![]() |
Registries Löschen unter Windows XP Hallo TB Com! Ich benutze regelmäßig den CCleaner, welcher unter anderem auch fehlerhafte oder unbenutzte registry-Einträge löscht. Nun gibt es Registries die überhaupt keine Einträge aufweisen! Weder keys, noch Strings noch Binaries :confused: http://img710.imageshack.us/img710/8...egwinxpsp3.jpg CCleaner löscht diese nicht. Darf ich sie Manuell löschen ohne Bedenken zu haben? Ich bin meines Erarchtens nach "clean" MbaM und Kaspersky beschweren sich nicht, und der Computer spinnt auch nicht rum.. wer klärt mich auf? :) €: Vielleicht sind es ja Reste von frühreren Reinigungsaktionen? Bin hier ja schonmal mit einem Trojaner angetanzt.. der natürlich weg ist (Großes Lob an TB!) |
Die Einträge sehen schon fast nach Malwareeinträgen aus. hast du schon mal Malwarebytes ausgeführt? Wenn ja ALLE Logs posten. |
Hier die beiden letzten vollständigen Suchläufe. Habe noch den ein oder anderen Quick-Scan dazwischen aber ich denke das ist nicht so dein Geschmack? ;) Sonst hätte ich auch noch die Logs von 2010 |
Wenn du magst postest du auch die ganze alten. Bitte bei vielen Logs alle in eine ZIP-Datei packen und diese hier anhängen. |
Jap, liebend gern, bin nur am falschen PC.. morgen sollten sie da sein :) Eins noch -> nur die vollständigen Scans oder auch Quick? |
ALLE Logs!! Alle Logs in eine ZIP-Datei packen und die ZIP-Datei hier anhängen. |
Aye aye, bis morgen dann! |
Hier alle Scans die ich behalten hab. |
Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
|
Sorry für den Bump. Aber mein Inet spinnt in letzter Zeit ein wenig. Ich versuche demnächst die Logfile bei irgendjemand anderem zu posten. Bis dahin ahoi, wollte es dich nur mal wissen lassen.. |
Hier die Logfile. Ich weiß sie ist "alt", aber ich habe seitdem nichts mehr an meinem Pc rumgewerkt. |
Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code: :OTL Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. |
Anbei die Logfile vom OTL Fix. Jetzt darf ich mir wahrscheinlich wieder mit CF mein Alkohol 120 zerschiessen, was? :lach: Ich wart mal lieber auf den Rat eines Kompetenzlers. :> |
Was heißt CF zerschießt es? Aus welcher Quelle stammt dein Alcohol? :pfeiff: |
Mein Alkohol ist aus legaler Quelle ;) Ich wünschte ich könnts beweisen.. aber wir hatten diesen Fall ja schonmal. Alkohol findet die Einschnittsstelle nicht, oder so. Irgendeine Meldung halt :> Du kannst das in meinem anderen Thread nachlesen ;) |
Dann bitte jetzt CF ausführen: :D ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
http://saved.im/mtm0nzyzmzd5/cofi.jpg
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Na fein - wenn das mal gut geht :stirn: Task finished. Ist alles gut gelaufen, sogar Alkohol lebt noch. Kommt jetzt wieder das mit dem MBR Code? :> MBR Code detected Was auch immer, hier die Logfile |
Du ahnst fast richtig ;) Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html |
Sodele, eine verdächtige Datei bei den drivern.. :0 handelt sich wohl um den Treiber zur Erstellung virtueller Laufwerke (Alk) Log: |
Zitat:
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
|
Achso und CF hat mein Hamachi gekillt. Aber halb so wild ->reinstall. Zitat:
Zitat:
Zitat:
Und ich weiß ja nichts von alledem, aber meine Logs sehen nicht gerade vertrauenserweckend aus.. GMER und Osam. MBR kommt sofort. |
MBR Log: MBRCheck, version 1.2.3 (c) 2010, AD Command-line: Windows Version: Windows XP Professional Windows Information: Service Pack 3 (build 2600) Logical Drives Mask: 0x0200001c Kernel Drivers (total 122): 0x804D7000 \WINDOWS\system32\ntkrnlpa.exe 0x806E5000 \WINDOWS\system32\hal.dll 0xB85A8000 \WINDOWS\system32\KDCOM.DLL 0xB84B8000 \WINDOWS\system32\BOOTVID.dll 0xB7EA6000 spiu.sys 0xB85AA000 \WINDOWS\System32\Drivers\WMILIB.SYS 0xB7E8E000 \WINDOWS\System32\Drivers\SCSIPORT.SYS 0xB7E5F000 ACPI.sys 0xB7E4E000 pci.sys 0xB80A8000 isapnp.sys 0xB8670000 pciide.sys 0xB8328000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS 0xB80B8000 MountMgr.sys 0xB7E2F000 ftdisk.sys 0xB85AC000 dmload.sys 0xB7E09000 dmio.sys 0xB8330000 PartMgr.sys 0xB8671000 amdide.sys 0xB80C8000 VolSnap.sys 0xB7DF1000 atapi.sys 0xB80D8000 disk.sys 0xB80E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS 0xB7DD1000 fltMgr.sys 0xB7DBF000 sr.sys 0xB80F8000 klbg.sys 0xB8108000 PxHelp20.sys 0xB7DA8000 KSecDD.sys 0xB7D1B000 Ntfs.sys 0xB7CEE000 NDIS.sys 0xB7CD4000 Mup.sys 0xB77B4000 kl1.sys 0xB8338000 \WINDOWS\system32\drivers\TDI.SYS 0xB81E8000 \SystemRoot\system32\DRIVERS\AmdPPM.sys 0xB240F000 \SystemRoot\system32\DRIVERS\nv4_mini.sys 0xB23FB000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS 0xB81F8000 \SystemRoot\system32\DRIVERS\imapi.sys 0xB8208000 \SystemRoot\system32\DRIVERS\cdrom.sys 0xB8218000 \SystemRoot\system32\DRIVERS\redbook.sys 0xB23B5000 \SystemRoot\system32\DRIVERS\ks.sys 0xB8380000 \SystemRoot\system32\DRIVERS\usbohci.sys 0xB2391000 \SystemRoot\system32\DRIVERS\USBPORT.SYS 0xB8388000 \SystemRoot\system32\DRIVERS\usbehci.sys 0xB2369000 \SystemRoot\system32\DRIVERS\HDAudBus.sys 0xB8228000 \SystemRoot\system32\DRIVERS\serial.sys 0xB854C000 \SystemRoot\system32\DRIVERS\serenum.sys 0xB8238000 \SystemRoot\system32\DRIVERS\i8042prt.sys 0xB8390000 \SystemRoot\system32\DRIVERS\kbdclass.sys 0xB2332000 \SystemRoot\System32\Drivers\a065j63e.SYS 0xB8564000 \SystemRoot\system32\DRIVERS\wmiacpi.sys 0xB8268000 \SystemRoot\system32\DRIVERS\klim5.sys 0xB8683000 \SystemRoot\system32\DRIVERS\audstub.sys 0xB8278000 \SystemRoot\system32\DRIVERS\rasl2tp.sys 0xB856C000 \SystemRoot\system32\DRIVERS\ndistapi.sys 0xB231B000 \SystemRoot\system32\DRIVERS\ndiswan.sys 0xB8288000 \SystemRoot\system32\DRIVERS\raspppoe.sys 0xB8298000 \SystemRoot\system32\DRIVERS\raspptp.sys 0xB230A000 \SystemRoot\system32\DRIVERS\psched.sys 0xB82A8000 \SystemRoot\system32\DRIVERS\msgpc.sys 0xB83F8000 \SystemRoot\system32\DRIVERS\ptilink.sys 0xB8400000 \SystemRoot\system32\DRIVERS\raspti.sys 0xB8408000 \SystemRoot\system32\DRIVERS\hamachi.sys 0xB223A000 \SystemRoot\system32\DRIVERS\rdpdr.sys 0xB82B8000 \SystemRoot\system32\DRIVERS\termdd.sys 0xB8410000 \SystemRoot\system32\DRIVERS\mouclass.sys 0xB85F8000 \SystemRoot\system32\DRIVERS\swenum.sys 0xB21DC000 \SystemRoot\system32\DRIVERS\update.sys 0xB8580000 \SystemRoot\system32\DRIVERS\mssmbios.sys 0xB82C8000 \SystemRoot\System32\Drivers\NDProxy.SYS 0xB82F8000 \SystemRoot\system32\DRIVERS\usbhub.sys 0xB8600000 \SystemRoot\system32\DRIVERS\USBD.SYS 0xAFAD7000 \SystemRoot\system32\drivers\RtkHDAud.sys 0xAFAB3000 \SystemRoot\system32\drivers\portcls.sys 0xB8308000 \SystemRoot\system32\drivers\drmk.sys 0xAFA3D000 \SystemRoot\system32\DRIVERS\klif.sys 0xB8608000 \SystemRoot\System32\Drivers\Fs_Rec.SYS 0xB871A000 \SystemRoot\System32\Drivers\Null.SYS 0xB860A000 \SystemRoot\System32\Drivers\Beep.SYS 0xB8470000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS 0xB8478000 \SystemRoot\System32\drivers\vga.sys 0xB860C000 \SystemRoot\System32\Drivers\mnmdd.SYS 0xB860E000 \SystemRoot\System32\DRIVERS\RDPCDD.sys 0xB8490000 \SystemRoot\System32\Drivers\Msfs.SYS 0xB8480000 \SystemRoot\System32\Drivers\Npfs.SYS 0xB21B8000 \SystemRoot\system32\DRIVERS\rasacd.sys 0xAFA0A000 \SystemRoot\system32\DRIVERS\ipsec.sys 0xAF989000 \SystemRoot\system32\DRIVERS\tcpip.sys 0xAF961000 \SystemRoot\system32\DRIVERS\netbt.sys 0xAF93B000 \SystemRoot\system32\DRIVERS\ipnat.sys 0xAF919000 \SystemRoot\System32\drivers\afd.sys 0xB8158000 \SystemRoot\system32\DRIVERS\netbios.sys 0xAF8EE000 \SystemRoot\system32\DRIVERS\rdbss.sys 0xAF856000 \SystemRoot\system32\DRIVERS\mrxsmb.sys 0xB8148000 \SystemRoot\System32\Drivers\Fips.SYS 0xB8178000 \SystemRoot\System32\Drivers\Cdfs.SYS 0xAFAAF000 \SystemRoot\system32\DRIVERS\hidusb.sys 0xB81B8000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS 0xAFAAB000 \SystemRoot\system32\DRIVERS\mouhid.sys 0xB81C8000 \SystemRoot\system32\DRIVERS\klmouflt.sys 0xAF83E000 \SystemRoot\System32\Drivers\dump_atapi.sys 0xB8614000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS 0xBF800000 \SystemRoot\System32\win32k.sys 0xAFA97000 \SystemRoot\System32\drivers\Dxapi.sys 0xB8498000 \SystemRoot\System32\watchdog.sys 0xB8248000 \SystemRoot\system32\DRIVERS\wanarp.sys 0xBD000000 \SystemRoot\System32\drivers\dxg.sys 0xB8771000 \SystemRoot\System32\drivers\dxgthk.sys 0xBD012000 \SystemRoot\System32\nv4_disp.dll 0xBFFA0000 \SystemRoot\System32\ATMFD.DLL 0xAF3F8000 \SystemRoot\system32\DRIVERS\nwlnkipx.sys 0xAF4AE000 \SystemRoot\system32\DRIVERS\nwlnknb.sys 0xAF476000 \SystemRoot\system32\DRIVERS\ndisuio.sys 0xAF786000 \SystemRoot\system32\DRIVERS\nwlnkspx.sys 0xAF163000 \SystemRoot\system32\drivers\wdmaud.sys 0xAF2A0000 \SystemRoot\system32\drivers\sysaudio.sys 0xAEFD0000 \SystemRoot\system32\DRIVERS\mrxdav.sys 0xAEEB6000 \SystemRoot\system32\DRIVERS\srv.sys 0xAEE48000 \??\C:\Programme\Sandboxie\SbieDrv.sys 0xAEA1F000 \SystemRoot\System32\Drivers\HTTP.sys 0xAE82F000 \??\C:\DOKUME~1\User\LOKALE~1\Temp\uwdiipow.sys 0xAE80C000 \SystemRoot\system32\DRIVERS\Rtenicxp.sys 0x7C910000 \WINDOWS\system32\ntdll.dll 0x10000000 \Alkohol 120%\Alcohol 120\Alcoholx.dll Processes (total 28): 0 System Idle Process 4 System 764 C:\WINDOWS\system32\smss.exe 1060 csrss.exe 1128 C:\WINDOWS\system32\winlogon.exe 1172 C:\WINDOWS\system32\services.exe 1184 C:\WINDOWS\system32\lsass.exe 1364 C:\WINDOWS\system32\nvsvc32.exe 1404 C:\WINDOWS\system32\svchost.exe 1492 svchost.exe 1948 C:\WINDOWS\system32\svchost.exe 220 svchost.exe 424 svchost.exe 664 C:\WINDOWS\system32\spoolsv.exe 1556 C:\WINDOWS\explorer.exe 1608 C:\WINDOWS\RTHDCPL.EXE 1656 C:\WINDOWS\system32\rundll32.exe 1696 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe 1968 C:\Programme\Java\jre6\bin\jqs.exe 184 C:\Programme\Sandboxie\SbieSvc.exe 140 C:\WINDOWS\system32\svchost.exe 268 wdfmgr.exe 2440 C:\WINDOWS\system32\wscntfy.exe 2564 C:\WINDOWS\system32\wbem\wmiapsrv.exe 3052 alg.exe 2664 C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe 3528 C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe 3704 C:\Dokumente und Einstellungen\User\Desktop\MBRCheck.exe \\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS) \\.\Z: --> \\.\PhysicalDrive0 at offset 0x00000018`69e59800 (NTFS) PhysicalDrive0 Model Number: ST3320418AS, Rev: CC38 Size Device Name MBR Status -------------------------------------------- 298 GB \\.\PhysicalDrive0 Windows XP MBR code detected SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11 Done! Für Gmer und Osam siehe vorherigen Post. |
Nur mal kurz zwischenrede, dann bin ich wieder weg: OS: Windows XP Professional Service Pack 3 (Build 2600) Default Browser: Microsoft Corporation Internet Explorer 6.00.2900.5512 IE6 geht eigentlich garnicht mehr, Standard unter XP SP3 sollte schon der IE8 sein. LG Felix |
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! |
Zitat:
Das Programm hat schon recht, mein IE ist der angegebene. |
Zitat:
Besuche MS bezüglich notwendiger Updates. LG Der Felix |
@felix1 Hm, ich habe die mir empfohlenen Sicherheitsupdates ausgeführt, aber ich habe keine Lust dass MS Upgrades macht, die im Prinzip nur "Downgrades" sind. Das merkt man ja manchmal bei Interfaces von manchen Programmen: Hauptsache die Grafik wird schöner, aber bloß keine übersichtliche Benutzeroberfläche :twak:. Keine Ahnung, meint ihr ich sollte die Automatischen Updates angeschaltet haben? Logs: |
Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde. |
Gesagt, getan. Jetzt weiß ich auch wieder was das war. Ich wollte mit Freunden so richtig nostalgisch ROMs editieren.. dazu haben wir uns über irgendeine Seite einen entsprechenden Editor runtergeladen... alles Sandboxxed betrieben. Irgendwann hatten wir kein Lust mehr und habens gelöscht. Scheint sich dann wohl in der SysVolInfo eingeschlichen zu haben. Vielleicht den Sektor nochmal mit SAS scannen? |
Nö, da waren eigentlich nur Überreste in der SWH. Sind jetzt noch Probleme offen oder gabs weitere Funde? |
Nein, alles im Lot hier. Jetzt bin ich wohl wieder zu 99,99% clean :rolleyes: Wenns das war dann muss ich mal wieder danke sagen! |
Dann wären wir durch! :abklatsch: Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink: Mozilla und andere Browser => http://filepony.de/?q=Flash+Player Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es. |
Coole Sache :zurückabklatsch: Ich benutze ja bereits den SumatraPDF, den Adobe Reader besitze ich garnicht mehr. Eigentlich habe ich von Adobe nur den Flash Player Installiert, der aktualisiert sich "von selbst" Java ist up to date. Und übrigens, dieser Link den du beim Thread "wie analysiere ich OTL Logs" (hatetepe://www.smokey-services.eu/forums/index.php/topic,68252.0.html) gepostet hast, der ist ja Gold wert :grins: Sonst wünsche ich dir noch viel Durchhaltevermögen hier! :rolleyes: |
Zitat:
|
Der aus wo was? Nein, ich bin Softwehr, der interessierte User der merkt dass ihr zu viele Azubis habt! :schnüff: Woanders bin ich nicht aktiv.. Naja ich schau ehh erst in ~1 Jahr hier vorbei um eine Ausbildung zu machen. Und du scheinst es ja faustdick hinter den Ohren zu haben.. ich sehe deine Vorlagen auf vielen Seiten :) |
Na, ich hab den Link nicht gepostet. Das war mein Nachbar nochdigger aus Hamburg. Andreas = nochddiger = http://upload.wikimedia.org/wikipedi...mburg.svg.png] Arne = cosinus = http://upload.wikimedia.org/wikipedi...tel%29.svg.png :) Aus dem Buch: "Hamburg ist das Tor zur Welt, aber nur die Bremer haben den Schlüssel :D" |
Es ist mir eine Ehre! Hamburg und Bremen, da wohnt ihr ja garnicht soooo weit weg. Wegen dem Link: Da schein ich nicht aufgepasst zu haben.. Und um dem ganzen gerecht zu werden: Softwehr = Niko = http://upload.wikimedia.org/wikipedi...tfalia.svg.png Screw anonymity! |
Ein letztes Mal noch.. das ist also totaler Mumpitz hier? http://img638.imageshack.us/img638/9897/reghum.jpg |
Das sieht nach verwaisten Einträgen bzw Müll aus. Sichere diese drei Schlüssel und lösch sie aus der Registry. Eigentlich empfehlen wir keinen Registry-Cleaner, aber du könntest mal mit dem CCleaner die Registry analysieren und dir somit mülligen Einträgen auf die Spur kommen. Falls du unbedingt alles fixen lassen willst, mach unbedingt ein Backup der Registry VORHER!! |
Ich habe den Cleaner schon oft vorher drüberlaufen lassen (Ups) und sie wurden nicht gelöscht. Nicht weil der Cleaner nicht konnte, sondern weil er sie nicht als Müll betrachtet. Dalassen wäre auch nicht schlimm, denn die Registries stören mich nicht im geringsten. (Solange sie mein OS nicht zerschrotten. Ausserdem sind sämtliche Registryeinträge dieser "Random-Art" leer. |
Alle Zeitangaben in WEZ +1. Es ist jetzt 13:29 Uhr. |
Copyright ©2000-2025, Trojaner-Board