Trojaner-Board - Windows startet nicht!

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Windows startet nicht! (https://www.trojaner-board.de/106058-windows-startet.html)

Kein Problem. Mir scheint hier als wär noch etwas im Busch.

Sind folgende Einträge wissentlich erstellt worden ? ( Proxy Server )

Zitat:

IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = <local>
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:58525

Wie läuft der Rechner im abgesicherten Modus ?

Versuch mal folgendes im abgesicherten Modus

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2

WICHTIG - Speichere Combofix auf deinem Desktop

Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Bitte poste in deiner nächsten Antwort
Combofix.txt

Im abgesicherten Modus läuft er eigentlich ganz gut!!

Deine erste Frage deiner letzten Antwort versteh ich nicht ganz, bzw. keine ahnung?habe nichts gemacht

Combofix Logfile:

Code:

ComboFix 12-01-04.03 - Amelie 05.01.2012   1:03.1.2 - x86 NETWORK

Microsoft® Windows Vista™ Home Premium   6.0.6000.0.1252.49.1031.18.2038.1362 [GMT 1:00]

ausgeführt von:: c:\users\Amelie\Downloads\ComboFix.exe

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\programdata\LGSmartPartition.txt

c:\users\Amelie\AppData\Roaming\EurekaLog

c:\windows\lgcenter.ini

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-12-05 bis 2012-01-05  ))))))))))))))))))))))))))))))

.

.

2012-01-05 00:12 . 2012-01-05 00:13        --------        d-----w-        c:\users\Amelie\AppData\Local\temp

2012-01-05 00:12 . 2012-01-05 00:12        --------        d-----w-        c:\users\Default\AppData\Local\temp

2012-01-04 21:22 . 2012-01-04 22:00        56200        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{0710EA07-8E5C-413E-A5FD-30242E007E30}\offreg.dll

2012-01-04 10:24 . 2012-01-04 10:25        --------        d-----w-        c:\program files\Common Files\Adobe

2012-01-03 20:44 . 2011-11-21 10:47        6823496        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{0710EA07-8E5C-413E-A5FD-30242E007E30}\mpengine.dll

2011-12-19 19:19 . 2011-12-19 19:19        1207568        ----a-w-        c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll

2011-12-15 03:03 . 2011-12-15 03:04        --------        d-----w-        C:\FRST

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-11-15 13:29 . 2009-10-04 09:12        222080        ------w-        c:\windows\system32\MpSigStub.exe

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-02-26 1232896]

"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2006-11-02 125440]

"AutoStartNPSAgent"="c:\program files\Samsung\Samsung New PC Studio\NPSAgent.exe" [2010-07-04 95576]

"Skype"="c:\program files\Skype\Phone\Skype.exe" [2011-10-13 19550344]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NokiaMServer"="c:\program files\Common Files\Nokia\MPlatform\NokiaMServer" [X]

"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-10-28 815104]

"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-10-03 178712]

"LG Intelligent Update"="c:\program files\lg_swupdate\giljabistart.exe" [2008-01-07 247088]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2008-01-02 141848]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-01-02 166424]

"Persistence"="c:\windows\system32\igfxpers.exe" [2008-01-02 133656]

"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"AppleSyncNotifier"="c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe" [2009-08-13 177440]

"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

"NokiaMusic FastStart"="c:\program files\Nokia\Nokia Music\NokiaMusic.exe" [2009-07-22 2331936]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-11-10 417792]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2010-01-22 141608]

"DivXUpdate"="c:\program files\DivX\DivX Update\DivXUpdate.exe" [2010-09-01 1164584]

"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2011-06-06 937920]

.

c:\users\Amelie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2008-9-12 384000]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"=wdmaud.drv

.

R2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe [2011-06-06 64952]

.

.

--- Andere Dienste/Treiber im Speicher ---

.

*NewlyCreated* - ECACHE

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.lge.com

uDefault_Search_URL = hxxp://www.google.com/ie

uInternet Settings,ProxyServer = http=127.0.0.1:58525

uInternet Settings,ProxyOverride = <local>

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

TCP: DhcpNameServer = 192.168.2.1

FF - ProfilePath - c:\users\Amelie\AppData\Roaming\Mozilla\Firefox\Profiles\ab9qplj7.default\

FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - schuelerVZ | Bist du schon drin?

FF - prefs.js: keyword.URL - hxxp://toolbar.ask.com/toolbarv/askRedirect?o=13165&gct=&gc=1&q=

FF - prefs.js: network.proxy.http - 127.0.0.1

FF - prefs.js: network.proxy.http_port - 58525

FF - prefs.js: network.proxy.type - 4

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

HKCU-Run-conhost - c:\users\Amelie\AppData\Roaming\Microsoft\conhost.exe

HKLM-Run-NPSStartup - (no file)

MSConfigStartUp-ehuyralh - c:\users\Amelie\AppData\Local\fwbvoy\mmwnsftav.exe

MSConfigStartUp-fhbxxsgq - c:\users\Amelie\AppData\Local\crdtnv\mfkfsftav.exe

MSConfigStartUp-prqxlbrq - c:\users\Amelie\AppData\Local\mxcdog\wfemsftav.exe

AddRemove-01_Simmental - c:\program files\Samsung\USB Drivers\01_Simmental\Uninstall.exe

AddRemove-02_Siberian - c:\program files\Samsung\USB Drivers\02_Siberian\Uninstall.exe

AddRemove-03_Swallowtail - c:\program files\Samsung\USB Drivers\03_Swallowtail\Uninstall.exe

AddRemove-04_semseyite - c:\program files\Samsung\USB Drivers\04_semseyite\Uninstall.exe

AddRemove-05_Sloan - c:\program files\Samsung\USB Drivers\05_Sloan\Uninstall.exe

AddRemove-06_Spencer - c:\program files\Samsung\USB Drivers\06_Spencer\Uninstall.exe

AddRemove-07_Schorl - c:\program files\Samsung\USB Drivers\07_Schorl\Uninstall.exe

AddRemove-08_EMPChipset - c:\program files\Samsung\USB Drivers\08_EMPChipset\Uninstall.exe

AddRemove-09_Hsp - c:\program files\Samsung\USB Drivers\09_Hsp\Uninstall.exe

AddRemove-11_HSP_Plus_Default - c:\program files\Samsung\USB Drivers\11_HSP_Plus_Default\Uninstall.exe

AddRemove-16_Shrewsbury - c:\program files\Samsung\USB Drivers\16_Shrewsbury\Uninstall.exe

AddRemove-17_EMP_Chipset2 - c:\program files\Samsung\USB Drivers\17_EMP_Chipset2\Uninstall.exe

AddRemove-18_Zinia_Serial_Driver - c:\program files\Samsung\USB Drivers\18_Zinia_Serial_Driver\Uninstall.exe

AddRemove-19_VIA_driver - c:\program files\Samsung\USB Drivers\19_VIA_driver\Uninstall.exe

AddRemove-20_NXP_Driver - c:\program files\Samsung\USB Drivers\20_NXP_Driver\Uninstall.exe

AddRemove-21_Searsburg - c:\program files\Samsung\USB Drivers\21_Searsburg\Uninstall.exe

AddRemove-22_WiBro_WiMAX - c:\program files\Samsung\USB Drivers\22_WiBro_WiMAX\Uninstall.exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2012-01-05 01:13

Windows 6.0.6000  NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

Zeit der Fertigstellung: 2012-01-05  01:17:16

ComboFix-quarantined-files.txt  2012-01-05 00:17

.

Vor Suchlauf: 7 Verzeichnis(se), 98.306.584.576 Bytes frei

Nach Suchlauf: 13 Verzeichnis(se), 100.028.542.976 Bytes frei

.

- - End Of File - - E0D6A8861397727705C454EFFFAFB506

--- --- ---

Hinweis für Mitleser:
Folgendes ComboFix Skript ist ausschließlich für diesen User in dieser Situtation erstellt worden. Auf keinen Fall auf anderen Rechnern anwenden, dass kann andere Systeme nachhaltig schädigen!

Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von einem der folgenden Download-Spiegel neu herunter:

BleepingComputer.com - ForoSpyware.com

und speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!

Drücke die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste --> Notepad (hinein schreiben) --> OK

Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.

Code:

DDS::

uInternet Settings,ProxyServer = http=127.0.0.1:58525

uInternet Settings,ProxyOverride = <local>
 

FireFox::

FF - ProfilePath - c:\users\Amelie\AppData\Roaming\Mozilla\Firefox\Profiles\ab9qplj7.default\

FF - prefs.js: network.proxy.http - 127.0.0.1

FF - prefs.js: network.proxy.http_port - 58525

FF - prefs.js: network.proxy.type - 4

FF - prefs.js: keyword.URL - hxxp://toolbar.ask.com/toolbarv/askRedirect?o=13165&gct=&gc=1&q=
 

Registry::

[HKEY_Current_User\Software\Microsoft\Windows\CurrentVersion\Internet Settings]

"ProxyEnable"=Dword:00000000

Speichere dies als CFScript.txt auf deinem Desktop.
Wichtig:

Stelle deine Anti Viren Software temporär ab. Dies kann ComboFix nämlich bei der Arbeit behindern. Danach wieder anstellen nicht vergessen!
Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.
Schließe alle laufenden Programme. Gehe sicher, dass ComboFix ungehindert arbeiten kann.
Mache nichts am PC solange ComboFix läuft.

http://i266.photobucket.com/albums/i.../CFScriptB.gif

In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe
Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt. Bitte füge es hier als Antwort ein.

Falls im Skript die Anweisung Suspect:: oder Collect:: enthalten ist, wird eine Message-Box erscheinen, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen.

Bitte poste in deiner nächsten Antwort
Combofix.txt
Berichte wie der Rechner im Normalmodus läuft

Der Rechner läuft im Moment gut im Normalmodus, also bisher ohne Schwierifkeiten!

Combofix Logfile:

Code:

ComboFix 12-01-05.01 - Amelie 05.01.2012  17:47:36.1.2 - x86 NETWORK

Microsoft® Windows Vista™ Home Premium   6.0.6000.0.1252.49.1031.18.2038.1564 [GMT 1:00]

ausgeführt von:: c:\users\Amelie\Documents\Desktop\ComboFix.exe.exe

Benutzte Befehlsschalter :: c:\users\Amelie\Documents\Desktop\CFScript.txt

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-12-05 bis 2012-01-05  ))))))))))))))))))))))))))))))

.

.

2012-01-05 16:55 . 2012-01-05 16:55        --------        d-----w-        c:\users\Amelie\AppData\Local\temp

2012-01-05 16:55 . 2012-01-05 16:55        --------        d-----w-        c:\users\Default\AppData\Local\temp

2012-01-05 16:37 . 2012-01-05 16:37        56200        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{0710EA07-8E5C-413E-A5FD-30242E007E30}\offreg.dll

2012-01-04 10:24 . 2012-01-04 10:25        --------        d-----w-        c:\program files\Common Files\Adobe

2012-01-03 20:44 . 2011-11-21 10:47        6823496        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{0710EA07-8E5C-413E-A5FD-30242E007E30}\mpengine.dll

2011-12-19 19:19 . 2011-12-19 19:19        1207568        ----a-w-        c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll

2011-12-15 03:03 . 2011-12-15 03:04        --------        d-----w-        C:\FRST

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-11-15 13:29 . 2009-10-04 09:12        222080        ------w-        c:\windows\system32\MpSigStub.exe

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-02-26 1232896]

"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2006-11-02 125440]

"AutoStartNPSAgent"="c:\program files\Samsung\Samsung New PC Studio\NPSAgent.exe" [2010-07-04 95576]

"Skype"="c:\program files\Skype\Phone\Skype.exe" [2011-10-13 19550344]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NokiaMServer"="c:\program files\Common Files\Nokia\MPlatform\NokiaMServer" [X]

"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-10-28 815104]

"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-10-03 178712]

"LG Intelligent Update"="c:\program files\lg_swupdate\giljabistart.exe" [2008-01-07 247088]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2008-01-02 141848]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-01-02 166424]

"Persistence"="c:\windows\system32\igfxpers.exe" [2008-01-02 133656]

"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"AppleSyncNotifier"="c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe" [2009-08-13 177440]

"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

"NokiaMusic FastStart"="c:\program files\Nokia\Nokia Music\NokiaMusic.exe" [2009-07-22 2331936]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-11-10 417792]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2010-01-22 141608]

"DivXUpdate"="c:\program files\DivX\DivX Update\DivXUpdate.exe" [2010-09-01 1164584]

"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2011-06-06 937920]

.

c:\users\Amelie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2008-9-12 384000]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"=wdmaud.drv

.

R2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe [2011-06-06 64952]

.

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.lge.com

uDefault_Search_URL = hxxp://www.google.com/ie

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

TCP: DhcpNameServer = 192.168.2.1

FF - ProfilePath - c:\users\Amelie\AppData\Roaming\Mozilla\Firefox\Profiles\ab9qplj7.default\

FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - www.schuelervz.net

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2012-01-05 17:55

Windows 6.0.6000  NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

Zeit der Fertigstellung: 2012-01-05  17:59:15

ComboFix-quarantined-files.txt  2012-01-05 16:59

.

Vor Suchlauf: 12 Verzeichnis(se), 101.960.372.224 Bytes frei

Nach Suchlauf: 13 Verzeichnis(se), 101.926.793.216 Bytes frei

.

- - End Of File - - 13E3294A1F16A9E68F53E8A44807E7DB

--- --- ---

also nach ungefähr anderthalb stunden im normalen modus wurde ich grade wieder zweimal rausgekickt

Sehen wir uns mal die Eventlogs an.

Ereignisse mit VEW exportieren

Bitte lade VEW.exe von Vino Rosso herunter und speichere das Tool auf Deinem Desktop.
Starte die vew.exe durch Doppelklick und mache folgende Einstellungen:

http://image.hijackthis.eu/upload/vew.jpg

Drücke den Button Run, um den Suchlauf zu starten.
Wenn der Suchlauf beendet ist, öffnet sich der Editor mit dem Logfile.
Kopiere das Logfile (C:\vew.txt) hier in den Thread.

es erscheint: run- time error 75

Lösch die Version die du hast und downloade eine neue. Eventuell klappts :)

Downloade dir bitte Farbar's MiniToolBox auf deinen Desktop und starte das Tool

Setze einen Haken bei folgenden Einträgen

List Winsock Entries
List last 10 Event Viewer log
List Installed Programs
List Users, Partitions and Memory size
List Minidump Files

Klicke Go und poste dein Inhalt der Result.txt.

MiniToolBox by Farbar
Ran by Amelie (administrator) on 06-01-2012 at 01:39:03
Microsoft® Windows Vista™ Home Premium (X86)
Boot Mode: Normal
***************************************************************************
========================= Winsock entries =====================================

Catalog5 01 C:\Windows\system32\NLAapi.dll [48128] (Microsoft Corporation)
Catalog5 02 C:\Windows\System32\mswsock.dll [227328] (Microsoft Corporation)
Catalog5 03 C:\Windows\System32\winrnr.dll [19968] (Microsoft Corporation)
Catalog5 04 C:\Windows\system32\napinsp.dll [50176] (Microsoft Corporation)
Catalog5 05 C:\Windows\system32\pnrpnsp.dll [62464] (Microsoft Corporation)
Catalog5 06 C:\Windows\system32\pnrpnsp.dll [62464] (Microsoft Corporation)
Catalog5 07 C:\Program Files\Bonjour\mdnsNSP.dll [147456] (Apple Inc.)
Catalog9 01 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 02 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 03 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 04 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 05 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 06 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 07 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 08 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 09 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 10 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 11 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 12 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 13 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 14 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 15 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 16 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 17 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)
Catalog9 18 C:\Windows\system32\mswsock.dll [227328] (Microsoft Corporation)

========================= Event log errors: ===============================

Application errors:
==================
Error: (01/05/2012 07:01:02 PM) (Source: WerSvc) (User: )
Description: Die Zieldatei für die Windows-Feedbackplattform (eine DLL-Datei, die eine Liste der auf diesem Computer aufgetretenen Probleme enthält, für deren Diagnose das Sammeln zusätzlicher Daten erforderlich ist) konnte nicht analysiert werden. Fehlercode 8014FFF9.

Error: (01/05/2012 05:58:28 PM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 05:37:33 PM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 05:34:21 PM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 05:05:20 PM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 01:35:19 PM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 00:23:25 PM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 01:22:22 AM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 01:16:22 AM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 01:12:07 AM) (Source: EventSystem) (User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

System errors:
=============
Error: (01/06/2012 01:33:52 AM) (Source: Service Control Manager) (User: )
Description: Parallel port driver%%1058

Error: (01/05/2012 06:02:18 PM) (Source: Service Control Manager) (User: )
Description: Parallel port driver%%1058

Error: (01/05/2012 05:55:48 PM) (Source: Service Control Manager) (User: )
Description: PEVSystemStart

Error: (01/05/2012 05:51:55 PM) (Source: Service Control Manager) (User: )
Description: PEVSystemStart

Error: (01/05/2012 05:46:28 PM) (Source: Service Control Manager) (User: )
Description: PEVSystemStart

Error: (01/05/2012 05:41:47 PM) (Source: DCOM) (User: )
Description: 1084WSearch{9E175B6D-F52A-11D8-B9A5-505054503030}

Error: (01/05/2012 05:39:21 PM) (Source: DCOM) (User: )
Description: 1084WSearch{9E175B68-F52A-11D8-B9A5-505054503030}

Error: (01/05/2012 05:37:41 PM) (Source: Service Control Manager) (User: )
Description: avgio
avipbb
spldr
ssmdrv
StarOpen
Wanarpv6

Error: (01/05/2012 05:37:41 PM) (Source: Service Control Manager) (User: )
Description: ComputerbrowserServer%%1068

Error: (01/05/2012 05:37:36 PM) (Source: DCOM) (User: )
Description: 1084WSearch{7D096C5F-AC08-4F1F-BEB7-5C22C517CE39}

Microsoft Office Sessions:
=========================
Error: (01/05/2012 07:01:02 PM) (Source: WerSvc)(User: )
Description: 8014FFF9

Error: (01/05/2012 05:58:28 PM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 05:37:33 PM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 05:34:21 PM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 05:05:20 PM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 01:35:19 PM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 00:23:25 PM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 01:22:22 AM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 01:16:22 AM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

Error: (01/05/2012 01:12:07 AM) (Source: EventSystem)(User: )
Description: d:\vista_gdr\com\complus\src\events\tier1\eventsystemobj.cpp458007043c

=========================== Installed Programs ============================

Adobe Reader X (10.1.1) - Deutsch (Version: 10.1.1)
Apple Application Support (Version: 1.1.0)
Apple Mobile Device Support (Version: 2.6.0.32)
Apple Software Update (Version: 2.1.1.116)
Atheros Driver Installation Program (Version: 7.1)
Avira AntiVir Personal - Free Antivirus
Bonjour (Version: 1.0.106)
CameraBag 1.5 (Version: 1.5.0)
Conexant HD Audio (Version: 4.40.0.50)
DivX-Setup (Version: 2.0.4.2)
EPSON Scan
Free YouTube to iPod Converter version 3.1
HDAUDIO Soft Data Fax Modem with SmartCP
HijackThis 2.0.2 (Version: 2.0.2)
ICQ Toolbar (Version: 3.0.0)
ICQ6.5 (Version: 6.5)
Intel(R) Graphics Media Accelerator Driver
Intel(R) Matrix Storage Manager
iTunes (Version: 9.0.3.15)
Java(TM) 6 Update 7 (Version: 1.6.0.70)
LG Intelligent Update (Version: 3.02.0121.01)
Marvell Miniport Driver (Version: 10.21.5.3)
Microsoft .NET Framework 3.5 Language Pack SP1 - DEU
Microsoft .NET Framework 3.5 Language Pack SP1 - deu (Version: 3.5.30729)
Microsoft .NET Framework 3.5 SP1
Microsoft .NET Framework 3.5 SP1 (Version: 3.5.30729)
Microsoft Visual C++ 2005 Redistributable (Version: 8.0.59193)
MobileMe Control Panel (Version: 2.6.0.29)
Mozilla Firefox (3.0.19) (Version: 3.0.19 (de))
MSXML 4.0 SP2 (KB954430) (Version: 4.20.9870.0)
MSXML 4.0 SP2 (KB973688) (Version: 4.20.9876.0)
NetWaiting (Version: 2.5.44)
Nokia Connectivity Cable Driver (Version: 7.1.16.0)
Nokia Multimedia Common Components 2.4 (Version: 2.4.190)
Nokia Music (Version: 1.3.20722)
OpenOffice.org 3.0 (Version: 3.0.9358)
PC Connectivity Solution (Version: 9.23.3.0)
Picasa 3 (Version: 3.8)
QuickTime (Version: 7.65.17.80)
Realtek USB 2.0 Card Reader (Version: )
Samsung New PC Studio (Version: 1.00.0000)
SAMSUNG USB Driver for Mobile Phones (Version: 1.3.650.0)
Scribus 1.3.9 (Version: 1.3.9)
Skype Click to Call (Version: 5.6.8442)
Skype™ 5.5 (Version: 5.5.124)
Synaptics Pointing Device Driver (Version: 9.1.0.0)
Uninstall 1.0.0.1
VC80CRTRedist - 8.0.50727.4053 (Version: 1.1.0)
VLC media player 0.9.8a (Version: 0.9.8a)
VoiceOver Kit (Version: 1.20.128.0)
Windows-Treiberpaket - Nokia pccsmcfd (08/22/2008 7.0.0.0) (Version: 08/22/2008 7.0.0.0)

========================= Memory info: ===================================

Percentage of memory in use: 52%
Total physical RAM: 2037.81 MB
Available physical RAM: 961 MB
Total Pagefile: 4308.92 MB
Available Pagefile: 3034.97 MB
Total Virtual: 2047.88 MB
Available Virtual: 1962.51 MB

========================= Partitions: =====================================

1 Drive c: () (Fixed) (Total:185.31 GB) (Free:92.84 GB) NTFS

========================= Users: ========================================

Benutzerkonten fr \\AMELIES-PC

Administrator Amelie Gast
Der Befehl wurde erfolgreich ausgefhrt.

========================= Minidump Files ==================================

C:\Windows\Minidump\Mini010210-01.dmp
C:\Windows\Minidump\Mini010409-01.dmp
C:\Windows\Minidump\Mini010510-01.dmp
C:\Windows\Minidump\Mini010810-01.dmp
C:\Windows\Minidump\Mini011409-01.dmp
C:\Windows\Minidump\Mini012709-01.dmp
C:\Windows\Minidump\Mini012810-01.dmp
C:\Windows\Minidump\Mini020110-01.dmp
C:\Windows\Minidump\Mini020910-01.dmp
C:\Windows\Minidump\Mini021310-01.dmp
C:\Windows\Minidump\Mini022410-01.dmp
C:\Windows\Minidump\Mini031410-01.dmp
C:\Windows\Minidump\Mini032309-01.dmp
C:\Windows\Minidump\Mini032710-01.dmp
C:\Windows\Minidump\Mini040609-01.dmp
C:\Windows\Minidump\Mini041710-01.dmp
C:\Windows\Minidump\Mini050210-01.dmp
C:\Windows\Minidump\Mini051010-01.dmp
C:\Windows\Minidump\Mini051810-01.dmp
C:\Windows\Minidump\Mini061610-01.dmp
C:\Windows\Minidump\Mini061610-02.dmp
C:\Windows\Minidump\Mini062909-01.dmp
C:\Windows\Minidump\Mini071210-01.dmp
C:\Windows\Minidump\Mini072109-01.dmp
C:\Windows\Minidump\Mini072509-01.dmp
C:\Windows\Minidump\Mini073010-01.dmp
C:\Windows\Minidump\Mini080110-01.dmp
C:\Windows\Minidump\Mini080110-02.dmp
C:\Windows\Minidump\Mini080510-01.dmp
C:\Windows\Minidump\Mini081610-01.dmp
C:\Windows\Minidump\Mini081710-01.dmp
C:\Windows\Minidump\Mini082510-01.dmp
C:\Windows\Minidump\Mini090608-01.dmp
C:\Windows\Minidump\Mini090810-01.dmp
C:\Windows\Minidump\Mini091209-01.dmp
C:\Windows\Minidump\Mini091210-01.dmp
C:\Windows\Minidump\Mini091609-01.dmp
C:\Windows\Minidump\Mini091610-01.dmp
C:\Windows\Minidump\Mini091709-01.dmp
C:\Windows\Minidump\Mini092010-01.dmp
C:\Windows\Minidump\Mini092211-01.dmp
C:\Windows\Minidump\Mini092709-01.dmp
C:\Windows\Minidump\Mini093011-01.dmp
C:\Windows\Minidump\Mini100210-01.dmp
C:\Windows\Minidump\Mini100311-01.dmp
C:\Windows\Minidump\Mini100511-01.dmp
C:\Windows\Minidump\Mini101011-01.dmp
C:\Windows\Minidump\Mini101411-01.dmp
C:\Windows\Minidump\Mini101411-02.dmp
C:\Windows\Minidump\Mini101809-01.dmp
C:\Windows\Minidump\Mini101911-01.dmp
C:\Windows\Minidump\Mini102010-01.dmp
C:\Windows\Minidump\Mini103011-01.dmp
C:\Windows\Minidump\Mini110109-01.dmp
C:\Windows\Minidump\Mini110710-01.dmp
C:\Windows\Minidump\Mini111809-01.dmp
C:\Windows\Minidump\Mini112309-01.dmp
C:\Windows\Minidump\Mini112809-01.dmp
C:\Windows\Minidump\Mini120610-01.dmp
C:\Windows\Minidump\Mini121210-01.dmp
C:\Windows\Minidump\Mini121309-01.dmp
C:\Windows\Minidump\Mini121609-01.dmp
C:\Windows\Minidump\Mini122209-01.dmp
C:\Windows\Minidump\Mini122608-01.dmp

**** End of log ****

sogar mein hintergrundbild wurde geändert..... `?

Start --> In die Suchleiste cmd eingeben. Rechtsklick auf die cmd.exe und als Admin starten.

Gib dort bitte folgendes ein und drücke Enter

sfc /scannow

Lass mich wissen ob Windows irgendwelche Fehler findet

es wurde nichts gefunden

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

Code:

:commands

[emptytemp]

[emptyflash]

Schliesse bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt ) << brauche ich nicht.
Kopiere nun den Inhalt hier in Deinen Thread

Gibts eine Verbesserung ?