Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   GMER: ntkrnlpa.exe!ZwSaveKey + 13D1, ntkrnlpa.exe!KiDispatchInterrupt + 5A2, MBR ist OK (https://www.trojaner-board.de/103101-gmer-ntkrnlpa-exe-zwsavekey-13d1-ntkrnlpa-exe-kidispatchinterrupt-5a2-mbr-ok.html)

shh 02.09.2011 00:28
GMER: ntkrnlpa.exe!ZwSaveKey + 13D1, ntkrnlpa.exe!KiDispatchInterrupt + 5A2, MBR ist OK
 
Hallo!
ich habe ein Problem mit dem Entseuchen eines Rechners. Andere Trojaner und Rootkits konnte ich mittels GMER/Rkill/Malwarebyte'sAnti-MalMare schon bereinigen, hier beiße ich mir aber die Zähne aus.
System: Windows 7 32bit
Problem:
- MBR ist i.O.
- Virenscanner zeigen nichts (zu richten) an
- Rkill zeigt nichts (weiteres zu killen) an
- Malwarebyte'sAnti-MalMare zeigt nichts (zu richten) an
- GMER erkennt keinen Rootkit. Aber erkennt unter "Sections" Verbiegungen, die, wenn ich Recode ausführe, zum Absturz führen (-> MEMORY_ERROR o.ä.)
- ESET Online Scanner bekommt per Internet keine updates

Mittlerweile habe ich den SPTD-Treiber 1.78 von Deamon-Tools entfernt/deinstalliert, trotzdem sind noch versteckte(?) Registry-Einträge im sptd-services-Zweig. Jetzt weiß ich aber nicht, ob das (einfach "nur") ein Sekundärproblem ist. Möglicherweise war das das Einfallstor.
Jedenfalls läuft hier etwas, was alle neuen Programme hooked, die gestartet werden - was man mit einem GMER(Sections)-Scan recht leicht sieht.
Bitte um Hilfe! :)
LOGS: (Benutzername -> *USERNAME*)
catchme bringt folgendes:
Code:
disk not found C:\
detected NTDLL code modification:
ZwEnumerateKey 0 != 116, ZwQueryKey 0 != 244, ZwOpenKey 0 != 182, ZwClose 0 != 50, ZwEnumerateValueKey 0 != 119, ZwQueryValueKey 0 != 266, ZwOpenFile 0 != 179, ZwQueryDirectoryFile 0 != 223, ZwQuerySystemInformation 0 != 261Initialization error
GMER:
Code:
GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2011-09-02 01:44:41
Windows 6.1.7601 Service Pack 1
Running: j9nc21vb.exe; Driver: C:\Users\*USERNAME*\AppData\Local\Temp\pwlirpog.sys


---- Kernel code sections - GMER 1.0.15 ----

.text  ntkrnlpa.exe!ZwSaveKey + 13D1            82A86349 1 Byte  [06]
.text  ntkrnlpa.exe!KiDispatchInterrupt + 5A2    82ABFD52 19 Bytes  [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}
.text  C:\Windows\system32\DRIVERS\atikmdag.sys  section is writeable [0x90E01000, 0x227A14, 0xE8000020]
.text  peauth.sys                                95353C9D 28 Bytes  JMP BAC16E34
.text  peauth.sys                                95353CC1 28 Bytes  JMP BAC16E58
PAGE  spsys.sys!?SPRevision@@3PADA + 4F90      978D8000 290 Bytes  [8B, FF, 55, 8B, EC, 33, C0, ...]
PAGE  spsys.sys!?SPRevision@@3PADA + 50B3      978D8123 629 Bytes  [35, 8D, 97, FE, 05, 34, 35, ...]
PAGE  spsys.sys!?SPRevision@@3PADA + 5329      978D8399 101 Bytes  [6A, 28, 59, A5, 5E, C6, 03, ...]
PAGE  spsys.sys!?SPRevision@@3PADA + 538F      978D83FF 148 Bytes  [18, 5D, C2, 14, 00, 8B, FF, ...]
PAGE  spsys.sys!?SPRevision@@3PADA + 543B      978D84AB 2228 Bytes  [8B, FF, 55, 8B, EC, FF, 75, ...]
PAGE  ...                   
                 
---- EOF - GMER 1.0.15 ----
OTL offline scan
Code:
OTLOTL logfile created on: 9/2/2011 1:34:09 AM - Run
OTLPE by OldTimer - Version 3.1.48.0    Folder = X:\Programs\OTLPE
Windows 7 Ultimate Service Pack 1 (Version = 6.1.7601) - Type = System
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3.00 Gb Total Physical Memory | 3.00 Gb Available Physical Memory | 91.00% Memory free
3.00 Gb Paging File | 3.00 Gb Available in Paging File | 98.00% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = D: | %SystemRoot% = D:\Windows | %ProgramFiles% = D:\Program Files
Drive C: | 100.00 Mb Total Space | 75.48 Mb Free Space | 75.48% Space Free | Partition Type: NTFS
Drive D: | 74.43 Gb Total Space | 45.00 Gb Free Space | 60.47% Space Free | Partition Type: NTFS
Drive E: | 7.46 Gb Total Space | 1.02 Gb Free Space | 13.61% Space Free | Partition Type: NTFS
Drive X: | 436.59 Mb Total Space | 0.00 Mb Free Space | 0.00% Space Free | Partition Type: CDFS
Drive Z: | 1790.47 Gb Total Space | 42.85 Gb Free Space | 2.39% Space Free | Partition Type: NTFS
 
Computer Name: REATOGO | User Name: SYSTEM
Boot Mode: Normal | Scan Mode: All users | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
Using ControlSet: ControlSet001
 
========== Win32 Services (SafeList) ==========
 
SRV - [2011/06/19 16:35:24 | 000,655,624 | ---- | M] (Acresso Software Inc.) [On_Demand] -- D:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe -- (FLEXnet Licensing Service)
SRV - [2011/06/06 06:55:28 | 000,064,952 | ---- | M] (Adobe Systems Incorporated) [Auto] -- D:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe -- (AdobeARMservice)
SRV - [2009/07/13 21:16:13 | 000,025,088 | ---- | M] (Microsoft Corporation) [On_Demand] -- D:\Windows\System32\sensrsvc.dll -- (SensrSvc)
SRV - [2009/07/13 21:16:12 | 001,004,544 | ---- | M] (Microsoft Corporation) [On_Demand] -- D:\Windows\System32\PeerDistSvc.dll -- (PeerDistSvc)
SRV - [2009/07/13 21:15:41 | 000,680,960 | ---- | M] (Microsoft Corporation) [Auto] -- D:\Program Files\Windows Defender\MpSvc.dll -- (WinDefend)
 
 
========== Driver Services (SafeList) ==========
 
DRV - File not found [Kernel | On_Demand] --  -- (VGPU)
DRV - File not found [Kernel | System] --  -- (MpKslbcb21994)
DRV - File not found [Kernel | System] --  -- (MpKslb0e0a44c)
DRV - File not found [Kernel | System] --  -- (MpKslab995045)
DRV - File not found [Kernel | System] --  -- (MpKsl760ca118)
DRV - File not found [Kernel | System] --  -- (MpKsl069b7191)
DRV - File not found [Kernel | On_Demand] --  -- (catchme)
DRV - [2010/11/20 17:29:34 | 000,015,872 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\rdpvideominiport.sys -- (RdpVideoMiniport)
DRV - [2010/11/20 17:29:24 | 000,052,224 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\TsUsbFlt.sys -- (TsUsbFlt)
DRV - [2010/11/20 17:29:03 | 000,175,360 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\vmbus.sys -- (vmbus)
DRV - [2010/11/20 17:29:03 | 000,112,640 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\tsusbhub.sys -- (tsusbhub)
DRV - [2010/11/20 17:29:03 | 000,077,184 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\Synth3dVsc.sys -- (Synth3dVsc)
DRV - [2010/11/20 17:29:03 | 000,062,464 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\dmvsc.sys -- (dmvsc)
DRV - [2010/11/20 17:29:03 | 000,040,704 | ---- | M] (Microsoft Corporation) [Kernel | Boot] -- D:\Windows\System32\drivers\vmstorfl.sys -- (storflt)
DRV - [2010/11/20 17:29:03 | 000,035,968 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\winusb.sys -- (WinUsb)
DRV - [2010/11/20 17:29:03 | 000,028,032 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\storvsc.sys -- (storvsc)
DRV - [2010/11/20 17:29:03 | 000,027,264 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\TsUsbGD.sys -- (TsUsbGD)
DRV - [2010/11/20 17:29:03 | 000,025,600 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\terminpt.sys -- (terminpt)
DRV - [2010/11/20 17:29:03 | 000,017,920 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\VMBusHID.sys -- (VMBusHID)
DRV - [2010/11/20 17:29:03 | 000,005,632 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\vms3cap.sys -- (s3cap)
DRV - [2009/08/22 23:06:38 | 000,048,640 | ---- | M] (Atheros Communications, Inc.) [Kernel | On_Demand] -- D:\Windows\System32\drivers\L1E62x86.sys -- (L1E)
DRV - [2009/07/13 18:09:17 | 004,194,816 | ---- | M] (ATI Technologies Inc.) [Kernel | On_Demand] -- D:\Windows\System32\drivers\atikmdag.sys -- (atikmdag)
DRV - [2004/08/13 03:56:20 | 000,005,810 | ---- | M] () [Kernel | On_Demand] -- D:\Windows\System32\drivers\ASACPI.sys -- (MTsensor)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
 
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
 
 
 
IE - HKU\*USERNAME*_ON_D\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://start.facemoods.com/?a=ddrnw
IE - HKU\*USERNAME*_ON_D\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de-DE
IE - HKU\*USERNAME*_ON_D\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 89 EF 14 23 EA F5 CB 01  [binary data]
IE - HKU\*USERNAME*_ON_D\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.search.defaultenginename: "Facemoods Search"
FF - prefs.js..browser.search.selectedEngine: "Google"
FF - prefs.js..browser.search.useDBForOrder: true
FF - prefs.js..browser.startup.homepage: "hxxp://www.google.de/"
 
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: D:\Windows\System32\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: D:\Program Files\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@pandonetworks.com/PandoWebPlugin:  File not found
FF - HKLM\Software\MozillaPlugins\Adobe Reader: D:\Program Files\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 6.0.1\extensions\\Components: C:\Program Files\Mozilla Firefox\components [2011/09/01 17:35:46 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 6.0.1\extensions\\Plugins: C:\Program Files\Mozilla Firefox\plugins
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 6.0.1\extensions\\Components: C:\Program Files\Mozilla Thunderbird\components [2011/08/19 04:26:51 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 6.0.1\extensions\\Plugins: C:\Program Files\Mozilla Thunderbird\plugins
 
[2011/04/08 08:18:07 | 000,000,000 | ---D | M] (No name found) -- D:\Users\*USERNAME*\AppData\Roaming\Mozilla\Extensions
[2010/09/19 09:09:26 | 000,000,000 | ---D | M] (No name found) -- D:\Users\*USERNAME*\AppData\Roaming\Mozilla\Extensions\{3550f703-e582-4d05-9a08-453d09bdfdc6}
[2011/07/03 02:46:09 | 000,000,000 | ---D | M] (No name found) -- D:\Users\*USERNAME*\AppData\Roaming\Mozilla\Firefox\Profiles\c8mwc1au.default\extensions
[2011/06/08 06:28:30 | 000,000,000 | ---D | M] (No name found) -- D:\Program Files\Mozilla Firefox\extensions
[2011/06/08 06:28:30 | 000,000,000 | ---D | M] (Java Console) -- D:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}
File not found (No name found) --
() (No name found) -- D:\USERS\*USERNAME*\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\C8MWC1AU.DEFAULT\EXTENSIONS\{D10D0BF8-F5B5-C8B4-A8B2-2B9879E08C5D}.XPI
[2011/09/01 17:35:46 | 000,134,104 | ---- | M] (Mozilla Foundation) -- D:\Program Files\mozilla firefox\components\browsercomps.dll
[2010/01/01 04:00:00 | 000,001,392 | ---- | M] () -- D:\Program Files\mozilla firefox\searchplugins\amazondotcom-de.xml
[2010/01/01 04:00:00 | 000,002,252 | ---- | M] () -- D:\Program Files\mozilla firefox\searchplugins\bing.xml
[2010/01/01 04:00:00 | 000,001,153 | ---- | M] () -- D:\Program Files\mozilla firefox\searchplugins\eBay-de.xml
[2011/06/08 06:21:16 | 000,002,048 | ---- | M] () -- D:\Program Files\mozilla firefox\searchplugins\fcmdSrch.xml
[2010/01/01 04:00:00 | 000,006,805 | ---- | M] () -- D:\Program Files\mozilla firefox\searchplugins\leo_ende_de.xml
[2010/01/01 04:00:00 | 000,001,178 | ---- | M] () -- D:\Program Files\mozilla firefox\searchplugins\wikipedia-de.xml
[2010/01/01 04:00:00 | 000,001,105 | ---- | M] () -- D:\Program Files\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2009/06/10 17:39:37 | 000,000,824 | ---- | M]) - D:\Windows\System32\drivers\etc\hosts
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O7 - HKU\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKU\LocalService_ON_D\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKU\NetworkService_ON_D\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKU\systemprofile_ON_D\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKU\*USERNAME*_ON_D\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKU\*USERNAME*_ON_D\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.1.1
O20 - HKLM Winlogon: Shell - (Explorer.exe) - D:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - D:\Windows\System32\SystemPropertiesPerformance.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (/pagefile) -  File not found
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009/06/10 17:42:20 | 000,000,024 | ---- | M] () - D:\autoexec.bat -- [ NTFS ]
O32 - AutoRun File - [2011/05/08 07:37:52 | 000,000,100 | ---- | M] () - E:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2006/03/24 07:06:41 | 000,000,053 | R--- | M] () - X:\AUTORUN.INF -- [ CDFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2011/09/01 17:17:42 | 000,000,000 | ---D | C] -- D:\Program Files\ESET
[2011/09/01 17:17:28 | 002,322,184 | ---- | C] (ESET) -- D:\Users\*USERNAME*\Desktop\esetsmartinstaller_enu.exe
[2011/09/01 17:12:43 | 000,041,272 | ---- | C] (Malwarebytes Corporation) -- D:\Windows\System32\drivers\mbamswissarmy.sys
[2011/09/01 17:12:43 | 000,000,000 | ---D | C] -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\Malwarebytes' Anti-Malware
[2011/09/01 17:12:43 | 000,000,000 | ---D | C] -- D:\ProgramData\Malwarebytes
[2011/09/01 17:12:40 | 000,022,712 | ---- | C] (Malwarebytes Corporation) -- D:\Windows\System32\drivers\mbam.sys
[2011/09/01 11:35:58 | 161,627,216 | ---- | C] (Kaspersky Lab) -- D:\Users\*USERNAME*\Desktop\kav12.0.0.374de_de.exe
[2011/09/01 11:03:39 | 000,000,000 | ---D | C] -- D:\a
[2011/09/01 11:01:05 | 003,065,008 | ---- | C] (Safer Networking Limited) -- D:\Users\*USERNAME*\Desktop\RootAlyzer.exe
[2011/09/01 10:42:55 | 000,000,000 | ---D | C] -- D:\Windows\temp
[2011/09/01 10:42:37 | 000,000,000 | -HSD | C] -- D:\$RECYCLE.BIN
[2011/09/01 10:36:13 | 000,518,144 | ---- | C] (SteelWerX) -- D:\Windows\SWREG.exe
[2011/09/01 10:36:13 | 000,406,528 | ---- | C] (SteelWerX) -- D:\Windows\SWSC.exe
[2011/09/01 10:36:13 | 000,060,416 | ---- | C] (NirSoft) -- D:\Windows\NIRCMD.exe
[2011/09/01 10:36:10 | 000,000,000 | ---D | C] -- D:\Windows\ERDNT
[2011/09/01 10:36:08 | 000,000,000 | ---D | C] -- D:\Qoobox
[2011/09/01 07:36:22 | 000,000,000 | ---D | C] -- D:\avz4
[2011/09/01 06:57:54 | 000,581,120 | ---- | C] (OldTimer Tools) -- D:\Users\*USERNAME*\Desktop\OTL.exe
[2011/09/01 06:03:17 | 000,000,000 | ---D | C] -- D:\Windows\Minidump
[2011/09/01 05:57:46 | 000,000,000 | ---D | C] -- D:\Users\*USERNAME*\Desktop\!SECURITY
[2011/09/01 05:15:00 | 000,000,000 | ---D | C] -- D:\Program Files\CCleaner
[2011/09/01 04:55:05 | 000,000,000 | ---D | C] -- D:\Users\*USERNAME*\AppData\Roaming\Malwarebytes
[2011/09/01 04:54:58 | 000,000,000 | ---D | C] -- D:\Program Files\Malwarebytes' Anti-Malware
[2011/08/23 11:04:23 | 000,000,000 | ---D | C] -- D:\Users\*USERNAME*\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Games
[2011/08/23 11:00:38 | 000,139,264 | ---- | C] (Blizzard Entertainment) -- D:\Windows\War3Unin.exe
[2011/08/23 11:00:38 | 000,000,000 | ---D | C] -- D:\Users\*USERNAME*\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Warcraft III
[2011/08/23 11:00:38 | 000,000,000 | ---D | C] -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\Warcraft III
[2011/08/23 10:57:28 | 000,000,000 | ---D | C] -- D:\Spiele
[2011/08/19 05:02:30 | 000,000,000 | ---D | C] -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator
[2011/08/19 05:02:26 | 000,000,000 | ---D | C] -- D:\Program Files\PDFCreator
[1 D:\*.tmp files -> D:\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2011/09/01 18:00:12 | 000,067,584 | --S- | M] () -- D:\Windows\bootstat.dat
[2011/09/01 18:00:08 | 000,021,248 | -H-- | M] () -- D:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
[2011/09/01 18:00:08 | 000,021,248 | -H-- | M] () -- D:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2011/09/01 17:36:06 | 000,653,928 | ---- | M] () -- D:\Windows\System32\perfh007.dat
[2011/09/01 17:36:06 | 000,615,810 | ---- | M] () -- D:\Windows\System32\perfh009.dat
[2011/09/01 17:36:06 | 000,129,800 | ---- | M] () -- D:\Windows\System32\perfc007.dat
[2011/09/01 17:36:06 | 000,106,190 | ---- | M] () -- D:\Windows\System32\perfc009.dat
[2011/09/01 17:31:26 | 169,750,471 | ---- | M] () -- D:\Windows\MEMORY.DMP
[2011/09/01 17:17:30 | 002,322,184 | ---- | M] (ESET) -- D:\Users\*USERNAME*\Desktop\esetsmartinstaller_enu.exe
[2011/09/01 17:12:43 | 000,000,000 | ---D | M] -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\Malwarebytes' Anti-Malware
[2011/09/01 11:55:22 | 000,017,408 | ---- | M] () -- D:\Users\*USERNAME*\AppData\Local\WebpageIcons.db
[2011/09/01 11:40:50 | 000,001,912 | ---- | M] () -- D:\Windows\epplauncher.mif
[2011/09/01 11:37:29 | 161,627,216 | ---- | M] (Kaspersky Lab) -- D:\Users\*USERNAME*\Desktop\kav12.0.0.374de_de.exe
[2011/09/01 11:29:02 | 036,999,324 | ---- | M] () -- D:\Users\*USERNAME*\Desktop\old.reg
[2011/09/01 06:57:58 | 000,050,477 | ---- | M] () -- D:\Users\*USERNAME*\Desktop\Defogger.exe
[2011/09/01 06:57:54 | 000,581,120 | ---- | M] (OldTimer Tools) -- D:\Users\*USERNAME*\Desktop\OTL.exe
[2011/09/01 06:19:02 | 000,000,000 | ---- | M] () -- D:\Users\*USERNAME*\Desktop\j9nc21vb.bat
[2011/09/01 05:56:07 | 000,302,592 | ---- | M] () -- D:\Users\*USERNAME*\Desktop\j9nc21vb.exe
[2011/09/01 05:50:19 | 000,298,040 | ---- | M] () -- D:\Windows\System32\FNTCACHE.DAT
[2011/09/01 04:51:02 | 000,012,967 | ---- | M] () -- D:\Users\*USERNAME*\Desktop\RechnungBücher.odt
[2011/09/01 03:58:52 | 000,002,066 | ---- | M] () -- D:\Users\*USERNAME*\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mozilla Thunderbird.lnk
[2011/08/26 07:01:48 | 000,183,952 | ---- | M] () -- D:\Users\*USERNAME*\Desktop\Lieferschein.26.08.2011_1252-1.pdf
[2011/08/23 11:12:42 | 000,001,643 | ---- | M] () -- D:\Users\*USERNAME*\Desktop\Warcraft III.lnk
[2011/08/23 11:09:54 | 000,050,643 | ---- | M] () -- D:\Windows\War3Unin.dat
[2011/08/23 11:09:54 | 000,001,650 | ---- | M] () -- D:\Users\*USERNAME*\Desktop\Frozen Throne.lnk
[2011/08/23 11:09:52 | 000,139,264 | ---- | M] (Blizzard Entertainment) -- D:\Windows\War3Unin.exe
[2011/08/23 11:09:52 | 000,002,829 | ---- | M] () -- D:\Windows\War3Unin.pif
[2011/08/23 11:09:52 | 000,000,000 | ---D | M] -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\Warcraft III
[2011/08/19 05:02:31 | 000,000,000 | ---D | M] -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator
[1 D:\*.tmp files -> D:\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2011/09/01 11:55:19 | 000,017,408 | ---- | C] () -- D:\Users\*USERNAME*\AppData\Local\WebpageIcons.db
[2011/09/01 11:29:01 | 036,999,324 | ---- | C] () -- D:\Users\*USERNAME*\Desktop\old.reg
[2011/09/01 10:36:13 | 000,256,000 | ---- | C] () -- D:\Windows\PEV.exe
[2011/09/01 10:36:13 | 000,208,896 | ---- | C] () -- D:\Windows\MBR.exe
[2011/09/01 10:36:13 | 000,098,816 | ---- | C] () -- D:\Windows\sed.exe
[2011/09/01 10:36:13 | 000,080,412 | ---- | C] () -- D:\Windows\grep.exe
[2011/09/01 10:36:13 | 000,068,096 | ---- | C] () -- D:\Windows\zip.exe
[2011/09/01 06:58:00 | 000,050,477 | ---- | C] () -- D:\Users\*USERNAME*\Desktop\Defogger.exe
[2011/09/01 06:19:02 | 000,000,000 | ---- | C] () -- D:\Users\*USERNAME*\Desktop\j9nc21vb.bat
[2011/09/01 06:03:13 | 169,750,471 | ---- | C] () -- D:\Windows\MEMORY.DMP
[2011/09/01 05:56:11 | 000,302,592 | ---- | C] () -- D:\Users\*USERNAME*\Desktop\j9nc21vb.exe
[2011/09/01 05:50:02 | 000,298,040 | ---- | C] () -- D:\Windows\System32\FNTCACHE.DAT
[2011/09/01 04:51:00 | 000,012,967 | ---- | C] () -- D:\Users\*USERNAME*\Desktop\RechnungBücher.odt
[2011/08/26 07:01:48 | 000,183,952 | ---- | C] () -- D:\Users\*USERNAME*\Desktop\Lieferschein.26.08.2011_1252-1.pdf
[2011/08/23 11:09:54 | 000,001,650 | ---- | C] () -- D:\Users\*USERNAME*\Desktop\Frozen Throne.lnk
[2011/08/23 11:02:18 | 000,001,643 | ---- | C] () -- D:\Users\*USERNAME*\Desktop\Warcraft III.lnk
[2011/08/23 11:00:38 | 000,050,643 | ---- | C] () -- D:\Windows\War3Unin.dat
[2011/08/23 11:00:38 | 000,002,829 | ---- | C] () -- D:\Windows\War3Unin.pif
[2011/08/19 05:02:27 | 000,116,224 | ---- | C] () -- D:\Windows\System32\pdfcmnnt.dll
[2011/08/13 13:05:19 | 000,065,024 | ---- | C] () -- D:\Windows\System32\jsproxy.dll
[2011/04/08 08:23:00 | 000,080,896 | ---- | C] () -- D:\Windows\System32\ff_vfw.dll
[2011/04/08 07:38:47 | 000,000,000 | ---- | C] () -- D:\Windows\ativpsrm.bin
[2011/04/08 07:38:47 | 000,000,000 | ---- | C] () -- D:\Windows\System32\atiicdxx.dat
[2010/11/20 20:46:14 | 000,653,928 | ---- | C] () -- D:\Windows\System32\perfh007.dat
[2010/11/20 20:46:14 | 000,295,922 | ---- | C] () -- D:\Windows\System32\perfi007.dat
[2010/11/20 20:46:14 | 000,129,800 | ---- | C] () -- D:\Windows\System32\perfc007.dat
[2010/11/20 20:46:14 | 000,038,104 | ---- | C] () -- D:\Windows\System32\perfd007.dat
[2010/11/20 17:29:34 | 000,080,896 | ---- | C] () -- D:\Windows\System32\RDVGHelper.exe
[2010/11/20 17:29:26 | 000,066,048 | ---- | C] () -- D:\Windows\System32\PrintBrmUi.exe
[2010/11/20 17:29:24 | 000,252,928 | ---- | C] () -- D:\Windows\System32\DShowRdpFilter.dll
[2009/07/14 00:57:37 | 000,067,584 | --S- | C] () -- D:\Windows\bootstat.dat
[2009/07/13 22:05:48 | 000,615,810 | ---- | C] () -- D:\Windows\System32\perfh009.dat
[2009/07/13 22:05:48 | 000,291,294 | ---- | C] () -- D:\Windows\System32\perfi009.dat
[2009/07/13 22:05:48 | 000,106,190 | ---- | C] () -- D:\Windows\System32\perfc009.dat
[2009/07/13 22:05:48 | 000,031,548 | ---- | C] () -- D:\Windows\System32\perfd009.dat
[2009/07/13 22:05:05 | 000,000,741 | ---- | C] () -- D:\Windows\System32\NOISE.DAT
[2009/07/13 22:04:11 | 000,215,943 | ---- | C] () -- D:\Windows\System32\dssec.dat
[2009/07/13 19:55:01 | 000,043,131 | ---- | C] () -- D:\Windows\mib.bin
[2009/07/13 19:51:43 | 000,073,728 | ---- | C] () -- D:\Windows\System32\BthpanContextHandler.dll
[2009/07/13 19:42:10 | 000,064,000 | ---- | C] () -- D:\Windows\System32\BWContextHandler.dll
[2009/06/10 17:26:10 | 000,673,088 | ---- | C] () -- D:\Windows\System32\mlang.dat
[2004/08/13 03:56:20 | 000,005,810 | ---- | C] () -- D:\Windows\System32\drivers\ASACPI.sys
 
========== LOP Check ==========
 
[2011/04/08 07:42:58 | 000,000,000 | -HSD | M] -- D:\ProgramData\Anwendungsdaten
[2009/07/14 00:53:55 | 000,000,000 | -HSD | M] -- D:\ProgramData\Application Data
[2011/06/19 16:43:04 | 000,000,000 | ---D | M] -- D:\ProgramData\DAEMON Tools Lite
[2009/07/14 00:53:55 | 000,000,000 | -HSD | M] -- D:\ProgramData\Desktop
[2009/07/14 00:53:55 | 000,000,000 | -HSD | M] -- D:\ProgramData\Documents
[2011/04/08 07:42:58 | 000,000,000 | -HSD | M] -- D:\ProgramData\Dokumente
[2011/04/08 07:42:58 | 000,000,000 | -HSD | M] -- D:\ProgramData\Favoriten
[2009/07/14 00:53:55 | 000,000,000 | -HSD | M] -- D:\ProgramData\Favorites
[2011/08/28 18:02:34 | 000,000,000 | ---D | M] -- D:\ProgramData\Rosetta Stone
[2009/07/14 00:53:55 | 000,000,000 | -HSD | M] -- D:\ProgramData\Start Menu
[2011/04/08 07:42:58 | 000,000,000 | -HSD | M] -- D:\ProgramData\Startmenü
[2009/07/14 00:53:55 | 000,000,000 | -HSD | M] -- D:\ProgramData\Templates
[2011/04/08 07:42:58 | 000,000,000 | -HSD | M] -- D:\ProgramData\Vorlagen
[2011/08/31 03:27:07 | 000,032,634 | ---- | M] () -- D:\Windows\Tasks\SCHEDLGU.TXT
 
========== Purity Check ==========
 
 
< End of report >

kira 02.09.2011 06:00
Hallo und Herzlich Willkommen! :)

Bevor wir unsere Zusammenarbeit beginnen, [Bitte Vollständig lesen]:
Zitat:
  • "Fernbehandlungen/Fernhilfe" und die damit verbundenen Haftungsrisken:
    - da die Fehlerprüfung und Handlung werden über große Entfernungen durchgeführt, besteht keine Haftung unsererseits für die daraus entstehenden Folgen.
    - also, jede Haftung für die daraus entstandene Schäden wird ausgeschlossen, ANWEISUNGEN UND DEREN BEFOLGUNG, ERFOLGT AUF DEINE EIGENE VERANTWORTUNG!
  • Charakteristische Merkmale/Profilinformationen:
    - aus der verwendeten Loglisten oder Logdateien - wie z.B. deinen Realnamen, Seriennummer in Programm etc)- kannst Du herauslöschen oder durch [X] ersetzen
  • Die Systemprüfung und Bereinigung:
    - kann einige Zeit in Anspruch nehmen (je nach Art der Infektion), kann aber sogar so stark kompromittiert sein, so dass eine wirkungsvolle technische Säuberung ist nicht mehr möglich bzw Du es neu installieren musst
  • Ich empfehle Dir die Anweisungen erst einmal komplett durchzulesen, bevor du es anwendest, weil wenn du etwas falsch machst, kann es wirklich gefährlich werden. Wenn du meinen Anweisungen Schritt für Schritt folgst, kann eigentlich nichts schief gehen.
  • Innerhalb der Betreuungszeit:
    - ohne Abspräche bitte nicht auf eigene Faust handeln!- bei Problemen nachfragen.
  • Die Reihenfolge:
    - genau so wie beschrieben bitte einhalten, nicht selbst die Reihenfolge wählen!
  • GECRACKTE SOFTWARE werden hier nicht geduldet!!!!
  • Ansonsten unsere Forumsregeln:
    - Bitte erst lesen, dann posten!-> Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?
  • Alle Logfile mit einem vBCode Tag eingefügen, das bietet hier eine gute Übersicht, erleichtert mir die Arbeit! Falls das Logfile zu groß, teile es in mehrere Teile auf.

Sobald Du diesen Einführungstext gelesen hast, kannst Du beginnen:)
Für Vista und Win7:
Wichtig: Alle Befehle bitte als Administrator ausführen! rechte Maustaste auf die Eingabeaufforderung und "als Administrator ausführen" auswählen
Auf der angewählten Anwendung einen Rechtsklick (rechte Maustaste) und "Als Administrator ausführen" wählen!

1.
Systemscan mit OTL - wenn Du normal starten kannst (also im normalen Modus arbeiten), bitte nicht mit OTLPE arbeiten!

Sondern lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
  • Doppelklick auf die OTL.exe
  • Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
  • Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
  • Unter Extra Registry, wähle bitte Use SafeList
  • Klicke nun auf Run Scan links oben
  • Wenn der Scan beendet wurde werden 2 Logfiles erstellt - OTL.txt und Extras.txt
  • Poste die Logfiles in Code-Tags hier in den Thread.

3.
Ich würde gerne noch all deine installierten Programme sehen:
Lade dir das Tool Ccleaner herunter
→ Download
installieren (Software-Lizenzvereinbarung lesen, falls angeboten wird "Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ falls nötig - unter Options settings-> "german" einstellen
dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

Zitat:
Damit dein Thread übersichtlicher und schön lesbar bleibt, am besten nutze den Code-Tags für deinen Post:
→ vor dein Log schreibst Du (also am Anfang des Logfiles):[code]
hier kommt dein Logfile rein - z.B hjtsanlist o. sonstiges
→ dahinter - also am Ende der Logdatei: [/code]
** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw
gruß
kira

shh 02.09.2011 12:34
Virenscanner (MS Security Essentials) habe ich temp ausgeschaltet.
Mit GMER hab ich ja gestern wie gesagt versucht, die Pointer von ntkrnlpa.exe zu "Recode"n, was nach ein paar Sekunden mit einem Bluescreen quittiert wurde.

1. Systemscan mit OTL:
OTL.Txt
Code:
OTL logfile created on: 02.09.2011 13:42:34 - Run 3
OTL by OldTimer - Version 3.2.27.0    Folder = C:\Users\***\Desktop
 Ultimate Edition Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,25 Gb Total Physical Memory | 2,30 Gb Available Physical Memory | 70,64% Memory free
6,50 Gb Paging File | 5,43 Gb Available in Paging File | 83,62% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 74,43 Gb Total Space | 45,04 Gb Free Space | 60,51% Space Free | Partition Type: NTFS
Drive D: | 436,59 Mb Total Space | 0,00 Mb Free Space | 0,00% Space Free | Partition Type: CDFS
Drive F: | 7,46 Gb Total Space | 1,01 Gb Free Space | 13,55% Space Free | Partition Type: NTFS
 
Computer Name: ***-PC | User Name: *** | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
PRC - C:\Users\***\Desktop\OTL.exe (OldTimer Tools)
PRC - C:\Programme\Microsoft Security Client\msseces.exe (Microsoft Corporation)
PRC - C:\Programme\Common Files\Adobe\ARM\1.0\armsvc.exe (Adobe Systems Incorporated)
PRC - c:\Programme\Microsoft Security Client\Antimalware\MsMpEng.exe (Microsoft Corporation)
PRC - C:\Windows\explorer.exe (Microsoft Corporation)
PRC - C:\Programme\Windows Media Player\wmpnetwk.exe (Microsoft Corporation)
PRC - C:\Windows\System32\taskhost.exe (Microsoft Corporation)
 
 
========== Modules (No Company Name) ==========
 
MOD - C:\Programme\Mozilla Firefox\mozjs.dll ()
MOD - C:\Programme\Notepad++\NppShell_04.dll ()
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (FLEXnet Licensing Service) -- C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe (Acresso Software Inc.)
SRV - (AdobeARMservice) -- C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe (Adobe Systems Incorporated)
SRV - (NisSrv) -- c:\Program Files\Microsoft Security Client\Antimalware\NisSrv.exe (Microsoft Corporation)
SRV - (MsMpSvc) -- c:\Program Files\Microsoft Security Client\Antimalware\MsMpEng.exe (Microsoft Corporation)
SRV - (SensrSvc) -- C:\Windows\System32\sensrsvc.dll (Microsoft Corporation)
SRV - (PeerDistSvc) -- C:\Windows\System32\PeerDistSvc.dll (Microsoft Corporation)
SRV - (WinDefend) -- C:\Programme\Windows Defender\MpSvc.dll (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (MpKsld994fd8c) -- c:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{E422077F-18E6-4DA1-953C-0FCEA2033C71}\MpKsld994fd8c.sys (Microsoft Corporation)
DRV - (NisDrv) -- C:\Windows\System32\drivers\NisDrvWFP.sys (Microsoft Corporation)
DRV - (MpNWMon) -- C:\Windows\System32\drivers\MpNWMon.sys (Microsoft Corporation)
DRV - (RdpVideoMiniport) -- C:\Windows\System32\drivers\rdpvideominiport.sys (Microsoft Corporation)
DRV - (TsUsbFlt) -- C:\Windows\System32\drivers\TsUsbFlt.sys (Microsoft Corporation)
DRV - (vmbus) -- C:\Windows\system32\drivers\vmbus.sys (Microsoft Corporation)
DRV - (tsusbhub) -- C:\Windows\System32\drivers\tsusbhub.sys (Microsoft Corporation)
DRV - (Synth3dVsc) -- C:\Windows\System32\drivers\Synth3dVsc.sys (Microsoft Corporation)
DRV - (dmvsc) -- C:\Windows\system32\drivers\dmvsc.sys (Microsoft Corporation)
DRV - (storflt) -- C:\Windows\system32\drivers\vmstorfl.sys (Microsoft Corporation)
DRV - (WinUsb) -- C:\Windows\System32\drivers\winusb.sys (Microsoft Corporation)
DRV - (storvsc) -- C:\Windows\system32\drivers\storvsc.sys (Microsoft Corporation)
DRV - (TsUsbGD) -- C:\Windows\system32\drivers\TsUsbGD.sys (Microsoft Corporation)
DRV - (terminpt) -- C:\Windows\system32\drivers\terminpt.sys (Microsoft Corporation)
DRV - (VMBusHID) -- C:\Windows\system32\drivers\VMBusHID.sys (Microsoft Corporation)
DRV - (s3cap) -- C:\Windows\system32\drivers\vms3cap.sys (Microsoft Corporation)
DRV - (L1E) -- C:\Windows\System32\drivers\L1E62x86.sys (Atheros Communications, Inc.)
DRV - (atikmdag) -- C:\Windows\System32\drivers\atikmdag.sys (ATI Technologies Inc.)
DRV - (MTsensor) -- C:\Windows\System32\drivers\ASACPI.sys ()
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://start.facemoods.com/?a=ddrnw
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de-DE
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 89 EF 14 23 EA F5 CB 01  [binary data]
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.search.defaultenginename: "Facemoods Search"
FF - prefs.js..browser.search.selectedEngine: "Google"
FF - prefs.js..browser.search.useDBForOrder: true
FF - prefs.js..browser.startup.homepage: "hxxp://www.google.de/"
 
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Program Files\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@pandonetworks.com/PandoWebPlugin: C:\Program Files\Pando Networks\Media Booster\npPandoWebPlugin.dll File not found
FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Program Files\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 6.0.1\extensions\\Components: C:\Program Files\Mozilla Firefox\components [2011.09.01 23:35:46 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 6.0.1\extensions\\Plugins: C:\Program Files\Mozilla Firefox\plugins
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 6.0.1\extensions\\Components: C:\Program Files\Mozilla Thunderbird\components [2011.08.19 10:26:51 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 6.0.1\extensions\\Plugins: C:\Program Files\Mozilla Thunderbird\plugins
 
[2011.04.08 14:18:07 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Extensions
[2010.09.19 15:09:26 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Extensions\{3550f703-e582-4d05-9a08-453d09bdfdc6}
[2011.07.03 08:46:09 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Firefox\Profiles\c8mwc1au.default\extensions
[2011.06.08 12:28:30 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2011.06.08 12:28:30 | 000,000,000 | ---D | M] (Java Console) -- C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}
() (No name found) -- C:\USERS\***\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\C8MWC1AU.DEFAULT\EXTENSIONS\{D10D0BF8-F5B5-C8B4-A8B2-2B9879E08C5D}.XPI
[2011.09.01 23:35:46 | 000,134,104 | ---- | M] (Mozilla Foundation) -- C:\Program Files\mozilla firefox\components\browsercomps.dll
[2010.01.01 10:00:00 | 000,001,392 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\amazondotcom-de.xml
[2010.01.01 10:00:00 | 000,002,252 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\bing.xml
[2010.01.01 10:00:00 | 000,001,153 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\eBay-de.xml
[2011.06.08 12:21:16 | 000,002,048 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\fcmdSrch.xml
[2010.01.01 10:00:00 | 000,006,805 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\leo_ende_de.xml
[2010.01.01 10:00:00 | 000,001,178 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\wikipedia-de.xml
[2010.01.01 10:00:00 | 000,001,105 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2009.06.10 23:39:37 | 000,000,824 | ---- | M]) - C:\Windows\System32\drivers\etc\hosts
O4 - HKLM..\Run: [MSC] c:\Program Files\Microsoft Security Client\msseces.exe (Microsoft Corporation)
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{C90C2500-4EF9-43EA-85F2-8E2ED55576F0}: DhcpNameServer = 192.168.1.1
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\System32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - C:\Windows\System32\SystemPropertiesPerformance.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (/pagefile) -  File not found
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
O32 - AutoRun File - [2006.03.24 13:06:41 | 000,000,053 | R--- | M] () - D:\AUTORUN.INF -- [ CDFS ]
O32 - AutoRun File - [2011.05.08 13:37:52 | 000,000,100 | ---- | M] () - F:\autorun.inf -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2011.09.02 13:24:54 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HashCalc
[2011.09.02 13:24:54 | 000,000,000 | ---D | C] -- C:\Program Files\HashCalc
[2011.09.02 13:22:13 | 000,000,000 | ---D | C] -- C:\Windows\System32\appmgmt
[2011.09.02 13:15:46 | 000,000,000 | ---D | C] -- C:\Program Files\Microsoft Security Client
[2011.09.02 13:15:45 | 000,000,000 | ---D | C] -- C:\459b5677b46220a90baf8f196aa6
[2011.09.02 01:43:14 | 000,000,000 | -HSD | C] -- C:\$RECYCLE.BIN
[2011.09.01 23:17:42 | 000,000,000 | ---D | C] -- C:\Program Files\ESET
[2011.09.01 23:12:43 | 000,041,272 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbamswissarmy.sys
[2011.09.01 23:12:43 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Malwarebytes' Anti-Malware
[2011.09.01 23:12:43 | 000,000,000 | ---D | C] -- C:\ProgramData\Malwarebytes
[2011.09.01 23:12:40 | 000,022,712 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbam.sys
[2011.09.01 16:42:55 | 000,000,000 | ---D | C] -- C:\Windows\temp
[2011.09.01 16:36:13 | 000,518,144 | ---- | C] (SteelWerX) -- C:\Windows\SWREG.exe
[2011.09.01 16:36:13 | 000,406,528 | ---- | C] (SteelWerX) -- C:\Windows\SWSC.exe
[2011.09.01 16:36:13 | 000,060,416 | ---- | C] (NirSoft) -- C:\Windows\NIRCMD.exe
[2011.09.01 16:36:10 | 000,000,000 | ---D | C] -- C:\Windows\ERDNT
[2011.09.01 16:36:08 | 000,000,000 | ---D | C] -- C:\Qoobox
[2011.09.01 13:36:22 | 000,000,000 | ---D | C] -- C:\avz4
[2011.09.01 12:03:17 | 000,000,000 | ---D | C] -- C:\Windows\Minidump
[2011.09.01 11:15:00 | 000,000,000 | ---D | C] -- C:\Program Files\CCleaner
[2011.09.01 10:55:05 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Malwarebytes
[2011.09.01 10:54:58 | 000,000,000 | ---D | C] -- C:\Program Files\Malwarebytes' Anti-Malware
[2011.08.24 15:23:24 | 000,002,048 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\tzres.dll
[2011.08.23 17:04:23 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Games
[2011.08.23 17:00:38 | 000,139,264 | ---- | C] (Blizzard Entertainment) -- C:\Windows\War3Unin.exe
[2011.08.23 17:00:38 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Warcraft III
[2011.08.23 17:00:38 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Warcraft III
[2011.08.23 16:57:28 | 000,000,000 | ---D | C] -- C:\Spiele
[2011.08.19 11:02:30 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator
[2011.08.19 11:02:27 | 001,071,088 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSCOMCTL.OCX
[2011.08.19 11:02:27 | 000,662,288 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSCOMCT2.OCX
[2011.08.19 11:02:27 | 000,137,000 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSMAPI32.OCX
[2011.08.19 11:02:26 | 000,158,208 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSCMCDE.DLL
[2011.08.19 11:02:26 | 000,125,712 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\VB6DE.DLL
[2011.08.19 11:02:26 | 000,064,512 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSCC2DE.DLL
[2011.08.19 11:02:26 | 000,023,552 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSMPIDE.DLL
[2011.08.19 11:02:26 | 000,000,000 | ---D | C] -- C:\Program Files\PDFCreator
[2011.08.13 19:05:21 | 002,382,848 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\mshtml.tlb
[2011.08.13 19:05:20 | 000,176,640 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ieui.dll
[2011.08.13 19:05:19 | 001,797,632 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\jscript9.dll
[2011.08.13 19:05:18 | 000,231,936 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\url.dll
[2011.08.13 12:36:36 | 003,967,872 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ntkrnlpa.exe
[2011.08.13 12:36:36 | 003,912,576 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ntoskrnl.exe
[2011.08.13 11:56:17 | 000,271,360 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\conhost.exe
[2011.08.13 11:56:17 | 000,169,984 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\winsrv.dll
[2011.08.13 11:56:17 | 000,006,144 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-security-base-l1-1-0.dll
[2011.08.13 11:56:17 | 000,005,120 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-file-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,608 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-threadpool-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,608 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-processthreads-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-sysinfo-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-synch-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-misc-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-localregistry-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-localization-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-xstate-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-processenvironment-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-namedpipe-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-memory-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-libraryloader-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-interlocked-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-heap-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-util-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-string-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-rtlsupport-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-profile-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-io-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-handle-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-fibers-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-errorhandling-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-delayload-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-debug-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-datetime-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-console-l1-1-0.dll
[2011.08.13 11:51:02 | 000,319,488 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbcjt32.dll
[2011.08.13 11:51:02 | 000,163,840 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbctrac.dll
[2011.08.13 11:51:02 | 000,122,880 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbccp32.dll
[2011.08.13 11:51:02 | 000,086,016 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbccu32.dll
[2011.08.13 11:51:02 | 000,081,920 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbccr32.dll
 
========== Files - Modified Within 30 Days ==========
 
[2011.09.02 13:17:12 | 000,656,028 | ---- | M] () -- C:\Windows\System32\perfh007.dat
[2011.09.02 13:17:12 | 000,617,910 | ---- | M] () -- C:\Windows\System32\perfh009.dat
[2011.09.02 13:17:12 | 000,130,800 | ---- | M] () -- C:\Windows\System32\perfc007.dat
[2011.09.02 13:17:12 | 000,107,190 | ---- | M] () -- C:\Windows\System32\perfc009.dat
[2011.09.02 13:16:19 | 000,021,248 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
[2011.09.02 13:16:19 | 000,021,248 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2011.09.02 13:16:09 | 000,001,912 | ---- | M] () -- C:\Windows\epplauncher.mif
[2011.09.02 13:10:36 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2011.09.01 23:31:26 | 169,750,471 | ---- | M] () -- C:\Windows\MEMORY.DMP
[2011.09.01 17:55:22 | 000,017,408 | ---- | M] () -- C:\Users\***\AppData\Local\WebpageIcons.db
[2011.09.01 12:58:14 | 000,000,000 | ---- | M] () -- C:\Users\***\defogger_reenable
[2011.09.01 11:50:19 | 000,298,040 | ---- | M] () -- C:\Windows\System32\FNTCACHE.DAT
[2011.08.23 17:09:54 | 000,050,643 | ---- | M] () -- C:\Windows\War3Unin.dat
[2011.08.23 17:09:52 | 000,139,264 | ---- | M] (Blizzard Entertainment) -- C:\Windows\War3Unin.exe
[2011.08.23 17:09:52 | 000,002,829 | ---- | M] () -- C:\Windows\War3Unin.pif
[2011.08.20 23:28:54 | 000,022,587 | ---- | M] () -- C:\Users\***\.recently-used.xbel
 
========== Files Created - No Company Name ==========
 
[2011.09.02 13:15:51 | 000,001,903 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Microsoft Security Essentials.lnk
[2011.09.01 17:55:19 | 000,017,408 | ---- | C] () -- C:\Users\***\AppData\Local\WebpageIcons.db
[2011.09.01 16:36:13 | 000,256,000 | ---- | C] () -- C:\Windows\PEV.exe
[2011.09.01 16:36:13 | 000,208,896 | ---- | C] () -- C:\Windows\MBR.exe
[2011.09.01 16:36:13 | 000,098,816 | ---- | C] () -- C:\Windows\sed.exe
[2011.09.01 16:36:13 | 000,080,412 | ---- | C] () -- C:\Windows\grep.exe
[2011.09.01 16:36:13 | 000,068,096 | ---- | C] () -- C:\Windows\zip.exe
[2011.09.01 12:58:14 | 000,000,000 | ---- | C] () -- C:\Users\***\defogger_reenable
[2011.09.01 12:03:13 | 169,750,471 | ---- | C] () -- C:\Windows\MEMORY.DMP
[2011.09.01 11:50:02 | 000,298,040 | ---- | C] () -- C:\Windows\System32\FNTCACHE.DAT
[2011.08.23 17:00:38 | 000,050,643 | ---- | C] () -- C:\Windows\War3Unin.dat
[2011.08.23 17:00:38 | 000,002,829 | ---- | C] () -- C:\Windows\War3Unin.pif
[2011.08.20 23:28:54 | 000,022,587 | ---- | C] () -- C:\Users\***\.recently-used.xbel
[2011.08.19 11:02:27 | 000,116,224 | ---- | C] () -- C:\Windows\System32\pdfcmnnt.dll
[2011.08.13 19:05:19 | 000,065,024 | ---- | C] () -- C:\Windows\System32\jsproxy.dll
[2011.04.08 14:23:00 | 000,080,896 | ---- | C] () -- C:\Windows\System32\ff_vfw.dll
[2011.04.08 13:38:47 | 000,000,000 | ---- | C] () -- C:\Windows\ativpsrm.bin
[2011.04.08 13:38:47 | 000,000,000 | ---- | C] () -- C:\Windows\System32\atiicdxx.dat
[2010.11.21 02:46:14 | 000,656,028 | ---- | C] () -- C:\Windows\System32\perfh007.dat
[2010.11.21 02:46:14 | 000,295,922 | ---- | C] () -- C:\Windows\System32\perfi007.dat
[2010.11.21 02:46:14 | 000,130,800 | ---- | C] () -- C:\Windows\System32\perfc007.dat
[2010.11.21 02:46:14 | 000,038,104 | ---- | C] () -- C:\Windows\System32\perfd007.dat
[2010.11.20 23:29:34 | 000,080,896 | ---- | C] () -- C:\Windows\System32\RDVGHelper.exe
[2010.11.20 23:29:26 | 000,066,048 | ---- | C] () -- C:\Windows\System32\PrintBrmUi.exe
[2009.07.14 06:57:37 | 000,067,584 | --S- | C] () -- C:\Windows\bootstat.dat
[2009.07.14 04:05:48 | 000,617,910 | ---- | C] () -- C:\Windows\System32\perfh009.dat
[2009.07.14 04:05:48 | 000,291,294 | ---- | C] () -- C:\Windows\System32\perfi009.dat
[2009.07.14 04:05:48 | 000,107,190 | ---- | C] () -- C:\Windows\System32\perfc009.dat
[2009.07.14 04:05:48 | 000,031,548 | ---- | C] () -- C:\Windows\System32\perfd009.dat
[2009.07.14 04:05:05 | 000,000,741 | ---- | C] () -- C:\Windows\System32\NOISE.DAT
[2009.07.14 04:04:11 | 000,215,943 | ---- | C] () -- C:\Windows\System32\dssec.dat
[2009.07.14 01:55:01 | 000,043,131 | ---- | C] () -- C:\Windows\mib.bin
[2009.07.14 01:51:43 | 000,073,728 | ---- | C] () -- C:\Windows\System32\BthpanContextHandler.dll
[2009.07.14 01:42:10 | 000,064,000 | ---- | C] () -- C:\Windows\System32\BWContextHandler.dll
[2009.06.10 23:26:10 | 000,673,088 | ---- | C] () -- C:\Windows\System32\mlang.dat
[2004.08.13 09:56:20 | 000,005,810 | ---- | C] () -- C:\Windows\System32\drivers\ASACPI.sys

< End of report >
Extras.Txt
Code:
OTL Extras logfile created on: 02.09.2011 13:42:34 - Run 3
OTL by OldTimer - Version 3.2.27.0    Folder = C:\Users\***\Desktop
 Ultimate Edition Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,25 Gb Total Physical Memory | 2,30 Gb Available Physical Memory | 70,64% Memory free
6,50 Gb Paging File | 5,43 Gb Available in Paging File | 83,62% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 74,43 Gb Total Space | 45,04 Gb Free Space | 60,51% Space Free | Partition Type: NTFS
Drive D: | 436,59 Mb Total Space | 0,00 Mb Free Space | 0,00% Space Free | Partition Type: CDFS
Drive F: | 7,46 Gb Total Space | 1,01 Gb Free Space | 13,55% Space Free | Partition Type: NTFS
 
Computer Name: ***-PC | User Name: *** | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- C:\Windows\System32\control.exe (Microsoft Corporation)
.hlp [@ = hlpfile] -- C:\Windows\winhlp32.exe (Microsoft Corporation)
 
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation)
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- %SystemRoot%\System32\control.exe "%1",%* (Microsoft Corporation)
exefile [open] -- "%1" %*
helpfile [open] -- Reg Error: Key error.
hlpfile [open] -- %SystemRoot%\winhlp32.exe %1 (Microsoft Corporation)
htmlfile [edit] -- Reg Error: Key error.
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [cmd] -- cmd.exe /s /k pushd "%V" (Microsoft Corporation)
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [explore] -- Reg Error: Value error.
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"cval" = 1
"FirewallDisableNotify" = 0
"AntiVirusDisableNotify" = 0
"UpdatesDisableNotify" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc]
"VistaSp1" = Reg Error: Unknown registry data type -- File not found
"AntiVirusOverride" = 0
"AntiSpywareOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc\Vol]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
"EnableFirewall" = 1
"DisableNotifications" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DisableNotifications" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile]
"EnableFirewall" = 1
"DisableNotifications" = 0
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{0001B4FD-9EA3-4D90-A79E-FD14BA3AB01D}" = PDFCreator
"{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
"{05BFB060-4F22-4710-B0A2-2801A1B606C5}" = Microsoft Antimalware
"{1280E900-35DA-4E08-A700-B79A5B2B8532}" = Microsoft Antimalware Service DE-DE Language Pack
"{2624B969-7135-4EB1-B0F6-2D8C397B45F7}_is1" = Media Player Classic - Home Cinema v1.5.0.2827
"{26A24AE4-039D-4CA4-87B4-2F83216026FF}" = Java(TM) 6 Update 26
"{3C3901C5-3455-3E0A-A214-0B093A5070A6}" = Microsoft .NET Framework 4 Client Profile
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{50779A29-834E-4E36-BBEB-B7CABC67A825}" = Microsoft Security Client DE-DE Language Pack
"{54B6DC7D-8C5B-4DFB-BC15-C010A3326B2B}" = Microsoft Security Client
"{86CE85E6-DBAC-3FFD-B977-E4B79F83C909}" = Microsoft Visual C++ 2008 Redistributable - KB2467174 - x86 9.0.30729.5570
"{918A9082-6287-4D25-9002-5E5D5E4971CB}" = League of Legends
"{99011A6E-5200-11DE-BDB8-7ACD56D89593}" = Rosetta Stone Version 3
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{9BE518E6-ECC6-35A9-88E4-87755C07200F}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
"{AC76BA86-7AD7-1031-7B44-AA1000000001}" = Adobe Reader X (10.1.0) - Deutsch
"{CEE2613D-3B53-4447-BA2D-E88C08272581}" = LibreOffice 3.3
"{D140D7FE-5CD2-4EC1-92CB-ECEA1F5E51CC}" = LibreOffice 3.3 Help Pack (German)
"{F750C986-5310-3A5A-95F8-4EC71C8AC01C}" = Microsoft .NET Framework 4 Client Profile DEU Language Pack
"1489-3350-5074-6281" = JDownloader 0.9
"7-Zip" = 7-Zip 9.20
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"BSW" = BrettspielWelt
"CCleaner" = CCleaner
"CrystalDiskInfo_is1" = CrystalDiskInfo 3.10.0
"ESET Online Scanner" = ESET Online Scanner v3
"ffdshow_is1" = ffdshow v1.1.3771 [2011-03-07]
"HaaliMkx" = Haali Media Splitter
"HashCalc_is1" = HashCalc 2.02
"Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware Version 1.51.1.1800
"Microsoft .NET Framework 4 Client Profile" = Microsoft .NET Framework 4 Client Profile
"Microsoft .NET Framework 4 Client Profile DEU Language Pack" = Microsoft .NET Framework 4 Client Profile DEU Language Pack
"Microsoft Security Client" = Microsoft Security Essentials
"Mozilla Firefox 6.0.1 (x86 de)" = Mozilla Firefox 6.0.1 (x86 de)
"Mozilla Thunderbird (6.0.1)" = Mozilla Thunderbird (6.0.1)
"Notepad++" = Notepad++
"Warcraft III" = Warcraft III
"WinGimp-2.0_is1" = GIMP 2.6.11
 
========== HKEY_CURRENT_USER Uninstall List ==========
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Warcraft III" = Warcraft III: All Products
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 01.09.2011 15:43:44 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
Error - 01.09.2011 15:57:29 | Computer Name = ***-PC | Source = PerfNet | ID = 2004
Description =
 
Error - 01.09.2011 16:47:03 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
Error - 01.09.2011 16:51:44 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
Error - 01.09.2011 17:23:39 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
Error - 01.09.2011 17:28:28 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
Error - 01.09.2011 17:33:19 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
Error - 01.09.2011 19:44:49 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
Error - 02.09.2011 07:09:28 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
Error - 02.09.2011 07:12:27 | Computer Name = ***-PC | Source = WinMgmt | ID = 10
Description =
 
[ System Events ]
Error - 01.09.2011 17:21:51 | Computer Name = ***-PC | Source = EventLog | ID = 6008
Description = Das System wurde zuvor am ?01.?09.?2011 um 23:20:07 unerwartet heruntergefahren.
 
Error - 01.09.2011 17:21:58 | Computer Name = ***-PC | Source = BugCheck | ID = 1001
Description =
 
Error - 01.09.2011 17:26:40 | Computer Name = ***-PC | Source = EventLog | ID = 6008
Description = Das System wurde zuvor am ?01.?09.?2011 um 23:24:45 unerwartet heruntergefahren.
 
Error - 01.09.2011 17:26:44 | Computer Name = ***-PC | Source = BugCheck | ID = 1001
Description =
 
Error - 01.09.2011 17:31:29 | Computer Name = ***-PC | Source = EventLog | ID = 6008
Description = Das System wurde zuvor am ?01.?09.?2011 um 23:30:33 unerwartet heruntergefahren.
 
Error - 01.09.2011 17:31:34 | Computer Name = ***-PC | Source = BugCheck | ID = 1001
Description =
 
Error - 02.09.2011 07:10:55 | Computer Name = ***-PC | Source = Disk | ID = 262155
Description = Der Treiber hat einen Controllerfehler auf \Device\Harddisk1\DR1 gefunden.
 
Error - 02.09.2011 07:10:56 | Computer Name = ***-PC | Source = Disk | ID = 262155
Description = Der Treiber hat einen Controllerfehler auf \Device\Harddisk1\DR1 gefunden.
 
Error - 02.09.2011 07:10:56 | Computer Name = ***-PC | Source = Disk | ID = 262155
Description = Der Treiber hat einen Controllerfehler auf \Device\Harddisk1\DR1 gefunden.
 
Error - 02.09.2011 07:10:57 | Computer Name = ***-PC | Source = Disk | ID = 262155
Description = Der Treiber hat einen Controllerfehler auf \Device\Harddisk1\DR1 gefunden.
 
 
< End of report >
zu 3.: Installierte Programme
install.txt von CCleaner. Btw, was steht da, was nicht schon in der Extras.Txt unter "HKEY_LOCAL_MACHINE Uninstall List" steht? :confused:
Code:
7-Zip 9.20                07.04.2011               
Adobe Flash Player 10 Plugin        Adobe Systems Incorporated        18.06.2011        6,00MB        10.3.181.26
Adobe Reader X (10.1.0) - Deutsch        Adobe Systems Incorporated        18.06.2011        165,3MB        10.1.0
BrettspielWelt                30.04.2011               
CCleaner        Piriform        31.08.2011                3.10
CrystalDiskInfo 3.10.0        Crystal Dew World        07.04.2011        3,07MB        3.10.0
ESET Online Scanner v3                31.08.2011               
ffdshow v1.1.3771 [2011-03-07]                07.04.2011        14,8MB        1.1.3771.0
GIMP 2.6.11        The GIMP Team        10.04.2011        106,8MB        2.6.11
Haali Media Splitter                07.04.2011               
HashCalc 2.02        SlavaSoft Inc.        01.09.2011               
Java(TM) 6 Update 26        Oracle        07.06.2011        97,1MB        6.0.260
JDownloader 0.9        AppWork GmbH        07.06.2011                0.9
League of Legends        Riot Games        21.05.2011                1.02.0000
LibreOffice 3.3        LibreOffice        07.04.2011        461MB        3.3.202
LibreOffice 3.3 Help Pack (German)        LibreOffice        07.04.2011        22,1MB        3.3.202
Malwarebytes' Anti-Malware Version 1.51.1.1800        Malwarebytes Corporation        31.08.2011        13,4MB        1.51.1.1800
Media Player Classic - Home Cinema v1.5.0.2827        MPC-HC Team        07.04.2011        30,3MB        1.5.0.2827
Microsoft .NET Framework 4 Client Profile        Microsoft Corporation        07.04.2011        38,8MB        4.0.30319
Microsoft .NET Framework 4 Client Profile DEU Language Pack        Microsoft Corporation        07.04.2011        2,94MB        4.0.30319
Microsoft Security Essentials        Microsoft Corporation        01.09.2011                2.1.1116.0
Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148        Microsoft Corporation        07.04.2011        0,20MB        9.0.30729.4148
Microsoft Visual C++ 2008 Redistributable - KB2467174 - x86 9.0.30729.5570        Microsoft Corporation        14.04.2011        0,58MB        9.0.30729.5570
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17        Microsoft Corporation        07.04.2011        0,58MB        9.0.30729
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161        Microsoft Corporation        18.06.2011        0,59MB        9.0.30729.6161
Mozilla Firefox 6.0.1 (x86 de)        Mozilla        31.08.2011        32,5MB        6.0.1
Mozilla Thunderbird (6.0.1)        Mozilla        31.08.2011                6.0.1 (de)
Notepad++                07.04.2011                5.9
PDFCreator        Frank Heindörfer, Philip Chinery        18.08.2011                1.2.2
Rosetta Stone Version 3        Rosetta Stone Ltd.        18.06.2011        120,4MB        3.4.5.0
Warcraft III                22.08.2011               
Warcraft III: All Products                22.08.2011
Weiteres:
mbr.exe mbr.log
Code:
Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, hxxp://www.gmer.net
Windows 6.1.7601 Disk: SAMSUNG_HD080HJ rev.ZH100-41 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP5T0L0-5

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
MBRCheck
Code:
MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version:                Windows 7 Ultimate Edition
Windows Information:            Service Pack 1 (build 7601), 32-bit
Base Board Manufacturer:        ASUSTeK Computer INC.
BIOS Manufacturer:              American Megatrends Inc.
System Manufacturer:            System manufacturer
System Product Name:            P5QL-E
Logical Drives Mask:            0x0000002c

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`06500000  (NTFS)

      Size  Device Name          MBR Status
  --------------------------------------------
    74 GB  \\.\PhysicalDrive0  Windows 7 MBR code detected
            SHA1: 4379A3D43019B46FA357F7DD6A53B45A3CA8FB79


Done!
Press ENTER to exit...
catchme.exe als Admin:
Code:
detected NTDLL code modification:
ZwEnumerateKey 0 != 116, ZwQueryKey 0 != 244, ZwOpenKey 0 != 182, ZwClose 0 != 50, ZwEnumerateValueKey 0 != 119, ZwQueryValueKey 0 != 266, ZwOpenFile 0 != 179, ZwQueryDirectoryFile 0 != 223, ZwQuerySystemInformation 0 != 261Initialization error
GMER zeigt nach dem Start (momentan) nichts an.
GMER Sections Scan:
Die Zeile mit mbr.sys ist erst nach dem Start von mbr.exe oder MBRCheck.exe dazugekommen.
Code:
GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2011-09-02 14:18:41
Windows 6.1.7601 Service Pack 1
Running: 4kjh0ztb.exe; Driver: C:\Users\Ursula\AppData\Local\Temp\pwlirpog.sys


---- Kernel code sections - GMER 1.0.15 ----

.text  ntkrnlpa.exe!ZwSaveKey + 13D1                                            82A45349 1 Byte  [06]
.text  ntkrnlpa.exe!KiDispatchInterrupt + 5A2                                  82A7ED52 19 Bytes  [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}
.text  C:\Windows\system32\DRIVERS\atikmdag.sys                                section is writeable [0x90E14000, 0x227A14, 0xE8000020]
PAGE  peauth.sys                                                              96B7002C 102 Bytes  JMP A3BBFD04
?      C:\Users\Ursula\AppData\Local\Temp\mbr.sys                              Das System kann die angegebene Datei nicht finden. !

---- User code sections - GMER 1.0.15 ----

.text  C:\Program Files\Mozilla Firefox\firefox.exe[2244] ntdll.dll!LdrLoadDll  77AA22B8 5 Bytes  JMP 00971410 C:\Program Files\Mozilla Firefox\firefox.exe (Firefox/Mozilla Corporation)

---- EOF - GMER 1.0.15 ----
Wenn neue Programme gestartet werden, werden die manchmal gehooked: Notepad, Windows Media Player, HashCalc, Calc zB nicht, aber Firefox, Thunderbird und Virenscanner aber schon.
Insbesondere der Internet Explorer 9. Siehe:
Code:
GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2011-09-02 14:27:41
Windows 6.1.7601 Service Pack 1
Running: 4kjh0ztb.exe; Driver: C:\Users\Ursula\AppData\Local\Temp\pwlirpog.sys


---- Kernel code sections - GMER 1.0.15 ----

.text  ntkrnlpa.exe!ZwSaveKey + 13D1                                                                82A45349 1 Byte  [06]
.text  ntkrnlpa.exe!KiDispatchInterrupt + 5A2                                                      82A7ED52 19 Bytes  [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}
.text  C:\Windows\system32\DRIVERS\atikmdag.sys                                                    section is writeable [0x90E14000, 0x227A14, 0xE8000020]
PAGE  peauth.sys                                                                                  96B7002C 102 Bytes  JMP A3BBFD04
?      C:\Users\Ursula\AppData\Local\Temp\mbr.sys                                                  Das System kann die angegebene Datei nicht finden. !

---- User code sections - GMER 1.0.15 ----

.text  C:\Program Files\Mozilla Thunderbird\thunderbird.exe[1092] ntdll.dll!LdrLoadDll              77AA22B8 5 Bytes  JMP 003F132B C:\Program Files\Mozilla Thunderbird\thunderbird.exe (Thunderbird/Mozilla Messaging)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!EnableWindow                778C8D02 5 Bytes  JMP 6DF798BC C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!DialogBoxParamW            778E3B9B 5 Bytes  JMP 6DED15E3 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!DialogBoxIndirectParamW    778F3B7F 5 Bytes  JMP 6E0C5E8E C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!DialogBoxParamA            7790CF42 5 Bytes  JMP 6E0C5E29 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!DialogBoxIndirectParamA    7790D274 5 Bytes  JMP 6E0C5EF3 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!MessageBoxIndirectA        7791E869 5 Bytes  JMP 6E0C5DB0 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!MessageBoxIndirectW        7791E963 5 Bytes  JMP 6E0C5D37 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!MessageBoxExA              7791E9C9 5 Bytes  JMP 6E0C5CD3 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[1596] USER32.dll!MessageBoxExW              7791E9ED 5 Bytes  JMP 6E0C5C6F C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Mozilla Firefox\firefox.exe[2244] ntdll.dll!LdrLoadDll                      77AA22B8 5 Bytes  JMP 00971410 C:\Program Files\Mozilla Firefox\firefox.exe (Firefox/Mozilla Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] kernel32.dll!CreateThread              7661DCC2 5 Bytes  JMP 6DF371CB C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!EnableWindow                778C8D02 5 Bytes  JMP 6DF798BC C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!GetAsyncKeyState            778CA256 5 Bytes  JMP 6DF1DC5D C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!CallNextHookEx              778CABE1 5 Bytes  JMP 6DF97A4F C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!UnhookWindowsHookEx        778CADF9 5 Bytes  JMP 6DFBEA08 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!DefWindowProcA              778CBB1C 7 Bytes  JMP 6DF393F5 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!CreateWindowExA            778CBF40 5 Bytes  JMP 6DF43223 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!SetWindowsHookExW          778CE30C 5 Bytes  JMP 6DF7204C C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!CreateWindowExW            778CEC7C 5 Bytes  JMP 6DF9FE2F C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!GetKeyState                778D2B4D 5 Bytes  JMP 6DF1DB37 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!IsDialogMessageW            778D4104 5 Bytes  JMP 6E0C696C C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!DefWindowProcW              778D507D 7 Bytes  JMP 6DF97AB2 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!CreateDialogParamA          778E1F42 5 Bytes  JMP 6E0C61C0 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!IsDialogMessage            778E2019 5 Bytes  JMP 6E0C6944 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!DialogBoxParamW            778E3B9B 5 Bytes  JMP 6DED15E3 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!CreateDialogIndirectParamA  778E721D 5 Bytes  JMP 6E0C6230 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!CreateDialogIndirectParamW  778EEA10 5 Bytes  JMP 6E0C6268 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!DialogBoxIndirectParamW    778F3B7F 5 Bytes  JMP 6E0C5E8E C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!EndDialog                  778F3BA3 5 Bytes  JMP 6E0C6C18 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!CreateDialogParamW          778F5630 5 Bytes  JMP 6E0C61F8 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!SetKeyboardState            778F695A 5 Bytes  JMP 6E0C7235 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!SendInput                  778F7019 5 Bytes  JMP 6E0C71DD C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!SetCursorPos                7790C1B0 5 Bytes  JMP 6E0C72B6 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!DialogBoxParamA            7790CF42 5 Bytes  JMP 6E0C5E29 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!DialogBoxIndirectParamA    7790D274 5 Bytes  JMP 6E0C5EF3 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!MessageBoxIndirectA        7791E869 5 Bytes  JMP 6E0C5DB0 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!MessageBoxIndirectW        7791E963 5 Bytes  JMP 6E0C5D37 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!MessageBoxExA              7791E9C9 5 Bytes  JMP 6E0C5CD3 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!MessageBoxExW              7791E9ED 5 Bytes  JMP 6E0C5C6F C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] USER32.dll!keybd_event                7791EC3B 5 Bytes  JMP 6E0C719A C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] SHELL32.dll!RealDriveType + 173D      76B2FE10 4 Bytes  [CF, 01, 7D, 6D] {IRET ; ADD [EBP+0x6d], EDI}
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] SHELL32.dll!RealDriveType + 1745      76B2FE18 8 Bytes  [E0, 61, 7C, 6D, 79, F7, 7C, ...] {LOOPNZ 0x63; JL 0x71; JNS 0xfffffffffffffffd; JL 0x75}
.text  C:\Program Files\Internet Explorer\iexplore.exe[2904] ole32.dll!OleLoadFromStream            776E6143 5 Bytes  JMP 6E0C6676 C:\Windows\system32\IEFRAME.dll (Internet Browser/Microsoft Corporation)

---- EOF - GMER 1.0.15 ----

kira 02.09.2011 16:23
► Wenn irgend etwas mit deinem PC nicht in Ordnung ist, bitte eine möglichst kurz und genaue Problembeschreibung!
► Gibt es Probleme beim alltäglichen Einsatz mit dem Rechner?

1.
Fixen mit OTL
  • Starte die OTL.exe.
  • Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen.
  • Kopiere folgendes Skript:
Code:
:OTL
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://start.facemoods.com/?a=ddrnw
FF - prefs.js..browser.search.defaultenginename: "Facemoods Search"
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2006.03.24 13:06:41 | 000,000,053 | R--- | M] () - D:\AUTORUN.INF -- [ CDFS ]
O32 - AutoRun File - [2011.05.08 13:37:52 | 000,000,100 | ---- | M] () - F:\autorun.inf -- [ NTFS ]

:Commands
[purity]
[emptytemp]

2.
erneut einen Scan mit OTL:
  • Doppelklick auf die OTL.exe
  • Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen.
  • Oben findest Du ein Kästchen mit Ausgabe.
    Wähle bitte Standard-Ausgabe
  • Unter Extra-Registrierung wähle bitte Benutze SafeList.
  • Mache Häckchen bei LOP- und Purity-Prüfung.
  • Klicke nun auf Scan links oben.
  • Wenn der Scan beendet wurde werden zwei Logfiles erstellt.
    Du findest die Logfiles auf Deinem Desktop => OTL.txt und Extras.txt
  • Poste die Logfiles in Code-Tags hier in den Thread.

3.
Hast du den Rechner bereits auf Viren überprüft? Folgende Ergebnisse möchte ich noch sehen:
Code:
C:\Qoobox
oder C:\ComboFix.txt
Malwarebytes
ESET Online Scanner - Log
(alle vorhandenen Protokolle)

shh 03.09.2011 00:09
► Wenn irgend etwas mit deinem PC nicht in Ordnung ist, bitte eine möglichst kurz und genaue Problembeschreibung!

Zum Teil (öfters nach Warcraft 3 spielen) bekommt die TAB-Taste nen Hänger und geht auf "Dauerfeuer".

► Gibt es Probleme beim alltäglichen Einsatz mit dem Rechner?

Nein. Bis auf das Einklinken in nahezu alle Prozesse... :eek:

> Hast du den Rechner bereits auf Viren überprüft? Folgende Ergebnisse möchte ich noch sehen:

Ich habe neben Malwarebytes, ESEC Online Scanner auch noch mit Kaspersky und MS Sec Ess nach Viren gescannt und auch den tdsskiller(Kaspersky) benutzt.
Unisono: NULL gefundene Infektionen. Es ist scheinbar alles normal. Müßig, da die logs aufzuheben. :(

Aktuelle Logs:
OTL:
Code:
OTL logfile created on: 02.09.2011 21:21:07 - Run 3
OTL by OldTimer - Version 3.2.27.0    Folder = C:\Users\***\Desktop
 Ultimate Edition Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,25 Gb Total Physical Memory | 2,46 Gb Available Physical Memory | 75,62% Memory free
6,50 Gb Paging File | 5,63 Gb Available in Paging File | 86,70% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 74,43 Gb Total Space | 45,02 Gb Free Space | 60,48% Space Free | Partition Type: NTFS
 
Computer Name: ***-PC | User Name: *** | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - [2011.09.02 23:26:33 | 000,581,120 | ---- | M] (OldTimer Tools) -- C:\Users\***\Desktop\OTL.exe
PRC - [2011.06.15 15:16:48 | 000,997,920 | ---- | M] (Microsoft Corporation) -- C:\Programme\Microsoft Security Client\msseces.exe
PRC - [2011.06.06 12:55:32 | 000,035,736 | ---- | M] (Adobe Systems Incorporated) -- C:\Programme\Adobe\Reader 10.0\Reader\reader_sl.exe
PRC - [2011.06.06 12:55:28 | 000,064,952 | ---- | M] (Adobe Systems Incorporated) -- C:\Programme\Common Files\Adobe\ARM\1.0\armsvc.exe
PRC - [2011.04.27 15:39:26 | 000,011,736 | ---- | M] (Microsoft Corporation) -- c:\Programme\Microsoft Security Client\Antimalware\MsMpEng.exe
PRC - [2011.02.25 07:30:54 | 002,616,320 | ---- | M] (Microsoft Corporation) -- C:\Windows\explorer.exe
PRC - [2010.11.20 23:29:49 | 001,121,792 | ---- | M] (Microsoft Corporation) -- C:\Programme\Windows Media Player\wmpnetwk.exe
PRC - [2010.11.20 23:29:19 | 000,049,152 | ---- | M] (Microsoft Corporation) -- C:\Windows\System32\taskhost.exe
PRC - [2009.07.14 03:14:29 | 000,017,408 | ---- | M] (Microsoft Corporation) -- C:\Windows\System32\PrintIsolationHost.exe
 
 
========== Modules (No Company Name) ==========
 
 
========== Win32 Services (SafeList) ==========
 
SRV - [2011.06.19 22:35:24 | 000,655,624 | ---- | M] (Acresso Software Inc.) [On_Demand | Stopped] -- C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe -- (FLEXnet Licensing Service)
SRV - [2011.06.06 12:55:28 | 000,064,952 | ---- | M] (Adobe Systems Incorporated) [Auto | Running] -- C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe -- (AdobeARMservice)
SRV - [2011.04.27 15:39:26 | 000,208,944 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- c:\Program Files\Microsoft Security Client\Antimalware\NisSrv.exe -- (NisSrv)
SRV - [2011.04.27 15:39:26 | 000,011,736 | ---- | M] (Microsoft Corporation) [Auto | Running] -- c:\Program Files\Microsoft Security Client\Antimalware\MsMpEng.exe -- (MsMpSvc)
SRV - [2009.07.14 03:16:13 | 000,025,088 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\System32\sensrsvc.dll -- (SensrSvc)
SRV - [2009.07.14 03:16:12 | 001,004,544 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\System32\PeerDistSvc.dll -- (PeerDistSvc)
SRV - [2009.07.14 03:15:41 | 000,680,960 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Programme\Windows Defender\MpSvc.dll -- (WinDefend)
 
 
========== Driver Services (SafeList) ==========
 
DRV - [2011.04.27 15:25:24 | 000,065,024 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\NisDrvWFP.sys -- (NisDrv)
DRV - [2011.04.18 13:18:50 | 000,043,392 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\MpNWMon.sys -- (MpNWMon)
DRV - [2010.11.20 23:29:34 | 000,015,872 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\rdpvideominiport.sys -- (RdpVideoMiniport)
DRV - [2010.11.20 23:29:24 | 000,052,224 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\TsUsbFlt.sys -- (TsUsbFlt)
DRV - [2010.11.20 23:29:03 | 000,175,360 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\system32\drivers\vmbus.sys -- (vmbus)
DRV - [2010.11.20 23:29:03 | 000,112,640 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\tsusbhub.sys -- (tsusbhub)
DRV - [2010.11.20 23:29:03 | 000,077,184 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\Synth3dVsc.sys -- (Synth3dVsc)
DRV - [2010.11.20 23:29:03 | 000,062,464 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\system32\drivers\dmvsc.sys -- (dmvsc)
DRV - [2010.11.20 23:29:03 | 000,040,704 | ---- | M] (Microsoft Corporation) [Kernel | Boot | Running] -- C:\Windows\system32\drivers\vmstorfl.sys -- (storflt)
DRV - [2010.11.20 23:29:03 | 000,035,968 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\winusb.sys -- (WinUsb)
DRV - [2010.11.20 23:29:03 | 000,028,032 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\system32\drivers\storvsc.sys -- (storvsc)
DRV - [2010.11.20 23:29:03 | 000,027,264 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\system32\drivers\TsUsbGD.sys -- (TsUsbGD)
DRV - [2010.11.20 23:29:03 | 000,025,600 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\system32\drivers\terminpt.sys -- (terminpt)
DRV - [2010.11.20 23:29:03 | 000,017,920 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\system32\drivers\VMBusHID.sys -- (VMBusHID)
DRV - [2010.11.20 23:29:03 | 000,005,632 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\system32\drivers\vms3cap.sys -- (s3cap)
DRV - [2009.08.23 05:06:38 | 000,048,640 | ---- | M] (Atheros Communications, Inc.) [Kernel | On_Demand | Running] -- C:\Windows\System32\drivers\L1E62x86.sys -- (L1E)
DRV - [2009.07.14 00:09:17 | 004,194,816 | ---- | M] (ATI Technologies Inc.) [Kernel | On_Demand | Running] -- C:\Windows\System32\drivers\atikmdag.sys -- (atikmdag)
DRV - [2004.08.13 09:56:20 | 000,005,810 | ---- | M] () [Kernel | On_Demand | Running] -- C:\Windows\System32\drivers\ASACPI.sys -- (MTsensor)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = Preserve
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?ocid=iehp
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de-DE
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = FF 45 0F EB 6C 69 CC 01  [binary data]
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.search.selectedEngine: "Google"
FF - prefs.js..browser.search.useDBForOrder: true
FF - prefs.js..browser.startup.homepage: "hxxp://www.google.de/"
 
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Program Files\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Program Files\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 6.0.1\extensions\\Components: C:\Program Files\Mozilla Firefox\components [2011.09.01 23:35:46 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 6.0.1\extensions\\Plugins: C:\Program Files\Mozilla Firefox\plugins
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 6.0.1\extensions\\Components: C:\Program Files\Mozilla Thunderbird\components [2011.08.19 10:26:51 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 6.0.1\extensions\\Plugins: C:\Program Files\Mozilla Thunderbird\plugins
 
[2011.04.08 14:18:07 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Extensions
[2010.09.19 15:09:26 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Extensions\{3550f703-e582-4d05-9a08-453d09bdfdc6}
[2011.07.03 08:46:09 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Firefox\Profiles\c8mwc1au.default\extensions
[2011.06.08 12:28:30 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2011.06.08 12:28:30 | 000,000,000 | ---D | M] (Java Console) -- C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}
() (No name found) -- C:\USERS\***\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\C8MWC1AU.DEFAULT\EXTENSIONS\{D10D0BF8-F5B5-C8B4-A8B2-2B9879E08C5D}.XPI
[2011.09.01 23:35:46 | 000,134,104 | ---- | M] (Mozilla Foundation) -- C:\Program Files\mozilla firefox\components\browsercomps.dll
[2010.01.01 10:00:00 | 000,001,392 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\amazondotcom-de.xml
[2010.01.01 10:00:00 | 000,002,252 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\bing.xml
[2010.01.01 10:00:00 | 000,001,153 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\eBay-de.xml
[2011.06.08 12:21:16 | 000,002,048 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\fcmdSrch.xml
[2010.01.01 10:00:00 | 000,006,805 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\leo_ende_de.xml
[2010.01.01 10:00:00 | 000,001,178 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\wikipedia-de.xml
[2010.01.01 10:00:00 | 000,001,105 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2009.06.10 23:39:37 | 000,000,824 | ---- | M]) - C:\Windows\System32\drivers\etc\hosts
O4 - HKLM..\Run: [MSC] c:\Program Files\Microsoft Security Client\msseces.exe (Microsoft Corporation)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{C90C2500-4EF9-43EA-85F2-8E2ED55576F0}: DhcpNameServer = 192.168.1.1
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\System32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - C:\Windows\System32\SystemPropertiesPerformance.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (/pagefile) -  File not found
O32 - HKLM CDRom: AutoRun - 1
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2011.09.03 05:15:21 | 000,000,000 | -HSD | C] -- C:\RECYCLER
[2011.09.02 23:32:52 | 000,000,000 | ---D | C] -- C:\_OTL
[2011.09.02 16:17:13 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Online Solutions
[2011.09.02 13:24:54 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HashCalc
[2011.09.02 13:24:54 | 000,000,000 | ---D | C] -- C:\Program Files\HashCalc
[2011.09.02 13:22:13 | 000,000,000 | ---D | C] -- C:\Windows\System32\appmgmt
[2011.09.02 13:15:46 | 000,000,000 | ---D | C] -- C:\Program Files\Microsoft Security Client
[2011.09.02 01:43:14 | 000,000,000 | -HSD | C] -- C:\$RECYCLE.BIN
[2011.09.01 23:12:43 | 000,041,272 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbamswissarmy.sys
[2011.09.01 23:12:43 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Malwarebytes' Anti-Malware
[2011.09.01 23:12:43 | 000,000,000 | ---D | C] -- C:\ProgramData\Malwarebytes
[2011.09.01 23:12:40 | 000,022,712 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbam.sys
[2011.09.01 16:42:55 | 000,000,000 | ---D | C] -- C:\Windows\temp
[2011.09.01 16:36:10 | 000,000,000 | ---D | C] -- C:\Windows\ERDNT
[2011.09.01 12:03:17 | 000,000,000 | ---D | C] -- C:\Windows\Minidump
[2011.09.01 11:15:00 | 000,000,000 | ---D | C] -- C:\Program Files\CCleaner
[2011.09.01 10:55:05 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Malwarebytes
[2011.09.01 10:54:58 | 000,000,000 | ---D | C] -- C:\Program Files\Malwarebytes' Anti-Malware
[2011.08.24 15:23:24 | 000,002,048 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\tzres.dll
[2011.08.23 17:04:23 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Games
[2011.08.23 17:00:38 | 000,139,264 | ---- | C] (Blizzard Entertainment) -- C:\Windows\War3Unin.exe
[2011.08.23 17:00:38 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Warcraft III
[2011.08.23 17:00:38 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Warcraft III
[2011.08.23 16:57:28 | 000,000,000 | ---D | C] -- C:\Spiele
[2011.08.19 11:02:30 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator
[2011.08.19 11:02:27 | 001,071,088 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSCOMCTL.OCX
[2011.08.19 11:02:27 | 000,662,288 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSCOMCT2.OCX
[2011.08.19 11:02:27 | 000,137,000 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSMAPI32.OCX
[2011.08.19 11:02:26 | 000,158,208 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSCMCDE.DLL
[2011.08.19 11:02:26 | 000,125,712 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\VB6DE.DLL
[2011.08.19 11:02:26 | 000,064,512 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSCC2DE.DLL
[2011.08.19 11:02:26 | 000,023,552 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\MSMPIDE.DLL
[2011.08.19 11:02:26 | 000,000,000 | ---D | C] -- C:\Program Files\PDFCreator
[2011.08.13 19:05:21 | 002,382,848 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\mshtml.tlb
[2011.08.13 19:05:20 | 000,176,640 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ieui.dll
[2011.08.13 19:05:19 | 001,797,632 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\jscript9.dll
[2011.08.13 19:05:18 | 000,231,936 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\url.dll
[2011.08.13 12:36:36 | 003,967,872 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ntkrnlpa.exe
[2011.08.13 12:36:36 | 003,912,576 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ntoskrnl.exe
[2011.08.13 11:56:17 | 000,271,360 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\conhost.exe
[2011.08.13 11:56:17 | 000,169,984 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\winsrv.dll
[2011.08.13 11:56:17 | 000,006,144 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-security-base-l1-1-0.dll
[2011.08.13 11:56:17 | 000,005,120 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-file-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,608 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-threadpool-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,608 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-processthreads-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-sysinfo-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-synch-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-misc-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-localregistry-l1-1-0.dll
[2011.08.13 11:56:17 | 000,004,096 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-localization-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-xstate-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-processenvironment-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-namedpipe-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-memory-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-libraryloader-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-interlocked-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,584 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-heap-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-util-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-string-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-rtlsupport-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-profile-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-io-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-handle-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-fibers-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-errorhandling-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-delayload-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-debug-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-datetime-l1-1-0.dll
[2011.08.13 11:56:17 | 000,003,072 | -H-- | C] (Microsoft Corporation) -- C:\Windows\System32\api-ms-win-core-console-l1-1-0.dll
[2011.08.13 11:51:02 | 000,319,488 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbcjt32.dll
[2011.08.13 11:51:02 | 000,163,840 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbctrac.dll
[2011.08.13 11:51:02 | 000,122,880 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbccp32.dll
[2011.08.13 11:51:02 | 000,086,016 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbccu32.dll
[2011.08.13 11:51:02 | 000,081,920 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\odbccr32.dll
 
========== Files - Modified Within 30 Days ==========
 
[2011.09.02 23:41:29 | 000,021,248 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
[2011.09.02 23:41:29 | 000,021,248 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2011.09.02 23:37:51 | 000,656,028 | ---- | M] () -- C:\Windows\System32\perfh007.dat
[2011.09.02 23:37:51 | 000,617,910 | ---- | M] () -- C:\Windows\System32\perfh009.dat
[2011.09.02 23:37:51 | 000,130,800 | ---- | M] () -- C:\Windows\System32\perfc007.dat
[2011.09.02 23:37:51 | 000,107,190 | ---- | M] () -- C:\Windows\System32\perfc009.dat
[2011.09.02 21:20:12 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2011.09.02 13:16:09 | 000,001,912 | ---- | M] () -- C:\Windows\epplauncher.mif
[2011.09.01 23:31:26 | 169,750,471 | ---- | M] () -- C:\Windows\MEMORY.DMP
[2011.09.01 17:55:22 | 000,017,408 | ---- | M] () -- C:\Users\***\AppData\Local\WebpageIcons.db
[2011.09.01 12:58:14 | 000,000,000 | ---- | M] () -- C:\Users\***\defogger_reenable
[2011.09.01 11:50:19 | 000,298,040 | ---- | M] () -- C:\Windows\System32\FNTCACHE.DAT
[2011.08.23 17:09:54 | 000,050,643 | ---- | M] () -- C:\Windows\War3Unin.dat
[2011.08.23 17:09:52 | 000,139,264 | ---- | M] (Blizzard Entertainment) -- C:\Windows\War3Unin.exe
[2011.08.23 17:09:52 | 000,002,829 | ---- | M] () -- C:\Windows\War3Unin.pif
[2011.08.20 23:28:54 | 000,022,587 | ---- | M] () -- C:\Users\***\.recently-used.xbel
 
========== Files Created - No Company Name ==========
 
[2011.09.02 13:15:51 | 000,001,903 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Microsoft Security Essentials.lnk
[2011.09.01 17:55:19 | 000,017,408 | ---- | C] () -- C:\Users\***\AppData\Local\WebpageIcons.db
[2011.09.01 12:58:14 | 000,000,000 | ---- | C] () -- C:\Users\***\defogger_reenable
[2011.09.01 12:03:13 | 169,750,471 | ---- | C] () -- C:\Windows\MEMORY.DMP
[2011.09.01 11:50:02 | 000,298,040 | ---- | C] () -- C:\Windows\System32\FNTCACHE.DAT
[2011.08.23 17:00:38 | 000,050,643 | ---- | C] () -- C:\Windows\War3Unin.dat
[2011.08.23 17:00:38 | 000,002,829 | ---- | C] () -- C:\Windows\War3Unin.pif
[2011.08.20 23:28:54 | 000,022,587 | ---- | C] () -- C:\Users\***\.recently-used.xbel
[2011.08.19 11:02:27 | 000,116,224 | ---- | C] () -- C:\Windows\System32\pdfcmnnt.dll
[2011.08.13 19:05:19 | 000,065,024 | ---- | C] () -- C:\Windows\System32\jsproxy.dll
[2011.04.08 14:23:00 | 000,080,896 | ---- | C] () -- C:\Windows\System32\ff_vfw.dll
[2011.04.08 13:38:47 | 000,000,000 | ---- | C] () -- C:\Windows\ativpsrm.bin
[2011.04.08 13:38:47 | 000,000,000 | ---- | C] () -- C:\Windows\System32\atiicdxx.dat
[2010.11.21 02:46:14 | 000,656,028 | ---- | C] () -- C:\Windows\System32\perfh007.dat
[2010.11.21 02:46:14 | 000,295,922 | ---- | C] () -- C:\Windows\System32\perfi007.dat
[2010.11.21 02:46:14 | 000,130,800 | ---- | C] () -- C:\Windows\System32\perfc007.dat
[2010.11.21 02:46:14 | 000,038,104 | ---- | C] () -- C:\Windows\System32\perfd007.dat
[2010.11.20 23:29:34 | 000,080,896 | ---- | C] () -- C:\Windows\System32\RDVGHelper.exe
[2010.11.20 23:29:26 | 000,066,048 | ---- | C] () -- C:\Windows\System32\PrintBrmUi.exe
[2009.07.14 06:57:37 | 000,067,584 | --S- | C] () -- C:\Windows\bootstat.dat
[2009.07.14 04:05:48 | 000,617,910 | ---- | C] () -- C:\Windows\System32\perfh009.dat
[2009.07.14 04:05:48 | 000,291,294 | ---- | C] () -- C:\Windows\System32\perfi009.dat
[2009.07.14 04:05:48 | 000,107,190 | ---- | C] () -- C:\Windows\System32\perfc009.dat
[2009.07.14 04:05:48 | 000,031,548 | ---- | C] () -- C:\Windows\System32\perfd009.dat
[2009.07.14 04:05:05 | 000,000,741 | ---- | C] () -- C:\Windows\System32\NOISE.DAT
[2009.07.14 04:04:11 | 000,215,943 | ---- | C] () -- C:\Windows\System32\dssec.dat
[2009.07.14 01:55:01 | 000,043,131 | ---- | C] () -- C:\Windows\mib.bin
[2009.07.14 01:51:43 | 000,073,728 | ---- | C] () -- C:\Windows\System32\BthpanContextHandler.dll
[2009.07.14 01:42:10 | 000,064,000 | ---- | C] () -- C:\Windows\System32\BWContextHandler.dll
[2009.06.10 23:26:10 | 000,673,088 | ---- | C] () -- C:\Windows\System32\mlang.dat
[2004.08.13 09:56:20 | 000,005,810 | ---- | C] () -- C:\Windows\System32\drivers\ASACPI.sys
 
========== LOP Check ==========
 
[2011.08.07 18:57:56 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\BSW
[2011.08.20 23:27:35 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Canon
[2011.09.01 11:17:26 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\DAEMON Tools Lite
[2011.08.20 23:28:54 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\gtk-2.0
[2011.04.08 14:34:43 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\LibreOffice
[2011.05.23 07:01:01 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\LolClient
[2011.09.02 14:17:32 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Notepad++
[2011.09.02 16:30:58 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Online Solutions
[2011.04.08 14:18:10 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Thunderbird
[2011.08.31 09:27:07 | 000,032,634 | ---- | M] () -- C:\Windows\Tasks\SCHEDLGU.TXT

< End of report >
aswMBR:
Code:
aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-09-02 15:37:04
-----------------------------
15:37:04.815    OS Version: Windows 6.1.7601 Service Pack 1
15:37:04.815    Number of processors: 2 586 0x1706
15:37:04.815    ComputerName: URSULA-PC  UserName: Ursula
15:37:05.455    Initialize success
15:37:41.409    AVAST engine defs: 11090200
15:37:50.441    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP5T0L0-5
15:37:50.441    Disk 0 Vendor: SAMSUNG_HD080HJ ZH100-41 Size: 76319MB BusType: 11
15:37:52.485    Disk 0 MBR read successfully
15:37:52.485    Disk 0 MBR scan
15:37:52.485    Disk 0 Windows 7 default MBR code
15:37:52.501    Disk 0 scanning sectors +156299264
15:37:52.657    Disk 0 scanning C:\Windows\system32\drivers
15:38:06.899    Service scanning
15:38:07.492    Service MpKsld994fd8c c:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{E422077F-18E6-4DA1-953C-0FCEA2033C71}\MpKsld994fd8c.sys **LOCKED** 32
15:38:07.508    Service MpNWMon C:\Windows\system32\DRIVERS\MpNWMon.sys **LOCKED** 32
15:38:08.085    Modules scanning
15:38:19.286    Disk 0 trace - called modules:
15:38:19.301    ntkrnlpa.exe CLASSPNP.SYS disk.sys ataport.SYS halmacpi.dll PCIIDEX.SYS msahci.sys
15:38:19.301    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x85fa8740]
15:38:19.317    3 CLASSPNP.SYS[8bbaf59e] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP5T0L0-5[0x85ede030]
15:38:19.723    AVAST engine scan C:\Windows
15:38:23.014    AVAST engine scan C:\Windows\system32
15:39:43.510    AVAST engine scan C:\Windows\system32\drivers
15:39:50.780    AVAST engine scan C:\Users\Ursula
15:41:33.258    AVAST engine scan C:\ProgramData
15:59:36.367    Scan finished successfully
16:10:02.140    Disk 0 MBR has been saved successfully to "C:\Users\Ursula\Desktop\MBR.dat"
16:10:02.140    The log file has been saved successfully to "C:\Users\Ursula\Desktop\aswMBR.log"
Wie gesagt, habe ich schon etliche Programme durchlaufen lassen. Die facemoods-Verbiegungen der Browser sind auch weg - können aber auch nicht ursächlich gewesen sein, weil ja schon vorm Browser-Start das Teil aktiv ist (siehe GMER) und alle Folgeaktionen verhindert oder verschleiert werden.
Ich möchte auch nochmal auf den versteckten Registry-Zweig im (nicht mehr installierten!) sptd-Dienst hinweisen. Der Pfad war "rot" und nicht zu entfernen. Ich weiß jetzt nicht mehr, welches Programm das angezeigt hatte.
Auch ist folgendes interessant:
OTL:
- O16: warum wird java 3x geladen. Kennt jemand die gültigen JAVA-GUIDs?
- O20: was sind das für VMApplet-Einträge? Ich habe keine VM installiert.
- was sind das für api-ms-win-* Einträge vom 2011.08.13. Warum sind die hidden?
Auch kann rkill zwar "alles", d.h. alle User-Prozesse killen, aber nicht die Verbiegungen am ntkrnlpa.exe d.h. irgendwo vorher muss sich das Teil schon eingeklinkt haben - oder vielleicht sogar Systemdateien ersetzt haben, um dann beim check gültige Hashwerte zurückzugeben.

Grüße
shh

kira 03.09.2011 05:19
- O16: warum wird java 3x geladen. Kennt jemand die gültigen JAVA-GUIDs?
für die Signaturen werden ActiveX-Steuerelemente verwendet, grundsätzlich kann man die löschen, bei Aktualisierung wird erneut installiert
- kannst für Java von Oracle, Update 27 installieren, momentan ist aktuell:-> Oracle

- O20: was sind das für VMApplet-Einträge? Ich habe keine VM installiert.
klick:
-> http://technet.microsoft.com/en-us/l.../cc939863.aspx
-> http://technet.microsoft.com/en-us/l.../cc939702.aspx

- was sind das für api-ms-win-* Einträge vom 2011.08.13. Warum sind die hidden?

Hidden heißt, versteckte (verborgene) Objekte, sollten für Unbefugte verborgen bleiben;)


1.
Fixen mit OTL
  • Starte die OTL.exe.
  • Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen.
  • Kopiere folgendes Skript:
Code:
:OTL
[2010.01.01 10:00:00 | 000,002,252 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\bing.xml
[2011.06.08 12:21:16 | 000,002,048 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\fcmdSrch.xml
[2010.01.01 10:00:00 | 000,001,105 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\yahoo-de.xml

:Commands
[purity]
[emptytemp]

2.
reinige dein System mit Ccleaner:
  • "Cleaner"→ "Analysieren"→ Klick auf den Button "Start CCleaner"
  • "Registry""Fehler suchen"→ "Fehler beheben"→ "Alle beheben"
  • Starte dein System neu auf

► berichte erneut über den Zustand des Computers (kurz aber möglichst genau) . Ob noch Probleme auftreten, wenn ja, welche?

shh 03.09.2011 13:00
Danke für die Antworten, aber die gehen leider am Thema vorbei. :(
Das Hauptproblem ist ja wie im Titel schon angegeben: ntkrnlpa.exe!ZwSaveKey + 13D1 ... und das hooken der ganzen Prozesse insbesondere IE9. Siehe GMER Sections scan.
Gibt's hier einen GMER-Spezialisten, der das klären kann?

> Hidden heißt, versteckte (verborgene) Objekte, sollten für Unbefugte verborgen bleiben

Öhm, das war ja wohl klar. :)
Noch mal zu Satz 1 von der Frage. Was ist das, und konkret: Wer hat die am 13.8.2011 installiert?

Code:
:OTL
[2010.01.01 10:00:00 | 000,002,252 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\bing.xml
[2011.06.08 12:21:16 | 000,002,048 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\fcmdSrch.xml
[2010.01.01 10:00:00 | 000,001,105 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\yahoo-de.xml
Das sind nur search-plugins, die möchte ich gerne behalten. Facemoods-search hab ich entfernt; geht in FF auch via "Suchmaschinen verwalten"

Hab CCleaner nochmal laufen lassen, hat nichts zu richten gefunden. Ich möchte auch mal behaupten, dass das tool auch nicht das richtige dafür ist, um verborgene Dienste aufzudecken.

► berichte erneut über den Zustand des Computers (kurz aber möglichst genau) . Ob noch Probleme auftreten, wenn ja, welche?

Der TAB-Dauerfeuer Fehler ist noch nicht wieder aufgetaucht. Tritt aber auch nur 1,2 mal die Woche auf. Mal schaun.
Vor ner Stunde gab's nen Absturz, da konnte der PDF-Drucker nicht aufs Temp-Verzeichnis zugreifen -> Bluescreen, Neustart.

Grüße
shh

shh 03.09.2011 13:37
NACHTRAG:
Siehe: hxxp://www.bleepingcomputer.com/forums/topic362427.html/page__view__findpost__p__2048162
Scheinbar bringt GMER öfters die Meldung für ne modifizierte DLL. In dem thread meint m0le, das GMER.log wäre sauber, obwohl modifizierte DLLs doch ein sicheres Indiz für nen rootkit sind. Mein GMER.log sieht übrigens exakt genauso aus.
Hmm, woher kommt die DLL-Modifikation?

kira 04.09.2011 03:39
Ich denke das muss ein Treiber Problem sein!

zur Nachkontrolle:
lade zusätzlich noch das Tool HijackThis 2.0.4 von *von hier* herunter
HijackThis starten→ "Do a system scan and save a logfile" klicken→ das erhaltene Logfile "markieren" → "kopieren"→ hier in deinem Thread (rechte Maustaste) "einfügen"

shh 05.09.2011 12:32
> Ich denke das muss ein Treiber Problem sein!

Was meinst du wäre ein Treiber-Problem?
- ntkrnlpa.exe ist ein Systemprozess auf den kein Treiber normal Zugriff hat.
- Der ATI-Treiber (= atikmdag.sys) ist der aktuellste, den es für die Grafikkarte gibt. Das war es damals für die 3D-Beschleunigung so üblich, Speicherbereiche schreibbar zu lassen. Der ATI-Treiber ist übrigens auch in der SafeList, siehe GMER.txt.

Grüße
shh

kira 06.09.2011 03:24
Zitat:
Zitat von shh (Beitrag 699233)
Noch mal zu Satz 1 von der Frage. Was ist das, und konkret: Wer hat die am 13.8.2011 installiert?
Bei Installation werden oft "ungefragt", ohne Einwilligung der Benutzer Programme (die nicht allzu saubere Programmierung und dadurch ausgelöste Nebenwirkungen bekannt), Erweiterungen, unsichtbare Treiber und alle mögliche installiert. Die Installation läuft im Hintergrund ab, ohne dass der User darüber informiert wird! Darunter Microsoft und diverse Spiele sind auch keine Ausnahmen!

Zitat:
Zitat von shh (Beitrag 699237)
NACHTRAG:
Scheinbar bringt GMER öfters die Meldung für ne modifizierte DLL. In dem thread meint m0le, das GMER.log wäre sauber, obwohl modifizierte DLLs doch ein sicheres Indiz für nen rootkit sind.
Das Tool Gmer auch kein "Gott" und "Indiz" für Rootkit gibt es mehr wie genug, u. a.ausgelöst von Prozessen (verdächtige Verhaltensmuster, die folglich als harmlos anzusehen sind), die den Kernel manipulieren.. Nehmen wir gleich als Beispiele, einfaches Emulationsprogramme wie z.B Daemon Tools oder Alcohol
Beinhaltet Funktionen, die auch Rootkits benutzen, oder wie Alcohol, verwendet Rootkit-Techniken, um sich vor Kopierschutz-Programmen zu verstecken.

Zitat:
Zitat von shh (Beitrag 698902)
Mittlerweile habe ich den SPTD-Treiber 1.78 von Deamon-Tools entfernt/deinstalliert, trotzdem sind noch versteckte(?) Registry-Einträge im sptd-services-Zweig.
Fakt ist:
Je mehr Programme einschließlich Treiber man installiert, umso träger wird das System, umso mehr Probleme treten auf. Alle Komponenten der alten Software restlos zu entfernen nicht möglich, das System wird enorm instabil, so dass häufige Abstürze die Folge sind.
Dann im System auftretende schwerwiegende Fehler und wechselnde Probleme, sind wie mit dem Heu im Nadelhaufen finden. Warum installierst Du Windows nicht neu? Damit sollte dein Problem behoben sein...Aber vergewissere dich, dass du Windows hast!


Alle Zeitangaben in WEZ +1. Es ist jetzt 23:57 Uhr.

Copyright ©2000-2024, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129