Trojaner-Board
Seite 1 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Alles rund um Windows (https://www.trojaner-board.de/alles-rund-um-windows/)
-   -   Goole Suchergebnisse leiten auf search.pro um (https://www.trojaner-board.de/92311-goole-suchergebnisse-leiten-search-pro-um.html)

spookee 29.10.2010 11:06
Goole Suchergebnisse leiten auf search.pro um
 
Habe das gleiche Problem wie:

http://www.trojaner-board.de/91788-g...en-weiter.html

Werde 'ab und zu' aber immer häufiger von Google Suchergebnissen über search.pro auf falsche Seiten weitergeleitet. Avira AntiVir und Lavasoft AdAware haben nichts geholfen.

Kann ich dem Thread folgen, oder muss mir individuell geholfen werden?

Ich weis die Datenbankversion von mbam ist nicht aktuell aber ein Update ist nicht möglich, Fehler:

Code:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4052

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

29.10.2010 11:19:13
mbam-log-2010-10-29 (11-19-13).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 209815
Laufzeit: 5 Minute(n), 40 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschl¸ssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 3
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bˆsartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bˆsartigen Objekte gefunden)

Infizierte Registrierungsschl¸ssel:
(Keine bˆsartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bˆsartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 93.188.162.247,93.188.160.57 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{438a033f-f9d6-4491-b05e-b2059039751b}\NameServer (Trojan.DNSChanger) -> Data: 93.188.162.247,93.188.160.57 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{a667833a-ab3e-44ea-980b-840440c31840}\NameServer (Trojan.DNSChanger) -> Data: 93.188.162.247,93.188.160.57 -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bˆsartigen Objekte gefunden)

Infizierte Dateien:
(Keine bˆsartigen Objekte gefunden)
Vielen Dank derweil ;)

Edit: Nach der Ausführung der ganzen Tools für die Logs lies sich mbam doch noch Updaten und brachte bei einem erneuten Scan aber keine Funde mehr.

cosinus 31.10.2010 13:59
Malwarebytes lässt sich auch manuell updaten => http://data.mbamupdates.com/tools/mbam-rules.exe

Mach mit aktuellen Signaturen erstmal einen Vollscan und poste das Log.

spookee 02.11.2010 12:10
Hier das Logfile, leider keine Ergebnisse, aber das Problem besteht weiterhin ;(

cosinus 02.11.2010 15:20
Zitat:
[2010.10.29 10:15:52 | 000,000,000 | --SD | C] -- C:\cofi

[2010.10.29 10:14:36 | 000,000,000 | ---D | C] -- C:\Qoobox
Warum führst Du auf eigene Faust Combofix auf? Das sollst Du erst auf Anweisung hin ausführen - so steht es jedenfalls überall hier dick und fett, unübersehbar! :balla:

Poste wengstens das Log von CF!

spookee 02.11.2010 15:42
cofi hat kein Log erstellt, wurde nicht bis zum Ende ausgeführt.

cosinus 02.11.2010 15:46
Ich brauch den Quarantäneordner von Combofix. Bitte folgendes machen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf da nicht rummurksen!
2.) Ordner C:\Qoobox in eine Datei zippen
3.) die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

spookee 02.11.2010 18:09
Soll ich ComboFix dazu Ausführen oder nicht?

Der Qoobox Ordner enthält im Moment nur eine Datei:

C:/Qoobox/Quarantine/catchme.log
Code:
-------- 2010-10-29 - 10:18:48  -------------

cosinus 02.11.2010 18:17
Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:
:OTL
O4 - HKLM..\Run: []  File not found
@Alternate Data Stream - 229 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:8FF81EB0
@Alternate Data Stream - 110 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:CB0AACC9
:Commands
[purity]
[resethosts]
[emptytemp]
Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

spookee 02.11.2010 18:25
Hier der Log vom OTL

Code:
All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:8FF81EB0 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:CB0AACC9 deleted successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: All Users
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 115389 bytes
 
User: ***
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: ***
->Temp folder emptied: 3389785 bytes
->Temporary Internet Files folder emptied: 32902 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 45912543 bytes
->Google Chrome cache emptied: 0 bytes
->Apple Safari cache emptied: 4976640 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 456 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Google Chrome cache emptied: 0 bytes
->Apple Safari cache emptied: 0 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Google Chrome cache emptied: 0 bytes
->Apple Safari cache emptied: 0 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: ***
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Google Chrome cache emptied: 0 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 1218350 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 16867 bytes
RecycleBin emptied: 61419719 bytes
 
Total Files Cleaned = 112,00 mb
 
 
OTL by OldTimer - Version 3.2.17.1 log created on 11022010_182115

Files\Folders moved on Reboot...
File\Folder C:\WINDOWS\System32\PerfStringBackup.TMP not found!
C:\WINDOWS\temp\Perflib_Perfdata_1e0.dat moved successfully.

Registry entries deleted on Reboot...

cosinus 02.11.2010 20:01
Ok, dann probier CF bitte jetzt noch mal ;)


ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.
http://saved.im/mtm0nzyzmzd5/cofi.jpg
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

spookee 04.11.2010 09:41
So lange Rede kurzer Sinn, hier das CF-Log ;)

Code:
ComboFix 10-11-02.06 - ***** 03.11.2010  18:15:43.1.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2814.2362 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\*****\Desktop\cofi.exe
AV: AntiVir Desktop *On-access scanning disabled* (Outdated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\404Fix.exe
c:\windows\system32\Agent.OMZ.Fix.exe
c:\windows\system32\drivers\FSC__PI__ESPRIMO EDITION P2530  __FUJITSU SIEMENS_D2740-A2__Version 6.00 R1.02.2740.A2_FSC - 60000_6.00 R1.02.2740.A2  __ATI Radeon HD 3400 Series .MRK
c:\windows\system32\dumphive.exe
c:\windows\system32\IEDFix.C.exe
c:\windows\system32\IEDFix.exe
c:\windows\system32\o4Patch.exe
c:\windows\system32\Process.exe
c:\windows\system32\spool\prtprocs\w32x86\sst1cpc.dll
c:\windows\system32\SrchSTS.exe
c:\windows\system32\tmp.reg
c:\windows\system32\VACFix.exe
c:\windows\system32\VCCLSID.exe
c:\windows\system32\WS2Fix.exe

Infizierte Kopie von c:\windows\system32\drivers\netbt.sys wurde gefunden und desinfiziert
Kopie von - Kitty had a snack :p wurde wiederhergestellt
.
(((((((((((((((((((((((  Dateien erstellt von 2010-10-03 bis 2010-11-03  ))))))))))))))))))))))))))))))
.

2010-11-03 14:37 . 2010-11-03 14:37        --------        d-----w-        c:\dokumente und einstellungen\LocalService\Startmenü
2010-11-02 17:21 . 2010-11-02 17:21        --------        d-----w-        C:\_OTL
2010-11-02 08:28 . 2010-11-02 08:28        95024        ----a-w-        c:\windows\system32\drivers\SBREDrv.sys
2010-10-29 10:08 . 2010-10-29 10:08        --------        d-----w-        c:\programme\CCleaner
2010-10-29 09:31 . 2010-10-29 09:31        --------        d-----w-        C:\spoolerlogs
2010-10-29 09:08 . 2010-10-29 09:08        --------        d-----w-        c:\programme\ERUNT
2010-10-29 08:09 . 2010-10-29 08:09        --------        d-----w-        c:\dokumente und einstellungen\*****\Anwendungsdaten\Malwarebytes
2010-10-29 07:40 . 2010-04-29 13:39        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys
2010-10-29 07:40 . 2010-10-29 08:09        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware
2010-10-29 07:40 . 2010-10-29 07:40        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-10-29 07:40 . 2010-04-29 13:39        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys
2010-10-28 10:41 . 2010-09-23 07:46        15880        ----a-w-        c:\windows\system32\lsdelete.exe
2010-10-28 07:33 . 2010-09-23 07:46        64288        ----a-w-        c:\windows\system32\drivers\Lbd.sys
2010-10-28 07:33 . 2010-10-28 07:33        --------        dc-h--w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{E961CE1B-C3EA-4882-9F67-F859B555D097}
2010-10-28 07:33 . 2010-10-28 07:35        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Lavasoft
2010-10-28 07:33 . 2010-10-28 07:33        --------        d-----w-        c:\programme\Lavasoft
2010-10-27 10:14 . 2010-10-27 10:14        --------        d-----w-        c:\dokumente und einstellungen\*****\Anwendungsdaten\Avira
2010-10-27 10:09 . 2010-11-03 14:34        60936        ----a-w-        c:\windows\system32\drivers\avgntflt.sys
2010-10-27 10:09 . 2010-11-03 14:34        126856        ----a-w-        c:\windows\system32\drivers\avipbb.sys
2010-10-27 10:09 . 2009-05-11 10:49        45416        ----a-w-        c:\windows\system32\drivers\avgntdd.sys
2010-10-27 10:09 . 2009-05-11 10:49        22360        ----a-w-        c:\windows\system32\drivers\avgntmgr.sys
2010-10-27 10:09 . 2010-10-27 10:09        --------        d-----w-        c:\programme\Avira
2010-10-27 10:09 . 2010-10-27 10:09        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2010-10-25 13:48 . 2010-10-25 13:48        --------        d-----w-        c:\dokumente und einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Apple
2010-10-21 09:41 . 2010-10-21 09:41        --------        d-----w-        c:\programme\JTL-Software
2010-10-15 08:41 . 2010-10-15 08:41        --------        d-----w-        c:\dokumente und einstellungen\*****\Anwendungsdaten\Mikogo
2010-10-13 12:03 . 2010-10-13 12:06        --------        d-----w-        c:\dokumente und einstellungen\*****\.nbi
2010-10-12 09:50 . 2010-10-12 09:50        --------        d-----w-        c:\programme\MyEasySoft
2010-10-05 13:14 . 2010-10-05 13:14        --------        d-----w-        c:\dokumente und einstellungen\*****\.gem
2010-10-05 07:28 . 2010-10-13 12:06        --------        d-----w-        c:\dokumente und einstellungen\*****\.netbeans-registration
2010-10-05 07:28 . 2010-10-13 12:51        --------        d-----w-        c:\dokumente und einstellungen\*****\.netbeans

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-18 10:22 . 2008-05-17 00:34        974848        ----a-w-        c:\windows\system32\mfc42u.dll
2010-09-18 06:52 . 2008-05-17 00:34        974848        ----a-w-        c:\windows\system32\mfc42.dll
2010-09-18 06:52 . 2008-05-17 00:34        954368        ----a-w-        c:\windows\system32\mfc40.dll
2010-09-18 06:52 . 2008-05-17 00:34        953856        ----a-w-        c:\windows\system32\mfc40u.dll
2010-09-10 05:47 . 2008-05-17 00:34        916480        ----a-w-        c:\windows\system32\wininet.dll
2010-09-10 05:47 . 2008-05-17 00:34        43520        ----a-w-        c:\windows\system32\licmgr10.dll
2010-09-10 05:47 . 2008-05-17 00:34        1469440        ----a-w-        c:\windows\system32\inetcpl.cpl
2010-09-08 09:17 . 2010-09-08 09:17        94208        ----a-w-        c:\windows\system32\QuickTimeVR.qtx
2010-09-08 09:17 . 2010-09-08 09:17        69632        ----a-w-        c:\windows\system32\QuickTime.qts
2010-09-01 11:50 . 2008-05-17 00:33        285824        ----a-w-        c:\windows\system32\atmfd.dll
2010-09-01 07:54 . 2008-05-17 00:34        1852928        ----a-w-        c:\windows\system32\win32k.sys
2010-08-27 08:01 . 2008-05-17 00:34        119808        ----a-w-        c:\windows\system32\t2embed.dll
2010-08-27 05:57 . 2008-05-17 00:34        99840        ----a-w-        c:\windows\system32\srvsvc.dll
2010-08-27 01:43 . 2008-05-05 05:25        5632        ----a-w-        c:\windows\system32\xpsp4res.dll
2010-08-26 13:39 . 2008-05-17 00:34        357248        ----a-w-        c:\windows\system32\drivers\srv.sys
2010-08-23 16:11 . 2008-05-17 00:33        617472        ----a-w-        c:\windows\system32\comctl32.dll
2010-08-17 13:17 . 2008-05-17 00:34        58880        ----a-w-        c:\windows\system32\spoolsv.exe
2010-08-16 08:44 . 2008-05-17 00:34        590848        ----a-w-        c:\windows\system32\rpcrt4.dll
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt1]
@="{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}]
2009-12-09 01:19        94208        ----a-w-        c:\dokumente und einstellungen\*****\Anwendungsdaten\Dropbox\bin\DropboxExt.13.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt2]
@="{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}]
2009-12-09 01:19        94208        ----a-w-        c:\dokumente und einstellungen\*****\Anwendungsdaten\Dropbox\bin\DropboxExt.13.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt3]
@="{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}]
2009-12-09 01:19        94208        ----a-w-        c:\dokumente und einstellungen\*****\Anwendungsdaten\Dropbox\bin\DropboxExt.13.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Skype"="c:\programme\Skype\Phone\Skype.exe" [2010-05-13 26192168]
"Mikogo"="c:\dokumente und einstellungen\*****\Anwendungsdaten\Mikogo\Mikogo-Host.exe" [2010-10-15 2748416]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-11-03 281768]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

c:\dokumente und einstellungen\*****\Startmen\Programme\Autostart\
allSnap.lnk - c:\programme\allsnap141_XP\allSnapW.exe [2009-3-4 102400]
Dropbox.lnk - c:\dokumente und einstellungen\*****\Anwendungsdaten\Dropbox\bin\Dropbox.exe [2010-2-26 21979992]
Taskmanager.lnk - c:\windows\system32\taskmgr.exe [2008-5-17 140800]

c:\dokumente und einstellungen\*****\Startmen\Programme\Autostart\
OpenOffice.org 3.1.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2009-8-18 384000]

c:\dokumente und einstellungen\*****\Startmen\Programme\Autostart\
OpenOffice.org 3.1.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2009-8-18 384000]

c:\dokumente und einstellungen\*****\Startmen\Programme\Autostart\
OpenOffice.org 3.1.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2009-8-18 384000]

c:\dokumente und einstellungen\*****\Startmen\Programme\Autostart\
OpenOffice.org 3.1.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2009-8-18 384000]

c:\dokumente und einstellungen\*****\Startmen\Programme\Autostart\
Dropbox.lnk - c:\dokumente und einstellungen\*****\Anwendungsdaten\Dropbox\bin\Dropbox.exe [2010-2-26 21979992]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
MultiMon Taskbar.lnk - c:\programme\MMTaskbar\MultiMon.exe [2009-3-4 294912]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]
@="Service"

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader Synchronizer.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk
backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^BTTray.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\BTTray.lnk
backup=c:\windows\pss\BTTray.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^*****^Startmenü^Programme^Autostart^OpenOffice.org 3.1.lnk]
path=c:\dokumente und einstellungen\*****\Startmenü\Programme\Autostart\OpenOffice.org 3.1.lnk
backup=c:\windows\pss\OpenOffice.org 3.1.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr]
2007-11-19 23:00        69632        ------w-        c:\windows\Alcmtr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FreePDF Assistant]
2008-07-22 21:44        357376        ----a-w-        c:\programme\FreePDF_XP\fpassist.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IntelliPoint]
2008-06-10 11:56        1406024        ----a-w-        c:\programme\Microsoft IntelliPoint\ipoint.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\itype]
2008-06-10 11:56        1442888        ----a-w-        c:\programme\Microsoft IntelliType Pro\itype.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2010-09-08 09:17        421888        ----a-w-        c:\programme\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RocketDock]
2007-09-02 11:58        495616        ----a-w-        c:\programme\RocketDock\RocketDock.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL]
2007-11-19 23:00        16858112        ------w-        c:\windows\RTHDCPL.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]
2009-02-03 21:21        61440        ----a-w-        c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"WMPNetworkSvc"=3 (0x3)
"ProtexisLicensing"=2 (0x2)
"ose"=3 (0x3)
"odserv"=3 (0x3)
"JavaQuickStarterService"=2 (0x2)
"idsvc"=3 (0x3)
"gusvc"=3 (0x3)
"gupdate"=2 (0x2)
"FLEXnet Licensing Service"=3 (0x3)
"B-Service"=3 (0x3)
"ATI Smart"=2 (0x2)
"Ati HotKey Poller"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\twain_32\\Samsung\\ScanMgr.exe"=
"c:\\Programme\\eclipse\\eclipse.exe"=
"c:\\Programme\\WinSCP\\WinSCP.exe"=
"c:\\Programme\\Notepad++\\notepad++.exe"=
"c:\\Dokumente und Einstellungen\\*****\\temp\\TeamViewer\\Version4\\TeamViewer.exe"=
"c:\\WINDOWS\\system32\\ftp.exe"=
"c:\\Programme\\TeamViewer\\Version4\\TeamViewer.exe"=
"c:\\WINDOWS\\system32\\usmt\\migwiz.exe"=
"\\\\fileserver\\*****\\eclipse\\eclipse.exe"=
"\\\\fileserver\\*****\\ms\\org\\Apraxa\\Psylock\\PAS-3.3-OutOfTheBox\\jre6u16\\bin\\java.exe"=
"c:\\Programme\\Opera\\opera.exe"=
"c:\\cygwin\\bin\\XWin.exe"=
"\\\\fileserver\\*****\\xampp\\mysql\\bin\\mysqld.exe"=
"\\\\fileserver\\*****\\xampp\\apache\\bin\\httpd.exe"=
"c:\\Programme\\Google\\Google Earth\\client\\googleearth.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Dokumente und Einstellungen\\*****\\Anwendungsdaten\\Dropbox\\bin\\Dropbox.exe"=
"c:\\Programme\\Pidgin\\pidgin.exe"=
"c:\\Dokumente und Einstellungen\\*****\\Anwendungsdaten\\Dropbox\\bin\\Dropbox.exe"=
"c:\\Programme\\NetBeans 6.8\\bin\\netbeans.exe"=
"c:\\Programme\\MyEasySoft\\VMInvoice\\VMInvoice.exe"=
"d:\\NetBeans 6.9.1\\bin\\netbeans.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"2799:UDP"= 2799:UDP:Altova License Metering Port (UDP)
"2799:TCP"= 2799:TCP:Altova License Metering Port (TCP)
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R0 Lbd;Lbd;c:\windows\system32\drivers\Lbd.sys [28.10.2010 08:33 64288]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [27.10.2010 11:09 135336]
R2 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;c:\programme\Lavasoft\Ad-Aware\AAWService.exe [23.09.2010 08:46 1357464]
R3 Lavasoft Kernexplorer;Lavasoft helper driver;c:\programme\Lavasoft\Ad-Aware\kernexplorer.sys [23.09.2010 08:46 15008]
S2 SSPORT;SSPORT;\??\c:\windows\system32\Drivers\SSPORT.sys --> c:\windows\system32\Drivers\SSPORT.sys [?]
S3 Abpnfvt0suae;Abpnfvt0suae;c:\windows\system32\dfrgfat.exe [17.05.2008 01:33 82944]
S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [06.11.2007 21:22 34064]
S4 B-Service;B-Service;c:\dokumente und einstellungen\*****\Anwendungsdaten\Mikogo\B-Service.exe [06.07.2009 15:41 185640]
S4 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [22.06.2010 11:09 136176]
S4 MSSQL$JTLWAWI;SQL Server (JTLWAWI);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [27.05.2009 02:27 29262680]
S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [16.01.2009 14:51 717296]
.
Inhalt des "geplante Tasks" Ordners

2010-11-03 c:\windows\Tasks\Ad-Aware Update (Weekly).job
- c:\programme\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2010-09-23 08:28]

2010-10-25 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34]

2010-11-03 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-06-22 10:09]

2010-11-03 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-06-22 10:09]

2010-11-03 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2678009058-298112325-3087479907-3010Core.job
- c:\dokumente und einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2009-07-06 14:17]

2010-11-03 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2678009058-298112325-3087479907-3010UA.job
- c:\dokumente und einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2009-07-06 14:17]

2010-11-03 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2678009058-298112325-3087479907-3028Core.job
- c:\dokumente und einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2009-11-27 10:13]

2010-11-03 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2678009058-298112325-3087479907-3028UA.job
- c:\dokumente und einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2009-11-27 10:13]

2009-01-12 c:\windows\Tasks\Microsoft_Hardware_Launch_IPoint_exe.job
- c:\programme\Microsoft IntelliPoint\ipoint.exe [2008-06-10 11:56]

2009-01-12 c:\windows\Tasks\Microsoft_Hardware_Launch_IType_exe.job
- c:\programme\Microsoft IntelliType Pro\itype.exe [2008-06-10 11:56]
.
.
------- Zusätzlicher Suchlauf -------
.
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: An vorhandenes PDF anfügen - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Auswahl in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Auswahl in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Senden an &Bluetooth-Gerät... - c:\programme\ANYCOM\Bluetooth-USB\btsendto_ie_ctx.htm
IE: Senden an Bluetooth - c:\programme\ANYCOM\Bluetooth-USB\btsendto_ie.htm
IE: Verknüpfungsziel in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
FF - ProfilePath - c:\dokumente und einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\y5bs4iiu.default\
FF - prefs.js: browser.startup.homepage - hxxp://projekte.webstollen.de/index.php?c=access&a=index
FF - component: c:\dokumente und einstellungen\*****\Anwendungsdaten\Mozilla\Firefox\Profiles\y5bs4iiu.default\extensions\{6AC85730-7D0F-4de0-B3FA-21142DD85326}\platform\WINNT\components\ColorZilla.dll
FF - plugin: c:\programme\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\Google\Picasa3\npPicasa3.dll
FF - plugin: c:\programme\Google\Update\1.2.183.39\npGoogleOneClick8.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npdeployJava1.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npFoxitReaderPlugin.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--fiqz9s", true); // Traditional
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--fiqs8s", true); // Simplified
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--j6w193g", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4a87g", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbqly7c0a67fbc", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbqly7cvafr", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--kpry57d", true);  // Traditional
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--kprw13d", true);  // Simplified
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

AddRemove-Any Video Converter_is1 - t:\film\Converter\Any Video Converter\unins000.exe
AddRemove-Free Convert MOV AVI to FLV Flash WMV Converter_is1 - t:\film\Converter\Free Convert MOV AVI to FLV Flash WMV Converter\unins000.exe
AddRemove-KLiteCodecPack_is1 - t:\film\Converter\K-Lite Codec Pack\unins000.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-11-03 18:32
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(772)
c:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2010-11-03  18:35:25
ComboFix-quarantined-files.txt  2010-11-03 17:35

Vor Suchlauf: 9.692.184.576 Bytes frei
Nach Suchlauf: 15 Verzeichnis(se), 10.183.696.384 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

- - End Of File - - F88477F424D4E4389F0F466155C381BD

cosinus 04.11.2010 19:08
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.


Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
  • Doppelklick auf die MBRCheck.exe.
    Vista und Win7 User mit Rechtsklick "als Administrator starten"
  • Das Tool braucht nur eine Sekunde.
  • Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.
Poste mir bitte den Inhalt des .txt Dokumentes

spookee 11.11.2010 17:07
Sorry hat a bissl gedaeuert hier die Log-Files,

Wie seiht das aus wir haben noch einen Rechner im Büro mit dem gleichen Problem, kann ich da analog vorgehen?

mfg

cosinus 11.11.2010 22:42
GMER ging nicht?

Zitat:
Wie seiht das aus wir haben noch einen Rechner im Büro mit dem gleichen Problem, kann ich da analog vorgehen?
Was ist denn mit Eurer EDV-Abteilung? Die sind für deine Bürorechner zuständig.

spookee 11.11.2010 23:21
lol ;) Ich bin die EDV Abteilung ;) naja sind im Moment 3 Leute im Büro ^^
Ich hab die Rechner aber nicht aufgesetzt.
Der andere Rechner gehöhrt auch nicht unserer Firma...

Für GMER war leider keine Zeit, kann denn Rechner wärend der Arbeit nicht Stundenlang laufen lassen ohne daran zu arbeiten ;)

mfg


Alle Zeitangaben in WEZ +1. Es ist jetzt 06:17 Uhr.
Seite 1 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2024, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28