Trojaner? Auffälliges Kopieren und Win32.Agent.ax in Temp-Ordner

wanderer · 01.05.2011, 17:49

Hallo,

ich fürchte mein System ist befallen. Folgendes konnte ich beobachten und feststellen:
- zwischenzeitlich blinkt für wenige Sekunden ein Kopiere Dateien-Fenster von Windows auf. Dort ist als Zielordner angegeben: C:\Dokumente und Einstellungen\nh\Lokale Einstellungen\Temp

- Ich habe das ganze System mit AntiVir, Spybot, Malwarebytes und Hitman Pro geprüft und nichts gefunden. Dann habe ich über das Kontextmenü den Temp-Ordner direkt mit Spybot geprüft und im Ergebnis wurden zwei System.dll Dateien als Win32.Agent.ax ausgewiesen. Leider stand in dem Modus von Spybot keine Reperaturfunktion zur Verfügung.

- Der Temp-Ordner war sehr voll. Auffällig waren drei Verzeichnis Namen, die durchnummeriert über einige Zeit fast täglich erzeugt wurden: "Temporäres Verzeichnis 1 für DiskSpaceCheck.zip", "...für DoNet35Sp1Check.zip" und "... für FixMyBuildID.zip". Ich habe den Temp-Ordner komplett geleert, ein weiterer Spybot-Check hat nichts mehr gefunden.

- Später am selben Tag hat der Antivir Guard zweimal das Trojanische Pferd TR/Trash.Gen in Quarantäne verschoben

- Ich habe den obigen Temp-Ordner weiter beobachtet und mit Spybot geprüft. Heute (zwei Tage später) hat er wieder einen Win32.Agent.ax an einer System.dll identifziert. Diese konnte ich in einem Verzeichnis nsz10.tmp lokalisieren.

- Wenig später tauchte das Kopiere Dateien-Fenster wieder auf. Anschließend waren im Temp-Ordner die drei oben genannten Verzeichnisse für xxx.zip zu finden. Der nsz10.tmp war verschwunden.

- Wieder einige Zeit später waren auch die drei Vereziechnisse für xxx.zip verschwunden. Dafür existiert jetzt ein Ordner nsu17.tmp, der wieder die berüchtigte System.dll enthält. Auch die weiteren Dateien im Ordner sind die selben wie in dem nsz10.tmp: FindProcDLL.dll, newadvsplash.dll, registry.dll, splash.jpg, System.dll, UserInfo.dll

Soweit, was ich feststellen konnte. Irgendwer hört mit, was auf meinem Rechner passiert, das ist beunruhigend. Ich konnte mit Google viele Hinweise finden, aber ich kann nicht beurteilen, was für mich zutrifft. Bitte also dringend um Hilfe.

Das Load.exe Verfahren habe ich durchgeführt. Die Logs sind im Anhang.

Im Voraus vielen Dank für euren beeindruckenden Einsatz.

cosinus · 02.05.2011, 13:13

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.

wanderer · 02.05.2011, 14:47

Hier schon mal die Logs der letzten Zeit. Einen von heute liefere ich gerne noch nach.

Danke.

cosinus · 02.05.2011, 15:21

Ist ziemlich unauffällig.

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )

Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen!

wanderer · 02.05.2011, 22:19

TDSSKiller hat nichts gefunden. Im Anhang schicke ich das Log.

Mit dem Zugriff auf den Ordner Eigene Dateien hatte ich kein Problem - allerdings benutze ich den Ordner normalerweise nicht.

Danke.

cosinus · 02.05.2011, 22:46

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

wanderer · 03.05.2011, 01:29

Hier das Combofix Log:

Combofix Logfile:
[CODE]ComboFix 11-05-02.03 - nh 03.05.2011 0:12.1.2 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.2006.1299 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\nh\Desktop\cofi.exe
AV: AntiVir Desktop *Disabled/Updated* {11638345-E4FC-4BEE-BB73-EC754659C5F6}
FW: Avira FireWall *Disabled* {11638345-E4FC-4BEE-BB73-EC754659C5F6}
* Neuer Wiederherstellungspunkt wurde erstellt
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\programme\PC-Doctor\Downloads\194d1dc8-fbc8-481a-aa95-bf545be1d569.dll
c:\programme\PC-Doctor\Downloads\aaafe845-287d-4966-bd17-65877f9d0d2e.dll
c:\windows\system32\Data
c:\windows\system32\Thumbs.db
.
.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_NPF
.
.
((((((((((((((((((((((( Dateien erstellt von 2011-04-02 bis 2011-05-02 ))))))))))))))))))))))))))))))
.
.
2011-05-02 22:06 . 2011-05-02 22:07 -------- d-----w- C:\32788R22FWJFW
2011-05-01 12:28 . 2011-05-01 12:28 -------- d-----w- c:\programme\ERUNT
2011-04-29 09:27 . 2011-05-01 11:45 16968 ----a-w- c:\windows\system32\drivers\hitmanpro35.sys
2011-04-29 09:27 . 2011-04-29 09:27 -------- d-----w- c:\programme\Hitman Pro 3.5
2011-04-29 09:25 . 2011-04-29 09:25 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Hitman Pro
2011-04-27 10:08 . 2011-04-27 10:08 -------- d-----w- c:\programme\totalcmd
2011-04-27 10:08 . 2011-04-27 10:08 -------- d-----w- c:\dokumente und einstellungen\nh\Anwendungsdaten\GHISLER
2011-04-27 10:08 . 2010-12-17 05:56 545 ----a-w- c:\windows\UC.PIF
2011-04-27 10:08 . 2010-12-17 05:56 545 ----a-w- c:\windows\RAR.PIF
2011-04-27 10:08 . 2010-12-17 05:56 545 ----a-w- c:\windows\PKZIP.PIF
2011-04-27 10:08 . 2010-12-17 05:56 545 ----a-w- c:\windows\PKUNZIP.PIF
2011-04-27 10:08 . 2010-12-17 05:56 545 ----a-w- c:\windows\NOCLOSE.PIF
2011-04-27 10:08 . 2010-12-17 05:56 545 ----a-w- c:\windows\LHA.PIF
2011-04-27 10:08 . 2010-12-17 05:56 545 ----a-w- c:\windows\ARJ.PIF
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-03-16 10:24 . 2010-06-07 07:24 137656 ----a-w- c:\windows\system32\drivers\avipbb.sys
2011-03-07 05:33 . 2006-01-27 02:15 692736 ----a-w- c:\windows\system32\inetcomm.dll
2011-03-04 06:36 . 2006-01-27 01:01 420864 ----a-w- c:\windows\system32\vbscript.dll
2011-03-03 13:53 . 2006-01-27 01:00 1858048 ----a-w- c:\windows\system32\win32k.sys
2011-02-22 23:05 . 2006-01-27 01:01 916480 ----a-w- c:\windows\system32\wininet.dll
2011-02-22 23:05 . 2006-01-27 01:01 43520 ----a-w- c:\windows\system32\licmgr10.dll
2011-02-22 23:05 . 2006-01-27 01:01 1469440 ------w- c:\windows\system32\inetcpl.cpl
2011-02-22 11:41 . 2006-01-27 01:01 385024 ----a-w- c:\windows\system32\html.iec
2011-02-17 13:18 . 2006-01-27 01:00 455936 ----a-w- c:\windows\system32\drivers\mrxsmb.sys
2011-02-17 13:18 . 2006-01-27 01:00 357888 ----a-w- c:\windows\system32\drivers\srv.sys
2011-02-17 12:54 . 2008-05-05 05:25 5632 ----a-w- c:\windows\system32\xpsp4res.dll
2011-02-15 12:56 . 2006-01-27 01:00 290432 ----a-w- c:\windows\system32\atmfd.dll
2011-02-09 13:53 . 2006-01-27 01:01 270848 ----a-w- c:\windows\system32\sbe.dll
2011-02-09 13:53 . 2006-01-27 01:01 186880 ----a-w- c:\windows\system32\encdec.dll
2011-02-08 13:33 . 2006-01-27 01:01 978944 ----a-w- c:\windows\system32\mfc42.dll
2011-02-08 13:33 . 2006-01-27 01:01 974848 ----a-w- c:\windows\system32\mfc42u.dll
2011-02-02 20:40 . 2010-06-07 06:59 472808 ----a-w- c:\windows\system32\deployJava1.dll
2011-02-02 18:19 . 2010-06-07 06:59 73728 ----a-w- c:\windows\system32\javacpl.cpl
2011-02-02 07:58 . 2006-01-27 02:14 2067456 ----a-w- c:\windows\system32\mstscax.dll
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LightScribe Control Panel"="c:\programme\Gemeinsame Dateien\LightScribe\LightScribeControlPanel.exe" [2007-10-18 455968]
"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" [2008-02-28 1828136]
"RemoteCenter"="c:\programme\Creative\MediaSource\RemoteControl\RCMan.EXE" [2004-06-25 147456]
"WMPNSCFG"="c:\programme\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]
"Remote Control Editor"="c:\programme\Gemeinsame Dateien\TerraTec\Remote\TTTVRC.exe" [2010-06-09 1689088]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]
"NINJALI.EXE"="c:\programme\NinjaLite\NinjaLite\NinjaLi.exe" [2011-03-02 6877696]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TrackPointSrv"="c:\programme\Lenovo\TrackPoint\tp4serv.exe" [2008-03-04 92960]
"PWRMGRTR"="c:\progra~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL" [2007-06-17 200704]
"BLOG"="c:\progra~1\ThinkPad\UTILIT~1\BatLogEx.DLL" [2007-06-17 208896]
"TPFNF7"="c:\programme\Lenovo\NPDIRECT\TPFNF7SP.exe" [2007-04-09 58416]
"TPHOTKEY"="c:\programme\Lenovo\HOTKEY\TPOSDSVC.exe" [2007-03-09 66176]
"TpShocks"="TpShocks.exe" [2009-12-11 337256]
"EZEJMNAP"="c:\progra~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe" [2007-03-28 243248]
"AwaySch"="c:\programme\Lenovo\AwayTask\AwaySch.EXE" [2006-11-07 91688]
"LPManager"="c:\progra~1\THINKV~2\PrdCtr\LPMGR.exe" [2009-07-23 185688]
"AMSG"="c:\progra~1\THINKV~2\AMSG\Amsg.exe" [2009-09-03 436800]
"DiskeeperSystray"="c:\programme\Diskeeper Corporation\Diskeeper\DkIcon.exe" [2006-05-18 196696]
"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2007-06-14 413696]
"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2007-06-14 126976]
"cssauth"="c:\programme\Lenovo\Client Security Solution\cssauth.exe" [2007-08-03 2630968]
"TVT Scheduler Proxy"="c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe" [2008-03-04 487424]
"Message Center Plus"="c:\programme\LENOVO\Message Center Plus\MCPLaunch.exe" [2009-05-27 49976]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2008-04-24 1036288]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2010-02-05 141336]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2010-02-05 173592]
"Persistence"="c:\windows\system32\igfxpers.exe" [2010-02-05 142360]
"LPMailChecker"="c:\progra~1\THINKV~2\PrdCtr\LPMLCHK.exe" [2009-07-23 124248]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-11-02 281768]
"EvtMgr6"="c:\programme\Logitech\SetPointP\SetPoint.exe" [2010-01-27 1312848]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe" [2008-02-28 570664]
"NBKeyScan"="c:\programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2008-02-18 2221352]
"CTSysVol"="c:\programme\Creative\SBLive 24-Bit External\Surround Mixer\CTSysVol.exe" [2003-09-17 57344]
"SbUsb AudCtrl"="sbusbdll.dll" [2004-07-09 119296]
"UpdReg"="c:\windows\UpdReg.EXE" [2000-05-10 90112]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-10-29 249064]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 10.0\Reader\Reader_sl.exe" [2011-01-30 35736]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-11-10 932288]
"HitmanPro35"="c:\programme\Hitman Pro 3.5\HitmanPro35.exe" [2011-04-29 6449984]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\dokumente und einstellungen\nh\Startmen\Programme\Autostart\
OpenOffice.org 3.2.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2010-5-20 1195008]
.
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Adobe Gamma Loader.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2010-6-15 113664]
Digital Line Detect.lnk - c:\programme\Digital Line Detect\DLG.exe [2010-6-4 50688]
.
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\programme\Windows Desktop Search\MSNLNamespaceMgr.dll" [2009-05-24 304128]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LBTWlgn]
2010-01-29 21:17 64592 ----a-w- c:\programme\Gemeinsame Dateien\LogiShrd\Bluetooth\LBTWLgn.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\psfus]
2009-12-01 11:41 100104 ----a-w- c:\programme\ThinkVantage Fingerprint Software\psqlpwd.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]
2006-09-06 07:37 34344 ----a-w- c:\programme\Lenovo\HOTKEY\notifyf2.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]
2006-12-14 02:06 28672 ----a-w- c:\programme\Lenovo\HOTKEY\tphklock.dll
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages REG_MULTI_SZ scecli c:\programme\ThinkVantage Fingerprint Software\psqlpwd.dll
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\OpenVPN\\bin\\openvpn.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\TerraTec\\TerraTec Home Cinema\\CinergyDvr.exe"=
"c:\\Programme\\TerraTec\\TerraTec Home Cinema\\tvtvSetup\\tvtv_Wizard.exe"=
"c:\\Programme\\TerraTec\\TerraTec Home Cinema\\VersionCheck\\VersionCheck.exe"=
"c:\\operaMobil\\opera.exe"=
"c:\\Dokumente und Einstellungen\\nh\\Lokale Einstellungen\\Anwendungsdaten\\DATA BECKER\\web to date 6.0\\apache\\Apache.exe"=
"c:\\xampp\\mysql\\bin\\mysqld.exe"=
"c:\\xampp\\apache\\bin\\httpd.exe"=
"c:\\Programme\\TeamViewer\\Version6\\TeamViewer.exe"=
"c:\\Programme\\TeamViewer\\Version6\\TeamViewer_Service.exe"=
"c:\\Programme\\TerraTec\\TerraTec Home Cinema\\InstTool.exe"=
"c:\\Dokumente und Einstellungen\\nh\\Lokale Einstellungen\\Apps\\2.0\\VBE1BVD5.R0D\\L4VQPZ2C.6QM\\sipg..tion_63886910cc40b5e5_0001.0000_f9c796c20c336db1\\sipgatePhone.exe"=
"c:\\Programme\\NinjaLite\\NinjaLite\\NinjaLi.exe"=
"c:\\Programme\\NinjaLite\\NinjaLite\\xproxy.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\IBM\\Rational\\Rhapsody Modeler\\7.5\\rhapsody.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5985:TCP"= 5985:TCP:*

isabled:Windows-Remoteverwaltung
.
R0 TPDIGIMN;TPDIGIMN;c:\windows\system32\drivers\ApsHM86.sys [09.10.2009 12:10 20520]
R1 avfwot;avfwot;c:\windows\system32\drivers\avfwot.sys [07.06.2010 09:24 102856]
R2 acedrv11;acedrv11;c:\windows\system32\drivers\acedrv11.sys [24.02.2010 12:22 185472]
R2 AntiVirFirewallService;Avira FireWall;c:\programme\Avira\AntiVir Desktop\avfwsvc.exe [07.06.2010 09:24 539304]
R2 AntiVirMailService;Avira AntiVir MailGuard;c:\programme\Avira\AntiVir Desktop\avmailc.exe [07.06.2010 09:24 339624]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [07.06.2010 09:24 136360]
R2 AntiVirWebService;Avira AntiVir WebGuard;c:\programme\Avira\AntiVir Desktop\avwebgrd.exe [07.06.2010 09:24 421032]
R2 DBService;DATA BECKER Update Service;c:\programme\Gemeinsame Dateien\DATA BECKER Shared\DBService.exe [06.07.2010 12:54 187456]
R2 smihlp2;SMI Helper Driver (smihlp2);c:\programme\ThinkVantage Fingerprint Software\smihlp.sys [13.03.2009 13:47 12560]
R3 avfwim;AvFw Packet Filter Miniport;c:\windows\system32\drivers\avfwim.sys [07.06.2010 09:24 79432]
R3 NETGEARUHOST;NETGEAR Network USB Host Controller;c:\windows\system32\drivers\NETGEARUHOST.sys [07.06.2010 12:16 12032]
R3 NETGEARUHUB;NETGEAR Network USB Root Hub;c:\windows\system32\drivers\NETGEARUHUB.sys [07.06.2010 12:16 39424]
R3 Tp4Track;PS/2 TrackPoint Driver;c:\windows\system32\drivers\tp4track.sys [04.06.2010 20:43 22568]
R3 TVTI2C;Lenovo SM bus driver;c:\windows\system32\drivers\tvti2c.sys [13.09.2006 12:42 30336]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [18.03.2010 13:16 130384]
S3 sbusb;Sound Blaster USB Audio Driver;c:\windows\system32\drivers\sbusb.sys [07.06.2010 14:45 1643648]
S3 SWNC8U01;Sierra Wireless MUX NDIS Driver (UMTS01);c:\windows\system32\drivers\SWNC8U01.sys [12.01.2007 13:26 102144]
S3 SWUMX01;Sierra Wireless USB MUX Driver (UMTS01);c:\windows\system32\drivers\swumx01.sys [12.01.2007 10:29 70656]
S3 teamviewervpn;TeamViewer VPN Adapter;c:\windows\system32\drivers\teamviewervpn.sys [19.10.2010 16:56 25088]
S3 WinRM;Windows Remote Management (WS-Management);c:\windows\system32\svchost.exe -k WINRM [27.01.2006 03:01 14336]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [18.03.2010 13:16 753504]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
WINRM REG_MULTI_SZ WINRM
.
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]
2007-10-18 13:25 451872 ----a-w- c:\programme\Gemeinsame Dateien\LightScribe\LSRunOnce.exe
.
Inhalt des "geplante Tasks" Ordners
.
2011-05-03 c:\windows\Tasks\Auf Updates für Windows Live Toolbar prüfen.job
- c:\programme\Windows Live Toolbar\MSNTBUP.EXE [2007-02-12 13:54]
.
2011-04-04 c:\windows\Tasks\PCDoctorBackgroundMonitorTask.job
- c:\programme\PC-Doctor\uaclauncher.exe [2010-05-07 19:46]
.
2011-05-02 c:\windows\Tasks\PMTask.job
- c:\progra~1\ThinkPad\UTILIT~1\PWMIDTSK.EXE [2010-06-04 16:16]
.
2011-05-02 c:\windows\Tasks\SystemToolsDailyTest.job
- c:\programme\PC-Doctor\pcdrcui.exe [2010-05-08 00:50]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = about:blank
uInternet Settings,ProxyServer = http=192.168.254.10:80
IE: &Windows Live Search - c:\programme\Windows Live Toolbar\msntb.dll/search.htm
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Senden an &Bluetooth-Gerät... - c:\programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
LSP: c:\programme\Avira\AntiVir Desktop\avsda.dll
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
Notify-ACNotify - ACNotify.dll
AddRemove-Mozilla Firefox (3.6.4) - e:\programme_mobil\PortableApps\FirefoxPortable\App\firefox\uninstall\helper.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-05-03 00:30
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(220)
c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll
c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll
c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll
c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll
c:\programme\gemeinsame dateien\logishrd\bluetooth\LBTWlgn.dll
c:\programme\ThinkVantage Fingerprint Software\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll
c:\programme\ThinkVantage Fingerprint Software\homepass.dll
c:\programme\ThinkVantage Fingerprint Software\bio.dll
c:\programme\ThinkVantage Fingerprint Software\qlbase.dll
c:\programme\ThinkVantage Fingerprint Software\ps2css.dll
c:\programme\Lenovo\HOTKEY\tphklock.dll
.
- - - - - - - > 'lsass.exe'(324)
c:\programme\ThinkVantage Fingerprint Software\psqlpwd.dll
c:\programme\ThinkVantage Fingerprint Software\homefus2.dll
c:\programme\ThinkVantage Fingerprint Software\infql2.dll
c:\programme\Avira\AntiVir Desktop\avsda.dll
.
- - - - - - - > 'explorer.exe'(4464)
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\programme\Altap Salamander 2.5\plugins\salamext.dll
c:\windows\system32\btncopy.dll
c:\programme\Lenovo\Drag-to-Disc\Shellex.dll
c:\windows\system32\DLAAPI_W.DLL
c:\programme\Lenovo\Drag-to-Disc\ShellRes.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
c:\programme\Intel\WiFi\bin\S24EvMon.exe
c:\windows\system32\IPSSVC.EXE
c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\windows\system32\CTsvcCDA.EXE
c:\programme\Diskeeper Corporation\Diskeeper\DkService.exe
c:\programme\Avira\AntiVir Desktop\avshadow.exe
c:\programme\Intel\WiFi\bin\EvtEng.exe
c:\programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
c:\programme\Nero\Nero8\Nero BackItUp\NBService.exe
c:\windows\system32\IoctlSvc.exe
c:\programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
c:\programme\lenovo\system update\suservice.exe
c:\programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
c:\programme\Lenovo\Client Security Solution\tvttcsd.exe
c:\windows\system32\wbem\unsecapp.exe
c:\programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
c:\windows\system32\SearchIndexer.exe
c:\programme\Windows Media Player\WMPNetwk.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
c:\windows\system32\rundll32.exe
c:\windows\system32\TpShocks.exe
c:\programme\Lenovo\HOTKEY\TPONSCR.exe
c:\programme\Lenovo\Zoom\TpScrex.exe
c:\windows\system32\igfxsrvc.exe
c:\programme\Gemeinsame Dateien\LogiShrd\KHAL3\KHALMNPR.EXE
c:\windows\system32\RunDll32.exe
c:\programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
c:\programme\OpenOffice.org 3\program\soffice.exe
c:\programme\OpenOffice.org 3\program\soffice.bin
c:\programme\Avira\AntiVir Desktop\checkt.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2011-05-03 02:22:29 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2011-05-03 00:22
.
Vor Suchlauf: 24 Verzeichnis(se), 78.936.203.264 Bytes frei
Nach Suchlauf: 26 Verzeichnis(se), 78.828.249.088 Bytes frei
.
WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
.
- - End Of File - - 1839947E108F05C14FD1878982BBAEBD

Danke.

cosinus · 03.05.2011, 10:37

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

wanderer · 03.05.2011, 19:00

Hier sind die Logs. Danke.

GMER

Zitat:

GMER Logfile:

Code:

ATTFilter

GMER 1.0.15.15572 - hxxp://www.gmer.net
Rootkit scan 2011-05-03 17:18:59
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 FUJITSU_ rev.0084
Running: g2m3e4r.exe; Driver: C:\DOKUME~1\nh\LOKALE~1\Temp\aglyrfow.sys


---- System - GMER 1.0.15 ----

SSDT                                                                                                                                  9D2835C6                                                                                                       ZwCreateKey
SSDT                                                                                                                                  9D2835BC                                                                                                       ZwCreateThread
SSDT                                                                                                                                  9D2835CB                                                                                                       ZwDeleteKey
SSDT                                                                                                                                  9D2835D5                                                                                                       ZwDeleteValueKey
SSDT                                                                                                                                  9D2835F3                                                                                                       ZwLoadDriver
SSDT                                                                                                                                  9D2835DA                                                                                                       ZwLoadKey
SSDT                                                                                                                                  9D2835A8                                                                                                       ZwOpenProcess
SSDT                                                                                                                                  9D2835AD                                                                                                       ZwOpenThread
SSDT                                                                                                                                  9D2835E4                                                                                                       ZwReplaceKey
SSDT                                                                                                                                  9D2835DF                                                                                                       ZwRestoreKey
SSDT                                                                                                                                  9D2835F8                                                                                                       ZwSetSystemInformation
SSDT                                                                                                                                  9D2835D0                                                                                                       ZwSetValueKey
SSDT                                                                                                                                  9D2835B7                                                                                                       ZwTerminateProcess
SSDT                                                                                                                                  9D2835B2                                                                                                       ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.15 ----

.vmp2                                                                                                                                 C:\WINDOWS\system32\drivers\acedrv11.sys                                                                       entry point in ".vmp2" section [0x9AF2969D]
.text                                                                                                                                 C:\WINDOWS\system32\drivers\hardlock.sys                                                                       section is writeable [0x9AD18400, 0x87EE2, 0xE8000020]
.protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".p" section [0x9ADBC620]  C:\WINDOWS\system32\drivers\hardlock.sys                                                                       entry point in ".protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".p" section [0x9ADBC620]
.protectÿÿÿÿhardlockunknown last code section [0x9ADBC400, 0x5126, 0xE0000020]                                                        C:\WINDOWS\system32\drivers\hardlock.sys                                                                       unknown last code section [0x9ADBC400, 0x5126, 0xE0000020]

---- User code sections - GMER 1.0.15 ----

.text                                                                                                                                 C:\WINDOWS\system32\SearchIndexer.exe[3568] kernel32.dll!WriteFile                                             7C810E27 7 Bytes  JMP 00585C0C C:\WINDOWS\system32\MSSRCH.DLL (mssrch.dll/Microsoft Corporation)
.text                                                                                                                                 C:\ProgrammeMobil\PortableApps\ThunderbirdPortable\App\thunderbird\thunderbird.exe[5960] ntdll.dll!LdrLoadDll  7C92632D 5 Bytes  JMP 004012F1 C:\ProgrammeMobil\PortableApps\ThunderbirdPortable\App\thunderbird\thunderbird.exe (Thunderbird/Mozilla Messaging)

---- Devices - GMER 1.0.15 ----

AttachedDevice                                                                                                                        \Driver\Tcpip \Device\Ip                                                                                       avfwot.sys (TDI filtering kernel driver/Avira GmbH)
AttachedDevice                                                                                                                        \Driver\Tcpip \Device\Tcp                                                                                      avfwot.sys (TDI filtering kernel driver/Avira GmbH)
AttachedDevice                                                                                                                        \Driver\Tcpip \Device\Udp                                                                                      avfwot.sys (TDI filtering kernel driver/Avira GmbH)
AttachedDevice                                                                                                                        \Driver\Tcpip \Device\RawIp                                                                                    avfwot.sys (TDI filtering kernel driver/Avira GmbH)
AttachedDevice                                                                                                                        \FileSystem\Fastfat \Fat                                                                                       fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
AttachedDevice                                                                                                                        \FileSystem\Fastfat \Fat                                                                                       fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- EOF - GMER 1.0.15 ----

--- --- ---

OSAM

Zitat:

OSAM Logfile:

Code:

ATTFilter

Report of OSAM: Autorun Manager v5.0.11926.0
hxxp://www.online-solutions.ru/en/
Saved at 19:52:11 on 03.05.2011

OS: Windows XP Professional Service Pack 3 (Build 2600)
Default Browser: Microsoft Corporation Internet Explorer 8.00.6001.18702

Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures

Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries


[Common]
-----( %SystemRoot%\Tasks )-----
"Auf Updates für Windows Live Toolbar prüfen.job" - "Microsoft Corporation" - C:\Programme\Windows Live Toolbar\MSNTBUP.EXE
"PCDoctorBackgroundMonitorTask.job" - "PC-Doctor, Inc." - C:\Programme\PC-Doctor\uaclauncher.exe
"PMTask.job" - ? - C:\PROGRA~1\ThinkPad\UTILIT~1\PWMIDTSK.EXE  (File found, but it contains no detailed information)
"SystemToolsDailyTest.job" - "PC-Doctor, Inc." - C:\Programme\PC-Doctor\pcdrcui.exe

[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"btcpl.cpl" - "Broadcom Corporation." - C:\WINDOWS\system32\btcpl.cpl
"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl
"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl
"TpShCPL.cpl" - "Lenovo." - C:\WINDOWS\system32\TpShCPL.cpl
"USBAudio.cpl" - "Creative Technology Ltd." - C:\WINDOWS\system32\USBAudio.cpl
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"Nero BurnRights" - "Nero AG" - C:\Programme\Nero\Nero8\Nero Toolkit\NeroBurnRights.cpl
"Premium Security Suite" - "Avira GmbH" - C:\PROGRA~1\Avira\ANTIVI~1\avconfig.cpl
"ProtectorSuiteInfoPanel" - "UPEK Inc." - C:\Programme\ThinkVantage Fingerprint Software\infopnl.cpl
"SMAX4CP" - "Analog Devices, Inc." - C:\Programme\Analog Devices\SoundMAX\SMax4.cpl

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"acedrv11" (acedrv11) - "Protect Software GmbH" - C:\WINDOWS\system32\drivers\acedrv11.sys
"ANC" (ANC) - "IBM Corp." - C:\WINDOWS\System32\drivers\ANC.SYS
"APS Digitizer Activity Monitor" (TPDIGIMN) - "Lenovo." - C:\WINDOWS\System32\DRIVERS\ApsHM86.sys
"avfwot" (avfwot) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avfwot.sys
"avgio" (avgio) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avgio.sys
"avgntflt" (avgntflt) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avgntflt.sys
"avipbb" (avipbb) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avipbb.sys
"catchme" (catchme) - ? - C:\cofi\catchme.sys  (File not found)
"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)
"Cinergy T USB XE (MKII) service" (AF15BDA) - "AfaTech                  " - C:\WINDOWS\System32\drivers\AF15BDA.sys
"Cinergy XS Capture service" (USB28xxBGA) - "eMPIA Technology, Inc." - C:\WINDOWS\System32\DRIVERS\emBDA.sys
"CInergy XS OEM service" (USB28xxOEM) - "eMPIA Technology, Inc." - C:\WINDOWS\System32\DRIVERS\emOEM.sys
"Conexant Setup API" (UIUSys) - ? - C:\WINDOWS\System32\DRIVERS\UIUSYS.SYS  (File not found)
"DLABMFSM" (DLABMFSM) - "Roxio" - C:\WINDOWS\System32\DLA\DLABMFSM.SYS
"DLABOIOM" (DLABOIOM) - "Roxio" - C:\WINDOWS\System32\DLA\DLABOIOM.SYS
"DLACDBHM" (DLACDBHM) - "Roxio" - C:\WINDOWS\System32\Drivers\DLACDBHM.SYS
"DLADResM" (DLADResM) - "Roxio" - C:\WINDOWS\System32\DLA\DLADResM.SYS
"DLAIFS_M" (DLAIFS_M) - "Roxio" - C:\WINDOWS\System32\DLA\DLAIFS_M.SYS
"DLAOPIOM" (DLAOPIOM) - "Roxio" - C:\WINDOWS\System32\DLA\DLAOPIOM.SYS
"DLAPoolM" (DLAPoolM) - "Roxio" - C:\WINDOWS\System32\DLA\DLAPoolM.SYS
"DLARTL_M" (DLARTL_M) - "Roxio" - C:\WINDOWS\System32\Drivers\DLARTL_M.SYS
"DLAUDFAM" (DLAUDFAM) - "Roxio" - C:\WINDOWS\System32\DLA\DLAUDFAM.SYS
"DLAUDF_M" (DLAUDF_M) - "Roxio" - C:\WINDOWS\System32\DLA\DLAUDF_M.SYS
"DRVMCDB" (DRVMCDB) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\DRVMCDB.SYS
"DRVNDDM" (DRVNDDM) - "Roxio" - C:\WINDOWS\System32\Drivers\DRVNDDM.SYS
"IBMTPCHK" (IBMTPCHK) - ? - C:\WINDOWS\system32\Drivers\IBMBLDID.sys  (File found, but it contains no detailed information)
"IVI ASPI Shell" (Iviaspi) - "InterVideo, Inc." - C:\WINDOWS\System32\drivers\iviaspi.sys
"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)
"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)
"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)
"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)
"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)
"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)
"PfModNT" (PfModNT) - "Creative Technology Ltd." - C:\WINDOWS\system32\drivers\PfModNT.sys
"pmem" (pmem) - "Microsoft Corporation" - C:\WINDOWS\System32\drivers\pmemnt.sys
"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys
"Shockprf" (Shockprf) - "Lenovo." - C:\WINDOWS\System32\DRIVERS\Apsx86.sys
"SMI Helper Driver (smihlp2)" (smihlp2) - "UPEK Inc." - C:\Programme\ThinkVantage Fingerprint Software\smihlp.sys
"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys
"TAP-Win32 Adapter V9" (tap0901) - "The OpenVPN Project" - C:\WINDOWS\System32\DRIVERS\tap0901.sys
"TPPWRIF" (TPPWRIF) - ? - C:\WINDOWS\System32\drivers\Tppwrif.sys  (File found, but it contains no detailed information)
"TSMAPIP" (TSMAPIP) - ? - C:\WINDOWS\System32\drivers\TSMAPIP.SYS  (File found, but it contains no detailed information)
"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)

[Explorer]
-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----
{10880D85-AAD9-4558-ABDC-2AB1552D831F} "LightScribe Control Panel" - "Hewlett-Packard Company" - "C:\Programme\Gemeinsame Dateien\LightScribe\LSRunOnce.exe"
{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - c:\WINDOWS\system32\Rundll32.exe c:\WINDOWS\system32\mscories.dll,Install
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{7D4D6379-F301-4311-BEBA-E26EB0561882} "NeroDigitalColumnHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroDigitalExt.dll
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
-----( HKLM\Software\Classes\Protocols\Filter )-----
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
-----( HKLM\Software\Classes\Protocols\Handler )-----
{FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
{91774881-D725-4E58-B298-07617B9B86A8} "Skype IE add-on Pluggable Protocol" - "Skype Technologies S.A." - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks )-----
{56F9679E-7826-4C84-81F3-532071A8BCC5} "Windows Desktop Search Namespace Manager" - "Microsoft Corporation" - C:\Programme\Windows Desktop Search\MSNLNamespaceMgr.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - ? - C:\Programme\ThinkVantage\SMA\7z\7-zip.dll
{6af09ec9-b429-11d4-a1fb-0090960218cb} "Bluetooth-Umgebung" - "Broadcom Corporation." - C:\WINDOWS\system32\btneighborhood.dll
{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? - deskpan.dll  (File not found)
{1D2680C9-0E2A-469d-B787-065558BC7D43} "Fusion Cache" - "Microsoft Corporation" - c:\WINDOWS\system32\mscoree.dll
{DC70C4A5-2044-4c59-B806-DEFB9AE0DF7C} "KbLogiExt Class" - "Logitech, Inc." - C:\Programme\Logitech\SetPointP\kbcplext.dll
{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -   (File not found | COM-object registry key not found)
{42042206-2D85-11D3-8CFF-005004838597} "Microsoft Office HTML Icon Handler" - ? -   (File not found | COM-object registry key not found)
{993BE281-6695-4BA5-8A2A-7AACBFAAB69E} "Microsoft Office Metadata Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll
{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97} "Microsoft Office Thumbnail Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll
{7842554E-6BED-11D2-8CDB-B05550C10000} "Monitor Class" - "Broadcom Corporation." - C:\WINDOWS\system32\btncopy.dll
{97F68CE3-7146-45FF-BE24-D9A7DD7CB8A2} "NeroCoverEdLiveIcons Class" - "Nero AG" - C:\Programme\Nero\Nero8\Nero CoverDesigner\CoverEdExtension.dll
{B327765E-D724-4347-8B16-78AE18552FC3} "NeroDigitalIconHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroDigitalExt.dll
{7F1CF152-04F8-453A-B34C-E609530A9DC8} "NeroDigitalPropSheetHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroDigitalExt.dll
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{5E44E225-A408-11CF-B581-008029601108} "Roxio DragToDisc Shell Extension" - "Roxio" - C:\Programme\Lenovo\Drag-to-Disc\Shellex.dll
{C78B6140-F3EA-11D2-94A1-00E0292A01E3} "Shell Extension for Altap Salamander 2.54" - "ALTAP" - C:\Programme\Altap Salamander 2.5\plugins\salamext.dll
{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\shlext.dll
{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - c:\WINDOWS\system32\dfshim.dll
{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -   (File not found | COM-object registry key not found)
{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - c:\WINDOWS\system32\dfshim.dll
{BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Web Folders" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\MSONSEXT.DLL
{13E7F612-F261-4391-BEA2-39DF4F3FA311} "Windows Desktop Search" - "Microsoft Corporation" - C:\Programme\Windows Desktop Search\msnlExt.dll
{da67b8ad-e81b-4c70-9b91b417b5e33527} "Windows Search Shell Service" - ? -   (File not found | COM-object registry key not found)
Logitech Setpoint Extension "{B9B9F083-2B04-452A-8691-83694AC1037B}" - ? -   (File not found | COM-object registry key not found)

[Internet Explorer]
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)
<binary data> "Windows Live Toolbar" - "Microsoft Corporation" - C:\Programme\Windows Live Toolbar\msntb.dll
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_24" - "Sun Microsystems, Inc." - c:\Programme\Java\jre6\bin\npjpi160_24.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab
{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} "Java Plug-in 1.6.0_24" - "Sun Microsystems, Inc." - c:\Programme\Java\jre6\bin\npjpi160_24.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_24" - "Sun Microsystems, Inc." - c:\Programme\Java\jre6\bin\npjpi160_24.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab
{CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} "{CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA}" - ? -   (File not found | COM-object registry key not found) / hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab
{E2883E8F-472F-4FB0-9522-AC9BF37916A7} "{E2883E8F-472F-4FB0-9522-AC9BF37916A7}" - ? -   (File not found | COM-object registry key not found) / hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
{0FE81B52-73FA-425F-8F06-3F32451AC73F} "ClsidExtension" - "Lenovo Group Limited" - C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
{53707962-6F74-2D53-2644-206D7942484F} "ClsidExtension" - "Safer Networking Limited" - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
{898EA8C8-E7FF-479B-8935-AEC46303B9E5} "Skype add-on for Internet Explorer" - "Skype Technologies S.A." - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----
{AD6E6555-FB2C-47D4-8339-3E2965509877} "TerraTec Home Cinema" - "TerraTec Electronic GmbH" - C:\PROGRA~1\TerraTec\TERRAT~1\THCDES~1.DLL
<binary data> "Windows Live Toolbar" - "Microsoft Corporation" - C:\Programme\Windows Live Toolbar\msntb.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----
{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
{F040E541-A427-4CF7-85D8-75E3E0F476C5} "CPwmIEBrowserHelper Object" - "Lenovo Group Limited" - C:\Programme\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - c:\Programme\Java\jre6\bin\jp2ssv.dll
{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - c:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
{AE805869-2E5C-4ED4-8F7B-F1F7851A4497} "Skype add-on for Internet Explorer" - "Skype Technologies S.A." - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
{53707962-6F74-2D53-2644-206D7942484F} "Spybot-S&D IE Protection" - "Safer Networking Limited" - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
{BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} "Windows Live Toolbar Helper" - "Microsoft Corporation" - C:\Programme\Windows Live Toolbar\msntb.dll

[LSA Providers]
-----( HKLM\SYSTEM\CurrentControlSet\Control\Lsa )-----
"Notification packages" - "UPEK Inc." - C:\Programme\ThinkVantage Fingerprint Software\psqlpwd.dll

[Logon]
-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----
"Adobe Gamma Loader.lnk" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe  (Shortcut exists | File exists)
"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
"Digital Line Detect.lnk" - "Avanquest Software " - C:\Programme\Digital Line Detect\DLG.exe  (Shortcut exists | File exists)
-----( %UserProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\nh\Startmenü\Programme\Autostart\desktop.ini
"OpenOffice.org 3.2.lnk" - ? - C:\Programme\OpenOffice.org 3\program\quickstart.exe  (Shortcut exists | File found, but it contains no detailed information | File exists)
-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----
"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}" - "Nero AG" - "C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
"LightScribe Control Panel" - "Hewlett-Packard Company" - C:\Programme\Gemeinsame Dateien\LightScribe\LightScribeControlPanel.exe -hidden
"NINJALI.EXE" - "Global IP Telecommunications Ltd." - "C:\Programme\NinjaLite\NinjaLite\NinjaLi.exe" /HideGUI
"Remote Control Editor" - "Elgato Systems" - "C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTVRC.exe"
"RemoteCenter" - "Creative Technology Ltd" - C:\Programme\Creative\MediaSource\RemoteControl\RCMan.EXE
"SpybotSD TeaTimer" - "Safer-Networking Ltd." - C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"ACTray" - "Lenovo " - C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
"ACWLIcon" - "Lenovo " - C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
"Adobe ARM" - "Adobe Systems Incorporated" - "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
"Adobe Reader Speed Launcher" - "Adobe Systems Incorporated" - "C:\Programme\Adobe\Reader 10.0\Reader\Reader_sl.exe"
"AMSG" - "LENOVO" - C:\PROGRA~1\THINKV~2\AMSG\Amsg.exe /startup
"avgnt" - "Avira GmbH" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
"AwaySch" - "Lenovo Group Limited" - C:\Programme\Lenovo\AwayTask\AwaySch.EXE
"BLOG" - ? - rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog  (File found, but it contains no detailed information)
"cssauth" - "Lenovo Group Limited" - "C:\Programme\Lenovo\Client Security Solution\cssauth.exe" silent
"CTSysVol" - "Creative Technology Ltd" - C:\Programme\Creative\SBLive 24-Bit External\Surround Mixer\CTSysVol.exe /r
"DiskeeperSystray" - "Diskeeper Corporation" - "C:\Programme\Diskeeper Corporation\Diskeeper\DkIcon.exe"
"EvtMgr6" - "Logitech, Inc." - C:\Programme\Logitech\SetPointP\SetPoint.exe /launchGaming
"EZEJMNAP" - "Lenovo Group Ltd." - C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
"HitmanPro35" - "SurfRight B.V." - "C:\Programme\Hitman Pro 3.5\HitmanPro35.exe" /scan:boot
"LPMailChecker" - "Lenovo Group Limited" - C:\PROGRA~1\THINKV~2\PrdCtr\LPMLCHK.exe
"LPManager" - "Lenovo Group Limited" - C:\PROGRA~1\THINKV~2\PrdCtr\LPMGR.exe
"Message Center Plus" - ? - C:\Programme\LENOVO\Message Center Plus\MCPLaunch.exe /start
"NBKeyScan" - "Nero AG" - "C:\Programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
"NeroFilterCheck" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe
"PWRMGRTR" - "Lenovo Group Limited" - rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
"TPFNF7" - "Lenovo Group Limited" - C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe /r
"TPHOTKEY" - "Lenovo Group Limited" - C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
"TpShocks" - "Lenovo." - TpShocks.exe
"TVT Scheduler Proxy" - "Lenovo Group Limited" - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
"UpdReg" - "Creative Technology Ltd." - C:\WINDOWS\UpdReg.EXE

[Print Monitors]
-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----
"Bluetooth-Druckeranschluss" - "Broadcom Corporation." - C:\WINDOWS\system32\bthcrp.dll
"FPR6:" - "FinePrint Software, LLC" - C:\WINDOWS\system32\fpmon6.dll
"PDFCreator" - ? - C:\WINDOWS\system32\pdfcmnnt.dll  (File found, but it contains no detailed information)

[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
"Ac Profile Manager Service" (AcPrfMgrSvc) - "Lenovo " - C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
"Access Connections Main Service" (AcSvc) - "Lenovo " - C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
"ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\aspnet_state.exe
"Avira AntiVir Guard" (AntiVirService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avguard.exe
"Avira AntiVir MailGuard" (AntiVirMailService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avmailc.exe
"Avira AntiVir Planer" (AntiVirSchedulerService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\sched.exe
"Avira AntiVir WebGuard" (AntiVirWebService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\AVWEBGRD.EXE
"Avira FireWall" (AntiVirFirewallService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avfwsvc.exe
"Bluetooth Service" (btwdins) - "Broadcom Corporation." - C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
"Creative Service for CDROM Access" (Creative Service for CDROM Access) - "Creative Technology Ltd" - C:\WINDOWS\system32\CTsvcCDA.EXE
"DATA BECKER Update Service" (DBService) - "DATA BECKER GmbH & Co KG" - C:\Programme\Gemeinsame Dateien\DATA BECKER Shared\DBService.exe
"Diskeeper" (Diskeeper) - "Diskeeper Corporation" - C:\Programme\Diskeeper Corporation\Diskeeper\DkService.exe
"Google Updater Service" (gusvc) - "Google" - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
"InstallDriver Table Manager" (IDriverT) - "Macrovision Corporation" - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
"Intel(R) PROSet/Wireless Event Log" (EvtEng) - "Intel(R) Corporation" - C:\Programme\Intel\WiFi\bin\EvtEng.exe
"Intel(R) PROSet/Wireless Registry Service" (RegSrvc) - "Intel(R) Corporation" - C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
"Intel(R) PROSet/Wireless WiFi Service" (S24EventMonitor) - "Intel(R) Corporation" - C:\Programme\Intel\WiFi\bin\S24EvMon.exe
"IPS-Basisservice" (IPSSVC) - "Lenovo Group Limited" - C:\WINDOWS\system32\IPSSVC.EXE
"IviRegMgr" (IviRegMgr) - "InterVideo" - C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - c:\Programme\Java\jre6\bin\jqs.exe
"LightScribeService Direct Disc Labeling Service" (LightScribeService) - "Hewlett-Packard Company" - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
"Logitech Bluetooth Service" (LBTServ) - "Logitech, Inc." - C:\Programme\Gemeinsame Dateien\LogiShrd\Bluetooth\lbtserv.exe
"Microsoft .NET Framework NGEN v4.0.30319_X86" (clr_optimization_v4.0.30319_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
"Nero BackItUp Scheduler 3" (Nero BackItUp Scheduler 3) - "Nero AG" - C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
"NMIndexingService" (NMIndexingService) - "Nero AG" - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
"Office Source Engine" (ose) - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE
"OpenVPN Service" (OpenVPNService) - ? - C:\Programme\OpenVPN\bin\openvpnserv.exe  (File found, but it contains no detailed information)
"PLFlash DeviceIoControl Service" (PLFlash DeviceIoControl Service) - "Prolific Technology Inc." - C:\WINDOWS\system32\IoctlSvc.exe
"Roxio UPnP Renderer 9" (Roxio UPnP Renderer 9) - "Sonic Solutions" - C:\Programme\Roxio\Digital Home 9\RoxioUPnPRenderer9.exe
"Roxio Upnp Server 9" (Roxio Upnp Server 9) - "Sonic Solutions" - C:\Programme\Roxio\Digital Home 9\RoxioUpnpService9.exe
"RoxMediaDB9" (RoxMediaDB9) - "Sonic Solutions" - C:\Programme\Gemeinsame Dateien\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
"stllssvr" (stllssvr) - "MicroVision Development, Inc." - C:\Programme\Gemeinsame Dateien\SureThing Shared\stllssvr.exe
"System Update" (SUService) - "Lenovo Group Limited" - c:\programme\lenovo\system update\suservice.exe
"ThinkPad HDD APS Logging Service" (TPHDEXLGSVC) - "Lenovo." - C:\WINDOWS\System32\TPHDEXLG.exe
"ThinkVantage Registry Monitor Service" (ThinkVantage Registry Monitor Service) - "Lenovo Group Limited" - C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
"TSS Core Service" (TSSCoreService) - "IBM" - C:\Programme\Lenovo\Client Security Solution\tvttcsd.exe
"TVT Scheduler" (TVT Scheduler) - "Lenovo Group Limited" - C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
"Windows CardSpace" (idsvc) - "Microsoft Corporation" - c:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - c:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe
"Windows Presentation Foundation Font Cache 4.0.0.0" (WPFFontCache_v0400) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe

[Winlogon]
-----( HKCU\Control Panel\IOProcs )-----
"MVB" - ? - mvfs32.dll  (File not found)
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )-----
"LBTWlgn" - "Logitech, Inc." - c:\programme\gemeinsame dateien\logishrd\bluetooth\LBTWlgn.dll
"psfus" - "UPEK Inc." - C:\Programme\ThinkVantage Fingerprint Software\psqlpwd.dll
"tpfnf2" - ? - C:\Programme\Lenovo\HOTKEY\notifyf2.dll  (File found, but it contains no detailed information)
"tphotkey" - ? - C:\Programme\Lenovo\HOTKEY\tphklock.dll  (File found, but it contains no detailed information)
"WgaLogon" - "Microsoft Corporation" - C:\WINDOWS\system32\WgaLogon.dll

[Winsock Providers]
-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries )-----
"AVSDA" - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avsda.dll

===[ Logfile end ]=========================================[ Logfile end ]===

--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

MBRCheck

Zitat:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000000c

Kernel Drivers (total 182):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806E6000 \WINDOWS\system32\hal.dll
0xBA5A8000 \WINDOWS\system32\KDCOM.DLL
0xBA4B8000 \WINDOWS\system32\BOOTVID.dll
0xB9F78000 ACPI.sys
0xBA5AA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xB9F67000 pci.sys
0xBA0A8000 isapnp.sys
0xBA4BC000 compbatt.sys
0xBA4C0000 \WINDOWS\system32\DRIVERS\BATTC.SYS
0xBA670000 pciide.sys
0xBA328000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xB9F49000 pcmcia.sys
0xBA0B8000 MountMgr.sys
0xB9F2A000 ftdisk.sys
0xBA5AC000 dmload.sys
0xB9F04000 dmio.sys
0xBA330000 PartMgr.sys
0xBA4C4000 ACPIEC.sys
0xBA671000 \WINDOWS\system32\DRIVERS\OPRGHDLR.SYS
0xBA0C8000 VolSnap.sys
0xB9EEC000 atapi.sys
0xB9E12000 iaStor.sys
0xBA0D8000 disk.sys
0xBA0E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xB9DF2000 fltmgr.sys
0xB9DE0000 sr.sys
0xB9DC9000 DRVMCDB.SYS
0xBA0F8000 PxHelp20.sys
0xB9DB2000 KSecDD.sys
0xB9D25000 Ntfs.sys
0xB9CF8000 NDIS.sys
0xB9CD8000 Apsx86.sys
0xBA108000 ApsHM86.sys
0xBA118000 ohci1394.sys
0xBA128000 \WINDOWS\system32\DRIVERS\1394BUS.SYS
0xB9CBE000 Mup.sys
0xBA158000 \SystemRoot\system32\DRIVERS\nic1394.sys
0xBA258000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xB80B8000 \SystemRoot\system32\DRIVERS\igxpmp32.sys
0xB80A4000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB8063000 \SystemRoot\system32\DRIVERS\e1e5132.sys
0xBA350000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xB803F000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xBA358000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xB8017000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xB79CC000 \SystemRoot\system32\DRIVERS\NETw5x32.sys
0xB79B8000 \SystemRoot\system32\DRIVERS\sdbus.sys
0xBA268000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xBA360000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xBA278000 \SystemRoot\system32\DRIVERS\tp4track.sys
0xBA288000 \SystemRoot\system32\DRIVERS\WDFLDR.SYS
0xB793C000 \SystemRoot\System32\Drivers\wdf01000.sys
0xBA368000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xBA298000 \SystemRoot\system32\DRIVERS\serial.sys
0xB9150000 \SystemRoot\system32\DRIVERS\serenum.sys
0xB7928000 \SystemRoot\system32\DRIVERS\parport.sys
0xBA380000 \SystemRoot\system32\DRIVERS\atmeltpm.sys
0xB9148000 \SystemRoot\system32\DRIVERS\CmBatt.sys
0xBA388000 \SystemRoot\system32\DRIVERS\ibmpmdrv.sys
0xB7915000 \SystemRoot\system32\DRIVERS\avfwim.sys
0xB7845000 \SystemRoot\system32\DRIVERS\btkrnl.sys
0xBA687000 \SystemRoot\system32\DRIVERS\audstub.sys
0xBA2A8000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xB913C000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB782E000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xBA2B8000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xB9656000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xBA390000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB781D000 \SystemRoot\system32\DRIVERS\psched.sys
0xB9646000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xBA398000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xBA3A0000 \SystemRoot\system32\DRIVERS\raspti.sys
0xBA3A8000 \SystemRoot\system32\DRIVERS\tap0901.sys
0xB77ED000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xB95C6000 \SystemRoot\system32\DRIVERS\termdd.sys
0xBA3B0000 \SystemRoot\system32\DRIVERS\psadd.sys
0xBA3B8000 \SystemRoot\system32\DRIVERS\Tvti2c.sys
0xBA61E000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB77CA000 \SystemRoot\system32\DRIVERS\ks.sys
0xB776C000 \SystemRoot\system32\DRIVERS\update.sys
0xB9C76000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xB9C61000 \SystemRoot\system32\DRIVERS\NETGEARUHOST.sys
0xB82AF000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB829F000 \SystemRoot\system32\DRIVERS\NETGEARUHUB.sys
0xBA2D8000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xBA646000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xA679E000 \SystemRoot\system32\drivers\ADIHdAud.sys
0xA3CF1000 \SystemRoot\system32\drivers\portcls.sys
0xA68FB000 \SystemRoot\system32\drivers\drmk.sys
0xA3CD7000 \SystemRoot\system32\drivers\AEAudio.sys
0xA3CA3000 \SystemRoot\system32\DRIVERS\HSFHWAZL.sys
0xA3B5F000 \SystemRoot\system32\DRIVERS\HSF_DPV.sys
0xA3A8A000 \SystemRoot\system32\DRIVERS\HSF_CNXT.sys
0xBA458000 \SystemRoot\System32\Drivers\Modem.SYS
0xA3DFA000 \SystemRoot\System32\Drivers\i2omgmt.SYS
0xBA5FE000 \SystemRoot\System32\Drivers\DLACDBHM.SYS
0xBA602000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xA01A2000 \SystemRoot\System32\Drivers\Null.SYS
0xBA604000 \SystemRoot\System32\Drivers\Beep.SYS
0xA3E28000 \SystemRoot\System32\Drivers\DLARTL_M.SYS
0xA3E20000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xA3E18000 \SystemRoot\System32\drivers\vga.sys
0xBA606000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xBA608000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xA3E10000 \SystemRoot\System32\Drivers\Msfs.SYS
0xA3E08000 \SystemRoot\System32\Drivers\Npfs.SYS
0xA3DEE000 \SystemRoot\system32\DRIVERS\rasacd.sys
0x9F4E9000 \SystemRoot\system32\DRIVERS\ipsec.sys
0x9F490000 \SystemRoot\system32\DRIVERS\tcpip.sys
0x9F3BD000 \SystemRoot\system32\DRIVERS\netbt.sys
0x9F397000 \SystemRoot\system32\DRIVERS\ipnat.sys
0x9F37F000 \SystemRoot\system32\DRIVERS\avfwot.sys
0xA3DDA000 \SystemRoot\System32\drivers\ws2ifsl.sys
0x9F35D000 \SystemRoot\System32\drivers\afd.sys
0xA072E000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xA071E000 \SystemRoot\system32\DRIVERS\netbios.sys
0xA01F7000 \SystemRoot\System32\drivers\TSMAPIP.SYS
0xA01EF000 \SystemRoot\System32\drivers\Tppwrif.sys
0xA01E7000 \SystemRoot\system32\DRIVERS\TPHKDRV.sys
0xA06BE000 \SystemRoot\system32\DRIVERS\arp1394.sys
0xA01DF000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0x9F2CB000 \SystemRoot\system32\DRIVERS\rdbss.sys
0x9F25B000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xBA60C000 \??\C:\WINDOWS\system32\Drivers\IBMBLDID.sys
0x9FCDD000 \SystemRoot\System32\Drivers\Fips.SYS
0x9EC72000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xB95F6000 \SystemRoot\System32\Drivers\tcusb.sys
0xA418C000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xBA5A0000 \SystemRoot\System32\drivers\ANC.SYS
0xA5CAE000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0x9D6F4000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xA435C000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xA68CB000 \SystemRoot\system32\DRIVERS\LHidFilt.Sys
0xA6710000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xA6718000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xA68B3000 \SystemRoot\system32\DRIVERS\LMouFilt.Sys
0x9BD51000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS
0x9B911000 \SystemRoot\system32\DRIVERS\imapi.sys
0x9B835000 \SystemRoot\system32\drivers\iviaspi.sys
0x9ADBB000 \SystemRoot\system32\DRIVERS\cdrom.sys
0x9AA2D000 \SystemRoot\system32\DRIVERS\redbook.sys
0x997D4000 \SystemRoot\System32\Drivers\dump_iaStor.sys
0xBF800000 \SystemRoot\System32\win32k.sys
0x9A8EF000 \SystemRoot\System32\drivers\Dxapi.sys
0x9A52B000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xA01A3000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF024000 \SystemRoot\System32\igxpgd32.dll
0xBF012000 \SystemRoot\System32\igxprd32.dll
0xBF059000 \SystemRoot\System32\igxpdv32.DLL
0xBF2E9000 \SystemRoot\System32\igxpdx32.DLL
0xBF692000 \SystemRoot\System32\ATMFD.DLL
0x9977F000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xBA2F8000 \SystemRoot\System32\Drivers\DRVNDDM.SYS
0x9A298000 \SystemRoot\System32\DLA\DLADResM.SYS
0x99767000 \SystemRoot\System32\DLA\DLAIFS_M.SYS
0xBA428000 \SystemRoot\System32\DLA\DLAOPIOM.SYS
0xBA5FC000 \SystemRoot\System32\DLA\DLAPoolM.SYS
0xBA60A000 \??\C:\Programme\ThinkVantage Fingerprint Software\smihlp.sys
0xBA438000 \SystemRoot\System32\DLA\DLABMFSM.SYS
0xBA440000 \SystemRoot\System32\DLA\DLABOIOM.SYS
0x99751000 \SystemRoot\System32\DLA\DLAUDFAM.SYS
0x9973A000 \SystemRoot\System32\DLA\DLAUDF_M.SYS
0xA4BAA000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xA3DD6000 \SystemRoot\system32\DRIVERS\s24trans.sys
0x9966D000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xA01C7000 \SystemRoot\system32\DRIVERS\PROCDD.SYS
0x995F1000 \??\C:\WINDOWS\system32\drivers\acedrv11.sys
0x994CF000 \??\C:\WINDOWS\system32\drivers\hardlock.sys
0x994AB000 \SystemRoot\System32\Drivers\Fastfat.SYS
0x992FA000 \SystemRoot\System32\Drivers\HTTP.sys
0x99252000 \SystemRoot\system32\DRIVERS\srv.sys
0x9934B000 \SystemRoot\system32\DRIVERS\mdmxsdk.sys
0x99178000 \??\C:\WINDOWS\system32\drivers\PfModNT.sys
0xBA630000 \??\C:\WINDOWS\System32\drivers\pmemnt.sys
0x98836000 \SystemRoot\system32\drivers\wdmaud.sys
0xB95D6000 \SystemRoot\system32\drivers\sysaudio.sys
0x985D7000 \SystemRoot\System32\Drivers\Cdfs.SYS
0x96A8F000 \SystemRoot\system32\drivers\kmixer.sys
0x9A88E000 \SystemRoot\system32\drivers\splitter.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 93):
0 System Idle Process
4 System
2016 C:\WINDOWS\system32\smss.exe
240 csrss.exe
252 C:\WINDOWS\system32\winlogon.exe
316 C:\WINDOWS\system32\services.exe
304 C:\WINDOWS\system32\lsass.exe
548 C:\WINDOWS\system32\ibmpmsvc.exe
588 C:\WINDOWS\system32\svchost.exe
696 svchost.exe
908 C:\WINDOWS\system32\svchost.exe
936 C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
1204 C:\Programme\Intel\WiFi\bin\S24EvMon.exe
1288 svchost.exe
1408 svchost.exe
1744 C:\WINDOWS\system32\spoolsv.exe
1848 C:\Programme\Avira\AntiVir Desktop\sched.exe
1980 svchost.exe
1188 C:\WINDOWS\system32\IPSSVC.EXE
976 C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
1280 C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
1372 C:\Programme\Avira\AntiVir Desktop\avfwsvc.exe
1512 C:\Programme\Avira\AntiVir Desktop\avguard.exe
1612 C:\WINDOWS\system32\CTSVCCDA.EXE
1636 C:\Programme\Gemeinsame Dateien\DATA BECKER Shared\DBService.exe
1652 C:\Programme\Diskeeper Corporation\Diskeeper\DkService.exe
636 C:\Programme\Intel\WiFi\bin\EvtEng.exe
1904 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
1036 C:\WINDOWS\system32\svchost.exe
1120 C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
1144 C:\Programme\Java\jre6\bin\jqs.exe
1352 C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
1628 C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
2224 C:\WINDOWS\system32\IoctlSvc.exe
2244 C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
2588 C:\Programme\Lenovo\System Update\SUService.exe
2944 C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
3088 tvttcsd.exe
3116 C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
3208 C:\WINDOWS\system32\searchindexer.exe
3308 unsecapp.exe
3428 wmiprvse.exe
3472 wmpnetwk.exe
4088 C:\Programme\Avira\AntiVir Desktop\avmailc.exe
232 C:\Programme\Avira\AntiVir Desktop\avwebgrd.exe
2152 C:\WINDOWS\system32\wbem\wmiapsrv.exe
2992 alg.exe
2288 C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
3768 C:\WINDOWS\explorer.exe
2704 C:\Programme\Diskeeper Corporation\Diskeeper\DkIcon.exe
2000 C:\Programme\Lenovo\TrackPoint\tp4serv.exe
2276 C:\WINDOWS\system32\rundll32.exe
2060 C:\Programme\Lenovo\NPDIRECT\tpfnf7sp.exe
2544 C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
2688 C:\WINDOWS\system32\TpShocks.exe
1944 C:\PROGRA~1\ThinkPad\UTILIT~1\EZEJMNAP.EXE
1996 C:\Programme\Lenovo\AwayTask\AwaySch.EXE
488 C:\PROGRA~1\THINKV~2\PrdCtr\LPMGR.EXE
1484 C:\Programme\Lenovo\HOTKEY\TPONSCR.exe
3692 C:\Programme\Lenovo\ZOOM\TpScrex.exe
1472 C:\PROGRA~1\THINKV~2\AMSG\Amsg.exe
2624 C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
2740 C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
400 C:\Programme\Lenovo\Client Security Solution\cssauth.exe
3288 C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
3700 C:\Programme\Lenovo\Message Center Plus\MCPLaunch.exe
2716 C:\Programme\Analog Devices\Core\smax4pnp.exe
2056 C:\WINDOWS\system32\igfxtray.exe
3132 C:\WINDOWS\system32\hkcmd.exe
780 C:\WINDOWS\system32\igfxpers.exe
1572 C:\PROGRA~1\THINKV~2\PrdCtr\LPMLCHK.EXE
2760 C:\WINDOWS\system32\igfxsrvc.exe
228 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
3856 C:\Programme\Logitech\SetPointP\SetPoint.exe
4544 C:\Programme\Creative\SBLive 24-Bit External\Surround Mixer\CTSysVol.exe
4864 C:\WINDOWS\system32\rundll32.exe
5076 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
4656 C:\Programme\Gemeinsame Dateien\LightScribe\LightScribeControlPanel.exe
5036 C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe
5124 C:\Programme\Creative\MediaSource\RemoteControl\RcMan.exe
5244 C:\Programme\Windows Media Player\wmpnscfg.exe
5448 C:\Programme\Lenovo\Client Security Solution\tvtpwm_tray.exe
5464 C:\Programme\Gemeinsame Dateien\LogiShrd\KHAL3\KHALMNPR.exe
5544 C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTvRc.exe
2336 C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
2596 C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
4220 C:\Programme\NinjaLite\NinjaLite\NinjaLi.exe
4432 C:\Programme\Digital Line Detect\DLG.exe
2172 C:\Programme\OpenOffice.org 3\program\soffice.exe
2332 C:\Programme\OpenOffice.org 3\program\soffice.bin
5436 C:\WINDOWS\system32\searchprotocolhost.exe
4920 searchfilterhost.exe
3420 C:\Dokumente und Einstellungen\nh\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: FUJITSUMHW2160BHPL, Rev: 0084001E

Size Device Name MBR Status
--------------------------------------------
149 GB \\.\PhysicalDrive0 Unknown MBR code
SHA1: 822F12F54F8BC800B01F4A948DCC0A9E1A74FC3A

Found non-standard or infected MBR.
Enter 'Y' and hit ENTER for more options, or 'N' to exit:

Done!

cosinus · 04.05.2011, 10:39

Hast Du noch andere Betriebssystem außer WinXP drauf?

Wenn nicht, also WinXP das einzige installierte System ist: Starte den Rechner neu und wähle im Bootmenü die Wiederherstellungskonsole aus.
Tipp dort den Befehl fixmbr ein (dann Enter, mit j bestätigen) danach den Befehl fixboot (dann Enter, mit j bestätigen)
Mit exit (dann enter drücken) wird der Rechner neu gestartet. Führe im normalen Windowsmodus MBRCheck nochmals aus und poste das neue Log.

wanderer · 04.05.2011, 17:56

Die fixxxx-Befehle habe ich durchgeführt. Unten das erbetene Log.

Keine Ahnung, ob das relevant ist: Konnte beobachten, dass der ominöse Ordner im Temp-Verzeichnis, der die Win32.Agent.ax infizierte Datei enthält, beim Starten von ThunderbirdPortable erzeugt wird.

MBRCheck

Zitat:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000000c

Kernel Drivers (total 182):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806E6000 \WINDOWS\system32\hal.dll
0xBA5A8000 \WINDOWS\system32\KDCOM.DLL
0xBA4B8000 \WINDOWS\system32\BOOTVID.dll
0xB9F78000 ACPI.sys
0xBA5AA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xB9F67000 pci.sys
0xBA0A8000 isapnp.sys
0xBA4BC000 compbatt.sys
0xBA4C0000 \WINDOWS\system32\DRIVERS\BATTC.SYS
0xBA670000 pciide.sys
0xBA328000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xB9F49000 pcmcia.sys
0xBA0B8000 MountMgr.sys
0xB9F2A000 ftdisk.sys
0xBA5AC000 dmload.sys
0xB9F04000 dmio.sys
0xBA330000 PartMgr.sys
0xBA4C4000 ACPIEC.sys
0xBA671000 \WINDOWS\system32\DRIVERS\OPRGHDLR.SYS
0xBA0C8000 VolSnap.sys
0xB9EEC000 atapi.sys
0xB9E12000 iaStor.sys
0xBA0D8000 disk.sys
0xBA0E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xB9DF2000 fltmgr.sys
0xB9DE0000 sr.sys
0xB9DC9000 DRVMCDB.SYS
0xBA0F8000 PxHelp20.sys
0xB9DB2000 KSecDD.sys
0xB9D25000 Ntfs.sys
0xB9CF8000 NDIS.sys
0xB9CD8000 Apsx86.sys
0xBA108000 ApsHM86.sys
0xBA118000 ohci1394.sys
0xBA128000 \WINDOWS\system32\DRIVERS\1394BUS.SYS
0xB9CBE000 Mup.sys
0xBA1E8000 \SystemRoot\system32\DRIVERS\nic1394.sys
0xBA268000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xB811D000 \SystemRoot\system32\DRIVERS\igxpmp32.sys
0xB8109000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB80C8000 \SystemRoot\system32\DRIVERS\e1e5132.sys
0xBA360000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xB80A4000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xBA368000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xB807C000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xB7A31000 \SystemRoot\system32\DRIVERS\NETw5x32.sys
0xB7A1D000 \SystemRoot\system32\DRIVERS\sdbus.sys
0xBA278000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xBA370000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xBA288000 \SystemRoot\system32\DRIVERS\tp4track.sys
0xBA298000 \SystemRoot\system32\DRIVERS\WDFLDR.SYS
0xB79A1000 \SystemRoot\System32\Drivers\wdf01000.sys
0xBA378000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xBA2A8000 \SystemRoot\system32\DRIVERS\serial.sys
0xB9C61000 \SystemRoot\system32\DRIVERS\serenum.sys
0xB798D000 \SystemRoot\system32\DRIVERS\parport.sys
0xBA380000 \SystemRoot\system32\DRIVERS\atmeltpm.sys
0xB9C5D000 \SystemRoot\system32\DRIVERS\CmBatt.sys
0xBA398000 \SystemRoot\system32\DRIVERS\ibmpmdrv.sys
0xB797A000 \SystemRoot\system32\DRIVERS\avfwim.sys
0xB78AA000 \SystemRoot\system32\DRIVERS\btkrnl.sys
0xBA77E000 \SystemRoot\system32\DRIVERS\audstub.sys
0xBA2B8000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xB9C51000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB7893000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xBA2C8000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xBA2D8000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xBA388000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB7882000 \SystemRoot\system32\DRIVERS\psched.sys
0xBA2E8000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xBA390000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xBA3A0000 \SystemRoot\system32\DRIVERS\raspti.sys
0xBA3A8000 \SystemRoot\system32\DRIVERS\tap0901.sys
0xB7852000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xB8439000 \SystemRoot\system32\DRIVERS\termdd.sys
0xBA3B0000 \SystemRoot\system32\DRIVERS\psadd.sys
0xBA3B8000 \SystemRoot\system32\DRIVERS\Tvti2c.sys
0xBA60C000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB782F000 \SystemRoot\system32\DRIVERS\ks.sys
0xB77D1000 \SystemRoot\system32\DRIVERS\update.sys
0xB855B000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xB8557000 \SystemRoot\system32\DRIVERS\NETGEARUHOST.sys
0xB83F9000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB83D9000 \SystemRoot\system32\DRIVERS\NETGEARUHUB.sys
0xBA1A8000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xBA626000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xA68BF000 \SystemRoot\system32\drivers\ADIHdAud.sys
0xA1672000 \SystemRoot\system32\drivers\portcls.sys
0xA5D5B000 \SystemRoot\system32\drivers\drmk.sys
0xA1444000 \SystemRoot\system32\drivers\AEAudio.sys
0xA13F3000 \SystemRoot\system32\DRIVERS\HSFHWAZL.sys
0xA1270000 \SystemRoot\system32\DRIVERS\HSF_DPV.sys
0xA11BD000 \SystemRoot\system32\DRIVERS\HSF_CNXT.sys
0xA687F000 \SystemRoot\System32\Drivers\Modem.SYS
0xA48B7000 \SystemRoot\System32\Drivers\i2omgmt.SYS
0xBA5F2000 \SystemRoot\System32\Drivers\DLACDBHM.SYS
0xBA5F6000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0x9F901000 \SystemRoot\System32\Drivers\Null.SYS
0xBA5F8000 \SystemRoot\System32\Drivers\Beep.SYS
0xA0320000 \SystemRoot\System32\Drivers\DLARTL_M.SYS
0xA0318000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xA0310000 \SystemRoot\System32\drivers\vga.sys
0xBA5FA000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xBA5FC000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xA0308000 \SystemRoot\System32\Drivers\Msfs.SYS
0xA0300000 \SystemRoot\System32\Drivers\Npfs.SYS
0xA0608000 \SystemRoot\system32\DRIVERS\rasacd.sys
0x9F3DB000 \SystemRoot\system32\DRIVERS\ipsec.sys
0x9F382000 \SystemRoot\system32\DRIVERS\tcpip.sys
0x9F35A000 \SystemRoot\system32\DRIVERS\netbt.sys
0x9F334000 \SystemRoot\system32\DRIVERS\ipnat.sys
0x9F31C000 \SystemRoot\system32\DRIVERS\avfwot.sys
0xA05F4000 \SystemRoot\System32\drivers\ws2ifsl.sys
0x9F264000 \SystemRoot\System32\drivers\afd.sys
0xA3D34000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xA3CF4000 \SystemRoot\system32\DRIVERS\netbios.sys
0xA5A1E000 \SystemRoot\System32\drivers\TSMAPIP.SYS
0xA5A0E000 \SystemRoot\System32\drivers\Tppwrif.sys
0xA5A16000 \SystemRoot\system32\DRIVERS\TPHKDRV.sys
0xA3CB4000 \SystemRoot\system32\DRIVERS\arp1394.sys
0xA5A06000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0x9EFD7000 \SystemRoot\system32\DRIVERS\rdbss.sys
0x9EF67000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xBA602000 \??\C:\WINDOWS\system32\Drivers\IBMBLDID.sys
0x9F807000 \SystemRoot\System32\Drivers\Fips.SYS
0x9F621000 \SystemRoot\System32\Drivers\tcusb.sys
0x9E999000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xA0F0C000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xBA5A0000 \SystemRoot\System32\drivers\ANC.SYS
0xBA458000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0x9D877000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xA5D8B000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xA5A3E000 \SystemRoot\system32\DRIVERS\LHidFilt.Sys
0xA6B86000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0x9D0CE000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xA59F6000 \SystemRoot\system32\DRIVERS\LMouFilt.Sys
0x9C413000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS
0x9B352000 \SystemRoot\system32\DRIVERS\imapi.sys
0x9B372000 \SystemRoot\system32\drivers\iviaspi.sys
0x9B332000 \SystemRoot\system32\DRIVERS\cdrom.sys
0x9AA5F000 \SystemRoot\system32\DRIVERS\redbook.sys
0x9A6AA000 \SystemRoot\System32\Drivers\Cdfs.SYS
0x98C07000 \SystemRoot\System32\Drivers\dump_iaStor.sys
0xBF800000 \SystemRoot\System32\win32k.sys
0x991F6000 \SystemRoot\System32\drivers\Dxapi.sys
0x993E0000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0x990BF000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF024000 \SystemRoot\System32\igxpgd32.dll
0xBF012000 \SystemRoot\System32\igxprd32.dll
0xBF059000 \SystemRoot\System32\igxpdv32.DLL
0xBF2E9000 \SystemRoot\System32\igxpdx32.DLL
0xBF692000 \SystemRoot\System32\ATMFD.DLL
0x98BB2000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xB931A000 \SystemRoot\System32\Drivers\DRVNDDM.SYS
0xBA77B000 \SystemRoot\System32\DLA\DLADResM.SYS
0x98B9A000 \SystemRoot\System32\DLA\DLAIFS_M.SYS
0xBA420000 \SystemRoot\System32\DLA\DLAOPIOM.SYS
0xBA600000 \SystemRoot\System32\DLA\DLAPoolM.SYS
0xBA604000 \??\C:\Programme\ThinkVantage Fingerprint Software\smihlp.sys
0xBA438000 \SystemRoot\System32\DLA\DLABMFSM.SYS
0xBA440000 \SystemRoot\System32\DLA\DLABOIOM.SYS
0x98B84000 \SystemRoot\System32\DLA\DLAUDFAM.SYS
0x98B6D000 \SystemRoot\System32\DLA\DLAUDF_M.SYS
0xA05F0000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xA05EC000 \SystemRoot\system32\DRIVERS\s24trans.sys
0x98AA0000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xA0328000 \SystemRoot\system32\DRIVERS\PROCDD.SYS
0x98A24000 \??\C:\WINDOWS\system32\drivers\acedrv11.sys
0x98902000 \??\C:\WINDOWS\system32\drivers\hardlock.sys
0x988DE000 \SystemRoot\System32\Drivers\Fastfat.SYS
0x9872D000 \SystemRoot\System32\Drivers\HTTP.sys
0x98685000 \SystemRoot\system32\DRIVERS\srv.sys
0x98782000 \SystemRoot\system32\DRIVERS\mdmxsdk.sys
0x98583000 \??\C:\WINDOWS\system32\drivers\PfModNT.sys
0xBA65C000 \??\C:\WINDOWS\System32\drivers\pmemnt.sys
0x9815E000 \SystemRoot\system32\drivers\wdmaud.sys
0x9830B000 \SystemRoot\system32\drivers\sysaudio.sys
0x94A91000 \SystemRoot\system32\drivers\kmixer.sys
0x9AC13000 \SystemRoot\system32\drivers\splitter.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 92):
0 System Idle Process
4 System
2020 C:\WINDOWS\system32\smss.exe
228 csrss.exe
220 C:\WINDOWS\system32\winlogon.exe
312 C:\WINDOWS\system32\services.exe
328 C:\WINDOWS\system32\lsass.exe
552 C:\WINDOWS\system32\ibmpmsvc.exe
592 C:\WINDOWS\system32\svchost.exe
688 svchost.exe
912 C:\WINDOWS\system32\svchost.exe
940 C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe
1020 C:\Programme\Intel\WiFi\bin\S24EvMon.exe
1292 svchost.exe
1388 svchost.exe
1796 C:\WINDOWS\system32\spoolsv.exe
1908 C:\Programme\Avira\AntiVir Desktop\sched.exe
2016 svchost.exe
1196 C:\WINDOWS\system32\IPSSVC.EXE
1220 C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
1284 C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe
1352 C:\Programme\Avira\AntiVir Desktop\avfwsvc.exe
1444 C:\Programme\Avira\AntiVir Desktop\avguard.exe
1572 C:\WINDOWS\system32\CTSVCCDA.EXE
1492 C:\Programme\Gemeinsame Dateien\DATA BECKER Shared\DBService.exe
1696 C:\Programme\Diskeeper Corporation\Diskeeper\DkService.exe
392 C:\Programme\Intel\WiFi\bin\EvtEng.exe
752 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
1068 C:\WINDOWS\system32\svchost.exe
1088 C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
1156 C:\Programme\Java\jre6\bin\jqs.exe
1176 C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
1424 C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
2240 C:\WINDOWS\system32\IoctlSvc.exe
2344 C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
2760 C:\Programme\Lenovo\System Update\SUService.exe
3140 unsecapp.exe
3216 wmiprvse.exe
3436 C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe
3464 tvttcsd.exe
3528 C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe
3696 C:\WINDOWS\system32\searchindexer.exe
3988 C:\WINDOWS\explorer.exe
324 wmpnetwk.exe
740 C:\WINDOWS\system32\wuauclt.exe
2056 wmiprvse.exe
2284 C:\Programme\Avira\AntiVir Desktop\avmailc.exe
2360 C:\Programme\Avira\AntiVir Desktop\avwebgrd.exe
3080 C:\WINDOWS\system32\wbem\wmiapsrv.exe
2616 C:\Programme\Lenovo\TrackPoint\tp4serv.exe
1956 C:\WINDOWS\system32\rundll32.exe
2836 C:\Programme\Lenovo\NPDIRECT\tpfnf7sp.exe
3092 C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe
3592 C:\WINDOWS\system32\TpShocks.exe
2928 C:\PROGRA~1\ThinkPad\UTILIT~1\EZEJMNAP.EXE
3604 alg.exe
3024 C:\Programme\Lenovo\AwayTask\AwaySch.EXE
3984 C:\PROGRA~1\THINKV~2\PrdCtr\LPMGR.EXE
4016 C:\PROGRA~1\THINKV~2\AMSG\Amsg.exe
2900 C:\Programme\ThinkPad\ConnectUtilities\ACTray.exe
656 C:\Programme\Lenovo\HOTKEY\TPONSCR.exe
320 C:\Programme\Lenovo\ZOOM\TpScrex.exe
3900 C:\Programme\ThinkPad\ConnectUtilities\ACWLIcon.exe
1644 C:\Programme\Lenovo\Client Security Solution\cssauth.exe
2688 C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe
2532 C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe
2452 C:\Programme\Lenovo\Message Center Plus\MCPLaunch.exe
3096 C:\Programme\Analog Devices\Core\smax4pnp.exe
3764 C:\WINDOWS\system32\igfxtray.exe
608 C:\WINDOWS\system32\hkcmd.exe
2816 C:\WINDOWS\system32\igfxsrvc.exe
612 C:\WINDOWS\system32\igfxpers.exe
3964 C:\PROGRA~1\THINKV~2\PrdCtr\LPMLCHK.EXE
2264 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
1968 C:\Programme\Logitech\SetPointP\SetPoint.exe
2204 C:\Programme\Lenovo\Client Security Solution\tvtpwm_tray.exe
3088 C:\Programme\Creative\SBLive 24-Bit External\Surround Mixer\CTSysVol.exe
276 C:\WINDOWS\system32\rundll32.exe
4132 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
4220 C:\Programme\Gemeinsame Dateien\LogiShrd\KHAL3\KHALMNPR.exe
4628 C:\Programme\Gemeinsame Dateien\LightScribe\LightScribeControlPanel.exe
4800 C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe
4916 C:\Programme\Creative\MediaSource\RemoteControl\RcMan.exe
4968 C:\Programme\Windows Media Player\wmpnscfg.exe
5040 C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTvRc.exe
5424 C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
5620 C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
5772 C:\Programme\NinjaLite\NinjaLite\NinjaLi.exe
2260 C:\Programme\Digital Line Detect\DLG.exe
2488 C:\Programme\OpenOffice.org 3\program\soffice.exe
4876 C:\Programme\OpenOffice.org 3\program\soffice.bin
964 C:\Dokumente und Einstellungen\nh\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: FUJITSUMHW2160BHPL, Rev: 0084001E

Size Device Name MBR Status
--------------------------------------------
149 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A

Done!

cosinus · 04.05.2011, 18:08

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

wanderer · 05.05.2011, 09:00

Das Log von Malwarebytes ist unten.

Mit SUPERAntiSpyware gabe es Probleme. Da der Scan gestern Abend nicht fertig wurde, habe ich ihn die Nacht durchlaufen lassen. Der Scan hat sich aber offenbar an einer bestimmten Stelle aufgehängt. Jedenfalls hat sich auch heute morgen über einen längeren Zeitraum nichts mehr verändert. Ich habe einen Screenshot angehängt.
Der Scan leiß sich über den Weiter-Button nicht beenden und auch Das Programm ließ sich nicht mal über den TaskManager beenden. Erst ein Neustart des Rechners hat geholfen.

Sollte ich nichts anderes hören, werde ich heute abend noch mal einen Scan-Versuch mit SUPERAntiSpyware durchführen und dann hoffentlich ein entsprechendes Logfile schicken können.

Der Ordner mit der indizierten System.dll wird nach wie vor erzeugt. Ob auch das Kopieren von Daten noch stattfindet werde ich wahrscheinlich heute im Laufe des Tages sehen.

Danke.

Hier der Log von Malwarebytes:

Zitat:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6506

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

04.05.2011 21:34:33
mbam-log-2011-05-04 (21-34-33).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 336308
Laufzeit: 2 Stunde(n), 20 Minute(n), 34 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

cosinus · 05.05.2011, 11:22

Aus welcher Quelle stammt dein Win-Habu?

wanderer · 05.05.2011, 13:12

Win HaBu ist eine Buchhaltungssoftware, die ich per CD vom Hersteller (hxxp://mcrichter.macbay.de/) erhalten habe.

Der Kopiervorgang hat auch heute wieder stattgefunden.

Danke.

02.05.2011, 13:13	#2
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner? Auffälliges Kopieren und Win32.Agent.ax in Temp-Ordner Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind. __________________ __________________

04.05.2011, 18:08	#12
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner? Auffälliges Kopieren und Win32.Agent.ax in Temp-Ordner Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! __________________ Logfiles bitte immer in CODE-Tags posten

05.05.2011, 11:22	#14
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner? Auffälliges Kopieren und Win32.Agent.ax in Temp-Ordner Aus welcher Quelle stammt dein Win-Habu? __________________ Logfiles bitte immer in CODE-Tags posten

Trojaner? Auffälliges Kopieren und Win32.Agent.ax in Temp-Ordner

Plagegeister aller Art und deren Bekämpfung: Trojaner? Auffälliges Kopieren und Win32.Agent.ax in Temp-Ordner