Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Security Suite Virus nicht komplett gelöscht (https://www.trojaner-board.de/90994-security-suite-virus-komplett-geloescht.html)

Big J 21.09.2010 20:45
Security Suite Virus nicht komplett gelöscht
 
hallo,
ich habe mir neulich (durch ein "games for windows-live update") den "av security suite" virus geholt. Habe ihn dann so gut wie möglich entfernt, wie es schon of in foren beschrieben wurde...seitdem läuft der pc wieder ganz normal, internet geht auch normal.

Nun zu meinem problem: wenn ich ins internet gehe werde ich nach ca. 5-10 min automatisch auf eine unbekannte seite weitergeleitet, bei der sich im hintergrund java öffnet (java symbol erscheint rechts unten in der taskleiste) und ich mir vermutlich wieder den virus holen würde, wenn ich die seite nicht gleich wieder schließe.
Außerdem ist mir aufgefallen, dass wenn ich firefox öffne und dann cmd öffne und "netstat -n" eingebe, manchmal neben 1 oder 2 ip adressen "SYN_GESENDET" oder "ZULETZT_ACK" oder "FIN_WARTEN" steht.
Wenn ich firefox nicht öffne, erscheinen diese IPs auch nicht.

Habe schon mit Hijackthis verschiedene BHOs von java gefixt (weil der virus auch etwas mit java zu tun hat glaube ich, jedenfalls öffnet sich immer java wenn man sich ihn holt). Hat leider bisher nicht wirklich etwas gebracht.

Achja komischerweise lässt sich die FABS.exe nicht per hijackthis fixen. Habe sie dann im abgesicherten modus gelöscht. Wenn ich dann wieder hijackthis durchlaufen lasse, erscheint sie immer noch nur mit der meldung (file not found) oder sowas und wenn ich den eintrag fixen will taucht er beim nächsten scan wieder auf...

Vielleicht könnt ihr mir ja weiterhelfen, hier mal eine Hijackthis log:
HiJackthis Logfile:
Code:
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 21:35:01, on 21.09.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
 
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\Programme\ICQ6Toolbar\ICQ Service.exe
C:\Programme\Java\jre6\bin\jqs.exe
E:\Malwarebytes' Anti-Malware\mbamservice.exe
C:\Programme\Microsoft LifeCam\MSCamS32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\SyncroSoft\Pos\H2O\cledx.exe
C:\WINDOWS\vVX6000.exe
E:\Malwarebytes' Anti-Malware\mbamgui.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Mozilla Firefox\plugin-container.exe
C:\Programme\ICQ7.2\ICQ.exe
C:\Programme\Winamp\winamp.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\Programme\Windows Live\Contacts\wlcomm.exe
E:\HiJackThis204.exe
 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [H2O] C:\Programme\SyncroSoft\Pos\H2O\cledx.exe
O4 - HKLM\..\Run: [LifeCam] "C:\Programme\Microsoft LifeCam\LifeExp.exe"
O4 - HKLM\..\Run: [VX6000] C:\WINDOWS\vVX6000.exe
O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "E:\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Dienst "Bonjour" (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FABS - Helping agent for MAGIX media database (Fabs) - Unknown owner - C:\Programme\Gemeinsame Dateien\MAGIX Services\Database\bin\FABS.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: MBAMService - Malwarebytes Corporation - E:\Malwarebytes' Anti-Malware\mbamservice.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
 
--
End of file - 6278 bytes
--- --- ---

cosinus 22.09.2010 21:49
Zitat:
Habe ihn dann so gut wie möglich entfernt, wie es schon of in foren beschrieben wurde...seitdem läuft der pc wieder ganz normal, internet geht auch normal.
Dann hast Du bestimmt ein paar mehr Logs als nur das gepostete von Hijackthis. Poste bitte alle, auch alle von malwarebytes usw.!!

Big J 23.09.2010 12:30
Nein, habe leider nur noch das logfile von hijackthis...
nachdem ich den virus entfert habe (mit malwarebytes usw) habe ich antivir und malwarebytes nochmals durchlaufen lassen und beide haben nichts gefunden.
Achja manchmal braucht der PC auch etwas länger zum hochfahren, bzw bis er die LAN-Verbindung aktiviert hat...

Was könnte ich denn noch machen? :confused:

hab nicht wirklich lust c: zu formatieren weil ja dann die registry einträge weg wären und ich echt ein ganzen haufen software neu installieren dürfte ^^

cosinus 23.09.2010 14:54
Zitat:
nachdem ich den virus entfert habe (mit Malwarebytes usw) habe ich antivir und Malwarebytes nochmals durchlaufen lassen und beide haben nichts gefunden.
Ich hab doch gestern nach mehr Logs gefragt. Warum schreibst Du nun dass Du Malwarebytes und AntiVir durchlaufen lassen hast, lässt die Logs aber weg? Sry aber wenn man Dir helfen soll, musst Du auch mal aufmerksamer lesen und auch ein wenig mitdenken.

Big J 23.09.2010 22:18
Hm ja ok ich dachte du meintest die alten logfiles wo malwarebytes was gefunden hat damals....

hier das neue Malwarebytes logfile:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4424

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

23.09.2010 15:49:41
mbam-log-2010-09-23 (15-49-41).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Durchsuchte Objekte: 469939
Laufzeit: 1 Stunde(n), 40 Minute(n), 48 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)



Antivir logfile kommt noch!

cosinus 24.09.2010 08:27
Zitat:
Datenbank Version: 4424
Du hast Malwarebytes vorher nicht aktualisiert. Bitte updaten und einen Vollscan machen.

Big J 24.09.2010 22:26
ok habs geupadetet... wurden doch noch 2 viren gefunden:


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4684

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

24.09.2010 23:21:46
mbam-log-2010-09-24 (23-21-46).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Durchsuchte Objekte: 172685
Laufzeit: 46 Minute(n), 25 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Temporary Internet Files\Content.IE5\P9JEE7Q7\update[1].exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Temporary Internet Files\Content.IE5\Z4P6V11Z\f4ac4[1].exe (Rootkit.TDSS) -> Quarantined and deleted successfully.

Big J 25.09.2010 10:40
habe jetzt übernacht MBAM und Antivir nochmal richtig durchlaufen lassen, da ich bei dem letzten mbam scan nach ner weile abgebrochen habe....er hat jetzt noch nen infizierten registrierungseintrag gefunden, die pop-ups öffnen sich aber leider nach ein paar minuten immernoch automatisch...ab und zu werde ich auch auf irgendwelche suchmaschinen weitergeleitet...wenn ich z.b. bei google etwas suche und dann auf einen link klicke, kommt irgend eine komische suchseite...dann muss ich erstmal zurück und die seite erneut aufrufen damit ich auf die eigentliche seite komme...

hier mal die logs:



MBAM Log:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4684

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

25.09.2010 11:21:59
mbam-log-2010-09-25 (11-21-59).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Durchsuchte Objekte: 477027
Laufzeit: 5 Stunde(n), 57 Minute(n), 57 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\wnxmal (Rogue.SecuritySuite) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)



Antivir Ereignisse:


Die Datei 'C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Temp\jar_cache6899557874294814324.tmp'
enthielt einen Virus oder unerwünschtes Programm 'JAVA/OpenStream.A' [virus].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '519f349b.qua' verschoben!


Die Datei 'C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\32\7448ce0-7971c2f3'
enthielt einen Virus oder unerwünschtes Programm 'JAVA/Agent.M.1' [virus].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48d61be9.qua' verschoben!


Die Datei 'C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\48\55fc09f0-4a67f68d'
enthielt einen Virus oder unerwünschtes Programm 'JAVA/Agent.M.1' [virus].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '03cc6ea7.qua' verschoben!

cosinus 25.09.2010 17:33
Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
  • Doppelklick auf die OTL.exe
  • Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
  • Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
  • Unter Extra Registry, wähle bitte Use SafeList
  • Klicke nun auf Run Scan links oben
  • Wenn der Scan beendet wurde werden 2 Logfiles erstellt
  • Poste die Logfiles hier in den Thread.

Big J 26.09.2010 01:42
bitteschön:OTL Logfile:
Code:
OTL logfile created on: 26.09.2010 02:33:35 - Run 1
OTL by OldTimer - Version 3.2.14.1    Folder = C:\Dokumente und Einstellungen\Jonny\Desktop
Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,00 Gb Total Physical Memory | 3,00 Gb Available Physical Memory | 83,00% Memory free
5,00 Gb Paging File | 5,00 Gb Available in Paging File | 90,00% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 21,38 Gb Total Space | 3,19 Gb Free Space | 14,92% Space Free | Partition Type: NTFS
Drive D: | 465,76 Gb Total Space | 207,09 Gb Free Space | 44,46% Space Free | Partition Type: NTFS
Drive E: | 211,49 Gb Total Space | 10,09 Gb Free Space | 4,77% Space Free | Partition Type: NTFS
Drive F: | 15,66 Mb Total Space | 13,18 Mb Free Space | 84,17% Space Free | Partition Type: NTFS
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
 
Computer Name: JONNYS-PC
Current User Name: Jonny
Logged in as Administrator.
 
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
 
========== Processes (SafeList) ==========
 
PRC - C:\Dokumente und Einstellungen\Jonny\Desktop\OTL.exe (OldTimer Tools)
PRC - C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
PRC - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe (Apple Inc.)
PRC - C:\WINDOWS\vVX6000.exe (Microsoft Corporation
)
PRC - C:\Programme\Microsoft LifeCam\MSCamS32.exe (Microsoft Corporation)
PRC - E:\Malwarebytes' Anti-Malware\mbamservice.exe (Malwarebytes Corporation)
PRC - E:\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
PRC - C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
PRC - C:\Programme\ICQ6Toolbar\ICQ Service.exe ()
PRC - C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\avshadow.exe (Avira GmbH)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
PRC - C:\Programme\Syncrosoft\POS\H2O\cledx.exe (Team H2O)
PRC - C:\WINDOWS\system32\grxp4exe.exe (Kensington Technology Group)
 
 
========== Modules (SafeList) ==========
 
MOD - C:\Dokumente und Einstellungen\Jonny\Desktop\OTL.exe (OldTimer Tools)
MOD - C:\WINDOWS\system32\msscript.ocx (Microsoft Corporation)
MOD - C:\WINDOWS\system32\grxp4dll.dll (Kensington Technology Group)
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (Fabs) -- C:\Programme\Gemeinsame Dateien\MAGIX Services\Database\bin\FABS.exe File not found
SRV - (FLEXnet Licensing Service) -- C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe (Acresso Software Inc.)
SRV - (Apple Mobile Device) -- C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe (Apple Inc.)
SRV - (MSCamSvc) -- C:\Programme\Microsoft LifeCam\MSCamS32.exe (Microsoft Corporation)
SRV - (MBAMService) -- E:\Malwarebytes' Anti-Malware\mbamservice.exe (Malwarebytes Corporation)
SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
SRV - (ICQ Service) -- C:\Programme\ICQ6Toolbar\ICQ Service.exe ()
SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
SRV - (ose) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (SetupNTGLM7X) -- G:\NTGLM7X.sys File not found
DRV - (NTACCESS) -- G:\NTACCESS.sys File not found
DRV - (MSICPL) -- G:\install4\MSICPL.sys File not found
DRV - (GMSIPCI) -- G:\INSTALL\GMSIPCI.SYS File not found
DRV - (sptd) -- C:\WINDOWS\System32\Drivers\sptd.sys ()
DRV - (nv) -- C:\WINDOWS\system32\drivers\nv4_mini.sys (NVIDIA Corporation)
DRV - (VX6000) -- C:\WINDOWS\system32\drivers\VX6000Xp.sys (Microsoft Corporation
)
DRV - (MBAMProtector) -- C:\WINDOWS\system32\drivers\mbam.sys (Malwarebytes Corporation)
DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH)
DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH)
DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH)
DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH)
DRV - (usbaudio) USB-Audiotreiber (WDM) -- C:\WINDOWS\system32\drivers\usbaudio.sys (Microsoft Corporation)
DRV - (HDAudBus) -- C:\WINDOWS\system32\drivers\hdaudbus.sys (Windows (R) Server 2003 DDK provider)
DRV - (IntcAzAudAddService) Service for Realtek HD Audio (WDM) -- C:\WINDOWS\system32\drivers\RtkHDAud.sys (Realtek Semiconductor Corp.)
DRV - (RTLE8023xp) -- C:\WINDOWS\system32\drivers\Rtenicxp.sys (Realtek Semiconductor Corporation                          )
DRV - (CLEDX) -- C:\WINDOWS\system32\drivers\cledx.sys (Team H2O)
DRV - (ntxpusb) -- C:\WINDOWS\system32\drivers\ntxpusb.sys (Kensington Technology Group)
DRV - (kid_sys) -- C:\WINDOWS\system32\drivers\KID_SYS.sys (Kensington Technology Group)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.search.defaultenginename: "foxsearch"
FF - prefs.js..browser.search.order.1: "foxsearch"
FF - prefs.js..browser.search.selectedEngine: "Google"
FF - prefs.js..browser.startup.homepage: "www.google.de"
FF - prefs.js..keyword.URL: "hxxp://www.finduny.com?client=mozilla-firefox&cd=UTF-8&search=1&q="
FF - prefs.js..network.proxy.type: 0
 
 
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.10\extensions\\Components: C:\Programme\Mozilla Firefox\components [2010.09.19 22:57:39 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Firefox 3.6.10\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2010.09.19 22:57:39 | 000,000,000 | ---D | M]
FF - HKLM\software\mozilla\Mozilla Thunderbird 2.0.0.24\extensions\\Components: E:\Mozilla Thunderbird\components [2010.08.14 18:30:25 | 000,000,000 | ---D | M]
 
[2010.07.07 15:09:27 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\Mozilla\Extensions
[2010.09.25 11:37:18 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\Mozilla\Firefox\Profiles\006u060q.default\extensions
[2010.08.07 02:47:54 | 000,000,000 | ---D | M] (Microsoft .NET Framework Assistant) -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\Mozilla\Firefox\Profiles\006u060q.default\extensions\{20a82645-c095-46ed-80e3-08825760534b}
[2010.07.08 11:44:45 | 000,002,059 | ---- | M] () -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\Mozilla\Firefox\Profiles\006u060q.default\searchplugins\daemon-search.xml
[2010.09.21 16:13:01 | 000,001,056 | ---- | M] () -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\Mozilla\Firefox\Profiles\006u060q.default\searchplugins\icqplugin.xml
[2010.09.25 11:37:18 | 000,000,000 | ---D | M] -- C:\Programme\Mozilla Firefox\extensions
[2010.03.19 09:23:30 | 000,686,592 | ---- | M] (Synatix GmbH) -- C:\Programme\Mozilla Firefox\plugins\npmieze.dll
[2010.06.29 06:01:22 | 000,012,800 | ---- | M] (Nullsoft, Inc.) -- C:\Programme\Mozilla Firefox\plugins\npwachk.dll
[2010.09.19 22:57:36 | 000,001,392 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\amazondotcom-de.xml
[2010.09.19 22:57:36 | 000,002,344 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\eBay-de.xml
[2010.07.07 17:29:34 | 000,000,143 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\foxsearch.src
[2010.09.19 22:57:36 | 000,006,805 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\leo_ende_de.xml
[2010.09.19 22:57:36 | 000,001,178 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\wikipedia-de.xml
[2010.09.19 22:57:36 | 000,001,105 | ---- | M] () -- C:\Programme\Mozilla Firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2004.08.04 14:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1      localhost
O3 - HKCU\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Programme\DAEMON Tools Toolbar\DTToolbar.dll ()
O4 - HKLM..\Run: [Alcmtr] C:\WINDOWS\Alcmtr.exe (Realtek Semiconductor Corp.)
O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [Gravis Xperience Driver Support] C:\WINDOWS\System32\grxp4exe.exe (Kensington Technology Group)
O4 - HKLM..\Run: [H2O] C:\Programme\Syncrosoft\POS\H2O\cledx.exe (Team H2O)
O4 - HKLM..\Run: [LifeCam] C:\Programme\Microsoft LifeCam\LifeExp.exe (Microsoft Corporation)
O4 - HKLM..\Run: [Malwarebytes' Anti-Malware] E:\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.DLL (NVIDIA Corporation)
O4 - HKLM..\Run: [NvMediaCenter] C:\WINDOWS\System32\NvMcTray.DLL (NVIDIA Corporation)
O4 - HKLM..\Run: [VX6000] C:\WINDOWS\vVX6000.exe (Microsoft Corporation
)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveAutorun = 0
O9 - Extra Button: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe (ICQ, LLC.)
O9 - Extra 'Tools' menuitem : ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe (ICQ, LLC.)
O10 - NameSpace_Catalog5\Catalog_Entries\000000000004 [] - C:\Programme\Bonjour\mdnsNSP.dll (Apple Inc.)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_15-windows-i586.cab (Java Plug-in 1.6.0_15)
O16 - DPF: {CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_15-windows-i586.cab (Java Plug-in 1.6.0_15)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_15-windows-i586.cab (Java Plug-in 1.6.0_15)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 195.50.140.178 195.50.140.114
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\livecall {828030A1-22C1-4009-854F-8E305202313F} - C:\Programme\Windows Live\Messenger\msgrapp.14.0.8117.0416.dll (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msnim {828030A1-22C1-4009-854F-8E305202313F} - C:\Programme\Windows Live\Messenger\msgrapp.14.0.8117.0416.dll (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation)
O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Programme\Gemeinsame Dateien\Skype\Skype4COM.dll (Skype Technologies)
O18 - Protocol\Filter\text/xml {807553E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2010.07.07 14:07:46 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2010.09.26 02:32:06 | 000,575,488 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Jonny\Desktop\OTL.exe
[2010.09.24 23:28:51 | 000,069,632 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\grxp4dll.dll
[2010.09.24 23:28:51 | 000,036,864 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\grxp4exe.exe
[2010.09.24 23:19:45 | 000,011,920 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\drivers\KID_SYS.sys
[2010.09.24 23:19:44 | 000,126,976 | ---- | C] (Inner Media, Inc.) -- C:\WINDOWS\System32\DZIP32.DLL
[2010.09.24 23:19:44 | 000,110,592 | ---- | C] (Inner Media, Inc.) -- C:\WINDOWS\System32\DUNZIP32.DLL
[2010.09.24 23:19:44 | 000,029,184 | ---- | C] (Blue Sky Software) -- C:\WINDOWS\System32\POPUP.OCX
[2010.09.24 23:19:43 | 000,266,432 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\drivers\ntxpusb.sys
[2010.09.24 23:19:43 | 000,155,648 | ---- | C] (Immersion Corporation) -- C:\WINDOWS\System32\ifc21.dll
[2010.09.24 23:19:43 | 000,045,056 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\Grxpff.dll
[2010.09.24 23:19:43 | 000,016,469 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\xp_inst.dll
[2010.09.24 23:19:43 | 000,009,140 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\drivers\KID_LIB.sys
[2010.09.24 23:19:42 | 002,977,792 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\Grxp4ppg.dll
[2010.09.24 23:19:42 | 000,032,768 | ---- | C] (Kensington Technology Group) -- C:\WINDOWS\System32\xp_run.exe
[2010.09.24 23:19:39 | 000,000,000 | ---D | C] -- C:\Programme\Gravis
[2010.09.24 22:53:01 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Activision
[2010.09.24 18:03:05 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Identities
[2010.09.19 19:02:20 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Activision
[2010.09.16 22:51:54 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Jonny\Eigene Dateien\Activision
[2010.09.16 22:51:54 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\Activision
[2010.09.16 16:42:34 | 000,000,000 | -HSD | C] -- C:\WINDOWS\ftpcache
[2010.09.16 12:30:15 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Jonny\ntsvcfg
[2010.09.14 16:59:39 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Adobe
[2010.09.14 16:59:38 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Sun
[2010.09.14 03:20:25 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Macromedia
[2010.09.13 10:28:01 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Adobe
[2010.09.11 13:20:31 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\Macromedia
[2010.09.11 13:19:26 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\Adobe
[2010.09.11 12:12:35 | 000,000,000 | -HSD | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SecuROM
[2010.09.11 12:10:54 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\All Users\Dokumente\Server
[2010.09.11 01:50:31 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Jonny\Eigene Dateien\Rockstar Games
[2010.09.11 01:47:48 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\SecuROM
[2010.09.11 00:08:05 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Rockstar Games
[2010.09.10 23:53:13 | 000,014,640 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\spmsg.dll
[2010.09.10 23:52:16 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\xlive
[2010.09.10 23:52:16 | 000,000,000 | ---D | C] -- C:\Programme\Microsoft Games for Windows - LIVE
[2010.09.10 02:07:44 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\InstallShield Installation Information
[2010.09.10 02:03:23 | 000,000,000 | ---D | C] -- C:\WINDOWS\45235788142C44BE8A4DDDE9A84492E5.TMP
[2010.09.09 10:49:29 | 000,107,888 | ---- | C] (Sony DADC Austria AG.) -- C:\WINDOWS\System32\CmdLineExt.dll
[2010.09.09 10:47:32 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\LogFiles
[2010.09.08 14:22:35 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Adobe
[2010.09.08 12:38:17 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\NtmsData
[7 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[3 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2010.09.26 02:32:07 | 000,575,488 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Jonny\Desktop\OTL.exe
[2010.09.26 02:28:07 | 000,000,260 | ---- | M] () -- C:\WINDOWS\tasks\WGASetup.job
[2010.09.25 13:42:17 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT
[2010.09.25 13:42:15 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2010.09.25 13:41:30 | 006,029,312 | -H-- | M] () -- C:\Dokumente und Einstellungen\Jonny\NTUSER.DAT
[2010.09.25 11:56:06 | 000,001,857 | ---- | M] () -- C:\WINDOWS\GRAVXPR.GRB
[2010.09.24 23:29:57 | 000,037,575 | ---- | M] () -- C:\WINDOWS\gravxpr.bak.grb
[2010.09.24 18:02:47 | 001,043,324 | ---- | M] () -- C:\WINDOWS\System32\PerfStringBackup.INI
[2010.09.24 18:02:47 | 000,451,896 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2010.09.24 18:02:47 | 000,435,260 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2010.09.24 18:02:47 | 000,081,110 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2010.09.24 18:02:47 | 000,068,156 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2010.09.24 16:37:06 | 000,000,897 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Spider-Man - Freund oder Feind.lnk
[2010.09.24 13:44:17 | 000,002,206 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2010.09.22 19:11:34 | 000,000,190 | -HS- | M] () -- C:\Dokumente und Einstellungen\Jonny\ntuser.ini
[2010.09.19 18:53:29 | 000,000,966 | ---- | M] () -- C:\Dokumente und Einstellungen\Jonny\Desktop\Spider-Man - Web of Shadows.lnk
[2010.09.19 17:42:32 | 000,000,664 | ---- | M] () -- C:\WINDOWS\System32\d3d9caps.dat
[2010.09.18 00:58:58 | 000,001,981 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\iTunes.lnk
[2010.09.16 16:48:57 | 000,000,375 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Spider-Man 3.lnk
[2010.09.16 16:48:55 | 000,000,278 | ---- | M] () -- C:\WINDOWS\game.ini
[2010.09.15 21:21:24 | 000,000,603 | ---- | M] () -- C:\WINDOWS\win.ini
[2010.09.15 21:21:24 | 000,000,227 | ---- | M] () -- C:\WINDOWS\system.ini
[2010.09.15 21:21:24 | 000,000,211 | -HS- | M] () -- C:\boot.ini
[2010.09.14 18:22:38 | 000,030,208 | ---- | M] () -- C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2010.09.14 08:42:53 | 000,000,452 | ---- | M] () -- C:\Dokumente und Einstellungen\Jonny\Eigene Dateien\spider.sav
[2010.09.10 23:53:19 | 000,000,000 | -H-- | M] () -- C:\WINDOWS\System32\drivers\umdf\MsftWdf_user_01_00_00.Wdf
[2010.09.10 23:51:50 | 000,000,842 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Grand Theft Auto IV.lnk
[2010.09.10 02:07:34 | 000,000,546 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Unreal Tournament 3.lnk
[2010.09.09 10:53:13 | 000,000,563 | ---- | M] () -- C:\Dokumente und Einstellungen\Jonny\Desktop\Far Cry 2.lnk
[2010.09.09 10:49:29 | 000,107,888 | ---- | M] (Sony DADC Austria AG.) -- C:\WINDOWS\System32\CmdLineExt.dll
[2010.09.09 10:48:00 | 000,022,328 | ---- | M] () -- C:\WINDOWS\System32\drivers\PnkBstrK.sys
[2010.09.09 10:48:00 | 000,022,328 | ---- | M] () -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\PnkBstrK.sys
[2010.09.09 10:47:32 | 002,250,024 | ---- | M] () -- C:\WINDOWS\System32\pbsvc.exe
[2010.09.08 10:41:19 | 000,033,118 | ---- | M] () -- C:\WINDOWS\System32\winupd
[2010.09.07 20:03:16 | 000,000,471 | ---- | M] () -- C:\WINDOWS\System32\Datei4
[2010.09.07 20:03:16 | 000,000,471 | ---- | M] () -- C:\WINDOWS\System32\Datei2
[2010.09.07 20:03:16 | 000,000,470 | ---- | M] () -- C:\WINDOWS\System32\Datei3
[2010.09.07 20:03:16 | 000,000,470 | ---- | M] () -- C:\WINDOWS\System32\Datei1
[2010.09.07 20:03:16 | 000,000,469 | ---- | M] () -- C:\WINDOWS\System32\Datei7
[2010.09.07 20:03:16 | 000,000,469 | ---- | M] () -- C:\WINDOWS\System32\Datei5
[2010.09.07 20:03:16 | 000,000,468 | ---- | M] () -- C:\WINDOWS\System32\Datei0
[2010.09.07 20:03:16 | 000,000,467 | ---- | M] () -- C:\WINDOWS\System32\Datei9
[2010.09.07 20:03:16 | 000,000,467 | ---- | M] () -- C:\WINDOWS\System32\Datei8
[2010.09.07 20:03:16 | 000,000,467 | ---- | M] () -- C:\WINDOWS\System32\Datei10
[2010.09.07 20:03:16 | 000,000,465 | ---- | M] () -- C:\WINDOWS\System32\Datei6
[2010.08.28 14:13:38 | 000,062,768 | ---- | M] () -- C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
[7 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[3 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2010.09.24 23:19:44 | 000,037,575 | ---- | C] () -- C:\WINDOWS\gravxpr.bak.grb
[2010.09.24 23:19:44 | 000,001,857 | ---- | C] () -- C:\WINDOWS\GRAVXPR.GRB
[2010.09.24 16:37:06 | 000,000,897 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Spider-Man - Freund oder Feind.lnk
[2010.09.19 18:53:29 | 000,000,966 | ---- | C] () -- C:\Dokumente und Einstellungen\Jonny\Desktop\Spider-Man - Web of Shadows.lnk
[2010.09.16 16:48:57 | 000,000,375 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Spider-Man 3.lnk
[2010.09.16 16:48:55 | 000,000,278 | ---- | C] () -- C:\WINDOWS\game.ini
[2010.09.14 05:22:25 | 000,000,452 | ---- | C] () -- C:\Dokumente und Einstellungen\Jonny\Eigene Dateien\spider.sav
[2010.09.12 08:09:34 | 000,000,664 | ---- | C] () -- C:\WINDOWS\System32\d3d9caps.dat
[2010.09.11 02:34:52 | 000,173,616 | ---- | C] () -- C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
[2010.09.10 23:51:50 | 000,000,842 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Grand Theft Auto IV.lnk
[2010.09.10 02:07:34 | 000,000,546 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Unreal Tournament 3.lnk
[2010.09.09 10:53:13 | 000,000,563 | ---- | C] () -- C:\Dokumente und Einstellungen\Jonny\Desktop\Far Cry 2.lnk
[2010.09.09 10:48:01 | 000,022,328 | ---- | C] () -- C:\WINDOWS\System32\drivers\PnkBstrK.sys
[2010.09.09 10:48:00 | 000,022,328 | ---- | C] () -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\PnkBstrK.sys
[2010.09.09 10:47:40 | 000,107,832 | ---- | C] () -- C:\WINDOWS\System32\PnkBstrB.exe
[2010.09.09 10:47:34 | 000,066,872 | ---- | C] () -- C:\WINDOWS\System32\PnkBstrA.exe
[2010.09.09 10:47:32 | 002,250,024 | ---- | C] () -- C:\WINDOWS\System32\pbsvc.exe
[2010.09.07 01:14:30 | 000,033,118 | ---- | C] () -- C:\WINDOWS\System32\winupd
[2010.08.20 02:01:05 | 000,000,046 | ---- | C] () -- C:\WINDOWS\Speed.INI
[2010.08.18 17:19:00 | 000,120,200 | ---- | C] () -- C:\WINDOWS\System32\DLLDEV32i.dll
[2010.08.12 03:08:27 | 000,000,600 | ---- | C] () -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\winscp.rnd
[2010.08.05 02:14:55 | 000,015,497 | ---- | C] () -- C:\WINDOWS\VX6KStd.ini
[2010.07.17 14:07:31 | 000,027,648 | ---- | C] () -- C:\WINDOWS\System32\AVSredirect.dll
[2010.07.11 12:02:47 | 000,030,208 | ---- | C] () -- C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2010.07.10 12:53:59 | 000,000,000 | -H-- | C] () -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\.A706B8D24E6B54B1.sys
[2010.07.08 12:55:19 | 000,000,032 | ---- | C] () -- C:\WINDOWS\System32\msvcsv60.dll
[2010.07.08 11:44:45 | 000,691,696 | ---- | C] () -- C:\WINDOWS\System32\drivers\sptd.sys
[2010.07.07 17:07:03 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2010.04.02 17:17:34 | 000,179,091 | ---- | C] () -- C:\WINDOWS\System32\xlive.dll.cat
[2009.03.25 14:23:36 | 000,520,192 | ---- | C] () -- C:\WINDOWS\System32\RegisterDialog.dll
[2003.02.20 17:53:42 | 000,005,702 | ---- | C] () -- C:\WINDOWS\System32\OUTLPERF.INI
< End of report >
--- --- ---

Big J 26.09.2010 01:53
kann das 2. logfile "extras" irgendwie nicht posten....deswegen lade ich es kurz hoch.

hier der link:

hxxp://www13.speedyshare.com/files/24412460/download/Extras.Txt

cosinus 26.09.2010 11:01
Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:
:OTL
PRC - C:\Programme\Syncrosoft\POS\H2O\cledx.exe (Team H2O)
O4 - HKLM..\Run: [H2O] C:\Programme\Syncrosoft\POS\H2O\cledx.exe (Team H2O)
[2010.09.10 02:03:23 | 000,000,000 | ---D | C] -- C:\WINDOWS\45235788142C44BE8A4DDDE9A84492E5.TMP
[2010.09.11 12:10:54 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\All Users\Dokumente\Server
[2010.09.08 10:41:19 | 000,033,118 | ---- | M] () -- C:\WINDOWS\System32\winupd
[2010.09.07 20:03:16 | 000,000,471 | ---- | M] () -- C:\WINDOWS\System32\Datei4
[2010.09.07 20:03:16 | 000,000,471 | ---- | M] () -- C:\WINDOWS\System32\Datei2
[2010.09.07 20:03:16 | 000,000,470 | ---- | M] () -- C:\WINDOWS\System32\Datei3
[2010.09.07 20:03:16 | 000,000,470 | ---- | M] () -- C:\WINDOWS\System32\Datei1
[2010.09.07 20:03:16 | 000,000,469 | ---- | M] () -- C:\WINDOWS\System32\Datei7
[2010.09.07 20:03:16 | 000,000,469 | ---- | M] () -- C:\WINDOWS\System32\Datei5
[2010.09.07 20:03:16 | 000,000,468 | ---- | M] () -- C:\WINDOWS\System32\Datei0
[2010.09.07 20:03:16 | 000,000,467 | ---- | M] () -- C:\WINDOWS\System32\Datei9
[2010.09.07 20:03:16 | 000,000,467 | ---- | M] () -- C:\WINDOWS\System32\Datei8
[2010.09.07 20:03:16 | 000,000,467 | ---- | M] () -- C:\WINDOWS\System32\Datei10
[2010.09.07 20:03:16 | 000,000,465 | ---- | M] () -- C:\WINDOWS\System32\Datei6
[2010.07.11 12:02:47 | 000,030,208 | ---- | C] () -- C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2010.07.10 12:53:59 | 000,000,000 | -H-- | C] () -- C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\.A706B8D24E6B54B1.sys
:Commands
[purity]
[resethosts]
[emptytemp]
Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Big J 26.09.2010 12:33
danke für die schnelle antwort!

hier das logfile:

All processes killed
========== OTL ==========
Process cledx.exe killed successfully!
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\H2O deleted successfully.
C:\Programme\Syncrosoft\POS\H2O\cledx.exe moved successfully.
C:\WINDOWS\45235788142C44BE8A4DDDE9A84492E5.TMP folder moved successfully.
C:\Dokumente und Einstellungen\All Users\Dokumente\Server folder moved successfully.
C:\WINDOWS\system32\winupd moved successfully.
C:\WINDOWS\system32\Datei4 moved successfully.
C:\WINDOWS\system32\Datei2 moved successfully.
C:\WINDOWS\system32\Datei3 moved successfully.
C:\WINDOWS\system32\Datei1 moved successfully.
C:\WINDOWS\system32\Datei7 moved successfully.
C:\WINDOWS\system32\Datei5 moved successfully.
C:\WINDOWS\system32\Datei0 moved successfully.
C:\WINDOWS\system32\Datei9 moved successfully.
C:\WINDOWS\system32\Datei8 moved successfully.
C:\WINDOWS\system32\Datei10 moved successfully.
C:\WINDOWS\system32\Datei6 moved successfully.
C:\Dokumente und Einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini moved successfully.
C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\.A706B8D24E6B54B1.sys moved successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Jonny
->Temp folder emptied: 1068732088 bytes
->Temporary Internet Files folder emptied: 260119501 bytes
->Java cache emptied: 14341634 bytes
->FireFox cache emptied: 40457051 bytes
->Flash cache emptied: 3001 bytes

User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 2109070 bytes
->Java cache emptied: 557 bytes
->Flash cache emptied: 3137 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 6283534 bytes
->Flash cache emptied: 5563 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2318613 bytes
%systemroot%\System32 .tmp files removed: 1621943 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 4381553 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 1.336,00 mb


OTL by OldTimer - Version 3.2.14.1 log created on 09262010_132846

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

cosinus 26.09.2010 12:39
Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.
http://saved.im/mtm0nzyzmzd5/cofi.jpg
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Big J 26.09.2010 15:50
ok fertig.

Logfile:




Combofix Logfile:
Code:
ComboFix 10-09-25.07 - Jonny 26.09.2010  16:42:20.1.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.3327.2916 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Jonny\Desktop\cofi.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\msvcsv60.dll
D:\install.exe

Infizierte Kopie von c:\windows\system32\drivers\rdpcdd.sys wurde gefunden und desinfiziert
Kopie von - Kitty had a snack :p wurde wiederhergestellt
.
(((((((((((((((((((((((  Dateien erstellt von 2010-08-26 bis 2010-09-26  ))))))))))))))))))))))))))))))
.

2010-09-26 14:21 . 2010-09-26 14:21        206        ----a-w-        C:\cc_20100926_162106.reg
2010-09-26 14:20 . 2010-09-26 14:20        12532        ----a-w-        C:\cc_20100926_162040.reg
2010-09-26 14:17 . 2010-09-26 14:17        --------        d-----w-        c:\programme\CCleaner
2010-09-26 11:28 . 2010-09-26 11:28        --------        d-----w-        C:\_OTL
2010-09-26 09:13 . 2010-09-26 09:13        162432        ----a-w-        c:\windows\system32\drivers\ithsgt.sys
2010-09-26 09:13 . 2010-09-26 09:13        12032        ----a-w-        c:\windows\system32\drivers\lilsgt.sys
2010-09-26 09:13 . 2010-09-26 09:15        8854        ----a-r-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Microsoft\Installer\{BA10AC78-E687-4523-8B93-540428FC256F}\Uninstall_Fahrenheit_8C2B6FBDC8D14FA595F7B3231B7D8CBC.exe
2010-09-26 09:13 . 2010-09-26 09:15        4286        ----a-r-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Microsoft\Installer\{BA10AC78-E687-4523-8B93-540428FC256F}\Fahrenheit.exe_B11493A1D18C4B5FAD8D53D777C9C16A.exe
2010-09-26 09:13 . 2010-09-26 09:15        10134        ----a-r-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Microsoft\Installer\{BA10AC78-E687-4523-8B93-540428FC256F}\ARPPRODUCTICON.exe
2010-09-26 01:10 . 2010-09-26 01:10        864256        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA\SHIMGen_JAU.dll
2010-09-26 01:10 . 2010-09-26 01:10        1116672        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA\SHIMGen_JAU64.dll
2010-09-26 01:10 . 2010-09-26 01:10        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\NVIDIA
2010-09-24 21:28 . 2002-02-26 08:10        69632        ----a-w-        c:\windows\system32\grxp4dll.dll
2010-09-24 21:28 . 2002-02-26 08:05        36864        ----a-w-        c:\windows\system32\grxp4exe.exe
2010-09-24 21:19 . 2001-09-26 12:59        11920        ----a-w-        c:\windows\system32\drivers\KID_SYS.sys
2010-09-24 21:19 . 1999-08-16 07:35        110592        ------w-        c:\windows\system32\DUNZIP32.DLL
2010-09-24 21:19 . 1999-08-04 09:16        126976        ------w-        c:\windows\system32\DZIP32.DLL
2010-09-24 21:19 . 2002-02-26 08:06        45056        ----a-w-        c:\windows\system32\Grxpff.dll
2010-09-24 21:19 . 2002-02-26 08:03        266432        ----a-w-        c:\windows\system32\drivers\ntxpusb.sys
2010-09-24 21:19 . 2002-01-28 07:42        16469        ----a-w-        c:\windows\system32\xp_inst.dll
2010-09-24 21:19 . 2001-07-26 12:36        9140        ------w-        c:\windows\system32\drivers\KID_LIB.sys
2010-09-24 21:19 . 2000-08-02 18:01        155648        ----a-w-        c:\windows\system32\ifc21.dll
2010-09-24 21:19 . 2002-02-26 08:08        2977792        ----a-w-        c:\windows\system32\Grxp4ppg.dll
2010-09-24 21:19 . 2002-01-28 07:45        32768        ----a-w-        c:\windows\system32\xp_run.exe
2010-09-24 21:19 . 2010-09-24 21:19        --------        d-----w-        c:\programme\Gravis
2010-09-24 20:53 . 2010-09-24 20:53        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Activision
2010-09-24 16:03 . 2010-09-24 16:03        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Identities
2010-09-19 17:02 . 2010-09-19 17:02        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Activision
2010-09-16 20:51 . 2010-09-24 20:53        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Activision
2010-09-16 14:42 . 2010-09-16 14:42        --------        d-sh--w-        c:\windows\ftpcache
2010-09-16 10:30 . 2010-09-25 11:40        --------        d-----w-        c:\dokumente und einstellungen\Jonny\ntsvcfg
2010-09-14 14:59 . 2010-09-14 15:06        --------        d-----w-        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Adobe
2010-09-13 10:09 . 2010-09-13 10:09        --------        d-----r-        c:\dokumente und einstellungen\NetworkService\Favoriten
2010-09-13 08:28 . 2010-09-13 08:28        --------        d-----w-        c:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Adobe
2010-09-12 06:09 . 2010-09-19 15:42        664        ----a-w-        c:\windows\system32\d3d9caps.dat
2010-09-11 11:17 . 2010-09-11 11:17        --------        d-sh--w-        c:\dokumente und einstellungen\NetworkService\IETldCache
2010-09-11 10:12 . 2010-09-11 10:12        --------        d-sh--w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\SecuROM
2010-09-11 00:34 . 2010-09-19 21:37        173616        ----a-w-        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2010-09-10 23:47 . 2010-09-10 23:47        --------        d--h--r-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\SecuROM
2010-09-10 22:08 . 2010-09-10 23:48        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Rockstar Games
2010-09-09 08:47 . 2010-09-09 08:47        2250024        ----a-w-        c:\windows\system32\pbsvc.exe
2010-09-08 12:22 . 2010-09-08 12:22        --------        d-----r-        c:\dokumente und einstellungen\LocalService\Favoriten
2010-09-08 10:38 . 2010-09-25 10:07        --------        d-----w-        c:\windows\system32\NtmsData

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-26 09:51 . 2010-07-07 15:18        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\ICQ
2010-09-26 09:07 . 2010-07-07 12:21        --------        d-----w-        c:\programme\Gemeinsame Dateien\InstallShield
2010-09-26 01:17 . 2010-07-08 11:36        --------        d-----w-        c:\programme\JDownloader
2010-09-26 01:10 . 2010-08-01 02:40        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA
2010-09-24 21:23 . 2010-07-07 17:21        --------        d-----w-        c:\programme\uTorrent
2010-09-24 21:19 . 2010-07-07 12:21        --------        d--h--w-        c:\programme\InstallShield Installation Information
2010-09-24 16:02 . 2004-08-04 12:00        81110        ----a-w-        c:\windows\system32\perfc007.dat
2010-09-24 16:02 . 2004-08-04 12:00        451896        ----a-w-        c:\windows\system32\perfh007.dat
2010-09-24 13:39 . 2010-07-07 17:20        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\uTorrent
2010-09-11 10:04 . 2010-09-10 21:52        --------        d-----w-        c:\programme\Microsoft Games for Windows - LIVE
2010-09-10 00:07 . 2010-09-10 00:07        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\InstallShield Installation Information
2010-09-10 00:02 . 2010-09-10 00:07        331776        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\InstallShield Installation Information\{BFA90209-7AFF-4DB6-8E4B-E57305751AD7}\SetupUT3.exe
2010-09-09 08:49 . 2010-09-09 08:49        107888        ----a-w-        c:\windows\system32\CmdLineExt.dll
2010-09-09 08:48 . 2010-09-09 08:48        22328        ----a-w-        c:\windows\system32\drivers\PnkBstrK.sys
2010-09-09 08:48 . 2010-09-09 08:48        22328        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\PnkBstrK.sys
2010-09-09 08:48 . 2010-09-09 08:48        22328        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\PnkBstrK.sys
2010-09-09 08:47 . 2010-09-09 08:47        107832        ----a-w-        c:\windows\system32\PnkBstrB.exe
2010-09-09 08:47 . 2010-09-09 08:47        66872        ----a-w-        c:\windows\system32\PnkBstrA.exe
2010-09-07 18:12 . 2010-07-25 17:08        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\dvdcss
2010-08-28 12:13 . 2010-07-07 12:17        62768        ----a-w-        c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-08-28 11:49 . 2010-07-07 15:29        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Skype
2010-08-28 11:49 . 2010-07-07 15:30        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\skypePM
2010-08-26 23:40 . 2010-07-18 11:46        --------        d-----w-        c:\programme\Windows Live Safety Center
2010-08-26 20:32 . 2010-07-13 15:54        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\vlc
2010-08-25 22:30 . 2010-07-07 15:18        --------        d-----w-        c:\programme\ICQ7.2
2010-08-20 09:45 . 2010-08-20 09:45        444952        ----a-w-        c:\windows\system32\wrap_oal.dll
2010-08-20 09:45 . 2010-08-20 09:45        109080        ----a-w-        c:\windows\system32\OpenAL32.dll
2010-08-20 09:45 . 2010-08-20 09:45        --------        d-----w-        c:\programme\OpenAL
2010-08-20 09:17 . 2010-07-08 10:42        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MAGIX
2010-08-18 15:21 . 2010-08-18 15:21        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\MAGIX
2010-08-18 14:54 . 2010-08-18 14:52        46        ----a-w-        c:\dokumente und einstellungen\Jonny\jagex_runescape_preferences.dat
2010-08-18 14:53 . 2010-08-18 14:53        99        ----a-w-        c:\dokumente und einstellungen\Jonny\jagex_runescape_preferences2.dat
2010-08-13 13:29 . 2010-08-13 13:29        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Malwarebytes
2010-08-13 13:29 . 2010-08-13 13:29        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-08-13 13:22 . 2010-08-13 13:22        --------        d-----w-        c:\programme\RegSeeker
2010-08-13 12:59 . 2010-07-22 20:15        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Xepoxi
2010-08-12 11:06 . 2010-08-06 14:57        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\DiskAid
2010-08-08 00:31 . 2010-08-08 00:06        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\TuneAid
2010-08-07 23:52 . 2010-08-07 23:52        --------        d-----w-        c:\programme\iPod
2010-08-07 23:52 . 2010-07-19 22:29        --------        d-----w-        c:\programme\Gemeinsame Dateien\Apple
2010-08-07 23:51 . 2010-08-07 23:51        --------        d-----w-        c:\programme\QuickTime
2010-08-07 23:51 . 2010-08-06 15:02        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple Computer
2010-08-07 03:06 . 2010-08-07 03:06        38512        ---ha-w-        c:\windows\system32\mlfcache.dat
2010-08-07 00:21 . 2010-07-19 22:30        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Apple Computer
2010-08-07 00:21 . 2010-07-19 22:29        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple
2010-08-06 15:03 . 2010-08-06 15:03        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}
2010-08-06 15:02 . 2010-08-06 15:02        --------        d-----w-        c:\programme\Apple Software Update
2010-08-06 15:02 . 2010-08-06 15:02        --------        d-----w-        c:\programme\Bonjour
2010-08-05 00:14 . 2010-08-05 00:14        --------        d-----w-        c:\programme\Microsoft LifeCam
2010-08-05 00:10 . 2010-08-05 00:10        --------        d-----w-        c:\programme\MSBuild
2010-08-05 00:10 . 2010-08-05 00:10        --------        d-----w-        c:\programme\Reference Assemblies
2010-08-04 00:50 . 2010-08-04 00:50        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Avira
2010-07-24 18:11 . 2010-07-24 18:11        57344        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\DivX\RunAsUser\RUNASUSERPROCESS.dll
2010-07-21 14:30 . 2010-07-21 14:30        73000        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple Computer\Installer Cache\iTunes 9.2.1.5\SetupAdmin.exe
2010-07-10 12:06 . 2010-07-08 10:55        32        ----a-w-        c:\windows\msocreg32.dat
2010-07-08 11:35 . 2010-07-08 11:36        411368        ----a-w-        c:\windows\system32\deploytk.dll
2010-07-08 11:35 . 2010-07-08 11:35        152576        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Sun\Java\jre1.6.0_15\lzma.dll
2010-07-08 09:44 . 2010-07-08 09:44        691696        ----a-w-        c:\windows\system32\drivers\sptd.sys
2010-07-07 15:30 . 2010-07-07 15:30        56        ---ha-w-        c:\windows\system32\ezsidmv.dat
2010-07-07 13:09 . 2010-07-07 13:09        0        ----a-w-        c:\windows\nsreg.dat
2010-07-07 12:55 . 2010-07-07 12:07        86327        ----a-w-        c:\windows\pchealth\helpctr\OfflineCache\index.dat
2010-07-07 12:34 . 2010-07-07 12:34        217180        ----a-w-        c:\windows\system32\nvdrsdb0.bin
2010-07-07 12:34 . 2010-07-07 12:34        1        ----a-w-        c:\windows\system32\nvdrssel.bin
2010-07-07 12:34 . 2010-07-07 12:34        217180        ----a-w-        c:\windows\system32\nvdrsdb1.bin
2010-07-07 12:21 . 2010-07-07 12:21        315392        ----a-w-        c:\windows\HideWin.exe
2010-07-07 12:05 . 2010-07-07 12:05        21740        ----a-w-        c:\windows\system32\emptyregdb.dat
2010-06-30 12:28 . 2004-08-04 12:00        149504        ----a-w-        c:\windows\system32\schannel.dll
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-02-13 16857600]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2010-06-07 110696]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2010-06-07 13902440]
"LifeCam"="c:\programme\Microsoft LifeCam\LifeExp.exe" [2010-05-20 119152]
"VX6000"="c:\windows\vVX6000.exe" [2010-05-20 764784]
"Malwarebytes' Anti-Malware"="e:\malwarebytes' anti-malware\mbamgui.exe" [2010-04-29 437584]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-03-02 282792]
"Gravis Xperience Driver Support"="Grxp4exe.exe" [2002-02-26 36864]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RGSC
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Uniblue RegistryBooster 2009
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\{63589B6F-52AF-B248-17E8-AA7661BD264F}

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2010-06-09 08:06        976832        ----a-w-        c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2010-06-20 02:04        35760        ----a-w-        c:\programme\Adobe\Reader 9.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivXUpdate]
2010-06-03 00:50        1144104        ----a-w-        c:\programme\DivX\DivX Update\DivXUpdate.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
2010-07-21 13:53        141608        ----a-w-        e:\itunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-06-02 19:44        1660952        ----a-w-        c:\programme\Messenger\Msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2010-03-18 20:16        421888        ----a-w-        c:\programme\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Sony Ericsson PC Suite]
2008-07-02 15:15        397312        ----a-w-        e:\sony ericsson\Sony Ericsson PC Suite\SEPCSuite.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TrayServer]
2008-02-07 11:00        90112        ----a-w-        e:\magix\Movie_Edit_Pro_14_PLUS_Download_version\Trayserver.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
2010-06-29 04:00        74752        ----a-w-        c:\programme\Winamp\winampa.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programme\\Messenger\\Msmsgs.exe"=
"c:\\Programme\\ICQ7.2\\ICQ.exe"=
"c:\\Programme\\ICQ7.2\\aolload.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\uTorrent\\uTorrent.exe"=
"c:\\Programme\\Java\\jre6\\bin\\javaw.exe"=
"e:\\Assassin's Creed II\\AssassinsCreedIIGame.exe"=
"e:\\Assassin's Creed II\\AssassinsCreedII.exe"=
"e:\\Assassin's Creed II\\UPlayBrowser.exe"=
"c:\\Programme\\Ubisoft\\Ubisoft Game Launcher\\UbisoftGameLauncher.exe"=
"e:\\Splinter Cell Conviction\\src\\system\\conviction_game.exe"=
"e:\\Splinter Cell Conviction\\src\\system\\gu.exe"=
"e:\\Mirror's Edge\\Binaries\\MirrorsEdge.exe"=
"c:\\Programme\\Microsoft LifeCam\\LifeCam.exe"=
"c:\\Programme\\Microsoft LifeCam\\LifeEnC2.exe"=
"c:\\Programme\\Microsoft LifeCam\\LifeExp.exe"=
"c:\\Programme\\Microsoft LifeCam\\LifeTray.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"e:\\iTunes\\iTunes.exe"=
"c:\\Programme\\VLC\\vlc.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"e:\\Far Cry 2\\bin\\FarCry2.exe"=
"e:\\Far Cry 2\\bin\\FC2Launcher.exe"=
"e:\\Far Cry 2\\bin\\FC2Editor.exe"=
"c:\\WINDOWS\\system32\\PnkBstrA.exe"=
"c:\\WINDOWS\\system32\\PnkBstrB.exe"=
"e:\\Unreal Tournament 3\\Binaries\\UT3.exe"=
"e:\\TeeWorlds\\teeworlds_srv.exe"=
"d:\\Games\\GTA IV\\Grand Theft Auto IV\\LaunchGTAIV.exe"=
"d:\\Games\\GTA IV\\Grand Theft Auto IV\\GTAIV.exe"=

R1 kid_sys;Kensington Input Devices Class filter driver;c:\windows\system32\drivers\KID_SYS.sys [24.09.2010 23:19 11920]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [07.07.2010 15:25 135336]
R2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [07.07.2010 17:18 246520]
R2 MBAMService;MBAMService;e:\malwarebytes' anti-malware\mbamservice.exe [13.08.2010 15:29 304464]
R3 CLEDX;Team H2O CLEDX service;c:\windows\system32\drivers\cledx.sys [10.07.2010 13:21 33792]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [13.08.2010 15:29 20952]
R3 VX6000;Microsoft LifeCam VX-6000;c:\windows\system32\drivers\VX6000Xp.sys [05.08.2010 02:14 2074480]
S2 Fabs;FABS - Helping agent for MAGIX media database;c:\programme\Gemeinsame Dateien\MAGIX Services\Database\bin\FABS.exe /DisableUI --> c:\programme\Gemeinsame Dateien\MAGIX Services\Database\bin\FABS.exe  [?]
S3 ntxpusb;Gravis USB device driver;c:\windows\system32\drivers\ntxpusb.sys [24.09.2010 23:19 266432]
S3 NVIDIAHWAccess;NVIDIAHWAccess;\??\c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA\HWAccess.sys --> c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA\HWAccess.sys [?]
S3 SetupNTGLM7X;SetupNTGLM7X;\??\g:\ntglm7x.sys --> g:\NTGLM7X.sys [?]
S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [08.07.2010 11:44 691696]
.
Inhalt des "geplante Tasks" Ordners

2010-09-26 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2010-07-08 20:18]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Mozilla\Firefox\Profiles\006u060q.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - www.google.de
FF - prefs.js: keyword.URL - hxxp://www.finduny.com?client=mozilla-firefox&cd=UTF-8&search=1&q=
FF - prefs.js: network.proxy.type - 0
FF - plugin: c:\programme\DivX\DivX Plus Web Player\npdivx32.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npmieze.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npwachk.dll
FF - plugin: e:\itunes\Mozilla Plugins\npitunes.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

MSConfigStartUp-cxrmjxjp - c:\dokumente und einstellungen\Jonny\Anwendungsdaten\jbifkbetc\fngqfavuqiw.exe
MSConfigStartUp-gjptbmwk - c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\lnnfkjqco\ffrwwwtuqiw.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-09-26 16:45
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-343818398-854245398-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:a5,05,6d,e2,d8,d6,58,14,c7,b1,11,a1,15,a2,75,54,eb,5b,7c,68,5e,
  4e,38,11,72,e3,57,37,df,85,39,7b,83,97,29,f0,34,58,41,ef,b8,50,bf,c2,e8,66,\
"rkeysecu"=hex:6a,dc,05,c3,cd,10,8f,ed,30,83,a7,96,a7,04,ac,29

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
Zeit der Fertigstellung: 2010-09-26  16:46:38
ComboFix-quarantined-files.txt  2010-09-26 14:46

Vor Suchlauf: 4.604.153.856 Bytes frei
Nach Suchlauf: 4.642.902.016 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

- - End Of File - - E6AA8AAA8F53FCEB9AFAC42EE263EDA9
--- --- ---

cosinus 26.09.2010 18:11
Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:
Filelook::
c:\windows\system32\drivers\ithsgt.sys
c:\windows\system32\drivers\lilsgt.sys
c:\windows\system32\grxp4dll.dll
c:\windows\system32\grxp4exe.exe
c:\windows\system32\drivers\KID_SYS.sys
c:\windows\system32\DUNZIP32.DLL
c:\windows\system32\pbsvc.exe
c:\windows\system32\nvdrsdb0.bin
c:\windows\system32\nvdrsdb1.bin
c:\windows\HideWin.exe
c:\windows\system32\emptyregdb.dat
c:\windows\system32\schannel.dll

Dirlook::
c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}

File::
c:\windows\msocreg32.dat
c:\windows\nsreg.dat
c:\windows\system32\drivers\cledx.sys
c:\windows\system32\nvdrssel.bin

Driver::
CLEDX
3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Big J 26.09.2010 23:00
bitteschön =)


Combofix Logfile:
Code:
ComboFix 10-09-25.07 - Jonny 26.09.2010  23:50:59.2.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.3327.2854 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Jonny\Desktop\cofi.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Jonny\Desktop\CFScript.txt
AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

FILE ::
"c:\windows\msocreg32.dat"
"c:\windows\nsreg.dat"
"c:\windows\system32\drivers\cledx.sys"
"c:\windows\system32\nvdrssel.bin"
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\msocreg32.dat
c:\windows\nsreg.dat
c:\windows\system32\drivers\cledx.sys
c:\windows\system32\nvdrssel.bin

.
(((((((((((((((((((((((((((((((((((((((  Treiber/Dienste  )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_CLEDX


(((((((((((((((((((((((  Dateien erstellt von 2010-08-26 bis 2010-09-26  ))))))))))))))))))))))))))))))
.

2010-09-26 14:30 . 2010-09-26 14:46        --------        d-----w-        C:\cofi
2010-09-26 14:21 . 2010-09-26 14:21        206        ----a-w-        C:\cc_20100926_162106.reg
2010-09-26 14:20 . 2010-09-26 14:20        12532        ----a-w-        C:\cc_20100926_162040.reg
2010-09-26 14:17 . 2010-09-26 14:17        --------        d-----w-        c:\programme\CCleaner
2010-09-26 11:28 . 2010-09-26 11:28        --------        d-----w-        C:\_OTL
2010-09-26 09:13 . 2010-09-26 09:13        162432        ----a-w-        c:\windows\system32\drivers\ithsgt.sys
2010-09-26 09:13 . 2010-09-26 09:13        12032        ----a-w-        c:\windows\system32\drivers\lilsgt.sys
2010-09-26 09:13 . 2010-09-26 09:15        8854        ----a-r-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Microsoft\Installer\{BA10AC78-E687-4523-8B93-540428FC256F}\Uninstall_Fahrenheit_8C2B6FBDC8D14FA595F7B3231B7D8CBC.exe
2010-09-26 09:13 . 2010-09-26 09:15        4286        ----a-r-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Microsoft\Installer\{BA10AC78-E687-4523-8B93-540428FC256F}\Fahrenheit.exe_B11493A1D18C4B5FAD8D53D777C9C16A.exe
2010-09-26 09:13 . 2010-09-26 09:15        10134        ----a-r-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Microsoft\Installer\{BA10AC78-E687-4523-8B93-540428FC256F}\ARPPRODUCTICON.exe
2010-09-26 01:10 . 2010-09-26 01:10        864256        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA\SHIMGen_JAU.dll
2010-09-26 01:10 . 2010-09-26 01:10        1116672        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA\SHIMGen_JAU64.dll
2010-09-26 01:10 . 2010-09-26 01:10        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\NVIDIA
2010-09-24 21:28 . 2002-02-26 08:10        69632        ----a-w-        c:\windows\system32\grxp4dll.dll
2010-09-24 21:28 . 2002-02-26 08:05        36864        ----a-w-        c:\windows\system32\grxp4exe.exe
2010-09-24 21:19 . 2001-09-26 12:59        11920        ----a-w-        c:\windows\system32\drivers\KID_SYS.sys
2010-09-24 21:19 . 1999-08-16 07:35        110592        ------w-        c:\windows\system32\DUNZIP32.DLL
2010-09-24 21:19 . 1999-08-04 09:16        126976        ------w-        c:\windows\system32\DZIP32.DLL
2010-09-24 21:19 . 2002-02-26 08:06        45056        ----a-w-        c:\windows\system32\Grxpff.dll
2010-09-24 21:19 . 2002-02-26 08:03        266432        ----a-w-        c:\windows\system32\drivers\ntxpusb.sys
2010-09-24 21:19 . 2002-01-28 07:42        16469        ----a-w-        c:\windows\system32\xp_inst.dll
2010-09-24 21:19 . 2001-07-26 12:36        9140        ------w-        c:\windows\system32\drivers\KID_LIB.sys
2010-09-24 21:19 . 2000-08-02 18:01        155648        ----a-w-        c:\windows\system32\ifc21.dll
2010-09-24 21:19 . 2002-02-26 08:08        2977792        ----a-w-        c:\windows\system32\Grxp4ppg.dll
2010-09-24 21:19 . 2002-01-28 07:45        32768        ----a-w-        c:\windows\system32\xp_run.exe
2010-09-24 21:19 . 2010-09-24 21:19        --------        d-----w-        c:\programme\Gravis
2010-09-24 20:53 . 2010-09-24 20:53        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Activision
2010-09-24 16:03 . 2010-09-24 16:03        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Identities
2010-09-19 17:02 . 2010-09-19 17:02        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Activision
2010-09-16 20:51 . 2010-09-24 20:53        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Activision
2010-09-16 14:42 . 2010-09-16 14:42        --------        d-sh--w-        c:\windows\ftpcache
2010-09-16 10:30 . 2010-09-25 11:40        --------        d-----w-        c:\dokumente und einstellungen\Jonny\ntsvcfg
2010-09-14 14:59 . 2010-09-14 15:06        --------        d-----w-        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Adobe
2010-09-13 10:09 . 2010-09-13 10:09        --------        d-----r-        c:\dokumente und einstellungen\NetworkService\Favoriten
2010-09-13 08:28 . 2010-09-13 08:28        --------        d-----w-        c:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Adobe
2010-09-12 06:09 . 2010-09-19 15:42        664        ----a-w-        c:\windows\system32\d3d9caps.dat
2010-09-11 11:17 . 2010-09-11 11:17        --------        d-sh--w-        c:\dokumente und einstellungen\NetworkService\IETldCache
2010-09-11 10:12 . 2010-09-11 10:12        --------        d-sh--w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\SecuROM
2010-09-11 00:34 . 2010-09-19 21:37        173616        ----a-w-        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2010-09-10 23:47 . 2010-09-10 23:47        --------        d--h--r-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\SecuROM
2010-09-10 22:08 . 2010-09-10 23:48        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\Rockstar Games
2010-09-09 08:47 . 2010-09-09 08:47        2250024        ----a-w-        c:\windows\system32\pbsvc.exe
2010-09-08 12:22 . 2010-09-08 12:22        --------        d-----r-        c:\dokumente und einstellungen\LocalService\Favoriten
2010-09-08 10:38 . 2010-09-25 10:07        --------        d-----w-        c:\windows\system32\NtmsData

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-26 21:56 . 2010-09-26 21:55        0        ----a-w-        c:\windows\system32\nvdrssel.bin
2010-09-26 09:51 . 2010-07-07 15:18        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\ICQ
2010-09-26 09:07 . 2010-07-07 12:21        --------        d-----w-        c:\programme\Gemeinsame Dateien\InstallShield
2010-09-26 01:17 . 2010-07-08 11:36        --------        d-----w-        c:\programme\JDownloader
2010-09-26 01:10 . 2010-08-01 02:40        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA
2010-09-24 21:23 . 2010-07-07 17:21        --------        d-----w-        c:\programme\uTorrent
2010-09-24 21:19 . 2010-07-07 12:21        --------        d--h--w-        c:\programme\InstallShield Installation Information
2010-09-24 16:02 . 2004-08-04 12:00        81110        ----a-w-        c:\windows\system32\perfc007.dat
2010-09-24 16:02 . 2004-08-04 12:00        451896        ----a-w-        c:\windows\system32\perfh007.dat
2010-09-24 13:39 . 2010-07-07 17:20        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\uTorrent
2010-09-11 10:04 . 2010-09-10 21:52        --------        d-----w-        c:\programme\Microsoft Games for Windows - LIVE
2010-09-10 00:07 . 2010-09-10 00:07        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\InstallShield Installation Information
2010-09-10 00:02 . 2010-09-10 00:07        331776        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\InstallShield Installation Information\{BFA90209-7AFF-4DB6-8E4B-E57305751AD7}\SetupUT3.exe
2010-09-09 08:49 . 2010-09-09 08:49        107888        ----a-w-        c:\windows\system32\CmdLineExt.dll
2010-09-09 08:48 . 2010-09-09 08:48        22328        ----a-w-        c:\windows\system32\drivers\PnkBstrK.sys
2010-09-09 08:48 . 2010-09-09 08:48        22328        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\PnkBstrK.sys
2010-09-09 08:48 . 2010-09-09 08:48        22328        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\PnkBstrK.sys
2010-09-09 08:47 . 2010-09-09 08:47        107832        ----a-w-        c:\windows\system32\PnkBstrB.exe
2010-09-09 08:47 . 2010-09-09 08:47        66872        ----a-w-        c:\windows\system32\PnkBstrA.exe
2010-09-07 18:12 . 2010-07-25 17:08        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\dvdcss
2010-08-28 12:13 . 2010-07-07 12:17        62768        ----a-w-        c:\dokumente und einstellungen\Jonny\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-08-28 11:49 . 2010-07-07 15:29        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Skype
2010-08-28 11:49 . 2010-07-07 15:30        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\skypePM
2010-08-26 23:40 . 2010-07-18 11:46        --------        d-----w-        c:\programme\Windows Live Safety Center
2010-08-26 20:32 . 2010-07-13 15:54        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\vlc
2010-08-25 22:30 . 2010-07-07 15:18        --------        d-----w-        c:\programme\ICQ7.2
2010-08-20 09:45 . 2010-08-20 09:45        444952        ----a-w-        c:\windows\system32\wrap_oal.dll
2010-08-20 09:45 . 2010-08-20 09:45        109080        ----a-w-        c:\windows\system32\OpenAL32.dll
2010-08-20 09:45 . 2010-08-20 09:45        --------        d-----w-        c:\programme\OpenAL
2010-08-20 09:17 . 2010-07-08 10:42        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MAGIX
2010-08-18 15:21 . 2010-08-18 15:21        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\MAGIX
2010-08-18 14:54 . 2010-08-18 14:52        46        ----a-w-        c:\dokumente und einstellungen\Jonny\jagex_runescape_preferences.dat
2010-08-18 14:53 . 2010-08-18 14:53        99        ----a-w-        c:\dokumente und einstellungen\Jonny\jagex_runescape_preferences2.dat
2010-08-13 13:29 . 2010-08-13 13:29        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Malwarebytes
2010-08-13 13:29 . 2010-08-13 13:29        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-08-13 13:22 . 2010-08-13 13:22        --------        d-----w-        c:\programme\RegSeeker
2010-08-13 12:59 . 2010-07-22 20:15        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Xepoxi
2010-08-12 11:06 . 2010-08-06 14:57        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\DiskAid
2010-08-08 00:31 . 2010-08-08 00:06        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\TuneAid
2010-08-07 23:52 . 2010-08-07 23:52        --------        d-----w-        c:\programme\iPod
2010-08-07 23:52 . 2010-07-19 22:29        --------        d-----w-        c:\programme\Gemeinsame Dateien\Apple
2010-08-07 23:51 . 2010-08-07 23:51        --------        d-----w-        c:\programme\QuickTime
2010-08-07 23:51 . 2010-08-06 15:02        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple Computer
2010-08-07 03:06 . 2010-08-07 03:06        38512        ---ha-w-        c:\windows\system32\mlfcache.dat
2010-08-07 00:21 . 2010-07-19 22:30        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Apple Computer
2010-08-07 00:21 . 2010-07-19 22:29        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple
2010-08-06 15:03 . 2010-08-06 15:03        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}
2010-08-06 15:02 . 2010-08-06 15:02        --------        d-----w-        c:\programme\Apple Software Update
2010-08-06 15:02 . 2010-08-06 15:02        --------        d-----w-        c:\programme\Bonjour
2010-08-05 00:14 . 2010-08-05 00:14        --------        d-----w-        c:\programme\Microsoft LifeCam
2010-08-05 00:10 . 2010-08-05 00:10        --------        d-----w-        c:\programme\MSBuild
2010-08-05 00:10 . 2010-08-05 00:10        --------        d-----w-        c:\programme\Reference Assemblies
2010-08-04 00:50 . 2010-08-04 00:50        --------        d-----w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Avira
2010-07-24 18:11 . 2010-07-24 18:11        57344        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\DivX\RunAsUser\RUNASUSERPROCESS.dll
2010-07-21 14:30 . 2010-07-21 14:30        73000        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple Computer\Installer Cache\iTunes 9.2.1.5\SetupAdmin.exe
2010-07-08 11:35 . 2010-07-08 11:36        411368        ----a-w-        c:\windows\system32\deploytk.dll
2010-07-08 11:35 . 2010-07-08 11:35        152576        ----a-w-        c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Sun\Java\jre1.6.0_15\lzma.dll
2010-07-08 09:44 . 2010-07-08 09:44        691696        ----a-w-        c:\windows\system32\drivers\sptd.sys
2010-07-07 15:30 . 2010-07-07 15:30        56        ---ha-w-        c:\windows\system32\ezsidmv.dat
2010-07-07 12:55 . 2010-07-07 12:07        86327        ----a-w-        c:\windows\pchealth\helpctr\OfflineCache\index.dat
2010-07-07 12:34 . 2010-07-07 12:34        217180        ----a-w-        c:\windows\system32\nvdrsdb0.bin
2010-07-07 12:34 . 2010-07-07 12:34        217180        ----a-w-        c:\windows\system32\nvdrsdb1.bin
2010-07-07 12:21 . 2010-07-07 12:21        315392        ----a-w-        c:\windows\HideWin.exe
2010-07-07 12:05 . 2010-07-07 12:05        21740        ----a-w-        c:\windows\system32\emptyregdb.dat
2010-06-30 12:28 . 2004-08-04 12:00        149504        ----a-w-        c:\windows\system32\schannel.dll
.

((((((((((((((((((((((((((((((((((((((((((((  Look  )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

--- c:\windows\HideWin.exe ---
Company: Realtek Semiconductor Corp.
File Description: Hide Windows
File Version: 1.0.0.1
Product Name: HD Audio Hide windows program
Copyright: Realtek Semiconductor Corp.  All rights reserved.
Original Filename: HideWin.exe
File size: 315392
Created time: 2010-07-07 12:21
Modified time: 2010-07-07 12:21
MD5: 2D65F8DB74C36819896CF809E4375F0A
SHA1: 3BB8F07C42350509A123B9AD86BB6582856D1F91


--- c:\windows\system32\drivers\ithsgt.sys ---
Company: ------
File Description: ------
File Version: ------
Product Name: ------
Copyright: ------
Original Filename: ------
File size: 162432
Created time: 2010-09-26 09:13
Modified time: 2010-09-26 09:13
MD5: B7A5FADF67136FDA7E8F25303565B674
SHA1: 638C182AD62E73093B9AFB94AF8926A5DFDEC191


--- c:\windows\system32\drivers\KID_SYS.sys ---
Company: Kensington Technology Group
File Description: Kensington Input Devices Class Filter Driver
File Version: 1.1r0
Product Name: KIDD
Copyright: Copyright ©2001 ACCO Brands, Inc.
Original Filename: KID_SYS.sys
File size: 11920
Created time: 2010-09-24 21:19
Modified time: 2001-09-26 12:59
MD5: 1803EB24DE837F2EDD0355F383D1BC5F
SHA1: B6BEA5B490CDCDB9F5E38FE2151BDC188EEDC2C9


--- c:\windows\system32\drivers\lilsgt.sys ---
Company: ------
File Description: ------
File Version: ------
Product Name: ------
Copyright: ------
Original Filename: ------
File size: 12032
Created time: 2010-09-26 09:13
Modified time: 2010-09-26 09:13
MD5: 16767EA492B5D140E1DE3679A65EAE74
SHA1: BC994B7FB1DEDB812FE4F02552B864563C7778D3


--- c:\windows\system32\DUNZIP32.DLL ---
Company: Inner Media, Inc.
File Description: DynaZIP-32 Multi-Threading UnZIP DLL
File Version: 4.00.03
Product Name: DynaZIP-32 Multi-Threading UnZIP DLL
Copyright: Copyright © 1995 - 1999 by Inner Media, Inc.  All Rights Reserved.
Original Filename: dunzip32.dll
File size: 110592
Created time: 2010-09-24 21:19
Modified time: 1999-08-16 07:35
MD5: EA81DD82E84ECE6C14BA0119D1CD76A5
SHA1: F2960BEB4709ECF5404CACD8246733396D8EA22C


--- c:\windows\system32\emptyregdb.dat ---
Company: ------
File Description: ------
File Version: ------
Product Name: ------
Copyright: ------
Original Filename: ------
File size: 21740
Created time: 2010-07-07 12:05
Modified time: 2010-07-07 12:05
MD5: 2F618F7F77EBD60141DECA4A553E4F4C
SHA1: 8F9DDD7AED91BE6780CB7BA5130647E9B23EABE1


--- c:\windows\system32\grxp4dll.dll ---
Company: Kensington Technology Group / Kensington Technology Group
File Description: Gravis Xperience Driver Support / Gravis Xperience Driver Support
File Version: 4.50 / 4.50
Product Name: Gravis Xperience Driver Support / Gravis Xperience Driver Support
Copyright: © 2002 Kensington Technology Group, a division of ACCO Brands, Inc. / © 2002 Kensington Technology Group, a division of ACCO Brands, Inc.
Original Filename: GRXP4DLL.DLL / GRXP4DLL.DLL
File size: 69632
Created time: 2010-09-24 21:28
Modified time: 2002-02-26 08:10
MD5: BB4CAEBEFB78CF2AB63367939D0273E6
SHA1: 40B52CFC7E73AD153BCF1DEA3A22FED66692283E


--- c:\windows\system32\grxp4exe.exe ---
Company: Kensington Technology Group / Kensington Technology Group
File Description: Gravis Xperience Driver Support / Gravis Xperience Driver Support
File Version: 4.50 / 4.50
Product Name: Gravis Xperience Driver Support / Gravis Xperience Driver Support
Copyright: © 2002 Kensington Technology Group, a division of ACCO Brands, Inc. / © 2002 Kensington Technology Group, a division of ACCO Brands, Inc.
Original Filename: GRXP4EXE.EXE / GRXP4EXE.EXE
File size: 36864
Created time: 2010-09-24 21:28
Modified time: 2002-02-26 08:05
MD5: 7ECFC46A22DE95556D60B3F1BF03BD4B
SHA1: 60AB8733E5024A3B0BA8E360579E65D612DB70A8


--- c:\windows\system32\nvdrsdb0.bin ---
Company: ------
File Description: ------
File Version: ------
Product Name: ------
Copyright: ------
Original Filename: ------
File size: 217180
Created time: 2010-07-07 12:34
Modified time: 2010-07-07 12:34
MD5: 7698F3CAA6643CC95CF0CEE1745523AF
SHA1: 5CC84E276F1F2C34CC9FE10A7A60D0006FCFDBC0


--- c:\windows\system32\nvdrsdb1.bin ---
Company: ------
File Description: ------
File Version: ------
Product Name: ------
Copyright: ------
Original Filename: ------
File size: 217180
Created time: 2010-07-07 12:34
Modified time: 2010-07-07 12:34
MD5: 909C44B60AF64106F57DF51D6535DDC7
SHA1: 2B9AD440CE51DB3EBD15B620D6F29F52484EA8FD


--- c:\windows\system32\pbsvc.exe ---
Company: ------
File Description: ------
File Version: ------
Product Name: ------
Copyright: ------
Original Filename: ------
File size: 2250024
Created time: 2010-09-09 08:47
Modified time: 2010-09-09 08:47
MD5: 577C2FC077203F646C43F61B1796A9CF
SHA1: 3C26E31DD9A05A0939F1582F3AC130E523591CDB


--- c:\windows\system32\schannel.dll ---
Company: Microsoft Corporation
File Description: TLS / SSL Security Provider
File Version: 5.1.2600.6006 (xpsp_sp3_gdr.100629-1818)
Product Name: Microsoft® Windows® Operating System
Copyright: © Microsoft Corporation. All rights reserved.
Original Filename: schannel.dll
File size: 149504
Created time: 2004-08-04 12:00
Modified time: 2010-06-30 12:28
MD5: C6BA366788F1879BAC6F989D515B3C73
SHA1: 450B8B492CF2CCA5177F02CA126D350AF827DF2C

---- Directory of c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521} ----

2010-08-06 15:03 . 2010-08-07 23:52        3686        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}\x86\DIFxInstallLog.txt
2009-06-03 07:32 . 2009-06-03 07:32        7994        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}\x86\gearaspiwdmx86.cat
2009-05-18 11:48 . 2009-05-18 11:48        2763        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}\x86\GEARAspiWDM.inf
2009-05-18 11:17 . 2009-05-18 11:17        26600        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}\x86\x86\GEARAspiWDM.sys
2009-02-04 11:56 . 2009-02-04 11:56        75112        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}\x86\DifXInstall32.exe
2008-04-17 10:12 . 2008-04-17 10:12        107368        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}\x86\x86\GEARAspi.dll
2006-11-02 04:21 . 2006-11-02 04:21        319456        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}\x86\DIFxAPI.dll


(((((((((((((((((((((((((((((  SnapShot@2010-09-26_14.45.46  )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-09-26 21:55 . 2010-09-26 21:55        16384              c:\windows\Temp\Perflib_Perfdata_96c.dat
+ 2010-09-26 21:55 . 2010-09-26 21:55        16384              c:\windows\Temp\Perflib_Perfdata_7cc.dat
+ 2010-09-26 21:55 . 2010-09-26 21:55        16384              c:\windows\Temp\Perflib_Perfdata_62c.dat
+ 2010-09-26 14:56 . 2010-09-26 14:56        16384              c:\windows\Temp\Perflib_Perfdata_1dc.dat
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-02-13 16857600]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2010-06-07 110696]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2010-06-07 13902440]
"LifeCam"="c:\programme\Microsoft LifeCam\LifeExp.exe" [2010-05-20 119152]
"VX6000"="c:\windows\vVX6000.exe" [2010-05-20 764784]
"Malwarebytes' Anti-Malware"="e:\malwarebytes' anti-malware\mbamgui.exe" [2010-04-29 437584]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-03-02 282792]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2010-06-09 08:06        976832        ----a-w-        c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2010-06-20 02:04        35760        ----a-w-        c:\programme\Adobe\Reader 9.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivXUpdate]
2010-06-03 00:50        1144104        ----a-w-        c:\programme\DivX\DivX Update\DivXUpdate.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Gravis Xperience Driver Support]
2002-02-26 08:05        36864        ----a-w-        c:\windows\system32\grxp4exe.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
2010-07-21 13:53        141608        ----a-w-        e:\itunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-06-02 19:44        1660952        ----a-w-        c:\programme\Messenger\Msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2010-03-18 20:16        421888        ----a-w-        c:\programme\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Sony Ericsson PC Suite]
2008-07-02 15:15        397312        ----a-w-        e:\sony ericsson\Sony Ericsson PC Suite\SEPCSuite.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TrayServer]
2008-02-07 11:00        90112        ----a-w-        e:\magix\Movie_Edit_Pro_14_PLUS_Download_version\Trayserver.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
2010-06-29 04:00        74752        ----a-w-        c:\programme\Winamp\winampa.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programme\\Messenger\\Msmsgs.exe"=
"c:\\Programme\\ICQ7.2\\ICQ.exe"=
"c:\\Programme\\ICQ7.2\\aolload.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\uTorrent\\uTorrent.exe"=
"c:\\Programme\\Java\\jre6\\bin\\javaw.exe"=
"e:\\Assassin's Creed II\\AssassinsCreedIIGame.exe"=
"e:\\Assassin's Creed II\\AssassinsCreedII.exe"=
"e:\\Assassin's Creed II\\UPlayBrowser.exe"=
"c:\\Programme\\Ubisoft\\Ubisoft Game Launcher\\UbisoftGameLauncher.exe"=
"e:\\Splinter Cell Conviction\\src\\system\\conviction_game.exe"=
"e:\\Splinter Cell Conviction\\src\\system\\gu.exe"=
"e:\\Mirror's Edge\\Binaries\\MirrorsEdge.exe"=
"c:\\Programme\\Microsoft LifeCam\\LifeCam.exe"=
"c:\\Programme\\Microsoft LifeCam\\LifeEnC2.exe"=
"c:\\Programme\\Microsoft LifeCam\\LifeExp.exe"=
"c:\\Programme\\Microsoft LifeCam\\LifeTray.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"e:\\iTunes\\iTunes.exe"=
"c:\\Programme\\VLC\\vlc.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"e:\\Far Cry 2\\bin\\FarCry2.exe"=
"e:\\Far Cry 2\\bin\\FC2Launcher.exe"=
"e:\\Far Cry 2\\bin\\FC2Editor.exe"=
"c:\\WINDOWS\\system32\\PnkBstrA.exe"=
"c:\\WINDOWS\\system32\\PnkBstrB.exe"=
"e:\\Unreal Tournament 3\\Binaries\\UT3.exe"=
"e:\\TeeWorlds\\teeworlds_srv.exe"=
"d:\\Games\\GTA IV\\Grand Theft Auto IV\\LaunchGTAIV.exe"=
"d:\\Games\\GTA IV\\Grand Theft Auto IV\\GTAIV.exe"=

R1 kid_sys;Kensington Input Devices Class filter driver;c:\windows\system32\drivers\KID_SYS.sys [24.09.2010 23:19 11920]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [07.07.2010 15:25 135336]
R2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [07.07.2010 17:18 246520]
R2 MBAMService;MBAMService;e:\malwarebytes' anti-malware\mbamservice.exe [13.08.2010 15:29 304464]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [13.08.2010 15:29 20952]
R3 VX6000;Microsoft LifeCam VX-6000;c:\windows\system32\drivers\VX6000Xp.sys [05.08.2010 02:14 2074480]
S2 Fabs;FABS - Helping agent for MAGIX media database;c:\programme\Gemeinsame Dateien\MAGIX Services\Database\bin\FABS.exe /DisableUI --> c:\programme\Gemeinsame Dateien\MAGIX Services\Database\bin\FABS.exe  [?]
S3 ntxpusb;Gravis USB device driver;c:\windows\system32\drivers\ntxpusb.sys [24.09.2010 23:19 266432]
S3 NVIDIAHWAccess;NVIDIAHWAccess;\??\c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA\HWAccess.sys --> c:\dokumente und einstellungen\Jonny\Anwendungsdaten\NVIDIA\HWAccess.sys [?]
S3 SetupNTGLM7X;SetupNTGLM7X;\??\g:\ntglm7x.sys --> g:\NTGLM7X.sys [?]
S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [08.07.2010 11:44 691696]
.
Inhalt des "geplante Tasks" Ordners

2010-09-26 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2010-07-08 20:18]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\Jonny\Anwendungsdaten\Mozilla\Firefox\Profiles\006u060q.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - www.google.de
FF - prefs.js: keyword.URL - hxxp://www.finduny.com?client=mozilla-firefox&cd=UTF-8&search=1&q=
FF - prefs.js: network.proxy.type - 0
FF - plugin: c:\programme\DivX\DivX Plus Web Player\npdivx32.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npmieze.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npwachk.dll
FF - plugin: e:\itunes\Mozilla Plugins\npitunes.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-09-26 23:55
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-343818398-854245398-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:a5,05,6d,e2,d8,d6,58,14,c7,b1,11,a1,15,a2,75,54,eb,5b,7c,68,5e,
  4e,38,11,72,e3,57,37,df,85,39,7b,83,97,29,f0,34,58,41,ef,b8,50,bf,c2,e8,66,\
"rkeysecu"=hex:6a,dc,05,c3,cd,10,8f,ed,30,83,a7,96,a7,04,ac,29

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'explorer.exe'(2712)
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\nvsvc32.exe
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\programme\Bonjour\mDNSResponder.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Avira\AntiVir Desktop\avshadow.exe
c:\programme\Microsoft LifeCam\MSCamS32.exe
c:\windows\RTHDCPL.EXE
c:\windows\system32\RUNDLL32.EXE
c:\windows\system32\PnkBstrA.exe
c:\windows\system32\PnkBstrB.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-09-26  23:58:12 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2010-09-26 21:58
ComboFix2.txt  2010-09-26 14:46

Vor Suchlauf: 4.611.047.424 Bytes frei
Nach Suchlauf: 4.512.899.072 Bytes frei

- - End Of File - - 52823209F340E7A9B42699EAA421C5EF
--- --- ---

cosinus 27.09.2010 12:10
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus

Anschließend den bootkit_remover herunterladen. Entpacke das Tool in einen eigenen Ordner auf dem Desktop und führe in diesem Ordner die Datei remove.exe aus.

Wenn Du Windows Vista oder Windows 7 verwendest, musst Du die remover.exe über ein Rechtsklick => als Administrator ausführen

Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.
Poste dann bitte, ob es Veränderungen gibt und wenn ja in welchem device. Am besten alles posten was die remover.exe ausgibt.

Big J 28.09.2010 21:56
danke für deine schnelle antwort ;)

so also hier mal die logs:



GMER:


GMER Logfile:
Code:
GMER 1.0.15.15281 - hxxp://www.gmer.net
Rootkit scan 2010-09-28 22:29:49
Windows 5.1.2600 Service Pack 3
Running: ofjztb2t.exe; Driver: C:\DOKUME~1\Jonny\LOKALE~1\Temp\fwliqpog.sys


---- System - GMER 1.0.15 ----

SSDT  B7F1132E                                                                                                            ZwCreateKey
SSDT  B7F11324                                                                                                            ZwCreateThread
SSDT  B7F11333                                                                                                            ZwDeleteKey
SSDT  B7F1133D                                                                                                            ZwDeleteValueKey
SSDT  B7F11342                                                                                                            ZwLoadKey
SSDT  B7F11310                                                                                                            ZwOpenProcess
SSDT  B7F11315                                                                                                            ZwOpenThread
SSDT  B7F1134C                                                                                                            ZwReplaceKey
SSDT  B7F11347                                                                                                            ZwRestoreKey
SSDT  B7F11338                                                                                                            ZwSetValueKey

---- Kernel code sections - GMER 1.0.15 ----

.text  C:\WINDOWS\system32\DRIVERS\nv4_mini.sys                                                                            section is writeable [0xB75023A0, 0x592C35, 0xE8000020]
.text  C:\WINDOWS\system32\DRIVERS\ithsgt.sys                                                                              section is writeable [0xB31C2300, 0x21770, 0xE8000020]

---- Registry - GMER 1.0.15 ----

Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC                                   
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0                                C:\Programme\DAEMON Tools Lite\
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0                                0x00 0x00 0x00 0x00 ...
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0                                0
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12                              0x06 0xBE 0x32 0x01 ...
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001                         
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0                        0x20 0x01 0x00 0x00 ...
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12                    0xB2 0x24 0x27 0x1B ...
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0                     
Reg    HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12                0x04 0xBA 0x1B 0x8E ...
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)               
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0                                    C:\Programme\DAEMON Tools Lite\
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0                                    0x00 0x00 0x00 0x00 ...
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0                                    0
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12                                  0x06 0xBE 0x32 0x01 ...
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)     
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0                            0x20 0x01 0x00 0x00 ...
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12                        0xB2 0x24 0x27 0x1B ...
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet) 
Reg    HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12                    0x04 0xBA 0x1B 0x8E ...

---- EOF - GMER 1.0.15 ----
--- --- ---





OSAM:




OSAM Logfile:
Code:
Report of OSAM: Autorun Manager v5.0.11926.0
hxxp://www.online-solutions.ru/en/
Saved at 22:49:23 on 28.09.2010

OS: Windows XP Professional Service Pack 3 (Build 2600)
Default Browser: Mozilla Corporation Firefox 3.6.10

Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures

Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries


[Common]
-----( %SystemRoot%\Tasks )-----
"WGASetup.job" - "Microsoft Corporation" - C:\WINDOWS\system32\KB905474\wgasetup.exe

[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"DivXControlPanelApplet.cpl" - "DivX, Inc." - C:\WINDOWS\system32\DivXControlPanelApplet.cpl
"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl
"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"Avira AntiVir Personal" - "Avira GmbH" - C:\PROGRA~1\Avira\ANTIVI~1\avconfig.cpl
"QuickTime" - "Apple Inc." - C:\Programme\QuickTime\QTSystem\QuickTime.cpl

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"a5gbb5jv" (a5gbb5jv) - ? - C:\WINDOWS\system32\drivers\a5gbb5jv.sys  (File not found)
"avgio" (avgio) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avgio.sys
"avgntflt" (avgntflt) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avgntflt.sys
"avipbb" (avipbb) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avipbb.sys
"catchme" (catchme) - ? - C:\cofi31030c\catchme.sys  (File not found)
"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)
"GMSIPCI" (GMSIPCI) - ? - G:\INSTALL\GMSIPCI.SYS  (File not found)
"i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)
"ithsgt" (ithsgt) - ? - C:\WINDOWS\System32\DRIVERS\ithsgt.sys  (File found, but it contains no detailed information)
"Kensington Input Devices Class filter driver" (kid_sys) - "Kensington Technology Group" - C:\WINDOWS\System32\drivers\KID_SYS.sys
"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)
"lilsgt" (lilsgt) - ? - C:\WINDOWS\System32\DRIVERS\lilsgt.sys  (File found, but it contains no detailed information)
"MBAMProtector" (MBAMProtector) - "Malwarebytes Corporation" - C:\WINDOWS\system32\drivers\mbam.sys
"MSICPL" (MSICPL) - ? - G:\install4\MSICPL.sys  (File not found)
"NTACCESS" (NTACCESS) - ? - G:\NTACCESS.sys  (File not found)
"NVIDIAHWAccess" (NVIDIAHWAccess) - ? - C:\Dokumente und Einstellungen\Jonny\Anwendungsdaten\NVIDIA\HWAccess.sys  (File not found)
"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)
"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)
"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)
"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)
"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)
"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys
"SetupNTGLM7X" (SetupNTGLM7X) - ? - G:\NTGLM7X.sys  (File not found)
"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys
"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)

[Explorer]
-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----
{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll
-----( HKLM\Software\Classes\Protocols\Filter )-----
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{807553E5-5146-11D5-A672-00B0D022E945} "text/xml" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL
-----( HKLM\Software\Classes\Protocols\Handler )-----
{32505114-5902-49B2-880A-1F7738E5A384} "Data Page Plugable Protocal mso-offdap11 Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\11\OWC11.DLL
{3D9F03FA-7A94-11D3-BE81-0050048385D1} "Data Page Pluggable Protocol mso-offdap Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\10\OWC10.DLL
{FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
{828030A1-22C1-4009-854F-8E305202313F} "livecall" - "Microsoft Corporation" - C:\PROGRA~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL
{828030A1-22C1-4009-854F-8E305202313F} "msnim" - "Microsoft Corporation" - C:\PROGRA~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? - deskpan.dll  (File not found)
{A70C977A-BF00-412C-90B7-034C51DA2439} "DesktopContext Class" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvcpl.dll
{B9E1D2CB-CCFF-4AA6-9579-D7A4754030EF} "iTunes" - "Apple Inc." - E:\iTunes\iTunesMiniPlayer.dll
{42042206-2D85-11D3-8CFF-005004838597} "Microsoft Office HTML Icon Handler" - "Microsoft Corporation" - C:\Programme\Microsoft Office\OFFICE11\msohev.dll
{00020D75-0000-0000-C000-000000000046} "Microsoft Office Outlook" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~3\OFFICE11\MLSHEXT.DLL
{FFB699E0-306A-11d3-8BD1-00104B6F7516} "NVIDIA CPL Extension" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvcpl.dll
{0006F045-0000-0000-C000-000000000046} "Outlook-Dateisymbolerweiterung" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~3\OFFICE11\OLKFSTUB.DLL
{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\shlext.dll
{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll
{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll
{BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Webordner" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL
{B41DB860-8EE4-11D2-9906-E49FADC173CA} "WinRAR" - "Alexander Roshal" - C:\Programme\WinRAR\rarext.dll

[Internet Explorer]
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
<binary data> "DAEMON Tools Toolbar" - ? - C:\Programme\DAEMON Tools Toolbar\DTToolbar.dll
ITBar7Height "ITBar7Height" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBarLayout" - ? -  (File not found | COM-object registry key not found)
<binary data> "{DFEFCDEE-CF1A-4FC8-88AD-48514E463B27}" - ? -  (File not found | COM-object registry key not found)
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_15" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_15.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_15-windows-i586.cab
{CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA} "Java Plug-in 1.6.0_15" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_15.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_15-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_15" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_15.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_15-windows-i586.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
"@C:\Programme\Messenger\Msgslang.dll,-61144" - "Microsoft Corporation" - C:\Programme\Messenger\msmsgs.exe
"ICQ7.2" - "ICQ, LLC." - C:\Programme\ICQ7.2\ICQ.exe
{FF059E31-CC5A-4E2E-BF3B-96E929D65503} "Recherchieren" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

[Logon]
-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
-----( %UserProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\Jonny\Startmenü\Programme\Autostart\desktop.ini
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"avgnt" - "Avira GmbH" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
"LifeCam" - "Microsoft Corporation" - "C:\Programme\Microsoft LifeCam\LifeExp.exe"
"Malwarebytes' Anti-Malware" - "Malwarebytes Corporation" - "E:\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
"NvCplDaemon" - "NVIDIA Corporation" - RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
"NvMediaCenter" - "NVIDIA Corporation" - RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

[Print Monitors]
-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----
"Microsoft Document Imaging Writer Monitor" - "Microsoft Corporation" - C:\WINDOWS\system32\mdimon.dll

[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
"Apple Mobile Device" (Apple Mobile Device) - "Apple Inc." - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
"ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe
"Avira AntiVir Guard" (AntiVirService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avguard.exe
"Avira AntiVir Planer" (AntiVirSchedulerService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\sched.exe
"Dienst "Bonjour"" (Bonjour Service) - "Apple Inc." - C:\Programme\Bonjour\mDNSResponder.exe
"FABS - Helping agent for MAGIX media database" (Fabs) - ? - C:\Programme\Gemeinsame Dateien\MAGIX Services\Database\bin\FABS.exe /DisableUI  (File not found)
"FLEXnet Licensing Service" (FLEXnet Licensing Service) - "Acresso Software Inc." - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
"ICQ Service" (ICQ Service) - ? - C:\Programme\ICQ6Toolbar\ICQ Service.exe
"InstallDriver Table Manager" (IDriverT) - "Macrovision Corporation" - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
"iPod-Dienst" (iPod Service) - "Apple Inc." - C:\Programme\iPod\bin\iPodService.exe
"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe
"MBAMService" (MBAMService) - "Malwarebytes Corporation" - E:\Malwarebytes' Anti-Malware\mbamservice.exe
"MSCamSvc" (MSCamSvc) - "Microsoft Corporation" - C:\Programme\Microsoft LifeCam\MSCamS32.exe
"NVIDIA Display Driver Service" (nvsvc) - "NVIDIA Corporation" - C:\WINDOWS\system32\nvsvc32.exe
"Office Source Engine" (ose) - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE
"PnkBstrA" (PnkBstrA) - ? - C:\WINDOWS\system32\PnkBstrA.exe  (File found, but it contains no detailed information)
"PnkBstrB" (PnkBstrB) - ? - C:\WINDOWS\system32\PnkBstrB.exe  (File found, but it contains no detailed information)
"Windows CardSpace" (idsvc) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe

[Winlogon]
-----( HKCU\Control Panel\IOProcs )-----
"MVB" - ? - mvfs32.dll  (File not found)

[Winsock Providers]
-----( HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries )-----
"mdnsNSP" - "Apple Inc." - C:\Programme\Bonjour\mdnsNSP.dll

===[ Logfile end ]=========================================[ Logfile end ]===
--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru





Zum Bootkit Remover: Wenn ich ihn starte kommt in der console folgende Meldung:


Bootkit Remover
(c) 2009 eSage Lab
www.esagelab.com

Program version: 1.2.0.0
OS Version: Microsoft Windows XP Professional Service Pack 3 (build 2600)

System volume is \\.\C:
\\.\C: -> \\.\PhysicalDrive0 at offset 0x00000000`00007e00
Boot sector MD5 is: 5ddc20efcc4d1dab37c348c7db7289cf

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Unknown boot code

Unknown boot code has been found on some of your physical disks.
To inspect the boot code manually, dump the master boot sector:
remover.exe dump <device_name> [output_file]
To disinfect the master boot sector, use the following command:
remover.exe fix <device_name>


Done;
Press any key to quit...

cosinus 28.09.2010 22:04
Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
  • Doppelklick auf die MBRCheck.exe.
    Vista und Win7 User mit Rechtsklick "als Administrator starten"
  • Das Tool braucht nur eine Sekunde.
  • Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.
Poste mir bitte den Inhalt des .txt Dokumentes

Big J 28.09.2010 22:34
Bitteschön:


MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000007c

Kernel Drivers (total 122):
0x804D7000 \WINDOWS\system32\ntoskrnl.exe
0x80700000 \WINDOWS\system32\hal.dll
0xF7987000 \WINDOWS\system32\KDCOM.DLL
0xF7897000 \WINDOWS\system32\BOOTVID.dll
0xF75A7000 ACPI.sys
0xF7989000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xF7596000 pci.sys
0xF75F7000 isapnp.sys
0xF7A4F000 pciide.sys
0xF7707000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xF7607000 MountMgr.sys
0xF74D7000 ftdisk.sys
0xF798B000 dmload.sys
0xF74B1000 dmio.sys
0xF770F000 PartMgr.sys
0xF7617000 VolSnap.sys
0xF7499000 atapi.sys
0xF7627000 disk.sys
0xF7637000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xF7479000 fltmgr.sys
0xF7467000 sr.sys
0xF7647000 PxHelp20.sys
0xF7450000 KSecDD.sys
0xF7B52000 Ntfs.sys
0xF7423000 NDIS.sys
0xF7409000 Mup.sys
0xF7516000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xB7501000 \SystemRoot\system32\DRIVERS\nv4_mini.sys
0xB74ED000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xF7797000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xB74C9000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xF779F000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xB74A1000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xB7487000 \SystemRoot\system32\DRIVERS\Rtenicxp.sys
0xB7473000 \SystemRoot\system32\DRIVERS\parport.sys
0xF7506000 \SystemRoot\system32\DRIVERS\imapi.sys
0xF74F6000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xB87A0000 \SystemRoot\system32\DRIVERS\redbook.sys
0xB7450000 \SystemRoot\system32\DRIVERS\ks.sys
0xF77A7000 \SystemRoot\system32\DRIVERS\GEARAspiWDM.sys
0xF7ABB000 \SystemRoot\system32\DRIVERS\audstub.sys
0xB8790000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xB87EC000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB7439000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xB8780000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xB8770000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xF77AF000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB7428000 \SystemRoot\system32\DRIVERS\psched.sys
0xB8760000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xF77B7000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xF77BF000 \SystemRoot\system32\DRIVERS\raspti.sys
0xB73A8000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xB8750000 \SystemRoot\system32\DRIVERS\termdd.sys
0xF77C7000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xF77CF000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xF79AF000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB734A000 \SystemRoot\system32\DRIVERS\update.sys
0xB87CC000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xB8740000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xF79B1000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xB8730000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB3E4F000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xB3E2B000 \SystemRoot\system32\drivers\portcls.sys
0xF7677000 \SystemRoot\system32\drivers\drmk.sys
0xF79B5000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xB7F14000 \SystemRoot\System32\Drivers\Null.SYS
0xF79B7000 \SystemRoot\System32\Drivers\Beep.SYS
0xF77F7000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF77FF000 \SystemRoot\System32\drivers\vga.sys
0xF79B9000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF79BB000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF7807000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF780F000 \SystemRoot\System32\Drivers\Npfs.SYS
0xF794B000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xB3DA8000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xB3D4F000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xB3D27000 \SystemRoot\system32\DRIVERS\netbt.sys
0xB3D01000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xB3CDF000 \SystemRoot\System32\drivers\afd.sys
0xF7697000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xF76A7000 \SystemRoot\system32\DRIVERS\netbios.sys
0xF7817000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0xB3CB4000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xB3C44000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xF7AA2000 \SystemRoot\System32\drivers\KID_LIB.sys
0xF76B7000 \SystemRoot\System32\Drivers\Fips.SYS
0xF781F000 \SystemRoot\system32\DRIVERS\usbprint.sys
0xB709E000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xF76C7000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xF775F000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xB7092000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xB3B78000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xF79BF000 \SystemRoot\System32\drivers\KID_SYS.sys
0xB708E000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xF79C7000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xB397F000 \SystemRoot\system32\DRIVERS\VX6000Xp.sys
0xF76E7000 \SystemRoot\system32\DRIVERS\STREAM.SYS
0xF7777000 \SystemRoot\system32\DRIVERS\VX6KCamd.sys
0xF76F7000 \SystemRoot\system32\drivers\usbaudio.sys
0xF7556000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xB3967000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF79D3000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xB3DEB000 \SystemRoot\System32\drivers\Dxapi.sys
0xF7787000 \SystemRoot\System32\watchdog.sys
0xBD000000 \SystemRoot\System32\drivers\dxg.sys
0xB3C21000 \SystemRoot\System32\drivers\dxgthk.sys
0xBD012000 \SystemRoot\System32\nv4_disp.dll
0xBFFA0000 \SystemRoot\System32\ATMFD.DLL
0xB355E000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xB367B000 \??\C:\WINDOWS\system32\drivers\mbam.sys
0xB357B000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xB3301000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xF79DF000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xB31C1000 \SystemRoot\system32\DRIVERS\ithsgt.sys
0xB3522000 \SystemRoot\system32\DRIVERS\lilsgt.sys
0xB3142000 \SystemRoot\system32\DRIVERS\srv.sys
0xB303D000 \SystemRoot\system32\drivers\wdmaud.sys
0xB3132000 \SystemRoot\system32\drivers\sysaudio.sys
0xB32B9000 \SystemRoot\system32\DRIVERS\ipfltdrv.sys
0xB19B2000 \SystemRoot\system32\drivers\kmixer.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 36):
0 System Idle Process
4 System
648 C:\WINDOWS\system32\smss.exe
696 csrss.exe
720 C:\WINDOWS\system32\winlogon.exe
764 C:\WINDOWS\system32\services.exe
776 C:\WINDOWS\system32\lsass.exe
980 C:\WINDOWS\system32\nvsvc32.exe
1012 C:\WINDOWS\system32\svchost.exe
1108 svchost.exe
1140 C:\WINDOWS\system32\svchost.exe
1340 svchost.exe
1452 C:\WINDOWS\system32\spoolsv.exe
1500 C:\Programme\Avira\AntiVir Desktop\sched.exe
1564 svchost.exe
1624 C:\Programme\Avira\AntiVir Desktop\avguard.exe
1640 C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
1656 C:\Programme\Bonjour\mDNSResponder.exe
1696 C:\Programme\ICQ6Toolbar\ICQ Service.exe
1820 C:\Programme\Java\jre6\bin\jqs.exe
2040 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
468 E:\Malwarebytes' Anti-Malware\mbamservice.exe
488 C:\Programme\Microsoft LifeCam\MSCamS32.exe
508 C:\WINDOWS\system32\PnkBstrA.exe
536 C:\WINDOWS\system32\PnkBstrB.exe
1972 C:\WINDOWS\explorer.exe
112 alg.exe
1768 C:\WINDOWS\RTHDCPL.exe
2120 C:\WINDOWS\system32\rundll32.exe
2152 C:\WINDOWS\vVX6000.exe
2232 E:\Malwarebytes' Anti-Malware\mbamgui.exe
2304 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
1912 C:\WINDOWS\system32\wuauclt.exe
2756 C:\Programme\Mozilla Firefox\firefox.exe
2712 C:\WINDOWS\system32\svchost.exe
2172 C:\Dokumente und Einstellungen\Jonny\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (NTFS)
\\.\E: --> \\.\PhysicalDrive0 at offset 0x00000005`5854cc00 (NTFS)
\\.\F: --> \\.\PhysicalDrive0 at offset 0x0000003a`37907c00 (NTFS)

PhysicalDrive0 Model Number: SAMSUNGSP2504C, Rev: VT100-41
PhysicalDrive1 Model Number: SAMSUNGHD501LJ, Rev: CR100-12

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
465 GB \\.\PhysicalDrive1 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A


Done!

cosinus 29.09.2010 08:14
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Big J 29.09.2010 22:03
noch ne kurze frage zu osam: muss ich da nichts fixen oder so oder löschen mit osam? oder musste ich einfach nur scannen und die log schicken?
weil beim osam tutorial hier von trojaner board steht ja was von löschen sobald es ein admin erlaubt hat oder sowas...^^

cosinus 30.09.2010 15:08
Wenn Du was mit OSAM fixen müsstest hätte ich das schon erwähnt, da gibt es aber nix zu fixen.

Big J 12.10.2010 17:02
sorry dass ich mich erst jetzt melde, hatte viel zu tun ^^ also danke schonmal für deine hilfe ;-) :Boogie:

yau also bisher läuft alles wieder normal, bis auf dass manchmal wenn ich in firefox gehe und eine oder zwei seiten gleichzeitig aufrufe, firefox für ein paar sekunden hängt...sonst läuft alles normal...
und achja ist es eigentlich normal dass wenn ich gerade mit firefox surfe und dann cmd öffne und netstat -n eingebe bei manchen IPs "zuletzt ack" steht...?



hier noch die Super Anti Spyware log:


SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 10/04/2010 at 00:56 AM

Application Version : 4.44.1000

Core Rules Database Version : 5623
Trace Rules Database Version: 3435

Scan type : Complete Scan
Total Scan Time : 00:52:38

Memory items scanned : 623
Memory threats detected : 0
Registry items scanned : 7136
Registry threats detected : 0
File items scanned : 25521
File threats detected : 7

Adware.Tracking Cookie
C:\Dokumente und Einstellungen\Jonny\Cookies\jonny@content.yieldmanager[3].txt
C:\Dokumente und Einstellungen\Jonny\Cookies\jonny@tradedoubler[1].txt
C:\Dokumente und Einstellungen\Jonny\Cookies\jonny@doubleclick[1].txt
C:\Dokumente und Einstellungen\Jonny\Cookies\jonny@atwola[1].txt
C:\Dokumente und Einstellungen\Jonny\Cookies\jonny@content.yieldmanager[2].txt
C:\Dokumente und Einstellungen\Jonny\Cookies\jonny@atdmt[1].txt
C:\Dokumente und Einstellungen\Jonny\Cookies\jonny@ad.yieldmanager[2].txt

cosinus 13.10.2010 09:23
Sieht ok aus, da wurden nur Cookies gefunden.
Den Kontrollscan mit Malwarebytes will ich noch sehen

Big J 14.10.2010 14:54
hier das logfile:


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4684

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

14.10.2010 15:32:31
mbam-log-2010-10-14 (15-32-31).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 468326
Laufzeit: 1 Stunde(n), 50 Minute(n), 48 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)





Antivir hat irgendwie auch noch was gefunden:

Die Datei 'C:\Programme\Mozilla Firefox\hs_err_pid3944.log'
enthielt einen Virus oder unerwünschtes Programm 'HTML/Ydergda.B' [virus].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f5b598f.qua' verschoben!



kanns du mir noch meine frage von meinem letzten post bitte beantworten, ob das normal ist mit dem ZULETZT_ACK und SYN_GESENDET beim surfen?


danke ;)

cosinus 15.10.2010 11:32
Zitat:
Datenbank Version: 4684
Du hast Malwarebytes vorher nicht aktualisiert. Bitte updaten und einen Vollscan machen.

Big J 17.10.2010 21:23
jo hier die log:


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4842

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

17.10.2010 17:46:06
mbam-log-2010-10-17 (17-46-06).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 471618
Laufzeit: 1 Stunde(n), 40 Minute(n), 30 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)





könntes du mir jetzt vielleicht noch meine fragen von meinen letzten beiden beiträgen beantworten? ^^ danke ;)

cosinus 18.10.2010 08:11
Zitat:
ob das normal ist mit dem ZULETZT_ACK und SYN_GESENDET beim surfen?
Ja ist normal. Du musst bestimmte Sachen eigentlich wissen, netstat -an bzw. etwas Ähnliches bringt Dir sonst kaum etwas => TCP-Control-Flags => Transmission Control Protocol ? Wikipedia

Ist für den Laien aber eher nichts, aber schau selbst was Du damit anfangen kannst.


Alle Zeitangaben in WEZ +1. Es ist jetzt 09:09 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131