| hutzen1plutz | 01.04.2013 13:22 |
Habe mir gestern mit dem Rechner eines Bekannten noch "aswMBR" heruntergeladen. Heute zuerst wieder Defoggger ausgeführt, danach aswMBR und danach Combofix. Während Combofix die Logdatei erstellte, kam vom System folgende Meldung: "Exception Processing Message c0000013 Parameters 75b0bf7c 4 75b0bf7c 75b0bf7c". Nach Erstellung des Logfiles meldete Kaspersky 2 Malware-verdächtige Aktivitäten von Combofix. Jetzt die Logfiles. Code:
defogger_disable by jpshortstuff (23.02.10.1)
Log created at 13:22 on 01/04/2013 (Ich)
Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.
Checking for services/drivers...
-=E.O.F=-
Code:
aswMBR version 0.9.9.1771 Copyright(c) 2011 AVAST Software
Run date: 2013-04-01 13:23:40
-----------------------------
13:23:40.250 OS Version: Windows 5.1.2600 Service Pack 3
13:23:40.250 Number of processors: 2 586 0x170A
13:23:40.250 ComputerName: PC UserName:
13:23:43.187 Initialize success
13:24:46.765 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-4
13:24:46.765 Disk 0 Vendor: Maxtor_7L250R0 BAJ41G20 Size: 239371MB BusType: 3
13:24:46.765 Disk 1 \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP2T0L0-17
13:24:46.765 Disk 1 Vendor: SAMSUNG_HD502HJ 1AJ100E4 Size: 476938MB BusType: 3
13:24:46.921 Disk 0 MBR read successfully
13:24:46.921 Disk 0 MBR scan
13:24:46.921 Disk 0 Windows XP default MBR code
13:24:46.921 Disk 0 Partition 1 80 (A) 07 HPFS/NTFS NTFS 80003 MB offset 63
13:24:46.921 Disk 0 Partition - 00 0F Extended LBA 159355 MB offset 163846935
13:24:46.937 Disk 0 Partition 2 00 07 HPFS/NTFS NTFS 159355 MB offset 163846998
13:24:46.953 Disk 0 scanning sectors +490207410
13:24:47.109 Disk 0 scanning C:\WINDOWS\system32\drivers
13:25:08.171 Service scanning
13:25:24.546 Service GMSIPCI J:\INSTALL\GMSIPCI.SYS **LOCKED** 21
13:25:30.171 Service kl1 C:\WINDOWS\system32\DRIVERS\kl1.sys **LOCKED** 5
13:25:30.515 Service klim5 C:\WINDOWS\system32\DRIVERS\klim5.sys **LOCKED** 5
13:25:30.562 Service klkbdflt C:\WINDOWS\system32\DRIVERS\klkbdflt.sys **LOCKED** 5
13:25:30.875 Service klmouflt C:\WINDOWS\system32\DRIVERS\klmouflt.sys **LOCKED** 5
13:25:30.921 Service kltdi C:\WINDOWS\system32\DRIVERS\kltdi.sys **LOCKED** 5
13:25:31.250 Service kneps C:\WINDOWS\system32\DRIVERS\kneps.sys **LOCKED** 5
13:25:50.718 Modules scanning
13:26:22.109 Disk 0 trace - called modules:
13:26:22.140 ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys
13:26:22.140 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x8a57aab8]
13:26:22.140 3 CLASSPNP.SYS[ba0e8fd7] -> nt!IofCallDriver -> \Device\00000073[0x8a62c1b8]
13:26:22.140 5 ACPI.sys[b9f7e620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-4[0x8a621238]
13:26:22.156 Scan finished successfully
13:26:40.875 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Ich\Desktop\MBR.dat"
13:26:40.875 The log file has been saved successfully to "C:\Dokumente und Einstellungen\Ich\Desktop\aswMBR.txt"
Code:
ComboFix 13-04-01.01 - Ich 01.04.2013 13:38:57.1.2 - x86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.49.1031.18.2046.1548 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Ich\Desktop\ComboFix.exe
AV: Kaspersky Anti-Virus *Disabled/Updated* {2C4D4BC6-0793-4956-A9F9-E252435469C0}
FW: Kaspersky Anti-Virus *Disabled* {2C4D4BC6-0793-4956-A9F9-E252435469C0}
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP
c:\dokumente und einstellungen\Ich\Anwendungsdaten\8EFE.282
c:\dokumente und einstellungen\Ich\WINDOWS
c:\programme\Internet Explorer\SET8.tmp
c:\programme\Internet Explorer\SET9.tmp
c:\windows\IsUn0407.exe
c:\windows\system32\PDFShell.1
c:\windows\system32\pdfshell.2
c:\windows\system32\PDFShell.3
c:\windows\system32\pdfshell.4
c:\windows\system32\SET10.tmp
c:\windows\system32\SET100.tmp
c:\windows\system32\SET101.tmp
c:\windows\system32\SET102.tmp
c:\windows\system32\SET103.tmp
c:\windows\system32\SET104.tmp
c:\windows\system32\SET105.tmp
c:\windows\system32\SET106.tmp
c:\windows\system32\SET107.tmp
c:\windows\system32\SET108.tmp
c:\windows\system32\SET11.tmp
c:\windows\system32\SET115.tmp
c:\windows\system32\SET116.tmp
c:\windows\system32\SET117.tmp
c:\windows\system32\SET118.tmp
c:\windows\system32\SET119.tmp
c:\windows\system32\SET11A.tmp
c:\windows\system32\SET11B.tmp
c:\windows\system32\SET11C.tmp
c:\windows\system32\SET11D.tmp
c:\windows\system32\SET11E.tmp
c:\windows\system32\SET11F.tmp
c:\windows\system32\SET12.tmp
c:\windows\system32\SET120.tmp
c:\windows\system32\SET121.tmp
c:\windows\system32\SET123.tmp
c:\windows\system32\SET124.tmp
c:\windows\system32\SET125.tmp
c:\windows\system32\SET126.tmp
c:\windows\system32\SET127.tmp
c:\windows\system32\SET128.tmp
c:\windows\system32\SET129.tmp
c:\windows\system32\SET12A.tmp
c:\windows\system32\SET12B.tmp
c:\windows\system32\SET12C.tmp
c:\windows\system32\SET12D.tmp
c:\windows\system32\SET12E.tmp
c:\windows\system32\SET12F.tmp
c:\windows\system32\SET13.tmp
c:\windows\system32\SET130.tmp
c:\windows\system32\SET131.tmp
c:\windows\system32\SET132.tmp
c:\windows\system32\SET133.tmp
c:\windows\system32\SET134.tmp
c:\windows\system32\SET135.tmp
c:\windows\system32\SET136.tmp
c:\windows\system32\SET137.tmp
c:\windows\system32\SET138.tmp
c:\windows\system32\SET14.tmp
c:\windows\system32\SET16.tmp
c:\windows\system32\SET17.tmp
c:\windows\system32\SET18.tmp
c:\windows\system32\SET19.tmp
c:\windows\system32\SET1A.tmp
c:\windows\system32\SET1B.tmp
c:\windows\system32\SET1C.tmp
c:\windows\system32\SET1D.tmp
c:\windows\system32\SET1E.tmp
c:\windows\system32\SET1F.tmp
c:\windows\system32\SET20.tmp
c:\windows\system32\SET21.tmp
c:\windows\system32\SET22.tmp
c:\windows\system32\SET23.tmp
c:\windows\system32\SET24.tmp
c:\windows\system32\SET25.tmp
c:\windows\system32\SET26.tmp
c:\windows\system32\SET27.tmp
c:\windows\system32\SET28.tmp
c:\windows\system32\SET29.tmp
c:\windows\system32\SET2A.tmp
c:\windows\system32\SET2B.tmp
c:\windows\system32\SET2C.tmp
c:\windows\system32\SET2D.tmp
c:\windows\system32\SET2F.tmp
c:\windows\system32\SET30.tmp
c:\windows\system32\SET31.tmp
c:\windows\system32\SET32.tmp
c:\windows\system32\SET33.tmp
c:\windows\system32\SET34.tmp
c:\windows\system32\SET35.tmp
c:\windows\system32\SET36.tmp
c:\windows\system32\SET37.tmp
c:\windows\system32\SET38.tmp
c:\windows\system32\SET39.tmp
c:\windows\system32\SET3A.tmp
c:\windows\system32\SET3B.tmp
c:\windows\system32\SET3C.tmp
c:\windows\system32\SET3D.tmp
c:\windows\system32\SET3E.tmp
c:\windows\system32\SET3F.tmp
c:\windows\system32\SET40.tmp
c:\windows\system32\SET41.tmp
c:\windows\system32\SET42.tmp
c:\windows\system32\SET43.tmp
c:\windows\system32\SET44.tmp
c:\windows\system32\SET45.tmp
c:\windows\system32\SET46.tmp
c:\windows\system32\SET47.tmp
c:\windows\system32\SET48.tmp
c:\windows\system32\SET49.tmp
c:\windows\system32\SET4A.tmp
c:\windows\system32\SET4B.tmp
c:\windows\system32\SET4C.tmp
c:\windows\system32\SET4D.tmp
c:\windows\system32\SET4E.tmp
c:\windows\system32\SET4F.tmp
c:\windows\system32\SET50.tmp
c:\windows\system32\SET51.tmp
c:\windows\system32\SET52.tmp
c:\windows\system32\SET53.tmp
c:\windows\system32\SET54.tmp
c:\windows\system32\SET55.tmp
c:\windows\system32\SET56.tmp
c:\windows\system32\SET57.tmp
c:\windows\system32\SET58.tmp
c:\windows\system32\SET59.tmp
c:\windows\system32\SET5A.tmp
c:\windows\system32\SET5B.tmp
c:\windows\system32\SET5C.tmp
c:\windows\system32\SET5E.tmp
c:\windows\system32\SET5F.tmp
c:\windows\system32\SET60.tmp
c:\windows\system32\SET61.tmp
c:\windows\system32\SET62.tmp
c:\windows\system32\SET63.tmp
c:\windows\system32\SET64.tmp
c:\windows\system32\SET65.tmp
c:\windows\system32\SET66.tmp
c:\windows\system32\SET67.tmp
c:\windows\system32\SET68.tmp
c:\windows\system32\SET69.tmp
c:\windows\system32\SET6A.tmp
c:\windows\system32\SET6B.tmp
c:\windows\system32\SET6C.tmp
c:\windows\system32\SET6D.tmp
c:\windows\system32\SET6E.tmp
c:\windows\system32\SET6F.tmp
c:\windows\system32\SET70.tmp
c:\windows\system32\SET71.tmp
c:\windows\system32\SET72.tmp
c:\windows\system32\SET73.tmp
.
.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Service_xcpip
-------\Service_xpsec
.
.
((((((((((((((((((((((( Dateien erstellt von 2013-03-01 bis 2013-04-01 ))))))))))))))))))))))))))))))
.
.
2013-03-31 13:07 . 2013-03-31 13:07 40776 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2013-03-31 13:07 . 2013-03-31 13:07 35144 ----a-w- c:\windows\system32\drivers\mbamchameleon.sys
2013-03-29 12:27 . 2013-03-29 12:27 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2013-03-29 12:27 . 2013-03-29 12:27 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2013-03-29 12:27 . 2012-12-14 15:49 21104 ----a-w- c:\windows\system32\drivers\mbam.sys
2013-03-29 11:27 . 2013-03-29 11:27 -------- d-----w- c:\dokumente und einstellungen\Ich\Anwendungsdaten\Softonic
2013-03-25 13:45 . 2013-03-25 13:45 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\PCTV Systems
2013-03-19 17:41 . 2013-03-19 17:41 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Ashampoo
2013-03-19 17:41 . 2013-03-19 17:41 -------- d-----w- c:\programme\Ashampoo
2013-03-05 12:00 . 2013-03-05 12:00 -------- d-----w- c:\programme\Microsoft CAPICOM 2.1.0.2
2013-03-04 17:15 . 2013-03-04 17:15 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\SQL Anywhere 11
2013-03-04 17:15 . 2013-03-04 17:15 -------- d-----w- c:\programme\SQL Anywhere 11
2013-03-04 17:13 . 2013-03-04 17:13 -------- d-----w- c:\programme\Sybase
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-03-16 11:40 . 2012-04-04 09:31 693976 ----a-w- c:\windows\system32\FlashPlayerApp.exe
2013-03-16 11:40 . 2011-06-07 10:14 73432 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
2013-02-12 00:32 . 2004-08-04 06:04 12928 ------w- c:\windows\system32\drivers\usb8023x.sys
2013-02-12 00:32 . 2002-08-29 12:00 12928 ----a-w- c:\windows\system32\drivers\usb8023.sys
2013-02-05 19:56 . 2009-10-18 10:27 916480 ----a-w- c:\windows\system32\wininet.dll
2013-02-05 19:56 . 2002-08-29 12:00 43520 ------w- c:\windows\system32\licmgr10.dll
2013-02-05 19:56 . 2002-08-29 12:00 1469440 ------w- c:\windows\system32\inetcpl.cpl
2013-02-05 05:53 . 2004-08-04 07:42 385024 ----a-w- c:\windows\system32\html.iec
2013-01-26 03:55 . 2002-08-29 12:00 552448 ----a-w- c:\windows\system32\oleaut32.dll
2013-01-07 07:24 . 2002-08-29 12:00 2151424 ----a-w- c:\windows\system32\ntoskrnl.exe
2013-01-07 07:24 . 2002-08-29 03:41 2030080 ----a-w- c:\windows\system32\ntkrnlpa.exe
2013-01-04 10:09 . 2002-08-29 12:00 1867392 ----a-w- c:\windows\system32\win32k.sys
2013-01-02 06:49 . 2002-08-29 12:00 148992 ----a-w- c:\windows\system32\mpg2splt.ax
2013-01-02 06:49 . 2002-08-29 12:00 1297920 ----a-w- c:\windows\system32\quartz.dll
2013-03-08 08:14 . 2013-03-08 08:14 263064 ----a-w- c:\programme\mozilla firefox\components\browsercomps.dll
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2010-11-28 13:54 . C3A2915C71AE6F225EB906C25CCD29B5 . 24064 . . [1.0.0.5] . . c:\windows\ServicePackFiles\i386\ctfmon.exe
[-] 2010-11-28 13:54 . C3A2915C71AE6F225EB906C25CCD29B5 . 24064 . . [1.0.0.5] . . c:\windows\system32\ctfmon.exe
[7] 2004-08-04 . 7CE20569925DF6789C31799F0C538F29 . 15360 . . [5.1.2600.2180] . . c:\windows\$NtServicePackUninstall$\ctfmon.exe
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AVP"="c:\programme\Kaspersky Lab\Kaspersky Anti-Virus 2013\avp.exe" [2012-11-16 356376]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2010-11-28 24064]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LBTWlgn]
2011-06-17 07:33 66328 ----a-w- c:\programme\Gemeinsame Dateien\LogiShrd\Bluetooth\LBTWLgn.dll
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
.
[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Acrobat Assistant.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Acrobat Assistant.lnk
backup=c:\windows\pss\Acrobat Assistant.lnkCommon Startup
.
[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup
.
[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Symantec Fax Starter Edition-Anschluss.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Symantec Fax Starter Edition-Anschluss.lnk
backup=c:\windows\pss\Symantec Fax Starter Edition-Anschluss.lnkCommon Startup
.
[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^WinZip Quick Pick.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\WinZip Quick Pick.lnk
backup=c:\windows\pss\WinZip Quick Pick.lnkCommon Startup
.
[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Ich^Startmenü^Programme^Autostart^AOM.lnk]
path=c:\dokumente und einstellungen\Ich\Startmenü\Programme\Autostart\AOM.lnk
backup=c:\windows\pss\AOM.lnkStartup
.
[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Ich^Startmenü^Programme^Autostart^Logitech . Produktregistrierung.lnk]
path=c:\dokumente und einstellungen\Ich\Startmenü\Programme\Autostart\Logitech . Produktregistrierung.lnk
backup=c:\windows\pss\Logitech . Produktregistrierung.lnkStartup
.
[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Ich^Startmenü^Programme^Autostart^Telefon- und Branchenbuch + Rückwärtssuche Frühjahr 2012 - Schnellstarter.lnk]
path=c:\dokumente und einstellungen\Ich\Startmenü\Programme\Autostart\Telefon- und Branchenbuch + Rückwärtssuche Frühjahr 2012 - Schnellstarter.lnk
backup=c:\windows\pss\Telefon- und Branchenbuch + Rückwärtssuche Frühjahr 2012 - Schnellstarter.lnkStartup
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
c:\windows\system32\dumprep 0 -k [X]
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2012-12-03 07:35 946352 ----a-w- c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2012-12-18 14:28 38112 ----a-w- c:\programme\Adobe\Reader 10.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BrowserChoice]
2010-02-12 10:03 293376 ------w- c:\windows\system32\browserchoice.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\C-Media Mixer]
2001-10-22 08:24 1216512 ----a-w- c:\windows\mixer.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CPMonitor]
2009-04-20 15:10 84464 -c--a-w- c:\programme\Roxio WinOnCD 2009\5.0\CPMonitor.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivXMediaServer]
2013-01-30 03:34 450560 ----a-w- c:\programme\DivX\DivX Media Server\DivXMediaServer.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivXUpdate]
2013-02-13 02:37 1263952 ----a-w- c:\programme\DivX\DivX Update\DivXUpdate.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EEventManager]
2009-12-17 17:50 976832 ----a-w- c:\programme\Epson Software\Event Manager\EEventManager.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EvtMgr6]
2011-06-23 23:44 1386776 ----a-w- c:\programme\Logitech\SetPointP\SetPoint.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]
2008-02-28 15:07 1828136 -c--a-w- c:\programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LexwareInfoService]
2011-07-31 13:07 189808 ----a-w- c:\programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LightScribe Control Panel]
2008-02-26 12:08 2289664 -c--a-w- c:\programme\Gemeinsame Dateien\LightScribe\LightScribeControlPanel.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 02:22 1695232 ----a-w- c:\programme\Messenger\msmsgs.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2008-03-25 11:33 570664 -c--a-w- c:\programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Omnipage]
2002-06-03 10:38 49152 -c--a-w- c:\programme\ScanSoft\OmniPageSE\opware32.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PinnacleDriverCheck]
2004-03-10 14:26 406016 ----a-w- c:\windows\system32\PSDrvCheck.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RoxWatchTray]
2008-08-13 22:23 240112 -c--a-w- c:\programme\Gemeinsame Dateien\Roxio Shared\11.0\SharedCOM\RoxWatchTray11.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL]
2011-07-05 14:08 20053608 ----a-w- c:\windows\RTHDCPL.EXE
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]
2011-09-08 11:12 98304 ----a-w- c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TomTomHOME.exe]
2012-08-28 06:41 247768 ----a-w- c:\programme\TomTom HOME 2\TomTomHOMERunner.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"TomTomHOMEService"=2 (0x2)
"AntUpdaterService"=2 (0x2)
"Ati HotKey Poller"=2 (0x2)
"avg9wd"=2 (0x2)
"WZCSVC"=2 (0x2)
"RDSessMgr"=3 (0x3)
"ACDaemon"=3 (0x3)
"AVGIDSAgent"=2 (0x2)
"ABBYY.Licensing.FineReader.Sprint.9.0"=2 (0x2)
"WMPNetworkSvc"=3 (0x3)
"HRService"=3 (0x3)
"Freemake Improver"=2 (0x2)
"LBTServ"=3 (0x3)
"NMIndexingService"=3 (0x3)
"Lexware_Datenbank_Plus"=2 (0x2)
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\ScanSoft\\OmniPageSE\\EregGer\\NAVBrowser.exe"=
"c:\\Programme\\Epson Software\\Event Manager\\EEventManager.exe"=
"c:\\Programme\\Sybase\\SQL Anywhere 9\\win32\\dbsrv9.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:Remote Desktop
"65533:TCP"= 65533:TCP:Services
"52344:TCP"= 52344:TCP:Services
.
R0 17190902;17190902 Boot Guard Driver;c:\windows\system32\drivers\17190902.sys [06.07.2011 11:21 37392]
R1 17190901;17190901;c:\windows\system32\drivers\17190901.sys [06.07.2011 11:21 128016]
R1 c2scsi;c2scsi;c:\windows\system32\drivers\c2scsi.sys [31.12.2009 13:47 244608]
R1 kltdi;kltdi;c:\windows\system32\drivers\kltdi.sys [08.06.2012 11:38 43608]
R1 kneps;kneps;c:\windows\system32\drivers\kneps.sys [13.08.2012 16:49 144344]
R2 AVMPORT;AVMPORT;c:\windows\system32\drivers\avmport.sys [18.10.2009 12:07 59520]
R2 LBeepKE;Logitech Beep Suppression Driver;c:\windows\system32\drivers\LBeepKE.sys [19.10.2011 12:23 12184]
R3 AtiHDAudioService;ATI Function Driver for HD Audio Service;c:\windows\system32\drivers\AtihdXP3.sys [19.10.2011 14:02 100368]
R3 AVMCOWAN;AVMCOWAN;c:\windows\system32\drivers\avmcowan.sys [29.11.2004 01:00 53248]
R3 FXUSBASE;Eumex 400 (WinXP/2000);c:\windows\system32\drivers\fxusbase.sys [29.11.2004 01:00 547968]
R3 klim5;Kaspersky Anti-Virus NDIS Filter;c:\windows\system32\drivers\klim5.sys [27.06.2012 14:09 35672]
R3 klkbdflt;Kaspersky Lab KLKBDFLT;c:\windows\system32\drivers\klkbdflt.sys [25.05.2012 19:38 24408]
R3 klmouflt;Kaspersky Lab KLMOUFLT;c:\windows\system32\drivers\klmouflt.sys [25.07.2012 14:53 24920]
R3 kncbda;KNC BDA DVB-S+;c:\windows\system32\drivers\kncbda32.sys [22.10.2011 17:50 158848]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [17.10.2009 17:24 1691480]
S3 mbamchameleon;mbamchameleon;c:\windows\system32\drivers\mbamchameleon.sys [31.03.2013 15:07 35144]
S3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [31.03.2013 15:07 40776]
S3 MEMSWEEP2;MEMSWEEP2;\??\c:\windows\system32\E.tmp --> c:\windows\system32\E.tmp [?]
S4 ABBYY.Licensing.FineReader.Sprint.9.0;ABBYY FineReader 9.0 Sprint Licensing Service;c:\programme\Gemeinsame Dateien\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe [14.05.2009 17:07 759048]
S4 AntUpdaterService;Ant Toolbar updater service;c:\programme\Ant.com\IE add-on\AntUpdaterService.exe [22.12.2010 18:14 515096]
S4 ES lite Service;ES lite Service for program management.;"c:\programme\Gigabyte\EasySaver\ESSVR.EXE" --> c:\programme\Gigabyte\EasySaver\ESSVR.EXE [?]
S4 Freemake Improver;Freemake Improver;c:\dokumente und einstellungen\All Users\Anwendungsdaten\Freemake\FreemakeUtilsService\FreemakeUtilsService.exe [19.02.2013 16:09 100864]
S4 HRService;Haufe iDesk-Service in c:\programme\Haufe\iDesk\iDeskService\Zope;c:\programme\Haufe\iDesk\iDeskService\ideskservice.exe [21.08.2009 15:24 70336]
S4 Lexware_Datenbank_Plus;Lexware Datenbank Plus;c:\programme\Sybase\SQL Anywhere 9\win32\dbsrv9.exe -hvLexware_Datenbank_Plus --> c:\programme\Sybase\SQL Anywhere 9\win32\dbsrv9.exe -hvLexware_Datenbank_Plus [?]
S4 Roxio UPnP Renderer 11;Roxio UPnP Renderer 11;c:\programme\Roxio WinOnCD 2009\Digital Home 11\RoxioUPnPRenderer11.exe [14.08.2008 00:25 313840]
S4 Roxio Upnp Server 11;Roxio Upnp Server 11;c:\programme\Roxio WinOnCD 2009\Digital Home 11\RoxioUpnpService11.exe [14.08.2008 00:25 367088]
S4 RoxLiveShare11;LiveShare P2P Server 11;c:\programme\Gemeinsame Dateien\Roxio Shared\11.0\SharedCOM\RoxLiveShare11.exe [14.08.2008 00:24 309744]
S4 RoxMediaDB11;RoxMediaDB11;c:\programme\Gemeinsame Dateien\Roxio Shared\11.0\SharedCOM\RoxMediaDB11.exe [04.03.2009 04:58 1122304]
S4 RoxWatch11;Roxio Hard Drive Watcher 11;c:\programme\Gemeinsame Dateien\Roxio Shared\11.0\SharedCOM\RoxWatch11.exe [14.08.2008 00:24 170480]
S4 TomTomHOMEService;TomTomHOMEService;c:\programme\TomTom HOME 2\TomTomHOMEService.exe [28.08.2012 08:41 92632]
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - WS2IFSL
.
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]
2008-02-26 12:06 451872 ----a-w- c:\programme\Gemeinsame Dateien\LightScribe\LSRunOnce.exe
.
Inhalt des "geplante Tasks" Ordners
.
2013-04-01 c:\windows\Tasks\Adobe Flash Player Updater.job
- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-04-04 11:40]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
uInternet Connection Wizard,ShellNext = iexplore
IE: Free YouTube Download - c:\dokumente und einstellungen\Ich\Anwendungsdaten\DVDVideoSoftIEHelpers\freeytvdownloader.htm
DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
FF - ProfilePath - c:\dokumente und einstellungen\Ich\Anwendungsdaten\Mozilla\Firefox\Profiles\tufn8kiq.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - user.js: extensions.Softonic.tlbrSrchUrl - hxxp://search.softonic.com/MOY00009/tb_v1?SearchSource=1&cc=&q=
FF - user.js: extensions.Softonic.id - e0a2ee1700000000000000241d762646
FF - user.js: extensions.Softonic.appId - {7ABBFE1C-E485-44AA-8F36-353751B4124D}
FF - user.js: extensions.Softonic.instlDay - 15756
FF - user.js: extensions.Softonic.vrsn - 1.8.8.11
FF - user.js: extensions.Softonic.vrsni - 1.8.8.11
FF - user.js: extensions.Softonic_i.vrsnTs - 1.8.8.1117:55
FF - user.js: extensions.Softonic.prtnrId - softonic
FF - user.js: extensions.Softonic.prdct - Softonic
FF - user.js: extensions.Softonic.aflt - SD
FF - user.js: extensions.Softonic_i.smplGrp - none
FF - user.js: extensions.Softonic.tlbrId - BASEirobinhoodActive
FF - user.js: extensions.Softonic.instlRef - MOY00009
FF - user.js: extensions.Softonic.dfltLng - de
FF - user.js: extensions.Softonic_i.excTlbr - false
FF - user.js: extensions.Softonic.excTlbr - false
FF - user.js: extensions.Softonic.admin - false
FF - user.js: extensions.Softonic.autoRvrt - false
FF - user.js: extensions.Softonic.rvrt - true
FF - user.js: extensions.Softonic_i.newTab - false
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
Toolbar-Locked - (no file)
MSConfigStartUp-AnyDVD - c:\programme\SlySoft\AnyDVD\AnyDVDtray.exe
MSConfigStartUp-ArcSoft Connection Service - c:\programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
MSConfigStartUp-C-Media Speaker Configuration - l:\treiber\Soundkarten\Techsolo 6 Channel\DRV\Setup.exe
MSConfigStartUp-KodakShareButtonApp - c:\programme\Kodak\KODAK Share Button App\Listener.exe
MSConfigStartUp-SearchSettings - c:\programme\pdfforge Toolbar\SearchSettings.exe
MSConfigStartUp-SpybotSD TeaTimer - c:\programme\Spybot - Search & Destroy\TeaTimer.exe
MSConfigStartUp-SunJavaUpdateSched - c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
AddRemove-Adobe Acrobat 5.0 - c:\windows\ISUN0407.EXE
AddRemove-ComCenter 1.0 - c:\windows\IsUn0407.exe
AddRemove-Konfigurator Eumex 400 - c:\windows\IsUn0407.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2013-04-01 13:58
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\MEMSWEEP2]
"ImagePath"="\??\c:\windows\system32\E.tmp"
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_USERS\.Default\Software\Microsoft\Internet Explorer\User Preferences]
@Denied: (2) (LocalSystem)
"88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977"=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,f6,8c,a3,34,47,44,af,41,ab,50,85,\
"2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81"=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,f6,8c,a3,34,47,44,af,41,ab,50,85,\
.
[HKEY_USERS\S-1-5-21-448539723-842925246-839522115-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.*d*& ]
@Class="Shell"
.
[HKEY_USERS\S-1-5-21-448539723-842925246-839522115-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.*d*& \OpenWithList]
@Class="Shell"
"a"="PDFCreator.exe"
"MRUList"="a"
.
[HKEY_USERS\S-1-5-21-448539723-842925246-839522115-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.*& ]
@Class="Shell"
.
[HKEY_USERS\S-1-5-21-448539723-842925246-839522115-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.*& \OpenWithList]
@Class="Shell"
"a"="PDFCreator.exe"
"MRUList"="a"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil32_11_6_602_180_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil32_11_6_602_180_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="IFlashBroker5"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(1240)
c:\windows\system32\Ati2evxx.dll
c:\windows\system32\atiadlxx.dll
c:\programme\gemeinsame dateien\logishrd\bluetooth\LBTWlgn.dll
.
- - - - - - - > 'explorer.exe'(2368)
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Java\jre7\bin\jqs.exe
c:\windows\System32\snmp.exe
c:\windows\system32\wscntfy.exe
c:\windows\System32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2013-04-01 14:10:57 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2013-04-01 12:10
.
Vor Suchlauf: 10 Verzeichnis(se), 51.042.746.368 Bytes frei
Nach Suchlauf: 12 Verzeichnis(se), 51.984.281.600 Bytes frei
.
WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /NoExecute=OptOut
.
- - End Of File - - 5F94A0FA7701852202AF2FB3D455CC04
|
Bitte lesen:
AdwCleaner auf deinen Desktop.
SecurityCheck und:
