|
roter Bildschirm "Aus Sicherheitsgründen wurde ihr Windowssystem blockiert" Es erscheint ein Fenster mit der Überschrift "Aus Sicherheitsgründen wurde Ihr Windowssystem blockiert." Im Weiteren wird ein zusätzliches Sicherheitsupdate zum Download angeboten. Weiter unten im Fenster ist ein Button "Bezahlen und runterladen" dargesellt. Der restliche Hintergrund des Bildschirms ist rot. Windows-Elemente sind nicht mehr sichtbar/ bedienbar. An dieser Stelle hilft nur noch PC ausschalten. Ich habe über das Programm Malwarebytes (wie in anderen Beiträgen beschrieben) über den infizierten PC laufen lassen (das betroffene Benutzer Account war kein Admin; den Suchlauf habe ich von dem Admin-Account laufen lassen, da ich hier ohnehin rein musste um das Programm zu installierten). Die Log-Datei ist anbei. Die hier aufgeführten identifizierten Dateien habe ich gelöscht. Nach einem Neustart kommt der oben beschriebene Bildschirm im betroffnen Account leider immer noch. Was kann ich tun, um das Teil loszuwerden? PS: dieser Eintrag wurde nicht von dem betroffenen PC aus erstellt. |
Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! Führe danach auch bitte ESET aus, danach sehen wir weiter. ESET Online Scanner
n. |
Hallo Arne, habe die beschriebene Vorgehensweise durchgeführt. Die Log Dateien des vollständigen Scans von Malwarebytes sowie von Eset habe ich beigefügt. Die infizierten Dateien gem. Scan Malwarebytes habe ich in dem Scanprogramm gelöscht. Die Scans habe ich über das Admin-Benutzerkonto durchgeführt, da ich in dem infizierten Konto aufgrund der "Bildschirmsperre" keinen Zugriff hatte. Nach einem Neustart und Anmeldung bei infizierten Benuterkonto habe ich die Meldung / Bildschirmsperre bislang nicht mehr gehabt. Sind nun alle Viren elemeniert; wie kann ich ggfs. sichergehen? Vielen Dank schon mal für die Hilfe !!!!! Alleine hätte ich das wohl nicht hinbekommen. |
CustomScan mit OTL Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code: netsvcs
|
Hallo Arne, habe OTL im Admin runtergeladen und gestartet; Log anbei (sorry war für den Anhang zu groß, daher im Text). Nach dem Start habe ich gesehen, dass neben dem Button "QuickScan" noch die Möglichkeit besteht, den Haken "Scanne alle Benutzer" zu setzen. Dies habe ich nicht getan (stand nicht in deiner Anleitung). Wäre dies ggfs. nötig/ sinnvoll gewesen? Habe ich es jetzt überstanden? Kannst du mir sagen, was das für Viren waren, die alle so erkannt und hoffentlich beseitigt wurden? Kann ich die Programme Malwarebytes und OTL nun wieder vom PC löschen? Viele Grüße OTL Logfile: Code: OTL logfile created on: 14.09.2011 09:28:27 - Run 1 |
Nein wir sind noch nicht durch also keine voreiligen Aktionen bitte machen. Gib dem betroffenen Benutzerkonto bitte mal vorübergehend Adminrechte. Dann mach das gleiche OTL-Log nochmal aber führ es unter diesem Benutzer aus, der dann temporär Adminrechte vorher bekam. |
ups das war doppelt ... |
hallo, anbei das OTL Log (ausgeführt im infizierten Benutzerkonto; AdminRechte hatte ich temporär für den Scan-Vorgang eingeräumt). wie ist das Status? mir sagt das alles nichts.... OTL Logfile: Code: OTL logfile created on: 14.09.2011 16:29:41 - Run 2 |
Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!! Code: :OTLDas Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt. |
Hallo Arne, habe ich durchgeführt; Log anbei. Wie ist der Status? Viele Grüße |
Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten. http://www.trojaner-board.de/attachm...rnen-start.png Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern ) http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif |
Hallo Arne, in einem anderen Beitrag zum Thema "roter Bildschirm" von "Lavia" im Dialog mir "kira" habe ich etwas von "Backdoor" - Trojaner oder so ähnlich gelesen. Das hat sich für mich nach einem ziemlich ensten Virus/Befall angehört. Gibt es Anzeichen, dass "mein" Virus der gleiche (also auch ein "Backdoor") ist? Ich bin da nicht so firm wie "Lavia" und würde mich über eine Rückmeldung für einen Laien freuen. Vielen Dank |
Wenn du die Logs nicht postest kann ich auch mir auch kein Urteil bilden |
Hallo Arne, ich dachte, aus den bisherhigen Logs wäre eine Analyse auf „Backdoor“ bereits möglich. Anbei das Log von dem Kaspersky-Tool. Auf „Eigene Dateien“ kann ich in dem betroffenen Account zugreifen und auch Dateien öffnen. -> ist nun eine Aussage über das Ausmaß des Befalls möglich (z.B. Backdoor, o.ä. …)? -> ich habe von Malwarebytes immer mal wieder eine Meldung über eine geblocke „outgoing“ Meldung erhalten (Log hierzu anbei); was hat das zu bedeuten? bzw. was sagt das ggfs. über den Befall aus? Viele Grüße |
Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Halo Arne, anbei das Log von ComboFix. Was ist anhand der ganzen Log's zu erkennen? Wie ist der Sachstand? Viele Grüße Combofix Logfile: Code: ComboFix 11-09-15.05 - FamPluschke 16.09.2011 15:53:44.1.2 - x86 |
Zitat:
Combofix - Scripten 1. Starte das Notepad (Start / Ausführen / notepad[Enter]) 2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein. Code: File::4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall. (Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !) 5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet. http://users.pandora.be/bluepatchy/m...s/CFScript.gif 6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien: Combofix.txt Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann! |
[QUOTE=cosinus;702538]Wieso wurde eigentlich das SP3 vergessen? So eine Schlamperei ist gefährlich... => stimmt wohl; wie gesagt, ich bin da nicht so der Experte ... ich muss zusehen, ob ich den letzten von dir beschriebenen Schritt heute noch schaffe ... ansonsten melde ich mich Anfang Oktober wieder bei dir, wenn es für dich ok ist. Bis dahin ... Viele Grüße |
Hallo bin wieder da und habe das Log aus deiner Antwort vom 17.09. eingefügt. Ist bislang schon irgendeine Info möglich was das für ein Teil ist und was es ggfs. mit dem System anstellt bzw. hinterlassen hat??? Wäre wirklich dankfür für eine Antwort auf diese Frage - ich bin wirklich alles andere als ein PC Experte .... würde mich dabei über "Laiensprache" sehr freuen ;-)) Viele Grüße Combofix Logfile: Code: ComboFix 11-10-04.04 - FamPluschke 04.10.2011 20:55:05.2.2 - x86 |
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM! Downloade dir bitte  aswMBR.exe und speichere die Datei auf deinem Desktop.
Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none). |
Hallo Arne, anbei die Log's. Was sagen diese aus? GMER-Log: GMER Logfile: Code: GMER 1.0.15.15641 - GMER - Rootkit Detector and Remover |
OSAM-LOg: OSAM Logfile: Code: Report of OSAM: Autorun Manager v5.0.11926.0If You have questions or want to get some help, You can visit Online Solutions :: Index |
aswMBR-Log: aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software Run date: 2011-10-09 19:49:47 ----------------------------- 19:49:47.531 OS Version: Windows 5.1.2600 Service Pack 2 19:49:47.531 Number of processors: 2 586 0x6801 19:49:47.531 ComputerName: LAPTOP UserName: 19:49:49.109 Initialize success 19:56:09.828 AVAST engine defs: 11100900 19:58:07.078 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 19:58:07.078 Disk 0 Vendor: ST9120822AS 3.BHE Size: 114473MB BusType: 3 19:58:09.250 Disk 0 MBR read successfully 19:58:09.250 Disk 0 MBR scan 19:58:09.296 Disk 0 unknown MBR code 19:58:09.328 Disk 0 scanning sectors +234436545 19:58:09.468 Disk 0 scanning C:\WINDOWS\system32\drivers 19:58:36.125 Service scanning 19:58:36.593 Service SafeBoot C:\WINDOWS\System32\Drivers\SafeBoot.sys **LOCKED** 32 19:58:37.140 Modules scanning 19:59:21.250 Disk 0 trace - called modules: 19:59:21.281 ntkrnlpa.exe CLASSPNP.SYS disk.sys hpdskflt.sys hal.dll ACPI.sys atapi.sys pciide.sys PCIIDEX.SYS 19:59:21.281 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x89d07ab8] 19:59:21.281 3 CLASSPNP.SYS[f74f805b] -> nt!IofCallDriver -> [0x89c4b020] 19:59:21.281 5 hpdskflt.sys[f7518ffd] -> nt!IofCallDriver -> \Device\00000090[0x89d21e98] 19:59:21.281 7 ACPI.sys[f735d620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-3[0x89d18d98] 19:59:21.562 AVAST engine scan C:\WINDOWS 19:59:48.671 AVAST engine scan C:\WINDOWS\system32 20:02:20.078 AVAST engine scan C:\WINDOWS\system32\drivers 20:02:44.015 AVAST engine scan C:\Dokumente und Einstellungen\FamPluschke 20:22:36.343 AVAST engine scan C:\Dokumente und Einstellungen\All Users 20:25:51.687 Scan finished successfully 22:30:18.515 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\FamPluschke\Desktop\MBR.dat" 22:30:18.515 The log file has been saved successfully to "C:\Dokumente und Einstellungen\FamPluschke\Desktop\aswMBR.txt" |
Wir sollten den MBR fixen, sichere für den Fall der Fälle ALLE wichtigen Daten, auch wenn meistens alles glatt geht. Starte nach der Datensicherung aswmbr erneut und klick auf den Button FIXMBR. Anschließend Windows neu starten und ein neues Log mit aswMBR machen. |
Hallo Arne, kann ich an den PC eine externe Festplatte anschließen und die Dateien sichern? oder laufe ich dann Gefahr den Virus oder was auch immer ebenfalls auf die extere Festplatte zu übertragen? Wie ist die beste Vorgehensweise (> einfch Ordner mit den Dateien kopieren? oder oder über ein Sicherungsprogramm (z.B. SynBack)?) Was bedeutet MBR fixen? >> was passiert dabei mit dem PC bzw. was könnte im ungewollten Fall passieren? Viele Grüße |
Ja auf externe Platte. Aber 100% Sicherheit gibt es nicht. Beschränke dich auf persönliche Dateien, Musik, Bilder, Videos, Dokumente, etc aber KEINE Programme/Spiele/Setups oder Bestandteile davon. |
kann die Archivdatei von Outlook gesichert werden (Kontakte, Mails, Kalender etc) oder ist das als Bestandteil eines Programms zu werten? |
Die Archivdatei von Outlook kannst du auch mitnehmen. |
habe ein log von aswMBR (Fix) was ich direkt nach dem fix gespeichert habe. meinst du mit log nach neustart, dass ich mit aswMB noch einmal einen scan laufen lassen soll? |
Ja nach dem Fix neu starten, dann einen normalen Scan mit aswMBR machen und das Log davon posten |
Hallo Arne, hier nun endlich das Log (nach dem aswMBR Fix, Neustart > Scan). PC lebt noch, Dateien sind -soweit ich das überblicken kann- auch noch vorhanden. übringes: den roten Bildschirm oder sonstige ersichtliche Symtome einer Infektion habe ich seit den ersten durchgefühten Fixes von irgenwelchen der vielen Programme nicht mehr gesehen. Viele Grüße aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software Run date: 2011-10-20 15:50:12 ----------------------------- 15:50:12.484 OS Version: Windows 5.1.2600 Service Pack 2 15:50:12.484 Number of processors: 2 586 0x6801 15:50:12.484 ComputerName: LAPTOP UserName: 15:50:13.015 Initialize success 15:50:21.796 AVAST engine defs: 11102001 15:50:27.656 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 15:50:27.656 Disk 0 Vendor: ST9120822AS 3.BHE Size: 114473MB BusType: 3 15:50:29.718 Disk 0 MBR read successfully 15:50:29.734 Disk 0 MBR scan 15:50:29.812 Disk 0 Windows XP default MBR code 15:50:29.812 Disk 0 scanning sectors +234436545 15:50:29.875 Disk 0 scanning C:\WINDOWS\system32\drivers 15:50:43.781 Service scanning 15:50:44.625 Service SafeBoot C:\WINDOWS\System32\Drivers\SafeBoot.sys **LOCKED** 32 15:50:45.265 Modules scanning 15:50:51.421 Module: C:\WINDOWS\system32\ntdll.dll **SUSPICIOUS** 15:50:51.437 Disk 0 trace - called modules: 15:50:51.453 ntkrnlpa.exe CLASSPNP.SYS disk.sys hpdskflt.sys hal.dll ACPI.sys atapi.sys pciide.sys PCIIDEX.SYS 15:50:51.468 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x89c49ab8] 15:50:51.468 3 CLASSPNP.SYS[f74f805b] -> nt!IofCallDriver -> [0x89d17160] 15:50:51.468 5 hpdskflt.sys[f7518ffd] -> nt!IofCallDriver -> \Device\00000090[0x89d231e8] 15:50:51.484 7 ACPI.sys[f735d620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-3[0x89cf0940] 15:50:52.062 AVAST engine scan C:\WINDOWS 15:51:22.781 AVAST engine scan C:\WINDOWS\system32 15:53:46.937 AVAST engine scan C:\WINDOWS\system32\drivers 15:54:01.437 AVAST engine scan C:\Dokumente und Einstellungen\FamPluschke 16:14:40.515 AVAST engine scan C:\Dokumente und Einstellungen\All Users 16:17:30.218 Scan finished successfully 16:31:26.734 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\FamPluschke\Desktop\MBR.dat" 16:31:26.734 The log file has been saved successfully to "C:\Dokumente und Einstellungen\FamPluschke\Desktop\aswMBR_20111020.txt" |
Zitat:
Bitte diese Datei => C:\WINDOWS\system32\ntdll.dll bei Virustotal auswerten lassen und den Ergebnislink posten. Falls Du die Datei nicht siehst, musst Du sie evtl. vorher sichtbar machen. Wenn die Datei schon ausgewertet sein sollte, bitte eine weitere Auswertung starten. |
hi arne, hier ist der link: https://www.virustotal.com/file-scan/reanalysis.html?id=c062e55c12a2c9a87b4aad5f9d2b7e0c93ade2c8d6027760a76a0cac980f9b1e-1319127701 es heisst, die datei wurde schon mal analysiert (siehe auch unter dem link) die datei ist rd 700kb groß und wurde zuletzt am 9.9.2009 geändert. viele gruesse |
Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
|
war die datei schadhaft? was hat die Rückmelung in VirusTotal ausgesagt? |
Stand doch da: 0 Funde! Mach bitte die Kontrollscans |
hallo arne, während malwarebytes gelaufen ist hat avira einen virus identifiziert: C:\System Volume Information\_restore ...irgenein adresscode ...\A0155900.exe Ist das Trojanische Pferd TR/Krazy.384384 habe die meldung noch auf dem "guard-fenster". soll ich die aktion "in quarantäne verschieben" ausführen? log-file liefere ich gleich - komme durch das Fenster derzeit noch nicht dran ... viele Grüße Ergänzung: hups ...bei Avira habe ich unter "Ergebnisse" 22 Funde in der letzten Stunde festgestellt (i.W. C:/OTL/moved Files ..) soll ich die einzelergebnisse mal posten? |
hier schon mal das malwarebyte -log: Malwarebytes' Anti-Malware 1.51.2.1300 Malwarebytes : Free anti-malware, anti-virus and spyware removal download Database version: 7988 Windows 5.1.2600 Service Pack 2 Internet Explorer 8.0.6001.18702 20.10.2011 21:28:07 mbam-log-2011-10-20 (21-28-07).txt Scan type: Full scan (C:\|E:\|) Objects scanned: 356365 Time elapsed: 1 hour(s), 51 minute(s), 31 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 0 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: (No malicious items detected) |
danke für die geduld .... ;-) |
hallo arne, hier nun die noch fehlenden logs (in reihenfolge der ausführung). Bislang habe ich nach den Funden -deinen Beschreibungen folgend- keine Aktion "Remove" oder "Löschen" etc. für die Funde ausgeführt. Bitte gib mir Bescheid, wenn ich hier etwas unternehmen soll. Danke. viele grüße 1. aswMBR-Log: aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software Run date: 2011-10-20 15:50:12 ----------------------------- 15:50:12.484 OS Version: Windows 5.1.2600 Service Pack 2 15:50:12.484 Number of processors: 2 586 0x6801 15:50:12.484 ComputerName: LAPTOP UserName: 15:50:13.015 Initialize success 15:50:21.796 AVAST engine defs: 11102001 15:50:27.656 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 15:50:27.656 Disk 0 Vendor: ST9120822AS 3.BHE Size: 114473MB BusType: 3 15:50:29.718 Disk 0 MBR read successfully 15:50:29.734 Disk 0 MBR scan 15:50:29.812 Disk 0 Windows XP default MBR code 15:50:29.812 Disk 0 scanning sectors +234436545 15:50:29.875 Disk 0 scanning C:\WINDOWS\system32\drivers 15:50:43.781 Service scanning 15:50:44.625 Service SafeBoot C:\WINDOWS\System32\Drivers\SafeBoot.sys **LOCKED** 32 15:50:45.265 Modules scanning 15:50:51.421 Module: C:\WINDOWS\system32\ntdll.dll **SUSPICIOUS** 15:50:51.437 Disk 0 trace - called modules: 15:50:51.453 ntkrnlpa.exe CLASSPNP.SYS disk.sys hpdskflt.sys hal.dll ACPI.sys atapi.sys pciide.sys PCIIDEX.SYS 15:50:51.468 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x89c49ab8] 15:50:51.468 3 CLASSPNP.SYS[f74f805b] -> nt!IofCallDriver -> [0x89d17160] 15:50:51.468 5 hpdskflt.sys[f7518ffd] -> nt!IofCallDriver -> \Device\00000090[0x89d231e8] 15:50:51.484 7 ACPI.sys[f735d620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-3[0x89cf0940] 15:50:52.062 AVAST engine scan C:\WINDOWS 15:51:22.781 AVAST engine scan C:\WINDOWS\system32 15:53:46.937 AVAST engine scan C:\WINDOWS\system32\drivers 15:54:01.437 AVAST engine scan C:\Dokumente und Einstellungen\FamPluschke 16:14:40.515 AVAST engine scan C:\Dokumente und Einstellungen\All Users 16:17:30.218 Scan finished successfully 16:31:26.734 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\FamPluschke\Desktop\MBR.dat" 16:31:26.734 The log file has been saved successfully to "C:\Dokumente und Einstellungen\FamPluschke\Desktop\aswMBR_20111020.txt" 2. Malwarebyte-Log Malwarebytes' Anti-Malware 1.51.2.1300 www.malwarebytes.org Database version: 7988 Windows 5.1.2600 Service Pack 2 Internet Explorer 8.0.6001.18702 20.10.2011 21:28:07 mbam-log-2011-10-20 (21-28-07).txt Scan type: Full scan (C:\|E:\|) Objects scanned: 356365 Time elapsed: 1 hour(s), 51 minute(s), 31 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 0 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: (No malicious items detected) 3. Avira (1. Fund): Avira AntiVir Personal Erstellungsdatum der Reportdatei: Donnerstag, 20. Oktober 2011 21:43 Es wird nach 3416680 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 2) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : LAPTOP Versionsinformationen: BUILD.DAT : 10.2.0.704 35934 Bytes 28.09.2011 13:14:00 AVSCAN.EXE : 10.3.0.7 484008 Bytes 30.06.2011 19:52:22 AVSCAN.DLL : 10.0.5.0 57192 Bytes 30.06.2011 19:52:22 LUKE.DLL : 10.3.0.5 45416 Bytes 30.06.2011 19:52:22 LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47 AVSCPLR.DLL : 10.3.0.7 119656 Bytes 30.06.2011 19:52:23 AVREG.DLL : 10.3.0.9 88833 Bytes 12.07.2011 16:56:24 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 18:30:26 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 19:19:58 VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 20:43:22 VBASE003.VDF : 7.11.5.225 1980416 Bytes 07.04.2011 12:39:27 VBASE004.VDF : 7.11.8.178 2354176 Bytes 31.05.2011 21:05:34 VBASE005.VDF : 7.11.10.251 1788416 Bytes 07.07.2011 18:55:03 VBASE006.VDF : 7.11.13.60 6411776 Bytes 16.08.2011 17:46:04 VBASE007.VDF : 7.11.15.106 2389504 Bytes 05.10.2011 06:58:27 VBASE008.VDF : 7.11.15.107 2048 Bytes 05.10.2011 06:58:27 VBASE009.VDF : 7.11.15.108 2048 Bytes 05.10.2011 06:58:27 VBASE010.VDF : 7.11.15.109 2048 Bytes 05.10.2011 06:58:27 VBASE011.VDF : 7.11.15.110 2048 Bytes 05.10.2011 06:58:28 VBASE012.VDF : 7.11.15.111 2048 Bytes 05.10.2011 06:58:28 VBASE013.VDF : 7.11.15.144 161792 Bytes 07.10.2011 06:58:28 VBASE014.VDF : 7.11.15.177 130048 Bytes 10.10.2011 06:00:42 VBASE015.VDF : 7.11.15.213 113664 Bytes 11.10.2011 18:03:03 VBASE016.VDF : 7.11.16.1 163328 Bytes 14.10.2011 18:03:03 VBASE017.VDF : 7.11.16.34 187904 Bytes 18.10.2011 11:36:38 VBASE018.VDF : 7.11.16.77 139264 Bytes 20.10.2011 11:36:38 VBASE019.VDF : 7.11.16.78 2048 Bytes 20.10.2011 11:36:38 VBASE020.VDF : 7.11.16.79 2048 Bytes 20.10.2011 11:36:38 VBASE021.VDF : 7.11.16.80 2048 Bytes 20.10.2011 11:36:39 VBASE022.VDF : 7.11.16.81 2048 Bytes 20.10.2011 11:36:39 VBASE023.VDF : 7.11.16.82 2048 Bytes 20.10.2011 11:36:39 VBASE024.VDF : 7.11.16.83 2048 Bytes 20.10.2011 11:36:39 VBASE025.VDF : 7.11.16.84 2048 Bytes 20.10.2011 11:36:39 VBASE026.VDF : 7.11.16.85 2048 Bytes 20.10.2011 11:36:39 VBASE027.VDF : 7.11.16.86 2048 Bytes 20.10.2011 11:36:39 VBASE028.VDF : 7.11.16.87 2048 Bytes 20.10.2011 11:36:39 VBASE029.VDF : 7.11.16.88 2048 Bytes 20.10.2011 11:36:39 VBASE030.VDF : 7.11.16.89 2048 Bytes 20.10.2011 11:36:39 VBASE031.VDF : 7.11.16.91 2048 Bytes 20.10.2011 11:36:40 Engineversion : 8.2.6.84 AEVDF.DLL : 8.1.2.1 106868 Bytes 04.08.2010 18:48:11 AESCRIPT.DLL : 8.1.3.81 467322 Bytes 04.10.2011 18:17:43 AESCN.DLL : 8.1.7.2 127349 Bytes 26.11.2010 23:53:47 AESBX.DLL : 8.2.1.34 323957 Bytes 01.06.2011 21:05:44 AERDL.DLL : 8.1.9.15 639348 Bytes 09.09.2011 20:36:16 AEPACK.DLL : 8.2.10.11 684408 Bytes 03.10.2011 15:06:42 AEOFFICE.DLL : 8.1.2.15 201083 Bytes 03.10.2011 15:06:41 AEHEUR.DLL : 8.1.2.180 3748217 Bytes 14.10.2011 18:03:04 AEHELP.DLL : 8.1.17.7 254327 Bytes 29.07.2011 06:59:08 AEGEN.DLL : 8.1.5.9 401780 Bytes 01.09.2011 18:17:15 AEEMU.DLL : 8.1.3.0 393589 Bytes 26.11.2010 23:53:42 AECORE.DLL : 8.1.23.0 196983 Bytes 01.09.2011 18:17:15 AEBB.DLL : 8.1.1.0 53618 Bytes 06.06.2010 06:46:39 AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10 AVPREF.DLL : 10.0.3.2 44904 Bytes 30.06.2011 19:52:22 AVREP.DLL : 10.0.0.10 174120 Bytes 27.05.2011 21:28:51 AVARKT.DLL : 10.0.26.1 255336 Bytes 30.06.2011 19:52:21 AVEVTLOG.DLL : 10.0.0.9 203112 Bytes 30.06.2011 19:52:22 SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53 AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54 NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55 RCIMAGE.DLL : 10.0.0.35 2589544 Bytes 30.06.2011 19:52:21 RCTEXT.DLL : 10.0.64.0 98664 Bytes 30.06.2011 19:52:21 Konfiguration für den aktuellen Suchlauf: Job Name..............................: avguard_async_scan Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_4ed8280e\guard_slideup.avp Protokollierung.......................: standard Primäre Aktion........................: interaktiv Sekundäre Aktion......................: quarantäne Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: aus Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: aus Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: vollständig Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR, Beginn des Suchlaufs: Donnerstag, 20. Oktober 2011 21:43 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'SearchFilterHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jucheck.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HpqToaster.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PSDrt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchProtocolHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mqtgsvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mqsvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqwmiex.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchIndexer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDSmartWareBackgroundService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDDMService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'uphclean.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'IfxPsdSv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MDM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mbamservice.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'LSSrvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iviRegMgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ifxtcs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ifxspmgt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'bgsvcgen.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ccc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ccc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CCC.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WindowsSearch.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDSmartWare.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDDMStatus.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hardcopy.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BTTray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'VideoCamSuiteAutoStart.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MOM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'LightScribeControlPanel.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mbamgui.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AdobeARM.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smax4pnp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HPWuSchd2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'fpassist.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'EEventManager.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'apdproxy.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AccelerometerSt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Scheduler.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'QlbCtrl.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HPWAMain.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PTHOSTTR.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'asghost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SCardSvr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'btwdins.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HpFkCrypt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP434\A0155900.exe' C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP434\A0155900.exe [FUND] Ist das Trojanische Pferd TR/Kazy.384384 Beginne mit der Desinfektion: C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP434\A0155900.exe [FUND] Ist das Trojanische Pferd TR/Kazy.384384 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ce4240c.qua' verschoben! Ende des Suchlaufs: Donnerstag, 20. Oktober 2011 22:11 Benötigte Zeit: 00:04 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 0 Verzeichnisse wurden überprüft 81 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 80 Dateien ohne Befall 0 Archive wurden durchsucht 0 Warnungen 1 Hinweise Die Suchergebnisse werden an den Guard übermittelt. 4. Avira weitere Funde: Avira AntiVir Personal Erstellungsdatum der Reportdatei: Donnerstag, 20. Oktober 2011 22:11 Es wird nach 3416680 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 2) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : LAPTOP Versionsinformationen: BUILD.DAT : 10.2.0.704 35934 Bytes 28.09.2011 13:14:00 AVSCAN.EXE : 10.3.0.7 484008 Bytes 30.06.2011 19:52:22 AVSCAN.DLL : 10.0.5.0 57192 Bytes 30.06.2011 19:52:22 LUKE.DLL : 10.3.0.5 45416 Bytes 30.06.2011 19:52:22 LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47 AVSCPLR.DLL : 10.3.0.7 119656 Bytes 30.06.2011 19:52:23 AVREG.DLL : 10.3.0.9 88833 Bytes 12.07.2011 16:56:24 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 18:30:26 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 19:19:58 VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 20:43:22 VBASE003.VDF : 7.11.5.225 1980416 Bytes 07.04.2011 12:39:27 VBASE004.VDF : 7.11.8.178 2354176 Bytes 31.05.2011 21:05:34 VBASE005.VDF : 7.11.10.251 1788416 Bytes 07.07.2011 18:55:03 VBASE006.VDF : 7.11.13.60 6411776 Bytes 16.08.2011 17:46:04 VBASE007.VDF : 7.11.15.106 2389504 Bytes 05.10.2011 06:58:27 VBASE008.VDF : 7.11.15.107 2048 Bytes 05.10.2011 06:58:27 VBASE009.VDF : 7.11.15.108 2048 Bytes 05.10.2011 06:58:27 VBASE010.VDF : 7.11.15.109 2048 Bytes 05.10.2011 06:58:27 VBASE011.VDF : 7.11.15.110 2048 Bytes 05.10.2011 06:58:28 VBASE012.VDF : 7.11.15.111 2048 Bytes 05.10.2011 06:58:28 VBASE013.VDF : 7.11.15.144 161792 Bytes 07.10.2011 06:58:28 VBASE014.VDF : 7.11.15.177 130048 Bytes 10.10.2011 06:00:42 VBASE015.VDF : 7.11.15.213 113664 Bytes 11.10.2011 18:03:03 VBASE016.VDF : 7.11.16.1 163328 Bytes 14.10.2011 18:03:03 VBASE017.VDF : 7.11.16.34 187904 Bytes 18.10.2011 11:36:38 VBASE018.VDF : 7.11.16.77 139264 Bytes 20.10.2011 11:36:38 VBASE019.VDF : 7.11.16.78 2048 Bytes 20.10.2011 11:36:38 VBASE020.VDF : 7.11.16.79 2048 Bytes 20.10.2011 11:36:38 VBASE021.VDF : 7.11.16.80 2048 Bytes 20.10.2011 11:36:39 VBASE022.VDF : 7.11.16.81 2048 Bytes 20.10.2011 11:36:39 VBASE023.VDF : 7.11.16.82 2048 Bytes 20.10.2011 11:36:39 VBASE024.VDF : 7.11.16.83 2048 Bytes 20.10.2011 11:36:39 VBASE025.VDF : 7.11.16.84 2048 Bytes 20.10.2011 11:36:39 VBASE026.VDF : 7.11.16.85 2048 Bytes 20.10.2011 11:36:39 VBASE027.VDF : 7.11.16.86 2048 Bytes 20.10.2011 11:36:39 VBASE028.VDF : 7.11.16.87 2048 Bytes 20.10.2011 11:36:39 VBASE029.VDF : 7.11.16.88 2048 Bytes 20.10.2011 11:36:39 VBASE030.VDF : 7.11.16.89 2048 Bytes 20.10.2011 11:36:39 VBASE031.VDF : 7.11.16.91 2048 Bytes 20.10.2011 11:36:40 Engineversion : 8.2.6.84 AEVDF.DLL : 8.1.2.1 106868 Bytes 04.08.2010 18:48:11 AESCRIPT.DLL : 8.1.3.81 467322 Bytes 04.10.2011 18:17:43 AESCN.DLL : 8.1.7.2 127349 Bytes 26.11.2010 23:53:47 AESBX.DLL : 8.2.1.34 323957 Bytes 01.06.2011 21:05:44 AERDL.DLL : 8.1.9.15 639348 Bytes 09.09.2011 20:36:16 AEPACK.DLL : 8.2.10.11 684408 Bytes 03.10.2011 15:06:42 AEOFFICE.DLL : 8.1.2.15 201083 Bytes 03.10.2011 15:06:41 AEHEUR.DLL : 8.1.2.180 3748217 Bytes 14.10.2011 18:03:04 AEHELP.DLL : 8.1.17.7 254327 Bytes 29.07.2011 06:59:08 AEGEN.DLL : 8.1.5.9 401780 Bytes 01.09.2011 18:17:15 AEEMU.DLL : 8.1.3.0 393589 Bytes 26.11.2010 23:53:42 AECORE.DLL : 8.1.23.0 196983 Bytes 01.09.2011 18:17:15 AEBB.DLL : 8.1.1.0 53618 Bytes 06.06.2010 06:46:39 AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10 AVPREF.DLL : 10.0.3.2 44904 Bytes 30.06.2011 19:52:22 AVREP.DLL : 10.0.0.10 174120 Bytes 27.05.2011 21:28:51 AVARKT.DLL : 10.0.26.1 255336 Bytes 30.06.2011 19:52:21 AVEVTLOG.DLL : 10.0.0.9 203112 Bytes 30.06.2011 19:52:22 SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53 AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54 NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55 RCIMAGE.DLL : 10.0.0.35 2589544 Bytes 30.06.2011 19:52:21 RCTEXT.DLL : 10.0.64.0 98664 Bytes 30.06.2011 19:52:21 Konfiguration für den aktuellen Suchlauf: Job Name..............................: avguard_async_scan Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_4ed8280e\guard_slideup.avp Protokollierung.......................: standard Primäre Aktion........................: interaktiv Sekundäre Aktion......................: quarantäne Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: aus Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: aus Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: vollständig Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR, Beginn des Suchlaufs: Donnerstag, 20. Oktober 2011 22:11 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchFilterHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jucheck.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HpqToaster.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PSDrt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchProtocolHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mqtgsvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mqsvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqwmiex.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchIndexer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDSmartWareBackgroundService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDDMService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'uphclean.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'IfxPsdSv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MDM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mbamservice.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'LSSrvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iviRegMgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ifxtcs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ifxspmgt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'bgsvcgen.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ccc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ccc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CCC.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WindowsSearch.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDSmartWare.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDDMStatus.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hardcopy.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BTTray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'VideoCamSuiteAutoStart.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MOM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'LightScribeControlPanel.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mbamgui.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AdobeARM.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smax4pnp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HPWuSchd2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'fpassist.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'EEventManager.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'apdproxy.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AccelerometerSt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Scheduler.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'QlbCtrl.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HPWAMain.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PTHOSTTR.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'asghost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SCardSvr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'btwdins.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HpFkCrypt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP435\A0160954.exe' C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP435\A0160954.exe [FUND] Ist das Trojanische Pferd TR/Trash.Gen Beginne mit der Suche in 'C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163287.bat' C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163287.bat [FUND] Enthält verdächtigen Code: HEUR/HTML.Malware Beginne mit der Suche in 'C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163549.bat' C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163549.bat [FUND] Enthält verdächtigen Code: HEUR/HTML.Malware Beginne mit der Suche in 'C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163632.bat' C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163632.bat [FUND] Enthält verdächtigen Code: HEUR/HTML.Malware Beginne mit der Suche in 'C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP439\A0163688.bat' C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP439\A0163688.bat [FUND] Enthält verdächtigen Code: HEUR/HTML.Malware Beginne mit der Suche in 'C:\_OTL\MovedFiles\09152011_083753\C_Dokumente und Einstellungen\FamPluschke\Anwendungsdaten\Dyge\huwu.exe' C:\_OTL\MovedFiles\09152011_083753\C_Dokumente und Einstellungen\FamPluschke\Anwendungsdaten\Dyge\huwu.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen5 Beginne mit der Desinfektion: C:\_OTL\MovedFiles\09152011_083753\C_Dokumente und Einstellungen\FamPluschke\Anwendungsdaten\Dyge\huwu.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen5 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d22258d.qua' verschoben! C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP439\A0163688.bat [FUND] Enthält verdächtigen Code: HEUR/HTML.Malware [HINWEIS] Der Fund wurde als verdächtig eingestuft. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '54730be6.qua' verschoben! C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163632.bat [FUND] Enthält verdächtigen Code: HEUR/HTML.Malware [HINWEIS] Der Fund wurde als verdächtig eingestuft. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '062c510e.qua' verschoben! C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163549.bat [FUND] Enthält verdächtigen Code: HEUR/HTML.Malware [HINWEIS] Der Fund wurde als verdächtig eingestuft. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '601b1ecd.qua' verschoben! C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP438\A0163287.bat [FUND] Enthält verdächtigen Code: HEUR/HTML.Malware [HINWEIS] Der Fund wurde als verdächtig eingestuft. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '259f33f3.qua' verschoben! C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP435\A0160954.exe [FUND] Ist das Trojanische Pferd TR/Trash.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5a840192.qua' verschoben! Ende des Suchlaufs: Donnerstag, 20. Oktober 2011 22:12 Benötigte Zeit: 00:01 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 0 Verzeichnisse wurden überprüft 87 Dateien wurden geprüft 2 Viren bzw. unerwünschte Programme wurden gefunden 4 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 6 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 81 Dateien ohne Befall 0 Archive wurden durchsucht 0 Warnungen 6 Hinweise Die Suchergebnisse werden an den Guard übermittelt. 5. SuperAntiSpyware Scan Log: SUPERAntiSpyware Scan Log hxxp://www.superantispyware.com Generated 10/21/2011 at 02:35 AM Application Version : 5.0.1134 Core Rules Database Version : 7826 Trace Rules Database Version: 5638 Scan type : Complete Scan Total Scan Time : 04:02:29 Operating System Information Windows XP Professional 32-bit, Service Pack 2 (Build 5.01.2600) Administrator Memory items scanned : 815 Memory threats detected : 0 Registry items scanned : 39140 Registry threats detected : 0 File items scanned : 181600 File threats detected : 10 Adware.Tracking Cookie C:\Dokumente und Einstellungen\FamPluschke\Cookies\fampluschke@doubleclick[1].txt [ /doubleclick ] C:\DOKUMENTE UND EINSTELLUNGEN\ADMINISTRATOR\Cookies\administrator@doubleclick[2].txt [ Cookie:administrator@doubleclick.net/ ] C:\DOKUMENTE UND EINSTELLUNGEN\PLUSCHKE\Cookies\pluschke@overture[1].txt [ Cookie:pluschke@overture.com/ ] C:\DOKUMENTE UND EINSTELLUNGEN\PLUSCHKE\Cookies\pluschke@2o7[1].txt [ Cookie:pluschke@2o7.net/ ] C:\DOKUMENTE UND EINSTELLUNGEN\PLUSCHKE\Cookies\pluschke@tradedoubler[2].txt [ Cookie:pluschke@tradedoubler.com/ ] C:\DOKUMENTE UND EINSTELLUNGEN\PLUSCHKE\Cookies\pluschke@adserver.71i[2].txt [ Cookie:pluschke@adserver.71i.de/ ] C:\DOKUMENTE UND EINSTELLUNGEN\PLUSCHKE\Cookies\pluschke@www.mediapilot[1].txt [ Cookie:pluschke@www.mediapilot.de/ ] C:\DOKUMENTE UND EINSTELLUNGEN\PLUSCHKE\COOKIES\PLUSCHKE@KOMTRACK[2].TXT [ /KOMTRACK ] C:\DOKUMENTE UND EINSTELLUNGEN\PLUSCHKE\COOKIES\PLUSCHKE@DOUBLECLICK[1].TXT [ /DOUBLECLICK ] C:\DOKUMENTE UND EINSTELLUNGEN\PLUSCHKE\COOKIES\PLUSCHKE@HMT.CONNEXPROMOTIONS[2].TXT [ /HMT.CONNEXPROMOTIONS ] 6. Noch ein Log von Avira-Fund: Avira AntiVir Personal Erstellungsdatum der Reportdatei: Freitag, 21. Oktober 2011 07:35 Es wird nach 3416680 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 2) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : LAPTOP Versionsinformationen: BUILD.DAT : 10.2.0.704 35934 Bytes 28.09.2011 13:14:00 AVSCAN.EXE : 10.3.0.7 484008 Bytes 30.06.2011 19:52:22 AVSCAN.DLL : 10.0.5.0 57192 Bytes 30.06.2011 19:52:22 LUKE.DLL : 10.3.0.5 45416 Bytes 30.06.2011 19:52:22 LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47 AVSCPLR.DLL : 10.3.0.7 119656 Bytes 30.06.2011 19:52:23 AVREG.DLL : 10.3.0.9 88833 Bytes 12.07.2011 16:56:24 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 18:30:26 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 19:19:58 VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 20:43:22 VBASE003.VDF : 7.11.5.225 1980416 Bytes 07.04.2011 12:39:27 VBASE004.VDF : 7.11.8.178 2354176 Bytes 31.05.2011 21:05:34 VBASE005.VDF : 7.11.10.251 1788416 Bytes 07.07.2011 18:55:03 VBASE006.VDF : 7.11.13.60 6411776 Bytes 16.08.2011 17:46:04 VBASE007.VDF : 7.11.15.106 2389504 Bytes 05.10.2011 06:58:27 VBASE008.VDF : 7.11.15.107 2048 Bytes 05.10.2011 06:58:27 VBASE009.VDF : 7.11.15.108 2048 Bytes 05.10.2011 06:58:27 VBASE010.VDF : 7.11.15.109 2048 Bytes 05.10.2011 06:58:27 VBASE011.VDF : 7.11.15.110 2048 Bytes 05.10.2011 06:58:28 VBASE012.VDF : 7.11.15.111 2048 Bytes 05.10.2011 06:58:28 VBASE013.VDF : 7.11.15.144 161792 Bytes 07.10.2011 06:58:28 VBASE014.VDF : 7.11.15.177 130048 Bytes 10.10.2011 06:00:42 VBASE015.VDF : 7.11.15.213 113664 Bytes 11.10.2011 18:03:03 VBASE016.VDF : 7.11.16.1 163328 Bytes 14.10.2011 18:03:03 VBASE017.VDF : 7.11.16.34 187904 Bytes 18.10.2011 11:36:38 VBASE018.VDF : 7.11.16.77 139264 Bytes 20.10.2011 11:36:38 VBASE019.VDF : 7.11.16.78 2048 Bytes 20.10.2011 11:36:38 VBASE020.VDF : 7.11.16.79 2048 Bytes 20.10.2011 11:36:38 VBASE021.VDF : 7.11.16.80 2048 Bytes 20.10.2011 11:36:39 VBASE022.VDF : 7.11.16.81 2048 Bytes 20.10.2011 11:36:39 VBASE023.VDF : 7.11.16.82 2048 Bytes 20.10.2011 11:36:39 VBASE024.VDF : 7.11.16.83 2048 Bytes 20.10.2011 11:36:39 VBASE025.VDF : 7.11.16.84 2048 Bytes 20.10.2011 11:36:39 VBASE026.VDF : 7.11.16.85 2048 Bytes 20.10.2011 11:36:39 VBASE027.VDF : 7.11.16.86 2048 Bytes 20.10.2011 11:36:39 VBASE028.VDF : 7.11.16.87 2048 Bytes 20.10.2011 11:36:39 VBASE029.VDF : 7.11.16.88 2048 Bytes 20.10.2011 11:36:39 VBASE030.VDF : 7.11.16.89 2048 Bytes 20.10.2011 11:36:39 VBASE031.VDF : 7.11.16.91 2048 Bytes 20.10.2011 11:36:40 Engineversion : 8.2.6.84 AEVDF.DLL : 8.1.2.1 106868 Bytes 04.08.2010 18:48:11 AESCRIPT.DLL : 8.1.3.81 467322 Bytes 04.10.2011 18:17:43 AESCN.DLL : 8.1.7.2 127349 Bytes 26.11.2010 23:53:47 AESBX.DLL : 8.2.1.34 323957 Bytes 01.06.2011 21:05:44 AERDL.DLL : 8.1.9.15 639348 Bytes 09.09.2011 20:36:16 AEPACK.DLL : 8.2.10.11 684408 Bytes 03.10.2011 15:06:42 AEOFFICE.DLL : 8.1.2.15 201083 Bytes 03.10.2011 15:06:41 AEHEUR.DLL : 8.1.2.180 3748217 Bytes 14.10.2011 18:03:04 AEHELP.DLL : 8.1.17.7 254327 Bytes 29.07.2011 06:59:08 AEGEN.DLL : 8.1.5.9 401780 Bytes 01.09.2011 18:17:15 AEEMU.DLL : 8.1.3.0 393589 Bytes 26.11.2010 23:53:42 AECORE.DLL : 8.1.23.0 196983 Bytes 01.09.2011 18:17:15 AEBB.DLL : 8.1.1.0 53618 Bytes 06.06.2010 06:46:39 AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10 AVPREF.DLL : 10.0.3.2 44904 Bytes 30.06.2011 19:52:22 AVREP.DLL : 10.0.0.10 174120 Bytes 27.05.2011 21:28:51 AVARKT.DLL : 10.0.26.1 255336 Bytes 30.06.2011 19:52:21 AVEVTLOG.DLL : 10.0.0.9 203112 Bytes 30.06.2011 19:52:22 SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53 AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54 NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55 RCIMAGE.DLL : 10.0.0.35 2589544 Bytes 30.06.2011 19:52:21 RCTEXT.DLL : 10.0.64.0 98664 Bytes 30.06.2011 19:52:21 Konfiguration für den aktuellen Suchlauf: Job Name..............................: avguard_async_scan Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_4ed8280e\guard_slideup.avp Protokollierung.......................: standard Primäre Aktion........................: reparieren Sekundäre Aktion......................: quarantäne Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: aus Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: aus Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: vollständig Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR, Beginn des Suchlaufs: Freitag, 21. Oktober 2011 07:35 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'SearchFilterHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SUPERAntiSpyware.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SASCORE.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jucheck.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HpqToaster.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PSDrt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchProtocolHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mqtgsvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mqsvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqwmiex.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchIndexer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDSmartWareBackgroundService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDDMService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'uphclean.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'IfxPsdSv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MDM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mbamservice.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'LSSrvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iviRegMgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ifxtcs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ifxspmgt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'bgsvcgen.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ccc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ccc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CCC.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WindowsSearch.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDSmartWare.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WDDMStatus.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hardcopy.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BTTray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'VideoCamSuiteAutoStart.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MOM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'LightScribeControlPanel.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mbamgui.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AdobeARM.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smax4pnp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HPWuSchd2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'fpassist.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'EEventManager.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'apdproxy.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AccelerometerSt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Scheduler.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'QlbCtrl.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HPWAMain.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PTHOSTTR.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'asghost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SCardSvr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'btwdins.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'HpFkCrypt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP445\A0165244.exe' C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP445\A0165244.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen5 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ce7a59b.qua' verschoben! Ende des Suchlaufs: Freitag, 21. Oktober 2011 07:36 Benötigte Zeit: 00:07 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 0 Verzeichnisse wurden überprüft 87 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 86 Dateien ohne Befall 0 Archive wurden durchsucht 0 Warnungen 1 Hinweise 7. ESET-Log ESETSmartInstaller@High as CAB hook log: OnlineScanner.ocx - registred OK # version=7 # iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339) # OnlineScanner.ocx=1.0.0.6528 # api_version=3.0.2 # EOSSerial=b7f5684e1dc4e947a99d477c12d7f6e8 # end=finished # remove_checked=false # archives_checked=true # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2011-09-13 05:16:20 # local_time=2011-09-13 07:16:20 (+0100, Westeuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=5.1.2600 NT Service Pack 2 # compatibility_mode=1797 16775141 100 100 154108 90827236 103684 0 # compatibility_mode=8192 67108863 100 0 211 211 0 0 # scanned=155503 # found=3 # cleaned=0 # scan_time=7108 C:\Dokumente und Einstellungen\FamPluschke\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\0\649e4dc0-401a6f11 probably a variant of Java/TrojanDownloader.Agent.NCT trojan (unable to clean) 00000000000000000000000000000000 I C:\Dokumente und Einstellungen\FamPluschke\Lokale Einstellungen\Temp\jar_cache5646305455510660355.tmp Java/Agent.AL trojan (unable to clean) 00000000000000000000000000000000 I C:\Dokumente und Einstellungen\FamPluschke\Lokale Einstellungen\Temp\jar_cache986846458541961015.tmp a variant of Java/Exploit.Agent.NAC trojan (unable to clean) 00000000000000000000000000000000 I # version=7 # iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339) # OnlineScanner.ocx=1.0.0.6528 # api_version=3.0.2 # EOSSerial=b7f5684e1dc4e947a99d477c12d7f6e8 # end=finished # remove_checked=false # archives_checked=true # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2011-10-21 07:40:48 # local_time=2011-10-21 09:40:48 (+0100, Westeuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=5.1.2600 NT Service Pack 2 # compatibility_mode=1797 16775141 100 100 508394 94076076 58024 0 # compatibility_mode=8192 67108863 100 0 3249051 3249051 0 0 # scanned=150823 # found=0 # cleaned=0 # scan_time=6936 |
In System Volume Information sind die Dateien für Wiederherstellungspunkte gespeichert. Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde. Nach dem Deaktivieren der SWH kannst du sie auch wieder einstellen, das Deaktivieren löscht alle Wiederherstellungspunkte was ja das Ziel ist. Ansonsten nur Cookies. Rechner sonst wieder soweit im Lot? |
Hallo Arne, das mit der SWH habe ich durchgeführt. Augenscheinlich ist soweit alles i.O. (der rote Bilschirm ist schon lange nicht meher erschienen - oder sonstige offensichtliche Anzeichen einer Infektion). Was hinter den Kulissen abgeht kann ich nicht beurteilen - dafür sind wohl die Logs dar, oder ? ;-)) Was ist mit den Cookies (...) oder sonstigen Funden, die die Virenprogramme aktuell gefunden haben? Kann ich in den Virenprogrammen die Funde mit der Aktivität "Löschen" versehen? Viele Grüße und herzlichen Dank für die langwierige und sehr geduldige Unterstützung. |
Dann wären wir durch! :abklatsch: Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt. Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken. Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast) Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink: Mozilla und andere Browser => http://filepony.de/?q=Flash+Player Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind. Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es. |
hallo arne, uninstall vom combo hat funktioniert, ebenso von ein paar anderen programmen. Bei - otl - tdskiller - gmer - osam - aswMBR konnte ich keine programmordner, uninstaller oder einträge in systemsteuerun/software finden, um diese vom rechner zu löschen. sind dies ausschließlich download von exe-dateien, die keine installationen auf dem rechner vornehmen? langt es hier aus, einfach die exe-dateien vom desltop zu löschen? viele grüße |
Die können einfach so gelöscht werden |
Liste der Anhänge anzeigen (Anzahl: 2) hallo arne, habe alles aus deinem letzten beitrag ausgeführt; alte java version habe ich auch gelöscht - allerdings weiss ich beim download de aktuellen java aus deinem link nicht welche version ich downloaden soll. kannst du mir sagen, welche die richtige ist oder muss ich ggfs. alle downloaden/ausführen muss? Gruß 1. habe auf die Schaltfläche JRE (JRE 7 docs) download geclickt 2. es erscheint eine detailseite, auf der folgende möglichkeiten eines downloads für windows angeboten werden: windows x86 online windows x86 windows x86 offline windows x64 |
Da du ein 32-Bit-Windows-XP hast, benötigst du schonmal die x86-Version. Nimm mal die Offflineversion => windows x86 offline Dann lädst du das komplette Paket herunter und es kann installiert werden, ohne dass der Installer nochmal ins Internet muss. |
geschafft - nun bin ich endgültig durch ... ich hoffe nie wieder rote bildschirme o.ä zu sehen ;-)) Vielen dank noch mal für die Unterstützung und geduld |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 13:21 Uhr. |
Copyright ©2000-2025, Trojaner-Board
