Inetbrowser stürtz ab, Aufhänger nach booten,...

Keelo · 28.08.2009, 22:18

Guten Abend.
Ich habe das Gefühl, dass ich einen/mehrer Viren auf dem PC hab. Meine Probleme sehen wie folgt aus: Zum einen hängt sich mein Pc auf wenn ich ein Benutzerkonto auswählen will, nach dem hochfahren. Das andere Problem wäre, wenn ich z.B. in Google suche und dann auf einen Link klicke, er nicht diesen Link öffnet sondern eine völlig andere Seite. Außerdem stürzt der Browser bei manchen Seiten einfach ab. Hierfür habe ich immer firefox benutzt, da wenn ich den Internetexplorer öffne, sich mein ganzer pc aufhängt. Hoffe ihr könnt mir da weiterhelfen. Die Festplatte formatieren wäre für mich die letzte Möglichkeit. Achja und heute hab ich eine email von der ebay sicherheitsabteilung bekommen und darin stand, dass ohne meine erlaubnis von einem anderen pc auf mein konto zugegriffen wurde... Wie man merkt bin ich noch ganz neu und hab mir auch die goldenen Regeln durchgelesen und weiss jetzt nicht genau welche Logs ihr jetzt alles braucht..

mfg Keelo

kira · 28.08.2009, 22:31

Hallo und Herzlich Willkommen!

- Die Anweisungen bitte gründlich lesen und immer streng einhalten, da ich die Reihenfolge nach bestimmten Kriterien vorbereitet habe:

1.
Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen :
Achtung!::
gleich beim Download v. Gmer, musst Du die Installdatei also gmer.exe umbenennen! Wähle eine beliebige Dateiname, die Endung soll *.com sein!

- also lade Dir Gmer herunter
- entpacke es auf deinen Desktop und Starte gmer.exe<-hier "umbenannt.com".
- [b]schließe alle Programme, ausserdem Antiviren und andere Schutzprogramme usw müssen deaktiviert sein, keine Verbindung zum Internet, WLAN auch trennen)
- bitte nichts am Pc machen während der Scan läuft!
- klicke auf "Scan", um das Tool zu starten
- wenn der Scan fertig ist klicke auf "Copy" (das Log wird automatisch in die Zwischenablage kopiert) und mit STRG + V musst Du gleich da einfügen
- mit "Ok" wird GMER beendet.
- das Log aus der Zwischenablage hier in Deinem Thread vollständig hineinkopieren

** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen
Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren!

2.
lade Dir HijackThis 2.0.2 von *von hier* herunter
HijackThis starten→ "Do a system scan and save a logfile" klicken→ das erhaltene Logfile "markieren" → "kopieren"→ hier in deinem Thread (rechte Maustaste) "einfügen"

3.
ich brauche mehr `Übersicht` bzw Daten über einen längeren Zeitraum - dazu bitte Versteckte - und Systemdateien sichtbar machen::
→ Klicke unter Start auf Arbeitsplatz.
→ Klicke im Menü Extras auf Ordneroptionen.
→ Dateien und Ordner/Erweiterungen bei bekannten Dateitypen ausblenden → Haken entfernen
→ Geschützte und Systemdateien ausblenden → Haken entfernen
→ Versteckte Dateien und Ordner/Alle Dateien und Ordner anzeigen → Haken setzen.
→ Bei "Geschützte Systemdateien ausblenden" darf kein Häkchen sein und "Alle Dateien und Ordner anzeigen" muss aktiviert sein.

4.
Für XP und Win2000 (ansonsten auslassen)
→ lade Dir das filelist.zip auf deinen Desktop herunter
→ entpacke die Zip-Datei auf deinen Desktop
→ starte nun mit einem Doppelklick auf die Datei "filelist.bat" - Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
→ kopiere aus die erzeugten Logfile alle 7 Verzeichnisse ("C\...") usw - aber nur die Einträge der letzten 6 Monate - hier in deinem Thread
** vor jedem Eintrag steht ein Datum, also Einträge, die älter als 6 Monate sind bitte herauslöschen!

5.
Ich würde gerne noch all deine installierten Programme sehen:
Lade dir das Tool CCleaner herunter
installieren ("Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ unter Options settings-> "german" einstellen
dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

Zitat:

Damit dein Thread übersichtlicher und schön lesbar bleibt, am besten nutze den Code-Tags für deinen Post:
→ vor dein Log schreibst Du:[code]
hier kommt dein Logfile rein
→ dahinter:[/code]

** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw

gruß
Coverflow

Keelo · 28.08.2009, 22:39

Also wegen dem gleich umbennen... kann ich auch erst die zip runterladen wenn ich die dann hab benenn ich sie um... oder muss es direkt vor download sein? wenn ja wie geht das

kira · 28.08.2009, 22:48

bevor Du "gmer.exe" speicherst, musst es machen

Keelo · 28.08.2009, 23:15

Hmm ich hab jetzt den GMER laufen lassen und dann wollt ich des eben kopieren aber dann hat sich mein pc wieder aufgehangen...

Keelo · 01.09.2009, 17:40

hi

Zitat:

1.
Die Funde kannst ja per Hand löschen.

Ehm.. naja ich kapier diese riesige Logfile nicht ganz und weiss nicht wo sich die dateien genau befinden...

Das mit Dr. Web CureIT mach ich später da ich jetzt Fahrschule hab. Zu meinem System: Es läuft alles wie geschmiert!

hat also auf jeden Fall geholfen.

kira · 01.09.2009, 17:54

OK, dann mache erstmal weiter mit : 2-3-4..dann sehen wir weiter

Keelo · 29.08.2009, 00:01

Zu guter letzt noch das mit CCleaner.

Code:

ATTFilter

ASIO4ALL
Avira AntiVir Personal - Free Antivirus
CCleaner (remove only)
Combat Arms EU
Cross Fire En
D-Link AirPlus G+ Wireless Adapter Utility
EVEREST Ultimate Edition v5.02
FL Studio 8
Fraps (remove only)
GIMP 2.4.7
Hamachi 1.0.3.0
High Definition Audio Driver Package - KB888111
HijackThis 2.0.2
HP Customer Participation Program 9.0
HP Deskjet All-In-One Software 9.0
HP Imaging Device Functions 9.0
HP OCR Software 9.0
HP Photosmart Essential 3.0
HP Smart Web Printing
HP Solution Center 9.0
HP Update
HPSSupply
ICQ6.5
Java(TM) 6 Update 13
Java(TM) 6 Update 3
Java(TM) 6 Update 5
Java(TM) 6 Update 7
K-Lite Codec Pack 4.0.0 (Full)
Kquery4 (remove only)
L&H TTS3000 Deutsch
LevelR
Logitech Desktop Messenger
Logitech G11 Keyboard Software 1.03
Logitech SetPoint 5.00
Lords of Everquest Deutsche Version (Ubisoft)
Macromedia Extension Manager
Macromedia Flash 8 Video Encoder
Marvell Miniport Driver
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1 German Language Pack
Microsoft .NET Framework 1.1 Hotfix (KB928366)
Microsoft .NET Framework 2.0 Service Pack 2
Microsoft .NET Framework 2.0 Service Pack 2 Language Pack - DEU
Microsoft .NET Framework 3.0 Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 Language Pack - DEU
Microsoft .NET Framework 3.5 Language Pack SP1 - DEU
Microsoft .NET Framework 3.5 SP1
Microsoft Compression Client Pack 1.0 for Windows XP
Microsoft Office Professional Edition 2003
Microsoft Silverlight
Microsoft SQL Server Desktop Engine (SONY_MEDIAMGR)
Microsoft User-Mode Driver Framework Feature Pack 1.5
Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053
Microsoft Visual C++ 2005 Redistributable
Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
Mozilla Firefox (3.5.2)
MSXML 4.0 SP2 (KB936181)
MSXML 4.0 SP2 (KB954430)
MSXML 6 Service Pack 2 (KB954459)
MTG GamePack for Magic Workstation
Nokia Connectivity Cable Driver
NVIDIA Drivers
Pando Media Booster
PC Connectivity Solution
PC Probe II
PunkBuster Services
Realtek High Definition Audio Driver
Skype™ 4.0
SopCast 3.0.3
SpeedFan (remove only)
Steam
SweetIM Toolbar for Internet Explorer 3.3
Techno4ever Player
Techno4ever Toolbar
Toxic Biohazard
Uninstall 1.0.0.1
VideoLAN VLC media player 0.8.6d
viDrop
WhiteBoardMeeting
Winamp
Winamp Toolbar for Firefox
Winamp Toolbar for Internet Explorer
Windows Installer 3.1 (KB893803)
Windows Internet Explorer 7
Windows Media Format 11 runtime
Windows Media Player 11
Windows-Treiberpaket - Nokia Modem  (02/15/2007 3.1)
Windows-Treiberpaket - Nokia Modem  (03/05/2008 3.7)
Windows-Treiberpaket - Nokia Modem  (03/13/2008 6.86.0.1)
Windows-Treiberpaket - Nokia Modem  (08/03/2007 6.84.0.2)
Windows-Treiberpaket - Nokia Modem  (10/12/2007 3.6)
Windows-Treiberpaket - Nokia pccsmcfd  (10/12/2007 6.85.4.0)
WinRAR
Wolfenstein - Enemy Territory
WORLD IN CONFLICT
World of Warcraft
Xfire (remove only)
xplorer2 Toolbar

kira · 29.08.2009, 00:28

hi

Meine Vermutung hat sich bestätigt, ausser dass dein Rechner mit Malware infiziert ist, zusätzlich sich ein Rootkit auch bei Dir eingenistet hat
Da eine hundertprozentige Erkennung von Rootkits unmöglich ist, ist die beste Methode wäre zur Entfernung : die Neuinstallation des kompletten Systems

Zitat:

Wenn ein System kompromittiert wurde, ist das System nicht mehr vertrauenswürdig
Eine Neuinstallation garantiert die rückstandsfreie Entfernung der Infektion - Sicherheitskonzept v. SETI@home/Punkt 1.

Falls du doch für die Systemreinigung entscheidest:

1.
Bevor wir weitermachen:
Da jederzeit etwas passieren kann, wenn du wichtige Daten hast die Du sichern möchtest, empfehle ich Dir es jetzt machen (wie Bilder, Musik usw)
Unabhängig von einem Befall (weil ja kann eine Festplatte auch kaputt gehen, oder es gibt andere technische Probleme ), sollte man regelmäßig Sicherung machen und an einem sicheren Ort bewahren, wie CD und DVD, aber besser auf externe Festplatten oder/und USB-Sticks
Mache das jetzt bitte!

2.
Wichtig!:
Sofort beim Download/speichern v. Avenger, musst Du die Installdatei also avenger.exe umbenennen! Wähle eine beliebige Dateiname, die Endung soll *.com sein!
→ Lade den Avenger herunter und entzippe ihn auf den Desktop. (direkt als `EXE` *hier* erhältlich )
→ die avenger.exe per Doppelklick starten
→ füge den Inhalt aus der Codebox vollständig und unverändert in das leere Textfeld bei "Input script here" ein

Code:

ATTFilter

Drivers to disable:
UACd.sys
Drivers to delete:
UACd.sys
Files to delete:
c:\windows\system32\drivers\UACrhgxugepyj.sys
c:\windows\system32\UACdvjivsdmsu.dll
c:\windows\system32\UACyptalavlnl.dll
c:\windows\system32\UACoohkutntls.dat
c:\windows\system32\UACrhoyymshjh.db
c:\windows\system32\UAClmqwjhbdjd.dll
c:\windows\system32\UAChitpvspihb.dll
Folders to delete:
C:\WINDOWS\system32\pawtznpli

→ dann klicke auf "Execute"
→ wirst Du gefragt, ob Du das Script ausführen willst. Beantworte die Frage "Ja".
→ auf die Fragae ob dein Rechner jetzt neu starten soll "Rebot now" bejahe bitte auch
→ nach Neustart wird ein Dos Fenster aufgehen.
→ wenn wieder geschlossen ist, es öffnet sich der Editor mit die Scanergebnisse : C:\avenger.txt
→ kopiere und füge den Inhalt direkt aus der Textdatei hier rein

3.
Lade Dir Malwarebytes Anti-Malware von→ malwarebytes.org

Installieren und per Doppelklick starten.
Deutsch einstellen und gleich mal die Datenbanken zu aktualisieren - online updaten
"Komplett Scan durchführen" wählen (überall Haken setzen)
wenn der Scanvorgang beendet ist, klicke auf "Zeige Resultate"
alle Funde markieren und auf "Löschen" - "Ausgewähltes entfernen") klicken.
Poste das Ergebnis hier in den Thread - den Bericht findest Du unter "Scan-Berichte"

eine bebilderte Anleitung findest Du hier: Malwarebytes Anti-Malware

4.
Schliesse alle Programme einschliesslich Internet Explorer und fixe mit Hijackthis die Einträge aus der nachfolgenden Codebox (HijackThis starten→ "Do a system scan only"→ Einträge auswählen→ Häckhen setzen→ "Fix checked"klicken→ PC neu aufstarten):

Zitat:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSour...ctid=CT1682967
R3 - URLSearchHook: SweetIM ToolbarURLSearchHook Class - {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Programme\SweetIM\Toolbars\Internet Explorer\mgHelper.dll (file missing)
F2 - REG:system.ini: Shell=Explorer.exe logon.exe
O4 - Startup: ikowin32.exe
O16 - DPF: {B7CCB9D7-B3CE-48BF-9042-06F73DA581AC} (MoondoCtrl Class) - http://ecdownload.moondo.com/conrad/6813e/moondoax.cab
O24 - Desktop Component 0: (no name) - file:///C:/DOKUME~1/BENEDI~1.BEN/LOKALE~1/Temp/msohtml1/01/clip_image002.jpg

5.
alle Anwendungen schließen → Ordner für temporäre Dateien bitte leeren
**Lösche nur den Inhalt der Ordner, nicht die Ordner selbst! - Dateien, die noch in Benutzung sind,nicht löschbar.

Start → ausführen "cleanmgr" reinschreiben ohne "" → "ok" - die Temporary Files, Temporary Internet Files, und der Papierkorb (Recycle Bin) muss geleert werden→ "Ok"
[b]Start → ausführen → %temp% reinschreiben ohne ""→ "Ok"
für jedes Benutzerkonto bitte durchführen
anschließend den Papierkorb leeren

6.
reinige dein System mit Ccleaner:

"Cleaner"→ "Analysieren"→ Klick auf den Button "Start CCleaner"
"Registry""Fehler suchen"→ "Fehler beheben"→ "Alle beheben"
Starte dein System neu auf

7.
poste erneut:
Trend Micro HijackThis-Logfile
filelist.bat - Nur den letzten sechs Monaten!

Keelo · 29.08.2009, 01:21

Ok, schonmal vielen vielen dank für die schnelle und professionelle Hilfe. Ich werd dann wohl doch ne komplette Neuaufsetzung machn... Meine letzte Frage zu dem Thema.. Wie schlimm ist denn diese art von virus? Muss es sofort umgehend behandelt werden oder kann ich noch ne woche oder so warten? Dann würd ich das nämlich gleich den typ machn lassen der mein pc auch zusammengebaut hat

Keelo · 30.08.2009, 19:14

kann den avenger backup nich finden... hab nur auf dem desktop noch einen backups ORDNER soll ich den löschen? Achja.. und ich benutz Firefox..

kira · 30.08.2009, 22:52

kannst Avenger ja löschen
wegen Kaspersky nutze bitte den IE

Keelo · 30.08.2009, 23:09

Ok, dann hab ich wohl den avenger schon gelöscht

und jo ich lass jetzt mal die beiden scanns laufen mit inet explorer

Keelo · 30.08.2009, 10:51

So nach einer Stunde kam dann dies heraus:

Code:

ATTFilter

SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 08/30/2009 at 11:43 AM

Application Version : 4.27.1002

Core Rules Database Version : 4076
Trace Rules Database Version: 2016

Scan type       : Complete Scan
Total Scan Time : 00:57:31

Memory items scanned      : 455
Memory threats detected   : 0
Registry items scanned    : 6092
Registry threats detected : 99
File items scanned        : 29782
File threats detected     : 169

Adware.HBHelper
	HKLM\Software\Classes\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}
	HKCR\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}
	HKCR\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}
	HKCR\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}\InprocServer32
	HKCR\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}\InprocServer32#ThreadingModel
	HKCR\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}\ProgID
	HKCR\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}\TypeLib
	HKCR\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}\VersionIndependentProgID
	HKCR\URLSearchHook.ToolbarURLSearchHook.1
	HKCR\URLSearchHook.ToolbarURLSearchHook.1\CLSID
	HKCR\URLSearchHook.ToolbarURLSearchHook
	HKCR\URLSearchHook.ToolbarURLSearchHook\CLSID
	HKCR\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}
	HKCR\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}\1.0
	HKCR\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}\1.0\0
	HKCR\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}\1.0\0\win32
	HKCR\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}\1.0\FLAGS
	HKCR\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}\1.0\HELPDIR
	C:\PROGRAMME\OSTOOLBAR\ONLINESTAR\TBHELPER.DLL

Adware.Tracking Cookie
	C:\Dokumente und Einstellungen\Benedikt Stahl.BENEDIKT\Cookies\benedikt_stahl@atwola[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl.BENEDIKT\Cookies\benedikt_stahl@apmebf[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl.BENEDIKT\Cookies\benedikt_stahl@mediaplex[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl.BENEDIKT\Cookies\benedikt_stahl@tacoda[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl.BENEDIKT\Cookies\benedikt_stahl@advertising[2].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl.BENEDIKT\Cookies\benedikt_stahl@at.atwola[1].txt
	www.counterstrike-games.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	www.counterstrike-games.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	www.counterstrike-games.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	ad.zanox.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	www.elitepvpers.de [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	www.elitepvpers.de [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	zz.2.cqcounter.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.statcounter.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.altastat.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.doubleclick.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.2o7.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.2o7.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.ehg-idg.hitbox.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.hitbox.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.revsci.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.revsci.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.bs.serving-sys.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.serving-sys.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.serving-sys.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.serving-sys.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.serving-sys.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.serving-sys.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.tradedoubler.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.tradedoubler.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.tradedoubler.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.tradedoubler.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.atdmt.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.advertising.com [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	.fastclick.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	ad.adition.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	ad.adition.net [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	ad.adition.de [ C:\Dokumente und Einstellungen\Benedikt Stahl\Anwendungsdaten\Mozilla\Firefox\Profiles\reg76edl.default\cookies.txt ]
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@komtrack[2].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@serving-sys[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@adfarm1.adition[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@ads.planetactive[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@countomat[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@adserver.71i[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@bs.serving-sys[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@tradedoubler[2].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@mediaplex[2].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@hmt.connexpromotions[2].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@advertising[2].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@atwola[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@www.zanox-affiliate[1].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@ads.heias[2].txt
	C:\Dokumente und Einstellungen\Benedikt Stahl\Cookies\benedikt_stahl@doubleclick[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@dealtime[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ad.adnet[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@content.yieldmanager.edgesuite[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@stats.e-domizil[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@hitbox[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@e-2dj6wjmykgdzgco.stats.esomniture[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@e-2dj6wmmyshdzgco.stats.esomniture[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@tracking.3gnet[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@atdmt[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@apm.emediate[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@stats.e-domizil[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ad.adnet[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@traffictrack[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@advertising[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@4stats[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ads.hbt24[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@m1.webstats.motigo[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@audiag.112.2o7[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@questionmarket[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ad.71i[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@track.adform[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@2o7[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ad.yieldmanager[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@allesklarcomag.112.2o7[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@www.googleadservices[5].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@www.googleadservices[4].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@www.googleadservices[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@www.googleadservices[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@tracking.quisma[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@www.traffictrack[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@casalemedia[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@adtech[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ehg-verizonbusiness.hitbox[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ads.planetactive[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@daimlerag.122.2o7[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ads.heias[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@msnportal.112.2o7[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@e-2dj6wjmykiazaeo.stats.esomniture[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ottogroup.112.2o7[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@serving-sys[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@a7.adserver01[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@zanox-affiliate[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@roitracking[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@banner.testberichte[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@adserver.71i[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@im.banner.t-online[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@overture[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@doubleclick[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@media.adrevolver[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ad.zanox[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@zanox[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@e-2dj6wmkosjazabo.stats.esomniture[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@imrworldwide[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@zbox.zanox[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@track.chiemgauerhof[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@tto2.traffictrack[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@indextools[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@www.etracker[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@mediaplex[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ads.adap[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@adfarm1.adition[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@content.yieldmanager[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@generaltracking[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@track.webtrekk[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@track.webtrekk[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@de2.komtrack[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@stat.dealtime[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@apmebf[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@smartadserver[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ottotrialpopunders.112.2o7[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@tracking.mindshare[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@webcounters[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ehg-chrysler.hitbox[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@navtracks[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@adopt.euroclick[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ads.quartermedia[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ww3.shoshkeles[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@cmpmedica.112.2o7[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@bs.serving-sys[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@adserver.yopi[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@tracking.mlsat02[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@phg.hitbox[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@ad.bauerverlag[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@www.trafficrank[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@adrevolver[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@adserver.mediscope[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@eas.apm.emediate[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@autoscout24.112.2o7[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@e-2dj6wgkyqldjwbo.stats.esomniture[2].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@webmasterplan[1].txt
	C:\Dokumente und Einstellungen\Martina Norbert\Cookies\martina_norbert@komtrack[1].txt

Browser Hijacker.Deskbar
	HKCR\Interface\{4897BBA6-48D9-468C-8EFA-846275D7701B}
	HKCR\Interface\{4897BBA6-48D9-468C-8EFA-846275D7701B}\ProxyStubClsid
	HKCR\Interface\{4897BBA6-48D9-468C-8EFA-846275D7701B}\ProxyStubClsid32
	HKCR\Interface\{4897BBA6-48D9-468C-8EFA-846275D7701B}\TypeLib
	HKCR\Interface\{4897BBA6-48D9-468C-8EFA-846275D7701B}\TypeLib#Version

Rootkit.Agent/Gen
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys#start
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys#type
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys#group
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys#imagepath
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys\modules
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys\modules#UACd
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys\modules#UACc
	HKLM\SYSTEM\CurrentControlSet\Services\uacd.sys\modules#uacbbr
	HKLM\SOFTWARE\UAC
	HKLM\SOFTWARE\UAC#EPROCESS_LEOffset
	HKLM\SOFTWARE\UAC#EPROCESS_NameOffset
	HKLM\SOFTWARE\UAC#affid
	HKLM\SOFTWARE\UAC#type
	HKLM\SOFTWARE\UAC#build
	HKLM\SOFTWARE\UAC#subid
	HKLM\SOFTWARE\UAC#cmddelay
	HKLM\SOFTWARE\UAC#ecaab67d-7d92-4ec1-ac32-3087345120a3
	HKLM\SOFTWARE\UAC#val
	HKLM\SOFTWARE\UAC#sval
	HKLM\SOFTWARE\UAC#pval
	HKLM\SOFTWARE\UAC\connections
	HKLM\SOFTWARE\UAC\connections#a2674c18
	HKLM\SOFTWARE\UAC\connections#9f0ed30b
	HKLM\SOFTWARE\UAC\disallowed
	HKLM\SOFTWARE\UAC\disallowed#trsetup.exe
	HKLM\SOFTWARE\UAC\disallowed#ViewpointService.exe
	HKLM\SOFTWARE\UAC\disallowed#ViewMgr.exe
	HKLM\SOFTWARE\UAC\disallowed#SpySweeper.exe
	HKLM\SOFTWARE\UAC\disallowed#SUPERAntiSpyware.exe
	HKLM\SOFTWARE\UAC\disallowed#SpySub.exe
	HKLM\SOFTWARE\UAC\disallowed#SpywareTerminatorShield.exe
	HKLM\SOFTWARE\UAC\disallowed#SpyHunter3.exe
	HKLM\SOFTWARE\UAC\disallowed#XoftSpy.exe
	HKLM\SOFTWARE\UAC\disallowed#SpyEraser.exe
	HKLM\SOFTWARE\UAC\disallowed#combofix.exe
	HKLM\SOFTWARE\UAC\disallowed#otscanit.exe
	HKLM\SOFTWARE\UAC\disallowed#mbam.exe
	HKLM\SOFTWARE\UAC\disallowed#mbam-setup.exe
	HKLM\SOFTWARE\UAC\disallowed#flash_disinfector.exe
	HKLM\SOFTWARE\UAC\disallowed#otmoveit2.exe
	HKLM\SOFTWARE\UAC\disallowed#smitfraudfix.exe
	HKLM\SOFTWARE\UAC\disallowed#prevxcsifree.exe
	HKLM\SOFTWARE\UAC\disallowed#download_mbam-setup.exe
	HKLM\SOFTWARE\UAC\disallowed#cbo_setup.exe
	HKLM\SOFTWARE\UAC\disallowed#spywareblastersetup.exe
	HKLM\SOFTWARE\UAC\disallowed#rminstall.exe
	HKLM\SOFTWARE\UAC\disallowed#sdsetup.exe
	HKLM\SOFTWARE\UAC\disallowed#vundofixsvc.exe
	HKLM\SOFTWARE\UAC\disallowed#daft.exe
	HKLM\SOFTWARE\UAC\disallowed#gmer.exe
	HKLM\SOFTWARE\UAC\disallowed#catchme.exe
	HKLM\SOFTWARE\UAC\disallowed#mcpr.exe
	HKLM\SOFTWARE\UAC\disallowed#sdfix.exe
	HKLM\SOFTWARE\UAC\disallowed#hjtinstall.exe
	HKLM\SOFTWARE\UAC\disallowed#fixpolicies.exe
	HKLM\SOFTWARE\UAC\disallowed#emergencyutil.exe
	HKLM\SOFTWARE\UAC\disallowed#techweb.exe
	HKLM\SOFTWARE\UAC\disallowed#GoogleUpdate.exe
	HKLM\SOFTWARE\UAC\disallowed#windowsdefender.exe
	HKLM\SOFTWARE\UAC\disallowed#spybotsd.exe
	HKLM\SOFTWARE\UAC\disallowed#winlognn.exe
	HKLM\SOFTWARE\UAC\disallowed#csrssc.exe
	HKLM\SOFTWARE\UAC\disallowed#klif.sys
	HKLM\SOFTWARE\UAC\disallowed#pctssvc.sys
	HKLM\SOFTWARE\UAC\disallowed#pctcore.sys
	HKLM\SOFTWARE\UAC\disallowed#mchinjdrv.sys
	HKLM\SOFTWARE\UAC\disallowed#szkg.sys
	HKLM\SOFTWARE\UAC\disallowed#sasdifsv.sys
	HKLM\SOFTWARE\UAC\disallowed#saskutil.sys
	HKLM\SOFTWARE\UAC\disallowed#sasenum.sys
	HKLM\SOFTWARE\UAC\disallowed#ccHPx86.sys
	HKLM\SOFTWARE\UAC\injector
	HKLM\SOFTWARE\UAC\injector#*
	HKLM\SOFTWARE\UAC\versions
	HKLM\SOFTWARE\UAC\versions#/banner/crcmds/init

Trojan.Agent/Gen
	C:\WINDOWS\system32\lowsec\local.ds
	C:\WINDOWS\system32\lowsec\user.ds
	C:\WINDOWS\system32\lowsec
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{1705A4BB-AAC4-4246-BB57-9B7154273BA7}\RP761\A0140062.DLL
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{1705A4BB-AAC4-4246-BB57-9B7154273BA7}\RP761\A0140063.DLL
	C:\WINDOWS\SYSTEM32\UACINIT.DLL
	C:\WINDOWS\TEMP\UAC1037.TMP
	C:\WINDOWS\TEMP\UACE8C9.TMP
	C:\WINDOWS\TEMP\UACE966.TMP
	C:\WINDOWS\TEMP\UACFDD8.TMP
	C:\WINDOWS\TEMP\UACFDF7.TMP

Rootkit.Agent/Gen-UAC
	C:\WINDOWS\SYSTEM32\DRIVERS\UACRHGXUGEPYJ.SYS
	C:\WINDOWS\SYSTEM32\UACOOHKUTNTLS.DAT
	C:\WINDOWS\SYSTEM32\UACDVJIVSDMSU.DLL

Spyware.RelevantKnowledge
	C:\DOKUMENTE UND EINSTELLUNGEN\BENEDIKT STAHL\LOKALE EINSTELLUNGEN\TEMP\~OSFA.TMP\RKUPGINSTALLER.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{52CFF9C3-C8C0-4392-B753-A10CDAF34148}\RP259\A0075606.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{52CFF9C3-C8C0-4392-B753-A10CDAF34148}\RP259\A0075607.EXE

Trojan.NewDotNet
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{52CFF9C3-C8C0-4392-B753-A10CDAF34148}\RP256\A0071995.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{52CFF9C3-C8C0-4392-B753-A10CDAF34148}\RP256\A0071996.EXE

Adware.WhenU
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{52CFF9C3-C8C0-4392-B753-A10CDAF34148}\RP259\A0075619.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{52CFF9C3-C8C0-4392-B753-A10CDAF34148}\RP259\A0075643.DLL
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{52CFF9C3-C8C0-4392-B753-A10CDAF34148}\RP259\A0075644.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{52CFF9C3-C8C0-4392-B753-A10CDAF34148}\RP259\A0075647.EXE

Trojan.Agent/Gen-SDRA
	C:\WINDOWS\SYSTEM32\SDRA64.EXE

Keelo · 28.08.2009, 23:32

so hier mal dieser GMER jetzt hats geklappt. Muss es leider aufteilen in 3 posts.

Code:

ATTFilter

GMER 1.0.15.15077 [sowieso.com] - http://www.gmer.net
Rootkit scan 2009-08-29 00:21:57
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.15 ----

Code            89F2FB28                                                                                                                                                ZwEnumerateKey
Code            89F2FA50                                                                                                                                                ZwFlushInstructionCache
Code            89F355B6                                                                                                                                                IofCallDriver
Code            89E35CF6                                                                                                                                                IofCompleteRequest
Code            89F2F335                                                                                                                                                ZwSaveKey
Code            89F2F25D                                                                                                                                                ZwSaveKeyEx

---- Kernel code sections - GMER 1.0.15 ----

.text           ntoskrnl.exe!IofCallDriver                                                                                                                              804E13A7 5 Bytes  JMP 89F355BB 
.text           ntoskrnl.exe!IofCompleteRequest                                                                                                                         804E17BD 5 Bytes  JMP 89E35CFB 
.text           ntoskrnl.exe!ZwSaveKey                                                                                                                                  804E42AE 5 Bytes  JMP 89F2F33A 
.text           ntoskrnl.exe!ZwSaveKeyEx                                                                                                                                804E42C2 5 Bytes  JMP 89F2F262 
PAGE            ntoskrnl.exe!ZwEnumerateKey                                                                                                                             805783A4 5 Bytes  JMP 89F2FB2C 
PAGE            ntoskrnl.exe!ZwFlushInstructionCache                                                                                                                    80585F1C 5 Bytes  JMP 89F2FA54 

---- User code sections - GMER 1.0.15 ----

?               C:\WINDOWS\system32\svchost.exe[288]                                                                                                                    image checksum mismatch; time/date stamp mismatch; 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!InternetCloseHandle                                                                                            408BDA71 5 Bytes  JMP 1350A748 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!HttpOpenRequestA                                                                                               408C4339 5 Bytes  JMP 13508FA4 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!InternetConnectA                                                                                               408C4992 5 Bytes  JMP 13508E4C 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!InternetReadFile                                                                                               408CABCC 5 Bytes  JMP 1350A548 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!InternetQueryDataAvailable                                                                                     408CAE0D 5 Bytes  JMP 1350A368 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!InternetOpenA                                                                                                  408CC879 5 Bytes  JMP 13508DFC 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!HttpSendRequestA                                                                                               408CCD50 5 Bytes  JMP 13509968 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!HttpSendRequestW                                                                                               408E0845 5 Bytes  JMP 13509D6C 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!InternetReadFileExW                                                                                            408E3F18 5 Bytes  JMP 1350A6F8 
.text           C:\WINDOWS\Explorer.exe[988] WININET.dll!InternetReadFileExA                                                                                            408E3F50 5 Bytes  JMP 1350A6A8 

---- User IAT/EAT - GMER 1.0.15 ----

IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtQueryDirectoryFile]                                                00405495
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!LdrLoadDll]                                                          004053DA
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!LdrGetProcedureAddress]                                              00405375
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtCreateThread]                                                      00405343
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\ole32.dll [USER32.dll!GetClipboardData]                                                      0040575A
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\ole32.dll [USER32.dll!TranslateMessage]                                                      00405A04
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\SHELL32.dll [USER32.dll!TranslateMessage]                                                    00405A04
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\SHELL32.dll [USER32.dll!GetClipboardData]                                                    0040575A
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\system32\SHLWAPI.dll [USER32.dll!TranslateMessage]                                                    00405A04
IAT             C:\WINDOWS\System32\svchost.exe[112] @ C:\WINDOWS\System32\WS2HELP.dll [ntdll.dll!NtQueryDirectoryFile]                                                 00405495
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!RegQueryValueExW]                                                  81EC8B55
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorDacl]                                         000208EC
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!SetEntriesInAclW]                                                  57565300
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorGroup]                                        01B1C033
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!SetSecurityDescriptorOwner]                                        000100BE
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!InitializeSecurityDescriptor]                                      D1B60F00
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!GetTokenInformation]                                               F8158488
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!OpenProcessToken]                                                  8AFFFFFE
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!OpenThreadToken]                                                   80E280D1
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!SetServiceStatus]                                                  F8058C88
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!RegisterServiceCtrlHandlerW]                                       40FFFFFD
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!RegCloseKey]                                                       D21ADAF6
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!RegOpenKeyExW]                                                     E280D98A
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ADVAPI32.dll!StartServiceCtrlDispatcherW]                                       32DB021B
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!WideCharToMultiByte]                                               B60F0040
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!lstrlenW]                                                          18E2C1D1
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!LocalFree]                                                         D18A1089
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetCurrentProcess]                                                 8380E280
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetCurrentThread]                                                  DAF604C0
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetProcAddress]                                                    E280D21A
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!LoadLibraryExW]                                                    32C9021B
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!LCMapStringW]                                                      6A000040
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!FreeLibrary]                                                       C9335B63
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!lstrcpyW]                                                          94B81D89
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!ExpandEnvironmentStringsW]                                         0F410040
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!lstrcmpiW]                                                         F80D84B6
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!ExitProcess]                                                       8DFFFFFE
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetCommandLineW]                                                   FFFEF795
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!InitializeCriticalSection]                                         8AD02BFF
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetProcessHeap]                                                    D0C28A12
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!SetErrorMode]                                                      D0D032C0
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!SetUnhandledExceptionFilter]                                       D0D032C0
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!RegisterWaitForSingleObject]                                       D0D032C0
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!InterlockedCompareExchange]                                        32C232C0
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!LoadLibraryA]                                                      C0B60FC3
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!QueryPerformanceCounter]                                           B88D0489
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetTickCount]                                                      89004094
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetCurrentThreadId]                                                C4E0850C
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetCurrentProcessId]                                               3B410040
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!GetSystemTimeAsFileTime]                                           33C47CCE
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!TerminateProcess]                                                  00FFBFC9
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!UnhandledExceptionFilter]                                          918A0000
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!LocalAlloc]                                                        [004094B8] C:\WINDOWS\system32\svchost.exe (Generic Host Process for Win32 Services/Microsoft Corporation)
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!lstrcmpW]                                                          8024C28A
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [KERNEL32.dll!DelayLoadFailureHook]                                              C01AD8F6
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!NtQuerySecurityObject]                                                C332DB02
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlFreeHeap]                                                          8AF0B60F
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!NtOpenKey]                                                            40C4E099
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!wcscat]                                                               D2B60F00
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!wcscpy]                                                               E0C1C68B
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlAllocateHeap]                                                      C1C23308
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlCompareUnicodeString]                                              C23308E0
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlInitUnicodeString]                                                 3308E0C1
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlInitializeSid]                                                     89C233C6
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlLengthRequiredSid]                                                 40C0E081
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlSubAuthoritySid]                                                   08C8C100
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!NtClose]                                                              BCE08189
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlSubAuthorityCountSid]                                              C8C10040
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlGetDaclSecurityDescriptor]                                         E0818908
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlQueryInformationAcl]                                               C10040B8
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlGetAce]                                                            818908C8
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlImageNtHeader]                                                     [0040B4E0] C:\WINDOWS\system32\svchost.exe (Generic Host Process for Win32 Services/Microsoft Corporation)
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!wcslen]                                                               2674DB84
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlUnhandledExceptionFilter]                                          0395B60F
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [ntdll.dll!RtlCopySid]                                                           0FFFFFFF
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!RpcServerUnregisterIfEx]                                             FEF80584
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!RpcMgmtWaitServerListen]                                             C203FFFF
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!RpcMgmtSetServerStackSize]                                           F7F78B99
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!RpcServerUnregisterIf]                                               84B60FFE
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!RpcServerListen]                                                     FFFDF815
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!RpcServerUseProtseqEpW]                                              FC4589FF
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!RpcServerRegisterIf]                                                 658304EB
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!I_RpcMapWin32Status]                                                 DB8400FC
IAT             C:\WINDOWS\system32\svchost.exe[288] @ C:\WINDOWS\system32\svchost.exe [RPCRT4.dll!RpcMgmtStopServerListening]                                          B60F2674
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtQueryDirectoryFile]                   00135495
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!LdrLoadDll]                             001353DA
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!LdrGetProcedureAddress]                 00135375
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtCreateThread]                         00135343
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\SHLWAPI.dll [USER32.dll!TranslateMessage]                       00135A04
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\SHELL32.dll [USER32.dll!TranslateMessage]                       00135A04
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\SHELL32.dll [USER32.dll!GetClipboardData]                       0013575A
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\ole32.dll [USER32.dll!GetClipboardData]                         0013575A
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\ole32.dll [USER32.dll!TranslateMessage]                         00135A04
IAT             C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe[332] @ C:\WINDOWS\system32\WS2HELP.dll [ntdll.dll!NtQueryDirectoryFile]                    00135495
IAT             C:\WINDOWS\system32\ctfmon.exe[352] @ C:\WINDOWS\system32\kernel32.dll [ntdll.dll!NtQueryDirectoryFile]                                                 00085495

28.08.2009, 22:48	#4
kira /// Helfer-Team	Inetbrowser stürtz ab, Aufhänger nach booten,... bevor Du "gmer.exe" speicherst, musst es machen

01.09.2009, 17:54	#7
kira /// Helfer-Team	Inetbrowser stürtz ab, Aufhänger nach booten,... OK, dann mache erstmal weiter mit : 2-3-4..dann sehen wir weiter

30.08.2009, 22:52	#12
kira /// Helfer-Team	Inetbrowser stürtz ab, Aufhänger nach booten,... kannst Avenger ja löschen wegen Kaspersky nutze bitte den IE

Inetbrowser stürtz ab, Aufhänger nach booten,...

Plagegeister aller Art und deren Bekämpfung: Inetbrowser stürtz ab, Aufhänger nach booten,...