Trojaner-Board - TR/Agent.379392.F, TR/Drop.Agent.dil, TR/Crypt.ZPACK.Gen2 bei AntiVir gefunden

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TR/Agent.379392.F, TR/Drop.Agent.dil, TR/Crypt.ZPACK.Gen2 bei AntiVir gefunden (https://www.trojaner-board.de/103650-tr-agent-379392-f-tr-drop-agent-dil-tr-crypt-zpack-gen2-antivir-gefunden.html)

TR/Agent.379392.F, TR/Drop.Agent.dil, TR/Crypt.ZPACK.Gen2 bei AntiVir gefunden

Hallo und vielen Dank schonmal, daß sich meiner angenommen wird.

Zu meinem Problem: Mir ist vor ein paar Tagen aufgefallen, daß der Seitenaufbau und Download von Dateien (z.b. das Defragmentierprogramm von Pirisoft) unglaublich lange brauchen. Ebenso habe ich ab und zu die Fehlermeldung vom Netzwerk, daß es "keine oder nur eine eingeschränkte Konnektivität" möglich ist. Nach Stöbern im Netz habe ich in einem Beitrag gelesen, daß das auch Ursache eines Schädlingsbefalles sein kann.
Deshalb lief der Antivir-Scan mit folgenden Fünden:

TR/Agent.379392.F (4x)
TR/Drop.Agent.dil
TR/Crypt.ZPACK.Gen2 (2x)

Betroffene Dateien liegen nun unter Quarantäne. Ich würde diese auch gern ganz löschen ... kann man davon ausgehen, daß das ohne Bedenken gemacht
werden kann, da sie von der Quarantäne aud auch nicht arbeiten und das System läuft?
Ebenso lief der Scan mit Spybot (ohne Fund) und HiJack (keine unbekannten Dienste erkannt). Dem Frieden traute ich aber noch nicht und lud mir Malwarebytes AM runter, ließ es laufen und das Programm fand schon etwas im Quickscan. Deshalb lief der komplette Scan später mit noch ein paar Fünden. Die Logs sind beigefügt.

Ich probierte die letzten zwei Tage noch andere mir bekannte Programme aus, wie: Blacklight von f-secure (ohne Fund)
Ad-Aware (ohne Fund)
McAfees Stinger (ohne Fund)

In unregelmäßigen Abständen läuf bei mir der CCleaner und ATF-Cleaner und seltener der RegCleaner. Spywareblaster ist installiert. Als Antivirensoftware läuft Antivir und Zonealarm als Firewall.

Nach allem habe ich ab und zu immernoch das Problem mit der Konnektivität und darüber hinaus ist mir aufgefallen, daß sofort nach dem Booten die CPU-Auslastung schon bei ca.50% liegt ... im TM unter Prozesse sind services.exe (5-20%) und wlansrv.exe (3-7%) erkennbar, daß sie etwas machen. Die anderen restlichen Prozente sind immer im Leerlaufprozess zu finden. Wie kommt also die hohe Auslastung zustande?

Ich nutze das Internet mit diversen Sachen, bei denen ich persönliche Informationen preisgeben muß und bin mir jetzt nicht sicher, ob mein System
wieder gesäubert ist. Deshalb bin ich hier gelandet und hoffe auf Hilfe.

Die erwünschten Scans habe ich hoffentlich richtig ausgeführt und angefügt. Sowie von Malewarebytes AM und OTL habe ich die alten Logs angefügt.
Von OTL auch einen nach Anleitung. Ich hatte auch vor, den eset-Online-Scan laufen zu lassen, aber bis jetzt hat das Programm es noch nicht geschafft, die Viruscodes runterzuladen ... erstens läuft der Download sehr,sehr langsam und irgendwann kommt es dann zum "Unespected error". Ich habe es auch mit über TM ausgeschaltetem AntiVir und heruntergefahrener ZoneAlarm-Firewall probiert ... ohne Erfolg.

Ich habe in einem anderen Thread gelesen, daß sich AntiVir aufgrund derer Entwicklung und Entscheidungen nicht mehr empfehlen läßt. Welches Freeware-Tool (ich will mir später mal G-Data zulegen, aber bis dahin...) ist denn da besser geeignet?

Danke für Antworten!

P.S.: Eine Extra.txt hatte ich bei dem Scan nach Anleitung nicht auf dem Desktop, wo auch die OTL.exe ist, deshalb schicke ich die vom ersten Suchlauf mit und hoffe, diese reicht. Ebenso ist die OTL-Logdatei zu groß, weswegen ich sie nur im .zip-Archiv mitschicken und nicht, wie gewünscht im Thema eintragen kann. (Vielleicht mache ich auch einfach nur was falsch ... für den Fall tut´s mir leid!!!:pfeiff:)

Zitat:

Betroffene Dateien liegen nun unter Quarantäne. Ich würde diese auch gern ganz löschen ...

Du weißt, was eine Quarantäne ist? Ob da die schädliche Datei drinbleibt oder nicht, das hat keine Auswirkungen. Schädlinge in der Quarantäne können nichts mehr anrichten, sie sind dort isoliert. Du solltest grundsätzlich mit der Quarantäne arbeiten, denn falls der Virenscanner durch einen Fehlalarm was wichtiges löscht, kannst Du notfalls noch über die Quarantäne an die Datei ran.

Zitat:

In unregelmäßigen Abständen läuf bei mir der CCleaner und ATF-Cleaner und seltener der RegCleaner.

Finger weg von Registry-Bereinigung!

Die Registry ist das Hirn des Systems. Funktioniert das Hirn nicht, funktioniert der Rest nicht mehr wirklich.
Wir lesen oft genug von Hilfesuchenden, dass deren System nach der Nutzung von Registry Cleanern nicht mehr booted.

Wie soll der Cleaner zu 100% wissen ob der Eintrag benötigt wird oder nicht ?
Es ist vollkommen egal ob ein paar verwaiste Registry Einträge am System sind oder nicht.
Auch die dauernd angepriesene Beschleunigung des Systems ist nur bedingt wahr. Du würdest es nicht merken.

Ein sogenanntes False Positive von einem Cleaner kann auch dein System unbootbar machen.
Zerstörst Du die Registry, zerstörst Du Windows.

Zitat:

O4 - HKLM..\Run: [ZoneAlarm Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe (Check Point Software Technologies LTD)

Was willst du mit einer sinnlosen Software?
Die Windows-Firewall reicht komplett aus, sie leistet genau das was Software-Firewall im Stande sind leisten zu können. Andere Produkte wie Comodo, ZoneAlarm und wieder ganze Müll heißt sind völlig kontraproduktiv und erhöhen die Fehleranfälligkeit des Systems!

So war auch meine Vermutung der Arbeitsweise der Quarantäne, aber nur sicherhaltshalber fragte ich nochmal nach. Das bedeutet für mich, daß ich das so handhaben kann wie zuvor.

Betreffs der Registry-Bereinigung: Ich lasse keine Programme blind laufen und eventuelle Fünde lösche ich ebenfalls nicht blind. Es gibt Einträge, von denen ich weiß, daß ich die Programme z.B. nicht mehr auf dem Rechner habe oder daß ich diese vielleicht auch drauf hatte. Soll bedeuten, daß ich mich nur an Einträgen vergreife, bei denen ich mir 100%ig sicher bin, daß ein Entfernung schadfrei ist.

Tja und daß das Thema Zonealarm angesprochen wird, habe ich schon erwartet.
Warum ich´s benutze? Weil ich das seit Jahren gemacht habe und nie Probleme auftraten. Hatte also immer das Gefühl, daß die Firewall schützenden Effekt hat.
Ganz im Gegenteil zum Computer meines Bruders, der schutzmäßig anders gefahren ist und nach einer Kontrolle meinerseits einige Viren, Trojaner und sowas sein Eigen nannte. Nach einer Umstellung war dann nichts mehr zu finden/merken. Aber das Thema können wir gern beiseite lassen, da ich mich, nach der momentanen Problemlösung mal wieder hinsichtlich dessen von einem Freund aufklären lassen werde.

Schöne Grüße

Zitat:

Hatte also immer das Gefühl, daß die Firewall schützenden Effekt hat.

Betonung liegt auf Gefühl. :pfeiff:
Dass sie tatsächlich kontraproduktiv sein können und in vielen Fällen auch sind, kann ich von dieser bunten Spielerei nur dringend abraten.

Führ bitte auch ESET aus, danach sehen wir weiter:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Zitat:

Zitat von Kanda (Beitrag 704492)

Ich hatte auch vor, den eset-Online-Scan laufen zu lassen, aber bis jetzt hat das Programm es noch nicht geschafft, die Viruscodes runterzuladen ... erstens läuft der Download sehr,sehr langsam und irgendwann kommt es dann zum "Unespected error". Ich habe es auch mit über TM ausgeschaltetem AntiVir und heruntergefahrener ZoneAlarm-Firewall probiert ... ohne Erfolg.

:pfeiff:

Daran hat sich auch immernoch nichts geändert!

Du hast auch beide Browser - IE und FF - getestet? Sind ja Anleitungen zu beiden Browsern da.

Ja, leider kommt auch unter dem Internet Explorer keine vernünftige Verbindung zustande und der Scan läßt sich nicht ausführen.

Du hast ZoneAlarm auch komplett deinstalliert wie empfohlen?

Einen schönen guten Morgen!

Nun, was soll ich sagen. Es geht wirklich nicht ... und ja, ebenso auch mit deinstallierter Firewall nicht. Bitte frage nicht warum, denn das versuche ich ja hier rauszufinden. Ich denke es liegt daran, daß auch das beschriebene Konnektivitätsproblem besteht.
Es passierte während der häufigen Versuche eset zum Laufen zu bringen, daß der Scan zweimal den Finish-Bildschirm zeigte, aber es erstens nicht zu erkennen war, daß alle Codes vollständig runtergeladen waren, da vom 50%-Status gleich zum Scan weitergewechselt wurde und zweitens kam es dazu, daß der Scan keine 2 Sekunden dauerte. Es wurde nichts Schlimmes gefunden, was aber wohl nur daran liegt, daß auch gar nichts untersucht wurde, denn bei gescante Dateien stand 0. Und ja, es waren alle Festplatten ausgewählt.
Mit was soll ich also fortfahren?

Mach bitte -du hast ja ZA deinstalliert - ein neues OTL-Log:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox von OTL - wenn OTL auf deutsch ist wird sie mit http://larusso.trojaner-board.de/Images/otlfix.jpg beschriftet

Code:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.exe

/md5start

wininit.exe

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

So ... hier ist der neue gewünschte OTL-Scan. Eine .txt-Datei habe ich aber wieder nicht gefunden. Wird diese benötigt?

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2004.12.24 06:07:23 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

[2011.09.22 23:59:53 | 000,054,624 | ---- | M] () -- C:\WINDOWS\System32\fa664.sys

[2011.09.22 23:59:26 | 002,335,270 | ---- | M] () -- C:\WINDOWS\System32\df563.mht

[2011.10.01 11:55:42 | 000,000,000 | ---D | C] -- C:\WINDOWS\Internet Logs

[2011.09.23 00:31:02 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\ZoneAlarm

@Alternate Data Stream - 96 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:C07A6A6B

@Alternate Data Stream - 95 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:5C321E34

@Alternate Data Stream - 174 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:ECF3C50F

@Alternate Data Stream - 173 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:587F3582

@Alternate Data Stream - 130 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:C5DF04A9

@Alternate Data Stream - 128 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:A76A1B1B

@Alternate Data Stream - 121 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:1940DBE8

@Alternate Data Stream - 117 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:7B212553

@Alternate Data Stream - 115 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:83E716F0

@Alternate Data Stream - 114 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:13019F4B

@Alternate Data Stream - 110 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:FFFCB9A9

@Alternate Data Stream - 109 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:78E0DF72

@Alternate Data Stream - 100 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:7F66BF58

:Commands

[emptytemp]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hallo!

Der Fix wurde ausgeführt und nachfolgend bekommst Du auch den Bericht. Außerdem habe ich, weil ich davon ausging, daß es Dich immernoch interessiert, nach dem Fix den eset-Scan durchlaufen lassen, der dann endlich funktionierte und zwei Fünde zeigte.

Schöne Grüße

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - klick auf change parameters und setze die Haken wie im folgenden Screenshot abgebildet,
Dann auf Start Scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

http://saved.im/mtkwmtcxexhp/setting...8_16-25-18.jpg

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

Hei!

Ich gehe davon aus, daß Du den TDSSKiller meinst?
Was ist eigentlich mit den Fünden bei eset? Soll ich da schon was unternehmen?

Ja TDSS-Killer. Die Funde von ESET kann ich noch nicht richtig einordnen, abgesehen davon kann das Log nicht vollständig sein, warum hast du es bis auf die Funde reduziert?

Oh sorry!
Da scheine ich ausversehen die falsche Datei gepostet zu haben. Zusammen mit dem TDSS-Log bekommst Du nun auch den eset-Log.

Ich wünsche einen schönen Abend

Die Funde vom TDSS-Killer bitte entfernen

Ok!
Und danach noch irgendeinen Scan laufen lassen?

Erstmal will ich das Log dazu sehen

Nun, ich habe die Funde sicherheitshalber nicht richtig löschen lassen, sondern sie nur in die Quarantäne kopiert , um zu prüfen, ob das System noch stabil bleibt. Ich hoffe es ist trotzdem ausreichend ... mich irritiert das "COPY to quarantine" etwas.
Nachfolgend das Log.

Schöne Grüße

"copy to quarantine" bedeutet aber so eigentlich nur, dass es in die Quarantäne kopiert wird, sonst wird nichts weiter entfernt.

Vllt meinen die damit eher "move to quarantine", das wäre sinniger.

Mach bitte ein neues Log mit dem TDSS-Killer

Komischerweise war es so, wie vermutet, daß die Einträge durch "copy to..." nicht entfernt und weiterhin gefunden wurden.
Habe sie also jetzt richtig gelöscht, neugestartet und somit erhälst du hier die Logs vor und nach dem Neustart.

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Sorry für den Doppel-Post. Ich konnte den anderen Beitrag nicht mehr löschen.

Ich war gerade dabei CF auszuführen und habe vorher alle ersichtlichen AntiVir-Prozesse über den TM beendet. Trotzdem kam die Warnung, daß AntiVir noch aktiv sei. Habe dann die Prozesse über services.msc beendet und CF bestätigt.
Leider kam erneut diese Meldung

antivirus Avira AntiVir PersonalEdition Classic
antivirus Avira AntiVir PersonalEdition Classic
antivirus Avira AntiVir PersonalEdition Classic

Die obigen Real-Time-Scanner sind immer noch aktiv aber Combofix wird trotzdem mit dem Suchlauf fortfahren...
Ich habe es also trotzdem ausgeführt, da ich nicht wußte, wo ich noch AntiVir beenden könnte.
Und diese Log im Anhang folgte darauf.

Ist es eigentlich normal, daß bei CF Antivir dreimal angezeigt wird? Sonst sollte ich das Programm vielleicht sowieso mal neu installieren.

Combofix Logfile:

Code:

ComboFix 11-10-06.03 - *** 06.10.2011  18:27:09.1.2 - x86

Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2046.1618 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\***\Desktop\ComboFix.exe

AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {00000000-0000-0000-0000-000000000000}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD0EC-FFA4-00DA-0D24-347CA8A3377C}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD2B8-FFA4-00DA-0D24-347CA8A3377C}

AV: BitDefender 8.0 Professional Plus *Disabled/Updated* {6C4BB89C-B0ED-4F41-A29C-4373888923BB}

FW: BitDefender 8.0 Professional Plus *Disabled* {4055920F-2E99-48A8-A270-4243D2B8F242}

FW: ZoneAlarm Firewall *Disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

 * Neuer Wiederherstellungspunkt wurde erstellt

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\dokumente und einstellungen\***\WINDOWS

c:\windows\IsUn0407.exe

c:\windows\system32\Packet.dll

c:\windows\system32\pthreadVC.dll

c:\windows\system32\WanPacket.dll

c:\windows\system32\wpcap.dll

.

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

-------\Legacy_WSCM

-------\Service_WSCM

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-09-06 bis 2011-10-06  ))))))))))))))))))))))))))))))

.

.

2011-10-06 14:19 . 2011-10-06 14:19        --------        d-----w-        C:\TDSSKiller_Quarantine

2011-10-02 19:30 . 2011-10-02 19:30        --------        d-----w-        C:\_OTL

2011-09-26 15:12 . 2011-09-26 15:12        --------        d-----w-        c:\programme\RegCleaner

2011-09-26 15:04 . 2011-09-30 06:24        --------        d-----w-        c:\programme\Lavasoft

2011-09-22 22:32 . 2011-09-22 22:32        --------        d-----w-        c:\dokumente und einstellungen\***\Anwendungsdaten\CheckPoint

2011-09-22 22:31 . 2011-09-22 22:56        --------        d-----w-        c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\Conduit

2011-09-22 22:31 . 2011-09-22 22:31        --------        d-----w-        c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\Temp

2011-09-22 22:31 . 2011-09-22 22:31        --------        d-----w-        c:\programme\CheckPoint

2011-09-21 23:30 . 2011-09-21 23:30        --------        d-----w-        c:\programme\ESET

2011-09-20 23:11 . 2011-09-20 23:11        --------        d-----w-        c:\dokumente und einstellungen\***\Anwendungsdaten\Malwarebytes

2011-09-20 23:10 . 2011-09-20 23:10        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-09-20 23:10 . 2011-08-31 15:00        22216        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-09-10 23:11 . 2011-09-10 23:17        --------        d-----w-        c:\programme\SpywareBlaster

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-09-09 09:11 . 2001-08-18 12:00        604160        ----a-w-        c:\windows\system32\crypt32.dll

2011-08-16 10:02 . 2011-05-24 21:21        404640        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2011-07-15 13:29 . 2001-08-18 12:00        456320        ----a-w-        c:\windows\system32\drivers\mrxsmb.sys

2011-10-05 14:27 . 2011-05-09 17:00        134104        ----a-w-        c:\programme\mozilla firefox\components\browsercomps.dll

2003-08-16 18:56        579584        --sha-r-        c:\windows\system32\cd.exe

2005-11-06 12:49        184618        --sha-r-        c:\windows\system32\patcher.exe

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2011-05-07 281768]

"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-04-06 102400]

"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2009-06-17 55824]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

.

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

Play Wireless USB Adapter Utility.lnk - c:\programme\Belkin\F7D4101\V1\PBN.exe [2009-11-25 110592]

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]

BootExecute        REG_MULTI_SZ           autocheck autochk *\0OODBS

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]

@=""

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]

"DisableMonitoring"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Programme\\Skype\\Phone\\Skype.exe"=

.

R2 acedrv11;acedrv11;c:\windows\system32\drivers\acedrv11.sys [19.01.2009 20:31 277544]

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [19.03.2009 21:49 136360]

R2 LBeepKE;LBeepKE;c:\windows\system32\drivers\LBeepKE.sys [09.05.2011 17:46 10384]

R3 BCMH43XX;N+ Wireless USB Adapter Driver;c:\windows\system32\drivers\bcmwlhigh5.sys [06.11.2009 08:26 642432]

S0 Lbd;Lbd;c:\windows\system32\DRIVERS\Lbd.sys --> c:\windows\system32\DRIVERS\Lbd.sys [?]

S2 WLANBelkinService;Belkin WLAN service;c:\programme\Belkin\F7D4101\V1\wlansrv.exe [28.12.2009 17:25 36864]

S3 fa664;fa664;\??\c:\windows\system32\fa664.sys --> c:\windows\system32\fa664.sys [?]

S3 FILESpy;FILESpy;\??\c:\programme\Softwin\BitDefender8\filespy.sys --> c:\programme\Softwin\BitDefender8\filespy.sys [?]

S3 nosGetPlusHelper;getPlus(R) Helper 3004;c:\windows\System32\svchost.exe -k nosGetPlusHelper [18.08.2001 14:00 14336]

S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [23.01.2006 13:16 717296]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

nosGetPlusHelper        REG_MULTI_SZ           nosGetPlusHelper

.

.

------- Zusätzlicher Suchlauf -------

.

mWindow Title = Microsoft Internet Explorer

uInternet Connection Wizard,ShellNext = iexplore

TCP: DhcpNameServer = 10.0.0.1

FF - ProfilePath - c:\dokumente und einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\y0gd2uqz.default\

FF - prefs.js: browser.search.selectedEngine - Heinzelnisse

FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/webhp?hl=de

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

HKLM-Run-CmPCIaudio - CMICNFG3.cpl

Notify-WgaLogon - (no file)

SafeBoot-30298517.sys

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-10-06 18:35

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_USERS\S-1-5-21-1844237615-1085031214-725345543-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]

"??"=hex:bf,6b,8b,c4,c7,8d,cc,89,80,e8,93,2e,1c,43,57,17,16,30,cc,45,4f,5b,62,

   08,97,cb,56,61,69,93,99,6e,e0,b9,b5,08,e7,ac,b9,e7,9c,2a,cf,ce,ad,3e,d7,6a,\

"??"=hex:a1,5e,47,db,25,65,bb,27,8b,92,55,34,10,3f,d9,49

.

[HKEY_USERS\S-1-5-21-1844237615-1085031214-725345543-1003\Software\SecuROM\License information*]

"datasecu"=hex:29,0e,fb,12,af,1d,d6,b7,44,9b,44,1f,f8,df,7a,d0,5f,d3,7c,08,da,

   96,87,89,6c,c8,66,7b,fb,7a,0d,ca,a8,f3,0c,0d,1a,c7,2c,2b,e5,e5,f3,9e,db,fc,\

"rkeysecu"=hex:fc,c0,7e,17,05,7d,fc,b5,1a,af,54,29,89,3b,60,32

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'winlogon.exe'(708)

c:\windows\system32\Ati2evxx.dll

c:\windows\system32\atiadlxx.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\windows\system32\Ati2evxx.exe

c:\windows\system32\Ati2evxx.exe

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\programme\Java\jre6\bin\jqs.exe

c:\windows\system32\wdfmgr.exe

c:\programme\Avira\AntiVir Desktop\avshadow.exe

c:\windows\System32\wbem\wmiapsrv.exe

c:\windows\system32\RunDll32.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-10-06  18:39:59 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-10-06 16:39

.

Vor Suchlauf: 8 Verzeichnis(se), 40.193.265.664 Bytes frei

Nach Suchlauf: 10 Verzeichnis(se), 40.089.894.912 Bytes frei

.

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn /usepmtimer

[spybotsd]

timeout.old=30

.

Current=1 Default=1 Failed=0 LastKnownGood=4 Sets=1,2,3,4

- - End Of File - - AC92D8F2B4C855AF561A4B25E8D9DFC6

--- --- ---

Zitat:

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD2B8-FFA4-00DA-0D24-347CA8A3377C}
AV: BitDefender 8.0 Professional Plus *Disabled/Updated* {6C4BB89C-B0ED-4F41-A29C-4373888923BB}
FW: BitDefender 8.0 Professional Plus *Disabled* {4055920F-2E99-48A8-A270-4243D2B8F242}
FW: ZoneAlarm Firewall *Disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

Was davon ist denn jetzt noch installiert? Nur Bitdefender?

AntiVir ist noch installiert, wurde aber eigentlich versucht vor dem CF-Scan zu deaktivieren.BitDefender ist ewig alt und wurde vor Jahren via Uninstall deinstalliert. Wie das halt so ist, bleibt immer irgendein Mist von den diversen Programmen übrig.Gleiches gilt auch für ZoneAlarm. Das hatte ich auf Deine Anweisung hin deinstalliert und auch seitdem nix Gegenteiliges unternommen.

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

Seccenter::

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {00000000-0000-0000-0000-000000000000}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD0EC-FFA4-00DA-0D24-347CA8A3377C}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD2B8-FFA4-00DA-0D24-347CA8A3377C}

AV: BitDefender 8.0 Professional Plus *Disabled/Updated* {6C4BB89C-B0ED-4F41-A29C-4373888923BB}

FW: BitDefender 8.0 Professional Plus *Disabled* {4055920F-2E99-48A8-A270-4243D2B8F242}

FW: ZoneAlarm Firewall *Disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}
 

Folder::

c:\dokumente und einstellungen\***\Anwendungsdaten\CheckPoint

c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\Conduit

c:\programme\CheckPoint
 

File::

c:\windows\system32\cd.exe

c:\windows\system32\patcher.exe

c:\windows\system32\fa664.sys
 

Driver::

fa664

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hallo und einen schönen Samstagnachmittag!

Ich habe das Script ausgeführt und hoffe, es ist so gelaufen, wie Du es wolltest.AntiVir ist noch installiert und wird auch wieder beim Neustart geladen, falls Du vorhattest es zu deinstallieren.

Ich wollte es nicht deinstallieren, es sollte nur aus dem Sichereheitscenter raus.
Hast du es jetzt deinstalliert?

Nein. Ich habe nur das gemacht, was ich geschrieben habe oder machen sollte.
Soweit mir geläufig ist der Stand folgender:
ZoneAlarm -> deinstalliert
Windows-Firewall -> aktiviert
BitDefender -> schon seit Jahren deinstalliert
AntiVir -> installiert und aktiv

Dann ist das so ok.

Mach das mit CF-Scripten bitte gleich nochmal nur mit einem anderen Script, die alte cfscript.txt vom Desktop bitte vorher löschen!!

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

Killall::
 

Filelook::

c:\windows\system32\cd.exe

c:\windows\system32\patcher.exe
 

File::

c:\windows\system32\cd.exe

c:\windows\system32\patcher.exe

Erledigt!! und die .txt-Datei ist wieder im Anhang.

Gute Nacht

Bitte mal den Avenger anwenden:

1.) Lade Dir von hier Avenger:
Swandog46's Public Anti-Malware Tools (Download, linksseitig)

2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:

http://mitglied.lycos.de/efunction/tb123/avenger.png

3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld:

Code:

Files to delete:

c:\windows\system32\cd.exe

c:\windows\system32\patcher.exe

4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.

8.) Die Datei c:\avenger\backup.zip bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und hier verlinken

Der Report-Text:

Logfile of The Avenger Version 2.0, (c) by Swandog46
hxxp://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "c:\windows\system32\cd.exe" deleted successfully.
File "c:\windows\system32\patcher.exe" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

...und hier ist der Link zu den gelöschten Dateien.
hxxp://www.file-upload.net/download-3794249/backup.zip.html

Was machst Du damit? Checkst Du sie nochmal durch?

Schöne Grüße

Edit: Ich weiß jetzt nicht, warum der Link nicht angezeigt wird, wie erwartet. Der Haken bei "Links automatisch umwandeln" wurde aus gesetzt, aber trotzdem zeigt´s immer nur hxxp an.

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Hallo!

Ich habe die Scans ausgeführt. Jedoch bin ich mir nicht sicher, ob ich beim OSAM-Scanner das gemacht habe, was Du wolltest.In Eurer Anleitung steht ja was von, den Scanner online gehen lassen. Du schriebst ja, daß ich die Onlineabfrage überspringen soll. Also ich habe nur das Log vom kurzen Scan nach dem Programmstart.
Falls Du noch einen Scan nach Anleitung brauchst, gib Bescheid und ich erledige das.

Schöne Grüße

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hallo!

Die Scans sind erfolgt. SuperAntispyware hat was gefunden, wie Du siehst. Die Kniffel-Datei habe ich schon ewig und bei VirusTotal zeigt die Kniffel.exe nur bei SASW einen Fund. Ich könnte die Datei sicherheitshalber löschen, wenn Du es für besser hälst. Und eset scheint ja nur einen bereits isolierten Fund gefunden zu haben.
Ich habe bis jetzt noch nichts gegen die Funde unternommen.
Mir ist außerdem noch eine neue Datei auf dem Desktop aufgefallen: mbr.dat
Ich nehme an, das ist eine von den Reportdateien. Wird diese noch benötigt oder kann ich sie löschen?

Schöne Grüße und mal wieder vielen Dank für die bereits erwiesene Hilfe

Das sind Fehlalarme bei dem Kniffel. Und naja ein Cookie.
ESET hast du richtig interpretiert, der finden den isolierten Schädling in der TDSSKiller-Q.

Rechner soweit wieder im Lot?

Der Rechner läuft und wirkt auf jeden Fall etwas stabiler. Wenn Du meinst, ich kann wieder sicherer Daten im Netz eingeben, beruhigt mich das auch.
Ein paar Funde gab´s ja, die wir beseitigen konnten. Vielen Dank!!!

Das Problem mit der Internetverbindung hat sich gebessert, als ich erstens einen anderen USB-Port ausprobierte und zweitens die Anzahl der Sprengungen aufgrund von Bauarbeiten abnahm. Der Seitenaufbau scheint auch wieder normal zu sein.
Nach dem Windows-Start ist es weiterhin so, daß der TM eine CPU-Auslastung von 40-45% anzeigt. Allerdings passiert es auch, daß sich nach manchmal 1 manchmal 2 Stunden die Anzeige im gewohnten Bereich von 13-17% eingepegelt hat. Kann es sein, daß es manchmal so lange dauert?
Die wlansrv.exe befindet sich nicht mehr bei den TM-Prozessen und die services.exe verhält sich ruhiger.

Gute Nacht!!

Dann wären wir erstmal durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink:

Mozilla und andere Browser => http://filepony.de/?q=Flash+Player
Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Hallo und sorry, daß ich mich jetzt erst zurück-/abmelde.Die letzte Zeit war dann mit Verreisen und so recht unbrauchbar für meinen Rechner.

Vielen, vielen Dank nochmal für die Hilfe. Das System scheint zumindest immernoch stabil zu laufen. Das was ich nicht mehr wollte (Tools) habe ich gelöscht und gehe auch davon aus, daß ich den re-enable - Button des defoggers auch betätigen kann.

Schöne Grüße, wundervolle verbleibende Weihnachten und einen richtig guten Rutsch!!!