Hallo und Gruß an alle Helfer vom Trojaner-Board!



[Smalltalk]Auch ich habe mir den doch sehr beliebten "TR/Kazy.mekml.1" und seine Freunde "TR/ATRAPS.Gen2" und "Crypt.XPACK.Gen2" geholt. Quelle war bei mir sowohl Facebook als auch eine nicht jugendfreihe Internetseite deren Titel an Youtube erinnert
Der typische AdobeFlash-Fake-Effekt, wenn ihr wisst was ich meine, trat auf und sogleich gab's System Beeps von Avira mit Meldung von Kazy und Atraps.
Würde mich mal interessieren was die beiden denn nun eigentlich wirklich so anstellen...[/Smalltalk]

Im abgesicherten Modus ließ ich Avira einen Komplettcheck machen mit Fund der im Thema angesprochenen Trojanern (- CryptXPACK, der kam später) und verschob die Dateien in Quarantäne.

Phänomene:
In normalem Modus meines Windows XP
- Kein Desktop-Kontextmenu
- Ordner auf Partitionen weg (fixed, Ordneroptionen in Systemsteuerung geändert, alle versteckten Ordner per Rechtsklick und Entf. des Hakens wieder auftauchen lassen)
-kein Taskmanager (fixed, Trojaner scheinen ordentlich in der Registry zu wüten)

Avira fand:




Typ: Datei
Quelle: C:\Dokumente und Einstellungen\DerGeilePowertrashUser\Lokale Einstellungen\Temp\Adobe_Flash_Player.exe
Status: Infiziert
Quarantäne-Objekt: 4b7cd928.qua
Wiederhergestellt: NEIN
Zu Avira hochgeladen: NEIN
Betriebssystem: Windows 2000/XP/VISTA Workstation
Suchengine: 8.02.04.214
Virendefinitionsdatei: 7.11.06.251
Meldung: Ist das Trojanische Pferd TR/ATRAPS.Gen2
Datum/Uhrzeit: 27.04.2011, 22:32


Typ: Datei
Quelle: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\15458100.exe
Status: Infiziert
Quarantäne-Objekt: 5654c646.qua
Wiederhergestellt: NEIN
Zu Avira hochgeladen: NEIN
Betriebssystem: Windows 2000/XP/VISTA Workstation
Suchengine: 8.02.04.214
Virendefinitionsdatei: 7.11.06.251
Meldung: Ist das Trojanische Pferd TR/Kazy.mekml.1
Datum/Uhrzeit: 27.04.2011, 19:07


Typ: Datei
Quelle: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\UFBiGpkhwXos.dll
Status: Infiziert
Quarantäne-Objekt: 4ed5e910.qua
Wiederhergestellt: NEIN
Zu Avira hochgeladen: NEIN
Betriebssystem: Windows 2000/XP/VISTA Workstation
Suchengine: 8.02.04.214
Virendefinitionsdatei: 7.11.06.251
Meldung: Ist das Trojanische Pferd TR/Crypt.XPACK.Gen2
Datum/Uhrzeit: 27.04.2011, 19:07

Ist vielleicht interessant für alle anderen Kazy-Freunde, ich jedenfalls würde ganz gern
mehr über diesen Plagegeist erfahren.
Desweiteren habe ich natürlich Logfiles machen lassen.

MalwareBytes sagt:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 6408

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

28.04.2011 20:52:28
mbam-log-2011-04-28 (20-52-28).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 161632
Laufzeit: 10 Minute(n), 37 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 3
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_CLASSES_ROOT\regfile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\NoChangingWallpaper (PUM.Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (PUM.Hijack.TaskManager) -> Bad: (1) Good: (0) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)


OTL sagt auch ein paar Dinge:

OTL logfile created on: 28.04.2011 22:09:44 - Run 2
OTL by OldTimer - Version 3.2.22.3 Folder = D:\
Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy

991,00 Mb Total Physical Memory | 450,00 Mb Available Physical Memory | 45,00% Memory free
2,00 Gb Paging File | 1,00 Gb Available in Paging File | 58,00% Paging File free
Paging file location(s): C:\pagefile.sys 1488 2976 [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | xxx Gb NTFS
Drive D: | xxx Gb NTFS
Drive E: | xxx Gb NTFS
Drive G: | xxx| Partition Type: FAT

Computer Name: PowertrashPrivateDataBla | User Name: Messiah - Powertrash Demo | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days

========== Processes (SafeList) ==========

PRC - D:\OTL.exe (OldTimer Tools)
PRC - D:\ProcessMonitor\Procmon.exe (Sysinternals - www.sysinternals.com)
PRC - C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
PRC - C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
PRC - C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\OCS\SM\SearchAnonymizerHelper.exe ()
PRC - C:\Programme\ICQ7.2\ICQ.exe (ICQ, LLC.)
PRC - C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QipGuard\QipGuard.exe ()
PRC - C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
PRC - c:\Programme\Avira\AntiVir Desktop\avcenter.exe (Avira GmbH)
PRC - C:\Programme\ICQ6Toolbar\ICQ Service.exe ()
PRC - C:\Programme\Avira\AntiVir Desktop\avshadow.exe (Avira GmbH)
PRC - C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
PRC - C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe (RealNetworks, Inc.)
PRC - C:\Programme\Winamp\winamp.exe (Nullsoft)
PRC - C:\Programme\Winamp\winampa.exe ()
PRC - C:\Programme\avmwlanstick\WLanGUI.exe (AVM Berlin)
PRC - C:\Programme\avmwlanstick\WLanNetService.exe (AVM Berlin)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
PRC - C:\WINDOWS\system32\mmc.exe (Microsoft Corporation)
PRC - C:\WINDOWS\SOUNDMAN.EXE (Realtek Semiconductor Corp.)
PRC - C:\Programme\Lexmark X1100 Series\lxbkbmon.exe (Lexmark International, Inc.)
PRC - C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe (Lexmark International, Inc.)


========== Modules (SafeList) ==========

MOD - D:\OTL.exe (OldTimer Tools)
MOD - C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9\comctl32.dll (Microsoft Corporation)


========== Win32 Services (SafeList) ==========

SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
SRV - (SearchAnonymizer) -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\OCS\SM\SearchAnonymizerHelper.exe ()
SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
SRV - (ICQ Service) -- C:\Programme\ICQ6Toolbar\ICQ Service.exe ()
SRV - (AVM WLAN Connection Service) -- C:\Programme\avmwlanstick\WLanNetService.exe (AVM Berlin)


========== Driver Services (SafeList) ==========

DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH)
DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH)
DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH)
DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH)
DRV - (FWLANUSB) -- C:\WINDOWS\system32\drivers\fwlanusb.sys (AVM GmbH)
DRV - (avmeject) -- C:\WINDOWS\system32\drivers\avmeject.sys (AVM Berlin)
DRV - (SiS315) -- C:\WINDOWS\system32\drivers\sisgrp.sys (Silicon Integrated Systems Corporation)
DRV - (SiSkp) -- C:\WINDOWS\system32\drivers\srvkp.sys (Silicon Integrated Systems Corporation)
DRV - (rtl8139) NT-Treiber für Realtek RTL8139(A/B/C) -- C:\WINDOWS\system32\drivers\RTL8139.sys (Realtek Semiconductor Corporation)
DRV - (AN983) -- C:\WINDOWS\system32\drivers\an983.sys (ADMtek Incorporated.)
DRV - (ALCXWDM) Service for Realtek AC97 Audio (WDM) -- C:\WINDOWS\system32\drivers\ALCXWDM.SYS (Realtek Semiconductor Corp.)
DRV - (ALCXSENS) -- C:\WINDOWS\system32\drivers\ALCXSENS.SYS (Sensaura Ltd)


========== Standard Registry (SafeList) ==========


========== Internet Explorer ==========

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant =
IE - HKLM\..\URLSearchHook: - Reg Error: Key error. File not found
IE - HKLM\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ)

IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://qip.ru
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://search.qip.ru
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://search.qip.ru
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://qip.ru
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://search.qip.ru/ie
IE - HKCU\..\URLSearchHook: - Reg Error: Key error. File not found
IE - HKCU\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ)
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0

========== FireFox ==========

FF - prefs.js..browser.search.defaultenginename: "QIP Search"
FF - prefs.js..browser.search.selectedEngine: "QIP Search"
FF - prefs.js..browser.startup.homepage: "hxxp://devilssoldiers.forum0.net/forum.htm"
FF - prefs.js..extensions.enabledItems: {E2883E8F-472F-4fb0-9522-AC9BF37916A7}:1
FF - prefs.js..extensions.enabledItems: 6
FF - prefs.js..extensions.enabledItems: 2
FF - prefs.js..extensions.enabledItems: 41
FF - prefs.js..extensions.enabledItems: {e001c731-5e37-4538-a5cb-8168736a2360}:0.9.9.38
FF - prefs.js..extensions.enabledItems: jqs@sun.com:1.0
FF - prefs.js..extensions.enabledItems: {32a1fd71-835e-4b11-8e54-886fda0b4c89}:1.1
FF - prefs.js..extensions.enabledItems: QipCounter@qip.ru:1.0
FF - prefs.js..extensions.enabledItems: {ABDE892B-13A8-4d1b-88E6-365A6E755758}:1.0
FF - prefs.js..extensions.enabledItems: witchhammer@andrewbuntine.com:1.5
FF - prefs.js..keyword.URL: "hxxp://search.qip.ru/search?from=FF&query="

FF - HKLM\software\mozilla\Mozilla Firefox 3.5.18\extensions\\Components: C:\Programme\Mozilla Firefox\components [2011.04.10 15:45:00 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.5.18\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2011.04.10 15:45:00 | 000,000,000 | ---D | M]

[2009.09.07 11:35:12 | 000,000,000 | -H-D | M] (No name found) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Extensions
[2011.04.28 11:19:14 | 000,000,000 | -H-D | M] (No name found) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions
[2011.02.10 22:45:03 | 000,000,000 | -H-D | M] (QipAuthorizer) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\{32a1fd71-835e-4b11-8e54-886fda0b4c89}
[2010.09.19 12:57:31 | 000,000,000 | -H-D | M] ("BitDefender QuickScan") -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\{e001c731-5e37-4538-a5cb-8168736a2360}
[2009.09.07 11:51:58 | 000,000,000 | -H-D | M] (Adobe DLM (powered by getPlus(R))) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\{E2883E8F-472F-4fb0-9522-AC9BF37916A7}
[2011.02.10 22:45:14 | 000,000,000 | -H-D | M] ("QipCounter") -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\QipCounter@qip.ru
[2010.10.25 21:56:21 | 000,000,000 | -H-D | M] (Witchhammer) -- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\extensions\witchhammer@andrewbuntine.com
[2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-1.xml
[2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-2.xml
[2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-3.xml
[2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-4.xml
[2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-5.xml
[2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-6.xml
[2011.02.10 23:13:10 | 000,001,097 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin-7.xml
[2011.02.10 23:13:10 | 000,001,180 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\icqplugin.xml
[2011.02.10 23:13:10 | 000,002,314 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\qip-search.xml
[2011.02.10 23:13:10 | 000,001,864 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\{0DB18096-74C8-41A4-A28F-2F973F63DC12}.xml
[2011.02.10 23:13:10 | 000,002,182 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\{7B2FDA2B-2333-4F27-AD94-EEFD3F88111A}.xml
[2011.02.10 23:13:10 | 000,002,071 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\tpnqsdt3.default\searchplugins\{CF8BF219-E8E8-4910-8178-025FEDAAD11F}.xml
[2011.04.28 11:19:14 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2010.02.10 23:13:00 | 000,000,000 | ---D | M] (Java Quick Starter) -- C:\PROGRAMME\JAVA\JRE6\LIB\DEPLOY\JQS\FF
[2009.09.21 21:11:14 | 000,000,000 | ---D | M] (RealPlayer Browser Record Plugin) -- C:\PROGRAMME\REAL\REALPLAYER\BROWSERRECORD\FIREFOX\EXT
[2011.02.10 23:13:09 | 000,001,678 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml
[2011.02.10 23:13:10 | 000,002,647 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml
[2011.02.10 23:13:10 | 000,007,045 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\leo_ende_de.xml
[2011.02.10 23:13:10 | 000,001,272 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml
[2011.02.10 23:13:10 | 000,000,860 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml

O1 HOSTS File: ([2011.02.10 23:13:27 | 000,001,017 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1 localhost
O1 - Hosts: 127.0.0.1 im.adtech.de
O1 - Hosts: 127.0.0.1 adserver.adtech.de
O1 - Hosts: 127.0.0.1 adtech.de
O1 - Hosts: 127.0.0.1 ar.atwola.com
O1 - Hosts: 127.0.0.1 atwola.com
O1 - Hosts: 127.0.0.1 adserver.71i.de
O1 - Hosts: 127.0.0.1 adicqserver.71i.de
O1 - Hosts: 127.0.0.1 71i.de
O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated)
O2 - BHO: (RealPlayer Download and Record Plugin for Internet Explorer) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\Real\RealPlayer\rpbrowserrecordplugin.dll (RealPlayer)
O2 - BHO: (QipLI Class) - {6B5863A0-C43F-4C0A-982B-CC0E9125783F} - C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Microsoft\Internet Explorer\qstatsrv.dll (TODO: <Company name>)
O2 - BHO: (QIPBHO Class) - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Microsoft\Internet Explorer\qipsearchbar.dll (qip.ru)
O3 - HKLM\..\Toolbar: (ICQToolBar) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ)
O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\WLanGUI.exe (AVM Berlin)
O4 - HKLM..\Run: [Lexmark X1100 Series] C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe (Lexmark International, Inc.)
O4 - HKLM..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe (Ahead Software Gmbh)
O4 - HKLM..\Run: [Ocs_SM] C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\OCS\SM\SearchAnonymizer.exe (OCS)
O4 - HKLM..\Run: [SiSPower] C:\WINDOWS\System32\SiSPower.dll (Silicon Integrated Systems Corporation)
O4 - HKLM..\Run: [SoundMan] C:\WINDOWS\SOUNDMAN.EXE (Realtek Semiconductor Corp.)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O4 - HKLM..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe (RealNetworks, Inc.)
O4 - HKLM..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe ()
O4 - HKCU..\Run: [2kkBcCllW8weD] File not found
O4 - HKCU..\Run: [Driver Updater] File not found
O4 - HKCU..\Run: [QIP Internet Guardian] C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QipGuard\QipGuard.exe ()
O4 - HKCU..\Run: [RSxWcWRakP] File not found
O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe (Adobe Systems, Inc.)
O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe (Silicon Integrated Systems Corporation)
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\control panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\restrictions present
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\control panel present
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\restrictions present
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 91 00 00 00 [binary data]
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1
O9 - Extra Button: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe (ICQ, LLC.)
O9 - Extra 'Tools' menuitem : ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe (ICQ, LLC.)
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} hxxp://download.eset.com/special/eos/OnlineScanner.cab (OnlineScanner Control)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18)
O16 - DPF: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab (Java Plug-in 1.6.0_18)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.2.1
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.09.07 10:48:33 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O32 - AutoRun File - [2006.11.06 12:48:00 | 000,000,000 | ---- | M] () - D:\AUTOEXEC.BAT -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) - File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O37 - HKCU\...exe [@ = exefile] -- Reg Error: Key error. File not found

========== Files/Folders - Created Within 30 Days ==========

[2011.04.28 21:14:22 | 000,000,000 | -H-D | C] -- C:\WINDOWS\System32\GroupPolicy
[2011.04.28 21:05:33 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\XXX\Desktop\Nicht verwendete Desktopverknüpfungen
[2011.04.28 21:03:55 | 000,000,000 | ---D | C] -- C:\WINDOWS\LastGood
[2011.04.28 20:10:59 | 000,000,000 | ---D | C] -- C:\WINDOWS\ServicePackFiles
[2011.04.28 12:30:33 | 000,000,000 | -H-D | C] -- C:\WINDOWS\$MSI31Uninstall_KB893803v2$
[2011.04.28 12:29:50 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\PreInstall
[2011.04.28 12:29:49 | 000,026,488 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\spupdsvc.exe
[2011.04.28 11:10:27 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\SoftwareDistribution
[2011.04.26 21:48:15 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\XXX\Recent
[2011.04.25 21:48:49 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\XXX\Ostereiersuche_2011
[2011.04.25 17:46:44 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\XXX\Desktop\SQL_Klausuren
[2011.04.24 23:21:44 | 000,005,632 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\ptpusb.dll
[2011.04.24 23:21:43 | 000,159,232 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\ptpusd.dll
[2011.04.24 22:54:23 | 000,016,384 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\ipsink.ax
[2011.04.24 22:54:03 | 000,091,136 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\kswdmcap.ax
[2011.04.24 22:54:03 | 000,061,952 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\kstvtune.ax
[2011.04.24 22:54:03 | 000,028,672 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\vidcap.ax
[2011.04.24 22:54:02 | 000,054,272 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\vfwwdm32.dll
[2011.04.24 22:54:00 | 000,043,008 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\ksxbar.ax
[2011.04.24 22:54:00 | 000,020,992 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\dshowext.ax
[2011.04.23 13:55:29 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\XXX\mmm82
[2011.04.16 11:31:13 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\XXX\1971_-_magic_theatre
[4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]

========== Files - Modified Within 30 Days ==========

[2011.04.28 21:10:54 | 000,405,118 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2011.04.28 21:10:54 | 000,392,296 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2011.04.28 21:10:54 | 000,070,580 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2011.04.28 21:10:54 | 000,058,596 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2011.04.28 21:01:12 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2011.04.28 20:16:31 | 000,001,374 | ---- | M] () -- C:\WINDOWS\imsins.BAK
[2011.04.27 19:54:37 | 000,033,280 | -H-- | M] () -- C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2011.04.26 13:08:53 | 000,510,354 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Desktop\riff.mp3
[2011.04.25 18:35:56 | 000,049,571 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Desktop\217999_211423908882149_100000436258770_744381_3176872_n.jpg
[2011.04.24 20:04:30 | 006,743,379 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Desktop\Kindergarten.mp3
[2011.04.22 12:47:05 | 000,013,646 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2011.04.14 10:23:30 | 000,029,639 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Eigene Dateien\l.jpg
[2011.04.10 11:32:37 | 000,002,594 | ---- | M] () -- C:\Dokumente und Einstellungen\XXX\Desktop\catacombs.gp5
[2011.04.02 15:34:40 | 000,137,656 | ---- | M] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avipbb.sys
[4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]

========== Files Created - No Company Name ==========

[2011.04.26 13:08:49 | 000,510,354 | ---- | C] () -- C:\Dokumente und Einstellungen\XXX\Desktop\riff.mp3
[2011.04.25 18:35:55 | 000,049,571 | ---- | C] () -- C:\Dokumente und Einstellungen\XXX\Desktop\217999_211423908882149_100000436258770_744381_3176872_n.jpg
[2011.03.14 18:45:59 | 000,075,230 | ---- | C] () -- C:\WINDOWS\VGAsetup.ini
[2011.03.14 18:45:56 | 000,036,864 | R--- | C] () -- C:\WINDOWS\InstFunc.exe
[2011.03.14 18:45:49 | 000,065,536 | R--- | C] () -- C:\WINDOWS\System32\sis760.bin
[2011.03.14 18:45:49 | 000,065,536 | R--- | C] () -- C:\WINDOWS\System32\sis741.bin
[2011.03.14 18:45:48 | 000,049,152 | R--- | C] () -- C:\WINDOWS\System32\sis660.bin
[2011.03.14 18:45:26 | 000,073,999 | ---- | C] () -- C:\WINDOWS\System32\VGAunistlog.ini
[2011.03.14 18:41:39 | 000,000,164 | ---- | C] () -- C:\WINDOWS\avrack.ini
[2010.08.11 18:09:22 | 000,068,640 | ---- | C] () -- C:\WINDOWS\unTMV.exe
[2010.07.26 21:14:44 | 000,000,101 | ---- | C] () -- C:\WINDOWS\lexstat.ini
[2010.05.31 21:54:49 | 000,000,048 | ---- | C] () -- C:\WINDOWS\scmate.ini
[2010.01.04 19:41:44 | 000,000,552 | ---- | C] () -- C:\WINDOWS\System32\d3d8caps.dat
[2009.11.18 14:21:32 | 000,000,652 | ---- | C] () -- C:\WINDOWS\cdplayer.ini
[2009.10.07 12:41:39 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI
[2009.09.08 12:32:29 | 000,033,280 | -H-- | C] () -- C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2009.09.07 16:36:57 | 000,004,096 | ---- | C] () -- C:\WINDOWS\d3dx.dat
[2009.09.07 16:18:13 | 000,000,266 | ---- | C] () -- C:\WINDOWS\System32\lxbkcoin.ini
[2009.09.07 13:18:47 | 000,000,664 | ---- | C] () -- C:\WINDOWS\System32\d3d9caps.dat
[2009.09.07 11:35:29 | 000,004,161 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI
[2009.09.07 11:35:04 | 000,000,000 | ---- | C] () -- C:\WINDOWS\nsreg.dat
[2009.09.07 11:34:07 | 000,146,016 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2009.09.07 10:55:19 | 000,097,360 | ---- | C] () -- C:\WINDOWS\System32\drivers\Fwusb1b.bin
[2009.09.07 10:51:55 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat
[2009.09.07 10:44:40 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat
[2006.02.28 14:00:00 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin
[2006.02.28 14:00:00 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat
[2006.02.28 14:00:00 | 000,405,118 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat
[2006.02.28 14:00:00 | 000,392,296 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat
[2006.02.28 14:00:00 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat
[2006.02.28 14:00:00 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat
[2006.02.28 14:00:00 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat
[2006.02.28 14:00:00 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\ieencode.dll
[2006.02.28 14:00:00 | 000,070,580 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat
[2006.02.28 14:00:00 | 000,058,596 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat
[2006.02.28 14:00:00 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin
[2006.02.28 14:00:00 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat
[2006.02.28 14:00:00 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat
[2006.02.28 14:00:00 | 000,027,440 | ---- | C] () -- C:\WINDOWS\System32\drivers\secdrv.sys
[2006.02.28 14:00:00 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat
[2006.02.28 14:00:00 | 000,004,461 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat
[2006.02.28 14:00:00 | 000,001,788 | ---- | C] () -- C:\WINDOWS\System32\Dcache.bin
[2006.02.28 14:00:00 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat
[2003.08.18 16:55:48 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\LXBKIH.EXE
[2003.08.18 16:46:38 | 000,077,824 | ---- | C] () -- C:\WINDOWS\System32\LXBKLCNP.DLL
[2002.11.13 21:40:22 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\lxbkvs.dll
[2001.01.19 21:50:20 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\INSTMON.EXE

========== LOP Check ==========

[2010.01.25 22:24:01 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ashampoo
[2010.07.26 21:16:19 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BVRP Software
[2010.06.23 07:37:47 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ICQ
[2010.05.17 21:48:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SITEguard
[2010.05.18 11:56:07 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\STOPzilla!
[2010.01.26 21:03:30 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Ashampoo
[2011.02.02 23:54:45 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Audacity
[2010.05.25 16:57:10 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Desktopicon
[2011.04.28 21:51:00 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\ICQ
[2009.12.21 13:09:42 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Nvu
[2011.02.10 23:12:58 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\OCS
[2011.02.10 23:13:10 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Opera
[2011.02.10 22:45:35 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QIP
[2011.02.10 22:45:16 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QipGuard
[2010.12.19 18:55:54 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\QuickScan
[2010.07.12 00:48:48 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\ScummVM
[2010.11.04 14:38:08 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\TeamViewer
[2009.11.19 15:50:13 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Toolbars

========== Purity Check ==========



< End of report >




Danke bereits im Vorraus!
Warscheinlich werd ich das (steinzeitliche) System eh komplett crashen,
aber bevor ich mich an Datensicherung etc. mache, wäre es toll für mein Ego
Kazy mit euerer Hilfe zu bezwingen.

- Entschuldigt die doofen Bemerkungen -

____________

POWERTRASH
____________

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.