Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Verschlüsselungs-Trojaner (https://www.trojaner-board.de/115665-verschluesselungs-trojaner.html)

comserv 23.05.2012 20:35
Verschlüsselungs-Trojaner
 
Hi Markus,
ich habe auch diesen Verschlüsselungs Trojaner eingefangen - kannst du mir bitte einen fix schicken - vielen vielen dank!
Bernd (office@comserv.at)

Anbei der Inhalt des OTL log files:

kira 24.05.2012 07:53
Hallo und Herzlich Willkommen! :)

Bevor wir unsere Zusammenarbeit beginnen, [Bitte Vollständig lesen]:
Zitat:
  • "Fernbehandlungen/Fernhilfe" und die damit verbundenen Haftungsrisken:
    - da die Fehlerprüfung und Handlung werden über große Entfernungen durchgeführt, besteht keine Haftung unsererseits für die daraus entstehenden Folgen.
    - also, jede Haftung für die daraus entstandene Schäden wird ausgeschlossen, ANWEISUNGEN UND DEREN BEFOLGUNG, ERFOLGT AUF DEINE EIGENE VERANTWORTUNG!
  • Charakteristische Merkmale/Profilinformationen:
    - aus der verwendeten Loglisten oder Logdateien - wie z.B. deinen Realnamen, Seriennummer in Programm etc)- kannst Du durch [X] oder Sternchen (*) ersetzen
  • Die Systemprüfung und Bereinigung:
    - kann einige Zeit in Anspruch nehmen (je nach Art der Infektion), kann aber sogar so stark kompromittiert sein, so dass eine wirkungsvolle technische Säuberung ist nicht mehr möglich bzw Du es neu installieren musst
  • Ich empfehle Dir die Anweisungen erst einmal komplett durchzulesen, bevor du es anwendest, weil wenn du etwas falsch machst, kann es wirklich gefährlich werden. Wenn du meinen Anweisungen Schritt für Schritt folgst, kann eigentlich nichts schief gehen.
  • Innerhalb der Betreuungszeit:
    - ohne Abspräche bitte nicht auf eigene Faust handeln!- bei Problemen nachfragen.
  • Die Reihenfolge:
    - genau so wie beschrieben bitte einhalten, nicht selbst die Reihenfolge wählen!
  • GECRACKTE SOFTWARE werden hier nicht geduldet!!!!
  • Ansonsten unsere Forumsregeln:
    - Bitte erst lesen, dann posten!-> Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?
  • Alle Logfile mit einem vBCode Tag eingefügen, das bietet hier eine gute Übersicht, erleichtert mir die Arbeit! Falls das Logfile zu groß, teile es in mehrere Teile auf.

Sobald Du diesen Einführungstext gelesen hast, kannst Du beginnen:)
Zitat:
Wenn ein System kompromittiert wurde, ist das System nicht mehr vertrauenswürdig
Eine Neuinstallation garantiert die rückstandsfreie Entfernung der Infektion - Lesestoff: "Hilfe: Ich wurde das Opfer eines Hackerangriffs. Was soll ich tun?" - Säubern eines gefährdeten Systems
Falls du doch für die Systemreinigung entscheidest:

► Ich kann Dir beim Entfernen der Malware helfen, aber mit dem Verschlüsselung aufheben wird schwieriger...kann sein, dass wir nur ein Teil vom großen & Ganzen entschlüsseln können, oder eben garnix davon!

1.
Zitat:
Achtung wichtig!:
Falls Du selber im Logfile Änderungen vorgenommen hast, musst Du durch die Originalbezeichnung ersetzen und so in Script einfügen! sonst funktioniert nicht!
(Benutzerordner, dein Name oder sonstige Änderungen durch X, Stern oder andere Namen ersetzt)
Fixen mit OTLPE
  • Starte die OTLPE
  • Kopiere folgendes Skript (unverändert inkl. :OTL, also - nach dem "Code", alles was in der Codebox steht - - (also beginnend mit :OTL und am Ende [emptytemp] ohne "code"!)
    :
Code:
:OTL
O3 - HKLM\..\Toolbar: (no name) - {1DBAB667-A486-421e-AFE4-CF07DD0088E5} - No CLSID value found.
O3 - HKLM\..\Toolbar: (Adobe PDF) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O3 - HKU\Sieglinde_ON_C\..\Toolbar\ShellBrowser: (Adobe PDF) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O3 - HKU\Sieglinde_ON_C\..\Toolbar\WebBrowser: (Adobe PDF) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O4 - HKLM..\Run: []  File not found
O4 - HKU\Sieglinde_ON_C..\Run: [DC4B5DFC] C:\WINDOWS\system32\6859FF5BDC4B5DFC6993.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\Scan_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\Sieglinde_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\Sieglinde_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O7 - HKU\Sieglinde_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1
O7 - HKU\Sieglinde_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\6859FF5BDC4B5DFC6993.exe) - C:\WINDOWS\system32\6859FF5BDC4B5DFC6993.exe ()
O27 - HKLM IFEO\msconfig.exe: Debugger - P9KDMF.EXE File not found
O27 - HKLM IFEO\regedit.exe: Debugger - P9KDMF.EXE File not found
O27 - HKLM IFEO\taskmgr.exe: Debugger - P9KDMF.EXE File not found
[2012/05/22 05:55:10 | 000,048,128 | -H-- | M] () -- C:\WINDOWS\System32\6859FF5BDC4B5DFC6993.exe

:Files
C:\WINDOWS\system32\6859FF5BDC4B5DFC6993.exe
C:\WINDOWS\System32\winsh325
C:\WINDOWS\System32\winsh324
C:\WINDOWS\System32\winsh323
C:\WINDOWS\System32\winsh322
C:\WINDOWS\System32\winsh321
C:\WINDOWS\System32\winsh320
C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Vgurvgjowh
ipconfig /flushdns /c

:Commands
[purity]
[emptytemp]

2.
Boote neu und schaue nach, ob Du schon im normalen Modus arbeiten kannst?
wenn ja, so geht es weiter:

3.
Lade Dir Malwarebytes Anti-Malware Lade Dir Malwarebytes Anti-Malware → von hier herunter
  • Installieren und per Doppelklick starten.
  • Deutsch einstellen und gleich mal die Datenbanken zu aktualisieren - online updaten
  • "Komplett Scan durchführen" wählen (überall Haken setzen)
  • wenn der Scanvorgang beendet ist, klicke auf "Zeige Resultate"
  • Alle Funde - falls MBAM meldet in C:\System Volume Information - den Haken bitte entfernen - markieren und auf "Löschen" - "Ausgewähltes entfernen") klicken.
  • Poste das Ergebnis hier in den Thread - den Bericht findest Du unter "Scan-Berichte"
eine bebilderte Anleitung findest Du hier: Anleitung

4.
Systemscan mit OTL - nicht mehr das OTLPE starten!

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop.
  • Doppelklick auf die OTL.exe
  • Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen.
  • Oben findest Du ein Kästchen mit Ausgabe.
    Wähle bitte Standard-Ausgabe
  • Unter Extra-Registrierung wähle bitte Benutze SafeList.
  • Mache Häckchen bei LOP- und Purity-Prüfung.
  • Klicke nun auf Scan links oben.

    http://image.hijackthis.eu/upload/otl_screen_neu.jpg
  • Wenn der Scan beendet wurde werden zwei Logfiles erstellt.
    Du findest die Logfiles auf Deinem Desktop => OTL.txt und Extras.txt
  • Poste die Logfiles in Code-Tags hier in den Thread.

5.
Um festzustellen, ob veraltete oder schädliche Software unter Programme installiert sind, ich würde gerne noch all deine installierten Programme sehen:
  • Download den CCleaner herunter
  • Software-Lizenzvereinbarung lesen, falls irgendeine Toolbar angeboten wird, bitte abwählen!-> starten -> Falls nötig, auf "Deutsch" einstellen.
  • starten-> klick auf `Extras` (um auf deinem System installierte Software zu anzeigen)-> dann auf `Als Textdatei speichern...`
  • ein Textdatei wird automatisch erstellt, poste auch dieses Logfile (also die Liste alle installierten Programme...eine Textdatei)

Zitat:
Damit dein Thread übersichtlicher und schön lesbar bleibt, am besten nutze den Code-Tags für deinen Post:
→ vor dein Log schreibst Du (also am Anfang des Logfiles):[code]
hier kommt dein Logfile rein - z.B OTL-Logfile o. sonstiges
→ dahinter - also am Ende der Logdatei: [/code]
** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw
gruß
kira

comserv 24.05.2012 09:02
Hi Kira,

vielen Dank erstmal für deine prompte Antwort und die detailierten Anweisungen! Ich werde es heute abends ausprobieren und ein feedback geben.
Bezüglich der Entschlüsselung: bei mir wurden auch alle Daten (inkl. ca. 90 GB auf der angeschlossenen ext. FP) kryptifiziert. Ich habe bereits die beiden Entschlüsselungsprogramme DecryptHelper von Matthias und Avira Ransom File Unlocker versucht auf der ext. FP anzuwenden, jedoch kann kein Schlüssel generiert werden (habe es mit der Originaldatei Beispielbild Blaue Berge (28kb) versucht) - die verschlüsselten Dateien haben keine Extension und auch kein locked- vorne sondern nur Buchstabenkombinationen zB: GDKBZBDFBCOFMCP, befallen sind eigentlich hauptsächlich alle Office Dateien, die aber allesamt :( Ist das ggf. eine neue Variante des Trojaners mit einem neuen Verschlüsselungscode, sodass die o.a. Programme diesen noch nicht entschlüsseln können? - oder bin ich einfach zu blöd???? Ich wäre dir sehr dankbar wenn du mir auch diesbezüglich helfen könntest - falls ich die Daten wieder hinkriegen würde, wäre es nicht extrem problematisch die Maschine neu aufzusetzen.
Lg Bernd

[code]
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{1DBAB667-A486-421e-AFE4-CF07DD0088E5} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1DBAB667-A486-421e-AFE4-CF07DD0088E5}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{47833539-D0C5-4125-9FA8-0819E2EAAC93} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{47833539-D0C5-4125-9FA8-0819E2EAAC93}\ deleted successfully.
C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll moved successfully.
Registry value HKEY_USERS\Sieglinde_ON_C\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\\{47833539-D0C5-4125-9FA8-0819E2EAAC93} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{47833539-D0C5-4125-9FA8-0819E2EAAC93}\ not found.
File C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll not found.
Registry value HKEY_USERS\Sieglinde_ON_C\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{47833539-D0C5-4125-9FA8-0819E2EAAC93} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{47833539-D0C5-4125-9FA8-0819E2EAAC93}\ not found.
File C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
Registry value HKEY_USERS\Sieglinde_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\DC4B5DFC deleted successfully.
C:\WINDOWS\system32\6859FF5BDC4B5DFC6993.exe moved successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.
Registry value HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\Scan_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\Sieglinde_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\Sieglinde_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully.
Registry value HKEY_USERS\Sieglinde_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.
Registry value HKEY_USERS\Sieglinde_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\UserInit:C:\WINDOWS\system32\6859FF5BDC4B5DFC6993.exe deleted successfully.
File C:\WINDOWS\system32\6859FF5BDC4B5DFC6993.exe not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\ deleted successfully.
File C:\WINDOWS\System32\6859FF5BDC4B5DFC6993.exe not found.
========== FILES ==========
File\Folder C:\WINDOWS\system32\6859FF5BDC4B5DFC6993.exe not found.
C:\WINDOWS\System32\winsh325 moved successfully.
C:\WINDOWS\System32\winsh324 moved successfully.
C:\WINDOWS\System32\winsh323 moved successfully.
C:\WINDOWS\System32\winsh322 moved successfully.
C:\WINDOWS\System32\winsh321 moved successfully.
C:\WINDOWS\System32\winsh320 moved successfully.
C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Vgurvgjowh folder moved successfully.
< ipconfig /flushdns /c >
Windows IP Configuration
An internal error occurred: The system cannot find the file specified.

Please contact Microsoft Product Support Services for further help.
Additional information: Unable to open registry key for tcpip.
C:\cmd.bat deleted successfully.
C:\cmd.txt deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Scan
->Temp folder emptied: 595878 bytes
->Temporary Internet Files folder emptied: 85214 bytes

User: Sieglinde
->Temp folder emptied: 1044560370 bytes
->Temporary Internet Files folder emptied: 311691511 bytes
->Java cache emptied: 1812855 bytes
->FireFox cache emptied: 906752907 bytes
->Flash cache emptied: 31407 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes

Total Files Cleaned = 2,161.00 mb


OTLPE by OldTimer - Version 3.1.48.0 log created on 05242012_234816

Files\Folders moved on Reboot...
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\button_vier;sz=90x50;site=01;lang=de;custid=0;a=04;ord=iA0H9IaPYo2viL6QownIyY2xkKx;n=001;n=006;n=010;n=014;n=016;n=018;n=02 0;n=024;n=028;n=032;n=048;n=050;n=051;n=059;n=[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\hpbox;sz=300x250;price=0;typ=0;ch=01;ccm=0;cap=0;reg=0;km=0;fuel=01;gear=01;ac=01;restr=0;s=0;intid=0;advid=0;tsn=0;hsn=0;s ch=0;a=0;art=0;pr=0;kw=0;ma=0;ez=0;regy=0;con=[1].htm not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\on=0;site=01;cm=0;mod=0;mwst=01;lang=de;city=000;custid=0;us=51;us=52;us=53;us=55;us=56;us=57;us=58;us=59;us=60;us=61;us=62 ;us=63;mg=0;hfd=0;p=01;ord=Un7ykXy4iLvFCkWntzZwJfopW1D not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\ros;dcopt=ist;sz=468x60,728x90,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid =122949750;adv[2].JPG;ord=2YyaIpiSZXiWusZEAWDMfiFo8Pi not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\ros;dcopt=ist;sz=468x60,728x90,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid =122949750;adv[2].JPG;ord=xiuy6ZxC7enzm2VE5r3bcNDfxOo not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\ros;sz=230x20,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid=122949750;advid= 554080;tsn=0;h[2].JPG;ord=6Vd4kayR3gH5hrh718lcG1z4e2R not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\ros;sz=230x20,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid=122949750;advid= 554080;tsn=0;h[2].JPG;ord=X8pATCx7BqKmvjmF40JgKSZK6gI not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\ros;sz=380x170,380x200,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;a[2].JPG;ord=ffPh0Eb146O2u96RyWFyfSGwPpg;dartBackurl=mod%3D%26mk%3DVOLVO%26km%3D540000 not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\ros;sz=380x180,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=03;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;s=01;s=03;intid=12853 7998;advid=558088;tsn=0;hsn=0;sch=0;a=02;art=0[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\_default;sz=120x600,160x600,200x600,2x2;price=0;typ=11;ch=02;ccm=0;cap=0;reg=02;km=0;fuel=01;gear=01;ac=01;restr=0;s=0;inti d=0;advid=0;tsn=0;hsn=0;sch=0;a=01;art=0;pr=0;[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y3CN0BKP\_default;sz=120x600,160x600,200x600,2x2;price=0;typ=11;ch=02;ccm=0;cap=0;reg=02;km=0;fuel=01;gear=01;ac=01;restr=0;s=0;inti d=0;advid=0;tsn=0;hsn=0;sch=0;a=01;art=0;pr=0;[3] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\button_fuenf;sz=90x50;site=01;lang=de;custid=0;a=04;ord=tqahk48LPm9yvoKoyxUhZFarnHH;n=001;n=006;n=010;n=014;n=016;n=018;n=0 20;n=024;n=028;n=032;n=048;n=050;n=051;n=059;n[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\button_zwei;sz=90x50;site=01;lang=de;custid=0;a=04;ord=pYETU2AnlZGDmNkPBgiiRn0eyau;n=001;n=006;n=010;n=014;n=016;n=018;n=02 0;n=024;n=028;n=032;n=048;n=050;n=051;n=059;n=[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\homepage;dcopt=ist;sz=468x60,728x90,1x1;price=0;typ=0;ch=01;ccm=0;cap=0;reg=0;km=0;fuel=01;gear=01;ac=01;restr=0;s=0;intid= 0;advid=0;tsn=0;hsn=0;sch=0;a=0;art=0;pr=0;kw=[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\homepage;sz=468x60,728x90,1x1;price=0;typ=0;ch=01;ccm=0;cap=0;reg=0;km=0;fuel=01;gear=01;ac=01;restr=0;s=0;intid=0;advid=0; tsn=0;hsn=0;sch=0;a=0;art=0;pr=0;kw=0;ma=0;ez=[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\on=0;site=01;cm=0;mod=0;mwst=01;lang=de;city=000;custid=0;us=51;us=52;us=53;us=55;us=56;us=57;us=58;us=59;us=60;us=61;us=62 ;us=63;mg=0;hfd=0;p=01;ord=bewukpoBLuZAZErZ1FgjlTY1U47 not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\on=0;site=01;cm=0;mod=0;mwst=01;lang=de;city=000;custid=0;us=51;us=52;us=53;us=55;us=56;us=57;us=58;us=59;us=60;us=61;us=62 ;us=63;mg=0;hfd=0;p=02;ord=zUALbxbIWxn9wbLSn6bEvE8zMQY not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\ros;sz=120x600,160x600,200x600,2x2;price=36;typ=11;ch=02;ccm=0;cap=0;reg=03;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;s=01; s=03;intid=128[2].JPG;ord=ZD8bEd1fiaNrVSggO99mNab2mz7 not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\ros;sz=130x45;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid=122949750;advid=5540 80;tsn=0;hsn=0[2].JPG;ord=HJYe0yFrNACtIWcJNdfC7ob2szX not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\ros;sz=300x250;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid=122949750;advid=554 080;tsn=0;hsn=[2].JPG;ord=HL9hdqaNi5TiWkbhjNHFLrP2FEi not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\ros;sz=380x160,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=03;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;s=01;s=03;intid=12853 7998;advid=558088;tsn=0;hsn=0;sch=0;a=02;art=0[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\ros;sz=380x180,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid=122949750;advid =554080;tsn=0;hsn=0;sch=0;a=02;art=0;pr=14279;[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\ITSL2TKN\_default;dcopt=ist;sz=728x90,2x2;price=0;typ=11;ch=02;ccm=0;cap=0;reg=02;km=0;fuel=01;gear=01;ac=01;restr=0;s=0;intid=0;adv id=0;tsn=0;hsn=0;sch=0;a=01;art=0;pr=0;kw=0;ma[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GFCDKDO5\button_drei;sz=90x50;site=01;lang=de;custid=0;a=04;ord=bXw6hc7HhUTuClKIwtCwpXkJEOq;n=001;n=006;n=010;n=014;n=016;n=018;n=02 0;n=024;n=028;n=032;n=048;n=050;n=051;n=059;n=[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GFCDKDO5\on=0;site=01;cm=0;mod=0;mwst=01;lang=de;city=000;custid=0;us=51;us=52;us=53;us=55;us=56;us=57;us=58;us=59;us=60;us=61;us=62 ;us=63;mg=0;hfd=0;p=03;ord=TWs4etfHnvsbVQf1HD1Y1loztqB not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GFCDKDO5\onsitepromo;sz=228x280;site=01;lang=de;custid=0;ord=zc7doltrnfMcGwoaXOM9T2ir1go;n=001;n=006;n=009;n=014;n=016;n=018;n=020;n =025;n=028;n=034;n=036;n=048;n=052;n=060;n=064[1].htm not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GFCDKDO5\ros;sz=120x600,160x600,200x600,2x2;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid =122949750;adv[2].JPG;ord=lVNeJ7BaZ6Esnit33u9YgmTcj96 not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GFCDKDO5\ros;sz=130x45;price=36;typ=11;ch=02;ccm=0;cap=0;reg=03;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;s=01;s=03;intid=128537998; advid=558088;t[2].JPG;ord=HYPbYtosDYEmWPVc0uHz6EmbKYv not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GFCDKDO5\ros;sz=380x160,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid=122949750;advid =554080;tsn=0;hsn=0;sch=0;a=02;art=0;pr=14279;[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GFCDKDO5\ros;sz=380x170,380x200,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=03;km=09;fuel=03;gear=02;a[2].JPG;ord=p75v7TRXRSIPuz07jQWNMD6J6Vo;dartBackurl=mod%3D%26mk%3DIVECO%26km%3D628000 not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GFCDKDO5\_default;dcopt=ist;sz=728x90,2x2;price=0;typ=11;ch=02;ccm=0;cap=0;reg=02;km=0;fuel=01;gear=01;ac=01;restr=0;s=0;intid=0;adv id=0;tsn=0;hsn=0;sch=0;a=01;art=0;pr=0;kw=0;ma[1] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\button_eins;sz=90x50;site=01;lang=de;custid=0;a=04;ord=vY4NBhdb7ogDxPLBNWVYIYkewy0;n=001;n=006;n=010;n=014;n=016;n=018;n=02 0;n=024;n=028;n=032;n=048;n=050;n=051;n=059;n=[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\button_sechs;sz=90x50;site=01;lang=de;custid=0;a=04;ord=ScEIBE3vQ6ASwgBQYMA7ySrijud;n=001;n=006;n=010;n=014;n=016;n=018;n=0 20;n=024;n=028;n=032;n=048;n=050;n=051;n=059;n[2] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\CAUPAJ45.searchInFreetext%3Dfalse%26vehicleCategory%3DTruckOver7500%26segment%3DTruck%26minFirstRegistrationDate%3D1985-01-01%26maxFirstRegistrationDate%3D&dtd=16 not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\homepage;sz=120x600,160x600,200x600,2x2;price=0;typ=0;ch=01;ccm=0;cap=0;reg=0;km=0;fuel=01;gear=01;ac=01;restr=0;s=0;intid= 0;advid=0;tsn=0;hsn=0;sch=0;a=0;art=0;pr=0;kw=[1] not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\on=0;site=01;cm=0;mod=0;mwst=01;lang=de;city=000;custid=0;us=51;us=52;us=53;us=55;us=56;us=57;us=58;us=59;us=60;us=61;us=62 ;us=63;mg=0;hfd=0;p=01;ord=aymkOrlLCDyFBNd98oBQf7MFZiq not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\on=0;site=01;cm=0;mod=0;mwst=01;lang=de;city=000;custid=0;us=51;us=52;us=53;us=55;us=56;us=57;us=58;us=59;us=60;us=61;us=62 ;us=63;mg=0;hfd=0;p=01;ord=S2vuNG2ZMXeo1Nx9sKiTF1kAiNw not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\on=0;site=01;cm=0;mod=0;mwst=01;lang=de;city=000;custid=0;us=51;us=52;us=53;us=55;us=56;us=57;us=58;us=59;us=60;us=61;us=62 ;us=63;mg=0;hfd=0;p=02;ord=Nt3kIF0tHbrsXKMtMQDi9uyZyxN not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\on=0;site=01;cm=0;mod=0;mwst=01;lang=de;city=000;custid=0;us=51;us=52;us=53;us=55;us=56;us=57;us=58;us=59;us=60;us=61;us=62 ;us=63;mg=0;hfd=0;p=03;ord=6jG8uwpHWcQcFJjOpwTcdHkk0FU not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\ros;dcopt=ist;sz=468x60,728x90,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=03;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;s=01; s=03;intid=128[2].JPG;ord=NrmTYdidRjiWjoIFGkvXKXPuPgd not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\ros;sz=120x600,160x600,200x600,2x2;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid =122949750;adv[2].JPG;ord=GxASw522CGHGSGY4YhNNsyllxCB not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\ros;sz=130x45;price=36;typ=11;ch=02;ccm=0;cap=0;reg=02;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;intid=122949750;advid=5540 80;tsn=0;hsn=0[2].JPG;ord=Swot7TbjjtTbEX9I3RFZ27u1dO6 not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\ros;sz=230x20,1x1;price=36;typ=11;ch=02;ccm=0;cap=0;reg=03;km=09;fuel=03;gear=02;ac=01;restr=02;s=10;s=01;s=03;intid=128537 998;advid=5580[2].JPG;ord=11tSFxo3Z4tNYNihmqLbALBShJU not found!
File\Folder C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\6PK7IZUR\superteaser;sz=806x280;site=01;lang=de;custid=0;ord=goiiTcWXiqu7KoFtOiLxDWMIF81;n=001;n=006;n=009;n=014;n=016;n=018;n=020;n =025;n=028;n=034;n=036;n=048;n=052;n=060;n=064[1].htm not found!

Registry entries deleted on Reboot...
[\code]

kira 25.05.2012 07:09
hallo und guten Morgen!

Wir sind dabei, eine speziell angepasste Lösung zu finden, aber ist auch von euch eine entsprechende Unterstützung erforderlich. Wir brauchen also von euch jede Menge Stoff/Daten, damit dann nach anhand der Analyse von Daten die Experten ein sicheres Methode und eine entsprechende Gegenmittel ausarbeiten können
Ansprechpartner in diesem Fall ist markus, *bitte link anklicken*:-> Wiederherstellung der verschlüsselten Dateien

Außerdem:
Sehr wichtig!:
Auch der längste Weg beginnt mit dem ersten Schritt!
Also bevor wir direkt beginnen, etwas weiterhin zu löschen, solltest Du vorher eine komplette Datensicherung Deiner Daten (ganze Ordner - mitsamt Inhalt nicht auslassen! - wie Musik, Bilder, Doku etc). machen, sonst kann es sein, nach dem sicheren löschen nicht mehr herstellbar sind!
OTLPE ermöglicht einen Zugriff auf die in deinem Benutzeronto gespeicherten Daten, also mach bitte jetzt!
Zitat:
Zu Punkt 3. / Malwarebytes:
nur scannen, aber die Funde nicht löschen lassen!
Wenn dieser erste Schritt abgeschlossen ist, kannst du erst mit dem nächsten Schritt fortfahren, also melde dich erneut

Danke :)

comserv 25.05.2012 09:45
Guten Morgen Kira!

Also ihr seid wirklich spitze! Also die Mühle läuft wieder nach deinem Fix, Malwarebytes habe ich über Nacht laufen lassen, die Funde sind nicht gelöscht. Die Datenordner sind gesichert.
Soll ich dann wie du gestern beschrieben hast das OTL scan durchführen und den log posten anschließend den CCleaner und den Log generieren, oder damit noch warten?
gglg Bernd

kira 25.05.2012 16:31
das Protokoll von Malwarebytes auf jeden Fall auch posten und dann weiter mit die Punkte wie gehabt

Mail (mit diesen verschlüsselungs Trojaner) hast Du noch? bitte an Markus senden:-> http://markusg.trojaner-board.de/

comserv 25.05.2012 16:42
Hi Kira,
nachfolgend der LOG aus dem Malwarebytes:

[code]
Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.24.04

Windows XP Service Pack 2 x86 NTFS
Internet Explorer 6.0.2900.2180
Sieglinde :: PICHLER01 [Administrator]

Schutz: Aktiviert

24.05.2012 21:32:09
mbam-log-2012-05-25 (17-24-37).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 266091
Laufzeit: 31 Minute(n), 51 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 3
C:\System Volume Information\_restore{7BCBD4E3-AD56-4E79-8CAB-EE0F4B251785}\RP1\A0006029.exe (Adware.WhenU) -> Keine Aktion durchgeführt.
c:\_otl\movedfiles\05242012_234816\c_dokumente und einstellungen\sieglinde\anwendungsdaten\vgurvgjowh\76125c04dc4b5dfc4f1e.exe (Trojan.Agent) -> Keine Aktion durchgeführt.
c:\_otl\movedfiles\05242012_234816\c_windows\system32\6859ff5bdc4b5dfc6993.exe (Trojan.Agent) -> Keine Aktion durchgeführt.

(Ende)
[\code]

und der anschließende Log aus dem OTL:

OTL Logfile:
Code:
OTL logfile created on: 25.05.2012 17:28:16 - Run 1
OTL by OldTimer - Version 3.2.43.1    Folder = C:\Dokumente und Einstellungen\Sieglinde\Desktop
Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000C07 | Country: Österreich | Language: DEA | Date Format: dd.MM.yyyy
 
3,19 Gb Total Physical Memory | 2,45 Gb Available Physical Memory | 76,79% Memory free
5,02 Gb Paging File | 4,32 Gb Available in Paging File | 86,09% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 78,13 Gb Total Space | 51,85 Gb Free Space | 66,37% Space Free | Partition Type: NTFS
Drive E: | 518,03 Gb Total Space | 513,22 Gb Free Space | 99,07% Space Free | Partition Type: NTFS
 
Computer Name: PICHLER01 | User Name: Sieglinde | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: Off | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - [2012.05.24 21:34:46 | 000,595,968 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\OTL.exe
PRC - [2012.04.04 15:56:40 | 000,654,408 | ---- | M] (Malwarebytes Corporation) -- C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
PRC - [2012.04.04 15:56:38 | 000,462,408 | ---- | M] (Malwarebytes Corporation) -- C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe
PRC - [2011.04.25 00:15:02 | 000,202,296 | ---- | M] (Kaspersky Lab ZAO) -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\avp.exe
PRC - [2009.09.26 00:32:18 | 000,189,736 | ---- | M] (Seagate Technology LLC) -- C:\Programme\Seagate\SeagateManager\Sync\FreeAgentService.exe
PRC - [2009.09.26 00:31:32 | 000,185,640 | ---- | M] (Seagate LLC) -- C:\Programme\Seagate\SeagateManager\FreeAgent Status\stxmenumgr.exe
PRC - [2008.08.22 14:33:08 | 001,691,648 | ---- | M] (Language Engineering Corporation, LLC) -- C:\Programme\Power Translator 12\LogoMedia TranslateDotNet Server.exe
PRC - [2008.07.30 10:36:56 | 001,361,192 | ---- | M] (Sunbelt Software, Inc.) -- C:\Programme\Sunbelt Software\Personal Firewall\SbPFSvc.exe
PRC - [2008.07.30 10:36:54 | 001,705,256 | ---- | M] (Sunbelt Software, Inc.) -- C:\Programme\Sunbelt Software\Personal Firewall\SbPFCl.exe
PRC - [2008.07.30 10:36:54 | 000,095,528 | ---- | M] (Sunbelt Software, Inc.) -- C:\Programme\Sunbelt Software\Personal Firewall\SbPFLnch.exe
PRC - [2008.04.23 02:08:13 | 000,483,328 | ---- | M] (Adobe Systems Inc.) -- C:\Programme\Adobe\Adobe Acrobat 7.0\Distillr\acrotray.exe
PRC - [2005.12.10 16:57:19 | 000,133,016 | ---- | M] (DT Soft Ltd.) -- C:\Programme\DAEMON Tools\daemon.exe
PRC - [2005.03.04 03:36:46 | 000,036,975 | ---- | M] (Sun Microsystems, Inc.) -- C:\jre\bin\jusched.exe
PRC - [2004.08.04 14:00:00 | 001,035,264 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe
PRC - [2001.02.23 10:07:30 | 000,270,336 | ---- | M] (Microsoft Corporation) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
 
 
========== Modules (No Company Name) ==========
 
MOD - [2011.04.25 00:13:30 | 007,008,656 | ---- | M] () -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\qtgui4.dll
MOD - [2011.04.25 00:13:28 | 000,192,912 | ---- | M] () -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\qtsql4.dll
MOD - [2011.04.25 00:13:26 | 001,270,160 | ---- | M] () -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\qtscript4.dll
MOD - [2011.04.25 00:13:26 | 000,758,160 | ---- | M] () -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\qtnetwork4.dll
MOD - [2011.04.25 00:13:24 | 002,118,032 | ---- | M] () -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\qtcore4.dll
MOD - [2011.04.25 00:13:24 | 002,089,360 | ---- | M] () -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\qtdeclarative4.dll
MOD - [2011.04.20 20:56:28 | 000,025,088 | ---- | M] () -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\imageformats\qgif4.dll
MOD - [2007.10.25 07:02:00 | 000,466,944 | ---- | M] () -- C:\WINDOWS\system32\nvshell.dll
MOD - [2007.01.22 11:22:28 | 000,470,016 | ---- | M] () -- C:\Programme\Sunbelt Software\Personal Firewall\PocoXML.dll
MOD - [2007.01.22 11:22:14 | 000,859,648 | ---- | M] () -- C:\Programme\Sunbelt Software\Personal Firewall\PocoFoundation.dll
MOD - [2007.01.22 11:22:12 | 000,018,432 | ---- | M] () -- C:\Programme\Sunbelt Software\Personal Firewall\PocoExt.dll
MOD - [2006.02.14 15:36:10 | 000,155,648 | ---- | M] () -- C:\Programme\Sunbelt Software\Personal Firewall\ssleay32.dll
MOD - [2006.02.14 15:35:54 | 000,827,392 | ---- | M] () -- C:\Programme\Sunbelt Software\Personal Firewall\libeay32.dll
MOD - [2005.07.27 11:17:00 | 000,007,168 | ---- | M] () -- C:\Programme\DAEMON Tools\Plugins\Images\bw5mount.dll
MOD - [2004.12.26 20:34:38 | 000,121,344 | ---- | M] () -- C:\Programme\WinRAR\RarExt.dll
MOD - [2004.08.04 14:00:00 | 000,014,336 | ---- | M] () -- C:\WINDOWS\system32\msdmo.dll
MOD - [2002.08.08 09:22:22 | 000,006,144 | ---- | M] () -- C:\Programme\Scansoft\PaperPort\BliceCtr.dll
 
 
========== Win32 Services (SafeList) ==========
 
SRV - File not found [Auto | Stopped] -- C:\WINDOWS\system32\Brmfrmps.exe -- (brmfrmps)
SRV - [2012.05.07 09:12:21 | 000,257,696 | ---- | M] (Adobe Systems Incorporated) [On_Demand | Stopped] -- C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe -- (AdobeFlashPlayerUpdateSvc)
SRV - [2012.04.25 16:03:52 | 000,129,976 | ---- | M] (Mozilla Foundation) [On_Demand | Stopped] -- C:\Programme\Mozilla Maintenance Service\maintenanceservice.exe -- (MozillaMaintenance)
SRV - [2012.04.04 15:56:40 | 000,654,408 | ---- | M] (Malwarebytes Corporation) [Auto | Running] -- C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe -- (MBAMService)
SRV - [2011.04.25 00:15:02 | 000,202,296 | ---- | M] (Kaspersky Lab ZAO) [Auto | Running] -- C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\avp.exe -- (AVP)
SRV - [2009.09.26 00:32:18 | 000,189,736 | ---- | M] (Seagate Technology LLC) [Auto | Running] -- C:\Programme\Seagate\SeagateManager\Sync\FreeAgentService.exe -- (FreeAgentGoNext Service)
SRV - [2008.09.18 19:50:27 | 000,072,704 | ---- | M] (Adobe Systems) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe -- (Adobe LM Service)
SRV - [2008.08.22 14:33:08 | 001,691,648 | ---- | M] (Language Engineering Corporation, LLC) [Auto | Running] -- C:\Programme\Power Translator 12\LogoMedia TranslateDotNet Server.exe -- (LEC TranslateDotNet Server)
SRV - [2008.07.30 10:36:56 | 001,361,192 | ---- | M] (Sunbelt Software, Inc.) [Auto | Running] -- C:\Programme\Sunbelt Software\Personal Firewall\SbPFSvc.exe -- (SPF4)
SRV - [2008.07.30 10:36:54 | 000,095,528 | ---- | M] (Sunbelt Software, Inc.) [Auto | Running] -- C:\Programme\Sunbelt Software\Personal Firewall\SbPFLnch.exe -- (SbPF.Launcher)
SRV - [2003.07.28 13:28:22 | 000,089,136 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE -- (ose)
SRV - [2001.02.23 10:07:30 | 000,270,336 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe -- (MDM)
 
 
========== Driver Services (SafeList) ==========
 
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (WDICA)
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (PDRFRAME)
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (PDRELI)
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (PDFRAME)
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (PDCOMP)
DRV - File not found [Kernel | System | Stopped] --  -- (PCIDump)
DRV - File not found [Kernel | System | Stopped] --  -- (lbrtfdc)
DRV - File not found [Kernel | System | Stopped] --  -- (i2omgmt)
DRV - File not found [Kernel | System | Stopped] --  -- (Changer)
DRV - [2012.04.04 15:56:40 | 000,022,344 | ---- | M] (Malwarebytes Corporation) [File_System | On_Demand | Running] -- C:\WINDOWS\system32\drivers\mbam.sys -- (MBAMProtector)
DRV - [2011.04.20 15:50:22 | 000,565,552 | ---- | M] (Kaspersky Lab) [File_System | System | Running] -- C:\WINDOWS\system32\drivers\klif.sys -- (KLIF)
DRV - [2011.03.10 19:34:46 | 000,034,608 | ---- | M] (Kaspersky Lab ZAO) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\klim5.sys -- (klim5)
DRV - [2011.03.04 14:23:20 | 000,011,352 | ---- | M] (Kaspersky Lab ZAO) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\kl2.sys -- (kl2)
DRV - [2011.03.04 14:23:14 | 000,133,208 | ---- | M] (Kaspersky Lab ZAO) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\kl1.sys -- (KL1)
DRV - [2009.11.02 21:27:24 | 000,019,472 | ---- | M] (Kaspersky Lab) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\klmouflt.sys -- (klmouflt)
DRV - [2009.06.24 12:16:22 | 000,114,304 | ---- | M] (OMNIKEY) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\cxbu0wdm.sys -- (cxbu0wdm)
DRV - [2008.09.18 19:41:47 | 000,223,128 | ---- | M] () [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\dtscsi.sys -- (dtscsi)
DRV - [2008.09.18 19:37:58 | 000,642,560 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\sptd.sys -- (sptd)
DRV - [2008.07.16 09:57:40 | 000,269,736 | R--- | M] (Sunbelt Software, Inc.) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\SbFw.sys -- (SbFw)
DRV - [2008.07.03 17:03:14 | 004,745,216 | R--- | M] (Realtek Semiconductor Corp.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\RtkHDAud.sys -- (IntcAzAudAddService) Service for Realtek HD Audio (WDM)
DRV - [2008.06.21 04:54:54 | 000,066,600 | R--- | M] (Sunbelt Software, Inc.) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\sbhips.sys -- (sbhips)
DRV - [2008.06.21 04:54:54 | 000,065,576 | ---- | M] (Sunbelt Software, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\SbFwIm.sys -- (SBFWIMCL)
DRV - [2007.11.17 15:43:56 | 000,022,016 | R--- | M] (NVIDIA Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\nvnetbus.sys -- (nvnetbus)
DRV - [2007.11.17 15:43:46 | 000,054,016 | R--- | M] (NVIDIA Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\NVENETFD.sys -- (NVENETFD)
DRV - [2007.10.12 15:53:10 | 000,013,312 | R--- | M] (NVIDIA Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\nvsmu.sys -- (nvsmu)
DRV - [2007.07.17 05:29:44 | 000,020,504 | ---- | M] (Hewlett Packard) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\hpfxfax.sys -- (HPFXFAX)
DRV - [2007.07.17 05:29:34 | 000,017,432 | ---- | M] (Hewlett Packard) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\hpfxbulk.sys -- (HPFXBULK)
DRV - [2006.11.22 10:01:48 | 000,693,760 | ---- | M] (Aladdin Knowledge Systems Ltd.) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\hardlock.sys -- (Hardlock)
DRV - [2006.11.22 10:01:48 | 000,100,096 | ---- | M] (Aladdin Knowledge Systems Ltd.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\aksusb.sys -- (aksusb)
DRV - [2006.11.22 10:01:46 | 000,327,168 | ---- | M] (Aladdin Knowledge Systems Ltd.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\akshasp.sys -- (akshasp)
DRV - [2005.02.24 21:29:00 | 000,031,232 | ---- | M] (KYOCERA MITA Corporation) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\KMUSBSCN.sys -- (KMUSBSCN)
DRV - [2005.01.26 12:34:06 | 000,025,344 | ---- | M] (KYOCERA MITA Corporation) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\KMUSBSC2.sys -- (KMUSBSC2)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://home.sweetim.com/?crg=3.1010000&st=10
IE - HKLM\..\SearchScopes,DefaultScope = {EEE6C360-6118-11DC-9C72-001320C79847}
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = hxxp://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=10&q={searchTerms}
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://home.sweetim.com/?crg=3.1010000&st=10
IE - HKCU\..\SearchScopes,DefaultScope = {EEE6C360-6118-11DC-9C72-001320C79847}
IE - HKCU\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = hxxp://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=10&q={searchTerms}
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - user.js - File not found
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_2_202_235.dll ()
FF - HKLM\Software\MozillaPlugins\@google.com/npPicasa2,version=2.0.0: C:\Programme\Picasa2\npPicasa2.dll File not found
FF - HKLM\Software\MozillaPlugins\@google.com/npPicasa3,version=3.0.0: C:\Programme\Google\Picasa3\npPicasa3.dll (Google, Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\virtualKeyboard@kaspersky.ru: C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\FFExt\virtualKeyboard@kaspersky.ru [2012.05.04 13:19:08 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\linkfilter@kaspersky.ru: C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\FFExt\linkfilter@kaspersky.ru [2012.05.04 13:19:08 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 12.0\extensions\\Components: C:\Programme\Mozilla Firefox\components [2012.04.25 16:03:52 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 12.0\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2011.11.10 13:03:45 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 12.0.1\extensions\\Components: C:\Programme\Mozilla Thunderbird\components [2011.10.06 08:05:34 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 12.0.1\extensions\\Plugins: C:\Programme\Mozilla Thunderbird\plugins
 
[2010.09.02 09:19:56 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Mozilla\Extensions
[2010.09.02 09:19:56 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Mozilla\Extensions\{3550f703-e582-4d05-9a08-453d09bdfdc6}
[2012.05.02 08:47:18 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Mozilla\Firefox\Profiles\nh1t40dz.default\extensions
[2012.05.22 12:08:01 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Mozilla\Firefox\Profiles\nh1t40dz.default\extensions\de-AT@dictionaries.addons.mozilla.org
[2012.05.22 12:08:01 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Mozilla\Firefox\Profiles\nh1t40dz.default\extensions\en-GB@dictionaries.addons.mozilla.org
[2011.12.07 10:46:28 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2010.12.10 14:40:49 | 000,000,000 | ---D | M] (Modul zur Link-Untersuchung) -- C:\Programme\Mozilla Firefox\extensions\linkfilter@kaspersky.ru_bak2
[2012.04.25 16:03:22 | 000,574,660 | ---- | M] () (No name found) -- C:\DOKUMENTE UND EINSTELLUNGEN\SIEGLINDE\ANWENDUNGSDATEN\THUNDERBIRD\PROFILES\DCX5SNTP.DEFAULT\EXTENSIONS\TBTESTPILOT@LABS.MOZILLA.COM.XPI
[2012.04.25 16:03:52 | 000,097,208 | ---- | M] (Mozilla Foundation) -- C:\Programme\mozilla firefox\components\browsercomps.dll
[2011.10.06 08:42:55 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml
[2011.10.06 08:42:55 | 000,002,252 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\bing.xml
[2011.10.06 08:42:55 | 000,001,153 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml
[2011.10.06 08:42:55 | 000,006,805 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml
[2011.10.06 08:42:55 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml
[2011.10.06 08:42:55 | 000,001,105 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2004.08.04 14:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1      localhost
O2 - BHO: (Adobe PDF Reader Link Helper) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated)
O2 - BHO: (IEVkbdBHO Class) - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\ievkbd.dll (Kaspersky Lab ZAO)
O2 - BHO: (Adobe PDF Conversion Toolbar Helper) - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O2 - BHO: (FilterBHO Class) - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\klwtbbho.dll (Kaspersky Lab ZAO)
O3 - HKLM\..\Toolbar: (Adobe PDF) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O4 - HKLM..\Run: [Acrobat Assistant 7.0] C:\Programme\Adobe\Adobe Acrobat 7.0\Distillr\Acrotray.exe (Adobe Systems Inc.)
O4 - HKLM..\Run: [Alcmtr] C:\WINDOWS\Alcmtr.exe (Realtek Semiconductor Corp.)
O4 - HKLM..\Run: [AVP] C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\avp.exe (Kaspersky Lab ZAO)
O4 - HKLM..\Run: [DAEMON Tools] C:\Programme\DAEMON Tools\daemon.exe (DT Soft Ltd.)
O4 - HKLM..\Run: [Malwarebytes' Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
O4 - HKLM..\Run: [MaxMenuMgr] C:\Programme\Seagate\SeagateManager\FreeAgent Status\StxMenuMgr.exe (Seagate LLC)
O4 - HKLM..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe (Ahead Software Gmbh)
O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.dll (NVIDIA Corporation)
O4 - HKLM..\Run: [NvMediaCenter] C:\WINDOWS\System32\NvMcTray.dll (NVIDIA Corporation)
O4 - HKLM..\Run: [nwiz] C:\WINDOWS\System32\nwiz.exe ()
O4 - HKLM..\Run: [RZL-PatchLoader] C:\Programme\RZLWin\RZL Internet Programmaktualisierung.exe (RZL Software GmbH)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\jre\bin\jusched.exe (Sun Microsystems, Inc.)
O4 - HKLM..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u File not found
O4 - HKCU..\Run: [Picasa Media Detector] C:\Programme\Picasa2\PicasaMediaDetector.exe File not found
O4 - HKLM..\RunOnce: [Malwarebytes Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Acrobat Speed Launcher.lnk = C:\WINDOWS\Installer\{AC76BA86-1033-0000-7760-000000000002}\SC_Acrobat.exe ()
O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe (Adobe Systems, Inc.)
O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe (Adobe Systems Incorporated)
O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\SmartUI.lnk =  File not found
O4 - Startup: C:\Dokumente und Einstellungen\Sieglinde\Startmenü\Programme\Autostart\Mozilla Thunderbird.lnk = C:\Programme\Mozilla Thunderbird\thunderbird.exe (Mozilla Messaging)
O8 - Extra context menu item: Add to Google Photos Screensa&ver - C:\WINDOWS\System32\GPhotos.scr (Google Inc.)
O8 - Extra context menu item: Convert link target to Adobe PDF - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O8 - Extra context menu item: Convert link target to existing PDF - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O8 - Extra context menu item: Convert selected links to Adobe PDF - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O8 - Extra context menu item: Convert selected links to existing PDF - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O8 - Extra context menu item: Convert selection to Adobe PDF - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O8 - Extra context menu item: Convert selection to existing PDF - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O8 - Extra context menu item: Convert to Adobe PDF - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O8 - Extra context menu item: Convert to existing PDF - C:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll (Adobe Systems Incorporated)
O9 - Extra 'Tools' menuitem : Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\jre\bin\NPJPI150_02.dll (Sun Microsystems, Inc.)
O9 - Extra Button: &Virtuelle Tastatur - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\ievkbd.dll (Kaspersky Lab ZAO)
O9 - Extra Button: Li&nks untersuchen - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2012\klwtbbho.dll (Kaspersky Lab ZAO)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_02-windows-i586.cab (Java Plug-in 1.5.0_02)
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} hxxp://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0015-0000-0002-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_02-windows-i586.cab (Java Plug-in 1.5.0_02)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object)
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} hxxp://gfx2.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab (Windows Live Hotmail Photo Upload Tool)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{4425D9D0-56E2-4DED-82B8-F903F94248BF}: NameServer = 195.3.96.67,195.3.96.68
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation)
O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Programme\Gemeinsame Dateien\Skype\Skype4COM.dll (Skype Technologies)
O18 - Protocol\Filter\text/xml {807553E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) - C:\WINDOWS\system32\userinit.exe (Microsoft Corporation)
O20 - Winlogon\Notify\klogon: DllName - (C:\WINDOWS\system32\klogon.dll) - C:\WINDOWS\system32\klogon.dll (Kaspersky Lab ZAO)
O20 - Winlogon\Notify\WgaLogon: DllName - (WgaLogon.dll) -  File not found
O24 - Desktop Components:0 () - hxxp://www.fugel-transsystem.com/Portals/FTS/albums/Auflieger/Sari/IVECO%20011.jpg
O24 - Desktop Components:1 (Die derzeitige Homepage) - About:Home
O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2008.09.19 00:18:33 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O33 - MountPoints2\{ab4e663f-860f-11dd-ba8e-0021851970e5}\Shell - "" = AutoRun
O33 - MountPoints2\{ab4e663f-860f-11dd-ba8e-0021851970e5}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{ab4e663f-860f-11dd-ba8e-0021851970e5}\Shell\AutoRun\command - "" = G:\LaunchU3.exe -a
O33 - MountPoints2\{ab4e6640-860f-11dd-ba8e-0021851970e5}\Shell\AutoRun\command - "" = H:\Setup.exe
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)
O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.05.24 21:36:21 | 000,595,968 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\OTL.exe
[2012.05.24 21:29:24 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Malwarebytes
[2012.05.24 21:25:56 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Malwarebytes' Anti-Malware
[2012.05.24 21:25:55 | 000,022,344 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2012.05.24 21:25:55 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware
[2012.05.24 21:25:55 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
[2012.05.24 05:17:58 | 002,237,440 | R--- | C] (OldTimer Tools) -- C:\OTLPE.exe
[2012.05.24 05:17:57 | 000,000,000 | ---D | C] -- C:\_OTL
[2012.05.23 21:21:01 | 000,000,000 | ---D | C] -- C:\Kaspersky Rescue Disk 10.0
[2012.05.23 19:10:49 | 000,014,848 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\dllcache\kbdhid.sys
[2012.05.14 09:53:31 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\Umbau Auflieger
 
========== Files - Modified Within 30 Days ==========
 
[2012.05.25 17:12:00 | 000,000,884 | ---- | M] () -- C:\WINDOWS\tasks\Adobe Flash Player Updater.job
[2012.05.25 05:54:42 | 005,242,880 | -H-- | M] () -- C:\Dokumente und Einstellungen\Sieglinde\NTUSER.DAT
[2012.05.25 01:08:56 | 000,002,343 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Acrobat Speed Launcher.lnk
[2012.05.25 01:08:54 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT
[2012.05.25 01:08:52 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2012.05.24 21:34:46 | 000,595,968 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\OTL.exe
[2012.05.24 21:25:56 | 000,000,756 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes Anti-Malware.lnk
[2012.05.24 21:23:54 | 000,001,004 | ---- | M] () -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\Continue SweetIM Installation.lnk
[2012.05.23 19:10:18 | 000,002,206 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2012.05.22 11:50:25 | 000,222,720 | ---- | M] () -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\vguVGUsfGUsVGsfxU
[2012.05.22 09:57:08 | 000,154,112 | ---- | M] () -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\qejnyEjnyojLQgvrugvr
[2012.05.14 13:20:33 | 000,000,084 | ---- | M] () -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\httpwww.fugel-transsystem.comMotorsportauflieger.aspx#.URL
[2012.05.10 09:31:12 | 000,002,509 | ---- | M] () -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\Microsoft Office Word 2003.lnk
[2012.05.07 09:12:21 | 000,419,488 | ---- | M] (Adobe Systems Incorporated) -- C:\WINDOWS\System32\FlashPlayerApp.exe
[2012.05.07 09:12:21 | 000,070,304 | ---- | M] (Adobe Systems Incorporated) -- C:\WINDOWS\System32\FlashPlayerCPLApp.cpl
[2012.05.07 09:12:20 | 004,140,192 | ---- | M] (Adobe Systems Incorporated) -- C:\WINDOWS\System32\FlashPlayerInstaller.exe
[2012.05.03 12:42:06 | 000,024,064 | ---- | M] () -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\VtdpeTDXsTDXsALq
[2012.04.26 17:12:13 | 000,000,300 | -HS- | M] () -- C:\Dokumente und Einstellungen\Sieglinde\ntuser.ini
 
========== Files Created - No Company Name ==========
 
[2012.05.24 21:25:56 | 000,000,756 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes Anti-Malware.lnk
[2012.05.24 21:22:47 | 000,001,004 | ---- | C] () -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\Continue SweetIM Installation.lnk
[2012.05.14 13:20:33 | 000,000,084 | ---- | C] () -- C:\Dokumente und Einstellungen\Sieglinde\Desktop\httpwww.fugel-transsystem.comMotorsportauflieger.aspx#.URL
[2011.12.07 10:36:40 | 000,017,408 | ---- | C] () -- C:\Dokumente und Einstellungen\Sieglinde\Lokale Einstellungen\Anwendungsdaten\WebpageIcons.db
[2011.01.13 09:26:11 | 000,000,054 | ---- | C] () -- C:\WINDOWS\System32\KmTwain.ini
[2010.12.10 14:40:28 | 000,115,369 | ---- | C] () -- C:\WINDOWS\System32\drivers\klin.dat
[2010.12.10 14:40:28 | 000,097,961 | ---- | C] () -- C:\WINDOWS\System32\drivers\klick.dat
 
========== LOP Check ==========
 
[2010.08.26 09:18:19 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\RZL
[2009.03.25 21:27:10 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ScanSoft
[2009.06.02 09:18:10 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Seagate
[2011.01.13 09:30:23 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Kyocera
[2011.11.10 14:02:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Priotecs
[2012.05.22 12:08:01 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\RZL PDF-Profile
[2012.05.22 12:08:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\TeamViewer
[2010.09.02 09:19:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Sieglinde\Anwendungsdaten\Thunderbird
 
========== Purity Check ==========
 
 

< End of report >
--- --- ---

[\code]

und der LOG vom CCleaner (installed sw):

[code]
Adobe Creative Suite 2 24.05.2012
Adobe Flash Player 11 ActiveX Adobe Systems Incorporated 24.05.2012 11.2.202.235
Adobe Flash Player 11 Plugin Adobe Systems Incorporated 24.05.2012 11.2.202.235
Adobe Reader 7.0.8 Adobe Systems Incorporated 08.09.2009 65,1MB 7.0.8
Adobe SVG Viewer 3.0 Adobe Systems, Inc. 24.05.2012 3.0
CCleaner Piriform 25.05.2012 3.18
H O B 24.05.2012
H O B (C:\Programme\HOB\) 24.05.2012
Hardlock Gerätetreiber 25.05.2012
High Definition Audio Driver Package - KB888111 Microsoft Corporation 24.05.2012 20040219.000000
HP LaserJet M1522 MFP Series 4.0 HP 24.05.2012 4.0
J2SE Runtime Environment 5.0 Update 2 Sun Microsystems, Inc. 08.09.2009 117,8MB 1.5.0.20
Kaspersky Anti-Virus 2012 Kaspersky Lab 07.12.2011 12.0.0.374
KeyConfiguration Siemens VDO Automotive 24.05.2012 1.0.0.0
Kyocera Product Library Kyocera Mita Corporation 24.05.2012 2.0.713
Kyocera TWAIN Driver Kyocera Mita 14.01.2011 1.7.0615
Malwarebytes Anti-Malware Version 1.61.0.1400 Malwarebytes Corporation 24.05.2012 1.61.0.1400
Microsoft Office Professional Edition 2003 Microsoft Corporation 10.11.2011 415MB 11.0.5614.0
Microsoft Visual C++ 2005 Redistributable Microsoft Corporation 22.03.2010 5,21MB 8.0.56336
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729 Microsoft Corporation 29.06.2009 10,3MB 9.0.30729
Mozilla Firefox 12.0 (x86 de) Mozilla 25.05.2012 12.0
Mozilla Maintenance Service Mozilla 24.05.2012 12.0
Mozilla Thunderbird 12.0.1 (x86 de) Mozilla 25.05.2012 12.0.1
MSXML 4.0 SP2 (KB954430) Microsoft Corporation 02.12.2008 2,67MB 4.20.9870.0
MSXML 6.0 Parser Microsoft Corporation 02.06.2009 1,30MB 6.10.1129.0
Nero 6 Ultra Edition 24.05.2012
NVIDIA Drivers 25.05.2012
PaperPort 8.0 SE ScanSoft, Inc. 19.09.2008 55,2MB 1.0.0.0000
Picasa 3 Google, Inc. 24.05.2012 3.1
Realtek High Definition Audio Driver Realtek Semiconductor Corp. 18.09.2008 5.10.0.5657
RZLWin (Lokal) RZL Software GmbH 24.05.2012 1.43
RZLWin (Netzarbeitsplatz) RZL Software GmbH
Seagate Manager Installer Seagate 22.03.2010 2.01.0600
Skype™ 3.6 Skype Technologies S.A. 18.09.2008 32,0MB 3.6.248
Sunbelt Personal Firewall Sunbelt Software 19.09.2008 14,4MB 4.6.1845.0
TBBackup 2 (Freiversion) Priotecs IT GmbH 10.11.2011 2
TeamViewer 4 TeamViewer GmbH 24.05.2012
Windows Installer 3.1 (KB893803) Microsoft Corporation 24.05.2012 3.1
WinRAR 24.05.2012
ZA-ARC Archivierung Digitaler Tachograph Softwarebüro Zauner & Partner 12.09.2009 44,7MB 1.0.4

[\code]

lg

Hi Kira,

das Malewarebyte liefert kein Protokoll, ich finde es jedenfalls nicht, nur das Log File das sich automatisch öffnet nach dem Suchlauf (das habe ich schon gepostet).
Das email habe ich leider nicht mehr (es war ca. so, "Sie erhalten morgen eine Sendung von UPS, Details im Anhang... und das wars dann auch schon)
Kaspersky hat automatisch folgende 2 Sachen gefunden nachdem die Mühle wieder gelaufen ist:
Trojan.win32.Bublik.bei
Worm.Win32.VBNA.d

kira 25.05.2012 17:21
Du hast auf dem rechner Kaspersky Anti-Virus 2012
AV-Programm + Firewall, oder nur AV-progi?
nämlich extra installiert eine FW von Sunbelt wie ich sehe...?
Zitat:
Sunbelt Personal Firewall Sunbelt Software
1.
Am besten alle verschlüsselten Daten extern sichern (auf leere USB-Stick oder ext. Festplatte). Dann mit Entschlüsselung beginnen. Also am Computer sollen die geänderten Daten um Nummer sicher zu gehen zuerst unberührt bleiben
Oft werden bereits verschlüsselte Daten durch die Benutzung des falschen Schlüssels erneut verschlüsselt – eine Wiederherstellung der Daten ist dann fast unmöglich.

2.
Vorgehen beim Verschlüsselungs-Trojaner :-> http://www.trojaner-board.de/114783-...ubersicht.html
► SemperVideo hat ein Video zum Thema erstellt.
** Außerdem kannst versuchen die verschlüsselte Dateien auf einen leeren USB Stick speichern. Wenn Du weiß was für dateien sind (z.B *.jpg, *.doc usw) dann benenne sie alle wieder in Originalform wie vorher, also z.B in eine .jpg Datei
Die Entschlüsselung von daten, kannst noch das Tool ausprobieren:-> *klick*


Alle Zeitangaben in WEZ +1. Es ist jetzt 06:03 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131