Deutsche Bank Trojaner

Chris4You · 14.10.2010, 09:31

Hi,

denke mal nach, ob Du nach der Infektion auf den Ebayseiten warst...
Leider änder die Malware das Filedatum und gleicht es an die Fileumgebund an, d.h. wenn die Mehrzahl der Files der Windowsinstallation mehrer Jahre alt ist, dann hat die DLL auch dieses Datum...

Lasse bei Virustotal.com diese Datei unbedingt untersuchen:
C:\Windows\System32\IMPLODE.DLL

Die DLL die wir mit OLT erwischt haben ist der Banker bzw. Passwortspy!

Wir prüfen noch auf ein Rootkit (wobei auch CureIT da ganz gut ist)!
TDSS-Killer
Download und Anweisung unter: http://www.trojaner-board.de/82358-t...tml#post640150
Entpacke alle Dateien in einem eigenen Verzeichnis (z. B: C:\TDSS)!
Aufruf über den Explorer duch Doppelklick auf die TDSSKiller.exe.
Nach dem Start erscheint ein Fenster, dort dann "Start Scan".
Wenn der Scan fertig ist bitte "Report" anwählen. Es öffnet sich ein Fenster, den Text abkopieren und hier posten...

chris

Chris4You · 14.10.2010, 11:12

Hi,

dann müssen wir jetzt mal tiefer graben:

Rootkit Unhooker
Downloade Dir bitte RKUnhookerLE und speichere die Datei auf deinem Desktop.

Deaktiviere alle Hintergrundwächter. Besonders den deiner Anti Virensoftware.
Starte die RKUnhookerLE.exe
Klicke auf den Report Tab und danach auf Scan
Setze ein Häckchen bei
- Drivers
- Stealth Code
- Files
- Code Hooks
Entferne alle anderen Hacken
Wenn Du gefragt wirst welcher Bereich gescannt werden soll, gehe sicher das deine Systemplatte ( meistens C: ) angehackt ist.
Klicke OK
Wenn der Scan beendet wurde
File --> Save Report
klicken.
Speichere die Datei als RKU.txt auf dem Desktop.
Klicke Close

Hinweis:
Solltest Du folgende Warnung bekommen

Zitat:

"Rootkit Unhooker has detected a parasite inside itself! It is recommended to remove parasite, okay?"

Klicke auf OK

Und Prevx:
Prevx:
Das Tool neigt zu Fehlalarmen und kann in der freien Version auch nichts löschen, ist aber sonst recht gut... (und läuft auch auf 64Bit-Plattformen)
Prevx 3.0 for Home and Family
Falls das Tool was findet, nicht das Log posten sondern einen Screenshot des dann angezeigten Fensters...

Poste auch noch mal ein aktuelles OTL-Log, nicht das sich was neues eingeschlichen hat.
Leider weiss ich nicht, wie schnell EBay reagiert, nicht dass sich die Sperrung auf Aktivitäten vor der Äderung des Passwortes beziehen!

Das Problem bei dieser Art von Malware ist, man weiss nicht was alles geändert wurde, daher wird generell "Neuaufsetzen" empfohlen, besonderst wenn Du Homebanking von dem Rechner aus machst....

chris

Burg1 · 14.10.2010, 11:43

Servus, kurze Frage dazu, wie schalte ich die Microsoft Security Essentials temporär ab???

habs schon...

Rootkit läuft schon ziemlich lange, bin mir nicht sicher, obs sich aufgehangen hat....

Chris4You · 14.10.2010, 13:59

Hi,

das kann dauern, der durchforstet alles...
Rödelt die Festplatte noch?

chris

Burg1 · 14.10.2010, 14:48

War schon fertig, habe dummerweise den Report mit "possible root defection" nicht richtig gespeichert, lasse nochmals scannen...

Chris4You · 14.10.2010, 14:59

Hi,

dann hätten wir da was ganz neues am wickel, was weder TDSSKiller noch ComboFix kennt...
Das kann ja heiter werden... ;o)

chris

Burg1 · 14.10.2010, 17:04

prevx findet eine mögliche Bedrohung, bekomme den screenshot irgendwie nicht hin...

Burg1 · 14.10.2010, 17:11

Häh, wieso ist denn der RKU log zweimal gepostet??? das war ich nicht! Meine Internetverbindung geht auch immer an und wieder aus, aber nur so kurz, dass ich mich nicht neu einloggen muss....Wenn ich das A... erwische, dann gibts aber Saueres, auf die italienische Art!

Burg1 · 14.10.2010, 17:11

hier aber der OTL log:OTL Logfile:

Code:

ATTFilter

OTL logfile created on: 14.10.2010 18:05:14 - Run 2
OTL by OldTimer - Version 3.2.15.2     Folder = C:\Burghard
Windows Vista Home Premium Edition Service Pack 2 (Version = 6.0.6002) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18943)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 56,00% Memory free
6,00 Gb Paging File | 5,00 Gb Available in Paging File | 81,00% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 122,86 Gb Total Space | 91,08 Gb Free Space | 74,14% Space Free | Partition Type: NTFS
Drive D: | 26,18 Gb Total Space | 26,18 Gb Free Space | 100,00% Space Free | Partition Type: FAT32
 
Computer Name: CAROLIN3-PC | User Name: carolin3 | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - C:\Programme\Prevx\prevx.exe (Prevx)
PRC - C:\Burghard\OTL.exe (OldTimer Tools)
PRC - C:\Windows\System32\Macromed\Flash\FlashUtil10k_ActiveX.exe (Adobe Systems, Inc.)
PRC - C:\Programme\Microsoft Security Essentials\msseces.exe (Microsoft Corporation)
PRC - C:\Programme\Google\Google Toolbar\GoogleToolbarUser_32.exe (Google Inc.)
PRC - C:\Programme\Internet Explorer\iexplore.exe (Microsoft Corporation)
PRC - C:\Programme\Buhl finance\tax 2010 Professional\taxaktuell.exe ()
PRC - c:\Programme\Microsoft Security Essentials\MsMpEng.exe (Microsoft Corporation)
PRC - C:\Programme\Windows Sidebar\sidebar.exe (Microsoft Corporation)
PRC - C:\Windows\explorer.exe (Microsoft Corporation)
PRC - C:\Programme\Windows Live\Messenger\msnmsgr.exe (Microsoft Corporation)
PRC - C:\Programme\Common Files\Real\Update_OB\realsched.exe (RealNetworks, Inc.)
PRC - C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe (Hewlett-Packard Co.)
PRC - C:\Programme\Hewlett-Packard\HP Software Update\hpwuSchd2.exe (Hewlett-Packard Co.)
PRC - C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqste08.exe (Hewlett-Packard Co.)
 
 
========== Modules (SafeList) ==========
 
MOD - C:\Burghard\OTL.exe (OldTimer Tools)
MOD - C:\Windows\winsxs\x86_microsoft.windows.common-controls_6595b64144ccf1df_6.0.6002.18005_none_5cb72f96088b0de0\comctl32.dll (Microsoft Corporation)
MOD - C:\Windows\System32\msscript.ocx (Microsoft Corporation)
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (RoxLiveShare9) -- C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxLiveShare9.exe File not found
SRV - (CSIScanner) -- C:\Program Files\Prevx\prevx.exe (Prevx)
SRV - (MsMpSvc) -- c:\Program Files\Microsoft Security Essentials\MsMpEng.exe (Microsoft Corporation)
SRV - (WPFFontCache_v0400) -- C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe (Microsoft Corporation)
SRV - (clr_optimization_v4.0.30319_32) -- C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe (Microsoft Corporation)
SRV - (FontCache) -- C:\Windows\System32\FntCache.dll (Microsoft Corporation)
SRV - (WinHttpAutoProxySvc) -- winhttp.dll (Microsoft Corporation)
SRV - (WinDefend) -- C:\Programme\Windows Defender\MpSvc.dll (Microsoft Corporation)
SRV - (hpqcxs08) -- C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqcxs08.dll (Hewlett-Packard Co.)
SRV - (hpqddsvc) -- C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpqddsvc.dll (Hewlett-Packard Co.)
SRV - (IDriverT) -- C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe (Macrovision Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (catchme) -- C:\Users\carolin3\AppData\Local\Temp\catchme.sys File not found
DRV - (pxrts) -- C:\Windows\System32\drivers\pxrts.sys (Prevx)
DRV - (pxscan) -- C:\Windows\System32\drivers\pxscan.sys (Prevx)
DRV - (pxkbf) -- C:\Windows\System32\drivers\pxkbf.sys (Prevx)
DRV - (nvlddmkm) -- C:\Windows\System32\drivers\nvlddmkm.sys (NVIDIA Corporation)
DRV - (MpNWMon) -- C:\Windows\System32\drivers\MpNWMon.sys (Microsoft Corporation)
DRV - (FTDIBUS) -- C:\Windows\System32\drivers\ftdibus.sys (FTDI Ltd.)
DRV - (netr28) -- C:\Windows\System32\drivers\netr28.sys (Ralink Technology, Corp.)
DRV - (ATSWPDRV) AuthenTec TruePrint USB Driver (SwipeSensor) -- C:\Windows\System32\drivers\atswpdrv.sys (AuthenTec, Inc.)
DRV - (Si3531) -- C:\Windows\system32\DRIVERS\Si3531.sys (Silicon Image, Inc)
DRV - (SiFilter) -- C:\Windows\system32\DRIVERS\SiWinAcc.sys (Silicon Image, Inc.)
DRV - (SiRemFil) -- C:\Windows\system32\DRIVERS\SiRemFil.sys (Silicon Image, Inc.)
DRV - (RTL8169) -- C:\Windows\System32\drivers\Rtlh86.sys (Realtek Corporation                                            )
DRV - (ql2300) -- C:\Windows\system32\drivers\ql2300.sys (QLogic Corporation)
DRV - (adp94xx) -- C:\Windows\system32\drivers\adp94xx.sys (Adaptec, Inc.)
DRV - (elxstor) -- C:\Windows\system32\drivers\elxstor.sys (Emulex)
DRV - (adpahci) -- C:\Windows\system32\drivers\adpahci.sys (Adaptec, Inc.)
DRV - (uliahci) -- C:\Windows\system32\drivers\uliahci.sys (ULi Electronics Inc.)
DRV - (iaStorV) -- C:\Windows\system32\drivers\iastorv.sys (Intel Corporation)
DRV - (adpu320) -- C:\Windows\system32\drivers\adpu320.sys (Adaptec, Inc.)
DRV - (ulsata2) -- C:\Windows\system32\drivers\ulsata2.sys (Promise Technology, Inc.)
DRV - (vsmraid) -- C:\Windows\system32\drivers\vsmraid.sys (VIA Technologies Inc.,Ltd)
DRV - (ql40xx) -- C:\Windows\system32\drivers\ql40xx.sys (QLogic Corporation)
DRV - (UlSata) -- C:\Windows\system32\drivers\ulsata.sys (Promise Technology, Inc.)
DRV - (adpu160m) -- C:\Windows\system32\drivers\adpu160m.sys (Adaptec, Inc.)
DRV - (nvraid) -- C:\Windows\system32\drivers\nvraid.sys (NVIDIA Corporation)
DRV - (nfrd960) -- C:\Windows\system32\drivers\nfrd960.sys (IBM Corporation)
DRV - (iirsp) -- C:\Windows\system32\drivers\iirsp.sys (Intel Corp./ICP vortex GmbH)
DRV - (SiSRaid4) -- C:\Windows\system32\drivers\sisraid4.sys (Silicon Integrated Systems)
DRV - (nvstor) -- C:\Windows\system32\drivers\nvstor.sys (NVIDIA Corporation)
DRV - (aic78xx) -- C:\Windows\system32\drivers\djsvs.sys (Adaptec, Inc.)
DRV - (arcsas) -- C:\Windows\system32\drivers\arcsas.sys (Adaptec, Inc.)
DRV - (LSI_SCSI) -- C:\Windows\system32\drivers\lsi_scsi.sys (LSI Logic)
DRV - (SiSRaid2) -- C:\Windows\system32\drivers\sisraid2.sys (Silicon Integrated Systems Corp.)
DRV - (HpCISSs) -- C:\Windows\system32\drivers\hpcisss.sys (Hewlett-Packard Company)
DRV - (arc) -- C:\Windows\system32\drivers\arc.sys (Adaptec, Inc.)
DRV - (iteraid) -- C:\Windows\system32\drivers\iteraid.sys (Integrated Technology Express, Inc.)
DRV - (iteatapi) -- C:\Windows\system32\drivers\iteatapi.sys (Integrated Technology Express, Inc.)
DRV - (LSI_SAS) -- C:\Windows\system32\drivers\lsi_sas.sys (LSI Logic)
DRV - (Symc8xx) -- C:\Windows\system32\drivers\symc8xx.sys (LSI Logic)
DRV - (LSI_FC) -- C:\Windows\system32\drivers\lsi_fc.sys (LSI Logic)
DRV - (Sym_u3) -- C:\Windows\system32\drivers\sym_u3.sys (LSI Logic)
DRV - (Mraid35x) -- C:\Windows\system32\drivers\mraid35x.sys (LSI Logic Corporation)
DRV - (Sym_hi) -- C:\Windows\system32\drivers\sym_hi.sys (LSI Logic)
DRV - (megasas) -- C:\Windows\system32\drivers\megasas.sys (LSI Logic Corporation)
DRV - (viaide) -- C:\Windows\system32\drivers\viaide.sys (VIA Technologies, Inc.)
DRV - (cmdide) -- C:\Windows\system32\drivers\cmdide.sys (CMD Technology, Inc.)
DRV - (aliide) -- C:\Windows\system32\drivers\aliide.sys (Acer Laboratories Inc.)
DRV - (Brserid) Brother MFC Serial Port Interface Driver (WDM) -- C:\Windows\system32\drivers\brserid.sys (Brother Industries Ltd.)
DRV - (BrUsbSer) -- C:\Windows\system32\drivers\brusbser.sys (Brother Industries Ltd.)
DRV - (BrFiltUp) -- C:\Windows\system32\drivers\brfiltup.sys (Brother Industries, Ltd.)
DRV - (BrFiltLo) -- C:\Windows\system32\drivers\brfiltlo.sys (Brother Industries, Ltd.)
DRV - (BrSerWdm) -- C:\Windows\system32\drivers\brserwdm.sys (Brother Industries Ltd.)
DRV - (BrUsbMdm) -- C:\Windows\system32\drivers\brusbmdm.sys (Brother Industries Ltd.)
DRV - (AgereSoftModem) -- C:\Windows\System32\drivers\AGRSM.sys (Agere Systems)
DRV - (ntrigdigi) -- C:\Windows\system32\drivers\ntrigdigi.sys (N-trig Innovative Technologies)
DRV - (R300) -- C:\Windows\System32\drivers\atikmdag.sys (ATI Technologies Inc.)
DRV - (E1G60) Intel(R) -- C:\Windows\System32\drivers\E1G60I32.sys (Intel Corporation)
DRV - (FTSER2K) -- C:\Windows\System32\drivers\ftser2k.sys (FTDI Ltd.)
DRV - (FWLANUSB) -- C:\Windows\System32\drivers\fwlanusb.sys (AVM GmbH)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 37 9C 55 D8 C8 6A CB 01  [binary data]
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,StartPageCache = 1
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.search.defaultenginename: "Google"
FF - prefs.js..browser.search.defaulturl: "hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q="
FF - prefs.js..browser.search.selectedEngine: "Google"
 
FF - HKLM\software\mozilla\Firefox\Extensions\\{ABDE892B-13A8-4d1b-88E6-365A6E755758}: C:\Program Files\Real\RealPlayer\browserrecord [2008.12.30 00:41:10 | 000,000,000 | ---D | M]
 
[2010.02.01 13:27:36 | 000,000,000 | ---D | M] -- C:\Users\carolin3\AppData\Roaming\mozilla\Extensions
[2010.02.01 13:27:36 | 000,000,000 | ---D | M] (No name found) -- C:\Users\carolin3\AppData\Roaming\mozilla\Extensions\{3550f703-e582-4d05-9a08-453d09bdfdc6}
[2008.12.30 00:41:59 | 000,000,000 | ---D | M] -- C:\Users\carolin3\AppData\Roaming\mozilla\Firefox\Profiles\sfu17z5e.default\extensions
[2009.03.04 11:43:28 | 000,000,000 | ---D | M] -- C:\Programme\Mozilla Firefox\extensions
[2008.12.30 00:40:25 | 000,000,000 | ---D | M] (Google Toolbar for Firefox) -- C:\Programme\Mozilla Firefox\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}
 
O1 HOSTS File: ([2006.09.18 23:41:30 | 000,000,761 | ---- | M]) - C:\Windows\System32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O1 - Hosts: ::1             localhost
O2 - BHO: (RealPlayer Download and Record Plugin for Internet Explorer) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\Real\RealPlayer\rpbrowserrecordplugin.dll (RealPlayer)
O2 - BHO: (SafeOnline BHO) - {69D72956-317C-44bd-B369-8E44D4EF9801} - C:\Windows\System32\PxSecure.dll (Prevx)
O2 - BHO: (Windows Live Anmelde-Hilfsprogramm) - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Common Files\microsoft shared\Windows Live\WindowsLiveLogin.dll (Microsoft Corporation)
O2 - BHO: (Google Toolbar Helper) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll (Google Inc.)
O2 - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.5.5126.1836\swg.dll (Google Inc.)
O2 - BHO: (Java(tm) Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll File not found
O3 - HKLM\..\Toolbar: (Google Toolbar) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll (Google Inc.)
O3 - HKCU\..\Toolbar\WebBrowser: (Google Toolbar) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll (Google Inc.)
O4 - HKLM..\Run: [HP Software Update] C:\Programme\Hewlett-Packard\HP Software Update\hpwuSchd2.exe (Hewlett-Packard Co.)
O4 - HKLM..\Run: [ Malwarebytes Anti-Malware  (reboot)] C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe (Malwarebytes Corporation)
O4 - HKLM..\Run: [MSSE] c:\Program Files\Microsoft Security Essentials\msseces.exe (Microsoft Corporation)
O4 - HKLM..\Run: [ScanSoft PDF Create! 4-reminder] C:\Program Files\ScanSoft\PDF Create! 4\Ereg\Ereg.exe (Nuance Communications, Inc.)
O4 - HKLM..\Run: [SSBkgdUpdate] C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe (Nuance Communications, Inc.)
O4 - HKLM..\Run: [TkBellExe] C:\Program Files\Common Files\Real\Update_OB\realsched.exe (RealNetworks, Inc.)
O4 - HKLM..\Run: [Windows Defender] C:\Program Files\Windows Defender\MSASCui.exe (Microsoft Corporation)
O4 - HKCU..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe (Google Inc.)
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O8 - Extra context menu item: Google Sidewiki... - C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll (Google Inc.)
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - C:\Programme\Microsoft Office\Office10\EXCEL.EXE (Microsoft Corporation)
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} hxxp://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab (Reg Error: Key error.)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.2.1
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common Files\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common Files\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common Files\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common Files\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\livecall {828030A1-22C1-4009-854F-8E305202313F} - C:\Programme\Windows Live\Messenger\msgrapp.14.0.8064.0206.dll (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common Files\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common Files\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msnim {828030A1-22C1-4009-854F-8E305202313F} - C:\Programme\Windows Live\Messenger\msgrapp.14.0.8064.0206.dll (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Common Files\microsoft shared\Web Components\10\OWC10.DLL (Microsoft Corporation)
O18 - Protocol\Filter\application/octet-stream {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll (Microsoft Corporation)
O18 - Protocol\Filter\application/x-complus {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll (Microsoft Corporation)
O18 - Protocol\Filter\application/x-msdownload {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O24 - Desktop WallPaper: C:\Windows\Web\Wallpaper\img24.jpg
O24 - Desktop BackupWallPaper: C:\Windows\Web\Wallpaper\img24.jpg
O28 - HKLM ShellExecuteHooks: {AEB6717E-7E19-11d0-97EE-00C04FD91972} - Reg Error: Key error. File not found
O29 - HKLM SecurityProviders - (credssp.dll) - credssp.dll (Microsoft Corporation)
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2006.09.18 23:43:36 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = ComFile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2010.10.14 17:43:25 | 000,070,192 | ---- | C] (Prevx) -- C:\Windows\System32\PxSecure.dll
[2010.10.14 17:43:24 | 000,074,624 | ---- | C] (Prevx) -- C:\Windows\System32\drivers\pxrts.sys
[2010.10.14 17:43:24 | 000,030,320 | ---- | C] (Prevx) -- C:\Windows\System32\drivers\pxscan.sys
[2010.10.14 17:43:23 | 000,024,400 | ---- | C] (Prevx) -- C:\Windows\System32\drivers\pxkbf.sys
[2010.10.14 17:43:23 | 000,000,000 | ---D | C] -- C:\Programme\Prevx
[2010.10.14 17:42:45 | 000,000,000 | ---D | C] -- C:\ProgramData\PrevxCSI
[2010.10.14 10:19:56 | 000,000,000 | ---D | C] -- C:\Users\carolin3\DoctorWeb
[2010.10.13 13:20:40 | 000,000,000 | ---D | C] -- C:\Windows\temp
[2010.10.13 13:19:37 | 000,000,000 | -HSD | C] -- C:\$RECYCLE.BIN
[2010.10.13 13:05:40 | 000,161,792 | ---- | C] (SteelWerX) -- C:\Windows\SWREG.exe
[2010.10.13 13:05:40 | 000,136,704 | ---- | C] (SteelWerX) -- C:\Windows\SWSC.exe
[2010.10.13 13:05:40 | 000,031,232 | ---- | C] (NirSoft) -- C:\Windows\NIRCMD.exe
[2010.10.13 13:05:17 | 000,000,000 | ---D | C] -- C:\Windows\ERDNT
[2010.10.13 13:05:14 | 000,000,000 | ---D | C] -- C:\ComboFix
[2010.10.13 13:04:28 | 000,212,480 | ---- | C] (SteelWerX) -- C:\Windows\SWXCACLS.exe
[2010.10.13 13:01:00 | 000,000,000 | ---D | C] -- C:\Qoobox
[2010.10.13 12:49:48 | 000,000,000 | ---D | C] -- C:\_OTL
[2010.10.11 17:40:30 | 000,000,000 | ---D | C] -- C:\Users\carolin3\AppData\Roaming\Malwarebytes
[2010.10.11 17:40:19 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbamswissarmy.sys
[2010.10.11 17:40:17 | 000,000,000 | ---D | C] -- C:\ProgramData\Malwarebytes
[2010.10.11 17:40:16 | 000,020,952 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbam.sys
[2010.10.11 17:40:16 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware
[2010.09.29 00:59:25 | 000,002,048 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\tzres.dll
[2010.09.26 18:25:59 | 000,000,000 | ---D | C] -- C:\ProgramData\HP Product Assistant
[2010.09.15 08:25:12 | 000,317,952 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MP4SDECD.DLL
[1996.11.18 23:15:46 | 000,018,944 | ---- | C] ( ) -- C:\Windows\System32\IMPLODE.DLL
 
========== Files - Modified Within 30 Days ==========
 
[2010.10.14 18:02:08 | 000,002,623 | ---- | M] () -- C:\Users\carolin3\Desktop\Microsoft Word.lnk
[2010.10.14 17:43:25 | 000,070,192 | ---- | M] (Prevx) -- C:\Windows\System32\PxSecure.dll
[2010.10.14 17:43:24 | 000,074,624 | ---- | M] (Prevx) -- C:\Windows\System32\drivers\pxrts.sys
[2010.10.14 17:43:24 | 000,030,320 | ---- | M] (Prevx) -- C:\Windows\System32\drivers\pxscan.sys
[2010.10.14 17:43:23 | 000,024,400 | ---- | M] (Prevx) -- C:\Windows\System32\drivers\pxkbf.sys
[2010.10.14 17:41:00 | 000,000,886 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineUA.job
[2010.10.14 17:22:28 | 000,003,264 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-1.C7483456-A289-439d-8115-601632D005A0
[2010.10.14 17:22:28 | 000,003,264 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-0.C7483456-A289-439d-8115-601632D005A0
[2010.10.14 15:45:39 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2010.10.14 15:45:39 | 000,035,189 | ---- | M] () -- C:\ProgramData\nvModes.001
[2010.10.14 13:30:46 | 000,002,651 | ---- | M] () -- C:\Users\carolin3\Desktop\Microsoft Excel.lnk
[2010.10.14 13:29:10 | 000,001,052 | ---- | M] () -- C:\Windows\tasks\Google Software Updater.job
[2010.10.14 13:22:59 | 000,035,189 | ---- | M] () -- C:\ProgramData\nvModes.dat
[2010.10.14 13:22:44 | 000,000,882 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineCore.job
[2010.10.14 11:14:09 | 241,519,418 | ---- | M] () -- C:\Windows\MEMORY.DMP
[2010.10.13 19:51:17 | 000,016,896 | ---- | M] () -- C:\Users\carolin3\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2010.10.13 18:07:22 | 000,000,940 | ---- | M] () -- C:\Users\Public\Desktop\Microsoft Security Essentials.lnk
[2010.10.11 20:14:07 | 000,248,592 | ---- | M] () -- C:\Windows\System32\FNTCACHE.DAT
[2010.10.11 17:40:23 | 000,000,818 | ---- | M] () -- C:\Users\Public\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.09.30 14:44:55 | 000,002,073 | ---- | M] () -- C:\Users\Public\Desktop\Google Earth.lnk
 
========== Files Created - No Company Name ==========
 
[2010.10.14 11:14:09 | 241,519,418 | ---- | C] () -- C:\Windows\MEMORY.DMP
[2010.10.13 13:05:40 | 000,256,512 | ---- | C] () -- C:\Windows\PEV.exe
[2010.10.13 13:05:40 | 000,098,816 | ---- | C] () -- C:\Windows\sed.exe
[2010.10.13 13:05:40 | 000,080,412 | ---- | C] () -- C:\Windows\grep.exe
[2010.10.13 13:05:40 | 000,077,312 | ---- | C] () -- C:\Windows\MBR.exe
[2010.10.13 13:05:40 | 000,068,096 | ---- | C] () -- C:\Windows\zip.exe
[2010.10.11 17:40:23 | 000,000,818 | ---- | C] () -- C:\Users\Public\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.09.30 14:44:55 | 000,002,073 | ---- | C] () -- C:\Users\Public\Desktop\Google Earth.lnk
[2010.05.31 16:15:41 | 000,000,032 | --S- | C] () -- C:\Users\carolin3\AppData\Local\770160558.dat
[2009.09.27 10:30:38 | 000,117,248 | ---- | C] () -- C:\Windows\System32\EhStorAuthn.dll
[2009.04.12 21:16:57 | 000,007,916 | ---- | C] () -- C:\Users\carolin3\AppData\Local\d3d9caps.dat
[2009.03.04 11:43:24 | 000,000,182 | ---- | C] () -- C:\Windows\wininit.ini
[2008.12.13 16:48:31 | 000,000,012 | ---- | C] () -- C:\Users\carolin3\AppData\Roaming\settings.xml
[2008.12.13 16:48:30 | 000,000,235 | ---- | C] () -- C:\Users\carolin3\AppData\Roaming\devices.xml
[2008.10.26 18:25:14 | 000,028,672 | ---- | C] () -- C:\Windows\System32\nnr.dll
[2008.10.26 11:49:15 | 000,000,552 | ---- | C] () -- C:\Users\carolin3\AppData\Local\d3d8caps.dat
[2008.08.09 11:46:50 | 000,016,896 | ---- | C] () -- C:\Users\carolin3\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2008.07.28 13:12:14 | 000,000,924 | ---- | C] () -- C:\Windows\wiso.ini
[2008.07.25 10:58:04 | 000,000,096 | ---- | C] () -- C:\Users\carolin3\AppData\Local\fusioncache.dat
[2008.07.24 10:08:54 | 000,000,249 | ---- | C] () -- C:\Windows\BUHL.INI
[2008.07.24 09:53:08 | 000,000,400 | ---- | C] () -- C:\Windows\ODBC.INI
[2006.11.02 14:35:32 | 000,005,632 | ---- | C] () -- C:\Windows\System32\sysprepMCE.dll
[2006.11.02 12:25:44 | 000,159,744 | ---- | C] () -- C:\Windows\System32\atitmmxx.dll
[2006.11.02 09:40:29 | 000,013,750 | ---- | C] () -- C:\Windows\System32\pacerprf.ini
[1998.05.11 00:00:00 | 000,748,160 | ---- | C] () -- C:\Windows\System32\CO2C40EN.DLL
[1996.11.18 23:15:52 | 000,131,072 | ---- | C] () -- C:\Windows\System32\P2SODBC.DLL
[1996.11.18 23:15:50 | 000,054,272 | ---- | C] () -- C:\Windows\System32\P2IRDAO.DLL
[1996.11.18 23:15:50 | 000,050,176 | ---- | C] () -- C:\Windows\System32\P2CTDAO.DLL
[1996.11.18 23:15:50 | 000,036,352 | ---- | C] () -- C:\Windows\System32\P2BBND.DLL

< End of report >

--- --- ---

Chris4You · 15.10.2010, 07:23

Hi,

es sind im RkU einige redirections drin (da werden wir die Files bei virustotal auf patches untersuchen lassen) und viele versteckte Files...
Ein direktes Rootkit ist mir nicht aufgefallen, werde mich mal schlau machen bzw. einen anderen Kompetenzler bitten mal drüberzuschauen (vielleicht sehe ich den Wald vor lauter Bäumen ja nicht)...

Fix für OTL:

Doppelklick auf die OTL.exe, um das Programm auszuführen.

Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

Code:

ATTFilter

:OTL
O28 - HKLM ShellExecuteHooks: {AEB6717E-7E19-11d0-97EE-00C04FD91972} - Reg Error: Key error. File not found

:Commands
[emptytemp]
[EMPTYFLASH]
[purity]
[Reboot]

Den roten Run Fixes! Button anklicken.

Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

%systemroot%\_OTL

Versuchen wir mal die Hiddenfiles loszuwerden...
Anleitung & Download: http://www.trojaner-board.de/51464-a...-ccleaner.html
Installation des cCleaners ohne die Toolbar! Benutzerdefinierte Installation wählen. Dann startest du den Rechner im normalen Modus neu.

Screenshot von Prevx:
Auf der rechten Seite findest Du eien Taste "Druck" auf der Tastatur, die erstellt ein Bildschirmfoto. Dann öffnest Du Paint (oder sonst ein Bildbearbeitungsprogramm) und machst dort "Einfügen", dann den Ausschnitt mit dem PrevX-Fenster ausschneiden und hier posten.

Suche folgende Dateien und lasse sie bei virustotal untersuchen, bei Funden log posten (wobei ich denke die sind sauber):
IEShims.dll (wahrscheinlich in dem Ordner: Program Files\Internet Explorer)
ieframe.dll (wahrscheinlich in dem Ordner: C:\Windows\System32

Wie hängst Du am Internet, per Router oder direkt?

chris

Burg1 · 15.10.2010, 09:04

hier der OTL log:

All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\\{AEB6717E-7E19-11d0-97EE-00C04FD91972} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AEB6717E-7E19-11d0-97EE-00C04FD91972}\ not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: carolin3
->Temp folder emptied: 29161486 bytes
->Temporary Internet Files folder emptied: 50539731 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Google Chrome cache emptied: 0 bytes
->Flash cache emptied: 1551 bytes

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Public
->Temp folder emptied: 0 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 151556 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 76,00 mb

[EMPTYFLASH]

User: All Users

User: carolin3
->Flash cache emptied: 0 bytes

User: Default
->Flash cache emptied: 0 bytes

User: Default User
->Flash cache emptied: 0 bytes

User: Public

Total Flash Files Cleaned = 0,00 mb

OTL by OldTimer - Version 3.2.15.2 log created on 10152010_095810

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

595MB mit CC gelöscht....

screenshot von Prevx geht nicht, hier daher folgender Eintarg manuel...:

icactvol.dll in c:/otl/movedfiles/10132010_124948/C_users

die beiden Dateien wurden nicht mehr gefunden, vermutlich durch den CC entfernt...

IEShims.dll
ieframe.dll

Hänge per WLAN am Internet... jetzt scheint wieder alles zu laufen, vielleicht ist jetzt alles bereinigt?

Chris4You · 15.10.2010, 09:59

Hi,

die Datei, die gefunden wurde von PrevX (icactvol.dll) ist der Banking-Trojaner, der laut einem parallel-Thread tatsächlich zumindest auch EBay-Passwörter mit "abgreift". Die Datei befindet sich im Backupverzeichnis von OTL, da wir sie dahin verschoben haben (sie ist da ungefährlich, wenn wir fertig sind müssen wir nur dran denken das _olt-Verzeichnis zu löschen)
D. h. für uns, sobald wir eine Infektion dieser Art erkennen, müssen wir den User darauf hinweisen, sofort alle Passwörter von einem sauberen Rechner aus zu ändern...

Ich warte noch auf das Feedback eines Kollegen bezüglich dem RuH-Logs, dann melde ich mich wieder...

Und -wie gesagt- ist die Empfehlung Neuaufzusetzen nach dieser Infektion ...

chris

Burg1 · 15.10.2010, 12:56

in Ordnung....Wie entfernen ich denn das olt-Verzeichnis mit dem Trojaner am Besten, oder soll ich noch warten? Gruss

Chris4You · 15.10.2010, 21:09

Hi,

nach Anregung vom Kollegen neuer Anlauf...

temp. FileCleaner (TFC)
Lade Dir TFC runter (http://filepony.de/download-tfc/) und speichere ihn auf dem Desktop.
Falls Du noch nicht Deine Arbeit/offene Files gespeichert hast, jetzt durchführen, alle anderen
Anwendungen schließen (sonst übernimmt TFC das inklusive Browser, speichert aber nicht!)
Start jetzt die TFC.exe (Vista/Win7-User als Admin starten! [Rechtsklick und "Als Administrator ausführen"]).
Beginne mit der Bereinigung durch "Start", nicht unterbrechen. TFC wird Dich auffordern den Rechner neu zu starten, das sofort machen.

Lösche den alten Combofix und lade Dir Ihn neu runter (er wird jeden Tag neu zusammengebaut) http://download.bleepingcomputer.com/sUBs/ComboFix.exe und lass ihn laufen (ggf. im abgesicherten Modus)...

Danach:
Downloade Dir bitte Rorschach's Custom Scan.txt von GeeksToGo.com und speichere diese als Scan.txt dort, wo sich auch die OTL.exe befindet.
Starte nun OTL und klicke in die Custom Scans/Fixes Box. Wähle nun die zuvor gedownloadete Scan.txt aus und klicke OK.
Danach klicke in OTL auf Scan. Poste bitte die OTL.txt

chris

Burg1 · 16.10.2010, 18:47

hier schonmal der log von Combofix:

ComboFix 10-10-15.04 - carolin3 16.10.2010 19:31:25.2.2 - x86
Microsoft® Windows Vista™ Home Premium 6.0.6002.2.1252.49.1031.18.3070.2165 [GMT 2:00]
ausgeführt von:: c:\users\carolin3\Downloads\ComboFix.exe
SP: Windows-Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((( Dateien erstellt von 2010-09-16 bis 2010-10-16 ))))))))))))))))))))))))))))))
.

2010-10-16 17:41 . 2010-10-16 17:41 -------- d-----w- c:\users\carolin3\AppData\Local\temp
2010-10-16 17:41 . 2010-10-16 17:41 -------- d-----w- c:\users\Default\AppData\Local\temp
2010-10-15 21:29 . 2010-09-09 22:52 6084944 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Microsoft Antimalware\Definition Updates\{A67CF9FA-F5DC-442C-B8DB-A92AB4178E4E}\mpengine.dll
2010-10-15 08:07 . 2010-10-15 08:08 -------- d-----w- C:\CCleaner
2010-10-14 21:54 . 2010-08-31 13:27 2038272 ----a-w- c:\windows\system32\win32k.sys
2010-10-14 21:48 . 2010-05-04 19:13 231424 ----a-w- c:\windows\system32\msshsq.dll
2010-10-14 21:48 . 2010-08-20 16:05 867328 ----a-w- c:\windows\system32\wmpmde.dll
2010-10-14 21:48 . 2010-08-31 15:44 531968 ----a-w- c:\windows\system32\comctl32.dll
2010-10-14 15:43 . 2010-10-14 15:43 70192 ----a-w- c:\windows\system32\PxSecure.dll
2010-10-14 15:43 . 2010-10-14 15:43 74624 ----a-w- c:\windows\system32\drivers\pxrts.sys
2010-10-14 15:43 . 2010-10-14 15:43 30320 ----a-w- c:\windows\system32\drivers\pxscan.sys
2010-10-14 15:43 . 2010-10-14 15:43 24400 ----a-w- c:\windows\system32\drivers\pxkbf.sys
2010-10-14 15:43 . 2010-10-14 15:43 -------- d-----w- c:\program files\Prevx
2010-10-14 08:19 . 2010-10-14 08:19 -------- d-----w- c:\users\carolin3\DoctorWeb
2010-10-13 10:49 . 2010-10-16 17:03 -------- d-----w- C:\_OTL
2010-10-11 15:40 . 2010-10-11 15:40 -------- d-----w- c:\users\carolin3\AppData\Roaming\Malwarebytes
2010-10-11 15:40 . 2010-04-29 10:19 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-10-11 15:40 . 2010-10-11 15:40 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-10-11 15:40 . 2010-04-29 10:19 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-09-28 22:59 . 2010-06-22 13:30 2048 ----a-w- c:\windows\system32\tzres.dll
2010-09-28 22:59 . 2010-08-26 04:23 13312 ----a-w- c:\program files\Internet Explorer\iecompat.dll

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-11 1233920]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-07-26 68856]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-02-06 3885408]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-19 1008184]
"SSBkgdUpdate"="c:\program files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-10-25 210472]
"ScanSoft PDF Create! 4-reminder"="c:\program files\ScanSoft\PDF Create! 4\Ereg\Ereg.exe" [2006-11-16 35368]
"TkBellExe"="c:\program files\Common Files\Real\Update_OB\realsched.exe" [2008-12-29 185872]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2008-11-04 413696]
"MSSE"="c:\program files\Microsoft Security Essentials\msseces.exe" [2010-09-15 1094224]
"HP Software Update"="c:\program files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe" [2006-12-10 49152]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-10-03 35696]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2009-09-04 935288]
" Malwarebytes Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2010-04-29 1090952]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
HP Digital Imaging Monitor.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe [2007-1-2 210520]
Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360]
t@x aktuell.lnk - c:\program files\Buhl finance\tax 2010 Professional\taxaktuell.exe [2010-1-22 558376]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 gupdate;Google Update Service (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2009-12-31 135664]
R3 FWLANUSB;AVM FRITZ!WLAN;c:\windows\system32\DRIVERS\fwlanusb.sys [2006-04-06 264704]
R3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]
S0 pxscan;pxscan;c:\windows\System32\drivers\pxscan.sys [2010-10-14 30320]
S0 Si3531;SiI-3531 SATA Controller;c:\windows\system32\DRIVERS\Si3531.sys [2007-06-01 210736]
S1 pxrts;pxrts;c:\windows\system32\drivers\pxrts.sys [2010-10-14 74624]
S2 CSIScanner;CSIScanner;c:\program files\Prevx\prevx.exe [2010-10-14 6407728]
S3 MpNWMon;Microsoft Malware Protection Network Driver;c:\windows\system32\DRIVERS\MpNWMon.sys [2010-03-25 42368]
S3 netr28;Ralink 802.11n Wireless Driver for Windows Vista;c:\windows\system32\DRIVERS\netr28.sys [2007-11-21 327168]
S3 pxkbf;pxkbf;c:\windows\system32\drivers\pxkbf.sys [2010-10-14 24400]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceAndNoImpersonation REG_MULTI_SZ FontCache
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc
.
Inhalt des "geplante Tasks" Ordners

2010-10-16 c:\windows\Tasks\Google Software Updater.job
- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-07-24 10:10]

2010-10-16 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-12-31 15:31]

2010-10-16 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-12-31 15:31]
.
.
------- Zusätzlicher Suchlauf -------
.
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
"MSCurrentCountry"=dword:000000b5

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
Zeit der Fertigstellung: 2010-10-16 19:45:04
ComboFix-quarantined-files.txt 2010-10-16 17:45

Vor Suchlauf: 18 Verzeichnis(se), 95.906.652.160 Bytes frei
Nach Suchlauf: 19 Verzeichnis(se), 95.885.148.160 Bytes frei

Deutsche Bank Trojaner

Plagegeister aller Art und deren Bekämpfung: Deutsche Bank Trojaner