Trojaner-Board
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Zunächst Security Sphere 2012 --> beseitigt nun (noch) BOO/TDss.D (https://www.trojaner-board.de/104236-zunaechst-security-sphere-2012-beseitigt-noch-boo-tdss-d.html)

cosinus 20.10.2011 20:03
Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

skrti 20.10.2011 20:38
Liste der Anhänge anzeigen (Anzahl: 1)
Hi Arne,

ich hab Antivir deaktiviert und er bringt mir trotzdem die folgende Meldung (vgl. jpg).

:confused:

Danke und Gruß
Tim

cosinus 20.10.2011 20:39
Wenn AntiVir deaktiviert ist (geschlossener Regenschirm) kannst du diese meldung ignorieren

skrti 20.10.2011 20:56
Hi Arne,

okay, hab jetzt die Meldung ignoriert und den Combofix-Log beigefügt.

Was mich nur gewundert hat, dass er u. a. auch die Datei hosts.txt gelöscht hat, obwohl ich die eigentlich ja beim Entfernen von Security Sphere 2012 ersetzt hatte. Hab ich da was falsch gemacht?

Combofix-Log:
Code:
ComboFix 11-10-20.05 - skrti011 20.10.2011  21:41:09.1.4 - x86
Microsoft Windows 7 Home Premium  6.1.7601.1.1252.49.1031.18.3253.2070 [GMT 2:00]
ausgeführt von:: c:\users\skrti011\Desktop\ComboFix.exe
AV: AntiVir Desktop *Enabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
SP: AntiVir Desktop *Enabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\skrti011\AppData\Roaming\Java.exe
c:\windows\system32\drivers\etc\hosts.txt
c:\windows\system32\start.exe
.
.
(((((((((((((((((((((((  Dateien erstellt von 2011-09-20 bis 2011-10-20  ))))))))))))))))))))))))))))))
.
.
2011-10-20 17:57 . 2011-10-20 18:05        --------        d-----w-        c:\users\skrti011\AppData\Roaming\ImgBurn
2011-10-19 18:02 . 2011-10-19 18:02        --------        d-----w-        C:\_OTL
2011-10-18 19:02 . 2011-10-18 19:02        --------        d-----w-        c:\program files\ESET
2011-10-17 08:34 . 2011-10-17 08:34        --------        d-----w-        c:\users\skrti011\AppData\Roaming\Malwarebytes
2011-10-17 08:34 . 2011-10-17 08:34        --------        d-----w-        c:\programdata\Malwarebytes
2011-10-17 08:34 . 2011-10-17 08:34        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware
2011-10-17 07:56 . 2011-10-18 01:15        --------        d-----w-        c:\program files\04700
2011-10-16 17:04 . 2011-10-17 08:41        --------        d-----w-        c:\programdata\cE01300MgKfO01300
2011-10-14 15:54 . 2011-08-17 04:24        465408        ----a-w-        c:\windows\system32\psisdecd.dll
2011-10-14 15:54 . 2011-08-17 04:19        75776        ----a-w-        c:\windows\system32\psisrndr.ax
2011-10-14 15:54 . 2011-08-27 04:26        571904        ----a-w-        c:\windows\system32\oleaut32.dll
2011-10-14 15:54 . 2011-08-27 04:26        233472        ----a-w-        c:\windows\system32\oleacc.dll
2011-10-14 15:54 . 2011-09-06 02:28        2334720        ----a-w-        c:\windows\system32\win32k.sys
.
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-10-15 07:05 . 2011-06-11 07:57        414368        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl
.
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CLMLServer"="c:\program files\CyberLink\Power2Go\CLMLSvc.exe" [2009-11-02 103720]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2010-06-02 9222760]
"RtHDVBg"="c:\program files\Realtek\Audio\HDA\RtHDVBg.exe" [2010-06-02 1481320]
"HotkeyApp"="c:\program files\Launch Manager\HotkeyApp.exe" [2009-12-14 200704]
"LMgrVolOSD"="c:\program files\Launch Manager\OSD.exe" [2009-12-11 348960]
"Wbutton"="c:\program files\Launch Manager\Wbutton.exe" [2010-06-21 436264]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2009-12-10 1594664]
"NUSB3MON"="c:\program files\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe" [2010-04-27 113288]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-11-04 281768]
"AppleSyncNotifier"="c:\program files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe" [2010-10-08 47904]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-05-08 54840]
"LexwareInfoService"="c:\program files\Common Files\Lexware\Update Manager\LxUpdateManager.exe" [2010-09-15 339312]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2011-02-11 137752]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2011-02-11 171032]
"Persistence"="c:\windows\system32\igfxpers.exe" [2011-02-11 172568]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2011-07-05 421888]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2011-08-18 421736]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2011-06-06 937920]
"Malwarebytes' Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2011-08-31 1047208]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2009-9-23 270336]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HideSCAHealth"= 1 (0x1)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\windows\System32\nvinit.dll
.
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R3 DisplayLinkUsbPort;DisplayLink USB Device;c:\windows\system32\DRIVERS\DisplayLinkUsbPort_5.3.24903.0.sys [x]
R3 DWA;Wireless USB Device Adapter;c:\windows\system32\DRIVERS\WSR_DWA.SYS [2010-03-16 482304]
R3 hwa;Wireless USB Host Adapter;c:\windows\system32\DRIVERS\WSR_HWA.SYS [2010-03-16 791040]
R3 HWARadio;Wireless USB Host Radio;c:\windows\system32\DRIVERS\WSR_RCI.SYS [2010-03-16 140800]
R3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [x]
R3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [2010-01-09 4640000]
R3 RSUSBSTOR;RtsUStor.Sys Realtek USB Card Reader;c:\windows\System32\Drivers\RtsUStor.sys [2010-05-24 193056]
R3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [2009-07-13 139776]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [2010-11-20 52224]
R3 WatAdminSvc;Windows-Aktivierungstechnologieservice;c:\windows\system32\Wat\WatAdminSvc.exe [2011-03-15 1343400]
S0 nvpciflt;nvpciflt;c:\windows\system32\DRIVERS\nvpciflt.sys [2010-07-26 19656]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [2009-07-13 48128]
S2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe [2011-06-06 64952]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2011-04-28 136360]
S2 cvhsvc;Client Virtualization Handler;c:\program files\Common Files\Microsoft Shared\Virtualization Handler\CVHSVC.EXE [2010-10-20 821664]
S2 IAStorDataMgrSvc;Intel(R) Rapid Storage Technology;c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe [2010-03-04 13336]
S2 nvUpdatusService;NVIDIA Update Service Daemon;c:\program files\NVIDIA Corporation\NVIDIA Updatus\daemonu.exe [2010-07-27 1620584]
S2 sftlist;Application Virtualization Client;c:\program files\Microsoft Application Virtualization Client\sftlist.exe [2010-09-14 508264]
S2 UNS;Intel(R) Management & Security Application User Notification Service;c:\program files\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [2010-05-10 2320920]
S3 Impcd;Impcd;c:\windows\system32\DRIVERS\Impcd.sys [2010-02-26 132480]
S3 IntcDAud;Intel(R) Display Audio;c:\windows\system32\DRIVERS\IntcDAud.sys [2010-06-21 246272]
S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C62x86.sys [2010-03-04 67624]
S3 nusb3hub;Renesas Electronics USB 3.0 Hub Driver;c:\windows\system32\DRIVERS\nusb3hub.sys [2010-04-27 64904]
S3 nusb3xhc;Renesas Electronics USB 3.0 Host Controller Driver;c:\windows\system32\DRIVERS\nusb3xhc.sys [2010-04-27 146568]
S3 rtl8192se;Realtek Wireless LAN 802.11n PCI-E NIC NT Driver;c:\windows\system32\DRIVERS\rtl8192se.sys [2010-04-01 1009184]
S3 Sftfs;Sftfs;c:\windows\system32\DRIVERS\Sftfslh.sys [2010-09-14 577384]
S3 Sftplay;Sftplay;c:\windows\system32\DRIVERS\Sftplaylh.sys [2010-09-14 194408]
S3 Sftredir;Sftredir;c:\windows\system32\DRIVERS\Sftredirlh.sys [2010-09-14 21864]
S3 Sftvol;Sftvol;c:\windows\system32\DRIVERS\Sftvollh.sys [2010-09-14 19304]
S3 sftvsa;Application Virtualization Service Agent;c:\program files\Microsoft Application Virtualization Client\sftvsa.exe [2010-09-14 219496]
S3 WisLMSvc;WisLMSvc;c:\program files\Launch Manager\WisLMSvc.exe [2009-10-23 118560]
S3 X10Hid;X10 Hid Device;c:\windows\System32\Drivers\x10hid.sys [2009-05-13 13720]
.
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - ASWMBR
*Deregistered* - aswMBR
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12        REG_MULTI_SZ          Pml Driver HPZ12 Net Driver HPZ12
HPService        REG_MULTI_SZ          HPSLPSVC
hpdevmgmt        REG_MULTI_SZ          hpqcxs08 hpqddsvc
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page =
IE: {{0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - hxxp://rover.ebay.com/rover/1/707-37276-17534-31/4
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\users\skrti011\AppData\Roaming\Mozilla\Firefox\Profiles\cskd47h4.default\
FF - prefs.js: browser.search.selectedEngine -
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKLM-Run-LMgrOSD - c:\program files\Launch Manager\OSDCtrl.exe
SafeBoot-BsScanner
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2011-10-20  21:48:53
ComboFix-quarantined-files.txt  2011-10-20 19:48
.
Vor Suchlauf: 10 Verzeichnis(se), 424.035.266.560 Bytes frei
Nach Suchlauf: 14 Verzeichnis(se), 424.031.514.624 Bytes frei
.
- - End Of File - - 14FF371ED6AC9C3FF838CCADA1EDA8DC
Gruß
Tim

cosinus 20.10.2011 21:01
Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:
Folder::
c:\program files\04700
c:\programdata\cE01300MgKfO01300
3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

skrti 20.10.2011 21:22
Hi Arne,

hier das Log vom gescripteten Combofix:

Code:
ComboFix 11-10-20.05 - skrti011 20.10.2011  22:10:12.2.4 - x86
Microsoft Windows 7 Home Premium  6.1.7601.1.1252.49.1031.18.3253.2080 [GMT 2:00]
ausgeführt von:: c:\users\skrti011\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\users\skrti011\Desktop\CFScript.txt
AV: AntiVir Desktop *Enabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
SP: AntiVir Desktop *Enabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\program files\04700
c:\programdata\cE01300MgKfO01300
c:\programdata\cE01300MgKfO01300\cE01300MgKfO01300
.
.
(((((((((((((((((((((((  Dateien erstellt von 2011-09-20 bis 2011-10-20  ))))))))))))))))))))))))))))))
.
.
2011-10-20 20:18 . 2011-10-20 20:18        --------        d-----w-        c:\users\skrti011\AppData\Local\temp
2011-10-20 20:18 . 2011-10-20 20:18        --------        d-----w-        c:\users\UpdatusUser\AppData\Local\temp
2011-10-20 20:18 . 2011-10-20 20:18        --------        d-----w-        c:\users\Default\AppData\Local\temp
2011-10-20 17:57 . 2011-10-20 18:05        --------        d-----w-        c:\users\skrti011\AppData\Roaming\ImgBurn
2011-10-19 18:02 . 2011-10-19 18:02        --------        d-----w-        C:\_OTL
2011-10-18 19:02 . 2011-10-18 19:02        --------        d-----w-        c:\program files\ESET
2011-10-17 08:34 . 2011-10-17 08:34        --------        d-----w-        c:\users\skrti011\AppData\Roaming\Malwarebytes
2011-10-17 08:34 . 2011-10-17 08:34        --------        d-----w-        c:\programdata\Malwarebytes
2011-10-17 08:34 . 2011-10-17 08:34        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware
2011-10-14 15:54 . 2011-08-17 04:24        465408        ----a-w-        c:\windows\system32\psisdecd.dll
2011-10-14 15:54 . 2011-08-17 04:19        75776        ----a-w-        c:\windows\system32\psisrndr.ax
2011-10-14 15:54 . 2011-08-27 04:26        571904        ----a-w-        c:\windows\system32\oleaut32.dll
2011-10-14 15:54 . 2011-08-27 04:26        233472        ----a-w-        c:\windows\system32\oleacc.dll
2011-10-14 15:54 . 2011-09-06 02:28        2334720        ----a-w-        c:\windows\system32\win32k.sys
.
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-10-15 07:05 . 2011-06-11 07:57        414368        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl
.
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CLMLServer"="c:\program files\CyberLink\Power2Go\CLMLSvc.exe" [2009-11-02 103720]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2010-06-02 9222760]
"RtHDVBg"="c:\program files\Realtek\Audio\HDA\RtHDVBg.exe" [2010-06-02 1481320]
"HotkeyApp"="c:\program files\Launch Manager\HotkeyApp.exe" [2009-12-14 200704]
"LMgrVolOSD"="c:\program files\Launch Manager\OSD.exe" [2009-12-11 348960]
"Wbutton"="c:\program files\Launch Manager\Wbutton.exe" [2010-06-21 436264]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2009-12-10 1594664]
"NUSB3MON"="c:\program files\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe" [2010-04-27 113288]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-11-04 281768]
"AppleSyncNotifier"="c:\program files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe" [2010-10-08 47904]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-05-08 54840]
"LexwareInfoService"="c:\program files\Common Files\Lexware\Update Manager\LxUpdateManager.exe" [2010-09-15 339312]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2011-02-11 137752]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2011-02-11 171032]
"Persistence"="c:\windows\system32\igfxpers.exe" [2011-02-11 172568]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2011-07-05 421888]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2011-08-18 421736]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2011-06-06 937920]
"Malwarebytes' Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2011-08-31 1047208]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2009-9-23 270336]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HideSCAHealth"= 1 (0x1)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\windows\System32\nvinit.dll
.
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R3 DisplayLinkUsbPort;DisplayLink USB Device;c:\windows\system32\DRIVERS\DisplayLinkUsbPort_5.3.24903.0.sys [x]
R3 DWA;Wireless USB Device Adapter;c:\windows\system32\DRIVERS\WSR_DWA.SYS [2010-03-16 482304]
R3 hwa;Wireless USB Host Adapter;c:\windows\system32\DRIVERS\WSR_HWA.SYS [2010-03-16 791040]
R3 HWARadio;Wireless USB Host Radio;c:\windows\system32\DRIVERS\WSR_RCI.SYS [2010-03-16 140800]
R3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [x]
R3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [2010-01-09 4640000]
R3 RSUSBSTOR;RtsUStor.Sys Realtek USB Card Reader;c:\windows\System32\Drivers\RtsUStor.sys [2010-05-24 193056]
R3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [2009-07-13 139776]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [2010-11-20 52224]
R3 WatAdminSvc;Windows-Aktivierungstechnologieservice;c:\windows\system32\Wat\WatAdminSvc.exe [2011-03-15 1343400]
S0 nvpciflt;nvpciflt;c:\windows\system32\DRIVERS\nvpciflt.sys [2010-07-26 19656]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [2009-07-13 48128]
S2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe [2011-06-06 64952]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2011-04-28 136360]
S2 cvhsvc;Client Virtualization Handler;c:\program files\Common Files\Microsoft Shared\Virtualization Handler\CVHSVC.EXE [2010-10-20 821664]
S2 IAStorDataMgrSvc;Intel(R) Rapid Storage Technology;c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe [2010-03-04 13336]
S2 nvUpdatusService;NVIDIA Update Service Daemon;c:\program files\NVIDIA Corporation\NVIDIA Updatus\daemonu.exe [2010-07-27 1620584]
S2 sftlist;Application Virtualization Client;c:\program files\Microsoft Application Virtualization Client\sftlist.exe [2010-09-14 508264]
S2 UNS;Intel(R) Management & Security Application User Notification Service;c:\program files\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [2010-05-10 2320920]
S3 Impcd;Impcd;c:\windows\system32\DRIVERS\Impcd.sys [2010-02-26 132480]
S3 IntcDAud;Intel(R) Display Audio;c:\windows\system32\DRIVERS\IntcDAud.sys [2010-06-21 246272]
S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C62x86.sys [2010-03-04 67624]
S3 nusb3hub;Renesas Electronics USB 3.0 Hub Driver;c:\windows\system32\DRIVERS\nusb3hub.sys [2010-04-27 64904]
S3 nusb3xhc;Renesas Electronics USB 3.0 Host Controller Driver;c:\windows\system32\DRIVERS\nusb3xhc.sys [2010-04-27 146568]
S3 rtl8192se;Realtek Wireless LAN 802.11n PCI-E NIC NT Driver;c:\windows\system32\DRIVERS\rtl8192se.sys [2010-04-01 1009184]
S3 Sftfs;Sftfs;c:\windows\system32\DRIVERS\Sftfslh.sys [2010-09-14 577384]
S3 Sftplay;Sftplay;c:\windows\system32\DRIVERS\Sftplaylh.sys [2010-09-14 194408]
S3 Sftredir;Sftredir;c:\windows\system32\DRIVERS\Sftredirlh.sys [2010-09-14 21864]
S3 Sftvol;Sftvol;c:\windows\system32\DRIVERS\Sftvollh.sys [2010-09-14 19304]
S3 sftvsa;Application Virtualization Service Agent;c:\program files\Microsoft Application Virtualization Client\sftvsa.exe [2010-09-14 219496]
S3 WisLMSvc;WisLMSvc;c:\program files\Launch Manager\WisLMSvc.exe [2009-10-23 118560]
S3 X10Hid;X10 Hid Device;c:\windows\System32\Drivers\x10hid.sys [2009-05-13 13720]
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12        REG_MULTI_SZ          Pml Driver HPZ12 Net Driver HPZ12
HPService        REG_MULTI_SZ          HPSLPSVC
hpdevmgmt        REG_MULTI_SZ          hpqcxs08 hpqddsvc
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page =
IE: {{0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - hxxp://rover.ebay.com/rover/1/707-37276-17534-31/4
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\users\skrti011\AppData\Roaming\Mozilla\Firefox\Profiles\cskd47h4.default\
FF - prefs.js: browser.search.selectedEngine -
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2011-10-20  22:19:51
ComboFix-quarantined-files.txt  2011-10-20 20:19
ComboFix2.txt  2011-10-20 19:48
.
Vor Suchlauf: 13 Verzeichnis(se), 423.997.939.712 Bytes frei
Nach Suchlauf: 14 Verzeichnis(se), 423.943.405.568 Bytes frei
.
- - End Of File - - EEEB3CDF1DF190B279D6687BCD8B45F8

cosinus 21.10.2011 13:03
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.
  • Starte die aswMBR.exe - (aswMBR.exe Anleitung)
    Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
  • Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
    Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
  • Klicke auf Scan.
  • Warte bitte bis Scan finished successfully im DOS-Fenster steht.
  • Drücke auf Save Log und speichere diese auf dem Desktop.
Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

skrti 21.10.2011 17:50
Hi Arne,

so, ich bin dann jetzt durch mit den drei Scans.

GMER.log:

Code:
GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2011-10-21 17:41:01
Windows 6.1.7601 Service Pack 1 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1 SAMSUNG_ rev.2AJ1
Running: 4xrmtejk.exe; Driver: C:\Users\skrti011\AppData\Local\Temp\pwrorkow.sys


---- System - GMER 1.0.15 ----

SSDT    916C8F36                                                                                          ZwCreateSection
SSDT    916C8F3B                                                                                          ZwSetContextThread
SSDT    916C8ED7                                                                                          ZwTerminateProcess

---- Kernel code sections - GMER 1.0.15 ----

.text  ntkrnlpa.exe!ZwSaveKey + 13D1                                                                      82E93349 1 Byte  [06]
.text  ntkrnlpa.exe!KiDispatchInterrupt + 5A2                                                            82ECCD52 19 Bytes  [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}
.text  ntkrnlpa.exe!KeRemoveQueueEx + 11F7                                                                82ED3EAC 1 Byte  [36]
.text  ntkrnlpa.exe!KeRemoveQueueEx + 11F7                                                                82ED3EAC 4 Bytes  [36, 8F, 6C, 91]
.text  ntkrnlpa.exe!KeRemoveQueueEx + 1597                                                                82ED424C 4 Bytes  [3B, 8F, 6C, 91]
.text  ntkrnlpa.exe!KeRemoveQueueEx + 166F                                                                82ED4324 4 Bytes  [D7, 8E, 6C, 91]
PAGE    spsys.sys!?SPRevision@@3PADA + 4F90                                                                B02F4000 290 Bytes  [8B, FF, 55, 8B, EC, 33, C0, ...]
PAGE    spsys.sys!?SPRevision@@3PADA + 50B3                                                                B02F4123 629 Bytes  [F5, 2E, B0, FE, 05, 34, F5, ...]
PAGE    spsys.sys!?SPRevision@@3PADA + 5329                                                                B02F4399 101 Bytes  [6A, 28, 59, A5, 5E, C6, 03, ...]
PAGE    spsys.sys!?SPRevision@@3PADA + 538F                                                                B02F43FF 148 Bytes  [18, 5D, C2, 14, 00, 8B, FF, ...]
PAGE    spsys.sys!?SPRevision@@3PADA + 543B                                                                B02F44AB 2228 Bytes  [8B, FF, 55, 8B, EC, FF, 75, ...]
PAGE    ...                                                                                               

---- User IAT/EAT - GMER 1.0.15 ----

IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipAlloc]                    [73C12437] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusStartup]              [73BF5600] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusShutdown]              [73BF56BE] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipFree]                    [73C124B2] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDeleteGraphics]          [73C08514] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDisposeImage]            [73C04CC8] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageWidth]            [73C0506F] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageHeight]          [73C05144] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromHBITMAP]  [73C06671] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateFromHDC]            [73C0826B] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetCompositingMode]      [73C087BA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetInterpolationMode]    [73C0901B] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDrawImageRectI]          [73C0E1BE] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT    C:\Windows\Explorer.EXE[3448] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCloneImage]              [73C04BFA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.7601.17514_none_72d18a4386696c80\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

---- Threads - GMER 1.0.15 ----

Thread  System [4:1156]                                                                                    B0301F2E

---- EOF - GMER 1.0.15 ----
OSAM.log

Code:
Report of OSAM: Autorun Manager v5.0.11926.0
hxxp://www.online-solutions.ru/en/
Saved at 17:54:50 on 21.10.2011

OS: Windows 7 Home Premium Edition Service Pack 1 (Build 7601), 32-bit
Default Browser: Mozilla Corporation Firefox 3.6.13

Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures

Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries


[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\Windows\system32\FlashPlayerCPLApp.cpl
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"QuickTime" - "Apple Inc." - C:\Program Files\QuickTime\QTSystem\QuickTime.cpl

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"avgntflt" (avgntflt) - "Avira GmbH" - C:\Windows\System32\DRIVERS\avgntflt.sys
"avipbb" (avipbb) - "Avira GmbH" - C:\Windows\System32\DRIVERS\avipbb.sys
"catchme" (catchme) - ? - C:\Users\skrti011\AppData\Local\Temp\catchme.sys  (File not found)
"DisplayLink USB Device" (DisplayLinkUsbPort) - ? - C:\Windows\System32\DRIVERS\DisplayLinkUsbPort_5.3.24903.0.sys  (File not found)
"MBAMSwissArmy" (MBAMSwissArmy) - ? - C:\Windows\system32\drivers\mbamswissarmy.sys  (File not found)
"pwrorkow" (pwrorkow) - ? - C:\Users\skrti011\AppData\Local\Temp\pwrorkow.sys  (Hidden registry entry, rootkit activity | File not found)
"Sftfs" (Sftfs) - "Microsoft Corporation" - C:\Windows\System32\DRIVERS\Sftfslh.sys
"Sftplay" (Sftplay) - "Microsoft Corporation" - C:\Windows\System32\DRIVERS\Sftplaylh.sys
"Sftredir" (Sftredir) - "Microsoft Corporation" - C:\Windows\System32\DRIVERS\Sftredirlh.sys
"Sftvol" (Sftvol) - "Microsoft Corporation" - C:\Windows\System32\DRIVERS\Sftvollh.sys
"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\Windows\System32\DRIVERS\ssmdrv.sys
"Wireless USB Device Adapter" (DWA) - ? - C:\Windows\System32\DRIVERS\WSR_DWA.SYS
"Wireless USB Host Adapter" (hwa) - ? - C:\Windows\System32\DRIVERS\WSR_HWA.SYS
"Wireless USB Host Radio" (HWARadio) - ? - C:\Windows\System32\DRIVERS\WSR_RCI.SYS

[Explorer]
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\PDFShell.dll
-----( HKLM\Software\Classes\Protocols\Handler )-----
{FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
{828030A1-22C1-4009-854F-8E305202313F} "livecall" - "Microsoft Corporation" - C:\PROGRA~1\WIC4A1~1\MESSEN~1\MSGRAP~1.DLL
{828030A1-22C1-4009-854F-8E305202313F} "msnim" - "Microsoft Corporation" - C:\PROGRA~1\WIC4A1~1\MESSEN~1\MSGRAP~1.DLL
{91774881-D725-4E58-B298-07617B9B86A8} "Skype IE add-on Pluggable Protocol" - "Skype Technologies S.A." - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
{03C514A3-1EFB-4856-9F99-10D7BE1653C0} "Windows Live Mail HTML Asynchronous Pluggable Protocol Handler" - "Microsoft Corporation" - C:\Program Files\Windows Live\Mail\mailcomm.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{DE902992-61FC-4A01-8091-53E1895C9775} "CDR Icon Handler" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellXP.dll
{7AD101F2-0B93-4D66-A1CA-DF73F3C4377B} "CDR preview provider" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellVista.dll
{7FA63AC0-F5BC-4F3B-A9CF-94328D812B62} "CDR Property Handler" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellVista.dll
{1462EBAA-96E7-4D93-9A66-0E4068DE4FCF} "CDR Thumbnail provider" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellXP.dll
{0563DB41-F538-4B37-A92D-4659049B7766} "CLSID_WLMCMimeFilter" - "Microsoft Corporation" - C:\Program Files\Windows Live\Mail\mailcomm.dll
{DE902994-61FC-4A01-8091-53E1895C9775} "CMX Icon Handler" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellXP.dll
{1462EBAC-96E7-4D93-9A66-0E4068DE4FCF} "CMX Thumbnail provider" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellXP.dll
{DE902993-61FC-4A01-8091-53E1895C9775} "CPT Icon Handler" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellXP.dll
{7FA63AC1-F5BC-4F3B-A9CF-94328D812B62} "CPT Property Handler" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellVista.dll
{1462EBAB-96E7-4D93-9A66-0E4068DE4FCF} "CPT Thumbnail provider" - "Corel Corporation" - c:\Program Files\Common Files\Corel\Shared\Shell Extension\ShellXP.dll
{A70C977A-BF00-412C-90B7-034C51DA2439} "DesktopContext Class" - "NVIDIA Corporation" - C:\Windows\system32\nvcpl.dll
{B9E1D2CB-CCFF-4AA6-9579-D7A4754030EF} "iTunes" - "Apple Inc." - C:\Program Files\iTunes\iTunesMiniPlayer.dll
{0875DCB6-C686-4243-9432-ADCCF0B9F2D7} "Microsoft OneNote Namespace Extension for Windows Desktop Search" - "Microsoft Corporation" - C:\Program Files\Microsoft Office\Office14\ONFILTER.DLL
{A929C4CE-FD36-4270-B4F5-34ECAC5BD63C} "NvAppShExt Class" - "NVIDIA Corporation" - C:\Windows\system32\nv3dappshext.dll
{3D1975AF-48C6-4f8e-A182-BE0E08FA86A9} "NVIDIA CPL Context Menu Extension" - "NVIDIA Corporation" - C:\Windows\system32\nvshext.dll
{FFB699E0-306A-11d3-8BD1-00104B6F7516} "NVIDIA CPL Extension" - "NVIDIA Corporation" - C:\Windows\system32\nvcpl.dll
{E97DEC16-A50D-49bb-AE24-CF682282E08D} "OpenGLShExt Class" - "NVIDIA Corporation" - C:\Windows\system32\nv3dappshext.dll
{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira GmbH" - C:\Program Files\Avira\AntiVir Desktop\shlext.dll
{2BE99FD4-A181-4996-BFA9-58C5FFD11F6C} "Windows Live Photo Gallery Autoplay Drop Target" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\WLXPhotoGallery.exe
{00F30F64-AC33-42F5-8FD1-5DC2D3FDE06C} "Windows Live Photo Gallery Editor Drop Target" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\WLXPhotoGallery.exe
{00F3712A-CA79-45B4-9E4D-D7891E7F8B9D} "Windows Live Photo Gallery Editor Shim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll
{00F30F90-3E96-453B-AFCD-D71989ECC2C7} "Windows Live Photo Gallery Viewer Autoplay Shim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll
{00F33137-EE26-412F-8D71-F84E4C2C6625} "Windows Live Photo Gallery Viewer Autoplay Shim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll
{00F374B7-B390-4884-B372-2FC349F2172B} "Windows Live Photo Gallery Viewer Drop Target" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\WLXPhotoGallery.exe
{00F346CB-35A4-465B-8B8F-65A29DBAB1F6} "Windows Live Photo Gallery Viewer Shim" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll
{B41DB860-8EE4-11D2-9906-E49FADC173CA} "WinRAR" - "Alexander Roshal" - C:\Programme\winrar\rarext.dll
{06A2568A-CED6-4187-BB20-400B8C02BE5A} "{06A2568A-CED6-4187-BB20-400B8C02BE5A}" - "Microsoft Corporation" - C:\Program Files\Windows Live\Photo Gallery\WLXPhotoAcquireWizard.exe

[Internet Explorer]
-----( HKCU\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars )-----
{555D4D79-4BD2-4094-A395-CFC534424A05} "HP Smart Web Printing" - "Hewlett-Packard Co." - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_bho.dll
-----( HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
"eBay - Der weltweite Online-Marktplatz" - ? - hxxp://rover.ebay.com/rover/1/707-37276-17534-31/4  (HTTP value)
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
<binary data> "&Windows Live Toolbar" - "Microsoft Corporation" - C:\Program Files\Windows Live\Toolbar\wltcore.dll
ITBar7Height "ITBar7Height" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -  (File not found | COM-object registry key not found)
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_21" - "Oracle" - C:\Program Files\Java\jre6\bin\jp2iexp.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab
{CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} "Java Plug-in 1.6.0_21" - "Oracle" - C:\Program Files\Java\jre6\bin\jp2iexp.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_21" - "Oracle" - C:\Program Files\Java\jre6\bin\npjpi160_21.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab
{F27237D7-93C8-44C2-AC6E-D6057B9A918F} "JuniperSetupClientControl Class" - "Juniper Networks, Inc." - C:\Windows\Downloaded Program Files\JuniperSetupClient.ocx / https://juniper.net/dana-cached/sc/JuniperSetupClient.cab
{7530BFB8-7293-4D34-9923-61A11451AFC5} "OnlineScanner Control" - "ESET" - C:\PROGRA~1\ESET\ESETON~1\ONLINE~1.OCX / hxxp://download.eset.com/special/eos/OnlineScanner.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
"eBay - Der weltweite Online-Marktplatz" - ? - hxxp://rover.ebay.com/rover/1/707-37276-17534-31/4  (HTTP value)
{DDE87865-83C5-48c4-8357-2F5B1AA84522} "HP Smart Web Printing ein- oder ausblenden" - "Hewlett-Packard Co." - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
{5F7B1267-94A9-47F5-98DB-E99415F33AEC} "In Blog veröffentlichen" - "Microsoft Corporation" - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
{898EA8C8-E7FF-479B-8935-AEC46303B9E5} "Skype Plug-In" - "Skype Technologies S.A." - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----
<binary data> "&Windows Live Toolbar" - "Microsoft Corporation" - C:\Program Files\Windows Live\Toolbar\wltcore.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----
{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
{0347C33E-8762-4905-BF09-768834316C61} "HP Print Enhancer" - "Hewlett-Packard Co." - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll
{FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} "HP Smart BHO Class" - "Hewlett-Packard Co." - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Oracle" - C:\Program Files\Java\jre6\bin\jp2ssv.dll
{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} "Search Helper" - "Microsoft Corporation" - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
{AE805869-2E5C-4ED4-8F7B-F1F7851A4497} "Skype Plug-In" - "Skype Technologies S.A." - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
{9030D464-4C02-4ABF-8ECC-5164760863C6} "Windows Live Anmelde-Hilfsprogramm" - "Microsoft Corporation" - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
{E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} "Windows Live Toolbar Helper" - "Microsoft Corporation" - C:\Program Files\Windows Live\Toolbar\wltcore.dll
{5C255C8A-E604-49b4-9D64-90988571CECB} "{5C255C8A-E604-49b4-9D64-90988571CECB}" - ? -  (File not found | COM-object registry key not found)

[Logon]
-----( %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup )-----
"desktop.ini" - ? - C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini
-----( %AllUsersProfile%\Microsoft\Windows\Start Menu\Programs\Startup )-----
"desktop.ini" - ? - C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini
"HP Digital Imaging Monitor.lnk" - "Hewlett-Packard Co." - C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe  (Shortcut exists | File exists)
-----( HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd )-----
"StartupPrograms" - ? - rdpclip  (File not found)
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"Adobe ARM" - "Adobe Systems Incorporated" - "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
"AppleSyncNotifier" - "Apple Inc." - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe
"avgnt" - "Avira GmbH" - "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
"CLMLServer" - "CyberLink" - "C:\Program Files\CyberLink\Power2Go\CLMLSvc.exe"
"HotkeyApp" - "Wistron" - "C:\Program Files\Launch Manager\HotkeyApp.exe"
"HP Software Update" - "Hewlett-Packard" - C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
"iTunesHelper" - "Apple Inc." - "C:\Program Files\iTunes\iTunesHelper.exe"
"LexwareInfoService" - "Haufe-Lexware GmbH & Co. KG" - C:\Program Files\Common Files\Lexware\Update Manager\LxUpdateManager.exe /autostart
"LMgrVolOSD" - "Wistron Corp." - "C:\Program Files\Launch Manager\OSD.exe"
"Malwarebytes' Anti-Malware (reboot)" - "Malwarebytes Corporation" - "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
"NUSB3MON" - "Renesas Electronics Corporation" - "C:\Program Files\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe"
"QuickTime Task" - "Apple Inc." - "C:\Program Files\QuickTime\QTTask.exe" -atboottime
"Wbutton" - "Wistron Corp." - "C:\Program Files\Launch Manager\Wbutton.exe"

[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"Adobe Acrobat Update Service" (AdobeARMservice) - "Adobe Systems Incorporated" - C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe
"Apple Mobile Device" (Apple Mobile Device) - "Apple Inc." - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
"Application Virtualization Client" (sftlist) - "Microsoft Corporation" - C:\Program Files\Microsoft Application Virtualization Client\sftlist.exe
"Application Virtualization Service Agent" (sftvsa) - "Microsoft Corporation" - C:\Program Files\Microsoft Application Virtualization Client\sftvsa.exe
"Avira AntiVir Guard" (AntiVirService) - "Avira GmbH" - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
"Avira AntiVir Planer" (AntiVirSchedulerService) - "Avira GmbH" - C:\Program Files\Avira\AntiVir Desktop\sched.exe
"Client Virtualization Handler" (cvhsvc) - "Microsoft Corporation" - C:\Program Files\Common Files\Microsoft Shared\Virtualization Handler\CVHSVC.EXE
"Cyberlink RichVideo Service(CRVS)" (RichVideo) - ? - C:\Program Files\CyberLink\Shared files\RichVideo.exe
"Dienst "Bonjour"" (Bonjour Service) - "Apple Inc." - C:\Program Files\Bonjour\mDNSResponder.exe
"HP CUE DeviceDiscovery Service" (hpqddsvc) - "Hewlett-Packard Co." - C:\Program Files\HP\Digital Imaging\bin\hpqddsvc.dll
"HP Network Devices Support" (HPSLPSVC) - "Hewlett-Packard Co." - C:\Program Files\HP\Digital Imaging\bin\HPSLPSVC32.DLL
"hpqcxs08" (hpqcxs08) - "Hewlett-Packard Co." - C:\Program Files\HP\Digital Imaging\bin\hpqcxs08.dll
"Intel(R) Management & Security Application User Notification Service" (UNS) - "Intel Corporation" - C:\Program Files\Intel\Intel(R) Management Engine Components\UNS\UNS.exe
"Intel(R) Management and Security Application Local Management Service" (LMS) - "Intel Corporation" - C:\Program Files\Intel\Intel(R) Management Engine Components\LMS\LMS.exe
"Intel(R) Rapid Storage Technology" (IAStorDataMgrSvc) - "Intel Corporation" - C:\Program Files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe
"iPod-Dienst" (iPod Service) - "Apple Inc." - C:\Program Files\iPod\bin\iPodService.exe
"Microsoft .NET Framework NGEN v4.0.30319_X86" (clr_optimization_v4.0.30319_32) - "Microsoft Corporation" - C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
"Net Driver HPZ12" (Net Driver HPZ12) - "Hewlett-Packard" - C:\Windows\system32\HPZinw12.dll
"NVIDIA Display Driver Service" (nvsvc) - "NVIDIA Corporation" - C:\Windows\system32\nvvsvc.exe
"NVIDIA Update Service Daemon" (nvUpdatusService) - "NVIDIA Corporation" - C:\Program Files\NVIDIA Corporation\NVIDIA Updatus\daemonu.exe
"Office  Source Engine" (ose) - "Microsoft Corporation" - C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE
"Office Software Protection Platform" (osppsvc) - "Microsoft Corporation" - C:\Program Files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE
"Pml Driver HPZ12" (Pml Driver HPZ12) - "Hewlett-Packard" - C:\Windows\system32\HPZipm12.dll
"Protexis Licensing V2" (PSI_SVC_2) - "Protexis Inc." - c:\Program Files\Common Files\Protexis\License Service\PsiService_2.exe
"SeaPort" (SeaPort) - "Microsoft Corporation" - C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
"WisLMSvc" (WisLMSvc) - "Wistron Corp." - C:\Program Files\Launch Manager\WisLMSvc.exe
"X10 Device Network Service" (x10nets) - "X10" - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

[Winsock Providers]
-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries )-----
"mdnsNSP" - "Apple Inc." - C:\Program Files\Bonjour\mdnsNSP.dll

===[ Logfile end ]=========================================[ Logfile end ]===

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru
aswMBR.log:

Code:
aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-10-21 18:02:55
-----------------------------
18:02:55.931    OS Version: Windows 6.1.7601 Service Pack 1
18:02:55.931    Number of processors: 4 586 0x2505
18:02:55.931    ComputerName: SKRTI011-PC  UserName: skrti011
18:03:14.760    Initialize success
18:06:32.113    AVAST engine defs: 11102100
18:10:46.908    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1
18:10:46.908    Disk 0 Vendor: SAMSUNG_ 2AJ1 Size: 610480MB BusType: 3
18:10:46.955    Disk 0 MBR read successfully
18:10:46.955    Disk 0 MBR scan
18:10:46.986    Disk 0 Windows 7 default MBR code
18:10:47.064    Disk 0 scanning sectors +1250260992
18:10:47.517    Disk 0 scanning C:\Windows\system32\drivers
18:12:31.133    Service scanning
18:12:32.131    Modules scanning
18:15:05.211    Disk 0 trace - called modules:
18:15:05.289    ntkrnlpa.exe CLASSPNP.SYS disk.sys iaStor.sys halmacpi.dll
18:15:05.289    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x87f7fa90]
18:15:05.304    3 CLASSPNP.SYS[8c18659e] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-1[0x863db028]
18:15:06.365    AVAST engine scan C:\Windows
18:18:19.636    AVAST engine scan C:\Windows\system32
18:39:45.827    AVAST engine scan C:\Windows\system32\drivers
18:44:33.760    Disk 0 MBR has been saved successfully to "C:\Users\skrti011\Desktop\MBR.dat"
18:44:33.776    The log file has been saved successfully to "C:\Users\skrti011\Desktop\aswMBR2.txt"
Viele Grüße
Tim

cosinus 22.10.2011 16:01
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!


Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:


ESET Online Scanner

  • Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
  • Lade und starte Eset Online Scanner
  • Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
  • Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
  • Klicke auf Starten.
  • Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
  • Klicke am Ende des Suchlaufs auf Fertig stellen.
  • Schließe das Fenster von ESET.
  • Explorer öffnen.
  • C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
  • Logfile hier posten.
  • Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
  • Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset


skrti 23.10.2011 09:00
Hi Arne,

also die Vollscans haben etwas gedauert, aber hier die Ergebnisse:

Malwarebytes log:

Code:
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Datenbank Version: 7999

Windows 6.1.7601 Service Pack 1
Internet Explorer 9.0.8112.16421

22.10.2011 19:11:40
mbam-log-2011-10-22 (19-11-40).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|F:\|G:\|H:\|)
Durchsuchte Objekte: 559977
Laufzeit: 1 Stunde(n), 31 Minute(n), 22 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\Qoobox\quarantine\C\Users\skrti011\AppData\Roaming\java.exe.vir (Backdoor.Bot) -> Quarantined and deleted successfully.
SUPERAntiSpyware log: Es handelt sich um eine aktuellere Version als im Tutorial beschrieben. Ich konnte die Funde nur direkt löschen (sie sind jetzt allerdings noch "zurückholbar"), oder als unbedenktlich behandeln. Ich habe mich für Ersteres entschieden. Wenn ich damit Dateien gelöscht haben sollte, die zwingend benötigt werden, sag mir bitte bescheid :)

Code:
SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 10/23/2011 at 04:07 AM

Application Version : 5.0.1134

Core Rules Database Version : 7837
Trace Rules Database Version: 5649

Scan type      : Complete Scan
Total Scan Time : 08:37:54

Operating System Information
Windows 7 Home Premium 32-bit, Service Pack 1 (Build 6.01.7601)
UAC On - Administrator

Memory items scanned      : 862
Memory threats detected  : 0
Registry items scanned    : 40394
Registry threats detected : 0
File items scanned        : 278843
File threats detected    : 76

Adware.Tracking Cookie
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\skrti011@adx.chip[2].txt [ /adx.chip ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\skrti011@stat.aldi[1].txt [ /stat.aldi ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\skrti011@stat.aldi[3].txt [ /stat.aldi ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\BY6XC0ZZ.txt [ /imrworldwide.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\SF9K6LR7.txt [ /www.googleadservices.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\F2I3MKIU.txt [ /ad.yieldmanager.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\DAF9Q4X6.txt [ /bs.serving-sys.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\9P9MGVTW.txt [ /2o7.net ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\24XTTQ54.txt [ /smartadserver.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\KO6VHTYA.txt [ /invitemedia.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\CW1Y1570.txt [ /ads.pubmatic.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\JWYGDQ6N.txt [ /atdmt.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\H1GLBH7Z.txt [ /ad.adition.net ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\CN0HECZN.txt [ /adxpose.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\9EV37Y2C.txt [ /ad2.adfarm1.adition.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\K0ISJ90A.txt [ /media6degrees.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\YKKKY5IB.txt [ /ads.lzjl.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\MF7PBI3Y.txt [ /mediaplex.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\55A4HTJE.txt [ /ads.247activemedia.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\EEFZ9L3T.txt [ /specificclick.net ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\D0YPX6HB.txt [ /ww251.smartadserver.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\ZNLMKRKH.txt [ /myroitracking.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\LSLUOB0E.txt [ /webmasterplan.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\DBA7R0VI.txt [ /serving-sys.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\NWPATC3X.txt [ /adfarm1.adition.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\WXKPM81J.txt [ /adtech.de ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\RQ0QF8QA.txt [ /revsci.net ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\0ZI87XWA.txt [ /ad.ad-srv.net ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\17HW78MD.txt [ /doubleclick.net ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\NFZKKK5K.txt [ /apmebf.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\SU79FCZC.txt [ /clicksor.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\VMLJDEU9.txt [ /zanox.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\1WLF2PSG.txt [ /ad.zanox.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\0UBO3D5G.txt [ /ad3.adfarm1.adition.com ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\05E93ALN.txt [ /fastclick.net ]
        C:\Users\skrti011\AppData\Roaming\Microsoft\Windows\Cookies\U6GYWXDF.txt [ /mm.chitika.net ]
        C:\USERS\SKRTI011\AppData\Roaming\Microsoft\Windows\Cookies\8LRQNQOU.txt [ Cookie:skrti011@adsonar.com/adserving ]
        C:\USERS\SKRTI011\AppData\Roaming\Microsoft\Windows\Cookies\Low\skrti011@stat.aldi[2].txt [ Cookie:skrti011@stat.aldi.com/ ]
        C:\USERS\SKRTI011\AppData\Roaming\Microsoft\Windows\Cookies\Low\skrti011@mediaplex[1].txt [ Cookie:skrti011@mediaplex.com/ ]
        C:\USERS\SKRTI011\AppData\Roaming\Microsoft\Windows\Cookies\Low\skrti011@statse.webtrendslive[2].txt [ Cookie:skrti011@statse.webtrendslive.com/ ]
        C:\USERS\SKRTI011\AppData\Roaming\Microsoft\Windows\Cookies\Low\skrti011@apmebf[1].txt [ Cookie:skrti011@apmebf.com/ ]
        C:\USERS\SKRTI011\AppData\Roaming\Microsoft\Windows\Cookies\Low\skrti011@interclick[1].txt [ Cookie:skrti011@interclick.com/ ]
        C:\USERS\SKRTI011\AppData\Roaming\Microsoft\Windows\Cookies\Low\skrti011@adx.chip[2].txt [ Cookie:skrti011@adx.chip.de/ ]
        C:\USERS\SKRTI011\AppData\Roaming\Microsoft\Windows\Cookies\Low\skrti011@fastclick[1].txt [ Cookie:skrti011@fastclick.net/ ]
        C:\USERS\SKRTI011\Cookies\skrti011@stat.aldi[3].txt [ Cookie:skrti011@stat.aldi.com/ ]
        C:\USERS\SKRTI011\Cookies\skrti011@stat.aldi[1].txt [ Cookie:skrti011@stat.aldi.com/dcsfq2jxwixy5f1mioa8p9lnl_5x1d ]
        C:\USERS\SKRTI011\Cookies\SF9K6LR7.txt [ Cookie:skrti011@www.googleadservices.com/pagead/conversion/996761568/ ]
        C:\USERS\SKRTI011\Cookies\DAF9Q4X6.txt [ Cookie:skrti011@bs.serving-sys.com/ ]
        C:\USERS\SKRTI011\Cookies\24XTTQ54.txt [ Cookie:skrti011@smartadserver.com/ ]
        C:\USERS\SKRTI011\Cookies\H1GLBH7Z.txt [ Cookie:skrti011@ad.adition.net/ ]
        C:\USERS\SKRTI011\Cookies\CN0HECZN.txt [ Cookie:skrti011@adxpose.com/ ]
        C:\USERS\SKRTI011\Cookies\K0ISJ90A.txt [ Cookie:skrti011@media6degrees.com/ ]
        C:\USERS\SKRTI011\Cookies\8LRQNQOU.txt [ Cookie:skrti011@adsonar.com/adserving ]
        C:\USERS\SKRTI011\Cookies\MF7PBI3Y.txt [ Cookie:skrti011@mediaplex.com/ ]
        C:\USERS\SKRTI011\Cookies\55A4HTJE.txt [ Cookie:skrti011@ads.247activemedia.com/ ]
        C:\USERS\SKRTI011\Cookies\EEFZ9L3T.txt [ Cookie:skrti011@specificclick.net/ ]
        C:\USERS\SKRTI011\Cookies\D0YPX6HB.txt [ Cookie:skrti011@ww251.smartadserver.com/ ]
        C:\USERS\SKRTI011\Cookies\ZNLMKRKH.txt [ Cookie:skrti011@myroitracking.com/ ]
        C:\USERS\SKRTI011\Cookies\DBA7R0VI.txt [ Cookie:skrti011@serving-sys.com/ ]
        C:\USERS\SKRTI011\Cookies\WXKPM81J.txt [ Cookie:skrti011@adtech.de/ ]
        C:\USERS\SKRTI011\Cookies\RQ0QF8QA.txt [ Cookie:skrti011@revsci.net/ ]
        C:\USERS\SKRTI011\Cookies\NFZKKK5K.txt [ Cookie:skrti011@apmebf.com/ ]
        C:\USERS\SKRTI011\Cookies\SU79FCZC.txt [ Cookie:skrti011@clicksor.com/ ]
        C:\USERS\SKRTI011\Cookies\skrti011@adx.chip[2].txt [ Cookie:skrti011@adx.chip.de/ ]
        C:\USERS\SKRTI011\Cookies\VMLJDEU9.txt [ Cookie:skrti011@zanox.com/ ]
        C:\USERS\SKRTI011\Cookies\1WLF2PSG.txt [ Cookie:skrti011@ad.zanox.com/ ]
        C:\USERS\SKRTI011\Cookies\0UBO3D5G.txt [ Cookie:skrti011@ad3.adfarm1.adition.com/ ]
        C:\USERS\SKRTI011\Cookies\05E93ALN.txt [ Cookie:skrti011@fastclick.net/ ]
        C:\USERS\SKRTI011\Cookies\U6GYWXDF.txt [ Cookie:skrti011@mm.chitika.net/ ]
        C:\USERS\SKRTI011\APPDATA\ROAMING\MICROSOFT\WINDOWS\COOKIES\LOW\SKRTI011@2O7[2].TXT [ /2O7 ]
        C:\USERS\SKRTI011\APPDATA\ROAMING\MICROSOFT\WINDOWS\COOKIES\LOW\SKRTI011@ATDMT[2].TXT [ /ATDMT ]
        C:\USERS\SKRTI011\APPDATA\ROAMING\MICROSOFT\WINDOWS\COOKIES\LOW\SKRTI011@MSNPORTAL.112.2O7[1].TXT [ /MSNPORTAL.112.2O7 ]
        C:\USERS\SKRTI011\APPDATA\ROAMING\MICROSOFT\WINDOWS\COOKIES\LOW\SKRTI011@AD1.ADFARM1.ADITION[1].TXT [ /AD1.ADFARM1.ADITION ]
        C:\USERS\SKRTI011\APPDATA\ROAMING\MICROSOFT\WINDOWS\COOKIES\LOW\SKRTI011@ADFARM1.ADITION[1].TXT [ /ADFARM1.ADITION ]
        C:\USERS\SKRTI011\APPDATA\ROAMING\MICROSOFT\WINDOWS\COOKIES\LOW\SKRTI011@DOUBLECLICK[1].TXT [ /DOUBLECLICK ]
        C:\USERS\SKRTI011\APPDATA\ROAMING\MICROSOFT\WINDOWS\COOKIES\LOW\SKRTI011@AD.YIELDMANAGER[2].TXT [ /AD.YIELDMANAGER ]
Eset log:

Code:
ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=9.00.8112.16421 (WIN7_IE9_RTM.110308-0330)
# OnlineScanner.ocx=1.0.0.6528
# api_version=3.0.2
# EOSSerial=4ff945c72cd9f44ab9ace0b0ddad452d
# end=stopped
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-10-18 08:28:34
# local_time=2011-10-18 10:28:34 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1797 16775165 100 94 302880 55501882 198059 0
# compatibility_mode=5893 16776574 100 94 12357193 70596217 0 0
# compatibility_mode=8192 67108863 100 0 476 476 0 0
# scanned=146587
# found=5
# cleaned=0
# scan_time=4709
C:\Backup Ext. Festplatte\Fun- other stuff\ferrariscreensaver.exe        Win32/Adware.Gator.Trickler application (unable to clean)        00000000000000000000000000000000        I
C:\Backup Ext. Festplatte\Fun- other stuff\gun.exe        probably a variant of Win32/Agent.EFDSENW trojan (unable to clean)        00000000000000000000000000000000        I
C:\Users\skrti011\AppData\Roaming\java.exe        a variant of Win32/Kryptik.UAA trojan (unable to clean)        00000000000000000000000000000000        I
C:\Users\skrti011\Downloads\SoftonicDownloader_fuer_age-of-empires.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
C:\Users\skrti011\Downloads\SoftonicDownloader_fuer_simutrans.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
esets_scanner_update returned -1 esets_gle=53251
# version=7
# iexplore.exe=9.00.8112.16421 (WIN7_IE9_RTM.110308-0330)
# OnlineScanner.ocx=1.0.0.6528
# api_version=3.0.2
# EOSSerial=4ff945c72cd9f44ab9ace0b0ddad452d
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-10-18 11:21:51
# local_time=2011-10-19 01:21:51 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1797 16775165 100 94 307631 55506633 202810 0
# compatibility_mode=5893 16776574 100 94 12361944 70600968 0 0
# compatibility_mode=8192 67108863 100 0 5227 5227 0 0
# scanned=390075
# found=7
# cleaned=0
# scan_time=10355
C:\Backup Ext. Festplatte\Fun- other stuff\ferrariscreensaver.exe        Win32/Adware.Gator.Trickler application (unable to clean)        00000000000000000000000000000000        I
C:\Backup Ext. Festplatte\Fun- other stuff\gun.exe        probably a variant of Win32/Agent.EFDSENW trojan (unable to clean)        00000000000000000000000000000000        I
C:\Users\skrti011\AppData\Roaming\java.exe        a variant of Win32/Kryptik.UAA trojan (unable to clean)        00000000000000000000000000000000        I
C:\Users\skrti011\Downloads\SoftonicDownloader_fuer_age-of-empires.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
C:\Users\skrti011\Downloads\SoftonicDownloader_fuer_simutrans.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
F:\Backup Laptop 17.10.2011\Downloads\SoftonicDownloader_fuer_age-of-empires.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
F:\Backup Laptop 17.10.2011\Downloads\SoftonicDownloader_fuer_simutrans.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
# version=7
# iexplore.exe=9.00.8112.16421 (WIN7_IE9_RTM.110308-0330)
# OnlineScanner.ocx=1.0.0.6528
# api_version=3.0.2
# EOSSerial=4ff945c72cd9f44ab9ace0b0ddad452d
# end=stopped
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-10-19 03:21:49
# local_time=2011-10-19 05:21:49 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1797 16775165 100 94 373153 55572155 268332 0
# compatibility_mode=5893 16776574 100 94 12427466 70666490 0 0
# compatibility_mode=8192 67108863 100 0 70749 70749 0 0
# scanned=70419
# found=2
# cleaned=0
# scan_time=2410
C:\Backup Ext. Festplatte\Fun- other stuff\ferrariscreensaver.exe        Win32/Adware.Gator.Trickler application (unable to clean)        00000000000000000000000000000000        I
C:\Backup Ext. Festplatte\Fun- other stuff\gun.exe        probably a variant of Win32/Agent.EFDSENW trojan (unable to clean)        00000000000000000000000000000000        I
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6528
# api_version=3.0.2
# EOSSerial=4ff945c72cd9f44ab9ace0b0ddad452d
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-10-23 06:10:34
# local_time=2011-10-23 08:10:34 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1797 16775165 100 94 677775 55876777 106976 0
# compatibility_mode=5893 16776574 100 94 12732088 70971112 0 0
# compatibility_mode=8192 67108863 100 0 375371 375371 0 0
# scanned=391460
# found=4
# cleaned=0
# scan_time=10313
C:\Backup Ext. Festplatte\Fun- other stuff\ferrariscreensaver.exe        Win32/Adware.Gator.Trickler application (unable to clean)        00000000000000000000000000000000        I
C:\Backup Ext. Festplatte\Fun- other stuff\gun.exe        probably a variant of Win32/Agent.EFDSENW trojan (unable to clean)        00000000000000000000000000000000        I
H:\Backup Laptop 17.10.2011\Downloads\SoftonicDownloader_fuer_age-of-empires.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
H:\Backup Laptop 17.10.2011\Downloads\SoftonicDownloader_fuer_simutrans.exe        a variant of Win32/SoftonicDownloader.A application (unable to clean)        00000000000000000000000000000000        I
Soll/Kann ich die gefundenen Dateien manuell löschen und dann geht keine Gefahr mehr von Ihnen aus?

Vielen Dank weiterhin!

Grüße
Tim

cosinus 23.10.2011 18:29
Nur Cookies, ein Überrest bei Malwarebytes und ältere Sachen im ESET-Log. Ob du die noch brauchst, musst du wissen.
Rechner soweit wieder im Lot?

skrti 24.10.2011 15:57
Hi Arne,

an dieser Stelle noch einmal VIELEN DANK!!! Also der Rechner läuft, soweit ich das überblicken kann, wieder rund. Ein paar abschließende Fragen hätte ich noch:
  1. Bestehen gem. der Scans auch keine Infektionen (mehr) auf den ext. Datenträgern?
  2. soll ich mit defrogger wieder "reaktivieren"?
  3. welche der in unserem Prozess installierten Programme kannst du mir empfehlen zu behalten?
  4. besonders: SUPERAntiSpyware hab ich jetzt permanent in der Taskleiste. Das Programm "beißt" sich nicht mit meinem Virenscanner?
  5. Ich hatte unter den Eset.log geschrieben
    Zitat:
    Soll/Kann ich die gefundenen Dateien manuell löschen und dann geht keine Gefahr mehr von Ihnen aus?
    Kann ich die vier Dateien also händisch einfach raushauen? vgl. ganz unten im logfile.

Nochmal vielen Dank! :taenzer: :daumenhoc

Gruß
Tim

cosinus 24.10.2011 18:26
Zitat:
Bestehen gem. der Scans auch keine Infektionen (mehr) auf den ext. Datenträgern?
Wurden denn ALLE immer mitgescannt?

Zitat:
soll ich mit defrogger wieder "reaktivieren"?
ja kannste machen
Zitat:
besonders: SUPERAntiSpyware hab ich jetzt permanent in der Taskleiste. Das Programm "beißt" sich nicht mit meinem Virenscanner?
SUPERAntiSpyware deinstallieren

Zitat:
Ich hatte unter den Eset.log geschrieben
kann gelöscht werden


Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update


PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink:

Mozilla und andere Browser => http://filepony.de/?q=Flash+Player
Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

skrti 26.10.2011 18:45
Hi Arne,

danke für die letzten Tips.
Zitat:
Wurden denn ALLE immer mitgescannt?
Jub, das hab ich gemacht :)

Die letzten Hinweise werd ich auch noch befolgen, dann sollte alles wieder im Lot sein. Danke dir nochmal recht herzlich!!! :dankeschoen:

Viele Grüße
Tim


Alle Zeitangaben in WEZ +1. Es ist jetzt 22:52 Uhr.
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131