|
Bei Anmeldung: ZoneAlarm-Meldung über ein Netzwerk mit anderer IP? Hallo, irgendwas kommt mir "spanisch" vor: jedesmal, wenn ich mich anmelde, kommt eine Meldung von ZoneAlarm, dass sich ein Netzwerk angemeldet hat und ob ich es öffentlich oder sicher haben will. Die IP ist jedesmal ein wenig abweichend von meiner - also wenn ich z.B. die letzten Ziffern 56 habe, ist die vom sog. Netzwerk 59, die vorherigen stimmen überein. Ich habe aber kein Netzwerk eingerichtet. Zudem bekomme ich von fb täglich eine Mail, dass sich jemand von einem anderen Computer eingeloggt hat, und zwar genau zu dem Zeitpunkt, wenn ich mich abgemeldet habe oder etwas später. Habe ja eine Vermutung, dass da jemand an meinem Computer etwas verändert hat - eine Bekannte, die sich als "Hacker-queen" tituliert, meinte mal, sie könnte so meinen Computer überwachen, dass ich niemals dahinter käme - und sie hatte mal Zugang zu meinem Computer als ich kurz weg war. Hat sie auf die Pauke gehauen oder kann das wirklich sein? Habe schon viel gegoogelt, aber keine entsprechende Antwort finden können. Vielleicht kann mir hier geholfen werden, wie ich das feststellen kann, ob da wirklich was ist bzw. wo ich da suchen kann. Im Internet bin ich über Internetstick von Vodafone. Danke schon mal im voraus. LG Santi P.S: kann jemand mit OneNote was anfangen? - hatte ich im Startmenü, obwohl ich noch nie was damit gemacht habe - auch unter den Druckern fand ich OneNote - hab ich entfernt. |
das ist ungefährlich, one note meine ich. Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code: activex
|
Markus - danke für die schnelle Antwort .. hier nun das Ergebnis:OTL Logfile: Code: OTL logfile created on: 10/12/2011 21:26:31 - Run 1 |
... der Extra-Text:OTL EXTRAS Logfile: Code: OTL Extras logfile created on: 10/12/2011 21:26:31 - Run 1 |
Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde! Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.
|
Combofix Logfile: Code: ComboFix 11-12-12.02 - Richard 13/12/2011 8:27.1.2 - x86 |
Hallo Markus .. bei anderen Seiten, die ich besuche, bekomme ich es ja nicht mit - nur fb schickt mir jedesmal eine Mail, wenn sich jemand von einem anderen Computer einloggt auf meinem Account. Es sind Zeiten, in denen ich selbst bereits online bin oder Zeiten, zu denen ich unter Garantie den Computer runtergefahren hatte .. nachts z.B. Sie schicken auch die IP mit .. hilft es, wenn ich mal solche Mails hier poste? ... LG Santi |
hast du den proxy dort selbst eingerichtet? |
.. Nein, hab ich nicht. Kannst du schon was sagen :confused: - irgendwie trau ich mich gar nichts mehr zu machen am PC... |
immer erst mal mit der ruhe. öffne internet explorer, internet optionen, verbindung, lanverbindung. eintrag bei proxy löschen, keinen proxy verwenden auswählen. übernehmen ok. öffne firefox, öffne extras öffne einstellungen. erweitert, netzwerk, keinen proxy verwenden, ok klicken. malwarebytes: Downloade Dir bitte Malwarebytes
|
Die Proxy-Einstellungen habe ich entsprechend erledigt. Bei Malwarebytes allerdings gibt es ein Problem. Es lässt sich nicht ausführen, weil die MSVBVM60.DLL nicht gefunden wird. |
lade hitmanpro http://dl.surfright.nl/HitmanPro36beta2.exe doppelklicken,settings license, testlicense. scanner wählen, funde in quarantäne und im letzten schritt das log speichern und hier posten |
Hat nichts gefunden - ausser 4 Cookies ... |
zeigt zonealarm noch meldungen? |
ja - bei jeder Anmeldung .. habe soeben den PC neu gestartet und Hitman hat gemeldet, dass IE über Proxy aufs Internet zugreift .. ich bin aber immer! mit Firefox drin .. IE benutze ich gar nicht und zudem hab ich doch Proxy deaktiviert ... ?!? |
läuft denn im taskmanager die iexplore.exe? hab mir schon fast gedacht das wirs nicht haben, aber bisher wurde auch noch nichts weiter angezeigt, deswegen fragte ich. downloade mbr check: http://ad13.geekstogo.com/MBRCheck.exe doppelklicken log posten |
nein .. läuft nicht .. habe es bei Hitman "reparieren" lassen, habe aber jeden Tag im Autostart IE-Helper - zwei Einträge, die ich jeden deaktiviere und jeden Tag sind sie wieder da .. könnte auch an Skype liegen, oder?? |
MBRCheck, version 1.2.3 (c) 2010, AD Command-line: Windows Version: Windows XP Home Edition Windows Information: Service Pack 3 (build 2600) Logical Drives Mask: 0x000003fc Kernel Drivers (total 123): 0x804D7000 \WINDOWS\system32\ntkrnlpa.exe 0x806E6000 \WINDOWS\system32\hal.dll 0xBA5A8000 \WINDOWS\system32\KDCOM.DLL 0xBA4B8000 \WINDOWS\system32\BOOTVID.dll 0xB9F78000 ACPI.sys 0xBA5AA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS 0xB9F67000 pci.sys 0xBA0A8000 isapnp.sys 0xBA670000 pciide.sys 0xBA328000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS 0xBA0B8000 MountMgr.sys 0xB9F48000 ftdisk.sys 0xBA330000 PartMgr.sys 0xBA0C8000 VolSnap.sys 0xB9F30000 atapi.sys 0xBA0D8000 disk.sys 0xBA0E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS 0xB9F10000 fltmgr.sys 0xB9EFE000 sr.sys 0xBA0F8000 Lbd.sys 0xBA108000 PxHelp20.sys 0xB9EE7000 KSecDD.sys 0xB9ED4000 WudfPf.sys 0xB9E47000 Ntfs.sys 0xB9E1A000 NDIS.sys 0xB9E00000 Mup.sys 0xBA188000 \SystemRoot\system32\DRIVERS\intelppm.sys 0xB8E36000 \SystemRoot\system32\DRIVERS\igxpmp32.sys 0xB8E22000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS 0xB8E08000 \SystemRoot\system32\DRIVERS\Rtnicxp.sys 0xBA438000 \SystemRoot\system32\DRIVERS\usbuhci.sys 0xB8DE4000 \SystemRoot\system32\DRIVERS\USBPORT.SYS 0xBA440000 \SystemRoot\system32\DRIVERS\usbehci.sys 0xB8C82000 \SystemRoot\system32\drivers\P17xfi.sys 0xB8C5E000 \SystemRoot\system32\drivers\portcls.sys 0xBA198000 \SystemRoot\system32\drivers\drmk.sys 0xB8C3B000 \SystemRoot\system32\drivers\ks.sys 0xB8C09000 \SystemRoot\system32\DRIVERS\ctoss2k.sys 0xB8BE2000 \SystemRoot\system32\DRIVERS\ctsfm2k.sys 0xB8A4B000 \SystemRoot\system32\drivers\p17xfilt.sys 0xBA1A8000 \SystemRoot\system32\DRIVERS\i8042prt.sys 0xBA448000 \SystemRoot\system32\DRIVERS\kbdclass.sys 0xBA450000 \SystemRoot\system32\DRIVERS\mouclass.sys 0xBA1B8000 \SystemRoot\system32\DRIVERS\imapi.sys 0xBA1C8000 \SystemRoot\system32\DRIVERS\cdrom.sys 0xBA1D8000 \SystemRoot\system32\DRIVERS\redbook.sys 0xBA6C9000 \SystemRoot\system32\DRIVERS\audstub.sys 0xBA1E8000 \SystemRoot\system32\DRIVERS\rasl2tp.sys 0xBA58C000 \SystemRoot\system32\DRIVERS\ndistapi.sys 0xB8A34000 \SystemRoot\system32\DRIVERS\ndiswan.sys 0xBA1F8000 \SystemRoot\system32\DRIVERS\raspppoe.sys 0xBA208000 \SystemRoot\system32\DRIVERS\raspptp.sys 0xBA458000 \SystemRoot\system32\DRIVERS\TDI.SYS 0xB8A23000 \SystemRoot\system32\DRIVERS\psched.sys 0xBA218000 \SystemRoot\system32\DRIVERS\msgpc.sys 0xBA460000 \SystemRoot\system32\DRIVERS\ptilink.sys 0xBA468000 \SystemRoot\system32\DRIVERS\raspti.sys 0xBA228000 \SystemRoot\system32\DRIVERS\termdd.sys 0xBA5CC000 \SystemRoot\system32\DRIVERS\swenum.sys 0xB89C5000 \SystemRoot\system32\DRIVERS\update.sys 0xBA598000 \SystemRoot\system32\DRIVERS\mssmbios.sys 0xB89B3000 \SystemRoot\system32\DRIVERS\ew_jubusenum.sys 0xBA238000 \SystemRoot\system32\DRIVERS\WDFLDR.SYS 0xB8937000 \SystemRoot\System32\Drivers\wdf01000.sys 0xBA248000 \SystemRoot\System32\Drivers\NDProxy.SYS 0xBA268000 \SystemRoot\system32\DRIVERS\usbhub.sys 0xBA5CE000 \SystemRoot\system32\DRIVERS\USBD.SYS 0xBA5D0000 \SystemRoot\System32\Drivers\Fs_Rec.SYS 0xBA7C8000 \SystemRoot\System32\Drivers\Null.SYS 0xBA5D2000 \SystemRoot\System32\Drivers\Beep.SYS 0xBA488000 \SystemRoot\System32\drivers\vga.sys 0xBA5D4000 \SystemRoot\System32\Drivers\mnmdd.SYS 0xBA5D6000 \SystemRoot\System32\DRIVERS\RDPCDD.sys 0xBA490000 \SystemRoot\System32\Drivers\Msfs.SYS 0xBA498000 \SystemRoot\System32\Drivers\Npfs.SYS 0xB9DC4000 \SystemRoot\system32\DRIVERS\rasacd.sys 0xA87FF000 \SystemRoot\system32\DRIVERS\ipsec.sys 0xA87A6000 \SystemRoot\system32\DRIVERS\tcpip.sys 0xA8758000 \SystemRoot\system32\DRIVERS\ipnat.sys 0xA8730000 \SystemRoot\system32\DRIVERS\netbt.sys 0xBA288000 \SystemRoot\system32\DRIVERS\wanarp.sys 0xA86B1000 \SystemRoot\System32\vsdatant.sys 0xA868F000 \SystemRoot\System32\drivers\afd.sys 0xBA298000 \SystemRoot\system32\DRIVERS\netbios.sys 0xBA4A0000 \SystemRoot\system32\DRIVERS\ssmdrv.sys 0xA866D000 \??\C:\Archivos de programa\SUPERAntiSpyware\SASKUTIL.sys 0xBA4A8000 \??\C:\Archivos de programa\SUPERAntiSpyware\SASDIFSV.SYS 0xA8642000 \SystemRoot\system32\DRIVERS\rdbss.sys 0xA85D2000 \SystemRoot\system32\DRIVERS\mrxsmb.sys 0xBA2A8000 \SystemRoot\System32\Drivers\Fips.SYS 0xBA4B0000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS 0xA8574000 \SystemRoot\system32\DRIVERS\avipbb.sys 0xBA5E2000 \??\C:\Archivos de programa\Avira\AntiVir Desktop\avgio.sys 0xBA2E8000 \SystemRoot\System32\Drivers\Cdfs.SYS 0xBA378000 \SystemRoot\system32\DRIVERS\usbccgp.sys 0xBA558000 \SystemRoot\system32\DRIVERS\ew_usbenumfilter.sys 0xA84BF000 \SystemRoot\system32\DRIVERS\ew_jucdcacm.sys 0xBA380000 \SystemRoot\System32\Drivers\Modem.SYS 0xBA308000 \SystemRoot\system32\DRIVERS\ew_jucdcecm.sys 0xBA388000 \SystemRoot\system32\DRIVERS\ew_juextctrl.sys 0xA84A7000 \SystemRoot\System32\Drivers\dump_atapi.sys 0xBA5F0000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS 0xBF800000 \SystemRoot\System32\win32k.sys 0xBA56C000 \SystemRoot\System32\drivers\Dxapi.sys 0xBA390000 \SystemRoot\System32\watchdog.sys 0xBF000000 \SystemRoot\System32\drivers\dxg.sys 0xBA783000 \SystemRoot\System32\drivers\dxgthk.sys 0xBF024000 \SystemRoot\System32\igxpgd32.dll 0xBF012000 \SystemRoot\System32\igxprd32.dll 0xBF04F000 \SystemRoot\System32\igxpdv32.DLL 0xBF1E7000 \SystemRoot\System32\igxpdx32.DLL 0xBF47A000 \SystemRoot\System32\ATMFD.DLL 0xA8353000 \SystemRoot\system32\DRIVERS\avgntflt.sys 0xA81FD000 \SystemRoot\system32\DRIVERS\nwlnkipx.sys 0xA83FF000 \SystemRoot\system32\DRIVERS\nwlnknb.sys 0xA832F000 \SystemRoot\system32\DRIVERS\ndisuio.sys 0xA7F90000 \SystemRoot\system32\drivers\wdmaud.sys 0xBA278000 \SystemRoot\system32\drivers\sysaudio.sys 0xA7E52000 \SystemRoot\system32\drivers\ctusfsyn.sys 0xA791A000 \SystemRoot\system32\DRIVERS\srv.sys 0xA7AFA000 \SystemRoot\system32\DRIVERS\nwlnkspx.sys 0xA74EE000 \SystemRoot\System32\Drivers\HTTP.sys 0x7C910000 \WINDOWS\system32\ntdll.dll Processes (total 42): 0 System Idle Process 4 System 772 C:\WINDOWS\system32\smss.exe 1092 csrss.exe 1116 C:\WINDOWS\system32\winlogon.exe 1176 C:\WINDOWS\system32\services.exe 1188 C:\WINDOWS\system32\lsass.exe 1408 C:\WINDOWS\system32\svchost.exe 1508 svchost.exe 1548 C:\WINDOWS\system32\svchost.exe 1592 C:\WINDOWS\system32\svchost.exe 1756 C:\Archivos de programa\HitmanPro\hmpsched.exe 1876 svchost.exe 124 svchost.exe 188 C:\Archivos de programa\CheckPoint\ZoneAlarm\vsmon.exe 560 C:\WINDOWS\system32\spoolsv.exe 608 C:\Archivos de programa\Avira\AntiVir Desktop\sched.exe 620 C:\Archivos de programa\Avira\AntiVir Desktop\avguard.exe 1052 C:\WINDOWS\explorer.exe 312 C:\Archivos de programa\Creative\Sound Blaster X-Fi\Volume Panel\VolPanlu.exe 340 C:\Archivos de programa\Avira\AntiVir Desktop\avgnt.exe 348 C:\Archivos de programa\Archivos comunes\Java\Java Update\jusched.exe 388 C:\Archivos de programa\CheckPoint\ZoneAlarm\zatray.exe 392 C:\Archivos de programa\Vodafone\Vodafone Mobile Broadband\Bin\MobileBroadband.exe 336 C:\Archivos de programa\Skype\Phone\Skype.exe 736 C:\WINDOWS\system32\ctfmon.exe 1952 C:\WINDOWS\system32\CTSVCCDA.EXE 2136 C:\Archivos de programa\Java\jre6\bin\jqs.exe 2272 C:\Archivos de programa\Nero\Nero8\Nero BackItUp\NBService.exe 2676 C:\WINDOWS\system32\svchost.exe 2780 C:\WINDOWS\system32\TUProgSt.exe 2892 C:\Archivos de programa\Vodafone\Vodafone Mobile Broadband\Bin\VmbService.exe 3484 C:\WINDOWS\system32\wbem\wmiapsrv.exe 3524 wmiprvse.exe 3580 alg.exe 2032 C:\Archivos de programa\Lavasoft\Ad-Aware\AAWTray.exe 4060 C:\Archivos de programa\Lavasoft\Ad-Aware\AAWService.exe 2392 unsecapp.exe 2788 C:\WINDOWS\system32\wuauclt.exe 3832 C:\Archivos de programa\Mozilla Firefox\firefox.exe 1240 C:\Archivos de programa\Mozilla Firefox\plugin-container.exe 2452 C:\Documents and Settings\Richard\Escritorio\MBRCheck.exe \\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS) \\.\D: --> \\.\PhysicalDrive0 at offset 0x00000024`9ed8e200 (NTFS) PhysicalDrive0 Model Number: ST3250820AS, Rev: 3.CHL Size Device Name MBR Status -------------------------------------------- 232 GB \\.\PhysicalDrive0 Windows XP MBR code detected SHA1: 9CFC8D75A9B3B79AD2D82DDC3A8E515904016E5A Done! |
taskmanager: die explorer.exe läuft |
sieht gut aus. poste mir mal ne neue otl.txt evtl reagiert zonealarm da einfach nur überzogen und es gibt keine gefahr, wäre auch nicht das erste mal diese hitmanpro meldung wegen des proxys wundert mich halt. |
okay - mach ich gleich .. also otl was ist dann aber mit diesen Meldungen von fb, dass sich zu allen möglichen Zeiten jemand bei mir einloggt ? otl poste ich gleich .. mom |
OTL Logfile: Code: OTL logfile created on: 16/12/2011 14:13:57 - Run 2 |
start ausführen msconfig systemstart alle haken raus außer avira (avgnt) MobileBroadband ZoneAlarm ok klicken, pc neustarten. deswegen werden wir gleich noch nach rootkits suchen. aber erst mal das ausführen |
im vorletzten Reiter - richtig? Zonealarm ist da aber nicht drin |
... nur um sicher zu gehen - bei mir steht es in spanisch .. inicio müsste der Systemstart sein .. |
so .. wieder da |
sorry ich kann kein spanisch :-) http://www.chip.de/downloads/Rootkit..._21701698.html bitte rootkit unhooker laden, evtl. warnmeldung mit ok anklicken, dann bitte alle programme deaktivieren. bitte auf den tap report, dann auf scan, alles aktivieren. bitte drauf achten das c: angehakt ist dann ok klicken und während des scans nicht am pc arbeiten. am ende also nach beendigung des scans: File --> Save Report speichern und hier anhängen diesen hier anhängen. |
RkUnhooker report generator v0.7 ============================================== Rootkit Unhooker kernel version: 3.7.300.501 ============================================== Windows Major Version: 5 Windows Minor Version: 1 Windows Build Number: 2600 ============================================== >SSDT State NtConnectPort Actual Address 0xA87632F4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateFile Actual Address 0xA875D5CA Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateKey Actual Address 0xBA7C5E3E Hooked by: Unknown module filename NtCreatePort Actual Address 0xA8763A80 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateThread Actual Address 0xBA7C5E34 Hooked by: Unknown module filename NtCreateWaitablePort Actual Address 0xA8763BB6 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteFile Actual Address 0xA875E1E0 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteKey Actual Address 0xBA7C5E43 Hooked by: Unknown module filename NtDeleteValueKey Actual Address 0xBA7C5E4D Hooked by: Unknown module filename NtLoadKey Actual Address 0xBA7C5E52 Hooked by: Unknown module filename NtLoadKey2 Actual Address 0xA877E99C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenFile Actual Address 0xA875DDF2 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenProcess Actual Address 0xBA7C5E20 Hooked by: Unknown module filename NtOpenThread Actual Address 0xBA7C5E25 Hooked by: Unknown module filename NtRenameKey Actual Address 0xA877F72A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtReplaceKey Actual Address 0xBA7C5E5C Hooked by: Unknown module filename NtRequestWaitReplyPort Actual Address 0xA8762EC4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtRestoreKey Actual Address 0xBA7C5E57 Hooked by: Unknown module filename NtSetInformationFile Actual Address 0xA875E5A4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetSecurityObject Actual Address 0xA877FC6A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetValueKey Actual Address 0xBA7C5E48 Hooked by: Unknown module filename NtTerminateProcess Actual Address 0xBA7C5E2F Hooked by: Unknown module filename ============================================== >Shadow ============================================== >Processes Process: System Process Id: 4 EPROCESS Address: 0x89E32A00 Process: C:\Archivos de programa\Nero\Nero8\Nero BackItUp\NBService.exe Process Id: 220 EPROCESS Address: 0x89BE1788 Process: C:\WINDOWS\system32\spoolsv.exe Process Id: 372 EPROCESS Address: 0x89856B70 Process: C:\Archivos de programa\Avira\AntiVir Desktop\sched.exe Process Id: 424 EPROCESS Address: 0x89853518 Process: C:\Archivos de programa\Avira\AntiVir Desktop\avguard.exe Process Id: 432 EPROCESS Address: 0x898A5748 Process: C:\WINDOWS\system32\smss.exe Process Id: 892 EPROCESS Address: 0x899C2278 Process: C:\WINDOWS\explorer.exe Process Id: 940 EPROCESS Address: 0x8861D380 Process: C:\WINDOWS\system32\csrss.exe Process Id: 1012 EPROCESS Address: 0x89999380 Process: C:\WINDOWS\system32\winlogon.exe Process Id: 1052 EPROCESS Address: 0x899E84F0 Process: C:\WINDOWS\system32\services.exe Process Id: 1096 EPROCESS Address: 0x899942C0 Process: C:\Archivos de programa\WinRAR\WinRAR.exe Process Id: 1100 EPROCESS Address: 0x87F49938 Process: C:\WINDOWS\system32\lsass.exe Process Id: 1108 EPROCESS Address: 0x89997DA0 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1308 EPROCESS Address: 0x89988BA0 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1316 EPROCESS Address: 0x8857CAE8 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1412 EPROCESS Address: 0x898E5A08 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1452 EPROCESS Address: 0x89892480 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1492 EPROCESS Address: 0x898F3C30 Process: C:\Archivos de programa\HitmanPro\hmpsched.exe Process Id: 1536 EPROCESS Address: 0x89AF22E8 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1580 EPROCESS Address: 0x899EDC30 Process: C:\WINDOWS\system32\CTSVCCDA.EXE Process Id: 1644 EPROCESS Address: 0x886059A0 Process: C:\Archivos de programa\Avira\AntiVir Desktop\avgnt.exe Process Id: 1676 EPROCESS Address: 0x88400DA0 Process: C:\Archivos de programa\Vodafone\Vodafone Mobile Broadband\Bin\MobileBroadband.exe Process Id: 1708 EPROCESS Address: 0x8984E638 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1732 EPROCESS Address: 0x89989600 Process: C:\WINDOWS\system32\wuauclt.exe Process Id: 1860 EPROCESS Address: 0x89D4CA90 Process: C:\Archivos de programa\Java\jre6\bin\jqs.exe Process Id: 1996 EPROCESS Address: 0x885B6B90 Process: C:\WINDOWS\system32\TUProgSt.exe Process Id: 2064 EPROCESS Address: 0x88B9CBA0 Process: C:\Archivos de programa\Vodafone\Vodafone Mobile Broadband\Bin\VmbService.exe Process Id: 2240 EPROCESS Address: 0x898E04B8 Process: C:\WINDOWS\system32\wbem\wmiapsrv.exe Process Id: 2904 EPROCESS Address: 0x885F4388 Process: C:\WINDOWS\system32\alg.exe Process Id: 3060 EPROCESS Address: 0x884D8B00 Process: C:\Documents and Settings\Richard\Escritorio\RkUnhooker\px4F2p1K.exe Process Id: 2440 EPROCESS Address: 0x883E0020 ============================================== >Drivers Driver: C:\WINDOWS\system32\DRIVERS\igxpmp32.sys Address: 0xB8EEF000 Size: 5857280 bytes Driver: C:\WINDOWS\System32\igxpdx32.DLL Address: 0xBF1E7000 Size: 2699264 bytes Driver: C:\WINDOWS\system32\ntkrnlpa.exe Address: 0x804D7000 Size: 2158592 bytes Driver: PnpManager Address: 0x804D7000 Size: 2158592 bytes Driver: RAW Address: 0x804D7000 Size: 2158592 bytes Driver: WMIxWDM Address: 0x804D7000 Size: 2158592 bytes Driver: Win32k Address: 0xBF800000 Size: 1859584 bytes Driver: C:\WINDOWS\System32\win32k.sys Address: 0xBF800000 Size: 1859584 bytes Driver: C:\WINDOWS\System32\igxpdv32.DLL Address: 0xBF04F000 Size: 1671168 bytes Driver: C:\WINDOWS\system32\drivers\p17xfilt.sys Address: 0xB8B04000 Size: 1667072 bytes Driver: C:\WINDOWS\system32\drivers\P17xfi.sys Address: 0xB8D3B000 Size: 1449984 bytes Driver: Ntfs.sys Address: 0xB9E47000 Size: 577536 bytes Driver: C:\WINDOWS\System32\vsdatant.sys Address: 0xA8742000 Size: 520192 bytes Driver: C:\WINDOWS\System32\Drivers\wdf01000.sys Address: 0xB89F0000 Size: 507904 bytes Driver: C:\WINDOWS\system32\DRIVERS\mrxsmb.sys Address: 0xA8663000 Size: 458752 bytes Driver: C:\WINDOWS\system32\DRIVERS\update.sys Address: 0xB8A7E000 Size: 385024 bytes Driver: C:\WINDOWS\system32\DRIVERS\tcpip.sys Address: 0xA8837000 Size: 364544 bytes Driver: C:\WINDOWS\system32\DRIVERS\srv.sys Address: 0xA7B7D000 Size: 360448 bytes Driver: C:\WINDOWS\System32\ATMFD.DLL Address: 0xBF47A000 Size: 290816 bytes Driver: C:\WINDOWS\System32\Drivers\HTTP.sys Address: 0xA775B000 Size: 266240 bytes Driver: C:\WINDOWS\system32\DRIVERS\ctoss2k.sys Address: 0xB8CC2000 Size: 204800 bytes Driver: ACPI.sys Address: 0xB9F78000 Size: 192512 bytes Driver: NDIS.sys Address: 0xB9E1A000 Size: 184320 bytes Driver: C:\WINDOWS\System32\igxpgd32.dll Address: 0xBF024000 Size: 176128 bytes Driver: C:\WINDOWS\system32\drivers\kmixer.sys Address: 0xA71FE000 Size: 176128 bytes Driver: C:\WINDOWS\system32\DRIVERS\rdbss.sys Address: 0xA86D3000 Size: 176128 bytes Driver: C:\WINDOWS\system32\drivers\ctusfsyn.sys Address: 0xA7F9D000 Size: 163840 bytes Driver: C:\WINDOWS\system32\DRIVERS\netbt.sys Address: 0xA87E7000 Size: 163840 bytes Driver: C:\WINDOWS\system32\DRIVERS\ctsfm2k.sys Address: 0xB8C9B000 Size: 159744 bytes Driver: C:\WINDOWS\system32\DRIVERS\ipnat.sys Address: 0xA87C1000 Size: 155648 bytes Driver: C:\WINDOWS\system32\drivers\portcls.sys Address: 0xB8D17000 Size: 147456 bytes Driver: C:\WINDOWS\system32\DRIVERS\USBPORT.SYS Address: 0xB8E9D000 Size: 147456 bytes Driver: C:\WINDOWS\system32\drivers\ks.sys Address: 0xB8CF4000 Size: 143360 bytes Driver: C:\WINDOWS\System32\drivers\afd.sys Address: 0xA8720000 Size: 139264 bytes Driver: C:\Archivos de programa\SUPERAntiSpyware\SASKUTIL.sys Address: 0xA86FE000 Size: 139264 bytes Driver: ACPI_HAL Address: 0x806E6000 Size: 134400 bytes Driver: C:\WINDOWS\system32\hal.dll Address: 0x806E6000 Size: 134400 bytes Driver: fltmgr.sys Address: 0xB9F10000 Size: 131072 bytes Driver: ftdisk.sys Address: 0xB9F48000 Size: 126976 bytes Driver: C:\WINDOWS\system32\DRIVERS\avipbb.sys Address: 0xA8592000 Size: 114688 bytes Driver: Mup.sys Address: 0xB9E00000 Size: 106496 bytes Driver: C:\WINDOWS\system32\DRIVERS\Rtnicxp.sys Address: 0xB8EC1000 Size: 106496 bytes Driver: atapi.sys Address: 0xB9F30000 Size: 98304 bytes Driver: C:\WINDOWS\System32\Drivers\dump_atapi.sys Address: 0xA8552000 Size: 98304 bytes Driver: KSecDD.sys Address: 0xB9EE7000 Size: 94208 bytes Driver: C:\WINDOWS\system32\DRIVERS\ndiswan.sys Address: 0xB8AED000 Size: 94208 bytes Driver: C:\WINDOWS\system32\DRIVERS\nwlnkipx.sys Address: 0xA8370000 Size: 90112 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_jucdcacm.sys Address: 0xA864E000 Size: 86016 bytes Driver: C:\WINDOWS\system32\drivers\wdmaud.sys Address: 0xA8013000 Size: 86016 bytes Driver: C:\WINDOWS\system32\DRIVERS\avgntflt.sys Address: 0xA83FE000 Size: 81920 bytes Driver: C:\WINDOWS\system32\DRIVERS\VIDEOPRT.SYS Address: 0xB8EDB000 Size: 81920 bytes Driver: C:\WINDOWS\system32\DRIVERS\ipsec.sys Address: 0xA8890000 Size: 77824 bytes Driver: WudfPf.sys Address: 0xB9ED4000 Size: 77824 bytes Driver: C:\WINDOWS\System32\drivers\dxg.sys Address: 0xBF000000 Size: 73728 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_jubusenum.sys Address: 0xB8A6C000 Size: 73728 bytes Driver: C:\WINDOWS\System32\igxprd32.dll Address: 0xBF012000 Size: 73728 bytes Driver: sr.sys Address: 0xB9EFE000 Size: 73728 bytes Driver: pci.sys Address: 0xB9F67000 Size: 69632 bytes Driver: C:\WINDOWS\system32\DRIVERS\psched.sys Address: 0xB8ADC000 Size: 69632 bytes Driver: C:\WINDOWS\System32\Drivers\Cdfs.SYS Address: 0xBA2E8000 Size: 65536 bytes Driver: C:\WINDOWS\system32\DRIVERS\cdrom.sys Address: 0xBA1D8000 Size: 65536 bytes Driver: C:\WINDOWS\system32\DRIVERS\nwlnknb.sys Address: 0xA85AE000 Size: 65536 bytes Driver: C:\WINDOWS\system32\drivers\drmk.sys Address: 0xBA1A8000 Size: 61440 bytes Driver: Lbd.sys Address: 0xBA0F8000 Size: 61440 bytes Driver: C:\WINDOWS\system32\DRIVERS\redbook.sys Address: 0xBA1E8000 Size: 61440 bytes Driver: C:\WINDOWS\system32\drivers\sysaudio.sys Address: 0xA84A2000 Size: 61440 bytes Driver: C:\WINDOWS\system32\DRIVERS\usbhub.sys Address: 0xBA278000 Size: 61440 bytes Driver: C:\WINDOWS\system32\DRIVERS\i8042prt.sys Address: 0xBA1B8000 Size: 57344 bytes Driver: C:\WINDOWS\system32\DRIVERS\nwlnkspx.sys Address: 0xA7C8D000 Size: 57344 bytes Driver: C:\WINDOWS\system32\DRIVERS\CLASSPNP.SYS Address: 0xBA0E8000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_jucdcecm.sys Address: 0xBA2B8000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\rasl2tp.sys Address: 0xBA1F8000 Size: 53248 bytes Driver: VolSnap.sys Address: 0xBA0C8000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\WDFLDR.SYS Address: 0xBA248000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\raspptp.sys Address: 0xBA218000 Size: 49152 bytes Driver: C:\WINDOWS\System32\Drivers\Fips.SYS Address: 0xBA2A8000 Size: 45056 bytes Driver: C:\WINDOWS\system32\DRIVERS\imapi.sys Address: 0xBA1C8000 Size: 45056 bytes Driver: MountMgr.sys Address: 0xBA0B8000 Size: 45056 bytes Driver: C:\WINDOWS\system32\DRIVERS\raspppoe.sys Address: 0xBA208000 Size: 45056 bytes Driver: C:\WINDOWS\system32\DRIVERS\intelppm.sys Address: 0xBA198000 Size: 40960 bytes Driver: isapnp.sys Address: 0xBA0A8000 Size: 40960 bytes Driver: C:\WINDOWS\System32\Drivers\NDProxy.SYS Address: 0xBA258000 Size: 40960 bytes Driver: PxHelp20.sys Address: 0xBA108000 Size: 40960 bytes Driver: C:\WINDOWS\system32\DRIVERS\termdd.sys Address: 0xBA238000 Size: 40960 bytes Driver: disk.sys Address: 0xBA0D8000 Size: 36864 bytes Driver: C:\WINDOWS\system32\DRIVERS\msgpc.sys Address: 0xBA228000 Size: 36864 bytes Driver: C:\WINDOWS\system32\DRIVERS\netbios.sys Address: 0xBA298000 Size: 36864 bytes Driver: C:\WINDOWS\system32\DRIVERS\wanarp.sys Address: 0xBA288000 Size: 36864 bytes Driver: C:\WINDOWS\System32\Drivers\Modem.SYS Address: 0xBA370000 Size: 32768 bytes Driver: C:\WINDOWS\System32\Drivers\Npfs.SYS Address: 0xBA498000 Size: 32768 bytes Driver: C:\WINDOWS\system32\DRIVERS\usbccgp.sys Address: 0xBA4B0000 Size: 32768 bytes Driver: C:\WINDOWS\system32\DRIVERS\usbehci.sys Address: 0xBA440000 Size: 32768 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_juextctrl.sys Address: 0xBA378000 Size: 28672 bytes Driver: C:\WINDOWS\system32\DRIVERS\kbdclass.sys Address: 0xBA448000 Size: 28672 bytes Driver: C:\WINDOWS\system32\DRIVERS\PCIIDEX.SYS Address: 0xBA328000 Size: 28672 bytes Driver: C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS Address: 0xBA340000 Size: 28672 bytes Driver: C:\WINDOWS\system32\DRIVERS\mouclass.sys Address: 0xBA450000 Size: 24576 bytes Driver: C:\WINDOWS\System32\Drivers\rkhdrv40.SYS Address: 0xBA380000 Size: 24576 bytes Driver: C:\Archivos de programa\SUPERAntiSpyware\SASDIFSV.SYS Address: 0xBA4A8000 Size: 24576 bytes Driver: C:\WINDOWS\system32\DRIVERS\ssmdrv.sys Address: 0xBA4A0000 Size: 24576 bytes Driver: C:\WINDOWS\system32\DRIVERS\usbuhci.sys Address: 0xBA438000 Size: 24576 bytes Driver: C:\WINDOWS\System32\drivers\vga.sys Address: 0xBA488000 Size: 24576 bytes Driver: C:\WINDOWS\System32\Drivers\Msfs.SYS Address: 0xBA490000 Size: 20480 bytes Driver: PartMgr.sys Address: 0xBA330000 Size: 20480 bytes Driver: C:\WINDOWS\system32\DRIVERS\ptilink.sys Address: 0xBA460000 Size: 20480 bytes Driver: C:\WINDOWS\system32\DRIVERS\raspti.sys Address: 0xBA468000 Size: 20480 bytes Driver: C:\WINDOWS\system32\DRIVERS\TDI.SYS Address: 0xBA458000 Size: 20480 bytes Driver: C:\WINDOWS\System32\watchdog.sys Address: 0xBA390000 Size: 20480 bytes Driver: C:\WINDOWS\system32\DRIVERS\mssmbios.sys Address: 0xBA59C000 Size: 16384 bytes Driver: C:\WINDOWS\system32\DRIVERS\ndisuio.sys Address: 0xA83FA000 Size: 16384 bytes Driver: C:\WINDOWS\system32\BOOTVID.dll Address: 0xBA4B8000 Size: 12288 bytes Driver: C:\WINDOWS\System32\drivers\Dxapi.sys Address: 0xBA580000 Size: 12288 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_usbenumfilter.sys Address: 0xBA558000 Size: 12288 bytes Driver: C:\WINDOWS\system32\DRIVERS\ndistapi.sys Address: 0xBA588000 Size: 12288 bytes Driver: C:\WINDOWS\system32\DRIVERS\rasacd.sys Address: 0xB9DC0000 Size: 12288 bytes Driver: C:\Archivos de programa\Avira\AntiVir Desktop\avgio.sys Address: 0xBA5D4000 Size: 8192 bytes Driver: C:\WINDOWS\System32\Drivers\Beep.SYS Address: 0xBA5CC000 Size: 8192 bytes Driver: C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS Address: 0xBA5DA000 Size: 8192 bytes Driver: C:\WINDOWS\System32\Drivers\Fs_Rec.SYS Address: 0xBA5CA000 Size: 8192 bytes Driver: C:\WINDOWS\system32\KDCOM.DLL Address: 0xBA5A8000 Size: 8192 bytes Driver: C:\WINDOWS\System32\Drivers\mnmdd.SYS Address: 0xBA5CE000 Size: 8192 bytes Driver: C:\WINDOWS\System32\DRIVERS\RDPCDD.sys Address: 0xBA5D0000 Size: 8192 bytes Driver: C:\WINDOWS\system32\DRIVERS\swenum.sys Address: 0xBA5C6000 Size: 8192 bytes Driver: C:\WINDOWS\system32\DRIVERS\USBD.SYS Address: 0xBA5C8000 Size: 8192 bytes Driver: C:\WINDOWS\system32\DRIVERS\WMILIB.SYS Address: 0xBA5AA000 Size: 8192 bytes Driver: C:\WINDOWS\system32\DRIVERS\audstub.sys Address: 0xBA6BA000 Size: 4096 bytes Driver: C:\WINDOWS\System32\drivers\dxgthk.sys Address: 0xBA6F4000 Size: 4096 bytes Driver: C:\WINDOWS\System32\Drivers\Null.SYS Address: 0xBA7C3000 Size: 4096 bytes Driver: pciide.sys Address: 0xBA670000 Size: 4096 bytes ============================================== >Stealth ============================================== >Files Suspect File: C:\Qoobox\BackEnv\AppData.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Cache.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Cookies.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Desktop.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Favorites.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\History.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\LocalAppData.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\LocalSettings.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Music.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\NetHood.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Personal.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Pictures.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\PrintHood.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Profiles.Folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Profiles.Folder.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Programs.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Recent.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\SendTo.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\SetPath.bat Status: Hidden Suspect File: C:\Qoobox\BackEnv\StartMenu.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\StartUp.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\SysPath.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Templates.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\VikPev00 Status: Hidden ============================================== >Hooks tcpip.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address 0xA8876428 hook handler located in [vsdatant.sys] tcpip.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address 0xA8876454 hook handler located in [vsdatant.sys] tcpip.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at address 0xA8876460 hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address 0xBA28DB4C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisDeregisterProtocol, Type: IAT modification at address 0xBA28DB1C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address 0xBA28DB3C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at address 0xBA28DB28 hook handler located in [vsdatant.sys] [940]explorer.exe-->kernel32.dll-->GetProcAddress, Type: IAT modification at address 0x01001268 hook handler located in [shimeng.dll] |
.. soll ich auf "unhook all" klicken ? |
>SSDT State NtConnectPort Actual Address 0xA87632F4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateFile Actual Address 0xA875D5CA Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateKey Actual Address 0xBA7C5E3E Hooked by: Unknown module filename NtCreatePort Actual Address 0xA8763A80 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateThread Actual Address 0xBA7C5E34 Hooked by: Unknown module filename NtCreateWaitablePort Actual Address 0xA8763BB6 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteFile Actual Address 0xA875E1E0 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteKey Actual Address 0xBA7C5E43 Hooked by: Unknown module filename NtDeleteValueKey Actual Address 0xBA7C5E4D Hooked by: Unknown module filename NtLoadKey Actual Address 0xBA7C5E52 Hooked by: Unknown module filename NtLoadKey2 Actual Address 0xA877E99C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenFile Actual Address 0xA875DDF2 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenProcess Actual Address 0xBA7C5E20 Hooked by: Unknown module filename NtOpenThread Actual Address 0xBA7C5E25 Hooked by: Unknown module filename NtRenameKey Actual Address 0xA877F72A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtReplaceKey Actual Address 0xBA7C5E5C Hooked by: Unknown module filename NtRequestWaitReplyPort Actual Address 0xA8762EC4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtRestoreKey Actual Address 0xBA7C5E57 Hooked by: Unknown module filename NtSetInformationFile Actual Address 0xA875E5A4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetSecurityObject Actual Address 0xA877FC6A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetValueKey Actual Address 0xBA7C5E48 Hooked by: Unknown module filename NtTerminateProcess Actual Address 0xBA7C5E2F Hooked by: Unknown module filename >Shadow >Processes >Drivers >Stealth >Files Suspect File: C:\Qoobox\BackEnv\AppData.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Cache.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Cookies.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Desktop.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Favorites.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\History.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\LocalAppData.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\LocalSettings.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Music.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\NetHood.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Personal.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Pictures.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\PrintHood.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Profiles.Folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Profiles.Folder.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Programs.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Recent.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\SendTo.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\SetPath.bat Status: Hidden Suspect File: C:\Qoobox\BackEnv\StartMenu.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\StartUp.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\SysPath.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\Templates.folder.dat Status: Hidden Suspect File: C:\Qoobox\BackEnv\VikPev00 Status: Hidden >Hooks tcpip.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address 0xA8876428 hook handler located in [vsdatant.sys] tcpip.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address 0xA8876454 hook handler located in [vsdatant.sys] tcpip.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at address 0xA8876460 hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address 0xBA28DB4C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisDeregisterProtocol, Type: IAT modification at address 0xBA28DB1C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address 0xBA28DB3C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at address 0xBA28DB28 hook handler located in [vsdatant.sys] [940]explorer.exe-->kernel32.dll-->GetProcAddress, Type: IAT modification at address 0x01001268 hook handler located in [shimeng.dll] !!POSSIBLE ROOTKIT ACTIVITY DETECTED!! =) der letzte Satz wirkt etwas beunruhigend irgendwie - kann das sein.. |
ja, brauche noch mehr infos. öffne rootkit unhooker Tools Kernel Callbacks Routines und mache mir nen screenshot und hänge ihn an |
habe in Tools nur folgendes: Wipe / Copy file VM Detection Dump Memory Region Notify Routines Wo finde ich das? Soll ich nun unhook all anklicken oder so stehen lassen? Zwischendurch mal ein "Dankeschön" .. ich koste Dich schon irre viel Zeit .. |
Liste der Anhänge anzeigen (Anzahl: 1) .. meinst du das? |
scanne mal mit kaspersky rescue disk Kaspersky Rescue Disk 10 |
wo bitte krieg ich da einen download zum scannen her? .. ne meldung, dass ich das nu lange genug benutzt habe und mich zum kauf entschliessen soll .. auf den punkt "scan" bin ich noch nicht gekommen sorry - ich bin leicht angenervt langsam .. jeden tag die meldungen, dass sich jemand unter meinem namen irgendwo einloggt zu zeiten, in denen ich nicht da bin .. ich kann mir ja denken, wer die kleine drogen-mistbiene ist - nur beweisen kann ich es eben nicht Markus, ich arbeite mit diesem Rechner, da sind Firmendaten und Zugänge drauf .. und ich hab keine Ahnung, wie weit sie da Zugriff hat und mir schaden kann .. mich nerven diese kranken Menschen derartig .. von meinen privaten Daten ganz zu schweigen .. sorry für die Ausschweifungen ... wie also finde ich die Möglichkeit, den Scan zu machen .. ich komm nicht weiter - weder auf einen download noch auf sonst was bei rescue disk .. helf mir bitte |
hi, das mit den firmendaten wusste ich nicht. wollen wir nicht lieber nen schnitt machen das system, nach datensicherung, neu aufsetzen und vernünftig absichern? |
war auch schon mein Gedanke .. aber die CDs hab ich nicht .. hatte mein Sohn - ist sein Rechner, hab ich behalten, wollte ihn nicht hergeben - er ist letztes Jahr tödlich verunglückt und ich hab die CDs nicht zum neu aufsetzen - siehst du eine chance, das ich ohne neu aufsetzen hier wieder klar schiff machen kann? |
gut .. neu aufsetzen wird sich machen lassen .. hilfst du mir, das ganze dann "vernünftig abzusichern" .. wie du sagst? .. wär mir schon wichtig, ich hab keinen Bock mehr auf unliebsame Überraschungen .. offensichtlich kriegen wir die lady ja so nicht wirklich raus .. kann sie eigentlich auch das hier alles mitlesen? .. wie weit ist sie drin auf meinem PC .. ? |
klar helfe ich dir, habe ich ja gesagt. xp kostet bei amazon 20 € aber nicht von dem pc aus bestellen. autorun aus: Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de dann wichtige daten sichern, bilder dokumente musik vidios. morgen geb ich dir weitere anweisungen, für heute genug gemacht |
danke Markus ... wünsch dir ein schönes Wochenende .. finde es schon genial, dass es Menschen wie dich gibt, die so einfach helfen, wo andere nicht weiter wissen .. ist nicht mehr selbstverständlich heutzutage .. merci |
kein problem. daten gesichert? dann sag mir ob du weist wie man formatiert, falls nein ob du ne windows cd nutzt, recovery cd oder recovery partition, falls letzteres benötige ich den hersteller und typen deines geräts |
wird wohl CD sein, bekomme ich heute am frühen nachmittag daten sind gesichert und formatiert habe ich irgendwann mal, lange her - also werde ich da deine hilfe brauchen .. bis dann also lg |
ok sag mir wenn du so weit bist |
.. xp-cd hab ich jetzt .. system also nur office nicht - kann ich dann trotzdem online arbeiten? .. ich hatte so eine situation noch nicht.. auf der xp-cd ist der product-key drauf - müsste ja reichen, um es zu installieren eine möglichkeit, mein office, das ich drauf habe, dann ohne cd zu installieren wird es ja wohl nicht geben .. so ich sammel grad mal meine gedanken, heute ist ein montag, an dem alles zusammen läuft, aber ich will die kleine mistbiene in meinem pc endlich los werden, das ist mal das wichtigste im moment ready to go |
hast du zu dem pc noch driver bzw suport cds dazu bekommen? |
nein - hab ich nicht |
hmm also lege jetzt die cd ein und starte neu, evtl. musst du f12 drücken um ins boot menü zu kommen und dort das cd bzw dvd laufwerk wählen. dann klicke immer auf weiter bis du zur partitionsauswahl kommst. lösche erst alle partitionen und erstelle sie neu. wie das geht steht direkt in dem setup. ntfs als format. dann formatieren. und zwar nicht die schnelle, sondern die normale formatierungsart wählen. dann windows neu instalieren und hiermit weiter: - servicepack3: Detail Seite Windows XP Service Pack 3-Netzwerkinstallationspaket für IT-Spezialisten und Entwickler - internet explorer 8, auch wenn du nen andern browser nutzt, muss er aktuell sein. Detail Seite Windows Internet Explorer 8 für Windows XP - automatische updates so konfigurieren, das sie automatisch geladen/instaliert werden: Konfigurieren und Verwenden des Features "Automatische Updates" in Windows arbeite folgende anleitung durch: http://www.trojaner-board.de/96344-a...-rechners.html hier den abschnitt xp durcharbeiten, das konfigurieren der dienste auslassen, der link geht nicht. Als nächstes kommen wir zu dem Antimalware Programm. Dieses ist ein wichtiger Bestandteil des Sicherheitskonzeptes, deswegen sollte man sich gut überlegen, welche Wahl man trifft. Bei den kostenlosen Scannern halte ich Persönlich Avast! für die beste Wahl. Als kostenpflichtiges würde ich Emsisoft empfehlen Meine Antivirus-Empfehlung: Emsisoft Anti-Malware zumal du den pc beruflich nutzt wäre das die beste wahl kenne shops wo du es für 10 € bekommen kannst, natürlich erst mal die 30 tage testversion nutzen Weitere Vertreter . kaspersky: Kaspersky Lab: Antivirus software Symantec (Norton) Symantec - AntiVirus, Anti-Spyware, Endpoint Security, Backup, Storage Solutions Browserwahl: Da wir häufig mit dem Browser arbeiten, ist diese Wahl natürlich ebenfalls wichtig, die wichtigen Vertreter befinden sich in dem Verlinktem Thema. ich würde zu chrome greifen: https://www.google.com/chrome?hl=de Sandboxie Die devinition einer Sandbox ist hier nachzulesen: Sandbox Kurz gesagt, man kann Programme fast 100 %ig isuliert vom System ausführen. Der Vorteil liegt klar auf der Hand, wenn über den Browser Schadcode eingeschläust wird, kann dieser nicht nach außen dringen. Download Link: http://filepony.de/download-sandboxie/ anleitung: http://www.trojaner-board.de/71542-a...sandboxie.html ausführliche anleitung als pdf, auch abarbeiten: http://filepony.de/download-sandboxie/ bitte folgende zusatz konfiguration machen: sandboxie control öffnen, menü sandbox anklicken, defauldbox wählen. dort klicke auf sandbox einstellungen. beschrenkungen, bei programm start und internet zugriff schreibe: chrome.exe dann gehe auf anwendungen, webbrowser, chrome. dort aktiviere alles außer gesammten profil ordner freigeben. Wie du evtl. schon gesehen hast, kannst du einige Funktionen nicht nutzen. Dies ist nur in der Vollversion nötig, zu deren Kauf ich dir rate. Du kannst zb unter "Erzwungene Programmstarts" festlegen, dass alle Browser in der Sandbox starten. Ansonsten musst du immer auf "Sandboxed webbrowser" klicken bzw Rechtsklick, in Sandboxie starten. Eine lebenslange Lizenz kostet 30 €, und ist auf allen deinen PC's nutzbar. Weiter mit: Maßnahmen für ALLE Windows-Versionen alles komplett durcharbeiten Backup Programm: in meiner Anleitung ist bereits ein Backup Programm verlinkt, als Alternative bietet sich auch das Windows eigene Backup Programm an: Windows 7 Systemabbild erstellen (Backup) Dies ist aber leider nur für Windows 7 Nutzer vernünftig nutzbar. Alle Anderen sollten sich aber auf jeden fall auch ein Backup Programm instalieren, denn dies kann unter Umständen sehr wichtig sein, zum Beispiel, wenn die Festplatte einmal kaputt ist. Zum Schluss, die allgemeinen sicherheitstipps beachten, wenn es dich betrifft, den Tipp zum Onlinebanking beachten und alle Passwörter ändern bitte auch lesen, wie mache ich programme für alle sichtbar: Programme für alle Konten nutzbar machen - PCtipp.ch - Praxis & Hilfe surfe jetzt also nur noch im standard nutzer konto und dort in der sandbox. wenn du die kostenlose version nutzt, dann mit klick auf sandboxed web browser, wenn du die bezahlversion hast, kannst du erzwungene programm starts festlegen, dann wird sandboxie immer gestartet wenn du nen browser aufrufst. wenn du mit der maus über den browser fährst sollte der eingerahmt sein, dann bist du im sandboxed web browser |
ich kann es nicht ausdrucken .. der drucker spielt verrückt .. sag mal, kann die das alles mitlesen was ich hier schreibe? lass mich einfach dumm fragen .. wie komme ich ins netz, wenn ich keinen browser installiert habe .. so weit ich mich erinnere, ist dann alles "nackt" wenn das system drauf ist .. tut mir leid, wenn ich fragen stelle, die dich die stirn runzeln lassen - ich will nur nicht dann doof vor dem monitor sitzen und nicht wissen, wie ich ins netz komme ohne browser |
.. ich könnte diese drogenkranke kuh ans kreuz nageln, die nichts tut, als zuhause sitzen und nachzudenken,wie sie andere leute ausspionieren kann, die hat zuhause sogar ein aufnahmegerät laufen um alle gespräche aufzuzeichnen, verschickt im namen anderer emails und faxe, scannt die unterschriften von leuten ein und ordert per internet und versendet schreiben mit der gescannten unterschrift .. die ist doch nur noch krank - und ich hab die probleme hier .. sorry - aber ich bin einfach nur stinksauer ... Markus .. wenn ich nun die cd einlege und das alles mit den partitionen mache wie du es gesagt hast, wie komme ich dann ins netz - kann mir ja schlecht was downloaden wenn ich nicht on bin .. erklär es einfach "mädchengerecht" auch wenn ich nicht wirklich blond bin, aber meine nerven liegen langsam blank |
hi, der internet explorer ist ja vor instaliert. du kannst auch den chrome laden und auf nen stick packen.du hattest mir nicht den hersteller + typen deines pcs gesagt, falls er nicht selbst zusammengebaut wurde. |
ist ein compaq Presario SR5228ES .. war neu gekauft, also nix gebasteltes, absolut nicht |
eig müsste der ne revoery partition haben, versuch mal beim start f10 wenn das hp logo kommt oder alt+f10 oder f8 da müsste man ihn auf werkseinstellungen zurück setzen können da sind dann alle driver dabei |
uff .. wie nu das mach ich also nachdem ich die cd eingelegt habe und das mit den partitionen .. oder davor ich hasse theorien .. lerne eher aus der praxis, allerdings hab ich so meine bedenken, dass ich mit der praxis hängen bleibe, wenn ich nicht die genauen schritte einhalte .. deswegen frag ich so viel |
egal - ich mach jetzt einfach, wenn alle stricke reissen, gibts ja noch internet-cafés |
hi, ich wusste ja nicht das dein gerät eine haus eigene recovery funktion hatt. da benötigst du dann keine windows cd. hast also im moment 2 möglichkeiten zur verfügung. |
Markus .. sag mir bitte wie ich das ding platt machen kann, damit die lady schon mal draussen ist .. alles andere werde ich schon gebacken bekommen um wieder online zu sein ich will einfach nur, dass niemand zugriff auf meinen pc hat und wenn ich nicht klarkomme, stell ich mich auf die strasse und schreie nach hilfe - irgendjemand wird sich schon melden .. wenn ich die cd jetzt einlege fragt sie ob ich xp installieren will .. klar will ich, aber erst, wenn alles sauber ist |
versuch erst mal folgendes. neustarten und wenn das hp logo kommt f10 drücken, da solltest du auswählen können auf werkseinstellugngen zurück setzen oder ähnliches, es könnte auch die tastenkombination alt+f10 sein. falls das nicht geht, neustarten, cd drinnen lassen und dann schauen, wenn er von cd startet, ok, dann wie oben beschrieben partitionen löschen, neu erstellen, formatiern. falls nicht musst du ins boot menü, meist mit f12 und dort erst das cd bzw dvd laufwerk wählen. |
okay .. mach ich |
.. und hier bin ich :) Markus ... tausend Dank an dich .. vor allem für deine Geduld mit mir trotzdem noch eine Frage ... kann ich absolut sicher sein, dass sie nicht mehr auf meinen pc zugreifen kann .. oder sollte ich das nochmal testen .. bin ja schon fast traumatisiert .. |
jetzt muss ich wohl noch die anderen Schritte durchziehen, die du mir geschrieben hast .. werd ich schon hinbekommen .. wenn nicht, fall ich gnadenlos über dich her :)) |
hi, du hast aber noch nicht meine sicherheitshinweise durchgearbeitet oder? die sind in post 47 auf der vorherigen seite. |
ne .. sag ich ja grade .. wollte mich nur gleich mal melden, wenn ich wieder on bin .. das hat schon mal geklappt .. und jetzt mach ich mal brav was du mir geschrieben hast ... |
hi, das hatte ich übersehen, o da bekomme ich angst wenn jemand über mich her fällt :-) wie gesagt als av würde ich zu emsisoft raten, 10 € halte ich auch für erschwinglich, wenn dir das programm dann zusagt :-) link zum shop sende ich dir dann wenn gewünscht |
ja - schick mir den link .. gerne! ausserdem musst du keine angst vor mir haben, wenn, fall ich eh nur ganz sanft über dich her .. bist ja so was wie mein retter - und bist jetzt lebenslänglich für mich verantwortlich .. also rein pc-technisch (keine angst^^) .. alte chinesische überlieferung Markus, ich bin so erleichtert, kanns dir gar nicht sagen .. soll ich nicht wirklich nochmal testen - meinste, alles ist gut? |
na nu soll ich eine sicherung des systems machen, damit das service-pack installiert werden kann .. na klasse, wie mach ich das denn |
instaliere dir erst mal emsisoft und gucke ob du damit zurecht kommst. geb dir dann den link :-) wir prüfen deine gesicherten daten am ende wenn das system abgesichert ist. hmm ne sicherung machen, kann mich jetzt an die meldung nicht erinnern, ich glaub du musst einfach alle fenster schließen und dann auf ok klicken dann sollte es weiter gehen. |
na dann schliess ich mal die fensterläden und klicke auf ok wenn ich mich nicht zurückmelde, gabs ein problem .. ^^ |
hehe. sorry ich hatte übrigens nen falschen link drinn, dies ist die anleitung zu sandboxie Sandbox*Einstellungen | |
na so weit bin ich ja noch gar nicht .. aber danke für den neuen link hat also geklappt, die systemsicherung hat das teil dann von sich aus gemacht du sagst chrome ist gut ... findest du firefox nicht so prickelnd? .. war bisher immer mit firefox drin .. |
chrome sollte auf jeden fall sicherer sein und auf den meisten pcs auch schneller. erweiterungen gibts dafür auch genug, musst also nciht verzichten. falls er dir dann doch nicht zu sagt kann man ja den ff instalieren, aber mach erst mal in ruhe die updates etc. http://www.update.microsoft.com updates suchen, driver, wichtige und optionale updates instalieren, so lange bis es keine mehr gibt ja ich hab gemerkt das ich leider seit n paar tagen nen falschen link in der anleitung hab und den ausgewechselt. |
hmmm an der stelle noch eine winzige frage .... das servicepack 3 das du verlinkt hast, ist für IT-Profis und was weiss ich .. ich habs mal dir blind vertrauend geholt, stand dabei, dass es für "einzelne" computer ein anderes gibt .. na schaden wirds ja nicht .. ist mir nur grad so eingefallen |
ne das passt schon so. |
hm habe gerade wieder so "störungen" gehabt, hab zonealarm installiert und wieder die gleiche meldung bekommen über eine netzwerk-ip hab unhooker geholt .. das protokoll poste ich gleich ... ich bin im falschen film ........ |
>SSDT State NtConnectPort Actual Address 0xBA2122F4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateFile Actual Address 0xBA20C5CA Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateKey Actual Address 0xBA22B58A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreatePort Actual Address 0xBA212A80 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateProcess Actual Address 0xBA225E4E Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateProcessEx Actual Address 0xBA22623C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateSection Actual Address 0xBA22F6F6 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateWaitablePort Actual Address 0xBA212BB6 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteFile Actual Address 0xBA20D1E0 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteKey Actual Address 0xBA22CE3C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteValueKey Actual Address 0xBA22C7B2 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDuplicateObject Actual Address 0xBA224D8A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtLoadKey Actual Address 0xBA22D794 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtLoadKey2 Actual Address 0xBA22D99C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenFile Actual Address 0xBA20CDF2 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenProcess Actual Address 0xBA228160 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenThread Actual Address 0xBA227D8A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtRenameKey Actual Address 0xBA22E72A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtReplaceKey Actual Address 0xBA22E060 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtRequestWaitReplyPort Actual Address 0xBA211EC4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtRestoreKey Actual Address 0xBA22F0FC Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSecureConnectPort Actual Address 0xBA21259C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetInformationFile Actual Address 0xBA20D5A4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetSecurityObject Actual Address 0xBA22EC6A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetValueKey Actual Address 0xBA22BF72 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSystemDebugControl Actual Address 0xBA226EA4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtTerminateProcess Actual Address 0xBA226C20 Hooked by: C:\WINDOWS\System32\vsdatant.sys >Shadow NtUserMessageCall Actual Address 0xBA210D66 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtUserPostMessage Actual Address 0xBA210EA8 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtUserPostThreadMessage Actual Address 0xBA210FE0 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtUserRegisterRawInputDevices Actual Address 0xBA20E97A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtUserSendInput Actual Address 0xBA2113D4 Hooked by: C:\WINDOWS\System32\vsdatant.sys >Processes >Drivers >Stealth >Files >Hooks tcpip.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address 0xBA2FD3A8 hook handler located in [vsdatant.sys] tcpip.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address 0xBA2FD3D4 hook handler located in [vsdatant.sys] tcpip.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at address 0xBA2FD3E0 hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address 0xBAA3DB4C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisDeregisterProtocol, Type: IAT modification at address 0xBAA3DB1C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address 0xBAA3DB3C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at address 0xBAA3DB28 hook handler located in [vsdatant.sys] [1028]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->kernel32.dll-->GetProcAddress, Type: IAT modification at address 0x01001268 hook handler located in [shimeng.dll] [1300]explorer.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->kernel32.dll-->SetUnhandledExceptionFilter, Type: Inline - RelativeJump at address 0x7C8449FD hook handler located in [ISWDMP.dll] [140]ForceField.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->user32.dll+0x000142A8, Type: Inline - RelativeJump at address 0x7E3742A8 hook handler located in [ISWSHEX.dll] [1508]ISWSVC.exe-->kernel32.dll+0x00002C2C, Type: Inline - SEH at address 0x7C802C2C hook handler located in [unknown_code_page] [1508]ISWSVC.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1508]ISWSVC.exe-->user32.dll+0x000142A8, Type: Inline - RelativeJump at address 0x7E3742A8 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [240]alg.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [240]alg.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [240]alg.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [240]alg.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [240]alg.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [240]alg.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [240]alg.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [240]alg.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [640]services.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [640]services.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [640]services.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [640]services.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [640]services.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [640]services.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [640]services.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [640]services.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] !!POSSIBLE ROOTKIT ACTIVITY DETECTED!! =) |
ich denke eher das ist ne fehlermeldung von zonealarm. treten denn die andern probleme auf, endere mal alle passwörter und dann schauen obs noch erfolgreiche logins gibt von fremden. ich persönlich würd auf zonealarm verzichten und die windows firewall nutzen rootkit unhooker zeigt nur zonealarm driver und windows driver. |
RkUnhooker report generator v0.7 ============================================== Rootkit Unhooker kernel version: 3.7.300.501 ============================================== Windows Major Version: 5 Windows Minor Version: 1 Windows Build Number: 2600 ============================================== >SSDT State NtConnectPort Actual Address 0xBA2122F4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateFile Actual Address 0xBA20C5CA Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateKey Actual Address 0xBA22B58A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreatePort Actual Address 0xBA212A80 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateProcess Actual Address 0xBA225E4E Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateProcessEx Actual Address 0xBA22623C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateSection Actual Address 0xBA22F6F6 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtCreateWaitablePort Actual Address 0xBA212BB6 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteFile Actual Address 0xBA20D1E0 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteKey Actual Address 0xBA22CE3C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDeleteValueKey Actual Address 0xBA22C7B2 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtDuplicateObject Actual Address 0xBA224D8A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtLoadKey Actual Address 0xBA22D794 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtLoadKey2 Actual Address 0xBA22D99C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenFile Actual Address 0xBA20CDF2 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenProcess Actual Address 0xBA228160 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtOpenThread Actual Address 0xBA227D8A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtRenameKey Actual Address 0xBA22E72A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtReplaceKey Actual Address 0xBA22E060 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtRequestWaitReplyPort Actual Address 0xBA211EC4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtRestoreKey Actual Address 0xBA22F0FC Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSecureConnectPort Actual Address 0xBA21259C Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetInformationFile Actual Address 0xBA20D5A4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetSecurityObject Actual Address 0xBA22EC6A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSetValueKey Actual Address 0xBA22BF72 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtSystemDebugControl Actual Address 0xBA226EA4 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtTerminateProcess Actual Address 0xBA226C20 Hooked by: C:\WINDOWS\System32\vsdatant.sys ============================================== >Shadow NtUserMessageCall Actual Address 0xBA210D66 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtUserPostMessage Actual Address 0xBA210EA8 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtUserPostThreadMessage Actual Address 0xBA210FE0 Hooked by: C:\WINDOWS\System32\vsdatant.sys NtUserRegisterRawInputDevices Actual Address 0xBA20E97A Hooked by: C:\WINDOWS\System32\vsdatant.sys NtUserSendInput Actual Address 0xBA2113D4 Hooked by: C:\WINDOWS\System32\vsdatant.sys ============================================== >Processes Process: System Process Id: 4 EPROCESS Address: 0x89A32BD0 Process: C:\WINDOWS\system32\wscntfy.exe Process Id: 108 EPROCESS Address: 0x89167A20 Process: C:\Programme\CheckPoint\ZAForceField\ForceField.exe Process Id: 140 EPROCESS Address: 0x896C6C08 Process: C:\WINDOWS\system32\alg.exe Process Id: 240 EPROCESS Address: 0x89603870 Process: C:\WINDOWS\system32\smss.exe Process Id: 356 EPROCESS Address: 0x897F6DA0 Process: C:\Programme\Vodafone\Vodafone Mobile Broadband\Bin\MobileBroadband.exe Process Id: 440 EPROCESS Address: 0x89133020 Process: C:\WINDOWS\system32\ctfmon.exe Process Id: 524 EPROCESS Address: 0x89122730 Process: C:\WINDOWS\system32\csrss.exe Process Id: 572 EPROCESS Address: 0x897EA158 Process: C:\WINDOWS\system32\winlogon.exe Process Id: 596 EPROCESS Address: 0x89888910 Process: C:\WINDOWS\system32\services.exe Process Id: 640 EPROCESS Address: 0x897C1580 Process: C:\WINDOWS\system32\lsass.exe Process Id: 652 EPROCESS Address: 0x895C5858 Process: C:\WINDOWS\system32\svchost.exe Process Id: 812 EPROCESS Address: 0x897B43B8 Process: C:\WINDOWS\system32\svchost.exe Process Id: 900 EPROCESS Address: 0x89805860 Process: C:\WINDOWS\system32\svchost.exe Process Id: 940 EPROCESS Address: 0x89896868 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1028 EPROCESS Address: 0x897B63C8 Process: C:\WINDOWS\system32\svchost.exe Process Id: 1056 EPROCESS Address: 0x89641860 Process: C:\WINDOWS\system32\wbem\wmiprvse.exe Process Id: 1256 EPROCESS Address: 0x890FEBE0 Process: C:\WINDOWS\explorer.exe Process Id: 1300 EPROCESS Address: 0x89830BE0 Process: C:\Programme\CheckPoint\ZAForceField\ISWSVC.exe Process Id: 1508 EPROCESS Address: 0x8961E860 Process: C:\WINDOWS\system32\spoolsv.exe Process Id: 1564 EPROCESS Address: 0x8961F5D0 Process: C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe Process Id: 1660 EPROCESS Address: 0x898CE8B0 Process: C:\Programme\Vodafone\Vodafone Mobile Broadband\Bin\VmbService.exe Process Id: 1772 EPROCESS Address: 0x8961C6F0 Process: C:\Programme\Internet Explorer\iexplore.exe Process Id: 2420 EPROCESS Address: 0x89631860 Process: C:\WINDOWS\system32\wuauclt.exe Process Id: 2504 EPROCESS Address: 0x898B7020 Process: C:\WINDOWS\system32\wpabaln.exe Process Id: 3328 EPROCESS Address: 0x8913F508 Process: C:\Programme\CheckPoint\ZoneAlarm\zatray.exe Process Id: 452 EPROCESS Address: 0x891374E0 Process: C:\Programme\CheckPoint\ZoneAlarm\vsmon.exe Process Id: 1104 EPROCESS Address: 0x895C0AB8 Process: C:\Dokumente und Einstellungen\Rich\Desktop\RkUnhooker\ne2Jr8N2.exe Process Id: 1844 EPROCESS Address: 0x88CC6B28 ============================================== >Drivers Driver: C:\WINDOWS\system32\ntkrnlpa.exe Address: 0x804D7000 Size: 2154496 bytes Driver: PnpManager Address: 0x804D7000 Size: 2154496 bytes Driver: RAW Address: 0x804D7000 Size: 2154496 bytes Driver: WMIxWDM Address: 0x804D7000 Size: 2154496 bytes Driver: Win32k Address: 0xBF800000 Size: 1847296 bytes Driver: C:\WINDOWS\System32\win32k.sys Address: 0xBF800000 Size: 1847296 bytes Driver: Ntfs.sys Address: 0xBA65A000 Size: 577536 bytes Driver: C:\WINDOWS\System32\vsdatant.sys Address: 0xBA1F1000 Size: 520192 bytes Driver: C:\WINDOWS\System32\Drivers\wdf01000.sys Address: 0xBA470000 Size: 507904 bytes Driver: C:\WINDOWS\system32\DRIVERS\mrxsmb.sys Address: 0xBA10C000 Size: 458752 bytes Driver: C:\WINDOWS\system32\DRIVERS\update.sys Address: 0xBA4FE000 Size: 385024 bytes Driver: C:\WINDOWS\system32\DRIVERS\tcpip.sys Address: 0xBA2BE000 Size: 364544 bytes Driver: C:\WINDOWS\system32\DRIVERS\srv.sys Address: 0xB9670000 Size: 335872 bytes Driver: C:\WINDOWS\System32\Drivers\HTTP.sys Address: 0xB93AF000 Size: 266240 bytes Driver: ACPI.sys Address: 0xBA778000 Size: 192512 bytes Driver: C:\WINDOWS\system32\DRIVERS\mrxdav.sys Address: 0xB97DA000 Size: 184320 bytes Driver: NDIS.sys Address: 0xBA62D000 Size: 184320 bytes Driver: C:\WINDOWS\system32\DRIVERS\rdbss.sys Address: 0xBA17C000 Size: 176128 bytes Driver: C:\WINDOWS\system32\DRIVERS\netbt.sys Address: 0xBA270000 Size: 163840 bytes Driver: C:\WINDOWS\system32\DRIVERS\ipnat.sys Address: 0xBA298000 Size: 155648 bytes Driver: C:\WINDOWS\system32\DRIVERS\USBPORT.SYS Address: 0xBA5A7000 Size: 147456 bytes Driver: C:\WINDOWS\system32\DRIVERS\ks.sys Address: 0xBA584000 Size: 143360 bytes Driver: C:\WINDOWS\System32\drivers\afd.sys Address: 0xBA1A7000 Size: 139264 bytes Driver: ACPI_HAL Address: 0x806E5000 Size: 134400 bytes Driver: C:\WINDOWS\system32\hal.dll Address: 0x806E5000 Size: 134400 bytes Driver: fltmgr.sys Address: 0xBA710000 Size: 131072 bytes Driver: ftdisk.sys Address: 0xBA748000 Size: 126976 bytes Driver: Mup.sys Address: 0xBA613000 Size: 106496 bytes Driver: atapi.sys Address: 0xBA730000 Size: 98304 bytes Driver: C:\WINDOWS\System32\Drivers\dump_atapi.sys Address: 0xBA0DF000 Size: 98304 bytes Driver: KSecDD.sys Address: 0xBA6E7000 Size: 94208 bytes Driver: C:\WINDOWS\system32\DRIVERS\ndiswan.sys Address: 0xBA56D000 Size: 94208 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_jucdcacm.sys Address: 0xBA0F7000 Size: 86016 bytes Driver: C:\WINDOWS\System32\drivers\VIDEOPRT.SYS Address: 0xBA34A000 Size: 81920 bytes Driver: C:\WINDOWS\system32\DRIVERS\ipsec.sys Address: 0xBA317000 Size: 77824 bytes Driver: C:\WINDOWS\System32\drivers\dxg.sys Address: 0xBF9C3000 Size: 73728 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_jubusenum.sys Address: 0xBA4EC000 Size: 73728 bytes Driver: sr.sys Address: 0xBA6FE000 Size: 73728 bytes Driver: pci.sys Address: 0xBA767000 Size: 69632 bytes Driver: C:\WINDOWS\system32\DRIVERS\psched.sys Address: 0xBA55C000 Size: 69632 bytes Driver: C:\WINDOWS\System32\Drivers\Cdfs.SYS Address: 0xBAA88000 Size: 65536 bytes Driver: C:\WINDOWS\system32\DRIVERS\cdrom.sys Address: 0xBA998000 Size: 65536 bytes Driver: C:\WINDOWS\system32\DRIVERS\redbook.sys Address: 0xBA9A8000 Size: 61440 bytes Driver: C:\WINDOWS\system32\DRIVERS\usbhub.sys Address: 0xBAA28000 Size: 61440 bytes Driver: VolSnap.sys Address: 0xBA8C8000 Size: 57344 bytes Driver: C:\WINDOWS\system32\DRIVERS\CLASSPNP.SYS Address: 0xBA8E8000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_jucdcecm.sys Address: 0xBAA98000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\i8042prt.sys Address: 0xBA978000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\rasl2tp.sys Address: 0xBA9B8000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\WDFLDR.SYS Address: 0xBAA08000 Size: 53248 bytes Driver: C:\WINDOWS\system32\DRIVERS\raspptp.sys Address: 0xBA9D8000 Size: 49152 bytes Driver: C:\WINDOWS\System32\Drivers\Fips.SYS Address: 0xBAA58000 Size: 45056 bytes Driver: C:\WINDOWS\system32\DRIVERS\imapi.sys Address: 0xBA988000 Size: 45056 bytes Driver: MountMgr.sys Address: 0xBA8B8000 Size: 45056 bytes Driver: C:\WINDOWS\system32\DRIVERS\raspppoe.sys Address: 0xBA9C8000 Size: 45056 bytes Driver: C:\WINDOWS\system32\DRIVERS\intelppm.sys Address: 0xBA968000 Size: 40960 bytes Driver: isapnp.sys Address: 0xBA8A8000 Size: 40960 bytes Driver: C:\WINDOWS\System32\Drivers\NDProxy.SYS Address: 0xBAA18000 Size: 40960 bytes Driver: C:\WINDOWS\system32\DRIVERS\termdd.sys Address: 0xBA9F8000 Size: 40960 bytes Driver: disk.sys Address: 0xBA8D8000 Size: 36864 bytes Driver: C:\WINDOWS\system32\DRIVERS\msgpc.sys Address: 0xBA9E8000 Size: 36864 bytes Driver: C:\WINDOWS\system32\DRIVERS\netbios.sys Address: 0xBAA48000 Size: 36864 bytes Driver: C:\WINDOWS\system32\DRIVERS\wanarp.sys Address: 0xBAA38000 Size: 36864 bytes Driver: C:\Programme\CheckPoint\ZAForceField\ISWKL.sys Address: 0xBAC10000 Size: 32768 bytes Driver: C:\WINDOWS\System32\Drivers\Modem.SYS Address: 0xBAC20000 Size: 32768 bytes Driver: C:\WINDOWS\System32\Drivers\Npfs.SYS Address: 0xBABF0000 Size: 32768 bytes Driver: C:\WINDOWS\system32\DRIVERS\usbccgp.sys Address: 0xBAC00000 Size: 32768 bytes Driver: C:\WINDOWS\system32\DRIVERS\usbehci.sys Address: 0xBAB98000 Size: 32768 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_juextctrl.sys Address: 0xBAC28000 Size: 28672 bytes Driver: C:\WINDOWS\system32\DRIVERS\kbdclass.sys Address: 0xBABA0000 Size: 28672 bytes Driver: C:\WINDOWS\system32\DRIVERS\PCIIDEX.SYS Address: 0xBAB28000 Size: 28672 bytes Driver: C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS Address: 0xBAC08000 Size: 28672 bytes Driver: C:\WINDOWS\system32\DRIVERS\mouclass.sys Address: 0xBABA8000 Size: 24576 bytes Driver: C:\WINDOWS\System32\Drivers\rkhdrv40.SYS Address: 0xBAC60000 Size: 24576 bytes Driver: C:\WINDOWS\system32\DRIVERS\usbuhci.sys Address: 0xBAB90000 Size: 24576 bytes Driver: C:\WINDOWS\System32\drivers\vga.sys Address: 0xBABE0000 Size: 24576 bytes Driver: C:\WINDOWS\System32\Drivers\Msfs.SYS Address: 0xBABE8000 Size: 20480 bytes Driver: PartMgr.sys Address: 0xBAB30000 Size: 20480 bytes Driver: C:\WINDOWS\system32\DRIVERS\ptilink.sys Address: 0xBABB8000 Size: 20480 bytes Driver: C:\WINDOWS\system32\DRIVERS\raspti.sys Address: 0xBABC0000 Size: 20480 bytes Driver: C:\WINDOWS\system32\DRIVERS\TDI.SYS Address: 0xBABB0000 Size: 20480 bytes Driver: C:\WINDOWS\System32\watchdog.sys Address: 0xBAC30000 Size: 20480 bytes Driver: C:\WINDOWS\system32\DRIVERS\mssmbios.sys Address: 0xBAD48000 Size: 16384 bytes Driver: C:\WINDOWS\system32\DRIVERS\ndisuio.sys Address: 0xB9BBF000 Size: 16384 bytes Driver: C:\WINDOWS\system32\BOOTVID.dll Address: 0xBACB8000 Size: 12288 bytes Driver: C:\WINDOWS\System32\drivers\Dxapi.sys Address: 0xBA5D3000 Size: 12288 bytes Driver: C:\WINDOWS\system32\DRIVERS\ew_usbenumfilter.sys Address: 0xBAD88000 Size: 12288 bytes Driver: C:\WINDOWS\System32\framebuf.dll Address: 0xBFF70000 Size: 12288 bytes Driver: C:\WINDOWS\system32\DRIVERS\ndistapi.sys Address: 0xBAD40000 Size: 12288 bytes Driver: C:\WINDOWS\system32\DRIVERS\rasacd.sys Address: 0xBAD74000 Size: 12288 bytes Driver: C:\WINDOWS\System32\Drivers\Beep.SYS Address: 0xBADB6000 Size: 8192 bytes Driver: C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS Address: 0xBADBC000 Size: 8192 bytes Driver: C:\WINDOWS\System32\Drivers\Fs_Rec.SYS Address: 0xBADB4000 Size: 8192 bytes Driver: C:\WINDOWS\system32\KDCOM.DLL Address: 0xBADA8000 Size: 8192 bytes Driver: C:\WINDOWS\System32\Drivers\mnmdd.SYS Address: 0xBADB8000 Size: 8192 bytes Driver: C:\WINDOWS\System32\DRIVERS\RDPCDD.sys Address: 0xBADBA000 Size: 8192 bytes Driver: C:\WINDOWS\system32\DRIVERS\swenum.sys Address: 0xBADB0000 Size: 8192 bytes Driver: C:\WINDOWS\system32\DRIVERS\USBD.SYS Address: 0xBADB2000 Size: 8192 bytes Driver: C:\WINDOWS\system32\DRIVERS\WMILIB.SYS Address: 0xBADAA000 Size: 8192 bytes Driver: C:\WINDOWS\system32\DRIVERS\audstub.sys Address: 0xBAECA000 Size: 4096 bytes Driver: C:\WINDOWS\System32\drivers\dxgthk.sys Address: 0xBAEFF000 Size: 4096 bytes Driver: C:\WINDOWS\System32\Drivers\Null.SYS Address: 0xBAF3D000 Size: 4096 bytes Driver: pciide.sys Address: 0xBAE70000 Size: 4096 bytes ============================================== >Stealth ============================================== >Files ============================================== >Hooks tcpip.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address 0xBA2FD3A8 hook handler located in [vsdatant.sys] tcpip.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address 0xBA2FD3D4 hook handler located in [vsdatant.sys] tcpip.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at address 0xBA2FD3E0 hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address 0xBAA3DB4C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisDeregisterProtocol, Type: IAT modification at address 0xBAA3DB1C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address 0xBAA3DB3C hook handler located in [vsdatant.sys] wanarp.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at address 0xBAA3DB28 hook handler located in [vsdatant.sys] [1028]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1028]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1056]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [108]wscntfy.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1256]wmiprvse.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->kernel32.dll-->GetProcAddress, Type: IAT modification at address 0x01001268 hook handler located in [shimeng.dll] [1300]explorer.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1300]explorer.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->kernel32.dll-->SetUnhandledExceptionFilter, Type: Inline - RelativeJump at address 0x7C8449FD hook handler located in [ISWDMP.dll] [140]ForceField.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [140]ForceField.exe-->user32.dll+0x000142A8, Type: Inline - RelativeJump at address 0x7E3742A8 hook handler located in [ISWSHEX.dll] [1508]ISWSVC.exe-->kernel32.dll+0x00002C2C, Type: Inline - SEH at address 0x7C802C2C hook handler located in [unknown_code_page] [1508]ISWSVC.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1508]ISWSVC.exe-->user32.dll+0x000142A8, Type: Inline - RelativeJump at address 0x7E3742A8 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1564]spoolsv.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1660]mscorsvw.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [1772]VmbService.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [240]alg.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [240]alg.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [240]alg.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [240]alg.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [240]alg.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [240]alg.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [240]alg.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [240]alg.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [2504]wuauclt.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [3328]wpabaln.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [440]MobileBroadband.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [524]ctfmon.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [596]winlogon.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [640]services.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [640]services.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [640]services.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [640]services.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [640]services.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [640]services.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [640]services.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [640]services.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [652]lsass.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [812]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [900]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->advapi32.dll-->ImpersonateNamedPipeClient, Type: Inline - RelativeJump at address 0x77DA7416 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->advapi32.dll-->SetThreadToken, Type: Inline - RelativeJump at address 0x77DAF183 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->kernel32.dll-->OpenProcess, Type: Inline - RelativeJump at address 0x7C8309D1 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->ntdll.dll-->NtAccessCheckAndAuditAlarm, Type: Inline - RelativeJump at address 0x7C91CE70 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->ntdll.dll-->NtImpersonateAnonymousToken, Type: Inline - RelativeJump at address 0x7C91D3E0 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->ntdll.dll-->NtSetInformationObject, Type: Inline - RelativeJump at address 0x7C91DC80 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->user32.dll-->FindWindowA, Type: Inline - RelativeJump at address 0x7E3782E1 hook handler located in [ISWSHEX.dll] [940]svchost.exe-->user32.dll-->FindWindowW, Type: Inline - RelativeJump at address 0x7E37C9C3 hook handler located in [ISWSHEX.dll] |
das kann doch aber nicht sein ... ich schmeiss den pc weg und kauf mir nen neuen .. kann es sein, dass die sich so tief reingesetzt hat, dass es nicht mal mit neuaufsetzen klappt, sie rauszuwerfen? .. sag |
warum denn wer soll "sie" denn sein, das meiste sind funktion die von deiner firewall verwendet werden vsdatant.sys ist teil deiner firewall. wie lautet denn die genaue meldung gibts ne ip dazu? die logs sind alle sauber dein pc ist formatiert und damit ebenfalls ok oder sind noch auffälligkeiten festzustellen... bitte weiter mit der absicherung |
na toll .. "sie" ist die person, die zugang zu meinem rechner hatte wenn sie sich im master boot record eingenistet hat, ist sie mit formatieren nicht draussen - warum sonst habe ich die gleichen meldungen wie vorher? warum meldet mir zonealarm ein netzwerk mit einer abweichenden ip von meiner? warum hab ich immer noch die meldung von unhooker nach einem scan, dass "rootkit activity possible" ist und als warnung angegeben wird mit 27 ausrufezeichen? die HD komplett formatieren und mit eine Special- Tool die MBR über ein Fly-on system restaurieren ... das wäre eine möglichkeit, die ich aber allein nicht durchziehen kann .. mist ist na klar, dass sie freien zugang zu meinem pc hatte und theoretisch auch alles mögliche in der hardware veranstaltet hat .. kann ich das irgendwie rauskriegen? und ja - es gibt jedesmal eine ip .. wie gesagt, minimal abweichend von meiner, es handelt sich jeweils um die letzten zwei oder drei ziffern ich werde dann noch nachsehen, ob wieder eine fb-meldung vorliegt, dass sich jemand eingeloggt hat in meiner abwesenheit - ansonsten .. ich hatte noch nie! vorher diese netzwerkmeldungen von zonealarm und ich arbeite schon immer mit zonealarm wenn ich es ignoriere, hängt alles und nichts geht mehr .. ich habe zwei optionen.... die eine sagt (ich sags jetzt mal aus dem kopf, hab ja den text nicht original grad vor mir) ... ich kann gemeinsame ressourcen zulassen oder aber unabhängig und für andere aus dem netzwerk nicht sichtbar sein .. klar klicke ich immer das letztere an - sonst kann ich gar nichts mehr machen am pc .. das andere gefällt mir schon mal gar nicht gestern hatte ich zonealarm installiert .. heute wars nicht mehr in der startleiste .. habe die exe nochmal gestartet und bekam eine meldung, dass sich möglicherweise schädliche software auf meinem pc befindet, die eine installation von zonealarm verhindern möchte - ich habe dann zugestimmt, diese software deinstallieren zu lassen (aber was heisst das schon) und somit ist es wieder da ... im moment wenigstens |
nein - fb-meldungen habe ich heute nicht, aber vielleicht hält sie ja auch nur die füsse still im moment Markus ... habe ich eine möglichkeit, festzustellen, ob alles nur "komische" meldungen sind oder wirklich noch ein problem da ist... wie kann ich das testen? |
der mbr ist sauber den haben wir ja geprüft aber von mir aus können wir noch mal formatieren mit mbr bereinigung. nimm die windows cd, lege sie ein starte neu. am anfang drücke die taste r um in die reperatur konsole zu kommen, dort wähle die windows instalation, meistens ist das mit drücken der taste 1 möglich. falls du ein passwort eingeben sollst, überspringe das mit enter. dann schreibe: fixmbr enter y bzw j zum bestätigen. danach: fixboot enter y bzw j drücken zum bestätigen dann: format c: enter j bzw y zum bestätigen. abwarten dann exit neustarten und windows neu instalieren dann gleich mit den updates los legen und emsisoft instalieren, noch keine der gesicherten daten auf den pc kopieren. wenn emsisoft drauf ist weiter mit dem rest der anleitung. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 15:53 Uhr. |
Copyright ©2000-2025, Trojaner-Board