DIR>	d--------	c:\documents and settings\All Users\Application Data\Avira
2009-03-28 05:32 . 2009-02-13 12:31	55,640	--a------	c:\windows\system32\drivers\avgntflt.sys
2009-03-28 05:30 . 2009-03-28 05:30	<DIR>	d--------	c:\program files\Safer Networking
2009-03-28 05:29 . 2009-03-28 05:33	<DIR>	d--------	c:\program files\Spybot - Search & Destroy
2009-03-28 05:29 . 2009-04-07 18:03	<DIR>	d--------	c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2009-03-28 02:07 . 2009-03-28 02:07	<DIR>	d--------	c:\documents and settings\All Users\Application Data\MailFrontier
2009-03-28 02:07 . 2004-04-27 05:40	11,264	--a------	c:\windows\system32\SpOrder.dll
2009-03-28 02:07 . 2009-03-28 02:09	4,212	---h-----	c:\windows\system32\zllictbl.dat
2009-03-28 02:05 . 2009-04-07 22:26	<DIR>	d--------	c:\windows\Internet Logs
2009-03-26 14:39 . 2009-04-02 13:21	<DIR>	d--------	c:\program files\SSS
2009-03-26 14:39 . 2005-04-14 02:00	322,560	--a------	c:\windows\SSSUn.EXE
2009-03-26 14:39 . 2009-03-26 14:39	1,191	-r-------	c:\windows\SimpleScreenshot_Uninstall.ins
2009-03-20 15:03 . 2009-03-20 15:03	<DIR>	d--------	c:\program files\Winamp
2009-03-20 15:03 . 2009-03-24 17:46	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\Winamp
2009-03-19 16:29 . 2009-03-19 16:29	<DIR>	d--------	c:\documents and settings\All Users\Application Data\Symantec
2009-03-16 14:30 . 2009-03-30 03:04	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\temp
2009-03-16 14:30 . 2009-03-16 14:30	<DIR>	dr-h-----	c:\documents and settings\Snitch Snitchovic\Application Data\SecuROM
2009-03-16 14:30 . 2009-03-16 14:30	107,888	--a------	c:\windows\system32\CmdLineExt.dll
2009-03-16 14:02 . 2009-03-16 14:02	27	--a------	c:\windows\system32\mcheck.mhf
2009-03-16 14:01 . 2009-03-16 14:01	<DIR>	d--------	c:\program files\SlySoft
2009-03-16 14:01 . 2008-12-16 14:12	40,072	--a------	c:\windows\system32\drivers\maploml.sys
2009-03-16 14:01 . 2008-12-16 14:13	38,536	--a------	c:\windows\system32\drivers\maplom.sys
2009-03-16 01:10 . 2009-03-16 01:10	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\TuneUp Software
2009-03-16 01:09 . 2009-03-16 01:09	<DIR>	d--------	c:\documents and settings\All Users\Application Data\TuneUp Software
2009-03-15 22:14 . 2009-03-15 22:14	0	--a------	c:\windows\editor.INI
2009-03-15 14:59 . 2009-04-06 02:45	<DIR>	d--------	c:\program files\DAEMON Tools Lite
2009-03-15 14:58 . 2009-03-15 14:58	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\DAEMON Tools
2009-03-15 13:54 . 2009-03-15 13:54	717,296	--a------	c:\windows\system32\drivers\sptd.sys
2009-03-15 01:39 . 2009-03-15 01:39	<DIR>	d--------	c:\program files\Bonjour
2009-03-15 01:23 . 2009-03-15 01:23	<DIR>	d--------	c:\program files\Common Files\Macrovision Shared
2009-03-15 01:21 . 2009-03-24 16:38	<DIR>	d--------	c:\program files\Common Files\Adobe
2009-03-14 18:56 . 2009-03-14 18:56	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\DivX
2009-03-14 05:00 . 2009-03-14 05:01	<DIR>	d--------	c:\program files\DivX
2009-03-14 05:00 . 2009-03-14 05:00	<DIR>	d--------	c:\program files\Common Files\DivX Shared
2009-03-14 01:47 . 2009-03-14 03:50	<DIR>	d--------	c:\program files\Soulseek
2009-03-13 05:18 . 2009-03-13 05:22	<DIR>	d--------	c:\program files\AdVantage
2009-03-13 05:06 . 2009-03-13 05:06	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\Kazaa Lite
2009-03-13 04:53 . 2009-03-13 05:07	<DIR>	d--------	c:\program files\K-Lite
2009-03-13 04:53 . 2009-03-13 04:53	<DIR>	d--------	C:\My Shared Folder
2009-03-13 04:53 . 1998-06-26 03:00	1,062,704	--a------	c:\windows\system32\MSCOMCTL.OCX
2009-03-13 04:53 . 1998-06-24 03:00	108,336	--a------	c:\windows\system32\MSWINSCK.OCX
2009-03-13 00:38 . 2009-03-16 01:00	<DIR>	d--------	c:\program files\uTorrent
2009-03-13 00:38 . 2009-04-06 11:16	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\uTorrent
2009-03-13 00:14 . 2009-03-16 00:57	<DIR>	d--------	c:\program files\QIP Infium
2009-03-13 00:14 . 2009-03-13 00:14	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\QIP
2009-03-13 00:11 . 2009-03-13 00:11	<DIR>	d--------	c:\program files\QIP
2009-03-12 23:42 . 2009-03-12 23:42	<DIR>	d--------	c:\documents and settings\Snitch Snitchovic\Application Data\vlc
2009-03-12 23:15 . 2008-04-14 04:09	142,592	--a------	c:\windows\system32\drivers\aec.sys
2009-03-12 23:15 . 2008-04-14 06:47	83,072	--a------	c:\windows\system32\drivers\wdmaud.sys
2009-03-12 23:15 . 2008-04-14 06:15	56,576	--a------	c:\windows\system32\drivers\swmidi.sys
2009-03-12 23:15 . 2008-04-14 06:15	52,864	--a------	c:\windows\system32\drivers\DMusic.sys
2009-03-12 23:15 . 2006-08-01 15:02	49,152	--a------	c:\windows\system32\ChCfg.exe
2009-03-12 23:15 . 2008-04-14 06:15	6,272	--a------	c:\windows\system32\drivers\splitter.sys
2009-03-12 23:14 . 2009-04-06 11:30	<DIR>	d--h-----	c:\program files\InstallShield Installation Information
2009-03-12 23:14 . 2009-04-06 02:46	<DIR>	d--------	c:\program files\Common Files\InstallShield
2009-03-12 22:40 . 2009-03-28 01:53	<DIR>	d--------	c:\documents and settings\All Users\Application Data\Norton
2009-03-12 22:39 . 2009-03-12 22:39	<DIR>	d--------	c:\documents and settings\All Users\Application Data\NortonInstaller
2009-03-12 22:35 . 2009-03-12 22:35	<DIR>	d--------	c:\program files\VideoLAN
2009-03-12 22:09 . 2009-03-12 22:09	410,984	--a------	c:\windows\system32\deploytk.dll

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-07 20:16	---------	d-----w	c:\program files\CCleaner
2009-04-07 13:59	116,145	----a-w	c:\windows\Internet Logs\vsmon_2nd_2009_04_07_15_53_50_small.dmp.zip
2009-04-07 13:34	112,099	----a-w	c:\windows\Internet Logs\vsmon_2nd_2009_04_07_15_29_11_small.dmp.zip
2009-04-07 13:15	113,528	----a-w	c:\windows\Internet Logs\vsmon_2nd_2009_04_07_15_08_14_small.dmp.zip
2009-04-06 02:12	---------	d-----w	c:\program files\VistaExperience.org
2009-03-13 03:09	---------	d-----w	c:\program files\Unlocker
2009-03-12 20:34	---------	d-----w	c:\program files\Resource Hacker 3.4.0
2009-03-12 20:09	---------	d-----w	c:\program files\Java
2009-03-12 19:47	---------	d-----w	c:\program files\Styler
2009-03-12 19:46	---------	d-----w	c:\documents and settings\Snitch Snitchovic\Application Data\Styler
2009-03-12 19:28	---------	d-----w	c:\program files\Windows Media Connect 2
2009-03-12 19:27	---------	d-----w	c:\program files\Alky for Applications
2009-03-12 19:25	---------	d-----w	c:\program files\Common Files\Java
2009-03-12 19:22	---------	d-----w	c:\program files\MSBuild
2009-03-12 19:21	---------	d-----w	c:\program files\Reference Assemblies
2009-03-12 19:09	---------	d-----w	c:\program files\LClock
2009-03-12 19:09	---------	d-----w	c:\program files\Desktop
2009-03-12 19:08	---------	d-----w	c:\program files\Microsoft PowerToys
2009-03-12 19:08	---------	d-----w	c:\program files\HashTab Shell Extension
2009-02-09 11:13	1,846,784	----a-w	c:\windows\system32\win32k.sys
2009-02-09 11:13	1,846,784	------w	c:\windows\system32\dllcache\win32k.sys
2009-01-27 01:35	120,056	------w	c:\windows\system32\pxcpyi64.exe
2009-01-27 01:35	118,520	------w	c:\windows\system32\pxinsi64.exe
2009-01-27 01:34	90,112	----a-w	c:\windows\system32\dpl100.dll
2009-01-27 01:34	823,296	----a-w	c:\windows\system32\divx_xx0c.dll
2009-01-27 01:34	823,296	----a-w	c:\windows\system32\divx_xx07.dll
2009-01-27 01:34	815,104	----a-w	c:\windows\system32\divx_xx0a.dll
2009-01-27 01:34	802,816	----a-w	c:\windows\system32\divx_xx11.dll
2009-01-27 01:34	684,032	----a-w	c:\windows\system32\DivX.dll
2009-01-16 16:24	3,596,288	------w	c:\windows\system32\dllcache\mshtml.dll
.

(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LClock"="c:\program files\LClock\LClock.exe" [2004-09-19 65536]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"UnlockerAssistant"="c:\program files\Unlocker\UnlockerAssistant.exe" [2006-09-07 15872]
"SoundMan"="SOUNDMAN.EXE" [2007-04-16 c:\windows\soundman.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"ShowDeskFix"="shell32" [X]
"nltide_3"="advpack.dll" [2008-12-21 c:\windows\system32\advpack.dll]

c:\documents and settings\Snitch Snitchovic\Start Menu\Programs\Startup\
Styler.lnk - c:\documents and settings\Snitch Snitchovic\Application Data\Microsoft\Installer\{E9ECF354-2422-4FDB-9ABF-D8ADAC0EF941}\_585b207a.exe [2009-03-12 15086]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\program files\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2008-12-22 12:05 356352 c:\program files\SUPERAntiSpyware\SASWINLO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
--a------ 2008-06-12 03:38 34672 c:\program files\Adobe\Reader 9.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools Lite]
--a------ 2008-07-24 17:02 490952 c:\program files\DAEMON Tools Lite\daemon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
--a------ 2009-03-12 22:09 136600 c:\program files\Java\jre6\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SUPERAntiSpyware]
--a------ 2009-03-23 14:07 1830128 c:\program files\SUPERAntiSpyware\SUPERAntiSpyware.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
--a------ 2009-03-09 17:49 37888 c:\program files\Winamp\winampa.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"WMPNetworkSvc"=3 (0x3)
"CiSvc"=3 (0x3)
"helpsvc"=2 (0x2)
"ERSvc"=2 (0x2)
"wuauserv"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\uTorrent\\uTorrent.exe"=
"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=

R1 SASDIFSV;SASDIFSV;c:\program files\SUPERAntiSpyware\sasdifsv.sys [2009-03-23 9968]
R1 SASKUTIL;SASKUTIL;c:\program files\SUPERAntiSpyware\SASKUTIL.SYS [2009-03-23 72944]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-03-28 108289]
R3 MaplomL;MaplomL;c:\windows\system32\drivers\maploml.sys [2009-03-16 40072]
S2 gupdate1c9b32171f6d04;Google Update Service (gupdate1c9b32171f6d04);c:\program files\Google\Update\GoogleUpdate.exe [2009-04-02 133104]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;c:\program files\MAGIX\Common\Database\bin\fbserver.exe [2009-03-30 1527900]
S3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [2009-04-07 38496]
S3 SASENUM;SASENUM;c:\program files\SUPERAntiSpyware\SASENUM.SYS [2009-03-23 7408]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{D58F39FF-953E-4F45-898F-59F243B9A523}]
RUNDLL32 advpack.dll,LaunchINFSection Sidebar.inf,Register
.
Contents of the 'Scheduled Tasks' folder

2009-04-03 c:\windows\Tasks\1-Klick-Wartung.job
- c:\program files\TuneUp Utilities 2006\SystemOptimizer.exe []

2009-04-07 c:\windows\Tasks\GoogleUpdateTaskMachine.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-04-02 01:24]

2009-04-07 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-03-10 22:18]
.
.
------- Supplementary Scan -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = *.local
FF - ProfilePath - c:\documents and settings\Snitch Snitchovic\Application Data\Mozilla\Firefox\Profiles\vm6lje7l.default\
FF - plugin: c:\program files\Google\Update\1.2.141.5\npGoogleOneClick7.dll
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-08 00:24:19
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...  

scanning hidden autostart entries ... 

scanning hidden files ...  

scan completed successfully
hidden files: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'winlogon.exe'(700)
c:\program files\SUPERAntiSpyware\SASWINLO.dll
.
Completion time: 2009-04-08  0:25:29
ComboFix-quarantined-files.txt  2009-04-07 22:25:27
ComboFix2.txt  2009-04-07 22:16:01

Pre-Run: 1.195.810.816 bytes free
Post-Run: 1,188,507,648 bytes free

235	--- E O F ---	2009-04-03 20:37:11
         

Geändert von mika1 (08.04.2009 um 00:36 Uhr)

Antwort

Themen zu RKIT/Agent.483456 in C:\WINDOWS\system32
arbeitsspeicher, c:\windows, dauernd, formation, gefunde, gekauft, heute, hoffe, information, inter, interne, neue, neuen, restore, rkit/agent.483856, schädlinge, stürzt, system, system volume information, system32, volume, windows, zonealarm, _restore



Ähnliche Themen: RKIT/Agent.483456 in C:\WINDOWS\system32


  1. TR/Agent.AOXU und RKIT/Agent.depg.1
    Plagegeister aller Art und deren Bekämpfung - 25.07.2012 (3)
  2. RKIT/Agent.AW
    Plagegeister aller Art und deren Bekämpfung - 06.01.2011 (1)
  3. RKIT/agent.biiu, TR/agent.ruo, TR/Crypt.ZPACK.Gen alle guten Dinge sind drei hahahaha
    Plagegeister aller Art und deren Bekämpfung - 06.09.2010 (25)
  4. RKIT/Bubnix.AU in C:\Windows\System32\drivers\jzhkpqtl.sys
    Plagegeister aller Art und deren Bekämpfung - 17.08.2010 (24)
  5. Rootkit RKIT/Bubnix.S in C:\Windows\System32\drivers\...sys gefunden
    Log-Analyse und Auswertung - 20.05.2010 (3)
  6. TR/Agent.RUO.3 in der Datei 'C:\Windows\System32\wineon.dll' und DR/Agent.ruo ...
    Plagegeister aller Art und deren Bekämpfung - 14.04.2010 (6)
  7. TR/Agent.ruo in C:\Windows\system32\ntnluj.dll
    Plagegeister aller Art und deren Bekämpfung - 08.04.2010 (9)
  8. TR/Agent.ruo in in C:\Windows\system32\d3dsnpq.dll
    Plagegeister aller Art und deren Bekämpfung - 31.03.2010 (10)
  9. tr/agent.ruo in C:\Windows\System32\winexxqd.dll
    Plagegeister aller Art und deren Bekämpfung - 30.03.2010 (10)
  10. TR/Agent.ruo in Windows System32 d3dszdmd.dll
    Plagegeister aller Art und deren Bekämpfung - 29.03.2010 (3)
  11. TR/Agent.ruo in in C:\Windows\system32\wineayy.dll
    Plagegeister aller Art und deren Bekämpfung - 29.03.2010 (4)
  12. TR/Agent.ruo in C:\Windows\System32\d3dsmnpb.dll
    Plagegeister aller Art und deren Bekämpfung - 29.03.2010 (2)
  13. TR/agent.ruo in C:WINDOWS\System32\ntnyjop.dll
    Plagegeister aller Art und deren Bekämpfung - 29.03.2010 (1)
  14. RKIT/Agent.483856 in C:\WINDOWS\system32\drivers\ntnxf.sys
    Plagegeister aller Art und deren Bekämpfung - 10.04.2009 (1)
  15. Rootkit (RKIT/Agent.483856) in system32
    Plagegeister aller Art und deren Bekämpfung - 10.04.2009 (4)
  16. RKIT/Agent.WK
    Plagegeister aller Art und deren Bekämpfung - 21.02.2008 (1)
  17. TR/RKit.Agent.Q
    Plagegeister aller Art und deren Bekämpfung - 14.07.2005 (9)

Zum Thema RKIT/Agent.483456 in C:\WINDOWS\system32 - Hi, hoffentlich stürzt mein PC nicht gleich wieder ab... Hab heute neuen Arbeitsspeicher gekauft, dachte zuerst dass es daran liegt, stimmt aber nicht. Antivir hat gerade 2 Schädlinge gefunden: RKIT/Agent.483856 - RKIT/Agent.483456 in C:\WINDOWS\system32...
Archiv
Du betrachtest: RKIT/Agent.483456 in C:\WINDOWS\system32 auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.