|
@ root24 : Ok besten dank!!! @ Comspec:Heisst das soviel wie rchner plattmachen und Windows neu aufziehen?Oder den Rechner in die Tonne werfen? |
@koile: Klick mal auf diesen Link => File-Upload.net - Ihr kostenloser File Hoster! Du kannst Dir darin als zip-Datei die drei Programme herunterladen. Es ist sicherheitshalber mit dem Paßwort "tb" (ohne Anführungszeichen) versehen, darin enthalten sind diese Dateien: 123.vbs -> silentrunners abcfsbl.com -> blacklight xyzcf.com -> combofix Aus Sicherheitsgründen habe ich die Dateinamen umbenannt. Führe sie bitte in dieser genannten Reihenfolge auch aus und poste die Logs. |
Zitat:
Noch gibt es gar keinen Befund. Aber die Symptome deuten auf einen halbwegs gut ins System integrierten Schädling hin. Bei vernünftig programmierter Schadsoftware sollte man mMn das Handtuch werfen und neu installieren. root24 wird Dir nach der Analyse schon sagen wie es um Deine Windowsinstallation bestellt ist. %ComSpec% |
silentrunners: "Silent Runners.vbs", revision 58, Silent Runners - Adware? Disinfect, don't reformat! Operating System: Windows XP SP2 Output limited to non-default values, except where indicated by "{++}" Startup items buried in registry: --------------------------------- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++} "ICQ" = ""D:\ICQ6\ICQ.exe" silent" ["ICQ, Inc."] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++} "NWEReboot" = "(empty string)" [file not found] "RegistryMechanic" = "(empty string)" [file not found] "NvCplDaemon" = "RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup" [MS] "ZoneAlarm Client" = ""C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"" ["Zone Labs, LLC"] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\ {055FD26D-3A88-4e15-963D-DC8493744B1D}\(Default) = "XTTBPos00" -> {HKLM...CLSID} = "XTTBPos00 Class" \InProcServer32\(Default) = "C:\PROGRA~1\ICQTOO~1\toolbaru.dll" ["IE Toolbar"] {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided) -> {HKLM...CLSID} = "Adobe PDF Reader" \InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"] {221BBF54-3327-4548-9006-84385B1A5840}\(Default) = (no title provided) -> {HKLM...CLSID} = "Google Module" \InProcServer32\(Default) = "ssymman.dll" [file not found] {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0}\(Default) = "WormRadar.com IESiteBlocker.NavFilter" -> {HKLM...CLSID} = "AVG Safe Search" \InProcServer32\(Default) = "C:\Programme\AVG\AVG8\avgssie.dll" [file not found] {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided) -> {HKLM...CLSID} = "SSVHelper Class" \InProcServer32\(Default) = "C:\Programme\Java\jre1.6.0_05\bin\ssv.dll" ["Sun Microsystems, Inc."] {82B8E0B5-45F5-4779-966A-C474164F8F7F}\(Default) = (no title provided) -> {HKLM...CLSID} = "DVA Media" \InProcServer32\(Default) = "C:\WINDOWS\temlxopqgdk.dll" [file not found] {84FEBFF8-945B-4F9A-B9B8-B68EC5020770}\(Default) = (no title provided) -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\WINDOWS\system32\vtUnmMde.dll" [file not found] {AECB328C-AD19-A18C-386F-35A24BB56081}\(Default) = "Macromedia Movie" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\WINDOWS\system\bfdtsc32.dll" [file not found] {D19BB6AF-D04D-474D-B4FF-14BDC4900971}\(Default) = (no title provided) -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\WINDOWS\system32\urqOGXrS.dll" [null data] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\ "{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung" -> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung" \InProcServer32\(Default) = "deskpan.dll" [file not found] "{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons" -> {HKLM...CLSID} = "HyperTerminal Icon Ext" \InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."] "{A70C977A-BF00-412C-90B7-034C51DA2439}" = "NvCpl DesktopContext Class" -> {HKLM...CLSID} = "DesktopContext Class" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvcpl.dll" ["NVIDIA Corporation"] "{FFB699E0-306A-11d3-8BD1-00104B6F7516}" = "Play on my TV helper" -> {HKLM...CLSID} = "NVIDIA CPL Extension" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvcpl.dll" ["NVIDIA Corporation"] "{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer" -> {HKLM...CLSID} = "Desktop Explorer" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"] "{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"] "{1E9B04FB-F9E5-4718-997B-B8DA88302A48}" = "nView Desktop Context Menu" -> {HKLM...CLSID} = "nView Desktop Context Menu" \InProcServer32\(Default) = "C:\WINDOWS\System32\nvshell.dll" ["NVIDIA Corporation"] "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] "{D9872D13-7651-4471-9EEE-F0A00218BEBB}" = "Multiscan" -> {HKLM...CLSID} = "ZLAVShExt Class" \InProcServer32\(Default) = "C:\Programme\Zone Labs\ZoneAlarm\zlavscan.dll" ["Zone Labs, LLC"] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\ <<!>> "{84FEBFF8-945B-4F9A-B9B8-B68EC5020770}" = "*Z" (unwritable string) -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\WINDOWS\system32\vtUnmMde.dll" [file not found] HKLM\SYSTEM\CurrentControlSet\Control\Lsa\ <<!>> "Authentication Packages" = "msv1_0"|"C:\WINDOWS\system32\urqOGXrS" HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ <<!>> vtUnmMde\DLLName = "vtUnmMde.dll" [file not found] HKLM\SOFTWARE\Classes\Folder\shellex\ColumnHandlers\ {F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info" -> {HKLM...CLSID} = "PDF Shell Extension" \InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."] HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\ WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] ZLAVShExt\(Default) = "{D9872D13-7651-4471-9EEE-F0A00218BEBB}" -> {HKLM...CLSID} = "ZLAVShExt Class" \InProcServer32\(Default) = "C:\Programme\Zone Labs\ZoneAlarm\zlavscan.dll" ["Zone Labs, LLC"] HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\ WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\ WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] ZLAVShExt\(Default) = "{D9872D13-7651-4471-9EEE-F0A00218BEBB}" -> {HKLM...CLSID} = "ZLAVShExt Class" \InProcServer32\(Default) = "C:\Programme\Zone Labs\ZoneAlarm\zlavscan.dll" ["Zone Labs, LLC"] Group Policies {GPedit.msc branch and setting}: ----------------------------------------------- Note: detected settings may not have any effect. HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\ "DisableTaskMgr" = (REG_DWORD) dword:0x00000001 {User Configuration|Administrative Templates|System|Ctrl+Alt+Del Options| Remove Task Manager} HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ "shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001 {Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options| Shutdown: Allow system to be shut down without having to log on} "undockwithoutlogon" = (REG_DWORD) dword:0x00000001 {Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options| Devices: Allow undock without having to log on} Active Desktop and Wallpaper: ----------------------------- Active Desktop may be disabled at this entry: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState Displayed if Active Desktop enabled and wallpaper not set by Group Policy: HKCU\Software\Microsoft\Internet Explorer\Desktop\General\ "Wallpaper" = "C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp" Displayed if Active Desktop disabled and wallpaper not set by Group Policy: HKCU\Control Panel\Desktop\ "Wallpaper" = "C:\Dokumente und Einstellungen\Maik\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp" Enabled Screen Saver: --------------------- HKCU\Control Panel\Desktop\ "SCRNSAVE.EXE" = "C:\WINDOWS\System32\ssmypics.scr" [MS] Windows Portable Device AutoPlay Handlers ----------------------------------------- HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\Handlers\ HPGGPhotoEventHandler\ "Provider" = "HP Photosmart Essential" "InvokeProgID" = "HP.acquireautoplayG" "InvokeVerb" = "open" HKLM\SOFTWARE\Classes\HP.acquireautoplayG\shell\open\DropTarget\CLSID = "{F3A39B00-BE67-4d7d-BED7-53E9C510EC5B}" -> {HKLM...CLSID} = "HP AcquireAutoPlay2 Class" \InProcServer32\(Default) = "C:\Programme\HP\Photosmart Essential\AcquireAutoPlay.dll" [empty string] HPUnloadAutoplay\ "Provider" = "HP Übertragung und Schnelldruck" "InvokeProgID" = "HpqUnApl.Autoplay" "InvokeVerb" = "Play" HKLM\SOFTWARE\Classes\HpqUnApl.Autoplay\shell\Play\DropTarget\CLSID = "{E1A1C814-FD09-4c9d-BB4A-0394B836A1F0}" -> {HKLM...CLSID} = (no title provided) \LocalServer32\(Default) = "C:\Programme\HP\Digital Imaging\Unload\HpqUnApl.exe" ["Hewlett-Packard"] MMJBAutoplayBURNERPLUS\ "Provider" = "MUSICMATCH Burner Plus" "InvokeProgID" = "MMJB.BURN" "InvokeVerb" = "Burn" HKLM\SOFTWARE\Classes\MMJB.BURN\shell\Burn\Command\(Default) = ""C:\Programme\Musicmatch\Musicmatch Jukebox\mmfwlaunch.exe""-mmjb"" ["Musicmatch, Inc."] MMJBPlayCDAudioOnArrival\ "Provider" = "Musicmatch Jukebox" "InvokeProgID" = "MMJB.AUDIOCD" "InvokeVerb" = "Play" HKLM\SOFTWARE\Classes\MMJB.AUDIOCD\shell\Play\command\(Default) = ""C:\Programme\Musicmatch\Musicmatch Jukebox\mmjblaunch.exe" /AudioCD "%1"" ["Musicmatch, Inc."] MMJBPlayMediaOnArrival\ "Provider" = "Musicmatch Jukebox" "InvokeProgID" = "MMJB.MMJB" "InvokeVerb" = "Play" HKLM\SOFTWARE\Classes\MMJB.MMJB\shell\Play\command\(Default) = ""C:\Programme\Musicmatch\Musicmatch Jukebox\mmjblaunch.exe" "%1"" ["Musicmatch, Inc."] NeroAutoPlay7CDAudio\ "Provider" = "Nero SoundTrax" "InvokeProgID" = "Nero.AutoPlay3" "InvokeVerb" = "HandleCDBurningOnArrival_CDAudio" HKLM\SOFTWARE\Classes\Nero.AutoPlay3\shell\HandleCDBurningOnArrival_CDAudio\command\(Default) = "C:\Programme\Nero\Nero 7\Nero SoundTrax\SoundTrax.exe /" [file not found] NeroAutoPlay7CopyCD\ "Provider" = "Nero Burning ROM" "InvokeProgID" = "Nero.AutoPlay3" "InvokeVerb" = "PlayMusicFilesOnArrival_CopyCD" HKLM\SOFTWARE\Classes\Nero.AutoPlay3\shell\PlayMusicFilesOnArrival_CopyCD\command\(Default) = "C:\Programme\Nero\Nero 7\Core\nero.exe /Dialog:DiscCopy /Drive:%L" [file not found] NeroAutoPlay7PlayAudioCD\ "Provider" = "Nero ShowTime" "InvokeProgID" = "Nero.AutoPlay3" "InvokeVerb" = "PlayCDAudioOnArrival_PlayAudioCD" HKLM\SOFTWARE\Classes\Nero.AutoPlay3\shell\PlayCDAudioOnArrival_PlayAudioCD\command\(Default) = "C:\Programme\Nero\Nero 7\Nero ShowTime\ShowTime.exe /Play /Drive:%L" [file not found] Enabled Scheduled Tasks: ------------------------ "HPpromotions journeysoftware" -> launches: "C:\Programme\hp\digital imaging\bin\hp promotions\journeysoftware\HPpromo.exe /N "journeysoftware" -r" ["hp"] Winsock2 Service Provider DLLs: ------------------------------- Namespace Service Providers HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++} 000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS] 000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS] 000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS] Transport Service Providers HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++} 0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range: %SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 11 %SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05 Toolbars, Explorer Bars, Extensions: ------------------------------------ Toolbars HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\ "{855F3B16-6D32-4FE6-8A56-BBB695989046}" -> {HKLM...CLSID} = "ICQ Toolbar" \InProcServer32\(Default) = "C:\PROGRA~1\ICQTOO~1\toolbaru.dll" ["IE Toolbar"] |
blacklight: 05/20/08 00:11:27 [Info]: BlackLight Engine 1.0.70 initialized 05/20/08 00:11:27 [Info]: OS: 5.1 build 2600 (Service Pack 2) 05/20/08 00:11:27 [Note]: 7019 4 05/20/08 00:11:27 [Note]: 7005 0 05/20/08 00:11:29 [Note]: 7006 0 05/20/08 00:11:29 [Note]: 7011 1528 05/20/08 00:11:29 [Note]: 7035 0 05/20/08 00:11:29 [Note]: 7026 0 05/20/08 00:11:29 [Note]: 7026 0 05/20/08 00:11:32 [Note]: FSRAW library version 1.7.1024 05/20/08 00:14:13 [Note]: 7007 0 |
Ich glaube das silentrunners Log ist nicht vollständig. Überprüf das mal bitte! |
Zitat:
Running Services (Display Name, Service Name, Path {Service DLL}): ------------------------------------------------------------------ NVIDIA Display Driver Service, NVSvc, "C:\WINDOWS\System32\nvsvc32.exe" ["NVIDIA Corporation"] TrueVector Internet Monitor, vsmon, "C:\WINDOWS\system32\ZoneLabs\vsmon.exe -service" ["Zone Labs, LLC"] Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS] Print Monitors: --------------- HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\ PCL Language Monitor\Driver = "hpz3l3xu.dll" ["Hewlett-Packard Company"] ---------- (launch time: 2008-05-20 00:03:44) <<!>>: Suspicious data at a malware launch point. + This report excludes default entries except where indicated. + To see *everywhere* the script checks and *everything* it finds, launch it from a command prompt or a shortcut with the -all parameter. + To search all directories of local fixed drives for DESKTOP.INI DLL launch points, use the -supp parameter or answer "No" at the first message box and "Yes" at the second message box. ---------- (total run time: 57 seconds, including 8 seconds for message boxes) |
Combofix Log: ComboFix 08-05-19.3 - **** 2008-05-20 0:58:01.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.624 [GMT 2:00] ausgeführt von:: C:\Dokumente und Einstellungen\****\Desktop\koile\xyzcf.com * Neuer Wiederherstellungspunkt wurde erstellt * Resident AV is active WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !! . (((((((((((((((((((((((((((((((((((( Weitere L”schungen )))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\cookies.ini C:\WINDOWS\system32\bwvmhwna.ini C:\WINDOWS\system32\conf.dat C:\WINDOWS\system32\cxjxqhps.ini C:\WINDOWS\system32\fxlhmpvq.ini C:\WINDOWS\system32\jjqinixy.ini C:\WINDOWS\system32\joofbucy.ini C:\WINDOWS\system32\jxpvxhiu.ini C:\WINDOWS\system32\lkjsoqiw.ini C:\WINDOWS\system32\mcrh.tmp C:\WINDOWS\system32\mgngjclr.ini C:\WINDOWS\system32\mtphjwjo.ini C:\WINDOWS\system32\SrXGOqru.ini C:\WINDOWS\system32\SrXGOqru.ini2 C:\WINDOWS\system32\urqOGXrS.dll C:\WINDOWS\system32\uvikqyss.ini C:\WINDOWS\system32\vrrwuxpx.ini C:\WINDOWS\system32\xtxhcgxt.ini . ((((((((((((((((((((((( Dateien erstellt von 2008-04-19 bis 2008-05-19 )))))))))))))))))))))))))))))) . 2008-05-16 18:21 . 2008-05-19 23:20 <DIR> d-------- C:\!KillBox 2008-05-14 12:54 . 2008-05-14 12:54 <DIR> d-------- C:\Programme\Trend Micro 2008-05-14 12:28 . 2004-03-09 01:00 1,081,616 --a------ C:\WINDOWS\system32\MSCOMCTL.OCX 2008-05-13 14:38 . 2008-05-13 14:38 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avg8 2008-05-13 14:35 . 2007-12-20 19:03 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Vorlagen 2008-05-13 14:35 . 2007-12-20 18:56 <DIR> dr------- C:\Dokumente und Einstellungen\Administrator\Startmen 2008-05-13 14:35 . 2007-12-20 18:56 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Netzwerkumgebung 2008-05-13 14:35 . 2008-05-20 01:02 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen 2008-05-13 14:35 . 2007-12-20 18:56 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator\Favoriten 2008-05-13 14:35 . 2007-12-20 18:56 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Druckumgebung 2008-05-13 14:35 . 2007-12-20 18:56 <DIR> dr-h----- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten 2008-05-13 14:35 . 2008-05-13 14:35 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator 2008-05-13 14:35 . 2008-05-20 00:57 1,024 --ah----- C:\Dokumente und Einstellungen\Administrator\ntuser.dat.LOG 2008-05-13 13:29 . 2008-05-13 13:32 514 --a------ C:\WINDOWS\Germany 2008-05-12 14:45 . 2008-05-13 13:08 <DIR> d--h----- C:\$AVG8.VAULT$ 2008-05-11 12:43 . 2008-05-16 13:57 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira 2008-05-10 01:16 . 2008-05-10 01:16 1 --a------ C:\WINDOWS\system32\kr_done1de 2008-04-26 22:10 . 2008-05-20 00:08 2,378 --a------ C:\rollback.ini 2008-04-22 04:27 . 2008-02-22 02:33 69,632 --a------ C:\WINDOWS\system32\javacpl.cpl 2008-04-22 04:26 . 2008-04-22 04:27 <DIR> d-------- C:\Programme\Java 2008-04-22 04:26 . 2008-04-22 04:26 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Java 2008-04-20 16:25 . 2008-05-03 15:17 <DIR> d-------- C:\Programme\ICQToolbar 2008-04-20 16:20 . 2008-04-20 16:20 <DIR> d-------- C:\Dokumente und Einstellungen\****\Anwendungsdaten\InstallShield . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-05-19 23:09 27,965,984 --sha-w C:\WINDOWS\system32\drivers\fidbox.dat 2008-05-19 23:05 6,097,577 ----a-w C:\WINDOWS\Internet Logs\tvDebug.zip 2008-05-19 23:03 381,836 --sha-w C:\WINDOWS\system32\drivers\fidbox.idx 2008-05-16 15:00 1,826,304 ----a-w C:\WINDOWS\Internet Logs\xDBF.tmp 2008-05-14 11:10 1,819,648 ----a-w C:\WINDOWS\Internet Logs\xDBE.tmp 2008-05-09 23:48 1,062,912 ----a-w C:\WINDOWS\Internet Logs\xDBD.tmp 2008-05-02 13:52 --------- d-----w C:\Programme\Gemeinsame Dateien\Ahead 2008-04-20 14:25 --------- d--h--w C:\Programme\InstallShield Installation Information 2008-04-19 23:03 --------- d-----w C:\Dokumente und Einstellungen\****\Anwendungsdaten\Shareaza 2008-04-19 04:52 2,621,440 ----a-w C:\WINDOWS\Internet Logs\xDB2A7.tmp 2008-04-18 02:24 --------- d-----w C:\Programme\Gemeinsame Dateien\AVSMedia 2008-04-18 02:24 --------- d-----w C:\Programme\AVSMedia 2008-04-04 12:38 1,548,800 ----a-w C:\WINDOWS\Internet Logs\xDBC.tmp 2008-04-04 12:16 1,548,288 ----a-w C:\WINDOWS\Internet Logs\xDBB.tmp 2008-04-01 16:19 --------- d-----w C:\Programme\QuickTime 2008-03-29 07:45 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype 2008-03-29 07:25 --------- d-----w C:\Dokumente und Einstellungen\****\Anwendungsdaten\skypePM 2008-03-28 10:18 32 ----a-w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat 2008-03-27 07:31 --------- d-----w C:\Dokumente und Einstellungen\****\Anwendungsdaten\Image Zone Express 2008-03-23 16:25 98,304 ----a-w C:\WINDOWS\system32\CmdLineExt.dll 2008-03-21 07:00 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\nView_Profiles 2008-03-19 23:05 --------- d-----w C:\Programme\Mirage Interactive 2008-03-16 18:03 1,416,704 ----a-w C:\WINDOWS\Internet Logs\xDBA.tmp 2008-02-26 13:41 1,336,832 ----a-w C:\WINDOWS\Internet Logs\xDB9.tmp 2008-02-25 22:38 1,498,624 ----a-w C:\WINDOWS\Internet Logs\xDB7.tmp 2008-02-25 22:24 1,498,624 ----a-w C:\WINDOWS\Internet Logs\xDB8.tmp 2008-02-25 16:18 2,884,608 ----a-w C:\WINDOWS\Internet Logs\xDB5A5.tmp . (((((((((((((((((((((((((((( Autostart Punkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt. [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{221BBF54-3327-4548-9006-84385B1A5840}] [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{82B8E0B5-45F5-4779-966A-C474164F8F7F}] C:\WINDOWS\temlxopqgdk.dll [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{AECB328C-AD19-A18C-386F-35A24BB56081}] C:\WINDOWS\system\bfdtsc32.dll [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "ICQ"="D:\ICQ6\ICQ.exe" [2008-04-20 16:24 172280] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NWEReboot"="" [] "RegistryMechanic"="" [] "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-10-04 18:14 8491008] "ZoneAlarm Client"="C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" [2007-12-13 20:27 919016] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\vtUnmMde] vtUnmMde.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "LoadAppInit_DLLs"=1 (0x1) [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall] "DisableMonitoring"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "C:\\Programme\\IncrediMail\\bin\\ImApp.exe"= "C:\\Programme\\IncrediMail\\bin\\IncMail.exe"= "C:\\Programme\\IncrediMail\\bin\\ImpCnt.exe"= "D:\\ICQ6\\ICQ.exe"= S4 Microsoft P2P2 Service;Microsoft P2P2 Service;C:\WINDOWS\system32\_svchost.exe [] . Inhalt des "geplante Tasks" Ordners "2008-05-19 22:00:00 C:\WINDOWS\Tasks\HPpromotions journeysoftware.job" - C:\Programme\hp\digital imaging\bin\hp promotions\journeysoftware\HPpromo.exe . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by ****, ***://***.****.*** Rootkit scan 2008-05-20 01:08:05 Windows 5.1.2600 Service Pack 2 NTFS Scanne versteckte Prozesse... Scanne versteckte Autostart Eintr„ge... Scanne versteckte Dateien... Scan erfolgreich abgeschlossen versteckte Dateien: 0 ************************************************************************** . ------------------------ Other Running Processes ------------------------ . C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\system32\ZoneLabs\avsys\ScanningProcess.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\wdfmgr.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\Zone Labs\ZoneAlarm\MailFrontier\mantispm.exe . ************************************************************************** . Zeit der Fertigstellung: 2008-05-20 1:14:03 - machine was rebooted [****] ComboFix-quarantined-files.txt 2008-05-19 23:13:45 8 Verzeichnis(se), 484,585,472 Bytes frei 12 Verzeichnis(se), 478,298,112 Bytes frei 147 |
Dein System ist ne ziemlich Kloake. :pukeface: Willst Du wirklich bereinigen oder lieber gleich neu aufsetzen? Sach kurz Bescheid. Dir sei aber gesagt, daß die Bereinigung nicht unbedingt erfolgreich sein kann und die Möglichkeit besteht, Dein System vollends zu zerschießen. |
Naja neu aufsetzen ist schwierig bei mir.Was passiert denn unter umständen genau wenn ich ne bereinigung versuche?Und was ist mit den Datenträgern d: e: f:?Sind die auch betroffen? |
Zitat:
Beim neu aufsetzen reicht es, die Systempartition (Windowspartition C: bei dir) schnell zu formatieren. Die anderen müssen nicht formatiert werden, wäre zwar besser, aber es reicht auch, sämtliche auf den anderen Partitionen enthaltenen ausführbaren Dateien zu löschen. |
Na dann heisst es wohl neu aufsetzen.Bevor nix mehr geht. Herzlichen Dank für deine Hilfe,jetzt bin ich ein wenig schlauer. Aber eine Frage hätte ich da noch: Woher kommen solche "Schädlinge" und vor allem wie kommen die an meiner Firewall vorbei?Wieso reagiert Zonealarm nicht auf sowas? |
Zitat:
Besonders interessant für diese Frage ist Abschnitt 5.6. |
Warum kommt Malware an einer Personal-Firewall vorbei? Du bist sicher, du willst die Antwort hören (lesen)? Ganz sicher? 1.) Weil keine Personalfirewall, kein Antivirenprogramm perfekt ist und weil 2.) meist der Nutzer sowas herunterlädt. Nicht ZA ist dafür verantwortlich, der Nutzer wars (im Allgemeinen). Man darf sich NIE(!) blind auf AV-Programm oder gar Personal-Firewall verlassen. Egal ob als E-Mail oder als direkten Download, ZA ist zwar nicht perfekt, aber nicht die Ursache. Beachte auch Anleitung: Neuaufsetzen des Systems + Absicherung BEVOR du auf die weiteren Partitionen zugreifst, System absichern (inkl. AV-Programm updaten), dann die weiteren Partitionen scannen. Kein Fund ist zwar auch kein Beweis für die Sauberkeit (kein AV-Programm ist unfehlbar), aber zumindest ein Versuch. (Eventuell noch mit weiteren On-demand-Scannern durchsuchen) |
Zitat:
Zitat:
Zumindest rudimentäre Kenntnisse über Infektionswege- und strategien sind notwendig um sich halbwegs vernünftig schützen zu können. Bei bestimmten Szenarien ist man mehr oder minder machtlos (z.B. 0-Day Exploit), die Erfahrung zeigt aber, dass sich in den meisten Fällen der eigentliche Schädling ausserhalb des Rechners befindet. %ComSpec% Nachtrag: Es gibt doch immer wieder bestimmte Statements und/oder Fragen die einen kollektiven Antwortreflex ansprechen ;) |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:36 Uhr. |
Copyright ©2000-2025, Trojaner-Board