Trojaner-Board - PC mit viren verseucht

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - PC mit viren verseucht (https://www.trojaner-board.de/70955-pc-viren-verseucht.html)

PC mit viren verseucht

Guten Tag erstmals,
Ich Idiot dachte, dass mein Virus Programm locker ein paar Viren aushält, daher bin ich auf die seite w*w.messblack.com/v2 oder so ähnlich draufgegangen und mein PC wurde von dort aus mit Viren "bombadiert". Nach ungefähr 5 Sekunden meldete mir mein nod32 das es ausgeschaltet wurde und explorer.exe etc. nicht mehr funktionieren würden (hängen geblieben). Sofort habe ich den Netzwerkkabel gezogen, und nachdem ich dann den PC im "Sicheren Modus" hochgefahren habe ( im normalen Modus ging es nicht, blieb vor dem Windows Vista Zeichen hängen und blieb schwarz), habe ich natürlich sofort in der msconfig mehrere "Vermutungen auf Viren" deaktiviert. Da es spät war, und ich am nächsten Tag zur Schule musste, habe ich den Netzwerkkabel wieder gezogen, den PC Ausgeschaltet ( sodass er kein Strom mehr nimmt, also hinter dem PC) und Sicherheitsweise den Stromkabel gezogen. Am nächsten Tag, also heute, habe ich dann zuerst eine Systemwiederherstellung angewendet, und dann komplett mit einem neuinstallierten Avira Programm durchlaufen lassen ( das alte Programm nod32 habe ich deinstalliert, weil der Verdacht da war, dass ein Virus sich da infiziert hat). Avira hat auch recht viele gefunden. Anschließend Windows Defender, was wahrscheinlich nicht ernennenswert ist. Daraufhin habe ich CCleaner durchlaufen lassen und alles gereinigt. Danach Malwarebytes (Bericht siehe unten). Und zum Schluss noch HijackThis.

Photo von Task-Manager und Systemstart:
http://img17.imageshack.us/img17/882...emstart.th.jpg

Firefox hat oft bis zu 150.000 K

http://img17.imageshack.us/img17/4607/taskman.th.jpg

Btw. Dafür, dass mein PC recht gut ist, dauert es doch relativ lange, z.B. Firefox zu öffnen, und ist es normal, dass Firefox so viel Speicher verbraucht?

Malwarebyte Bericht:
BEMERKUNG: ProRat war von mir selbst.

Code:

Malwarebytes' Anti-Malware 1.34

Datenbank Version: 1841

Windows 6.0.6001 Service Pack 1
 

12.03.2009 19:27:14

mbam-log-2009-03-12 (19-27-14).txt
 

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|L:\|)

Durchsuchte Objekte: 635350

Laufzeit: 1 hour(s), 21 minute(s), 21 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 1

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{a75aed00-d7bf-11d1-9947-00c0cf98bbc9} (Backdoor.ProRat) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

hijackthis log:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:29:22, on 12.03.2009

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Boot mode: Normal
 

Running processes:

C:\Windows\system32\Dwm.exe

C:\Windows\system32\taskeng.exe

C:\Windows\Explorer.EXE

C:\Windows\System32\rundll32.exe

C:\Windows\ehome\ehtray.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Windows\ehome\ehmsas.exe

C:\Program Files\Windows Live\Contacts\wlcomm.exe

C:\Windows\System32\mobsync.exe

C:\Windows\system32\wuauclt.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Windows\system32\conime.exe

D:\Program Files\Mozilla Firefox\firefox.exe

C:\Windows\system32\SearchFilterHost.exe

C:\Users\***\Desktop\HiJackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O1 - Hosts: ::1 localhost

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: (no name) - {2E1C1935-59F6-3AC0-BAE4-D54BED45236C} - (no file)

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] D:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')

O13 - Gopher Prefix: 

O23 - Service: Nero BackItUp Scheduler 4.0 - Unknown owner - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe (file missing)

O23 - Service: npkcmsvc - INCA Internet Co., Ltd. - E:\Program Files\Gravity\RO\nProtect\npkcmsvc.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)

O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
 

--

End of file - 3386 bytes

//EDIT:
Mein System:
Windows Vista SP 1
Quad 2,5 intel Prozessor,
2x 2gb RAM,
nV GeFore 9600

PC Auslastung:

http://img11.imageshack.us/img11/4659/auslastung.th.jpg

*Hust* ist denn keiner da, der mein hjack bericht überfliegen kann? :(

Hi,

wenn wir dir helfen sollen, solltest du a) dein Sicherheitskonzept überdenken und b) brauchen wir die Liste der Malware die Antivir und WindowsDefender entfernt haben. Am besten wär außerdem noch, die Liste der Sachen die NOD gefunden hatte.
Ein AVP ist dafür da, dass es evtl gemachte Fehler abfängt, nicht damit man sich unfehlbar glaubt und beim Surfen das Hirn abschaltet.

Wie hast du NOD deinstalliert?

lg myrtille

nod32 habe ich unter softwares deinstalliert.
die logs habe ich leider nicht gespeichert. Daran hatte ich in diesem moment garnicht dran gedacht. Aber vielleicht sind sie ja doch irgendwo vorhanden.

Komischerweise ist meine externe Festplatte auch teilweise kaputt / fehlende dateien. Windows will immer eine Datenüberprüfung machen, die jedoch nicht beendet werden kann, weil nicht genügend Speicher vorhanden ist. Ich weiß nicht wirklich ob das zusammenhängd, da ich die Platte nicht an dem Zeitpunkt an meinem Rechner hatte, und sie erst angeschlossen hatte, nachdem ich den ganzen virenkram wieder entfernt hatte. Meist ladet mein Rechner (vista) dann nicht mehr und der explorer stürzt ab, was bei 4gb Ram und 4x 2.5ghz ungewöhnlich ist. Auch mein Laptop (XP) hat öfters explorer.exe abstürtze. Leider weiß ich NICHT genau, ob es was damit zu tun hat, dass ich die Externe Platte daran angeschlossen habe, meine Schwester mit ihm irgendnen scheiß angestellt hatte, oder er einfach nur zu heiß war, was auch dazu führt, dass er ein bisschen rumhängt.

Windows Defender selbst hat nichts geloescht, nur meinem AV geholfen, d.H. ich hatte beide an, und die Dateien die AV nicht gefunden hat, hat Def dann gefunden und wurden dann von AV in quarantäne geschoben und gelöscht.

Langsam bin ich am verzweifeln, ob das jetzt alles ein Virus ist oder ich nur wegen dem Virenvorfall alles strenger sehe. Daher bin ich mir auch nicht sicher, ob mein PC jetzt etwas länger braucht um hochzufahren und die Programme zu starten, oder es schon immer war. Vielleicht dauert es auch länger und es liegt einfach daran, dass AV gestartet wird...

Wenn irgendwer noch ein paar Ideen hat, o.ä. [(wie zb. Tricks um nachzugucken um was es sich handelt (z.b. um Vire oder Festplatte putt)] kann ja gerne noch etwas dazu schreiben.

Vielleicht ist es ernennenswert, dass ich meine Festplatte (intern) in ungefähr 5 Partitionen partitioniert habe. Falls ich formatiere, formatiere ich auch immer nur C.
Jedoch ist mein PC dann trotzdem nicht so schnell, als ich ihn damals kaufte :D

BTW. Mein Windows Live meldet sich in letzter Zeit öfters ab und wenn ich ein Spiel spiele, dass dann nach mehreren Stunden abstürzt ist auf meinem Desktop plötzlich ein herrangesoomtes, ausgeschnittenes Taskmanager mit dem Tab Prozess. Finde es irgendwie komisch.

Ops, sry.
Hab wohl vergessen den Post hier abzuschicken.
Naja glücklicherweise musste ich es nicht neuschreiben und sorry für die Verspätung.

Hi,

bevor ich hier groß Anfang etwas zu suchen, würd ich halt gerne wissen was auf dem Rechner gewesen ist.

Deine Platte könnte sehr wohl infiziert sein, woher weißt du so genau, dass all die Befälle nur von dem Besuch der Seite stammen? Du hättest auch schon früher dir etwas einfangen können, was NOD eben nicht gesehen hat, sondern nur Antivir.

Ich benutze die beiden Programme derzeit nicht, aber bei Antivir sollte man die Logs unter "Berichte" im Programm selbst einsehen können.
NOD wird die Berichte, falls noch vorhanden wahrscheinlich im Ordner C:\Programme\Eset oder NOD abgespeichert haben oder im Ordner C:\Users\benutzername\AppData\Roaming\NOD oder Eset finden.

Die sicherste Variante wird immer das korrekte formatieren und neuaufsetzen aber solange man nicht weiß was auf dem Rechner war, lässt sich schlecht sagen wie sicher das Bereinigen ist oder war.
lg myrtille

schlechte karten, beides ist nicht mehr vorhanden.
Btw. auf meine externe festplatte kann ich auch nur noch mit Vista zugreifen. Hab irgendwo gelesen, dass es sein könnte, dass sich eine vire in denn bootsektor der platte eingenistet hat, kann das sein? Und wenn ja, vlt. ist diese ja auch noch auf meinem Rechner vorhanden... ;)

Und gibt es keine Programme zum kontrollieren? vielleicht ist ja auch alles sauber :(

Hi,

es wäre halt sehr viel einfacher zu überprüfen was auf deinem Rechner abgeht, wenn man zumindest mal wüsste, was mal drauf war.
MBAM zeigt reste von ProRat an, das heißt jemand hatte komplett Zugriff auf deinen Rehcner und kann da an sich alles verändert haben wie er lustig ist.
Wenn die Logs nicht mehr da sind, dann kann man nicht überprüfen ob das Tool komplett installiert war oder nicht und da würd ich auf jedenfall für Neuaufsetzen plädieren.

Wir können ne allgemeine Analyse machen, aber ne Garantie das danach alles sauber ist, gibts nicht.

@Bootsektor
Solange du nicht von der Platte bootest ist es eigentlich nicht iwrklich wichtig was in dem Bootsektor steht.
Desweiteren ist es möglich, den MBR zu überschreiben mit Windowsmitteln.
Die allermeisten Antivirenprogramme (darunter auch Antivir) erkennen veränderte Bootsektoren und überprüfen die Sektoren auch ebi einem kompletten Systemcheck, wenn diese nichts medlet, biste wahrscheinlich nicht davon betroffen.

Lade Random's System Information Tool (RSIT) von random/random herunter,
speichere es auf Deinem Desktop.
Starte mit Doppelklick die RSIT.exe.
Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro für HJT akzeptieren I accept.
Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

Blacklight scannen lassen

* Lade F-Secure Blacklight runter in einen eigenen Ordner, z.B. C:\programme\blacklight. Sollte der Download nicht klappen, dann probiere es mit diesem Link.
* Starte in diesem Ordner blbeta.exe. Alle anderen Programme schließen.
* Klick "I accept the agreement", "next", "Scan".
* Wenn der Scan fertig ist beende Blacklight mit "Close".
* Im Verzeichnis von Blacklight findest Du das erstellte Log fsbl-XXX.log, anstelle der XXX steht eine längere Folge von Ziffern.

Sophos scannen lassen

* Gehe zu Sophos und lade dir ihren Rootkitescanner herunter. Du bekommst eine Installationsdatei sarsfx.exe.
* Starte diese, akzeptiere die Lizenz und lass das Programm installieren, ändere den Pfad C:\SOPHTEMP nicht.
* Gehe mit dem Explorer in diesen Ordner und starte sargui.exe, schließe danach alle anderen Programme.
* Lass unter Area alles angehalt und starte den Scan mit "Start scan". Der Scan dauert einige Zeit, wenn er fertig ist poppt ein Fenster auf mit einer Zusammenfassung, klicke dort "Ok". Beende den Sophos Rootkitscanner, dieser Scan dient nur der Analyse.
* Starte den Explorer und gib in der Adresszeile "%temp%" ein (ohne Anführungsstriche), dort gibt es eine Datei sarscan.log, deren Inhalt bitte posten.

Gmer scannen lassen

Lade dir Gmer von dieser Seite runter und entpacke es auf deinen Desktop.

Starte gmer.exe und gehe zum Tab Rootkit. Alle anderen Programme sollen geschlossen sein.

Stelle sicher, daß in der Leiste rechts alles von "System" bis "ADS" angehakt ist
(Wichtig: "Show all" darf nicht angehakt sein)

Starte den Durchlauf mit "Scan".

Mache nichts am Computer während der Scan läuft.

Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.

Füge das Log aus der Zwischenablage in deine Antwort hier ein.

Registry Search

Mit diesem kleinen Programm kann man die Registrierung nach verschiedenen Schlüsseln bzw. Einträgen durchsuchen.

Hier das Programm herunterladen -> RegSearch by Bobbi Flekman
Das Archiv entpacken und die regsearch.exe mit einem doppelklick starten.
Danach in die weißen Felder (Search String) Folgendes eingeben:

Code:

a75aed00-d7bf-11d1-9947-00c0cf98bbc9

http://virus-protect.org/artikel/bilder/bobby.gif

Nach dem Scan wird eine RegSearch.txt geöffnet, diesen gesamten Text abkopieren und in deinen Beitrag einfügen.

lg myrtille

Hi danke, ich werde morgen mal alle prog's durchlaufen lassen und fixxen etc.
Aber wie ich schon sagte, das ProRat war von mir :D
Hab das mal zu testzwecken geused und dann halt ne exe davon gemacht und die probiert.

Ja, dann ist wohl neuaufsetzen angesagt. :headbang:

Die Clients sind häufig genauso verseucht wie die Server, sodass man sich beim Ausprobieren und andere Leute ausspionieren selbst unwissentlich auch infiziert.

Platt machen wär die sinnvollste Lösung.

Naja aufsetzen...
Das ist so ne Sache.
Im vergangenen Jahr hab ich mein pc so ungehärt 4-6 mal neu aufgesetzt, wenn nicht mehr.
So lange wird das meine Festplatte nicht mehr mitmachen :D
Und btw. muss ich dann komplett alles formatieren?
Oder nur C ?

Wenn unter den zahlreichen Meldungen die du in letzter bekommen hast, keine war die Virut beinhaltete, dann sollte C: reichen.

Wichtig ist eigentlich vor allem, dass alle ausführbaren Dateien gelöscht werden und das Windows system formatiert wird.

Nicht sichern solltest du Dateien wie exe, com, scr, zip, rar, html und php... (um ganz sicher zu gehen)
Alles andere entweder auf eine nicht zu formatierende Platte oder CDs schreiben und neuaufsetzen.

lg myrtille

mh btw. ich hab das mal mit den scans allen gemacht, jedoch eines ist nicht vista kompatibel, dass ich dann mit dem vista-intregrierten "Ausführen mit Windows xp service pack 2" ausgeführt habe, was dazu führte, das mein pc an einem blue screen endete. Ist das normal ?

Und dann hab ich noch mit dem GM scanner ein Problem gehabt, den hatte ich seit gestern mittag an und um 12 uhr abends war er immer noch nicht fertig. Am anfang hatte er 2x 2 registry sachen gehabt, die ich bei Bedarf nochmal schnell rausscannen könnte. Den PC hatte ich angelassen, jedoch hatte mein PC am nächsten morgen vermutlich schon neugestartet oder ähnliches, da dass gm programm aus war, ohne Close gedrückt zu haben. Auch uTorrent war aus, dass ich NICHT im autostart habe, d.H. um es zu starten, ich selber auf die exe muss ;)

Wenn noch nötig könnte ich die restlichen files uploaden.

//Edit:
Btw. seit nem Jahr oder so ist es doch auch schon möglich, viren in bildern zu verstecken, diese also nicht löschen? :D

Hi,

Zitat:

Es gibt keine Garantie darauf, dass es auch funktinioniert wenn Vista sich als XP ausgibt. Kann also ein ganz normaler Fehler von MS gewesen sein und muss nicht Malware bedingt sein.

Zitat:

Und dann hab ich noch mit dem GM scanner ein Problem gehabt,

Wen meinst du mit GM?

Zitat:

Btw. seit nem Jahr oder so ist es doch auch schon möglich, viren in bildern zu verstecken, diese also nicht löschen?

Nein, man kann Dateien so preparieren, dass sie von einigen Programmen als Bilder und anderen als ausführbar erkannt werden, dass sind unterschiedliche Dinge.

Prinzipiell musst du nur bei Dateien aufpassen, die von Windows ausgeführt werden. (Oder Dateien die Schwachstellen in Windowsprogrammen ausnutzen, die Code-Ausführung erlauben).
Das wären die genannten exe, com, scr.

Bei den php und html Dateien solltest du aufpassen, weil einige Malware Webdateien um einen Link bereichern von dem aus weitere Malware heruntergeladen wird, sodass du dann mittels deiner Webpage Malware verteilen würdest.

lg myrtille

log.txt

Code:

Logfile of random's system information tool 1.05 (written by random/random)

Run by BENUTZER*** at 2009-03-19 17:36:58

Microsoft® Windows Vista™ Home Premium  Service Pack 1

System drive C: has 37 GB (24%) free of 158 GB

Total RAM: 3325 MB (57% free)
 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:37:04, on 19.03.2009

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Boot mode: Normal
 

Running processes:

C:\Windows\system32\Dwm.exe

C:\Windows\system32\taskeng.exe

C:\Windows\Explorer.EXE

D:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\Windows\System32\rundll32.exe

C:\Windows\System32\mobsync.exe

C:\Windows\System32\dfrgui.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Windows Live\Contacts\wlcomm.exe

D:\Program Files\Mozilla Firefox\firefox.exe

C:\Users\BENUTZER***\Desktop\RSIT.exe

C:\Program Files\trend micro\BENUTZER***.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O1 - Hosts: ::1 localhost

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: (no name) - {2E1C1935-59F6-3AC0-BAE4-D54BED45236C} - (no file)

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - D:\PROGRA~1\MICROS~1\Office12\GRA8E1~1.DLL

O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)

O4 - HKLM\..\Run: [avgnt] "D:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')

O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://D:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000

O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL

O13 - Gopher Prefix: 

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - D:\PROGRA~1\MICROS~1\Office12\GR99D3~1.DLL

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - D:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - D:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: DATA BECKER Update Service (DBService) - DATA BECKER GmbH & Co KG - C:\Program Files\Common Files\DATA BECKER Shared\DBService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Nero BackItUp Scheduler 4.0 - Unknown owner - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe (file missing)

O23 - Service: npkcmsvc - INCA Internet Co., Ltd. - E:\Program Files\Gravity\RO\nProtect\npkcmsvc.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
 

--

End of file - 4312 bytes
 

======Registry dump======
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}]

Adobe PDF Link Helper - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll [2008-06-11 75128]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2E1C1935-59F6-3AC0-BAE4-D54BED45236C}]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{72853161-30C5-4D22-B7F9-0BBC1D38A37E}]

Groove GFS Browser Helper - D:\PROGRA~1\MICROS~1\Office12\GRA8E1~1.DLL [2006-10-27 2210608]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}]
 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"avgnt"=D:\Program Files\Avira\AntiVir Desktop\avgnt.exe [2009-03-02 209153]
 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

"MsnMsgr"=C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe [2009-02-06 3885408]
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]

D:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe [2006-10-27 31016]
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Windows Defender]

C:\Program Files\Windows Defender\MSASCui.exe [2008-01-19 1008184]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

"{B5A7F190-DDA6-4420-B3BA-52453494E6CD}"=D:\PROGRA~1\MICROS~1\Office12\GRA8E1~1.DLL [2006-10-27 2210608]
 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]

"EnableLUA"=0

"dontdisplaylastusername"=0

"legalnoticecaption"=

"legalnoticetext"=

"shutdownwithoutlogon"=1

"undockwithoutlogon"=1

"EnableUIADesktopToggle"=0
 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]

"HideSCAVolume"=1

"HideSCABattery"=1
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b62704dc-f049-11dd-ba92-001d926d91a4}]

shell\AutoRun\command - J:\PStart.exe
 
 

======List of files/folders created in the last 1 months======
 

2009-03-19 17:36:58 ----D---- C:\Program Files\trend micro

2009-03-19 17:36:57 ----D---- C:\rsit

2009-03-19 16:48:27 ----D---- C:\Windows\system32\AGEIA

2009-03-19 16:48:17 ----D---- C:\Windows\DD1865F0AD7340FBB23E1822E02396FF.TMP

2009-03-19 16:48:15 ----D---- C:\Program Files\Common Files\Wise Installation Wizard

2009-03-19 16:46:43 ----D---- C:\NVIDIA

2009-03-19 16:03:07 ----N---- C:\Windows\system32\deleteme.txt

2009-03-19 15:47:41 ----D---- C:\Users\Benutzer ***\AppData\Roaming\ProtectDisc

2009-03-19 15:47:27 ----D---- C:\ProgramData\DATA BECKER Downloads

2009-03-19 15:46:37 ----D---- C:\Program Files\ProtectDisc Driver Installer

2009-03-19 15:46:37 ----D---- C:\Program Files\ProtectDisc

2009-03-19 15:46:35 ----D---- C:\Program Files\Common Files\DATA BECKER Shared

2009-03-19 14:52:27 ----D---- C:\ProgramData\Avira

2009-03-18 19:58:34 ----A---- C:\Windows\system32\Monitor.bak

2009-03-18 19:58:33 ----A---- C:\Windows\LMAAD2DD.ini

2009-03-18 19:34:38 ----D---- C:\ProgramData\PC Drivers HeadQuarters

2009-03-18 19:21:11 ----A---- C:\Windows\lmpcl2a.ini

2009-03-18 19:21:09 ----D---- C:\Program Files\Lexmark

2009-03-18 16:32:40 ----A---- C:\Windows\system32\msonpmon.dll

2009-03-18 16:31:14 ----D---- C:\Program Files\Microsoft Works

2009-03-18 16:30:45 ----D---- C:\Program Files\Microsoft Visual Studio

2009-03-18 16:30:45 ----D---- C:\Program Files\Common Files\DESIGNER

2009-03-18 16:28:07 ----D---- C:\Program Files\Microsoft Visual Studio 8

2009-03-16 19:12:27 ----D---- C:\ProgramData\Nokia

2009-03-16 19:11:37 ----D---- C:\Program Files\Nokia

2009-03-16 12:36:28 ----D---- C:\Users\Benutzer ***\AppData\Roaming\PC Suite

2009-03-16 12:36:20 ----D---- C:\Users\Benutzer ***\AppData\Roaming\Nokia

2009-03-16 12:36:20 ----D---- C:\ProgramData\PC Suite

2009-03-16 12:35:40 ----D---- C:\Program Files\Common Files\PCSuite

2009-03-16 12:35:36 ----D---- C:\Program Files\Common Files\Nokia

2009-03-16 12:35:30 ----D---- C:\Program Files\DIFX

2009-03-16 12:35:02 ----DC---- C:\Windows\system32\DRVSTORE

2009-03-16 12:34:51 ----D---- C:\Program Files\PC Connectivity Solution

2009-03-16 12:33:43 ----A---- C:\Windows\system32\nmwcdcls.dll

2009-03-16 12:33:19 ----D---- C:\ProgramData\Installations

2009-03-15 17:15:30 ----D---- C:\Users\Benutzer ***\AppData\Roaming\Ubisoft

2009-03-15 17:02:22 ----D---- C:\ProgramData\Ubisoft

2009-03-15 16:56:15 ----D---- C:\ProgramData\WindowsSearch

2009-03-15 12:09:18 ----D---- C:\ProgramData\Electronic Arts

2009-03-14 22:02:19 ----D---- C:\Users\Benutzer ***\AppData\Roaming\InstallShield Installation Information

2009-03-14 21:45:30 ----D---- C:\Program Files\AGEIA Technologies

2009-03-13 22:33:50 ----D---- C:\Users\Benutzer ***\AppData\Roaming\InstallShield

2009-03-13 19:52:02 ----D---- C:\UnrealTournament

2009-03-12 18:04:59 ----D---- C:\Users\Benutzer ***\AppData\Roaming\Malwarebytes

2009-03-12 18:04:55 ----D---- C:\ProgramData\Malwarebytes

2009-03-12 17:43:41 ----D---- C:\ProgramData\Google

2009-03-12 15:51:42 ----A---- C:\Windows\system32\wmploc.DLL

2009-03-12 15:51:42 ----A---- C:\Windows\system32\wmp.dll

2009-03-12 15:51:42 ----A---- C:\Windows\system32\spwmp.dll

2009-03-12 15:51:42 ----A---- C:\Windows\system32\dxmasf.dll

2009-03-12 15:51:13 ----A---- C:\Windows\system32\schannel.dll

2009-03-11 22:59:11 ----D---- C:\Users\Benutzer ***\AppData\Roaming\_0c082e07b28c744f7100756230a4f1c3

2009-03-08 22:12:10 ----D---- C:\Users\Benutzer ***\AppData\Roaming\TeamViewer

2009-03-04 20:21:11 ----D---- C:\Windows\SMALL CLIENT

2009-03-01 15:45:20 ----A---- C:\Windows\system32\perf-SQLAgent$SQLEXPRESS-sqlagtctr10.0.1600.22.dll

2009-03-01 15:45:10 ----A---- C:\Windows\system32\perf-MSSQL$SQLEXPRESS-sqlctr10.0.1600.22.dll

2009-03-01 15:44:17 ----D---- C:\Windows\system32\RsFx

2009-03-01 15:43:22 ----D---- C:\Program Files\Microsoft Visual Studio 9.0

2009-03-01 15:43:12 ----D---- C:\Windows\system32\1033

2009-03-01 15:43:12 ----D---- C:\Windows\system32\1031

2009-03-01 15:41:00 ----D---- C:\Program Files\Microsoft SQL Server

2009-03-01 15:39:00 ----D---- C:\Program Files\Microsoft.NET

2009-03-01 15:38:52 ----D---- C:\Program Files\Common Files\Merge Modules

2009-03-01 15:37:45 ----D---- C:\Program Files\Microsoft SDKs

2009-02-28 17:10:15 ----D---- C:\Users\Benutzer ***\AppData\Roaming\Notepad++

2009-02-27 17:02:25 ----D---- C:\Program Files\Common Files\INCA Shared

2009-02-27 16:39:08 ----A---- C:\Windows\IFinst27.exe

2009-02-24 21:14:29 ----A---- C:\Windows\system32\unicows.dll

2009-02-24 16:18:39 ----D---- C:\Users\Benutzer ***\AppData\Roaming\GetRightToGo

2009-02-23 23:44:24 ----A---- C:\Windows\TOOLPAL.INI

2009-02-23 23:31:36 ----A---- C:\Windows\uninst.exe

2009-02-23 23:18:32 ----D---- C:\Program Files\Microsoft Silverlight

2009-02-21 14:01:47 ----D---- C:\Program Files\Windows Live Safety Center

2009-02-21 13:09:16 ----A---- C:\Windows\system32\DATA.INI

2009-02-20 21:36:26 ----D---- C:\Program Files\Microsoft

2009-02-20 21:21:16 ----D---- C:\Program Files\Common Files\Windows Live
 

======List of files/folders modified in the last 1 months======
 

2009-03-19 17:37:04 ----D---- C:\Windows\Prefetch

2009-03-19 17:36:58 ----RD---- C:\Program Files

2009-03-19 17:02:23 ----D---- C:\Windows\System32

2009-03-19 17:02:23 ----D---- C:\Windows\inf

2009-03-19 17:02:23 ----A---- C:\Windows\system32\PerfStringBackup.INI

2009-03-19 16:57:31 ----D---- C:\Windows\Temp

2009-03-19 16:55:57 ----D---- C:\Users\Benutzer ***\AppData\Roaming\uTorrent

2009-03-19 16:55:50 ----SHD---- C:\Boot

2009-03-19 16:55:50 ----D---- C:\Windows\system32\config

2009-03-19 16:51:04 ----D---- C:\Windows

2009-03-19 16:50:26 ----D---- C:\ProgramData\NVIDIA

2009-03-19 16:48:32 ----SHD---- C:\Windows\Installer

2009-03-19 16:48:15 ----D---- C:\Program Files\Common Files

2009-03-19 16:47:41 ----D---- C:\Windows\system32\drivers

2009-03-19 16:47:31 ----D---- C:\Windows\system32\catroot

2009-03-19 16:47:30 ----D---- C:\Windows\system32\catroot2

2009-03-19 16:47:25 ----SHD---- C:\System Volume Information

2009-03-19 16:05:40 ----D---- C:\Windows\Debug

2009-03-19 15:47:27 ----HD---- C:\ProgramData

2009-03-19 15:47:21 ----D---- C:\Windows\system32\Tasks

2009-03-18 23:07:46 ----D---- C:\ProgramData\Microsoft Help

2009-03-18 23:04:40 ----RSD---- C:\Windows\assembly

2009-03-18 21:25:43 ----SD---- C:\Users\Benutzer ***\AppData\Roaming\Microsoft

2009-03-18 21:20:56 ----HD---- C:\Program Files\InstallShield Installation Information

2009-03-18 19:36:25 ----D---- C:\Windows\Microsoft.NET

2009-03-18 16:32:59 ----D---- C:\Windows\winsxs

2009-03-18 16:31:08 ----D---- C:\Program Files\Common Files\microsoft shared

2009-03-18 16:31:02 ----D---- C:\Program Files\MSBuild

2009-03-18 16:30:43 ----D---- C:\Windows\ShellNew

2009-03-18 16:30:26 ----RSD---- C:\Windows\Fonts

2009-03-18 16:30:14 ----SD---- C:\ProgramData\Microsoft

2009-03-18 16:27:43 ----A---- C:\Windows\win.ini

2009-03-18 16:27:42 ----D---- C:\Program Files\Common Files\System

2009-03-13 13:03:40 ----D---- C:\Program Files\Windows Media Player

2009-03-13 13:03:40 ----D---- C:\Program Files\Windows Mail

2009-03-12 18:00:14 ----D---- C:\Windows\Minidump

2009-03-12 17:43:41 ----D---- C:\Program Files\Google

2009-03-12 17:43:40 ----D---- C:\Windows\Tasks

2009-03-12 17:31:47 ----D---- C:\Program Files\Common Files\Adobe

2009-03-12 17:31:17 ----D---- C:\Users\Benutzer ***\AppData\Roaming\Adobe

2009-03-12 17:30:35 ----D---- C:\ProgramData\Adobe

2009-03-12 15:43:37 ----SHD---- C:\RECYCLER

2009-03-12 15:43:36 ----D---- C:\Windows\system32\wbem

2009-03-12 15:42:51 ----D---- C:\Windows\system32\spool

2009-03-12 15:42:51 ----D---- C:\Windows\system32\Msdtc

2009-03-12 15:42:49 ----D---- C:\Windows\registration

2009-02-26 22:43:41 ----A---- C:\Windows\WpePro_0delay.INI

2009-02-26 22:24:43 ----A---- C:\Windows\WPE PRO - modified.INI

2009-02-25 12:55:00 ----A---- C:\Windows\system32\mrt.exe

2009-02-23 12:46:27 ----D---- C:\Program Files\Common Files\Nero

2009-02-23 12:46:08 ----D---- C:\ProgramData\Nero

2009-02-23 12:32:21 ----A---- C:\Windows\Irremote.ini

2009-02-23 12:17:49 ----D---- C:\Users\Benutzer ***\AppData\Roaming\Dev-Cpp

2009-02-21 12:21:48 ----D---- C:\ProgramData\Messenger Plus!

2009-02-20 21:36:21 ----D---- C:\Program Files\Windows Live
 

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
 

R1 avgio;avgio; \??\D:\Program Files\Avira\AntiVir Desktop\avgio.sys [2009-02-13 11608]

R1 avipbb;avipbb; C:\Windows\system32\DRIVERS\avipbb.sys [2009-02-13 95576]

R1 ssmdrv;ssmdrv; C:\Windows\system32\DRIVERS\ssmdrv.sys [2009-02-13 28376]

R2 acedrv11;acedrv11; \??\C:\Windows\system32\drivers\acedrv11.sys [2009-01-19 277544]

R2 avgntflt;avgntflt; C:\Windows\system32\DRIVERS\avgntflt.sys [2009-02-13 55640]

R3 e1express;Intel(R) PRO/1000 PCI Express Network Connection Driver; C:\Windows\system32\DRIVERS\e1e6032.sys [2008-09-26 215680]

R3 HdAudAddService;Microsoft 1.1 UAA-Funktionstreiber für High Definition Audio-Dienst; C:\Windows\system32\drivers\HdAudio.sys [2006-11-02 235520]

R3 KMWDFILTER;HIDUASDesc; C:\Windows\system32\DRIVERS\KMWDFILTER.sys [2008-10-09 17408]

R3 nvlddmkm;nvlddmkm; C:\Windows\system32\DRIVERS\nvlddmkm.sys [2009-02-18 7765504]

R3 WUDFRd;WUDFRd; C:\Windows\system32\DRIVERS\WUDFRd.sys [2008-01-19 83328]

S2 adfs;adfs; C:\Windows\system32\drivers\adfs.sys []

S3 BthEnum;Bluetooth-Anforderungsblocktreiber; C:\Windows\system32\DRIVERS\BthEnum.sys [2009-01-04 19456]

S3 BthPan;Bluetooth-Gerät (PAN); C:\Windows\system32\DRIVERS\bthpan.sys [2008-01-19 92160]

S3 BTHPORT;Bluetooth-Porttreiber; C:\Windows\System32\Drivers\BTHport.sys [2009-01-04 220160]

S3 BTHUSB;USB-Treiber für Bluetooth-Funkgerät; C:\Windows\System32\Drivers\BTHUSB.sys [2009-01-04 29184]

S3 drmkaud;Microsoft Kernel-DRM-Audioentschlüsselung; C:\Windows\system32\drivers\drmkaud.sys [2008-01-19 5632]

S3 EagleNT;EagleNT; \??\C:\Windows\system32\drivers\EagleNT.sys []

S3 FETNDIS;VIA Rhine-Familie--Fast-Ethernet-Adaptertreiberdienst; C:\Windows\system32\DRIVERS\fetnd5.sys [2006-11-02 45568]

S3 MSKSSRV;Microsoft Streaming Service Proxy; C:\Windows\system32\drivers\MSKSSRV.sys [2008-01-19 8192]

S3 MSPCLOCK;Microsoft Proxy für Streaming Clock; C:\Windows\system32\drivers\MSPCLOCK.sys [2008-01-19 5888]

S3 MSPQM;Microsoft Proxy für Streaming Quality Manager; C:\Windows\system32\drivers\MSPQM.sys [2008-01-19 5504]

S3 MSTEE;Microsoft Streaming Tee/Sink-to-Sink-Konvertierung; C:\Windows\system32\drivers\MSTEE.sys [2008-01-19 6016]

S3 NAL;Nal Service ; \??\C:\Windows\system32\Drivers\iqvw32.sys [2008-10-07 30816]

S3 npkcrypt;npkcrypt; \??\E:\Program Files\Gravity\RO - Kopie (2)\npkcrypt.sys [2005-02-01 21442]

S3 pccsmcfd;PCCS Mode Change Filter Driver; C:\Windows\system32\DRIVERS\pccsmcfd.sys [2008-08-26 18816]

S3 R300;R300; C:\Windows\system32\DRIVERS\atikmdag.sys [2006-11-02 2028032]

S3 RFCOMM;Bluetooth-Gerät (RFCOMM-Protokoll-TDI); C:\Windows\system32\DRIVERS\rfcomm.sys [2008-01-19 49664]

S3 usbaudio;USB-Audiotreiber (WDM); C:\Windows\system32\drivers\usbaudio.sys [2008-01-19 73088]

S4 RsFx0102;RsFx0102 Driver; C:\Windows\system32\DRIVERS\RsFx0102.sys [2008-07-10 242712]

S4 WmiAcpi;Microsoft Windows Management Interface for ACPI; C:\Windows\system32\drivers\wmiacpi.sys [2006-11-02 11264]
 

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
 

R2 AntiVirSchedulerService;Avira AntiVir Planer; D:\Program Files\Avira\AntiVir Desktop\sched.exe [2009-03-05 108289]

R2 AntiVirService;Avira AntiVir Guard; D:\Program Files\Avira\AntiVir Desktop\avguard.exe [2009-03-02 185089]

R2 BthServ;@%SystemRoot%\System32\bthserv.dll,-101; C:\Windows\system32\svchost.exe [2008-01-19 21504]

R2 DBService;DATA BECKER Update Service; C:\Program Files\Common Files\DATA BECKER Shared\DBService.exe [2009-01-08 187456]

R2 MSSQL$SQLEXPRESS;SQL Server (SQLEXPRESS); C:\Program Files\Microsoft SQL Server\MSSQL10.SQLEXPRESS\MSSQL\Binn\sqlservr.exe [2008-07-11 40999448]

R2 npkcmsvc;npkcmsvc; E:\Program Files\Gravity\RO\nProtect\npkcmsvc.exe [2009-02-27 88728]

R2 nvsvc;NVIDIA Display Driver Service; C:\Windows\system32\nvvsvc.exe [2009-02-18 207392]

R2 SQLWriter;SQL Server VSS Writer; C:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe [2008-07-10 98840]

S2 Nero BackItUp Scheduler 4.0;Nero BackItUp Scheduler 4.0; C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe []

S3 IDriverT;InstallDriver Table Manager; C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe [2005-04-04 69632]

S3 Microsoft Office Groove Audit Service;Microsoft Office Groove Audit Service; D:\Program Files\Microsoft Office\Office12\GrooveAuditService.exe [2006-10-27 65824]

S3 odserv;Microsoft Office Diagnostics Service; C:\Program Files\Common Files\Microsoft Shared\OFFICE12\ODSERV.EXE [2006-10-26 441136]

S3 ose;Office Source Engine; C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE [2006-10-26 145184]

S3 ServiceLayer;ServiceLayer; C:\Program Files\PC Connectivity Solution\ServiceLayer.exe [2008-11-11 620544]

S3 usprserv;User Privilege Service; C:\Windows\System32\svchost.exe [2008-01-19 21504]

S4 MSSQLServerADHelper100;SQL Server Hilfsdienst für Active Directory; C:\Program Files\Microsoft SQL Server\100\Shared\SQLADHLP.EXE [2008-07-11 47128]

S4 PnkBstrA;PnkBstrA; C:\Windows\system32\PnkBstrA.exe [2009-02-02 66872]

S4 SQLAgent$SQLEXPRESS;SQL Server-Agent (SQLEXPRESS); C:\Program Files\Microsoft SQL Server\MSSQL10.SQLEXPRESS\MSSQL\Binn\SQLAGENT.EXE [2008-07-11 369688]

S4 SQLBrowser;SQL Server Browser; C:\Program Files\Microsoft SQL Server\90\Shared\sqlbrowser.exe [2008-07-10 258072]
 

-----------------EOF-----------------

fsbl-20090319170219.log:

Code:

03/19/09 18:02:19 [Info]: BlackLight Engine 1.0.67 initialized

03/19/09 18:02:19 [Info]: OS: 6.0 build 6001 (Service Pack 1)

03/19/09 18:02:19 [Note]: 7019 4

03/19/09 18:02:19 [Note]: 7005 0

03/19/09 18:02:37 [Note]: 7006 0

03/19/09 18:02:37 [Note]: 7027 0

03/19/09 18:02:37 [Note]: 7026 0

03/19/09 18:02:37 [Note]: 7026 0

03/19/09 18:02:39 [Note]: FSRAW library version 1.7.1024

03/19/09 18:02:45 [Note]: 4015 414697

03/19/09 18:02:45 [Note]: 4027 414697 65536

03/19/09 18:02:45 [Note]: 4020 414696 65536

03/19/09 18:02:45 [Note]: 4022 414696

03/19/09 18:02:58 [Note]: 4015 28649

03/19/09 18:02:58 [Note]: 4027 28649 131072

03/19/09 18:02:58 [Note]: 4020 27419 262144

03/19/09 18:02:58 [Note]: 4018 27419 262144

03/19/09 18:05:22 [Note]: 4015 1991

03/19/09 18:05:22 [Note]: 4027 1991 131072

03/19/09 18:05:22 [Note]: 4020 1990 196608

03/19/09 18:05:22 [Note]: 4018 1990 196608

03/19/09 18:05:22 [Note]: 4015 1992

03/19/09 18:05:22 [Note]: 4027 1992 131072

03/19/09 18:05:22 [Note]: 4020 1991 131072

03/19/09 18:05:22 [Note]: 4018 1991 131072

03/19/09 18:05:23 [Note]: 4015 1991

03/19/09 18:05:23 [Note]: 4027 1991 131072

03/19/09 18:05:23 [Note]: 4020 1990 196608

03/19/09 18:05:23 [Note]: 4018 1990 196608

03/19/09 18:05:40 [Note]: 7007 0

rsit:
info.txt

Code:

info.txt logfile of random's system information tool 1.05 2009-03-19 17:37:05
 

======Uninstall list======
 

-->D:\Program Files\DivX\DivXConverterUninstall.exe /CONVERTER

-->MsiExec /X{DD1865F0-AD73-40FB-B23E-1822E02396FF}

Adobe Flash Player 10 Plugin-->C:\Windows\system32\Macromed\Flash\uninstall_plugin.exe

Adobe Flash Player ActiveX-->C:\Windows\system32\Macromed\Flash\uninstall_activeX.exe

Adobe Reader 9 - Deutsch-->MsiExec.exe /I{AC76BA86-7AD7-1031-7B44-A90000000001}

Assassin's Creed-->C:\Program Files\InstallShield Installation Information\{8CFA9151-6404-409A-AF22-4632D04582FD}\setup.exe -runfromtemp -l0x0007 -removeonly

Avira AntiVir Personal - Free Antivirus-->D:\Program Files\Avira\AntiVir Desktop\setup.exe /REMOVE

Choice Guard-->MsiExec.exe /I{8FFC5648-FAF8-43A3-BC8F-42BA1E275C4E}

DATA BECKER TVISTA - Tuning Vista 3.0-->"D:\Program Files\DATA BECKER\TVISTA - Tuning Vista 3.0\unins000.exe"

Der Herr der Ringe® - Die Eroberung™-->MsiExec.exe /X{628C3D50-F524-4C49-A958-672CE7953756}

DivX Codec-->D:\Program Files\DivX\DivXCodecUninstall.exe /CODEC

DivX Converter-->D:\Program Files\DivX\DivXConverterUninstall.exe /CONVERTER

DivX Player-->D:\Program Files\DivX\DivXPlayerUninstall.exe /PLAYER

DivX Plus DirectShow Filters-->D:\Program Files\DivX\DivXDSFiltersUninstall.exe /DSFILTERS

DivX Web Player-->D:\Program Files\DivX\DivXWebPlayerUninstall.exe /PLUGIN

eAthena Custom Itemscript Creator-->D:\Program Files\eAthena Custom Itemscript Creator\Uninstal.exe

FeelRO Client Healer-->MsiExec.exe /I{0CCD0C31-8D64-40C3-B71E-C499AFA86A87}

HijackThis 2.0.2-->"C:\Program Files\trend micro\HijackThis.exe" /uninstall

Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall  /qb+ REBOOTPROMPT=""

Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall {A7EEA2F2-BFCD-4A54-A575-7B81A786E658} /qb+ REBOOTPROMPT=""

Hotfix für Microsoft Visual C++ 2008 Express Edition mit SP1 - DEU (KB945282)-->C:\Windows\system32\msiexec.exe /package {D5A7D7AB-3093-3619-9261-74DB250ECF7B} /uninstall  /qb+ REBOOTPROMPT=""

Hotfix für Microsoft Visual C++ 2008 Express Edition mit SP1 - DEU (KB946040)-->C:\Windows\system32\msiexec.exe /package {D5A7D7AB-3093-3619-9261-74DB250ECF7B} /uninstall  /qb+ REBOOTPROMPT=""

Hotfix für Microsoft Visual C++ 2008 Express Edition mit SP1 - DEU (KB946308)-->C:\Windows\system32\msiexec.exe /package {D5A7D7AB-3093-3619-9261-74DB250ECF7B} /uninstall  /qb+ REBOOTPROMPT=""

Hotfix für Microsoft Visual C++ 2008 Express Edition mit SP1 - DEU (KB947540)-->C:\Windows\system32\msiexec.exe /package {D5A7D7AB-3093-3619-9261-74DB250ECF7B} /uninstall  /qb+ REBOOTPROMPT=""

Hotfix für Microsoft Visual C++ 2008 Express Edition mit SP1 - DEU (KB947789)-->C:\Windows\system32\msiexec.exe /package {D5A7D7AB-3093-3619-9261-74DB250ECF7B} /uninstall  /qb+ REBOOTPROMPT=""

Hotfix für Microsoft Visual C++ 2008 Express Edition mit SP1 - DEU (KB948127)-->C:\Windows\system32\msiexec.exe /package {D5A7D7AB-3093-3619-9261-74DB250ECF7B} /uninstall  /qb+ REBOOTPROMPT=""

Intel(R) Network Connections 13.4.22.0-->MsiExec.exe /i{999104C6-AC4B-43D3-B8E2-125C0EEA9A71} ARPREMOVE=1

Intel(R) Network Connections 13.4.22.0-->MsiExec.exe /i{999104C6-AC4B-43D3-B8E2-125C0EEA9A71} ARPREMOVE=1

Lexmark Printer Software Uninstall-->C:\Program Files\Lexmark\Install\uninstall.exe

Messenger Plus! Live-->"D:\Program Files\Messenger Plus! Live\Uninstall.exe"

Microsoft .NET Framework 3.5 Language Pack SP1 - DEU-->C:\Windows\Microsoft.NET\Framework\v3.5\Microsoft .NET Framework 3.5 Language Pack SP1 - deu\setup.exe

Microsoft .NET Framework 3.5 Language Pack SP1 - deu-->MsiExec.exe /I{052FDD78-A6EA-3187-8386-C82F4CA3A929}

Microsoft .NET Framework 3.5 SP1-->C:\Windows\Microsoft.NET\Framework\v3.5\Microsoft .NET Framework 3.5 SP1\setup.exe

Microsoft .NET Framework 3.5 SP1-->MsiExec.exe /I{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}

Microsoft Office Access MUI (German) 2007-->MsiExec.exe /X{90120000-0015-0407-0000-0000000FF1CE}

Microsoft Office Enterprise 2007-->"C:\Program Files\Common Files\Microsoft Shared\OFFICE12\Office Setup Controller\setup.exe" /uninstall ENTERPRISE /dll OSETUP.DLL

Microsoft Office Enterprise 2007-->MsiExec.exe /X{90120000-0030-0000-0000-0000000FF1CE}

Microsoft Office Excel MUI (German) 2007-->MsiExec.exe /X{90120000-0016-0407-0000-0000000FF1CE}

Microsoft Office Groove MUI (German) 2007-->MsiExec.exe /X{90120000-00BA-0407-0000-0000000FF1CE}

Microsoft Office InfoPath MUI (German) 2007-->MsiExec.exe /X{90120000-0044-0407-0000-0000000FF1CE}

Microsoft Office OneNote MUI (German) 2007-->MsiExec.exe /X{90120000-00A1-0407-0000-0000000FF1CE}

Microsoft Office Outlook MUI (German) 2007-->MsiExec.exe /X{90120000-001A-0407-0000-0000000FF1CE}

Microsoft Office PowerPoint MUI (German) 2007-->MsiExec.exe /X{90120000-0018-0407-0000-0000000FF1CE}

Microsoft Office Proof (English) 2007-->MsiExec.exe /X{90120000-001F-0409-0000-0000000FF1CE}

Microsoft Office Proof (French) 2007-->MsiExec.exe /X{90120000-001F-040C-0000-0000000FF1CE}

Microsoft Office Proof (German) 2007-->MsiExec.exe /X{90120000-001F-0407-0000-0000000FF1CE}

Microsoft Office Proof (Italian) 2007-->MsiExec.exe /X{90120000-001F-0410-0000-0000000FF1CE}

Microsoft Office Proofing (German) 2007-->MsiExec.exe /X{90120000-002C-0407-0000-0000000FF1CE}

Microsoft Office Publisher MUI (German) 2007-->MsiExec.exe /X{90120000-0019-0407-0000-0000000FF1CE}

Microsoft Office Shared MUI (German) 2007-->MsiExec.exe /X{90120000-006E-0407-0000-0000000FF1CE}

Microsoft Office Word MUI (German) 2007-->MsiExec.exe /X{90120000-001B-0407-0000-0000000FF1CE}

Microsoft Silverlight-->MsiExec.exe /X{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}

Microsoft SQL Server 2008 Common Files-->MsiExec.exe /I{4A6F34E2-09E5-4616-B227-4A26A488A6F9}

Microsoft SQL Server 2008 Common Files-->MsiExec.exe /I{FF6F95A4-E59B-45C8-BEA8-0BDC8D9CAB51}

Microsoft SQL Server 2008 Database Engine Services-->MsiExec.exe /I{5BD39911-A12F-4562-98BA-A6E03E3370B1}

Microsoft SQL Server 2008 Database Engine Services-->MsiExec.exe /I{B5153233-9AEE-4CD4-9D2C-4FAAC870DBE2}

Microsoft SQL Server 2008 Database Engine Shared-->MsiExec.exe /I{477415F5-93DA-46AA-85C5-640047825995}

Microsoft SQL Server 2008 Database Engine Shared-->MsiExec.exe /I{F3494AB6-6900-41C6-AF57-823626827ED8}

Microsoft SQL Server 2008 Management Objects-->MsiExec.exe /I{F5E87B12-3C27-452F-8E78-21D42164FD83}

Microsoft SQL Server 2008 Native Client-->MsiExec.exe /I{C91C4EF4-63E1-41EE-AE6A-5152628FDC21}

Microsoft SQL Server 2008 RsFx Driver-->MsiExec.exe /I{F1DC7648-8623-442F-92B7-E118DF61872E}

Microsoft SQL Server 2008 Setup Support Files (English)-->MsiExec.exe /X{30355ED7-DE49-4C8D-BE23-2161D36E8A9A}

Microsoft SQL Server 2008-->"C:\Program Files\Microsoft SQL Server\100\Setup Bootstrap\Release\x86\SetupARP.exe" /x86 

Microsoft SQL Server 2008-->"C:\Program Files\Microsoft SQL Server\100\Setup Bootstrap\Release\x86\SetupARP.exe" /X86 

Microsoft SQL Server 2008-Browser-->MsiExec.exe /X{4AF2248C-B3DF-46FB-9596-87F5DB193689}

Microsoft SQL Server VSS Writer-->MsiExec.exe /I{D074DC76-F6C9-440E-A1D0-1DE958417FDB}

Microsoft Visual C++ 2005 Redistributable-->MsiExec.exe /X{7299052b-02a4-4627-81f2-1818da5d550d}

Microsoft Visual C++ 2008 Express Edition mit SP1 - DEU-->D:\Program Files\Microsoft Visual Studio 9.0\Microsoft Visual C++ 2008 Express Edition with SP1 - DEU\setup.exe

Microsoft Visual C++ 2008 Express Edition with SP1 - DEU-->MsiExec.exe /X{D5A7D7AB-3093-3619-9261-74DB250ECF7B}

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17-->MsiExec.exe /X{9A25302D-30C0-39D9-BD6F-21E6EC160475}

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729-->MsiExec.exe /X{3C3D696B-0DB7-3C6D-A356-3DB8CE541918}

Microsoft Windows SDK for Visual Studio 2008 Headers and Libraries-->MsiExec.exe /X{842FAF7C-50EF-4463-9B8F-6222E1384D7D}

Microsoft Windows SDK for Visual Studio 2008 SP1 Express Tools for .NET Framework - deu-->MsiExec.exe /X{0E592C31-09EF-3CA1-A7DE-05D13DFCF791}

Microsoft Windows SDK for Visual Studio 2008 SP1 Express Tools for Win32-->MsiExec.exe /X{044F9133-B8D7-4d11-BF39-803FA20F5C8B}

Mirror's Edge™-->MsiExec.exe /X{AEDBD563-24BB-4EE3-8366-A654DAC2D988}

Mozilla Firefox (3.0.7)-->D:\Program Files\Mozilla Firefox\uninstall\helper.exe

MSVC80_x86-->MsiExec.exe /I{212748BB-0DA5-46DE-82A1-403736DC9F27}

MSVCRT-->MsiExec.exe /I{22B775E7-6C42-4FC5-8E10-9A5E3257BD94}

MSXML 4.0 SP2 (KB954430)-->MsiExec.exe /I{86493ADD-824D-4B8E-BD72-8C5DCDC52A71}

neroxml-->MsiExec.exe /I{56C049BE-79E9-4502-BEA7-9754A3E60F9B}

Nokia Connectivity Cable Driver-->MsiExec.exe /X{15AC0C5D-A6FB-4CE2-8CD0-28179EEB5625}

Nokia Flashing Cable Driver-->MsiExec.exe /X{D99C322D-C21B-40C7-AE71-EE51AA096B6E}

Nokia PC Suite-->C:\ProgramData\Installations\{58FB2F9A-5F2D-40E8-82DF-4987E60AD8BD}\Nokia_PC_Suite_7_1_18_0_ger_web.exe

Nokia PC Suite-->MsiExec.exe /I{58FB2F9A-5F2D-40E8-82DF-4987E60AD8BD}

Nokia Software Updater-->MsiExec.exe /X{EF4F620F-F295-41D7-92C0-6B635709C850}

Notepad++-->D:\Program Files\Notepad++\uninstall.exe

NVIDIA Drivers-->C:\Windows\system32\nvuninst.exe UninstallGUI

NVIDIA PhysX v8.10.17-->MsiExec.exe /X{E4D15328-8C89-484B-B9AA-F5BE9EA6D01C}

NVIDIA PhysX-->MsiExec.exe /X{DD1865F0-AD73-40FB-B23E-1822E02396FF}

PC Connectivity Solution-->MsiExec.exe /I{D848D140-41C3-4A53-86D8-E866A100B4CD}

Protect Disc License Helper 1.0.118-->C:\Program Files\ProtectDisc\License Helper\uninst.exe

ProtectDisc Driver, Version 11-->C:\Program Files\ProtectDisc Driver Installer\uninstall_v11.exe

Ragnarok Online-->"C:\Windows\IFinst27.exe" -UE:\Program Files\Gravity\RO\IFUDF0.inf

Ragnarok Sakray-->"C:\Windows\IFinst27.exe" -UE:\Program Files\Gravity\RO\IFU63CC.inf

Security Update for 2007 Microsoft Office System (KB951550)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {B243E9A5-ED77-4F1B-B338-2486FD82DC85}

Security Update for 2007 Microsoft Office System (KB951944)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {797AE457-BA17-4BBC-B501-25FB3A0103C7}

Security Update for 2007 Microsoft Office System (KB958439)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {6491B8AA-D11C-4648-A461-6234B31EB7E2}

Security Update for Microsoft Office Excel 2007 (KB958437)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {648FC016-2D6B-4A16-8D87-404533642F4B}

Security Update for Microsoft Office OneNote 2007 (KB950130)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {F1B2401C-B610-4BF2-AA1C-52C55827A8F4}

Security Update for Microsoft Office PowerPoint 2007 (KB951338)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {558B709B-821B-4FC5-90FC-9A8890641E77}

Security Update for Microsoft Office Publisher 2007 (KB950114)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {F9C3CDBA-1F00-4D4D-959D-75C9D3ACDD85}

Security Update for Microsoft Office system 2007 (KB954326)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {5F7F6FFF-395D-480E-8450-64F385D82C5F}

Security Update for Microsoft Office system 2007 (KB956828)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {885E081B-72BD-4E76-8E98-30B4BE468FAC}

Security Update for Microsoft Office Word 2007 (KB956358)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {4551666D-0FD6-4C69-8A81-1C6F2E64517C}

Security Update for Outlook 2007 (KB946983)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {66B9496E-C0C3-4065-9868-85CCA92126C3}

Sql Server Customer Experience Improvement Program-->MsiExec.exe /I{C965F01C-76EA-4BD7-973E-46236AE312D7}

SQL Server System CLR Types-->MsiExec.exe /I{342D4AD7-EC4C-4EC8-AEA6-E70F5905A490}

Unreal Tournament 3-->MsiExec.exe /X{BFA90209-7AFF-4DB6-8E4B-E57305751AD7}

Update for Office 2007 (KB934391)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {B3091818-7C56-4C45-BE7D-CA23027A5EA5}

Update for Office 2007 (KB946691)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {A420F522-7395-4872-9882-C591B4B92278}

Update for Outlook 2007 Junk Email Filter (kb962871)-->msiexec /package {90120000-0030-0000-0000-0000000FF1CE} /uninstall {297857BF-4011-449B-BD74-DB64D182821C}

VC80CRTRedist - 8.0.50727.762-->MsiExec.exe /I{767CC44C-9BBC-438D-BAD3-FD4595DD148B}

WarRock-->C:\Program Files\InstallShield Installation Information\{00D15456-F679-4AD4-8BD2-56450D4C3F72}\setup.exe -runfromtemp -l0x0009 -removeonly

Windows Live Call-->MsiExec.exe /I{5FC68772-6D56-41C6-9DF1-24E868198AE6}

Windows Live Communications Platform-->MsiExec.exe /I{3B4E636E-9D65-4D67-BA61-189800823F52}

Windows Live Essentials-->C:\Program Files\Windows Live\Installer\wlarp.exe

Windows Live Essentials-->MsiExec.exe /I{91E04CA7-0B13-4F8C-AA4D-2A573AC96D19}

Windows Live Messenger-->MsiExec.exe /X{837B6259-6FF5-4E66-87C1-A5A15ED36FF4}

Windows Live OneCare safety scanner-->"C:\Program Files\Windows Live Safety Center\UnInstall.exe"

Windows Live OneCare safety scanner-->MsiExec.exe /X{FE0646A7-19D0-41B4-A2BB-2C35D644270D}

Windows-Treiberpaket - Nokia Modem  (10/27/2008 3.9)-->C:\PROGRA~1\DIFX\270581355A767BF1\dpinst.exe /u C:\Windows\System32\DriverStore\FileRepository\nokia_bluetooth.inf_544c8e16\nokia_bluetooth.inf

Windows-Treiberpaket - Nokia Modem  (10/27/2008 7.01.0.1)-->C:\PROGRA~1\DIFX\270581355A767BF1\dpinst.exe /u C:\Windows\System32\DriverStore\FileRepository\nokbtmdm.inf_0e4dd4bb\nokbtmdm.inf

Windows-Treiberpaket - Nokia pccsmcfd  (08/22/2008 7.0.0.0)-->C:\PROGRA~1\DIFX\270581355A767BF1\dpinst.exe /u C:\Windows\system32\DRVSTORE\pccsmcfd_A3B3916E5D8138F59EE218321B27B044D3B18294\pccsmcfd.inf

WinRAR-->D:\Program Files\WinRAR\uninstall.exe
 

======Security center information======
 

AS: Windows-Defender (disabled)
 

System event log
 

Computer Name: BENUTZER***-PC

Event Code: 2000

Message: Der Aufruf eines Systemdiensts durch den Serverdienst ist unerwartet fehlgeschlagen.

Record Number: 67634

Source Name: srv

Time Written: 20090319163137.924172-000

Event Type: Fehler

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 2000

Message: Der Aufruf eines Systemdiensts durch den Serverdienst ist unerwartet fehlgeschlagen.

Record Number: 67635

Source Name: srv

Time Written: 20090319163138.111372-000

Event Type: Fehler

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 2000

Message: Der Aufruf eines Systemdiensts durch den Serverdienst ist unerwartet fehlgeschlagen.

Record Number: 67636

Source Name: srv

Time Written: 20090319163149.031372-000

Event Type: Fehler

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 2000

Message: Der Aufruf eines Systemdiensts durch den Serverdienst ist unerwartet fehlgeschlagen.

Record Number: 67637

Source Name: srv

Time Written: 20090319163149.031372-000

Event Type: Fehler

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 2000

Message: Der Aufruf eines Systemdiensts durch den Serverdienst ist unerwartet fehlgeschlagen.

Record Number: 67638

Source Name: srv

Time Written: 20090319163149.031372-000

Event Type: Fehler

User: 
 

Application event log
 

Computer Name: BENUTZER***-PC

Event Code: 9688

Message: Der Service Broker-Manager wurde gestartet.

Record Number: 16287

Source Name: MSSQL$SQLEXPRESS

Time Written: 20090319155729.000000-000

Event Type: Informationen

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 1003

Message: Der Windows-Suchdienst wurde gestartet.
 

Record Number: 16288

Source Name: Microsoft-Windows-Search

Time Written: 20090319155734.000000-000

Event Type: Informationen

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 1

Message: Der Zertifikatdiensteclient wurde erfolgreich gestartet.

Record Number: 16289

Source Name: Microsoft-Windows-CertificateServicesClient

Time Written: 20090319155808.132372-000

Event Type: Informationen

User: BENUTZER***-PC\Benutzer ***
 

Computer Name: BENUTZER***-PC

Event Code: 1001

Message: Die Leistungsindikatoren für den Dienst WmiApRpl (WmiApRpl) wurden entfernt. Die Daten enthalten die neuen Werte der Registrierungseinträge "Last Counter" und "Last Help".

Record Number: 16290

Source Name: Microsoft-Windows-LoadPerf

Time Written: 20090319160223.000000-000

Event Type: Informationen

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 1000

Message: Die Leistungsindikatoren für den Dienst WmiApRpl (WmiApRpl) wurden erfolgreich geladen. Die Eintragsdaten im Datenbereich enthalten die neuen Indexwerte, die diesem Dienst zugeordnet sind.

Record Number: 16291

Source Name: Microsoft-Windows-LoadPerf

Time Written: 20090319160223.000000-000

Event Type: Informationen

User: 
 

Security event log
 

Computer Name: BENUTZER***-PC

Event Code: 5038

Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen.
 

Dateiname:        \Device\HarddiskVolume1\Windows\System32\drivers\tcpip.sys        

Record Number: 14434

Source Name: Microsoft-Windows-Security-Auditing

Time Written: 20090319163703.912772-000

Event Type: Überwachung gescheitert

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 5038

Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen.
 

Dateiname:        \Device\HarddiskVolume1\Windows\System32\drivers\tcpip.sys        

Record Number: 14435

Source Name: Microsoft-Windows-Security-Auditing

Time Written: 20090319163703.943972-000

Event Type: Überwachung gescheitert

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 5038

Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen.
 

Dateiname:        \Device\HarddiskVolume1\Windows\System32\drivers\tcpip.sys        

Record Number: 14436

Source Name: Microsoft-Windows-Security-Auditing

Time Written: 20090319163703.959572-000

Event Type: Überwachung gescheitert

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 5038

Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen.
 

Dateiname:        \Device\HarddiskVolume1\Windows\System32\drivers\tcpip.sys        

Record Number: 14437

Source Name: Microsoft-Windows-Security-Auditing

Time Written: 20090319163703.990772-000

Event Type: Überwachung gescheitert

User: 
 

Computer Name: BENUTZER***-PC

Event Code: 5038

Message: Die Codeintegrität hat festgestellt, dass der Abbildhash einer Datei nicht gültig ist. Die Datei wurde möglicherweise durch eine nicht autorisierte Änderung beschädigt. Dieses Problem kann auch auf einen potenziellen Fehler des Datenträgergeräts hinweisen.
 

Dateiname:        \Device\HarddiskVolume1\Windows\System32\drivers\tcpip.sys        

Record Number: 14438

Source Name: Microsoft-Windows-Security-Auditing

Time Written: 20090319163704.006372-000

Event Type: Überwachung gescheitert

User: 
 

======Environment variables======
 

"ComSpec"=%SystemRoot%\system32\cmd.exe

"FP_NO_HOST_CHECK"=NO

"OS"=Windows_NT

"Path"=C:\Program Files\PC Connectivity Solution\;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;C:\Program Files\Intel\DMIX;C:\Program Files\Microsoft SQL Server\100\Tools\Binn\;C:\Program Files\Microsoft SQL Server\100\DTS\Binn\

"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC

"PROCESSOR_ARCHITECTURE"=x86

"TEMP"=%SystemRoot%\TEMP

"TMP"=%SystemRoot%\TEMP

"USERNAME"=SYSTEM

"windir"=%SystemRoot%

"PROCESSOR_LEVEL"=6

"PROCESSOR_IDENTIFIER"=x86 Family 6 Model 23 Stepping 7, GenuineIntel

"PROCESSOR_REVISION"=1707

"NUMBER_OF_PROCESSORS"=4

"VS90COMNTOOLS"=D:\Program Files\Microsoft Visual Studio 9.0\Common7\Tools\
 

-----------------EOF-----------------

mit GM meinte ich den Gmer Scanner ;)
naja hier mal die loggs;
Btw. da man maximal 25000 Zeichen schreiben kann, musste ich das in 3 Threads aufteilen.

Gmer
Anmerkung:
Hatte leider Windows Live + plus an.
Beim ersten scannen hatte ich die nicht an, und dort wurde auch keinen eintrag über msn etc. geschrieben.
Jedoch hab ich diese trotzdem mal NICHT ausgelassen.

Code:

GMER 1.0.15.14939 - http://www.gmer.net

Rootkit scan 2009-03-20 22:14:02

Windows 6.0.6001 Service Pack 1
 
 

---- User code sections - GMER 1.0.15 ----
 

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!FindResourceExA      765808DD 7 Bytes  JMP 28001D80 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!FindResourceA        765809A5 5 Bytes  JMP 28001CF0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!CreateEventA         76594AD8 5 Bytes  JMP 28001840 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!LockResource         76597F1F 5 Bytes  JMP 28001F50 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!FindResourceExW      7659813B 1 Byte  [E9]

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!FindResourceExW      7659813B 7 Bytes  JMP 28001C60 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!LoadResource         76598213 7 Bytes  JMP 28001E20 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!FindResourceW        765997C7 5 Bytes  JMP 28001BE0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] kernel32.dll!SizeofResource       765997E5 7 Bytes  JMP 28001EE0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] ADVAPI32.dll!CryptDeriveKey       7680E6F6 7 Bytes  JMP 28001000 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] ADVAPI32.dll!CryptDecrypt         7680E8D9 7 Bytes  JMP 28001060 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!SetWindowPlacement     76C379BB 5 Bytes  JMP 28005DC0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!SetWindowRgn           76C395E2 7 Bytes  JMP 28005F00 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!LoadImageW             76C3D61D 5 Bytes  JMP 28006690 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!LoadIconW              76C3EC94 5 Bytes  JMP 28006880 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!CreateWindowExW        76C43D67 5 Bytes  JMP 28003CA0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!GetWindowLongW         76C4F67F 7 Bytes  JMP 28006A20 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!PeekMessageW           76C4FD9F 5 Bytes  JMP 280045E0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!TrackPopupMenuEx       76C60F4D 5 Bytes  JMP 28004EC0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!CreateDialogParamW     76C61C58 5 Bytes  JMP 28006040 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] USER32.dll!MessageBoxIndirectW    76C8D56B 5 Bytes  JMP 28006230 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WS2_32.dll!closesocket            7663330C 5 Bytes  JMP 2800BC20 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WS2_32.dll!recv                   7663343A 5 Bytes  JMP 2800B440 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WS2_32.dll!WSASend                76634496 5 Bytes  JMP 2800B9E0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WS2_32.dll!send                   7663659B 5 Bytes  JMP 2800B800 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WS2_32.dll!WSARecv                76638400 5 Bytes  JMP 2800B5E0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] SHELL32.dll!Shell_NotifyIconW     76D7C808 5 Bytes  JMP 28003400 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] ole32.dll!CoRegisterClassObject   762E45AC 5 Bytes  JMP 28002360 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] ole32.dll!CoInitializeEx          7631B89A 5 Bytes  JMP 28002260 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] ole32.dll!CoCreateInstance        7631E188 5 Bytes  JMP 28002600 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WININET.dll!HttpOpenRequestA      767406D6 5 Bytes  JMP 2800A2C0 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WININET.dll!InternetCloseHandle   7674607B 5 Bytes  JMP 2800A600 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WININET.dll!InternetReadFile      7674A067 5 Bytes  JMP 2800A450 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WININET.dll!HttpSendRequestA      767508C5 3 Bytes  JMP 2800A530 D:\Program Files\Messenger Plus! Live\MsgPlusLive.dll (Messenger Plus! Live Add-On/Patchou)

.text  C:\Program Files\Windows Live\Messenger\msnmsgr.exe[820] WININET.dll!HttpSendRequestA + 4  767508C9 1 Byte  [B1]
 

---- Registry - GMER 1.0.15 ----
 

Reg    HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\00805a4616ab                

Reg    HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\00805a4616ab@0014a704be96   0x7D 0x37 0xF9 0x8C ...

Reg    HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\00805a4616ab                    

Reg    HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\00805a4616ab@0014a704be96       0x7D 0x37 0xF9 0x8C ...

RegSearch:
Anmerkung:
Sonst hat das Programm leider nichts gefunden...
Weiß leider nicht, ob das normal ist.

Code:

Windows Registry Editor Version 5.00
 

; Registry Search 2.0 by Bobbi Flekman © 2005

; Version: 2.0.6.0
 

; Results at 21.03.2009 13:21:25 for strings:

;  'a75aed00-d7bf-11d1-9947-00c0cf98bbc9'

; Strings excluded from search:

;  'a75aed00-d7bf-11d1-9947-00c0cf98bbc9'

; Search in: 

; Registry Keys  Registry Values  Registry Data  

; HKEY_LOCAL_MACHINE  HKEY_USERS  
 
 

; End Of The Log...

Die Logs sind soweit sauber. Ich hoffe du hast Messenger Plus ohne seinen "Sponsor" installiert, sonst wirst du dich demnächst an Popups erfreuen können.

lg myrtille

hehe okay danke,
jep habe ich natürlich ohne sponsor installiert ;)
Der pc scheint soweit sauber zu sein. Im autostart ist nichts auffälliges und auch den system32 ordner hab ich ein paar mal überprüft.
Bis zur nächsten erfolgreichen Windows Version wird das wohl noch standhalten, da ich sowieso im schlimmsten Fall keine Kontodaten o.ä. wichtiges eingebe ;)

Danke nochmal für alles

ja, ich würd davon abraten irgendwelche Passwörter oder ähnliches auf dem Rechner einzugeben. Aber das ist letzendlich deine Entscheidung...

Die genutzten Programme kannst du deinstallieren / löschen.

lg myrtille