Trojaner-Board - Ein weiterer TR/kazy.mekml.1

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Ein weiterer TR/kazy.mekml.1 (https://www.trojaner-board.de/97608-weiterer-tr-kazy-mekml-1-a.html)

Ein weiterer TR/kazy.mekml.1

Hallo Community,

wie anscheinend einige Andere ist mein PC vom Trojaner TR/kazy.mekml.1 (laut AntiVir) befallen worden.
Mein Desktop ist leer, auf meine Festplatte kann ich nicht zugreifen und sie hat wie mir Windows Vista 32bit mitteilt einen kritischen Fehler.
Gerade habe ich schon einen OTL-Durchlauf gemacht mit den Benutzerdefinierten Scans wie bei den anderen Betroffenen.

schonmal im vorraus vielen Dank fürs anschauen!

Zitat:

Art des Suchlaufs: Quick-Scan

Hallo und :hallo:

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Hallo,

gestern nach dem post habe ich Malwarebites laufen lassen (aber nur Quickscan). Dort wurden glaub ich 6 Dateien identifiziert und gelöscht.
Heute morgen habe ich keine Fehlermeldung von Windows beim Start bekommen, jedoch sind meine Desktopicons und meine C:-Partition immer noch unsichtbar. Ich habe unter Systemsteuerung/Ordner "unsichtbare anzeigen" angemacht, jetzt ist zwar alles wieder zu sehen, aber hellgrau.
Jetzt habe ich wie verlangt nochmal Malwarebites mit Voll-Scan benutzt.
Beide Berichte sind angehängt.

Viele Grüße
Antoine

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2006.09.18 23:43:36 | 000,000,024 | -H-- | M] () - C:\autoexec.bat -- [ NTFS ]

O32 - AutoRun File - [2001.06.27 12:26:18 | 000,000,050 | R--- | M] () - E:\autorun.inf -- [ CDFS ]

O33 - MountPoints2\{500750ca-9ce4-11dd-9cd6-806e6f6e6963}\Shell - "" = AutoRun

O33 - MountPoints2\{500750ca-9ce4-11dd-9cd6-806e6f6e6963}\Shell\AutoRun\command - "" = E:\Install.exe -- [1999.06.28 00:35:30 | 000,008,928 | R--- | M] ()

O33 - MountPoints2\{9c67dc3f-de57-11dd-9f08-001377ac4eed}\Shell - "" = AutoRun

O33 - MountPoints2\{9c67dc3f-de57-11dd-9f08-001377ac4eed}\Shell\AutoRun\command - "" = G:\autorun.exe

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

hab das gemacht, hier der report:

All processes killed
========== OTL ==========
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
File C:\autoexec.bat not found.
File move failed. E:\autorun.inf scheduled to be moved on reboot.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{500750ca-9ce4-11dd-9cd6-806e6f6e6963}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{500750ca-9ce4-11dd-9cd6-806e6f6e6963}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{500750ca-9ce4-11dd-9cd6-806e6f6e6963}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{500750ca-9ce4-11dd-9cd6-806e6f6e6963}\ not found.
File move failed. E:\Install.exe scheduled to be moved on reboot.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9c67dc3f-de57-11dd-9f08-001377ac4eed}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9c67dc3f-de57-11dd-9f08-001377ac4eed}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9c67dc3f-de57-11dd-9f08-001377ac4eed}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9c67dc3f-de57-11dd-9f08-001377ac4eed}\ not found.
File G:\autorun.exe not found.
========== COMMANDS ==========
C:\Windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Michael
->Temp folder emptied: 31832 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 7935723 bytes
->Flash cache emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 43476 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 8,00 mb

OTL by OldTimer - Version 3.2.22.3 log created on 04182011_222639

Files\Folders moved on Reboot...
File move failed. E:\autorun.inf scheduled to be moved on reboot.
File move failed. E:\Install.exe scheduled to be moved on reboot.

Registry entries deleted on Reboot...

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

als erstes habe ich das unhide gemacht und hat super funktioniert.
das kaspersky tool lässt sich bei mir nicht öffnen, wenn ich traufklicke passiert garnichts, hab alles geschlossen....

Zitat:

wenn ich traufklicke passiert garnichts, hab alles geschlossen....

Du sollst auch nicht einfach draufklicken, sondern per Rechtsklick als Admin ausführen

habe ich gemacht. ich habs nochmal runtergeladen, hab mein pc neugestartet, hab alle programme geschlossen, aber es war nicht zum laufen zu bringen.
wenn ichs als admin starte, arbeitet mein pc kurz aber nichts passiert (ca. 15min gewartet!)

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

hier der log:
Combofix Logfile:

Code:

ComboFix 11-04-19.01 - Michael 20.04.2011   0:30.1.2 - x86

Microsoft® Windows Vista™ Home Premium   6.0.6002.2.1252.49.1031.18.3070.2317 [GMT 2:00]

ausgeführt von:: c:\users\Michael\Desktop\cofi.exe

AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}

SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}

SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\users\Michael\AppData\Roaming\Local

c:\users\Michael\AppData\Roaming\Local\Temp\DDM\Settings\.ddr

c:\users\Michael\AppData\Roaming\Local\Temp\DDM\Settings\0.ddi

c:\users\Michael\AppData\Roaming\Local\Temp\DDM\Settings\settings.ddi

c:\users\Michael\AppData\Roaming\Local\Temp\DDM\Settings\Temporary Downloaded Files\.ddp

.

Infizierte Kopie von c:\windows\system32\drivers\volsnap.sys wurde gefunden und desinfiziert 

Kopie von - Kitty had a snack :p wurde wiederhergestellt 

.

(((((((((((((((((((((((   Dateien erstellt von 2011-03-19 bis 2011-04-19  ))))))))))))))))))))))))))))))

.

.

2011-04-19 22:39 . 2011-04-19 22:39        --------        d-----w-        c:\users\Michael\AppData\Local\temp

2011-04-19 22:39 . 2011-04-19 22:39        --------        d-----w-        c:\users\Default\AppData\Local\temp

2011-04-19 22:09 . 2011-04-19 22:09        --------        d-----w-        c:\program files\CCleaner

2011-04-18 19:39 . 2011-04-18 19:39        --------        d-----w-        C:\_OTL

2011-04-17 17:50 . 2011-04-17 17:50        --------        d-----w-        c:\users\Michael\AppData\Roaming\Malwarebytes

2011-04-17 17:50 . 2010-12-20 16:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-04-17 17:50 . 2011-04-17 17:50        --------        d-----w-        c:\programdata\Malwarebytes

2011-04-17 17:50 . 2011-04-17 17:50        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware

2011-04-15 13:11 . 2011-03-15 04:05        6792528        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{77BD6C71-EC54-4202-A7C0-7A140ED757D4}\mpengine.dll

2011-04-15 12:59 . 2011-02-16 16:16        34304        ----a-w-        c:\windows\system32\atmlib.dll

2011-04-15 12:59 . 2011-02-16 14:02        292864        ----a-w-        c:\windows\system32\atmfd.dll

2011-04-15 12:56 . 2011-03-03 13:25        2041856        ----a-w-        c:\windows\system32\win32k.sys

2011-04-14 00:37 . 2011-04-14 12:58        --------        d-----w-        c:\program files\Mass Effect

2011-04-11 00:28 . 2011-04-11 00:28        --------        d-----w-        c:\programdata\id Software

2011-04-10 18:35 . 2011-01-06 10:51        2409784        ----a-w-        c:\program files\Windows Mail\OESpamFilter.dat

2011-04-05 23:31 . 2011-04-05 23:31        --------        d-----w-        c:\program files\Common Files\Wise Installation Wizard

2011-03-29 23:57 . 2011-03-30 00:40        --------        d-----w-        c:\program files\Death Rally

2011-03-24 13:18 . 2011-03-18 17:56        142296        ----a-w-        c:\program files\Mozilla Firefox\components\browsercomps.dll

2011-03-24 13:18 . 2011-03-18 17:56        781272        ----a-w-        c:\program files\Mozilla Firefox\mozsqlite3.dll

2011-03-24 13:18 . 2011-03-18 17:56        728024        ----a-w-        c:\program files\Mozilla Firefox\libGLESv2.dll

2011-03-24 13:18 . 2011-03-18 17:56        1975768        ----a-w-        c:\program files\Mozilla Firefox\D3DCompiler_42.dll

2011-03-24 13:18 . 2011-03-18 17:56        1893336        ----a-w-        c:\program files\Mozilla Firefox\d3dx9_42.dll

2011-03-24 13:18 . 2011-03-18 17:56        1874904        ----a-w-        c:\program files\Mozilla Firefox\mozjs.dll

2011-03-24 13:18 . 2011-03-18 17:56        15832        ----a-w-        c:\program files\Mozilla Firefox\mozalloc.dll

2011-03-24 13:18 . 2011-03-18 17:56        142296        ----a-w-        c:\program files\Mozilla Firefox\libEGL.dll

2011-03-22 22:09 . 2011-02-22 14:13        288768        ----a-w-        c:\windows\system32\XpsGdiConverter.dll

2011-03-22 22:09 . 2011-02-22 13:33        1068544        ----a-w-        c:\windows\system32\DWrite.dll

2011-03-22 22:09 . 2011-02-22 13:33        797696        ----a-w-        c:\windows\system32\FntCache.dll

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-03-17 21:17 . 2009-10-22 18:31        137656        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2011-03-14 22:39 . 2011-03-14 22:30        138264        ----a-w-        c:\windows\system32\drivers\PnkBstrK.sys

2011-03-14 22:38 . 2011-03-14 22:38        234768        ----a-w-        c:\windows\system32\PnkBstrB.xtr

2011-03-14 22:38 . 2011-03-14 22:30        234768        ----a-w-        c:\windows\system32\PnkBstrB.exe

2011-03-14 22:30 . 2011-03-14 22:30        138056        ----a-w-        c:\users\Michael\AppData\Roaming\PnkBstrK.sys

2011-03-14 22:30 . 2011-03-14 22:30        75136        ----a-w-        c:\windows\system32\PnkBstrA.exe

2011-02-02 16:11 . 2009-10-11 10:56        222080        ------w-        c:\windows\system32\MpSigStub.exe

2011-01-20 16:37 . 2011-02-14 21:59        638336        ----a-w-        c:\windows\system32\drivers\dxgkrnl.sys

2011-01-20 16:08 . 2011-02-14 21:59        478720        ----a-w-        c:\windows\system32\dxgi.dll

2011-01-20 16:08 . 2011-02-14 21:59        219648        ----a-w-        c:\windows\system32\d3d10_1core.dll

2011-01-20 16:08 . 2011-02-14 21:59        160768        ----a-w-        c:\windows\system32\d3d10_1.dll

2011-01-20 16:08 . 2011-02-14 21:59        1029120        ----a-w-        c:\windows\system32\d3d10.dll

2011-01-20 16:08 . 2011-02-14 21:59        189952        ----a-w-        c:\windows\system32\d3d10core.dll

2011-01-20 16:07 . 2011-02-14 21:59        37376        ----a-w-        c:\windows\system32\cdd.dll

2011-01-20 16:07 . 2011-02-14 21:59        258048        ----a-w-        c:\windows\system32\winspool.drv

2011-01-20 16:07 . 2011-02-14 21:59        586240        ----a-w-        c:\windows\system32\stobject.dll

2011-01-20 16:06 . 2011-02-14 21:59        2873344        ----a-w-        c:\windows\system32\mf.dll

2011-01-20 16:06 . 2011-02-14 21:59        26112        ----a-w-        c:\windows\system32\printfilterpipelineprxy.dll

2011-01-20 16:04 . 2011-02-14 21:59        209920        ----a-w-        c:\windows\system32\mfplat.dll

2011-01-20 16:04 . 2011-02-14 21:59        98816        ----a-w-        c:\windows\system32\mfps.dll

2011-01-20 14:28 . 2011-02-14 21:59        1554432        ----a-w-        c:\windows\system32\xpsservices.dll

2011-01-20 14:27 . 2011-02-14 21:59        876032        ----a-w-        c:\windows\system32\XpsPrint.dll

2011-01-20 14:26 . 2011-02-14 21:59        667648        ----a-w-        c:\windows\system32\printfilterpipelinesvc.exe

2011-01-20 14:25 . 2011-02-14 21:59        847360        ----a-w-        c:\windows\system32\OpcServices.dll

2011-01-20 14:24 . 2011-02-14 21:59        135680        ----a-w-        c:\windows\system32\XpsRasterService.dll

2011-01-20 14:15 . 2011-02-14 21:59        979456        ----a-w-        c:\windows\system32\MFH264Dec.dll

2011-01-20 14:14 . 2011-02-14 21:59        357376        ----a-w-        c:\windows\system32\MFHEAACdec.dll

2011-01-20 14:14 . 2011-02-14 21:59        302592        ----a-w-        c:\windows\system32\mfmp4src.dll

2011-01-20 14:14 . 2011-02-14 21:59        261632        ----a-w-        c:\windows\system32\mfreadwrite.dll

2011-01-20 14:12 . 2011-02-14 21:59        1172480        ----a-w-        c:\windows\system32\d3d10warp.dll

2011-01-20 14:11 . 2011-02-14 21:59        486400        ----a-w-        c:\windows\system32\d3d10level9.dll

2011-01-20 13:47 . 2011-02-14 21:59        683008        ----a-w-        c:\windows\system32\d2d1.dll

2011-03-18 17:56 . 2011-03-24 13:18        142296        ----a-w-        c:\program files\mozilla firefox\components\browsercomps.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-11 1233920]

"WindowsWelcomeCenter"="oobefldr.dll" [2009-04-11 2153472]

"LightScribe Control Panel"="c:\program files\Common Files\LightScribe\LightScribeControlPanel.exe" [2008-03-17 2289664]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RtHDVCpl"="RtHDVCpl.exe" [2008-07-08 6273568]

"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2007-10-26 1029416]

"VirtualCloneDrive"="c:\program files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" [2008-06-29 52168]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-11-08 281768]

"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-04-06 102400]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-03-18 421888]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)

"EnableUIADesktopToggle"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"=wdmaud.drv

.

[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^BTTray.lnk]

path=c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\BTTray.lnk

backup=c:\windows\pss\BTTray.lnk.CommonStartup

backupExtension=.CommonStartup

.

[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Microsoft Office.lnk]

path=c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft Office.lnk

backup=c:\windows\pss\Microsoft Office.lnk.CommonStartup

backupExtension=.CommonStartup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

2008-10-15 00:04        39792        ----a-w-        c:\program files\Adobe\Reader 8.0\Reader\reader_sl.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BitTorrent DNA]

2009-01-02 14:55        342848        ----a-w-        c:\users\Michael\Program Files\DNA\btdna.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivX Download Manager]

2010-12-08 21:15        63360        ----a-w-        c:\program files\DivX\DivX Plus Web Player\DDMService.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivXUpdate]

2010-12-09 19:28        1226608        ----a-w-        c:\program files\DivX\DivX Update\DivXUpdate.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]

2010-06-15 14:33        141624        ----a-w-        c:\program files\iTunes\iTunesHelper.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

2010-05-14 10:44        248552        ----a-w-        c:\program files\Common Files\Java\Java Update\jusched.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware]

"DisableMonitoring"=dword:00000001

.

R0 txdn;txdn;c:\windows\System32\drivers\iqgoqca.sys [x]

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]

R3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]

R4 gupdate1c98d5420675f40;Google Update Service (gupdate1c98d5420675f40);c:\program files\Google\Update\GoogleUpdate.exe [2009-02-12 133104]

S0 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2009-11-21 691696]

S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2010-04-07 172032]

S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2010-11-08 135336]

S2 KMDFMEMIO;SAMSUNG Kernel Driver;c:\windows\system32\DRIVERS\kmdfmemio.sys [2008-09-01 13312]

S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atikmdag.sys [2010-04-07 5430272]

S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [2010-04-07 157184]

S3 usbfilter;AMD USB Filter Driver;c:\windows\system32\DRIVERS\usbfilter.sys [2008-05-28 22072]

S3 VMC302;Vimicro Camera Service VMC302;c:\windows\system32\Drivers\VMC302.sys [2009-01-23 243840]

.

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

bthsvcs        REG_MULTI_SZ           BthServ

LocalServiceAndNoImpersonation        REG_MULTI_SZ           FontCache

.

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]

2008-03-17 08:56        451872        ----a-w-        c:\program files\Common Files\LightScribe\LSRunOnce.exe

.

Inhalt des "geplante Tasks" Ordners

.

2011-04-19 c:\windows\Tasks\Google Software Updater.job

- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-02-12 05:06]

.

2011-04-19 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-02-12 20:54]

.

2011-04-19 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-02-12 20:54]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://search.babylon.com/home?AF=17241

uInternet Settings,ProxyOverride = *.local

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

FF - ProfilePath - c:\users\Michael\AppData\Roaming\Mozilla\Firefox\Profiles\3hqegdax.default\

FF - prefs.js: browser.startup.homepage - hxxp://web.de/

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

HKLM-Run-NWEReboot - (no file)

MSConfigStartUp-RemoteControl - c:\program files\CyberLink\PowerDVD\PDVDServ.exe

MSConfigStartUp-TomTomHOME - c:\program files\TomTom HOME 2\TomTomHOMERunner.exe

AddRemove-PunkBusterSvc - c:\program files\EA Games\Battlefield Play4Free\pbsvc_p4f.exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-04-20 00:39

Windows 6.0.6002 Service Pack 2 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_USERS\S-1-5-21-2959233844-635812411-2350916786-1003\Software\SecuROM\License information*]

@Allowed: (Read) (RestrictedCode)

"datasecu"=hex:a9,cf,e9,03,75,23,d8,91,66,22,f3,e1,11,f1,64,d6,2c,39,1e,86,91,

   9f,fd,43,bf,e3,b5,a9,6b,a4,ff,34,e8,4d,18,d4,cd,ce,15,e4,84,b1,3d,7a,c5,da,\

"rkeysecu"=hex:0c,62,50,e3,8a,23,9a,a1,ba,95,81,76,dd,82,f7,99

.

Zeit der Fertigstellung: 2011-04-20  00:42:27

ComboFix-quarantined-files.txt  2011-04-19 22:42

.

Vor Suchlauf: 12 Verzeichnis(se), 11.263.123.456 Bytes frei

Nach Suchlauf: 14 Verzeichnis(se), 11.039.080.448 Bytes frei

.

- - End Of File - - CF42CF8DC6442F7FD6D97739D9ADCEBE

--- --- ---

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

File::

c:\windows\System32\drivers\iqgoqca.sys
 

Driver::

txdn

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

hab alles gemacht, hier der log:

Combofix Logfile:

Code:

ComboFix 11-04-19.01 - Michael 20.04.2011  20:46:14.2.2 - x86

Microsoft® Windows Vista™ Home Premium   6.0.6002.2.1252.49.1031.18.3070.1973 [GMT 2:00]

ausgeführt von:: c:\users\Michael\Desktop\cofi.exe

Benutzte Befehlsschalter :: c:\users\Michael\Desktop\CFScript.txt

AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}

SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}

SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

.

FILE ::

"c:\windows\System32\drivers\iqgoqca.sys"

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

-------\Service_txdn

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-03-20 bis 2011-04-20  ))))))))))))))))))))))))))))))

.

.

2011-04-20 18:53 . 2011-04-20 18:57        --------        d-----w-        c:\users\Michael\AppData\Local\temp

2011-04-19 22:09 . 2011-04-19 22:09        --------        d-----w-        c:\program files\CCleaner

2011-04-18 19:39 . 2011-04-18 19:39        --------        d-----w-        C:\_OTL

2011-04-17 17:50 . 2011-04-17 17:50        --------        d-----w-        c:\users\Michael\AppData\Roaming\Malwarebytes

2011-04-17 17:50 . 2010-12-20 16:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-04-17 17:50 . 2011-04-17 17:50        --------        d-----w-        c:\programdata\Malwarebytes

2011-04-17 17:50 . 2011-04-17 17:50        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware

2011-04-15 13:11 . 2011-03-15 04:05        6792528        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{77BD6C71-EC54-4202-A7C0-7A140ED757D4}\mpengine.dll

2011-04-15 12:59 . 2011-02-16 16:16        34304        ----a-w-        c:\windows\system32\atmlib.dll

2011-04-15 12:59 . 2011-02-16 14:02        292864        ----a-w-        c:\windows\system32\atmfd.dll

2011-04-15 12:56 . 2011-03-03 13:25        2041856        ----a-w-        c:\windows\system32\win32k.sys

2011-04-14 00:37 . 2011-04-14 12:58        --------        d-----w-        c:\program files\Mass Effect

2011-04-11 00:28 . 2011-04-11 00:28        --------        d-----w-        c:\programdata\id Software

2011-04-10 18:35 . 2011-01-06 10:51        2409784        ----a-w-        c:\program files\Windows Mail\OESpamFilter.dat

2011-04-05 23:31 . 2011-04-05 23:31        --------        d-----w-        c:\program files\Common Files\Wise Installation Wizard

2011-03-29 23:57 . 2011-03-30 00:40        --------        d-----w-        c:\program files\Death Rally

2011-03-24 13:18 . 2011-03-18 17:56        142296        ----a-w-        c:\program files\Mozilla Firefox\components\browsercomps.dll

2011-03-24 13:18 . 2011-03-18 17:56        781272        ----a-w-        c:\program files\Mozilla Firefox\mozsqlite3.dll

2011-03-24 13:18 . 2011-03-18 17:56        728024        ----a-w-        c:\program files\Mozilla Firefox\libGLESv2.dll

2011-03-24 13:18 . 2011-03-18 17:56        1975768        ----a-w-        c:\program files\Mozilla Firefox\D3DCompiler_42.dll

2011-03-24 13:18 . 2011-03-18 17:56        1893336        ----a-w-        c:\program files\Mozilla Firefox\d3dx9_42.dll

2011-03-24 13:18 . 2011-03-18 17:56        1874904        ----a-w-        c:\program files\Mozilla Firefox\mozjs.dll

2011-03-24 13:18 . 2011-03-18 17:56        15832        ----a-w-        c:\program files\Mozilla Firefox\mozalloc.dll

2011-03-24 13:18 . 2011-03-18 17:56        142296        ----a-w-        c:\program files\Mozilla Firefox\libEGL.dll

2011-03-22 22:09 . 2011-02-22 14:13        288768        ----a-w-        c:\windows\system32\XpsGdiConverter.dll

2011-03-22 22:09 . 2011-02-22 13:33        1068544        ----a-w-        c:\windows\system32\DWrite.dll

2011-03-22 22:09 . 2011-02-22 13:33        797696        ----a-w-        c:\windows\system32\FntCache.dll

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-03-17 21:17 . 2009-10-22 18:31        137656        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2011-03-14 22:39 . 2011-03-14 22:30        138264        ----a-w-        c:\windows\system32\drivers\PnkBstrK.sys

2011-03-14 22:38 . 2011-03-14 22:38        234768        ----a-w-        c:\windows\system32\PnkBstrB.xtr

2011-03-14 22:38 . 2011-03-14 22:30        234768        ----a-w-        c:\windows\system32\PnkBstrB.exe

2011-03-14 22:30 . 2011-03-14 22:30        138056        ----a-w-        c:\users\Michael\AppData\Roaming\PnkBstrK.sys

2011-03-14 22:30 . 2011-03-14 22:30        75136        ----a-w-        c:\windows\system32\PnkBstrA.exe

2011-02-02 16:11 . 2009-10-11 10:56        222080        ------w-        c:\windows\system32\MpSigStub.exe

2011-03-18 17:56 . 2011-03-24 13:18        142296        ----a-w-        c:\program files\mozilla firefox\components\browsercomps.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-11 1233920]

"WindowsWelcomeCenter"="oobefldr.dll" [2009-04-11 2153472]

"LightScribe Control Panel"="c:\program files\Common Files\LightScribe\LightScribeControlPanel.exe" [2008-03-17 2289664]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RtHDVCpl"="RtHDVCpl.exe" [2008-07-08 6273568]

"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2007-10-26 1029416]

"VirtualCloneDrive"="c:\program files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" [2008-06-29 52168]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-11-08 281768]

"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-04-06 102400]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-03-18 421888]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)

"EnableUIADesktopToggle"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"=wdmaud.drv

.

[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^BTTray.lnk]

path=c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\BTTray.lnk

backup=c:\windows\pss\BTTray.lnk.CommonStartup

backupExtension=.CommonStartup

.

[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Microsoft Office.lnk]

path=c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft Office.lnk

backup=c:\windows\pss\Microsoft Office.lnk.CommonStartup

backupExtension=.CommonStartup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

2008-10-15 00:04        39792        ----a-w-        c:\program files\Adobe\Reader 8.0\Reader\reader_sl.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BitTorrent DNA]

2009-01-02 14:55        342848        ----a-w-        c:\users\Michael\Program Files\DNA\btdna.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivX Download Manager]

2010-12-08 21:15        63360        ----a-w-        c:\program files\DivX\DivX Plus Web Player\DDMService.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivXUpdate]

2010-12-09 19:28        1226608        ----a-w-        c:\program files\DivX\DivX Update\DivXUpdate.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]

2010-06-15 14:33        141624        ----a-w-        c:\program files\iTunes\iTunesHelper.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

2010-05-14 10:44        248552        ----a-w-        c:\program files\Common Files\Java\Java Update\jusched.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware]

"DisableMonitoring"=dword:00000001

.

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]

R3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]

R4 gupdate1c98d5420675f40;Google Update Service (gupdate1c98d5420675f40);c:\program files\Google\Update\GoogleUpdate.exe [2009-02-12 133104]

S0 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2009-11-21 691696]

S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2010-04-07 172032]

S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2010-11-08 135336]

S2 KMDFMEMIO;SAMSUNG Kernel Driver;c:\windows\system32\DRIVERS\kmdfmemio.sys [2008-09-01 13312]

S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atikmdag.sys [2010-04-07 5430272]

S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [2010-04-07 157184]

S3 usbfilter;AMD USB Filter Driver;c:\windows\system32\DRIVERS\usbfilter.sys [2008-05-28 22072]

S3 VMC302;Vimicro Camera Service VMC302;c:\windows\system32\Drivers\VMC302.sys [2009-01-23 243840]

.

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

bthsvcs        REG_MULTI_SZ           BthServ

LocalServiceAndNoImpersonation        REG_MULTI_SZ           FontCache

.

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]

2008-03-17 08:56        451872        ----a-w-        c:\program files\Common Files\LightScribe\LSRunOnce.exe

.

Inhalt des "geplante Tasks" Ordners

.

2011-04-20 c:\windows\Tasks\Google Software Updater.job

- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-02-12 05:06]

.

2011-04-20 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-02-12 20:54]

.

2011-04-20 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-02-12 20:54]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://search.babylon.com/home?AF=17241

uInternet Settings,ProxyOverride = *.local

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

FF - ProfilePath - c:\users\Michael\AppData\Roaming\Mozilla\Firefox\Profiles\3hqegdax.default\

FF - prefs.js: browser.startup.homepage - hxxp://web.de/

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-04-20 20:57

Windows 6.0.6002 Service Pack 2 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_USERS\S-1-5-21-2959233844-635812411-2350916786-1003\Software\SecuROM\License information*]

@Allowed: (Read) (RestrictedCode)

"datasecu"=hex:a9,cf,e9,03,75,23,d8,91,66,22,f3,e1,11,f1,64,d6,2c,39,1e,86,91,

   9f,fd,43,bf,e3,b5,a9,6b,a4,ff,34,e8,4d,18,d4,cd,ce,15,e4,84,b1,3d,7a,c5,da,\

"rkeysecu"=hex:0c,62,50,e3,8a,23,9a,a1,ba,95,81,76,dd,82,f7,99

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'Explorer.exe'(2008)

c:\windows\system32\btncopy.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\windows\system32\atieclxx.exe

c:\windows\system32\WLANExt.exe

c:\windows\System32\lpksetup.exe

c:\program files\Samsung\Easy Display Manager\dmhkcore.exe

c:\program files\SAMSUNG\EasySpeedUpManager\EasySpeedUpManager.exe

c:\program files\Samsung\Samsung Magic Doctor\MagicDoctorKbdHk.exe

c:\program files\Samsung\Samsung Update Plus\SUPBackground.exe

c:\windows\system32\conime.exe

c:\program files\Avira\AntiVir Desktop\avguard.exe

c:\windows\RtHDVCpl.exe

c:\program files\Avira\AntiVir Desktop\avshadow.exe

c:\windows\system32\PnkBstrA.exe

c:\program files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

c:\windows\servicing\TrustedInstaller.exe

c:\program files\Synaptics\SynTP\SynTPHelper.exe

c:\program files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

c:\windows\system32\wermgr.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-04-20  21:03:38 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-04-20 19:03

ComboFix2.txt  2011-04-19 22:42

.

Vor Suchlauf: 13 Verzeichnis(se), 11.266.048.000 Bytes frei

Nach Suchlauf: 14 Verzeichnis(se), 10.917.490.688 Bytes frei

.

- - End Of File - - 12C7802CE75EBCDF1E7D2CD258D380D3

--- --- ---

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes