Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   svchost, operastub.exe funktioniert nicht mehr nach firewallinstallation totalschaden (https://www.trojaner-board.de/119006-svchost-operastub-exe-funktioniert-mehr-firewallinstallation-totalschaden.html)

zeitgeist83 09.07.2012 18:53
svchost, operastub.exe funktioniert nicht mehr nach firewallinstallation totalschaden
 
Hallo zusammen!

Ich habe folgendes Problem: Das System meiner Ex-Freundin war offensichtlich von Viren befallen. Ich wollte ihr helfen und ihr System neu aufsetzen. Deswegen habe ich ihre Festplatte formatiert. Leider hatte ich dabei auch die Partitionen mit all ihren persönlichen Daten gelöscht. Also nahm ich ihre Festplatte zu mir und habe mit einer Drittsoftware die Daten wiederhergestellt und auf meiner Festplatte gesichert (gut dass ich 1 TB habe). Jetzt scheint allerdings mein eigenes System schwer im Argen zu sein.

Neben so einigen Aussetzern hatte ich (gefühlt) viel zu häufige Java-Updates. Seit neuestem startet Opera nicht mehr (Fehlermeldung: Operastub.exe funktioniert nicht mehr und wird geschlossen) und Avast detektiert ständig malware. Wenn ich die Prozessstruktur von Svchost (welches zwei mal in den Prozessen im im Taskmanager auftaucht) beende funktioniert Opera manchmal wieder.

Es laufen auch Prozesse mit kryptischen Namen wie qbpqisma. Bis vorhin habe ich auch leichtsinnigerweise keine Firewall auf dem System gehabt. Als ich dann Zone Alarm installiert hatte (nachdem ich svchost und andere Prozesse deaktiviert hatte) habe ich noch das Virenpaket heruntergeladen und versucht einen Scan durchzuführen mit dem Ergebnis dass das System abgestürzt ist (Die Meldung war irgendetwas mit Bad Image oder so). Nach dem Neustart war es nicht mehr möglich Programme auszuführen.

Zwischenzeitlich hatte avira immer wieder massig Viren entdeckt gehabt (die immer wieder zurückgekommen sind). Sie hatten Hauptsächlich mit den Verzeichnissen von Open Office, Opera und System32 zu tun.

Der Rechner um den es geht hat Windows 7 als Betriebssystem. Ich benutze aber auch noch den Rechner meiner Freundin (nicht die bereits erwähnte Ex) zum Arbeiten (er hat Windows XP) und wechsel daher häufig zwischen den beiden. Ich benutze ihn gerade auch zum schreiben dieses Threats. Es könnte auch sein dass der ebenfalls infiziert ist. Jedenfalls gibt es noch nicht so viele Symptome.

Aber hier ersteinmal der Scan des Windows 7 Rechners:

OTL.txt:OTL Logfile:
Code:
OTL logfile created on: 09.07.2012 17:41:49 - Run 1
OTL by OldTimer - Version 3.2.53.1    Folder = C:\Users\***\Desktop
 Professional Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7601.17514)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,00 Gb Total Physical Memory | 1,68 Gb Available Physical Memory | 84,25% Memory free
4,00 Gb Paging File | 3,71 Gb Available in Paging File | 92,84% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 48,73 Gb Total Space | 29,52 Gb Free Space | 60,59% Space Free | Partition Type: NTFS
Drive D: | 195,31 Gb Total Space | 109,87 Gb Free Space | 56,25% Space Free | Partition Type: NTFS
Drive E: | 687,37 Gb Total Space | 368,84 Gb Free Space | 53,66% Space Free | Partition Type: NTFS
Drive G: | 7,77 Gb Total Space | 0,00 Gb Free Space | 0,00% Space Free | Partition Type: UDF
Drive H: | 100,00 Mb Total Space | 70,34 Mb Free Space | 70,34% Space Free | Partition Type: NTFS
Drive I: | 14,83 Gb Total Space | 4,51 Gb Free Space | 30,40% Space Free | Partition Type: FAT32
 
Computer Name: ZEITGEIST | User Name: *** | Logged in as Administrator.
Boot Mode: SafeMode | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - [2012.07.09 17:28:10 | 000,595,968 | ---- | M] (OldTimer Tools) -- C:\Users\***\Desktop\OTL.exe
PRC - [2011.02.25 07:30:54 | 002,616,320 | ---- | M] (Microsoft Corporation) -- C:\Windows\explorer.exe
 
 
========== Modules (No Company Name) ==========
 
MOD - [2011.11.08 22:46:02 | 000,093,696 | ---- | M] () -- D:\Program Files\FileZilla FTP Client\fzshellext.dll
 
 
========== Win32 Services (SafeList) ==========
 
SRV - [2012.07.08 23:23:03 | 000,250,056 | ---- | M] (Adobe Systems Incorporated) [On_Demand | Stopped] -- C:\Windows\System32\Macromed\Flash\FlashPlayerUpdateService.exe -- (AdobeFlashPlayerUpdateSvc)
SRV - [2012.06.28 14:51:53 | 000,044,808 | ---- | M] (AVAST Software) [Auto | Stopped] -- C:\Programme\AVAST Software\Avast\AvastSvc.exe -- (avast! Antivirus)
SRV - [2012.06.21 15:58:50 | 002,445,880 | ---- | M] (Check Point Software Technologies LTD) [Auto | Stopped] -- D:\Program Files\Zone Alarm\CheckPoint\ZoneAlarm\vsmon.exe -- (vsmon)
SRV - [2012.06.13 11:46:54 | 000,529,232 | ---- | M] (Valve Corporation) [On_Demand | Stopped] -- C:\Program Files\Common Files\Steam\SteamService.exe -- (Steam Client Service)
SRV - [2012.04.30 21:05:22 | 000,497,280 | ---- | M] (Check Point Software Technologies) [Auto | Stopped] -- C:\Programme\CheckPoint\ZAForceField\ISWSVC.exe -- (IswSvc)
SRV - [2012.04.04 07:53:50 | 000,063,928 | ---- | M] (Adobe Systems Incorporated) [Auto | Stopped] -- C:\Programme\Common Files\Adobe\ARM\1.0\armsvc.exe -- (AdobeARMservice)
SRV - [2011.08.19 10:26:50 | 000,450,848 | ---- | M] (Logitech Inc.) [Auto | Stopped] -- C:\Programme\Common Files\logishrd\LVMVFM\UMVPFSrv.exe -- (UMVPFSrv)
SRV - [2011.07.08 05:24:52 | 000,176,128 | ---- | M] (AMD) [Auto | Stopped] -- C:\Windows\System32\atiesrxx.exe -- (AMD External Events Utility)
SRV - [2010.11.20 23:29:49 | 001,121,792 | ---- | M] (Microsoft Corporation) [Auto | Stopped] -- C:\Programme\Windows Media Player\wmpnetwk.exe -- (WMPNetworkSvc)
SRV - [2010.03.23 14:19:32 | 001,528,616 | ---- | M] (Cisco Systems, Inc.) [Auto | Stopped] -- D:\Program Files\Cisco Systems\VPN Client\cvpnd.exe -- (CVPND)
SRV - [2009.08.18 12:29:22 | 001,529,728 | ---- | M] (Microsoft Corporation) [Auto | Stopped] -- C:\Programme\Common Files\microsoft shared\Windows Live\WLIDSVC.EXE -- (wlidsvc)
SRV - [2009.07.14 03:16:15 | 000,016,384 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\System32\StorSvc.dll -- (StorSvc)
SRV - [2009.07.14 03:16:13 | 000,025,088 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\System32\sensrsvc.dll -- (SensrSvc)
SRV - [2009.07.14 03:16:12 | 001,004,544 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\System32\PeerDistSvc.dll -- (PeerDistSvc)
SRV - [2009.07.14 03:15:41 | 000,680,960 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Programme\Windows Defender\MpSvc.dll -- (WinDefend)
SRV - [2005.03.09 20:50:18 | 000,018,944 | ---- | M] (hxxp://libusb-win32.sourceforge.net) [Auto | Stopped] -- C:\Windows\System32\libusbd-nt.exe -- (libusbd)
 
 
========== Driver Services (SafeList) ==========
 
DRV - [2012.06.28 14:52:42 | 000,353,688 | ---- | M] (AVAST Software) [Kernel | System | Stopped] -- C:\Windows\System32\drivers\aswSP.sys -- (aswSP)
DRV - [2012.06.28 14:52:42 | 000,054,232 | ---- | M] (AVAST Software) [Kernel | System | Stopped] -- C:\Windows\System32\drivers\aswTdi.sys -- (aswTdi)
DRV - [2012.06.28 14:52:37 | 000,721,000 | ---- | M] (AVAST Software) [File_System | System | Stopped] -- C:\Windows\System32\drivers\aswSnx.sys -- (aswSnx)
DRV - [2012.06.28 14:52:37 | 000,057,656 | ---- | M] (AVAST Software) [File_System | Auto | Stopped] -- C:\Windows\System32\drivers\aswMonFlt.sys -- (aswMonFlt)
DRV - [2012.06.28 14:52:37 | 000,044,784 | ---- | M] (AVAST Software) [Kernel | System | Stopped] -- C:\Windows\System32\drivers\aswRdr2.sys -- (aswRdr)
DRV - [2012.06.28 14:52:36 | 000,021,256 | ---- | M] (AVAST Software) [File_System | Auto | Stopped] -- C:\Windows\System32\drivers\aswFsBlk.sys -- (aswFsBlk)
DRV - [2012.04.30 21:05:40 | 000,027,016 | ---- | M] (Check Point Software Technologies) [Kernel | Auto | Stopped] -- C:\Programme\CheckPoint\ZAForceField\ISWKL.sys -- (ISWKL)
DRV - [2012.01.09 18:59:32 | 000,468,272 | ---- | M] (Kaspersky Lab) [File_System | System | Stopped] -- C:\Windows\System32\drivers\klif.sys -- (KLIF)
DRV - [2012.01.09 18:59:30 | 000,133,208 | ---- | M] (Kaspersky Lab ZAO) [Kernel | Boot | Running] -- C:\Windows\System32\drivers\kl1.sys -- (KL1)
DRV - [2012.01.09 18:59:30 | 000,011,352 | ---- | M] (Kaspersky Lab ZAO) [Kernel | System | Stopped] -- C:\Windows\System32\drivers\kl2.sys -- (kl2)
DRV - [2011.08.19 10:26:50 | 004,334,624 | ---- | M] (Logitech Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\lvuvc.sys -- (LVUVC) Logitech Webcam 200(UVC)
DRV - [2011.07.08 06:14:40 | 008,312,832 | ---- | M] (ATI Technologies Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\atikmdag.sys -- (atikmdag)
DRV - [2011.07.08 06:14:40 | 008,312,832 | ---- | M] (ATI Technologies Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\atikmdag.sys -- (amdkmdag)
DRV - [2011.07.08 04:46:42 | 000,244,736 | ---- | M] (Advanced Micro Devices, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\atikmpag.sys -- (amdkmdap)
DRV - [2011.05.07 17:51:28 | 000,455,256 | ---- | M] (Check Point Software Technologies LTD) [Kernel | System | Stopped] -- C:\Windows\System32\drivers\vsdatant.sys -- (Vsdatant)
DRV - [2011.03.30 20:46:36 | 000,100,880 | ---- | M] (Advanced Micro Devices) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\AtihdW73.sys -- (AtiHDAudioService)
DRV - [2010.11.20 23:29:24 | 000,052,224 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\TsUsbFlt.sys -- (TsUsbFlt)
DRV - [2010.11.20 23:29:03 | 000,175,360 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\vmbus.sys -- (vmbus)
DRV - [2010.11.20 23:29:03 | 000,062,464 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\dmvsc.sys -- (dmvsc)
DRV - [2010.11.20 23:29:03 | 000,040,704 | ---- | M] (Microsoft Corporation) [Kernel | Boot | Running] -- C:\Windows\System32\drivers\vmstorfl.sys -- (storflt)
DRV - [2010.11.20 23:29:03 | 000,028,032 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\storvsc.sys -- (storvsc)
DRV - [2010.11.20 23:29:03 | 000,027,264 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\TsUsbGD.sys -- (TsUsbGD)
DRV - [2010.11.20 23:29:03 | 000,017,920 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\VMBusHID.sys -- (VMBusHID)
DRV - [2010.11.20 23:29:03 | 000,005,632 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\vms3cap.sys -- (s3cap)
DRV - [2010.03.23 14:15:36 | 000,308,859 | ---- | M] (Cisco Systems, Inc.) [Kernel | Auto | Stopped] -- C:\Windows\System32\drivers\CVPNDRVA.sys -- (CVPNDRVA)
DRV - [2010.01.06 17:20:00 | 000,583,680 | ---- | M] (Realtek Semiconductor Corporation                          ) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\RTL8192su.sys -- (RTL8192su)
DRV - [2009.07.14 00:02:53 | 000,044,032 | ---- | M] (VIA Technologies, Inc.              ) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\fetnd6.sys -- (FETNDIS)
DRV - [2008.11.16 19:39:44 | 000,131,984 | ---- | M] (Deterministic Networks, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\dne2000.sys -- (DNE)
DRV - [2007.01.18 21:28:02 | 000,005,275 | ---- | M] (Cisco Systems, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\System32\drivers\CVirtA.sys -- (CVirtA)
DRV - [2005.03.09 20:50:16 | 000,033,792 | ---- | M] () [Kernel | On_Demand | Running] -- C:\Windows\System32\drivers\libusb0.sys -- (libusb0)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?ocid=iehp
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = EC 93 6F 0F 3D 5C CC 01  [binary data]
IE - HKCU\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..network.proxy.autoconfig_url: "hxxp://www.fh-hannover.de/rz/proxy.pac"
FF - prefs.js..network.proxy.type: 2
FF - user.js - File not found
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF32_11_3_300_262.dll ()
FF - HKLM\Software\MozillaPlugins\@checkpoint.com/FFApi: C:\Program Files\CheckPoint\ZAForceField\TrustChecker\bin\npFFApi.dll ()
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Program Files\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: C:\Program Files\Microsoft Silverlight\4.1.10329.0\npctrl.dll ( Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@videolan.org/vlc,version=2.0.2: C:\Program Files\VideoLAN\VLC\npvlc.dll (VideoLAN)
FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Program Files\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\wrc@avast.com: C:\Program Files\AVAST Software\Avast\WebRep\FF [2012.07.02 15:56:23 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{FFB96CC1-7EB3-449D-B827-DB661701C6BB}: C:\Program Files\CheckPoint\ZAForceField\TrustChecker [2012.07.09 15:35:16 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 7.0.1\extensions\\Components: D:\Program Files\Mozilla Firefox\components [2012.06.27 02:17:15 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 7.0.1\extensions\\Plugins: D:\Program Files\Mozilla Firefox\plugins
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 6.0\extensions\\Components: D:\Program Files\Mozilla Thunderbird\components [2012.06.26 02:28:27 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 6.0\extensions\\Plugins: D:\Program Files\Mozilla Thunderbird\plugins
 
[2011.10.18 00:42:54 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Extensions
[2012.07.02 15:56:23 | 000,000,000 | ---D | M] (avast! WebRep) -- C:\PROGRAM FILES\AVAST SOFTWARE\AVAST\WEBREP\FF
 
O1 HOSTS File: ([2009.06.10 23:39:37 | 000,000,824 | ---- | M]) - C:\Windows\System32\drivers\etc\hosts
O2 - BHO: (ZoneAlarm Security Engine Registrar) - {8A4A36C2-0535-4D2C-BD3D-496CB7EED6E3} - C:\Programme\CheckPoint\ZAForceField\TrustChecker\bin\TrustCheckerIEPlugin.dll (Check Point Software Technologies)
O2 - BHO: (avast! WebRep) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Programme\AVAST Software\Avast\aswWebRepIE.dll (AVAST Software)
O2 - BHO: (Windows Live ID Sign-in Helper) - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Common Files\microsoft shared\Windows Live\WindowsLiveLogin.dll (Microsoft Corporation)
O3 - HKLM\..\Toolbar: (avast! WebRep) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Programme\AVAST Software\Avast\aswWebRepIE.dll (AVAST Software)
O3 - HKLM\..\Toolbar: (ZoneAlarm Security Engine) - {EE2AC4E5-B0B0-4EC6-88A9-BCA1A32AB107} - C:\Programme\CheckPoint\ZAForceField\TrustChecker\bin\TrustCheckerIEPlugin.dll (Check Point Software Technologies)
O4 - HKLM..\Run: [APSDaemon] C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.)
O4 - HKLM..\Run: [avast] C:\Program Files\AVAST Software\Avast\avastUI.exe (AVAST Software)
O4 - HKLM..\Run: [ISW] C:\Program Files\CheckPoint\ZAForceField\ForceField.exe (Check Point Software Technologies)
O4 - HKLM..\Run: [ZoneAlarm] D:\Program Files\Zone Alarm\CheckPoint\ZoneAlarm\zatray.exe (Check Point Software Technologies LTD)
O4 - HKCU..\Run: [QbpQisma] C:\Users\***\AppData\Local\iuxexpgj\qbpqisma.exe (Opera Software)
O4 - Startup: C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 3.3.lnk =  File not found
O4 - Startup: C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\qbpqisma.exe (Opera Software)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O10 - NameSpace_Catalog5\Catalog_Entries\000000000007 [] - C:\Programme\Common Files\microsoft shared\Windows Live\WLIDNSP.DLL (Microsoft Corporation)
O10 - NameSpace_Catalog5\Catalog_Entries\000000000008 [] - C:\Programme\Common Files\microsoft shared\Windows Live\WLIDNSP.DLL (Microsoft Corporation)
O13 - gopher Prefix: missing
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab (Java Plug-in 1.6.0_29)
O16 - DPF: {CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab (Java Plug-in 1.6.0_29)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab (Java Plug-in 1.6.0_29)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.2.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{289DEDD1-7663-4182-BD05-CE31EC229240}: DhcpNameServer = 192.168.2.1
O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\System32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - C:\Windows\System32\SystemPropertiesPerformance.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (/pagefile) -  File not found
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
O32 - AutoRun File - [2008.11.06 18:33:09 | 000,000,043 | R--- | M] () - G:\Autorun.inf -- [ UDF ]
O33 - MountPoints2\{20207e2c-c82d-11e0-baf3-806e6f6e6963}\Shell - "" = AutoRun
O33 - MountPoints2\{20207e2c-c82d-11e0-baf3-806e6f6e6963}\Shell\AutoRun\command - "" = G:\Start.exe -- [2006.01.10 15:49:24 | 000,492,032 | R--- | M] ()
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)
O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)
O38 - SubSystems\\Windows: (ServerDll=sxssrv,4)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.07.09 17:37:52 | 000,595,968 | ---- | C] (OldTimer Tools) -- C:\Users\***\Desktop\OTL.exe
[2012.07.09 15:48:15 | 000,133,208 | ---- | C] (Kaspersky Lab ZAO) -- C:\Windows\System32\drivers\kl1.sys
[2012.07.09 15:48:15 | 000,011,352 | ---- | C] (Kaspersky Lab ZAO) -- C:\Windows\System32\drivers\kl2.sys
[2012.07.09 15:48:12 | 000,468,272 | ---- | C] (Kaspersky Lab) -- C:\Windows\System32\drivers\klif.sys
[2012.07.09 15:48:12 | 000,000,000 | ---D | C] -- C:\Windows\System32\DRVSTORE
[2012.07.09 15:20:06 | 000,000,000 | ---D | C] -- E:\Documents\ForceField Shared Files
[2012.07.09 15:19:51 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Check Point
[2012.07.09 15:16:36 | 000,000,000 | ---D | C] -- C:\Program Files\CheckPoint
[2012.07.08 17:48:33 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Black Mirror 2
[2012.07.06 21:19:16 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Local\iuxexpgj
[2012.07.03 13:46:13 | 000,000,000 | ---D | C] -- C:\Windows\pss
[2012.07.02 23:51:59 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN
[2012.07.02 23:51:45 | 000,000,000 | ---D | C] -- C:\Program Files\VideoLAN
[2012.07.02 19:33:33 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Local\Macromedia
[2012.07.02 19:21:59 | 000,117,708 | --S- | C] (Opera Software) -- C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\qbpqisma.exe
[2012.06.26 02:30:06 | 000,000,000 | ---D | C] -- E:\Documents\BlackMirror2
[2012.06.26 02:28:20 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\QuickTime
[2012.06.26 02:28:04 | 000,000,000 | ---D | C] -- C:\ProgramData\Apple Computer
[2012.06.26 00:06:24 | 000,000,000 | ---D | C] -- C:\Program Files\NVIDIA Corporation
[2012.06.13 12:37:49 | 000,000,000 | ---D | C] -- C:\Windows\System32\appmgmt
[1 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2012.07.09 17:39:12 | 000,000,000 | ---- | M] () -- C:\Users\***\defogger_reenable
[2012.07.09 17:36:16 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2012.07.09 17:36:12 | 1610,063,872 | -HS- | M] () -- C:\hiberfil.sys
[2012.07.09 17:30:14 | 000,302,592 | ---- | M] () -- C:\Users\***\Desktop\dm9t53ic.exe
[2012.07.09 17:28:10 | 000,595,968 | ---- | M] (OldTimer Tools) -- C:\Users\***\Desktop\OTL.exe
[2012.07.09 17:25:22 | 000,050,477 | ---- | M] () -- C:\Users\***\Desktop\Defogger.exe
[2012.07.09 15:50:14 | 000,002,505 | ---- | M] () -- C:\Users\Public\Desktop\Skype.lnk
[2012.07.09 15:49:56 | 000,021,808 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
[2012.07.09 15:49:56 | 000,021,808 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2012.07.09 15:21:51 | 000,415,877 | ---- | M] () -- C:\Windows\System32\drivers\vsconfig.xml
[2012.07.09 15:19:51 | 000,000,633 | ---- | M] () -- C:\Users\Public\Desktop\ZoneAlarm Security.lnk
[2012.07.09 10:48:01 | 000,000,884 | ---- | M] () -- C:\Windows\tasks\Adobe Flash Player Updater.job
[2012.07.06 21:32:31 | 000,001,786 | ---- | M] () -- C:\Users\Public\Desktop\Opera.lnk
[2012.07.02 23:51:59 | 000,001,035 | ---- | M] () -- C:\Users\Public\Desktop\VLC media player.lnk
[2012.07.02 19:20:21 | 000,117,708 | --S- | M] (Opera Software) -- C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\qbpqisma.exe
[2012.07.02 18:55:21 | 000,003,353 | ---- | M] () -- C:\Users\***\.recently-used.xbel
[2012.07.02 18:52:31 | 000,057,312 | ---- | M] () -- C:\Users\***\Desktop\TRANSFORMERS-DecepticonsLogo.jpg
[2012.07.02 18:49:04 | 000,000,000 | ---- | M] () -- C:\Windows\System32\drivers\lvuvc.hs
[2012.07.02 18:48:38 | 000,010,768 | ---- | M] () -- C:\Users\***\Desktop\fee.odt
[2012.07.02 15:56:24 | 000,002,577 | ---- | M] () -- C:\Windows\System32\config.nt
[2012.07.02 13:11:54 | 002,217,238 | ---- | M] () -- C:\Users\***\Desktop\Hotmail.zip
[2012.06.28 14:52:42 | 000,353,688 | ---- | M] (AVAST Software) -- C:\Windows\System32\drivers\aswSP.sys
[2012.06.28 14:52:42 | 000,054,232 | ---- | M] (AVAST Software) -- C:\Windows\System32\drivers\aswTdi.sys
[2012.06.28 14:52:37 | 000,721,000 | ---- | M] (AVAST Software) -- C:\Windows\System32\drivers\aswSnx.sys
[2012.06.28 14:52:37 | 000,057,656 | ---- | M] (AVAST Software) -- C:\Windows\System32\drivers\aswMonFlt.sys
[2012.06.28 14:52:37 | 000,044,784 | ---- | M] (AVAST Software) -- C:\Windows\System32\drivers\aswRdr2.sys
[2012.06.28 14:52:36 | 000,021,256 | ---- | M] (AVAST Software) -- C:\Windows\System32\drivers\aswFsBlk.sys
[2012.06.28 14:52:20 | 000,041,224 | ---- | M] (AVAST Software) -- C:\Windows\avastSS.scr
[2012.06.28 14:51:49 | 000,227,648 | ---- | M] (AVAST Software) -- C:\Windows\System32\aswBoot.exe
[2012.06.14 11:51:00 | 000,295,592 | ---- | M] () -- C:\Windows\System32\FNTCACHE.DAT
[1 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2012.07.09 17:39:12 | 000,000,000 | ---- | C] () -- C:\Users\***\defogger_reenable
[2012.07.09 17:37:52 | 000,302,592 | ---- | C] () -- C:\Users\***\Desktop\dm9t53ic.exe
[2012.07.09 17:37:52 | 000,050,477 | ---- | C] () -- C:\Users\***\Desktop\Defogger.exe
[2012.07.09 15:20:09 | 000,415,877 | ---- | C] () -- C:\Windows\System32\drivers\vsconfig.xml
[2012.07.09 15:19:51 | 000,000,633 | ---- | C] () -- C:\Users\Public\Desktop\ZoneAlarm Security.lnk
[2012.07.06 21:32:31 | 000,001,798 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk
[2012.07.06 21:32:31 | 000,001,786 | ---- | C] () -- C:\Users\Public\Desktop\Opera.lnk
[2012.07.02 23:51:59 | 000,001,035 | ---- | C] () -- C:\Users\Public\Desktop\VLC media player.lnk
[2012.07.02 18:55:21 | 000,003,353 | ---- | C] () -- C:\Users\***\.recently-used.xbel
[2012.07.02 18:52:31 | 000,057,312 | ---- | C] () -- C:\Users\***\Desktop\TRANSFORMERS-DecepticonsLogo.jpg
[2012.07.02 18:50:51 | 000,000,884 | ---- | C] () -- C:\Windows\tasks\Adobe Flash Player Updater.job
[2012.07.02 13:11:50 | 002,217,238 | ---- | C] () -- C:\Users\***\Desktop\Hotmail.zip
[2012.07.02 12:44:28 | 000,010,768 | ---- | C] () -- C:\Users\***\Desktop\fee.odt
[2012.02.22 15:48:54 | 000,557,235 | ---- | C] () -- C:\Users\***\Pacing-Curve.xcf
[2011.11.04 00:34:55 | 000,000,034 | ---- | C] () -- C:\Windows\Battle.ini
[2011.09.28 18:44:14 | 000,179,271 | ---- | C] () -- C:\Windows\System32\xlive.dll.cat
[2011.09.06 18:41:24 | 000,187,925 | ---- | C] () -- C:\Windows\hpoins35.dat
[2011.09.06 18:41:24 | 000,001,062 | ---- | C] () -- C:\Windows\hpomdl35.dat
[2011.08.19 10:26:20 | 010,898,456 | ---- | C] () -- C:\Windows\System32\LogiDPP.dll
[2011.08.19 10:26:20 | 000,336,408 | ---- | C] () -- C:\Windows\System32\DevManagerCore.dll
[2011.08.19 10:26:20 | 000,104,472 | ---- | C] () -- C:\Windows\System32\LogiDPPApp.exe
[2011.08.16 23:10:46 | 000,033,792 | ---- | C] () -- C:\Windows\System32\drivers\libusb0.sys
[2011.08.16 19:30:48 | 000,000,000 | ---- | C] () -- C:\Windows\ativpsrm.bin
[2011.07.26 07:48:54 | 000,028,418 | ---- | C] () -- C:\Windows\System32\lvcoinst.ini
[2011.07.07 23:37:28 | 000,053,760 | ---- | C] () -- C:\Windows\System32\OVDecode.dll
[2011.05.13 17:01:54 | 000,234,142 | ---- | C] () -- C:\Windows\System32\atiicdxx.dat
[2011.04.12 03:30:05 | 001,422,162 | ---- | C] () -- C:\Windows\System32\perfh007.dat
[2011.04.12 03:30:05 | 000,366,762 | ---- | C] () -- C:\Windows\System32\perfc007.dat
[2011.04.12 03:30:05 | 000,295,922 | ---- | C] () -- C:\Windows\System32\perfi007.dat
[2011.04.12 03:30:05 | 000,038,104 | ---- | C] () -- C:\Windows\System32\perfd007.dat
[2011.03.17 19:51:44 | 000,003,929 | ---- | C] () -- C:\Windows\System32\atipblag.dat
[2010.11.20 23:29:26 | 000,066,048 | ---- | C] () -- C:\Windows\System32\PrintBrmUi.exe
 
========== LOP Check ==========
 
[2011.10.18 00:35:59 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\.minecraft
[2011.12.22 16:54:38 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Canneverbe Limited
[2012.06.27 12:41:05 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\CheckPoint
[2011.10.05 01:04:11 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\DVDVideoSoft
[2011.10.17 20:51:34 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\eType
[2012.03.05 19:52:55 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\FileZilla
[2012.06.14 18:00:47 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\gtk-2.0
[2011.08.16 22:19:11 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\OpenOffice.org
[2011.08.16 23:53:54 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Opera
[2011.08.16 19:53:14 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Opera_
[2011.09.28 19:29:41 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Peter Brinson and Kurosh ValaNejad
[2011.11.28 19:23:03 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\The Path
[2011.12.22 15:51:09 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\XMedia Recode
[2011.12.21 16:27:56 | 000,032,634 | ---- | M] () -- C:\Windows\Tasks\SCHEDLGU.TXT
 
========== Purity Check ==========
 
 

< End of report >
--- --- ---


Kann ich noch etwas retten, oder muss ich das System neu aufsetzen? Und wenn ich das System neu aufsetzen muss, kann ich dann meine persönlichen Daten (Videos, Fotos, PSD-Files, etc.) behalten, oder sicher auf Viren überprüfen?

Vielen Dank im Voraus für die Hilfe!

Edit: Ich habe alles so gemacht wie es in der Anleitung dieser Website vorgesehen war. DeFogger scheint keine Probleme gemacht zu haben.

markusg 09.07.2012 19:52
verzichte auf zonealarm und desktop firewalls, bringen nichts
was heißt massig funde, was sollen wir mit der aussage anfangen können, nur berichte sind interessant, wir müssen wissen was gefunden wurde

markusg 09.07.2012 19:53
hi
ersetze *** durch nutzernamen damit es läuft

dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user.
wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts.


• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.



Code:
:OTL
O4 - HKCU..\Run: [QbpQisma] C:\Users\***\AppData\Local\iuxexpgj\qbpqisma.exe (Opera Software)
O4 - Startup: C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\qbpqisma.exe (Opera Software)
 :Files
C:\Users\***\AppData\Local\iuxexpgj
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[Reboot]


• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.
starte in den normalen modus.

falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden

Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang
in den Thread posten!



Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + E Taste.
  • Öffne dein Systemlaufwerk ( meistens C: )
  • Suche nun
    folgenden Ordner: _OTL und öffne diesen.
  • Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner

  • Dies wird eine Movedfiles.zip Datei in _OTL erstellen
  • Lade diese bitte in unseren Uploadchannel
    hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )
Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus :)

zeitgeist83 09.07.2012 22:25
"Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus"

Wenn überhaupt, dann habe ich zu danken. ;)

Mist, ich hatte vergessen den Benutzernamen im Code zu ändern. Aber es ist eine Menge passiert:

Ich habe OTL im Abgesicherten Modus zuerst mit dem Scan laufen lassen (ohne den Code) und ein paar neue Logfiles produziert, da ich im ersten (geposteten Versuch übersehen hatte die SafeList und die Minimalausgabe anzuwählen.

Daraufhin habe ich das Script durchlaufen lassen und den PC im normalen Modus neu gestartet. Nach dem Einloggen blieb der Desktop schwarz, aber der Mauszeiger war da und bewegbar. Ich startete darauf den Rechner wieder im abgesicherten Modus und habe Zone Alarm deinstalliert (meine Mitbewohnerin meinte, ZA könne sich mit Avast beissen). Nach nochmaligem Neustart und Einloggen war erst der Schirm wieder schwarz, dann öffnete sich plötzlich der Texteditor mit einer Nachricht und verschwand auch sehr schnell wieder. Ich konnte sie nicht schnell genug kopieren. Aber da stand irgendetwas mit "all processes terminated".

Auf meinem schwarzen Desktop konnte ich den Taskmanager aufrufen und nachdem ich mich ausgeloggt und wieder eingeloggt hatte war ich wieder auf dem regulären Desktop. Avira ist gleich wieder angesprungen und hat mir gemeldet, dass eine Bedrohung gefunden wurde (Ezula-AGE [Adw]).

Ich habe gleich die gelegenheit genutzt und in den Container geschaut, was ich so an Viren bisher entdeckt habe. Ist eine ganzschön große Liste:

Ramon
MalOb-R [Cryp]
Kuracka
Virut
Adware-Gen [Adw]
Ezula-AGE [Adw]
Malware-Gen
FileInfector-C
Vitro
Agent-AFVS [Rtk]
Downloader-BTA [Trj]
Rootkit-gen [Rtk]
CryptVir
MalOb-R [Cryp]
Injector-SE [Trj]
Delf-MDB [Drp]
VB-LYG [Trj]
Java:OpenStream-T [Trj]
MalOb-GP [Cryp]
Ha-nig-QP [Trj]
Malware-gen
FileInfector-C [Heur]
Kryptic-JBC [Trj]
Ramnit-F
Hupigon-ONX [Trj]

Sieht ziemlich schlecht aus, oder? :/ Ramon und ein paar andere stammen aus diversen Programmen und waren sehr häufig vertreten. Mehrere Spiele und Open Office Dateien waren am häufigsten infiziert. Viele aus dem Bestand sind aber aus Dateien die eindeutig aus der Sicherung meiner Ex stammen und (wahrscheinlich) nicht ausgeführt worden.

Im Taskmanager waren noch die svchost.exe (2x) aktiv und ein Programm namens igklkuogxxtfjkos.exe die ich im Verdacht habe. Letztere wurde mit Opera in zusammenhang gebracht. Opera hat wieder den Fehler mit der Stub.exe ausgespuckt als es sich selbst starten wollte.

Ich hoffe das hilft alles weiter.

Jetzt probiere ich OTL nocheinmal mit dem richtigen Benutzernamen.

So, jetzt habe ich das ganze noch einmal mit richtigem Benutzernamen im abgesicherten Modus ausprobiert. Und siehe da: Svchost. exe ist nach dem Normalstart aus dem Taskmanager verschwunden. Ebenso der "OperaStub.exe funktioniert nicht mehr" Bericht. ^^

Vorher allerdings war wieder der schwarze Desktop mit der beweglichen Maus und als ich in den Taskmanager ging, lief dort OTL. Ich habe mich dann ausgeloggt und wieder angemeldet. Dann hatte ich wieder den Desktop und die oben beschriebene Situation. Leider habe ich kein Logfile gefunden... Das was auf dem Desktop lag, war von 21:27 Uhr. Also von meinem zweiten Scanversuch.

Als ich allerdings im Abgesicherten Modus war, also bevor ich den Fix (anscheinend) korrekt angewendet habe, kam nocheinmal die Textdatei mit dem "All processes killed". Offenbar stammt die von OTL. Da geht es auch um die QbpQisma.

Soll ich den Bericht uploaden wie in deinem letzten Post beschrieben?

markusg 11.07.2012 01:47
bitte moved files packen, und im upload channel hochladen


Alle Zeitangaben in WEZ +1. Es ist jetzt 01:55 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131