Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Fragwürdige Netzwerkaktivitäten (https://www.trojaner-board.de/71373-fragwuerdige-netzwerkaktivitaeten.html)

Sspack 25.03.2009 07:38
Fragwürdige Netzwerkaktivitäten
 
Guten Tag Trojaner-Board Community

Ich würde euch gerne um eine Analyse meines Systems bitten.
Es gibt eigentlich keine Probleme mit meinem PC (langsames Internet oder sonstiges), trotzdem möchte ich gerne eine Vorsorgeuntersuchung machen.
Der Grund hierfür ist mein ziemlich ausgepägter Kontrollzwang.

In meiner Wunschvorstellung sollte mein PC nur dann mit dem Internet kommunizieren, wenn ich ihn zum Beispiel dazu auffordere eine Internetseite zu öffen.
Dies ist leider in keinster Weise der Fall.
Ich habe mir (nachdem ich im Netz im Zusammenhang mit der Anwendung von rootkits in neuen PC-Spielen als Kopierschutz, einiges über hijacking durchgelesen habe und diverse Systemscans gemacht habe) einen Netzwerk Manager zugelegt.
Dieser zeigt bei mir immer wieder Verbindungen von meinem PC zu anscheinend willkürlichen IP Addressen auf der ganzen Welt an.

Code:
94.213.105.3
69.255.36.199
68.199.59.169
59.146.61.145
Wenn ich diese Ips dann auflöse, sehen diese für mich nach Privat-Ips aus
(Ich weiss nicht ob man das hier posten darf, wenn nicht bitte darauf hinweisen oder editieren)

Code:
IP address: 94.213.105.3
Hostname: 5ED56903.cable.ziggo.nl
ISP: Cable customers Area 6
Country: Netherlands
Diese Zugriffe, von denen dann auf einen Schlag ca. 30 in einer Minute kommen, habe ich fast täglich und ohne ersichtlichen Grund.

Der Microsoft Network Monitor gibt als Trafficbezeichnung "unknown" an.

Sind euch solche Aktivitäten irgendwie bekannt?

Meine Internetverbindung geht über das Speedport700v, zu einem Router, zu mir. Provider ist die Telekom (DSL 16000)

Hier meine Logfiles aus den Systemscans:

Code:
Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1893
Windows 6.0.6001 Service Pack 1

25.03.2009 05:43:49
mbam-log-2009-03-25 (05-43-49).txt

Scan-Methode: Vollständiger Scan (A:\|C:\|D:\|E:\|F:\|I:\|J:\|L:\|T:\|)
Durchsuchte Objekte: 313442
Laufzeit: 1 hour(s), 30 minute(s), 22 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\homeview (Trojan.DNSChanger) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\resycled (Trojan.DNSChanger) -> Quarantined and deleted successfully.

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
Hier hat wurde anscheinend ein Trojaner gefunden, ob der was mit meinem Problem zu tun hat ist die andere Frage, denn die Netzwerkaktivitäten bestehen weiterhin. (Norton hat diesen übrigens nicht gefunden)
Außerdem sollte, so habe ich jedenfalls gelesen, das Programm Securom, obwohl es ja nicht schädlich ist, als rootkit angezeit werden. Dieses Befindet sich schonmal sicher auf meinem System, da ich ein EA Spiel installiert habe, wo dieses enthalten war.


Und Hijackthis:
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 05:49:59, on 25.03.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\services.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\System32\spoolsv.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABAgent.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABWatcher.exe
C:\Windows\system32\SearchIndexer.exe
C:\Program Files\Razer\Copperhead\razerhid.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NortonAntiBot.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Adobe\Acrobat 9.0\Acrobat\acrotray.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\EXPERTool ATI\TBPANEL.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Knl\knl.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Program Files\Razer\Copperhead\razertra.exe
C:\Program Files\Razer\Copperhead\razerofa.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABMonitor.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Windows\system32\conime.exe
C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\system32\NOTEPAD.EXE
C:\Program Files\Microsoft Network Monitor 3\netmon.exe
C:\Windows\system32\taskeng.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Windows\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h*p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h*p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h*p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h*p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h*p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: ContributeBHO Class - {074C1DC5-9320-4A9A-947D-C042949C6216} - C:\Program Files\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: flashget2 urlcatch - {1F364306-AA45-47B5-9F9D-39A8B94E7EF1} - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\bhoCATCH.dll
O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\COMMON~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Show Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\CoIEPlg.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - C:\Program Files\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O4 - HKLM\..\Run: [Copperhead] C:\Program Files\Razer\Copperhead\razerhid.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton 360\osCheck.exe"
O4 - HKLM\..\Run: [NortonAntiBot] "C:\Program Files\Symantec\Norton AntiBot\agent\bin\NortonAntiBot.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Common Files\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [Adobe Acrobat Speed Launcher] "C:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrobat_sl.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrotray.exe"
O4 - HKLM\..\Run: [Adobe_ID0ENQBO] C:\PROGRA~1\COMMON~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKCU\..\Run: [Gainward] C:\Program Files\EXPERTool ATI\TBPanel.exe /A
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O4 - Startup: knl.lnk = C:\Program Files\Knl\knl.exe
O8 - Extra context menu item: &Download All by FlashGet - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\Bhoall.htm
O8 - Extra context menu item: &Download by FlashGet - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\Bholink.htm
O8 - Extra context menu item: An vorhandene PDF-Datei anfügen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Linkziel an vorhandene PDF-Datei anhängen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Linkziel in Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h*ps://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\COMMON~1\SYMANT~1\CCPD-LC\symlcsvc.exe
O23 - Service: SymantecAntiBotAgent - Symantec - C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABAgent.exe
O23 - Service: SymantecAntiBotWatcher - Symantec - C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABWatcher.exe

--
End of file - 10612 bytes
Ich wollte auch einen Check mit GMER machen.
Das Problem, das ich mit diesem Programm habe ist, dass es bei diesem eigentlich einen "Safe Mode" Button geben sollte, dieser aber bei mir nicht vorhanden ist.
http://img207.imageshack.us/img207/3185/gmer.jpg

Infolgedessen habe ich mich über intensives "safebutton missing"-googeln schon einmal informiert, und bin auf einen Forenbeitrag gestoßen, indem ein User davon berichtete, dass er erst nach Entfernung eines Schädlings wieder einen "safe button" im Programm GMER auffinden konnte.
Leider habe ich den Link zu dem Post nichtmehr, da ich diesen vor einem halben Jahr gelesen habe.
Es kann aber eigentlich nur mit einer Veränderung des Programms GMER selber zusammenhängen (oder der von dem Programm erstellten gmer.sys Datei, die sich übrigens nicht, wie eigentlich vorgesehen in system32 auffinden lässt)

Eigentlich hatte ich schon länger vor hier zu posten, da ich wie gesagt vor einem halben Jahr schonmal alles durchgecheckt hatte (nachdem nach einer Neuaufsetztung des Systems und exzessiver Anwendung von anderen Schädlingsbekämpfungs-BootCDs ect. der GMER-Button immer noch nicht auffindbar war und ich es dann mit einem "ach lass endlich gut sein"-"ist warscheinlich ein Gmer+Vista Bug" hinschmiss), aber diese Sache lässt mir keine Ruhe, solang ich nicht von einem Profi bestätigt bekomme, dass alles clean ist.

Sspack 31.03.2009 11:55
Gerade eben hat, nachdem ich nach langer Zeit wieder ein Windows Update gemacht habe das "Windows-Tool zum Entfernen bösartiger Software", einen Fund von "Trojan.W32.Alureon!inf" gemeldet.
Dieser wurde vom Programm sogleich entfernt.
Anscheinend handelt es sich hierbei wieder um einen DNS-Changer.

Ausserdem wollte ich zu meinem ersten Post noch anmerken, dass diese Verbindungen, von denen ich gesprochen habe nur eingehend sind. der Network-Manager zeigt als Source diese willkürlichen IPs und als Destination meinen PC, Andersherum (so wie es zum beispiel beim surfen der Fall ist) kommt keine Verbindung zu stande.

Auch wenn keiner eine Antwort auf mein Problem hat.
Könnt ihr mir vielleicht bestätigen, dass dieses Button-Problem im Gmer nicht normal ist, oder ist das bei einem von euch schon einmal vorgekommen oder kennt ihr so einen Fall?

Redwulf 31.03.2009 12:31
Mach bitte nochmal einen Gmer Scan. Benenne dieses Tool vorher in Hups.exe um. Mach deinen Suchlauf und beantworte alle Fragen mit Nein. Gehe auf den Reiter rootkit und poste das Ergebnis....

Danach nochmal einen neuen Hijack this

Sspack 31.03.2009 15:28
Hallo Redwulf,
Danke für deine Antwort.
Wie du mir aufgetragen hast, hab ich hier die logfiles für dich

Gmer (ohne safemode):
Code:
GMER 1.0.15.14966 - h**p://www.gmer.net
Rootkit scan 2009-03-31 15:57:04
Windows 6.0.6001 Service Pack 1


---- System - GMER 1.0.15 ----

SSDT            874D1BB8                ZwAlertResumeThread
SSDT            874D1C98                ZwAlertThread
SSDT            874D0EE0                ZwAllocateVirtualMemory
SSDT            8739E350                ZwAlpcConnectPort
SSDT            874D1908                ZwCreateMutant
SSDT            874D53D8                ZwCreateThread
SSDT            874D2DB0                ZwDebugActiveProcess
SSDT            874D0D00                ZwFreeVirtualMemory
SSDT            874D19F8                ZwImpersonateAnonymousToken
SSDT            874D1AD8                ZwImpersonateThread
SSDT            874D0C00                ZwMapViewOfSection
SSDT            874D1828                ZwOpenEvent
SSDT            874D0FD0                ZwOpenProcessToken
SSDT            874D2E90                ZwOpenSection
SSDT            874D0940                ZwOpenThreadToken
SSDT            873B8428                ZwResumeThread
SSDT            874D0860                ZwSetContextThread
SSDT            874D0A30                ZwSetInformationProcess
SSDT            874D1F80                ZwSetInformationThread
SSDT            874D2F70                ZwSuspendProcess
SSDT            874D1DE0                ZwSuspendThread
SSDT            874D54D8                ZwTerminateProcess
SSDT            874D1EC0                ZwTerminateThread
SSDT            874D0B20                ZwUnmapViewOfSection
SSDT            874D0DF0                ZwWriteVirtualMemory

INT 0x51        ?                        8544CBF8
INT 0x62        ?                        86483BF8
INT 0x72        ?                        86483BF8
INT 0x82        ?                        8544BBF8
INT 0x92        ?                        8544BBF8
INT 0xA2        ?                        8544CBF8

---- Kernel code sections - GMER 1.0.15 ----

.text          ntkrnlpa.exe!KeSetTimerEx + 350                        822EC914 8 Bytes  [B8, 1B, 4D, 87, 98, 1C, 4D, ...]
.text          ntkrnlpa.exe!KeSetTimerEx + 364                        822EC928 4 Bytes  [E0, 0E, 4D, 87]
.text          ntkrnlpa.exe!KeSetTimerEx + 370                        822EC934 4 Bytes  [50, E3, 39, 87]
.text          ntkrnlpa.exe!KeSetTimerEx + 428                        822EC9EC 4 Bytes  [08, 19, 4D, 87]
.text          ntkrnlpa.exe!KeSetTimerEx + 454                        822ECA18 4 Bytes  [D8, 53, 4D, 87]
.text          ...                                                                                                                                               
?              System32\Drivers\spjw.sys                                Das System kann den angegebenen Pfad nicht finden. !
.text          USBPORT.SYS!DllUnload                                8E12646F 5 Bytes  JMP 864831D8
.text          anu20wob.SYS                                8E50D000 22 Bytes  [26, 82, 20, 82, 10, 81, 20, ...]
.text          anu20wob.SYS                                8E50D017 130 Bytes  [00, 32, 67, 79, 80, 3D, 65, ...]
.text          anu20wob.SYS                                8E50D09A 14 Bytes  [28, 82, 9C, 83, 28, 82, 60, ...]
.text          anu20wob.SYS                                8E50D0A9 35 Bytes  [70, 28, 82, A0, 67, 28, 82, ...]
.text          anu20wob.SYS                                8E50D0CE 10 Bytes  [00, 00, 00, 00, 00, 00, 6A, ...]
.text          ...                                                                                                                                               

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortUchar]                                [8068D6D2] \SystemRoot\System32\Drivers\spjw.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUchar]                                [8068D040] \SystemRoot\System32\Drivers\spjw.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortBufferUshort]                                [8068D7FC] \SystemRoot\System32\Drivers\spjw.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUshort]                                [8068D0BE] \SystemRoot\System32\Drivers\spjw.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortBufferUshort]                                [8068D13C] \SystemRoot\System32\Drivers\spjw.sys
IAT            \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                                [8069D048] \SystemRoot\System32\Drivers\spjw.sys
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortNotification]                                CC000CC2
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortWritePortUchar]                                83EC8B55
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortWritePortUlong]                                575320EC
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortGetPhysicalAddress]                                458DFF33
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortConvertPhysicalAddressToUlong                                8D5750FC
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortGetScatterGatherList]                                5750F845
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortReadPortUchar]                                8957046A
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortStallExecution]                                75E8FC7D
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortGetParentBusType]                                BB0001E8
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortRequestCallback]                                000000EA
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortWritePortBufferUshort]                                850FC33B
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortGetUnCachedExtension]                                0000012B
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortCompleteRequest]                                0FFC7D39
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortMoveMemory]                                00012284
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortCompleteAllActiveRequests]                                458D5600
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortReleaseRequestSenseIrb]                                106A50F4
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortBuildRequestSenseIrb]                                38335668
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortReadPortUshort]                                FC75FF36
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortReadPortBufferUshort]                                D1E85757
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortInitialize]                                8B0001E7
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortGetDeviceBase]                                1BDEF7F0
IAT            \SystemRoot\System32\Drivers\anu20wob.SYS[ataport.SYS!AtaPortDeviceStateChange]                                23D6F7F6

---- User IAT/EAT - GMER 1.0.15 ----

IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusShutdown]                                                              [74937BA4] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCloneImage]                                                                [749798C5] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDrawImageRectI]                                                            [7493D3C8] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetInterpolationMode]                                                      [7492F527] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusStartup]                                                                [74937599] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateFromHDC]                                                            [7492E43D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStreamICM]                                                [7496B33D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStream]                                                    [7493D68A] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageHeight]                                                            [7493012E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageWidth]                                                            [74930095] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDisposeImage]                                                              [749271F3] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFileICM]                                                      [749BD802] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFile]                                                        [749575E1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDeleteGraphics]                                                            [7492DAE1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipFree]                                                                      [7492668F] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipAlloc]                                                                    [749266BA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[1968] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetCompositingMode]                                                        [74931E45] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

---- Devices - GMER 1.0.15 ----

Device          \FileSystem\Ntfs \Ntfs                                                                                                                              854541F8
Device          \Driver\volmgr \Device\VolMgrControl                                                                                                                8544E1F8
Device          \Driver\usbohci \Device\USBPDO-0                                                                                                                    864F51F8
Device          \Driver\usbehci \Device\USBPDO-1                                                                                                                    864F61F8

AttachedDevice  \Driver\tdx \Device\Tcp                                                                                                                            SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\volmgr \Device\HarddiskVolume1                                                                                                              8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume1                                                                                                              fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\volmgr \Device\HarddiskVolume2                                                                                                              8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume2                                                                                                              fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\cdrom \Device\CdRom0                                                                                                                        865181F8
Device          \Driver\volmgr \Device\HarddiskVolume3                                                                                                              8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume3                                                                                                              fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\cdrom \Device\CdRom1                                                                                                                        865181F8
Device          \Driver\atapi \Device\Ide\IdePort0                                                                                                                  854501F8
Device          \Driver\atapi \Device\Ide\IdePort1                                                                                                                  854501F8
Device          \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-3                                                                                                        854501F8
Device          \Driver\volmgr \Device\HarddiskVolume4                                                                                                              8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume4                                                                                                              fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\nvstor32 \Device\00000067                                                                                                                  854521F8
Device          \Driver\netbt \Device\NetBt_Wins_Export                                                                                                            874991F8
Device          \Driver\Smb \Device\NetbiosSmb                                                                                                                      874081F8
Device          \Driver\PCI_PNP6169 \Device\0000005b                                                                                                                spjw.sys
Device          \Driver\nvstor32 \Device\RaidPort0                                                                                                                  854521F8

AttachedDevice  \Driver\tdx \Device\Udp                                                                                                                            SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\nvstor32 \Device\RaidPort1                                                                                                                  854521F8
Device          \Driver\nvstor32 \Device\RaidPort2                                                                                                                  854521F8
Device          \Driver\iScsiPrt \Device\RaidPort3                                                                                                                  8652D1F8
Device          \Driver\usbohci \Device\USBFDO-0                                                                                                                    864F51F8
Device          \Driver\sptd \Device\345288176                                                                                                                      spjw.sys
Device          \Driver\usbehci \Device\USBFDO-1                                                                                                                    864F61F8
Device          \Driver\USBSTOR \Device\0000007b                                                                                                                    874D61F8
Device          \Driver\netbt \Device\NetBT_Tcpip_{9C459856-BE7E-4950-9FBB-559C46417253}                                                                            874991F8
Device          \Driver\netbt \Device\NetBT_Tcpip_{510FE5E3-6D97-45DE-8EF6-FC7C74F80C43}                                                                            874991F8
Device          \Driver\USBSTOR \Device\0000007c                                                                                                                    874D61F8
Device          \Driver\USBSTOR \Device\0000007d                                                                                                                    874D61F8
Device          \Driver\anu20wob \Device\Scsi\anu20wob1Port6Path0Target0Lun0                                                                                        8652E1F8
Device          \Driver\anu20wob \Device\Scsi\anu20wob1                                                                                                            8652E1F8
Device          \FileSystem\cdfs \Cdfs                                                                                                                              889901F8

---- Registry - GMER 1.0.15 ----

Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1                                                                                                  771343423
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2                                                                                                  285507792
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0                                                                                                  1
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                   
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                                                                C:\Program Files\DAEMON Tools Lite\
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                                                                0
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                                                              0x28 0x59 0x5D 0x00 ...
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                                                         
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                                                        0x20 0x01 0x00 0x00 ...
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                                                    0xFB 0x66 0xDE 0xBA ...
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                                                   
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh                                              0xDB 0x60 0x56 0xD6 ...
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                       
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                                                                    C:\Program Files\DAEMON Tools Lite\
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                                                                    0
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                                                                  0x28 0x59 0x5D 0x00 ...
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                                                             
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                                                            0x20 0x01 0x00 0x00 ...
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                                                        0xFB 0x66 0xDE 0xBA ...
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                                                       
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh                                                  0xDB 0x60 0x56 0xD6 ...
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}                                   
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}@pahfalfajpjjicdjldpegblbogaodfce    0x6B 0x61 0x6A 0x6B ...
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}@abnekpblmjofinpbhfiimhhjnpdmehjmpi  0x6B 0x61 0x6A 0x6B ...

---- Files - GMER 1.0.15 ----

File            C:\Windows\System32\LogFiles\Scm\SCM.EVM                                                                                                            (size mismatch) 524288/0 bytes
File            C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTDiagLog.etl                                                                                          (size mismatch) 1295840/1213576 bytes
File            C:\Windows\System32\spool\SpoolerETW.etl                                                                                                            (size mismatch) 4096/0 bytes
File            C:\Windows\System32\WDI\LogFiles\WdiContextLog.etl.003                                                                                              (size mismatch) 262144/0 bytes
File            C:\Windows\System32\wfp\wfpdiag.etl                                                                                                                (size mismatch) 65536/0 bytes

---- EOF - GMER 1.0.15 ----

Sspack 31.03.2009 15:30
Und hier Hijackthis:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:59:15, on 31.03.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Razer\Copperhead\razerhid.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NortonAntiBot.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Adobe\Acrobat 9.0\Acrobat\acrotray.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\EXPERTool ATI\TBPANEL.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Knl\knl.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Razer\Copperhead\razertra.exe
C:\Program Files\Razer\Copperhead\razerofa.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABMonitor.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Windows\system32\taskmgr.exe
C:\Program Files\Microsoft Network Monitor 3\netmon.exe
C:\Users\*****\Desktop\Hups.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: ContributeBHO Class - {074C1DC5-9320-4A9A-947D-C042949C6216} - C:\Program Files\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: flashget2 urlcatch - {1F364306-AA45-47B5-9F9D-39A8B94E7EF1} - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\bhoCATCH.dll
O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\COMMON~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Show Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\CoIEPlg.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - C:\Program Files\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O4 - HKLM\..\Run: [Copperhead] C:\Program Files\Razer\Copperhead\razerhid.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton 360\osCheck.exe"
O4 - HKLM\..\Run: [NortonAntiBot] "C:\Program Files\Symantec\Norton AntiBot\agent\bin\NortonAntiBot.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Common Files\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [Adobe Acrobat Speed Launcher] "C:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrobat_sl.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrotray.exe"
O4 - HKLM\..\Run: [Adobe_ID0ENQBO] C:\PROGRA~1\COMMON~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKCU\..\Run: [Gainward] C:\Program Files\EXPERTool ATI\TBPanel.exe /A
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O4 - Startup: knl.lnk = C:\Program Files\Knl\knl.exe
O8 - Extra context menu item: &Download All by FlashGet - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\Bhoall.htm
O8 - Extra context menu item: &Download by FlashGet - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\Bholink.htm
O8 - Extra context menu item: An vorhandene PDF-Datei anfügen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Linkziel an vorhandene PDF-Datei anhängen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Linkziel in Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\COMMON~1\SYMANT~1\CCPD-LC\symlcsvc.exe
O23 - Service: SymantecAntiBotAgent - Symantec - C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABAgent.exe
O23 - Service: SymantecAntiBotWatcher - Symantec - C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABWatcher.exe

--
End of file - 9214 bytes
Das umbenennen der gmer.exe in fdfdggsg.sys hab ich damals schon probiert (Ich glaube darauf läuft das "Hups" hinaus oder?).
Es ändert leider nichts daran, dass der Safemode-Button immernoch nicht auffindbar ist.

Edit:
Bei mir kamen übrigens keine Fragen nach dem Scan mit Gmer, die ich mit nein beantworten hätte können.
Der Scan hört, nachdem alle Dateien durchsucht sind auf, und ich klicke dann auf ">>>" und dann Rootkits/Malware und "Copy".

Redwulf 31.03.2009 21:02
Das Gute zuerst:

Ein rootkit konnte ich nicht entdecken.

Trotzdem machen mich 2 files nervös. Das erste kenne ich und es gilt als unbedenklich, sollten wir jedoch nochmal überprüfen.
das zweite file ist mir vollkommen unbekannt und gehört auch nicht zu einer Vista Installation. Bitte lasse beide Files bei Virustotal.com checken und poste bitte das vollständige Ergebnis mit den Prüfsummen.

Code:
System32\Drivers\anu20wob.SYS
C:\Program Files\Knl\knl.exe
Dein Hijack ist bis auf den knl.exe Eintrag vollkommen unauffällig.

Aber warten wir erst mal die Überprüfung ab...

Sspack 01.04.2009 16:37
Sehr gut,
Vielen Dank

Das Programm knl.exe ist von mir installiert worden. Es zeigt die Netzwerkaktivität über die LEDs auf deiner Tastatur an.
Trotzdem ist hier noch der Scan von Virustotal:

Code:
Datei knl.exe empfangen 2009.04.01 17:16:40 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/40 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit ist zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:       
       
Antivirus        Version        letzte aktualisierung        Ergebnis
a-squared        4.0.0.101        2009.04.01        -
AhnLab-V3        5.0.0.2        2009.04.01        -
AntiVir        7.9.0.129        2009.04.01        -
Antiy-AVL        2.0.3.1        2009.04.01        -
Authentium        5.1.2.4        2009.03.31        -
Avast        4.8.1335.0        2009.03.31        -
AVG        8.5.0.285        2009.04.01        -
BitDefender        7.2        2009.04.01        -
CAT-QuickHeal        10.00        2009.04.01        -
ClamAV        0.94.1        2009.04.01        -
Comodo        1093        2009.04.01        -
DrWeb        4.44.0.09170        2009.04.01        -
eSafe        7.0.17.0        2009.04.01        -
eTrust-Vet        31.6.6429        2009.04.01        -
F-Prot        4.4.4.56        2009.03.31        -
F-Secure        8.0.14470.0        2009.04.01        -
Fortinet        3.117.0.0        2009.04.01        -
GData        19        2009.04.01        -
Ikarus        T3.1.1.49.0        2009.04.01        -
K7AntiVirus        7.10.690        2009.04.01        -
Kaspersky        7.0.0.125        2009.04.01        -
McAfee        5570        2009.03.31        -
McAfee+Artemis        5570        2009.03.31        -
McAfee-GW-Edition        6.7.6        2009.04.01        -
Microsoft        1.4502        2009.04.01        -
NOD32        3980        2009.04.01        -
Norman        6.00.06        2009.04.01        -
nProtect        2009.1.8.0        2009.04.01        -
Panda        10.0.0.14        2009.03.31        -
PCTools        4.4.2.0        2009.04.01        -
Prevx1        V2        2009.04.01        -
Rising        21.23.22.00        2009.04.01        -
Sophos        4.40.0        2009.04.01        -
Sunbelt        3.2.1858.2        2009.04.01        -
Symantec        1.4.4.12        2009.04.01        -
TheHacker        6.3.4.0.298        2009.04.01        -
TrendMicro        8.700.0.1004        2009.04.01        -
VBA32        3.12.10.1        2009.03.31        -
ViRobot        2009.4.1.1671        2009.04.01        -
VirusBuster        4.6.5.0        2009.03.31        -
weitere Informationen
File size: 77824 bytes
MD5...: b2fd7b418103dee4d4d4d64ff1e850db
SHA1..: 4f6065bb4b2e36516041122aa9b81a2a041ada3f
SHA256: d9bc06ec2bbf41f7f03e2d1a49097218a13503a7d750db491a50a5e76f53aa54
SHA512: d84877c42ca2b230b0e2a5d421b0b4ea446b18678f21356c8fc77f9e65553bef
c6afea00eb864ac9e1304390ef2e208fd8c18d1e6b2544f73f4fd846e09cabfc
ssdeep: 768:1I8sj50sAWqInoC5Xx4zZJQXqUreuATUONvSt0iwyg+Kc5JtRxBfjFRxhBOp
NuUE:1O50sAWJn/92zX435g+hF7Sze
PEiD..: -
TrID..: File type identification
Win32 Executable Microsoft Visual Basic 6 (91.5%)
Win32 Dynamic Link Library (generic) (5.5%)
Generic Win/DOS Executable (1.4%)
DOS Executable Generic (1.4%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1b68
timedatestamp.....: 0x43204fae (Thu Sep 08 14:50:22 2005)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xfc64 0x10000 5.58 aa57c32029a089d8939afc18fa0f34a0
.data 0x11000 0xe30 0x1000 0.00 620f0b67a91f7f74151bc5be745b7110
.rsrc 0x12000 0x754 0x1000 1.71 63375407107cef27b8478f1d770f1db9

( 1 imports )
> MSVBVM60.DLL: -, __vbaStrI2, _CIcos, _adj_fptan, __vbaVarMove, __vbaFreeVar, __vbaStrVarMove, __vbaLenBstr, __vbaFreeVarList, __vbaEnd, _adj_fdiv_m64, __vbaFreeObjList, __vbaStrErrVarCopy, _adj_fprem1, __vbaRecAnsiToUni, __vbaStrCat, __vbaLsetFixstr, -, __vbaSetSystemError, __vbaHresultCheckObj, _adj_fdiv_m32, __vbaAryDestruct, __vbaOnError, __vbaObjSet, -, _adj_fdiv_m16i, __vbaObjSetAddref, _adj_fdivr_m16i, -, _CIsin, __vbaChkstk, EVENT_SINK_AddRef, __vbaGenerateBoundsError, __vbaAryConstruct2, __vbaDateR8, __vbaI2I4, DllFunctionCall, __vbaCastObjVar, _adj_fpatan, __vbaLateIdCallLd, __vbaRedim, __vbaRecUniToAnsi, EVENT_SINK_Release, __vbaNew, __vbaUI1I2, _CIsqrt, __vbaObjIs, EVENT_SINK_QueryInterface, __vbaExceptHandler, _adj_fprem, _adj_fdivr_m64, __vbaI2Str, __vbaFPException, -, __vbaI2Var, _CIlog, __vbaErrorOverflow, __vbaNew2, _adj_fdiv_m32i, _adj_fdivr_m32i, -, __vbaStrCopy, -, __vbaFreeStrList, _adj_fdivr_m32, _adj_fdiv_r, -, __vbaI4Var, -, __vbaAryLock, __vbaVarDup, __vbaVarLateMemCallLd, __vbaVarCopy, __vbaFpI4, -, _CIatan, __vbaCastObj, __vbaStrMove, _allmul, _CItan, __vbaAryUnlock, _CIexp, __vbaFreeObj, __vbaFreeStr

( 0 exports )
RDS...: NSRL Reference Data Set
-

ACHTUNG ACHTUNG: VirusTotal ist ein kostenloser Dienst bereitgestellt von Hispasec Sistemas. Es gibt keine Garantie zur Verfügbarkeit sowie Fortbestehen der Dienstleistung. Obwohl die Erkennungsrate mehrerer Antivirus-Engines besser ist als nur durch ein Produkt, garantieren die Ergebnisse des Scans nicht die Harmlosigkeit einer Datei. Gegenwärtig gibt es keine Lösung, welche eine Erkennungsrate aller Viren und Malware zu 100% bietet.
Zum zweiten File:

anu20wob.sys kann ich in C:\Windows\system32\drivers\anu20wob.sys nicht finden. Es scheint gelöscht oder umbennant zu sein.
Ich hoffe das du diese File mit "...ist mir bekannt und vollkommen unbedenklich" meinst.

Kannst du mir auch bitte sagen, was du von dem Problem mit dem Gmer-button hältst?

Danke dir nochmal für die Arbeit

Redwulf 01.04.2009 22:35
Leider nein, das andere file war das was ich suchte....

Bitte führe mal einen Scan mit SuperAntiSpyware aus und poste das Logfile hier....
Bitte lese dir zuvor diese Hinweise durch

Falls etwas gefunden wird lässt du es löschen und nutzt anschließend CCleaner. Poste hiernach ein frisches Hijack this.

Führt dies zu keinem Erfolg müssen wir Gmer noch mal scannen lassen.
Ich werde dann die Position dieses einen files suchen und eventuell hats sich umbenannt. Stelle dann sicher, das dein Rechner so lange anbleibt, bis das du wieder von mir hörst...

Sspack 02.04.2009 17:08
Hallo Redwulf

Hier zuerst einmal das Logfile von SAS:
Code:
SUPERAntiSpyware Scan Log
h**p://www.superantispyware.com

Generated 04/02/2009 at 04:20 PM

Application Version : 4.26.1000

Core Rules Database Version : 3824
Trace Rules Database Version: 1780

Scan type      : Complete Scan
Total Scan Time : 01:50:38

Memory items scanned      : 820
Memory threats detected  : 0
Registry items scanned    : 7686
Registry threats detected : 7
File items scanned        : 260445
File threats detected    : 0

Rogue.Component/Trace
        HKLM\Software\Classes\MSQPDXVX
        HKLM\Software\Classes\MSQPDXVX#msqpdxrun
        HKLM\Software\Classes\MSQPDXVX#msqpdxpff
        HKLM\Software\Classes\MSQPDXVX#msqpdxaff
        HKLM\Software\Classes\MSQPDXVX#msqpdxinfo
        HKLM\Software\Classes\MSQPDXVX#msqpdxid
        HKLM\Software\Classes\MSQPDXVX#msqpdxsrv
In der Registry hat er diese 7 Einträge gefunden.
Aber bei dem Dateien-Scan zeigte er keine Funde.

Ich habe danach mit ccleaner alles gereinigt.

Der Hijackthis-Log:
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:45:21, on 02.04.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Razer\Copperhead\razerhid.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NortonAntiBot.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Adobe\Acrobat 9.0\Acrobat\acrotray.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\EXPERTool ATI\TBPANEL.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Program Files\Knl\knl.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Razer\Copperhead\razertra.exe
C:\Program Files\Razer\Copperhead\razerofa.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABMonitor.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Users\****\Desktop\efdfvvh.exe (*gmer)
C:\Windows\system32\NOTEPAD.EXE
C:\Windows\system32\NOTEPAD.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\System32\notepad.exe
C:\totalcmd\TOTALCMD.EXE
C:\Windows\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = ht**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: ContributeBHO Class - {074C1DC5-9320-4A9A-947D-C042949C6216} - C:\Program Files\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: flashget2 urlcatch - {1F364306-AA45-47B5-9F9D-39A8B94E7EF1} - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\bhoCATCH.dll
O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\COMMON~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Show Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\CoIEPlg.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - C:\Program Files\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O4 - HKLM\..\Run: [Copperhead] C:\Program Files\Razer\Copperhead\razerhid.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton 360\osCheck.exe"
O4 - HKLM\..\Run: [NortonAntiBot] "C:\Program Files\Symantec\Norton AntiBot\agent\bin\NortonAntiBot.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Common Files\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [Adobe Acrobat Speed Launcher] "C:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrobat_sl.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrotray.exe"
O4 - HKLM\..\Run: [Adobe_ID0ENQBO] C:\PROGRA~1\COMMON~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKCU\..\Run: [Gainward] C:\Program Files\EXPERTool ATI\TBPanel.exe /A
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O4 - Startup: knl.lnk = C:\Program Files\Knl\knl.exe
O8 - Extra context menu item: &Download All by FlashGet - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\Bhoall.htm
O8 - Extra context menu item: &Download by FlashGet - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\Bholink.htm
O8 - Extra context menu item: An vorhandene PDF-Datei anfügen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Linkziel an vorhandene PDF-Datei anhängen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Linkziel in Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\COMMON~1\SYMANT~1\CCPD-LC\symlcsvc.exe
O23 - Service: SymantecAntiBotAgent - Symantec - C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABAgent.exe
O23 - Service: SymantecAntiBotWatcher - Symantec - C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABWatcher.exe

--
End of file - 9487 bytes

Sspack 02.04.2009 17:24
Ich habe mir auch gleich erlaubt nochmal Gmer laufen zu lassen.

Code:
GMER 1.0.15.14966 - ht**p://www.gmer.net
Rootkit scan 2009-04-02 18:12:56
Windows 6.0.6001 Service Pack 1


---- System - GMER 1.0.15 ----

SSDT            874B84C8                ZwAlertResumeThread
SSDT            874B85A8                ZwAlertThread
SSDT            874B3148                ZwAllocateVirtualMemory
SSDT            873772E8                ZwAlpcConnectPort
SSDT            874B5FC0                ZwCreateMutant
SSDT            874B42D0                ZwCreateThread
SSDT            874B5C60                ZwDebugActiveProcess
SSDT            874B6328                ZwFreeVirtualMemory
SSDT            874B8308                ZwImpersonateAnonymousToken
SSDT            874B83E8                ZwImpersonateThread
SSDT            874B6228                ZwMapViewOfSection
SSDT            874B5F00                ZwOpenEvent
SSDT            874B3238                ZwOpenProcessToken
SSDT            874B5D40                ZwOpenSection
SSDT            874B8A80                ZwOpenThreadToken
SSDT            874AE430                ZwResumeThread
SSDT            874B89A0                ZwSetContextThread
SSDT            874B6058                ZwSetInformationProcess
SSDT            874B88B0                ZwSetInformationThread
SSDT            874B5E20                ZwSuspendProcess
SSDT            874B86F0                ZwSuspendThread
SSDT            \??\C:\Program Files\SUPERAntiSpyware\SASKUTIL.sys                ZwTerminateProcess [0x8EB68DF0]
SSDT            874B87D0                ZwTerminateThread
SSDT            874B6148                ZwUnmapViewOfSection
SSDT            874B63F8                ZwWriteVirtualMemory

INT 0x51        ?                8544CBF8
INT 0x62        ?                863ECF00
INT 0x72        ?                863ECF00
INT 0x82        ?                  8544BBF8
INT 0x92        ?                8544BBF8
INT 0xA2        ?                8544CBF8

---- Kernel code sections - GMER 1.0.15 ----

.text          ntkrnlpa.exe!KeSetTimerEx + 350                822F2914 8 Bytes  [C8, 84, 4B, 87, A8, 85, 4B, ...]
.text          ntkrnlpa.exe!KeSetTimerEx + 364                822F2928 4 Bytes  [48, 31, 4B, 87] {DEC EAX; XOR [EBX-0x79], ECX}
.text          ntkrnlpa.exe!KeSetTimerEx + 370                822F2934 4 Bytes  CALL 34B660AB
.text          ntkrnlpa.exe!KeSetTimerEx + 428                822F29EC 4 Bytes  [C0, 5F, 4B, 87] {RCR BYTE [EDI+0x4b], 0x87}
.text          ntkrnlpa.exe!KeSetTimerEx + 454                822F2A18 4 Bytes  [D0, 42, 4B, 87]
.text          ...                                                                                                                                               
?              System32\Drivers\spdc.sys                Das System kann den angegebenen Pfad nicht finden. !
PAGE            ataport.SYS!DllUnload                89A92B2E 5 Bytes  JMP 8544C1D8
.text          USBPORT.SYS!DllUnload                8E13046F 5 Bytes  JMP 863EC4E0
.text          aagspjck.SYS                8E30A000 22 Bytes  [26, E2, 20, 82, 10, E1, 20, ...]
.text          aagspjck.SYS                8E30A017 145 Bytes  [00, 32, 67, 79, 80, 3D, 65, ...]
.text          aagspjck.SYS                8E30A0A9 35 Bytes  [D0, 28, 82, A0, C7, 28, 82, ...]
.text          aagspjck.SYS                8E30A0CE 10 Bytes  [00, 00, 00, 00, 00, 00, 6A, ...]
.text          aagspjck.SY                8E30A0DA 12 Bytes  [00, 00, 02, 00, 00, 00, 25, ...]
.text          ...                                                                                                                                               

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortUchar]                [8068D6D2] \SystemRoot\System32\Drivers\spdc.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUchar]                [8068D040] \SystemRoot\System32\Drivers\spdc.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortBufferUshort]                [8068D7FC] \SystemRoot\System32\Drivers\spdc.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUshort]                [8068D0BE] \SystemRoot\System32\Drivers\spdc.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortBufferUshort]                  [8068D13C] \SystemRoot\System32\Drivers\spdc.sys
IAT            \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                  [8069D048] \SystemRoot\System32\Drivers\spdc.sys
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortNotification]                CC000CC2
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortWritePortUchar]                83EC8B55
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortWritePortUlong]                575320EC
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortGetPhysicalAddress]                458DFF33
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortConvertPhysicalAddressToUlong]                8D5750FC
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortGetScatterGatherList]                5750F845
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortReadPortUchar]                8957046A
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortStallExecution]                75E8FC7D
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortGetParentBusType]                BB0001E8
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortRequestCallback]                000000EA
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortWritePortBufferUshort]                850FC33B
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortGetUnCachedExtension]                  0000012B
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortCompleteRequest]                0FFC7D39
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortMoveMemory]                00012284
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortCompleteAllActiveRequests]                458D5600
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortReleaseRequestSenseIrb]                106A50F4
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortBuildRequestSenseIrb]                38335668
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortReadPortUshort]                FC75FF36
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortReadPortBufferUshort]                D1E85757
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortInitialize]                8B0001E7
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortGetDeviceBase]                1BDEF7F0
IAT            \SystemRoot\System32\Drivers\aagspjck.SYS[ataport.SYS!AtaPortDeviceStateChange]                23D6F7F6

---- User IAT/EAT - GMER 1.0.15 ----

IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusShutdown]                [744A7BA4] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCloneImage]                [744E98C5] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDrawImageRectI]                [744AD3C8] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetInterpolationMode]                [7449F527] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusStartup]                [744A7599] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateFromHDC]                [7449E43D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStreamICM]                [744DB33D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStream]                [744AD68A] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageHeight]                [744A012E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageWidth]                [744A0095] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDisposeImage]                [744971F3] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFileICM]                [7452D802] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFile]                [744C75E1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDeleteGraphics]                [7449DAE1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipFree]                [7449668F] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipAlloc]                [744966BA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetCompositingMode]                744A1E45] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

---- Devices - GMER 1.0.15 ----

Device          \FileSystem\Ntfs \Ntfs                854541F8
Device          \FileSystem\fastfat \FatCdrom                88BD9500
Device          \Driver\volmgr \Device\VolMgrControl                8544E1F8
Device          \Driver\usbohci \Device\USBPDO-0                8644C1F8
Device          \Driver\usbehci \Device\USBPDO-1                864551F8

AttachedDevice  \Driver\tdx \Device\Tcp                SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\volmgr \Device\HarddiskVolume1                8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume1                fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\volmgr \Device\HarddiskVolume2                8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume2                fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\cdrom \Device\CdRom0                864561F8
Device          \Driver\volmgr \Device\HarddiskVolume3                8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume3                fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\cdrom \Device\CdRom1                864561F8
Device          \Driver\atapi \Device\Ide\IdePort0                854501F8
Device          \Driver\atapi \Device\Ide\IdePort1                854501F8
Device          \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-3                854501F8
Device          \Driver\volmgr \Device\HarddiskVolume4                8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume4                fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\USBSTOR \Device\00000080                874B0500
Device          \Driver\netbt \Device\NetBt_Wins_Export                8747D1F8
Device          \Driver\Smb \Device\NetbiosSmb                874751F8
Device          \Driver\nvstor32 \Device\RaidPort0                854521F8

AttachedDevice  \Driver\tdx \Device\Udp                SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\nvstor32 \Device\RaidPort1                854521F8
Device          \Driver\nvstor32 \Device\RaidPort2                854521F8
Device          \Driver\PCI_PNP1816 \Device\0000005e                spdc.sys
Device          \Driver\nvstor32 \Device\0000006a                854521F8
Device          \Driver\iScsiPrt \Device\RaidPort3                865271F8
Device          \Driver\usbohci \Device\USBFDO-0                8644C1F8
Device          \Driver\usbehci \Device\USBFDO-1                864551F8
Device          \Driver\netbt \Device\NetBT_Tcpip_{9C459856-BE7E-4950-9FBB-559C46417253}                8747D1F8
Device          \Driver\netbt \Device\NetBT_Tcpip_{510FE5E3-6D97-45DE-8EF6-FC7C74F80C43}                8747D1F8
Device          \Driver\USBSTOR \Device\0000007e                874B0500
Device          \Driver\USBSTOR \Device\0000007f                874B0500
Device          \Driver\sptd \Device\734423823                spdc.sys
Device          \Driver\aagspjck \Device\Scsi\aagspjck1                865241F8
Device          \Driver\aagspjck \Device\Scsi\aagspjck1Port6Path0Target0Lun0                865241F8
Device          \FileSystem\fastfat \Fat                88BD9500

AttachedDevice  \FileSystem\fastfat \Fat                fltmgr.sys (Microsoft Dateisystem-Filter-Manager/Microsoft Corporation)
AttachedDevice  \FileSystem\fastfat \Fat                AntiBotFilter.sys

Device          \FileSystem\cdfs \Cdfs                88B0F1F8

---- Registry - GMER 1.0.15 ----

Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1                771343423
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2                285507792
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0                  1
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                   
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                C:\Program Files\DAEMON Tools Lite\
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                0
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                0x28 0x59 0x5D 0x00 ...
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                                                         
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                0x20 0x01 0x00 0x00 ...
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                0xFB 0x66 0xDE 0xBA ...
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                                                   
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh                0xDB 0x60 0x56 0xD6 ...
Reg            HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{9C459856-BE7E-4950-9FBB-559C46417253}@LeaseObtainedTime                1238687808
Reg            HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{9C459856-BE7E-4950-9FBB-559C46417253}@T1                1238687935
Reg            HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{9C459856-BE7E-4950-9FBB-559C46417253}@T2                1238688031
Reg            HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{9C459856-BE7E-4950-9FBB-559C46417253}@LeaseTerminatesTime                1238688063
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                       
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                C:\Program Files\DAEMON Tools Lite\
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                0
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                0x28 0x59 0x5D 0x00 ...
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                                                             
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                0x20 0x01 0x00 0x00 ...
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                0xFB 0x66 0xDE 0xBA ...
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                                                       
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh                0xDB 0x60 0x56 0xD6 ...
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}                                   
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}@pahfalfajpjjicdjldpegblbogaodfce    0x6B 0x61 0x6A 0x6B ...
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}@abnekpblmjofinpbhfiimhhjnpdmehjmpi  0x6B 0x61 0x6A 0x6B ...

---- EOF - GMER 1.0.15 ----
Ich kann vielleicht schon meine Einschätzung vorweg nehmen, um uns etwas Zeit zu ersparen.
Die anu20wob.sys scheint sich jetzt in aagspjck.sys umbenannt zu haben.
Als ich das sah, habe ich sofort im C:\Windows\System32\drivers Verzeichnis nachgesehen ob sie enthalten ist. Ich kann sie aber wieder nicht finden.
(Systemdateien einblenden und versteckte Dateien anzeigen hab ich in Ordneroptionen eingestellt)
Ich habe auch mit dem Programm totalcommander danach gesucht, doch auch in dessen Explorer ist die Datei nicht zu sehen.
Ein neuer Gmer-Check zeigt sie aber während ich schreibe immernoch genau an der selben Stelle an.
Eine Frage hierzu:
Kann es irgendetwas damit zu tun haben , dass, wie man im Gmer-Log sehen kann, die Datei sich nicht in "drivers" sonder "Drivers" befindet? Eingentlich sollte die Groß- und Kleinschreibung ja keinen einfluss auf den Pfad haben, aber vielleicht nützt dieser Schädling einen Bug im Windows-Explorer aus der damit zu tun hat?

Ich lasse meinen PC laufen und warte auf eine Antwort

KarlKarl 02.04.2009 18:02
Hi,

erstmal Daemon Tools deinstallieren, dann neu starten und erneut scannen ;)

Gruß, Karl

Sspack 03.04.2009 20:16
Danke auch dir KarlKarl,
Wie du mir aufgetragen hast, hab ich Deamon Tools deinstalliert und einen neuen Gmer-Scan und Hijackthis-Log angefertigt.
Die benannte Datei ist nichtmehr im Log aufgetaucht.

Code:
GMER 1.0.15.14966 - h**p://www.gmer.net
Rootkit scan 2009-04-03 20:36:18
Windows 6.0.6001 Service Pack 1


---- System - GMER 1.0.15 ----

SSDT            8748DBA0        ZwAlertResumeThread
SSDT            8748DC60        ZwAlertThread
SSDT            874867F8        ZwAllocateVirtualMemory
SSDT            873682E8        ZwAlpcConnectPort
SSDT            8748DB58          ZwCreateMutant
SSDT            87485608        ZwCreateThread
SSDT            87480EF0        ZwDebugActiveProcess
SSDT            87486D50        ZwFreeVirtualMemory
SSDT            87482B38        ZwImpersonateAnonymousToken
SSDT            8748D080        ZwImpersonateThread
SSDT            87486C70        ZwMapViewOfSection
SSDT            8748DA00        ZwOpenEvent
SSDT            87485548        ZwOpenProcessToken
SSDT            87480FD0        ZwOpenSection
SSDT            87402D70        ZwOpenThreadToken
SSDT            873FE7F8        ZwResumeThread
SSDT            874831E0        ZwSetContextThread
SSDT            87402E40        ZwSetInformationProcess
SSDT            87483110        ZwSetInformationThread
SSDT            8748D920        ZwSuspendProcess
SSDT            8748B3B8        ZwSuspendThread
SSDT            \??\C:\Program Files\SUPERAntiSpyware\SASKUTIL.sys        ZwTerminateProcess [0x8F695DF0]
SSDT            87483050        ZwTerminateThread
SSDT            87486BB0        ZwUnmapViewOfSection
SSDT            87486728        ZwWriteVirtualMemory

INT 0x51        ?        8544CBF8
INT 0x62        ?        63BAF00
INT 0x72        ?        863BAF00
INT 0x82        ?        8544BBF8
INT 0x92        ?        8544BBF8
INT 0xA2        ?        8544CBF8

---- Kernel code sections - GMER 1.0.15 ----

.text          ntkrnlpa.exe!KeSetTimerEx + 350        822FE914 8 Bytes  [A0, DB, 48, 87, 60, DC, 48, ...] {MOV AL, [0x608748db]; FMUL QWORD [EAX-0x79]}
.text          ntkrnlpa.exe!KeSetTimerEx + 364        822FE928 4 Bytes  [F8, 67, 48, 87]
.text          ntkrnlpa.exe!KeSetTimerEx + 370        822FE934 4 Bytes  CALL 34B71FBB
.text          ntkrnlpa.exe!KeSetTimerEx + 428        822FE9EC 4 Bytes  [58, DB, 48, 87] {POP EAX; FISTTP DWORD [EAX-0x79]}
.text          ntkrnlpa.exe!KeSetTimerEx + 454        822FEA18 4 Bytes  [08, 56, 48, 87]
.text          ...                                                                                                                                               
?              System32\Drivers\spki.sys        Das System kann den angegebenen Pfad nicht finden. !
.text          USBPORT.SYS!DllUnload        8E12E46F 5 Bytes  JMP 863BA4E0

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortUchar]        [8068D6D2] \SystemRoot\System32\Drivers\spki.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUchar]        [8068D040] \SystemRoot\System32\Drivers\spki.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortBufferUshort]          [8068D7FC] \SystemRoot\System32\Drivers\spki.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUshort]        [8068D0BE] \SystemRoot\System32\Drivers\spki.sys
IAT            \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortBufferUshort]        [8068D13C] \SystemRoot\System32\Drivers\spki.sys
IAT            \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]        [8069D048] \SystemRoot\System32\Drivers\spki.sys

---- User IAT/EAT - GMER 1.0.15 ----

IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusShutdown]        [74DC7BA4] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCloneImage]        [74E098C5] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDrawImageRectI]        [74DCD3C8] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetInterpolationMode]        [74DBF527] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusStartup]        [74DC7599] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateFromHDC]          [74DBE43D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStreamICM]        [74DFB33D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStream]        [74DCD68A] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageHeight]        [74DC012E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageWidth]        [74DC0095] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDisposeImage]        [74DB71F3] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFileICM]        [74E4D802] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFile]        [74DE75E1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDeleteGraphics]        [74DBDAE1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipFree]        [74DB668F] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipAlloc]        [74DB66BA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT            C:\Windows\Explorer.EXE[284] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetCompositingMode]        [74DC1E45] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6001.18065_none_9e7abe2ec9c13222\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)

---- Devices - GMER 1.0.15 ----

Device          \FileSystem\Ntfs \Ntfs        854541F8

AttachedDevice  \FileSystem\Ntfs \Ntfs        AntiBotFilter.sys

Device          \FileSystem\fastfat \FatCdrom        87E981F8
Device          \Driver\volmgr \Device\VolMgrControl        8544E1F8
Device          \Driver\usbohci \Device\USBPDO-0        864D8500
Device          \Driver\usbehci \Device\USBPDO-1          864D71F8

AttachedDevice  \Driver\tdx \Device\Tcp        SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\volmgr \Device\HarddiskVolume1        8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume1        fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\volmgr \Device\HarddiskVolume2        8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume2        fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\cdrom \Device\CdRom0        864E9500
Device          \Driver\volmgr \Device\HarddiskVolume3        8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume3        fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\atapi \Device\Ide\IdePort0        854501F8
Device          \Driver\atapi \Device\Ide\IdePort1          854501F8
Device          \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-3          854501F8
Device          \Driver\volmgr \Device\HarddiskVolume4          8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume4        fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\USBSTOR \Device\00000080                873FF500
Device          \Driver\USBSTOR \Device\00000074                873FF500
Device          \Driver\volmgr \Device\HarddiskVolume5                8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume5                fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\USBSTOR \Device\00000075                873FF500
Device          \Driver\USBSTOR \Device\00000081                873FF500
Device          \Driver\volmgr \Device\HarddiskVolume6                  8544E1F8

AttachedDevice  \Driver\volmgr \Device\HarddiskVolume6                fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\nvstor32 \Device\00000069                854521F8
Device          \Driver\netbt \Device\NetBt_Wins_Export                873BF1F8
Device          \Driver\USBSTOR \Device\00000085                873FF500
Device          \Driver\Smb \Device\NetbiosSmb                873F31F8
Device          \Driver\USBSTOR \Device\00000086                873FF500
Device          \Driver\nvstor32 \Device\RaidPort0                854521F8

AttachedDevice  \Driver\tdx \Device\Udp                SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\nvstor32 \Device\RaidPort1                  854521F8
Device          \Driver\nvstor32 \Device\RaidPort2                854521F8
Device          \Driver\iScsiPrt \Device\RaidPort3                865091F8
Device          \Driver\usbohci \Device\USBFDO-0                864D8500
Device          \Driver\usbehci \Device\USBFDO-1                864D71F8
Device          \Driver\netbt \Device\NetBT_Tcpip_{510FE5E3-6D97-45DE-8EF6-FC7C74F80C43}                873BF1F8
Device          \Driver\netbt \Device\NetBT_Tcpip_{9C459856-BE7E-4950-9FBB-559C46417253}                873BF1F8
Device          \Driver\USBSTOR \Device\0000007f                873FF500
Device          \FileSystem\fastfat \Fat                87E981F8

AttachedDevice  \FileSystem\fastfat \Fat                fltmgr.sys (Microsoft Dateisystem-Filter-Manager/Microsoft Corporation)
AttachedDevice  \FileSystem\fastfat \Fat                AntiBotFilter.sys

Device          \FileSystem\cdfs \Cdfs                880351F8

---- Registry - GMER 1.0.15 ----

Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1                771343423
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2                285507792
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0                1
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                   
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                0
Reg            HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                0x18 0xF6 0x55 0x68 ...
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                       
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                0
Reg            HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                  0x18 0xF6 0x55 0x68 ...
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}                                   
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}@pahfalfajpjjicdjldpegblbogaodfce    0x6B 0x61 0x6A 0x6B ...
Reg            HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{40072E1E-34F2-14CE-72DC-59853D67C41D}@abnekpblmjofinpbhfiimhhjnpdmehjmpi  0x6B 0x61 0x6A 0x6B ...

---- Files - GMER 1.0.15 ----

File            C:\Windows\System32\LogFiles\Scm\SCM.EVM                (size mismatch) 229376/0 bytes
File            C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTDiagLog.etl                  (size mismatch) 2158312/2109584 bytes
File            C:\Windows\System32\spool\SpoolerETW.etl                (size mismatch) 4096/0 bytes
File            C:\Windows\System32\WDI\LogFiles\WdiContextLog.etl.001                (size mismatch) 245760/0 bytes
File            C:\Windows\System32\wfp\wfpdiag.etl                  (size mismatch) 65536/0 bytes

---- EOF - GMER 1.0.15 ----
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 8:58:17 , on 03.04.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Razer\Copperhead\razerhid.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NortonAntiBot.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Adobe\Acrobat 9.0\Acrobat\acrobat_sl.exe
C:\Program Files\Adobe\Acrobat 9.0\Acrobat\acrotray.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\EXPERTool ATI\TBPANEL.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Program Files\Knl\knl.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Razer\Copperhead\razertra.exe
C:\Program Files\Razer\Copperhead\razerofa.exe
C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABMonitor.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: ContributeBHO Class - {074C1DC5-9320-4A9A-947D-C042949C6216} - C:\Program Files\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: flashget2 urlcatch - {1F364306-AA45-47B5-9F9D-39A8B94E7EF1} - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\bhoCATCH.dll
O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\COMMON~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Show Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\CoIEPlg.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - C:\Program Files\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O4 - HKLM\..\Run: [Copperhead] C:\Program Files\Razer\Copperhead\razerhid.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton 360\osCheck.exe"
O4 - HKLM\..\Run: [NortonAntiBot] "C:\Program Files\Symantec\Norton AntiBot\agent\bin\NortonAntiBot.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Common Files\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [Adobe Acrobat Speed Launcher] "C:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrobat_sl.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrotray.exe"
O4 - HKLM\..\Run: [Adobe_ID0ENQBO] C:\PROGRA~1\COMMON~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKCU\..\Run: [Gainward] C:\Program Files\EXPERTool ATI\TBPanel.exe /A
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O4 - Startup: knl.lnk = C:\Program Files\Knl\knl.exe
O8 - Extra context menu item: &Download All by FlashGet - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\Bhoall.htm
O8 - Extra context menu item: &Download by FlashGet - C:\Program Files\FlashGet Network\FlashGet universal\ComDlls\Bholink.htm
O8 - Extra context menu item: An vorhandene PDF-Datei anfügen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Linkziel an vorhandene PDF-Datei anhängen - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Linkziel in Adobe PDF konvertieren - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\COMMON~1\SYMANT~1\CCPD-LC\symlcsvc.exe
O23 - Service: SymantecAntiBotAgent - Symantec - C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABAgent.exe
O23 - Service: SymantecAntiBotWatcher - Symantec - C:\Program Files\Symantec\Norton AntiBot\agent\Bin\NABWatcher.exe

--
End of file - 9171 bytes
Ausserdem habe ich die Reparaturen von SuperAntiSpyware durchgeführt.
Das Problem mit dem Gmer Button besteht aber weiterhin. Hat dazu einer noch ne Erklärung/Lösung?


Alle Zeitangaben in WEZ +1. Es ist jetzt 02:55 Uhr.

Copyright ©2000-2024, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129