Trojaner-Board - Virus (Trojan Vundo.DVS??) eingefangen - Internet funktioniert nicht mehr richtig.

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Virus (Trojan Vundo.DVS??) eingefangen - Internet funktioniert nicht mehr richtig. (https://www.trojaner-board.de/58912-virus-trojan-vundo-dvs-eingefangen-internet-funktioniert-mehr-richtig.html)

Virus (Trojan Vundo.DVS??) eingefangen - Internet funktioniert nicht mehr richtig.

Hallo, ich habe mir gestern einen bösen Virus eingefangen. Die Festplatte wurde nicht mehr angezeigt und dieses Bild war auf dem Desktop sichtbar. http://www.ke-mafia.com/danger.JPG. Dauernd wurde ich aufgefordert irgendwelche kostenpflichtigen Spyware Programme runterzuladen. Den Spruch "Your Privacy is in Danger" gab ich dann bei google an, wo ich ein Programm namens Smitfraudfix fand, dass den gröbsten Teil des Virus entfernen konnte.

Jedoch kommen weiterhin dauernd Spyware-Popups und viele Internetseiten lassen sich überhaupt nicht aufrufen bzw. laden nur halb. Auch Spybot und Ad-Aware habe ich laufen lassen, die haben aber nur wenig gefunden. Mein BitDefender hat einen Virus namens Trojan.Vundo.DVS erkannt, der mehrere System 32 Dateien (bak1, bak2, ini2, tmp) infiziert hat. Wenn ich bei google suchen will, werde ich meistens zu bediddle.com weitergeleitet, was mir nicht weiterhilft.

Ich muss zugeben, dass ich am PC nicht die ultra-ahnung habe und jetzt alleine nicht mehr weiter weiß. Hab schon gelesen, dass man sogenannte Hijack-Logs posten soll, kann damit aber leider nix anfangen. Ich hoffe von Euch kann mir jemand weiterhelfen.

Mfg
Niki

Halli hallo.

Scanne deinen Rechner mit SuperAntiSpyware und Anti-Malware und poste die logs.

Zitat:

Zitat von undoreal (Beitrag 367733)

Halli hallo.

Scanne deinen Rechner mit SuperAntiSpyware und Anti-Malware und poste die logs.

Vielen Dank für die schnelle Antwort.

Ich kann leider auf beide Dateien nicht zugreifen. Mein Firefox zeigt "Verbindung fehlgeschlagen" an.

Gruß Niki

Das ist natürlich etwas dämlich.

Dann weichen wir auf Combofix aus.

HIER gibt es das Programm.

Passwort ist infected !

Des ComboFix hat "Rootkit Activity" festgestellt und den PC neu gestartet. Mehr kam dann aber nicht.

Ich frag mich ob ich des Programm vollständig runterladen konnte, weil beim ersten mal waren es nur paar kb. Beim zweiten mal 2,66 MB. Ist es denn wirklich nur so groß oder hab ich vllt sonst irgendwas übersehen?

Gruß Niki

Lasse Blacklight laufen. Evtl. Funde bitte umbennen/beheben lassen.

Danach starte CF nochmal..

Ich befürchte ich bin ein hoffnungsloser Fall. Auch den Blackight kann ich nicht runterladen. :-(

Zitat:

Ich befürchte ich bin ein hoffnungsloser Fall.

Sowas wollen wir hier nicht hören!

Hier gibt's Blacklight für dich: fsbl
Passwort ist wieder infected

So, erstmal Vielen Dank für die nette Unterstützung bis hierhin. Ich weiß das wirklich zu schätzen.

Ich hab mir die Programme SuperAntiSpyware und AntiMaleware do noch organisieren können. (Ein Bekannter hat sie mir per E-Mail geschickt und ich konnte sie glücklicherweise abrufen.)

Hier ist erstmal das SuperAntiSpyware Log:

Code:

SUPERAntiSpyware Scan Log

http://www.superantispyware.com
 

Generated 09/01/2008 at 03:19 PM
 

Application Version : 4.20.1046
 

Core Rules Database Version : 3553

Trace Rules Database Version: 1542
 

Scan type       : Complete Scan

Total Scan Time : 00:54:41
 

Memory items scanned      : 567

Memory threats detected   : 0

Registry items scanned    : 5536

Registry threats detected : 9

File items scanned        : 79462

File threats detected     : 24
 

Trojan.WinFixer

        HKLM\Software\Classes\CLSID\{8A6934D7-F3D4-4476-B6E9-FC3AD20BE202}

        HKCR\CLSID\{8A6934D7-F3D4-4476-B6E9-FC3AD20BE202}

        HKCR\CLSID\{8A6934D7-F3D4-4476-B6E9-FC3AD20BE202}\InprocServer32

        HKCR\CLSID\{8A6934D7-F3D4-4476-B6E9-FC3AD20BE202}\InprocServer32#ThreadingModel

        C:\WINDOWS\SYSTEM32\PMKJI.DLL

        HKLM\Software\Classes\CLSID\{CA23BE0C-E842-406B-AE86-AA85492759BC}

        HKCR\CLSID\{CA23BE0C-E842-406B-AE86-AA85492759BC}

        HKCR\CLSID\{CA23BE0C-E842-406B-AE86-AA85492759BC}\InprocServer32

        HKCR\CLSID\{CA23BE0C-E842-406B-AE86-AA85492759BC}\InprocServer32#ThreadingModel

        C:\WINDOWS\SYSTEM32\PMNNK.DLL
 

Adware.Tracking Cookie

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@ads.profootballtalk[2].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@a6.adserver01[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@indextools[2].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@adtech[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@adserver.71i[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@ads.pointroll[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@adbrite[2].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@www.zanox-affiliate[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@apmebf[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@ads.adbrite[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@atwola[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@richmedia.yahoo[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@adserver.trojaner-info[2].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@ehg.hitbox[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@adinterax[2].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@de2.komtrack[2].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@doubleclick[2].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@ad.71i[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@fastclick[2].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@ad.myp2p[1].txt

        C:\Dokumente und Einstellungen\Niki\Cookies\niki@ehg.hitbox[2].txt
 

Adware.Vundo Variant/Rel

        HKLM\SOFTWARE\Microsoft\FCOVM

        C:\WINDOWS\SYSTEM32\MCRH.TMP

Das Anti-Maleware-Log folgt sofort wenn es fertif gescannt hat.

Und hier noch das Anti-Maleware Log:

Code:

Malwarebytes' Anti-Malware 1.25

Datenbank Version: 1103

Windows 5.1.2600 Service Pack 2
 

16:10:29 01.09.2008

mbam-log-09-01-2008 (16-10-29).txt
 

Scan-Methode: Vollständiger Scan (C:\|D:\|)

Durchsuchte Objekte: 117478

Laufzeit: 26 minute(s), 39 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 6

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 16
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wintug32 (Dialer) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\tdss (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Juan (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VSPlugin (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\CAC (Malware.Trace) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

C:\Programme\QIP\unqip.exe (Adware.Sogou) -> Quarantined and deleted successfully.

C:\WINDOWS\eplt.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

D:\Eigene Downloads\qip8050(2).exe (Adware.Sogou) -> Quarantined and deleted successfully.

D:\Eigene Downloads\qip8050.exe (Adware.Sogou) -> Quarantined and deleted successfully.

D:\Eigene Downloads\qip8060.exe (Adware.Sogou) -> Quarantined and deleted successfully.

D:\Programme\QIP\unqip.exe (Adware.Sogou) -> Quarantined and deleted successfully.

D:\Setupdateien\qip8030_de.exe (Adware.Sogou) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\wintug32.dll (Dialer) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\tdssadw.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\tdssl.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\tdssserf.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\tdssmain.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\tdssinit.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\tdsslog.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\tdssservers.dat (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\drivers\tdssserv.sys (Trojan.Agent) -> Delete on reboot.

Siehts all zu schlimm aus? :confused:

Weiter mit Blacklight und Combofix...

Zitat:

Zitat von undoreal (Beitrag 367857)

Weiter mit Blacklight und Combofix...

Hab ich erledigt. Soll ich auch dazu die Logs posten?

Gruß Niki

okay. :)

Blacklight:

Code:

09/01/08 21:29:59 [Info]: BlackLight Engine 1.0.70 initialized

09/01/08 21:29:59 [Info]: OS: 5.1 build 2600 (Service Pack 2)

09/01/08 21:30:00 [Note]: 7019 4

09/01/08 21:30:00 [Note]: 7005 0

09/01/08 21:30:14 [Note]: 7006 0

09/01/08 21:30:14 [Note]: 7011 96

09/01/08 21:30:14 [Note]: 7035 0

09/01/08 21:30:14 [Note]: 7026 0

09/01/08 21:30:14 [Note]: 7026 0

09/01/08 21:30:14 [Note]: 7024 3

09/01/08 21:30:14 [Info]: Hidden process: C:\windows\system32\omieoaq.exe

09/01/08 21:30:34 [Note]: FSRAW library version 1.7.1024

09/01/08 21:48:01 [Info]: Hidden file: c:\WINDOWS\system32\omieoaq.dat

09/01/08 21:48:01 [Note]: 10002 1

09/01/08 21:48:01 [Info]: Hidden file: C:\windows\system32\omieoaq.exe

09/01/08 21:48:01 [Note]: 10002 1

09/01/08 21:48:01 [Info]: Hidden file: c:\WINDOWS\system32\omieoaq_nav.dat

09/01/08 21:48:01 [Note]: 10002 1

09/01/08 21:48:02 [Info]: Hidden file: c:\WINDOWS\system32\omieoaq_navps.dat

09/01/08 21:48:02 [Note]: 10002 1

09/01/08 21:53:57 [Note]: 7006 0

09/01/08 21:53:57 [Note]: 7011 96

09/01/08 21:53:57 [Note]: 7026 0

09/01/08 21:53:57 [Note]: 7026 0

09/01/08 21:53:57 [Note]: 7024 3

09/01/08 21:53:57 [Info]: Hidden process: C:\windows\system32\omieoaq.exe

09/01/08 21:53:57 [Note]: FSRAW library version 1.7.1024

09/01/08 21:53:59 [Note]: 10002 1

09/01/08 21:53:59 [Note]: 10002 1

09/01/08 21:54:00 [Note]: 10002 1

09/01/08 21:54:00 [Info]: Hidden file: c:\WINDOWS\system32\omieoaq_navps.dat

09/01/08 21:54:00 [Note]: 10002 1

09/01/08 21:54:10 [Note]: 7006 0

09/01/08 21:54:10 [Note]: 7011 96

09/01/08 21:54:10 [Note]: 7026 0

09/01/08 21:54:11 [Note]: 7026 0

09/01/08 21:54:11 [Note]: 7024 3

09/01/08 21:54:11 [Info]: Hidden process: C:\windows\system32\omieoaq.exe

09/01/08 21:54:11 [Note]: FSRAW library version 1.7.1024

09/01/08 21:54:12 [Note]: 10002 1

09/01/08 21:54:12 [Note]: 10002 1

09/01/08 21:54:12 [Info]: Hidden file: c:\WINDOWS\system32\omieoaq_nav.dat

09/01/08 21:54:12 [Note]: 10002 1

09/01/08 21:54:13 [Note]: 10002 1

09/01/08 21:54:22 [Note]: 7006 0

09/01/08 21:54:22 [Note]: 7011 96

09/01/08 21:54:22 [Note]: 7026 0

09/01/08 21:54:22 [Note]: 7026 0

09/01/08 21:54:22 [Note]: 7024 3

09/01/08 21:54:22 [Info]: Hidden process: C:\windows\system32\omieoaq.exe

09/01/08 21:54:22 [Note]: FSRAW library version 1.7.1024

09/01/08 21:54:23 [Info]: Hidden file: c:\WINDOWS\system32\omieoaq.dat

09/01/08 21:54:23 [Note]: 10002 1

09/01/08 21:54:23 [Note]: 10002 1

09/01/08 21:54:23 [Note]: 10002 1

09/01/08 21:54:24 [Note]: 10002 1

09/01/08 21:54:36 [Note]: 7006 0

09/01/08 21:54:36 [Note]: 7011 96

09/01/08 21:54:36 [Note]: 7026 0

09/01/08 21:54:37 [Note]: 7026 0

09/01/08 21:54:37 [Note]: 7024 3

09/01/08 21:54:37 [Info]: Hidden process: C:\windows\system32\omieoaq.exe

09/01/08 21:54:37 [Note]: FSRAW library version 1.7.1024

09/01/08 21:54:38 [Note]: 10002 1

09/01/08 21:54:38 [Info]: Hidden file: C:\windows\system32\omieoaq.exe

09/01/08 21:54:38 [Note]: 10002 1

09/01/08 21:54:38 [Note]: 10002 1

09/01/08 21:54:38 [Note]: 10002 1

09/01/08 21:55:34 [Note]: 7007 0

ComboFix:

Code:

ComboFix 08-08-31.01 - Niki 2008-09-01 22:08:17.1 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.2.1252.1.1031.18.348 [GMT 2:00]

ausgeführt von:: D:\Eigene Downloads\ComboFix.exe

 * Neuer Wiederherstellungspunkt wurde erstellt
 
 Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!

.
 

((((((((((((((((((((((((((((((((((((   Weitere L”schungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\#SharedObjects\PMTRRXSQ\bin.clearspring.com

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\#SharedObjects\PMTRRXSQ\bin.clearspring.com\clearspring.sol

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\#SharedObjects\PMTRRXSQ\interclick.com

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\#SharedObjects\PMTRRXSQ\interclick.com\ud.sol

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\#SharedObjects\PMTRRXSQ\www.broadcaster.com

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#bin.clearspring.com

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#bin.clearspring.com\settings.sol

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#interclick.com

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#interclick.com\settings.sol

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#www.broadcaster.com

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#www.broadcaster.com\settings.sol

C:\Programme\uusee

C:\Programme\uusee\GoogleToolbarInstaller_zh-CN_signed.msi

C:\WINDOWS\system32\btvicsxk.ini

C:\WINDOWS\system32\bwmwqcwn.ini

C:\WINDOWS\system32\bwrhfxfn.ini

C:\WINDOWS\system32\dcotxoat.ini

C:\WINDOWS\system32\dppspnho.ini

C:\WINDOWS\system32\gwnracww.ini

C:\WINDOWS\system32\gyjomhsm.ini

C:\WINDOWS\system32\hpnapehn.ini

C:\WINDOWS\system32\jausvfnn.ini

C:\WINDOWS\system32\lumabuwf.ini

C:\WINDOWS\system32\lyuyjmtg.ini

C:\WINDOWS\system32\mbkvsgpv.ini

C:\WINDOWS\system32\mwhovfnv.ini

C:\WINDOWS\system32\nhyrtkni.ini

C:\WINDOWS\system32\ronaprpx.ini

C:\WINDOWS\system32\seaqrvxb.ini

C:\WINDOWS\system32\ttdeoino.ini

C:\WINDOWS\system32\uvmomkmh.ini

C:\WINDOWS\system32\uyvipkkw.ini

C:\WINDOWS\system32\vuoubyrc.ini

C:\WINDOWS\system32\wjinvvva.ini

C:\WINDOWS\system32\wureoivb.ini

C:\WINDOWS\system32\xewomhhg.ini

C:\WINDOWS\system32\ydrwujho.ini
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Legacy_DOMAINSERVICE

-------\Service_TDSSserv
 
 

(((((((((((((((((((((((   Dateien erstellt von 2008-08-01 bis 2008-09-01  ))))))))))))))))))))))))))))))

.
 

2008-09-01 15:41 . 2008-09-01 15:41        <DIR>        d--------        C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Malwarebytes

2008-09-01 15:41 . 2008-09-01 15:41        <DIR>        d--------        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes

2008-09-01 15:41 . 2008-08-17 15:01        38,472        --a------        C:\WINDOWS\system32\drivers\mbamswissarmy.sys

2008-09-01 15:41 . 2008-08-17 15:01        17,144        --a------        C:\WINDOWS\system32\drivers\mbam.sys

2008-09-01 14:21 . 2008-09-01 14:21        <DIR>        d--------        C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\SUPERAntiSpyware.com

2008-09-01 14:21 . 2008-09-01 14:21        <DIR>        d--------        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com

2008-08-30 23:30 . 2008-08-30 23:35        3,070        --a------        C:\WINDOWS\system32\tmp.reg

2008-08-30 23:29 . 2008-08-30 23:36        <DIR>        d--------        C:\Dokumente und Einstellungen\Niki\SmitfraudFix

2008-08-30 23:29 . 2007-09-06 00:22        289,144        --a------        C:\WINDOWS\system32\VCCLSID.exe

2008-08-30 23:29 . 2006-04-27 17:49        288,417        --a------        C:\WINDOWS\system32\SrchSTS.exe

2008-08-30 23:29 . 2008-08-26 20:19        88,576        --a------        C:\WINDOWS\system32\AntiXPVSTFix.exe

2008-08-30 23:29 . 2008-08-27 15:17        87,040        --a------        C:\WINDOWS\system32\VACFix.exe

2008-08-30 23:29 . 2008-05-18 21:40        82,944        --a------        C:\WINDOWS\system32\IEDFix.exe

2008-08-30 23:29 . 2008-08-28 22:36        82,432        --a------        C:\WINDOWS\system32\IEDFix.C.exe

2008-08-30 23:29 . 2008-08-18 12:19        82,432        --a------        C:\WINDOWS\system32\404Fix.exe

2008-08-30 23:29 . 2003-06-05 21:13        53,248        --a------        C:\WINDOWS\system32\Process.exe

2008-08-30 23:29 . 2004-07-31 18:50        51,200        --a------        C:\WINDOWS\system32\dumphive.exe

2008-08-30 23:29 . 2007-10-04 00:36        25,600        --a------        C:\WINDOWS\system32\WS2Fix.exe

2008-08-24 02:23 . 2008-08-24 02:23        <DIR>        d--------        C:\Dokumente und Einstellungen\Niki\LocalLow

2008-08-24 02:23 . 2008-08-24 02:23        <DIR>        d--------        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TVU Networks

2008-08-14 22:18 . 2008-08-14 22:18        286,720        --a------        C:\WINDOWS\system32\omieoaq.exe.ren

2008-08-14 22:18 . 2008-08-24 15:14        235,539        --a------        C:\WINDOWS\system32\omieoaq_nav.dat.ren

2008-08-14 22:18 . 2008-09-01 21:54        5,133        --a------        C:\WINDOWS\system32\omieoaq.dat.ren

2008-08-14 22:18 . 2007-11-24 16:58        1,857        --a------        C:\WINDOWS\system32\omieoaq_navps.dat.ren

2008-08-14 12:33 . 2008-05-01 16:30        331,776        -----c---        C:\WINDOWS\system32\dllcache\msadce.dll

2008-08-14 11:30 . 2008-06-14 19:57        273,024        -----c---        C:\WINDOWS\system32\dllcache\bthport.sys

2008-08-08 21:56 . 2008-08-08 21:56        <DIR>        d--------        C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Bitdefender

16508-06-02 00:12 . 2008-05-12 10:49        593,920        ---------        C:\WINDOWS\system32\ati2sgag.exe

16508-06-02 00:11 . 16508-06-02 00:11        <DIR>        d--------        C:\ATI
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-09-01 19:56        ---------        d-----w        C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Azureus

2008-09-01 12:21        ---------        d-----w        C:\Programme\Gemeinsame Dateien\Wise Installation Wizard

2008-08-30 22:00        ---------        d-----w        C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\temp

2008-08-09 10:30        ---------        d-----w        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

2008-08-08 20:36        ---------        d-----w        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lavasoft

2008-08-08 19:49        ---------        d-----w        C:\Programme\Gemeinsame Dateien\Softwin

2008-08-08 19:49        ---------        d-----w        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BitDefender

2008-07-31 20:19        ---------        d-----w        C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\dvdcss

2008-07-27 16:55        ---------        d--h--w        C:\Programme\InstallShield Installation Information

2008-07-10 15:46        ---------        d-----w        C:\Programme\Java

2008-07-02 20:11        ---------        d-----w        C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\ICQ

2008-07-01 16:55        ---------        d-----w        C:\Programme\ICQ6Toolbar

2008-07-01 16:55        ---------        d-----w        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ICQ

2008-01-23 14:23        18,480        ----a-w        C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\GDIPFONTCACHEV1.DAT

2006-05-03 10:06        163,328        --sh--r        C:\WINDOWS\system32\flvDX.dll

2007-02-21 11:47        31,232        --sh--r        C:\WINDOWS\system32\msfDX.dll

2007-12-17 13:43        27,648        --sh--w        C:\WINDOWS\system32\Smab0.dll

2008-02-04 19:26        151,040        --sh--w        C:\WINDOWS\system32\VistaUltm.dll

.
 

((((((((((((((((((((((((((((   Autostart Punkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 01:57 15360]

"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" [2005-09-03 16:18 94208]

"Rainlendar2"="D:\Programme\Rainlendar2\Rainlendar2.exe" [2007-07-24 09:12 1298432]

"AlcoholAutomount"="D:\Programme\Alcohol 120\axcmd.exe" [2008-04-07 17:30 4608]

"SUPERAntiSpyware"="D:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2008-08-19 23:34 1576176]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SoundMAXPnP"="C:\Programme\Analog Devices\Core\smax4pnp.exe" [2005-05-20 03:11 925696]

"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 04:27 144784]

"EPSON Stylus Photo RX420 Series"="C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE" [2004-04-09 05:00 98304]

"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2007-04-27 09:41 282624]

"StartCCC"="C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 12:17 61440]

"BDMCon"="D:\Programme\Softwin\BitDefender10\bdmcon.exe" [2007-04-02 16:48 290816]

"BDAgent"="D:\Programme\Softwin\BitDefender10\bdagent.exe" [2007-03-26 15:49 69632]

"DAEMON Tools"="D:\Programme\DAEMON Tools\daemon.exe" [2006-09-14 22:09 157592]

"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-04 01:58 110592 C:\WINDOWS\system32\bthprops.cpl]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 01:57 15360]
 

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]

"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "D:\Programme\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 10:13 77824]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]

2008-07-23 16:28 352256 D:\Programme\SUPERAntiSpyware\SASWINLO.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=sockspy.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"vidc.I420"= i420vfw.dll

"vidc.3iv2"= 3ivxVfWCodec.dll

"VIDC.HFYU"= huffyuv.dll

"VIDC.VP31"= vp31vfw.dll

"vidc.yv12"= yv12vfw.dll
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]

SecurityProviders        msapsspc.dllschannel.dlldigest.dllmsnsspc.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools]

--a------ 2006-09-14 22:09 157592 D:\Programme\DAEMON Tools\daemon.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

--a------ 2001-07-09 12:50 155648 C:\WINDOWS\system32\NeroCheck.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

--a------ 2007-04-27 09:41 282624 C:\Programme\QuickTime\qttask.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RaidTool]

-ra------ 2005-11-23 04:12 1060864 C:\Programme\VIA\RAID\raid_tool.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]

-rahs---- 2008-08-18 18:41 1832272 D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]

--a------ 2008-08-04 01:02 36352 D:\Programme\Winamp\winampa.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\High Definition Audio Property Page Shortcut]

--------- 2004-10-27 16:21 61952 C:\WINDOWS\system32\HdAShCut.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]

"wuauserv"=2 (0x2)

"LiveUpdate"=3 (0x3)

"LIVESRV"=2 (0x2)

"helpsvc"=2 (0x2)

"Automatisches LiveUpdate - Scheduler"=2 (0x2)
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]

"DisableMonitoring"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"D:\\Programme\\Azureus\\Azureus.exe"=

"D:\\Programme\\SopCast\\SopCast.exe"=

"D:\\Programme\\TVUPlayer\\TVUPlayer.exe"=

"D:\\Programme\\TVAnts\\Tvants.exe"=

"C:\\Programme\\QIP\\qip.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"C:\\Programme\\Windows Media Player\\wmplayer.exe"=

"D:\\Programme\\SopCast\\adv\\SopAdver.exe"=

"C:\\Programme\\VideoLAN\\VLC\\vlc.exe"=

"D:\\Programme\\Zattoo\\Zattoo2.exe"=

"D:\\Programme\\Zattoo\\Zattoo.exe"=

"D:\\Programme\\Zattoo\\zattood.exe"=

"D:\\Programme\\ICQ6\\ICQ.exe"=

"C:\\Programme\\Java\\jre1.6.0_05\\bin\\java.exe"=

"C:\\Programme\\Java\\jre1.6.0_07\\bin\\java.exe"=

"C:\\Programme\\Java\\jre1.6.0_07\\launch4j-tmp\\JDownloader.exe"=

"C:\\WINDOWS\\system32\\java.exe"=

"C:\\Programme\\Java\\jre1.6.0_07\\bin\\javaw.exe"=

"D:\\Programme\\Mozilla Firefox\\firefox.exe"=
 

R3 RTLWUSB;NETGEAR WG111v2 54Mbps Wireless USB 2.0 Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\wg111v2.sys [2006-03-27 18:53]

S4 Automatisches LiveUpdate - Scheduler;Automatisches LiveUpdate - Scheduler;C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe [2006-09-08 15:47]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{27d7c760-6600-11dd-ab33-00184db76451}]

\Shell\AutoRun\command - G:\Autorun.exe
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b7bca40a-04bd-11dd-aa1a-00184db76451}]

\Shell\AutoRun\command - I:\Autorun.exe

.

Inhalt des "geplante Tasks" Ordners

.

- - - - Entfernte verwaiste Registrierungseintr„ge - - - -
 

HKLM-Run-omieoaq - c:\windows\system32\omieoaq.exe

MSConfigStartUp-BDAgent - C:\Programme\Softwin\BitDefender10\bdagent.exe

MSConfigStartUp-BDMCon - C:\Programme\Softwin\BitDefender10\bdmcon.exe

MSConfigStartUp-ICQ Lite - D:\Programme\ICQLite\ICQLite.exe
 
 

.

------- Zus„tzlicher Scan -------

.

FireFox -: Profile - C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Mozilla\Firefox\Profiles\pc4lo1ku.default\

FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.spiegel.de

FF -: plugin - C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Mozilla\Firefox\Profiles\pc4lo1ku.default\extensions\firefox@tvunetworks.com\plugins\npTVUAx.dll

FF -: plugin - C:\Programme\DivX\DivX Content Uploader\npUpload.dll

FF -: plugin - d:\programme\Acrobat Reader 5.0\Reader\browser\nppdf32.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\np-mswmp.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\np32dsw.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\npdivx32.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\npdrmv2.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\npdsplay.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\npnul32.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\nppl3260.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\nprjplug.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\nprpjplug.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\NPTURNMED.dll

FF -: plugin - D:\Programme\Mozilla Firefox\plugins\npwmsdrm.dll

.
 

**************************************************************************
 

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-09-01 22:13:28

Windows 5.1.2600 Service Pack 2 NTFS
 

Scanne versteckte Prozesse...
 

Scanne versteckte Autostart Eintr„ge...
 

Scanne versteckte Dateien...
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************
 

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\vsdatant]

"ImagePath"=""

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

Prozess: C:\WINDOWS\system32\winlogon.exe

-> C:\WINDOWS\system32\RtlGina2.dll
 

Prozess: C:\WINDOWS\explorer.exe

-> D:\Programme\ObjectDock\DockShellHook.dll

.

------------------------ Weitere, laufende Prozesse ------------------------

.

C:\WINDOWS\system32\ati2evxx.exe

D:\Programme\Ad-Aware\aawservice.exe

D:\Programme\Alcohol 120\StarWind\StarWindServiceAE.exe

C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe

C:\WINDOWS\system32\ati2evxx.exe

D:\Programme\Softwin\BitDefender10\vsserv.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

C:\WINDOWS\system32\rundll32.exe

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

D:\Programme\ObjectDock\ObjectDock.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2008-09-01 22:17:15 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2008-09-01 20:17:04
 

Pre-Run: 2,544,816,128 Bytes frei

Post-Run: 2,466,885,632 Bytes frei
 

261        --- E O F ---        2008-08-21 09:28:22

Ach du Schande. Und das wolltest du uns vorenthalten? Sind alle Blacklight Funde ohne Probleme umbenannt worden?

Bitte lade Dir Navilog1 von IL-MAFIOSO herunter.

Führe die Datei navilog1.exe aus, eine Installationsroutine wird beginnen.
Sollte das Programm nach Abschluß der Installation nicht automatisch gestartet werden, führe es bitte per
Doppelklick auf das Navilog1-Shortcut auf deinem Desktop aus.
Wähle E für Englisch im Sprachenmenü
Wähle 1 im nächsten Menü um "Suche" auszuwählen. Bestätige mit Enter.
Die Dauer des Scans kann variieren, bitte abwarten. Wenn du aufgefordert wirst, eine Taste zu drücken, tue dies bitte.
Ein neues Dokument sollte erstellt und geöffnet werden: fixnavi.txt.
Bitte füge den Inhalt dieser Datei in deine nächste Antwort ein.

Der Bericht wird außerdem im Hauptverzeichnis (z.B.: "C:\") erstellt.

Hinweis:
Navilog1.exe wir von einigen Antivirenprogrammen als bösartig erkannt. Dies ist ein Fehlalarm. Die Nachricht bitte ignorieren.

Zitat:

Zitat von undoreal (Beitrag 367950)

Sind alle Blacklight Funde ohne Probleme umbenannt worden?

Ich denke schon. Es kam zumindest keine Fehlermeldung und ich konnte auch sonst keine Anzeichen entdecken, das dies nicht der Fall sei.

Hier ist Log vom Navilog1:

Code:

Search Navipromo version 3.6.5 began on 01.09.2008 at 23:51:02,57
 

!!! Warning, this report may include legitimate files/programs !!!

!!! Post this report on the forum you are being helped !!!

!!! Don't continue with removal unless instructed by an authorized helper !!!

Fix running from C:\Programme\navilog1

Actual User Account : "Niki" 
 

Updated on 22.08.2008 at 17h30 by IL-MAFIOSO
 
 

Microsoft Windows XP [Version 5.1.2600]

Version Internet Explorer : 7.0.5730.13

Filesystem type : NTFS
 

Search done in normal mode
 

*** Searching for installed Software ***
 
 

*** Search folders in "C:\WINDOWS" ***
 
 

*** Search folders in "C:\Programme" ***
 
 

*** Search folders in "C:\Dokumente und Einstellungen\All Users\startm~1\progra~1" ***
 
 

*** Search folders in "C:\Dokumente und Einstellungen\All Users\startm~1" ***
 
 

*** Search folders in "c:\dokume~1\alluse~1\anwend~1" ***
 
 

*** Search folders in "C:\Dokumente und Einstellungen\Niki\anwend~1" *** 
 
 

*** Search folders in "C:\Dokumente und Einstellungen\Niki\lokale~1\anwend~1" *** 
 
 

*** Search folders in "C:\Dokumente und Einstellungen\Niki\startm~1\progra~1" *** 
 
 

*** Search with Catchme-rootkit/stealth malware detector by gmer ***

for more info : http://www.gmer.net
 
 
 

*** Search with GenericNaviSearch ***

!!! Possibility of legitimate files in the result !!!

!!! Must always be checked before manually deleting !!!
 

* Scan in "C:\WINDOWS\system32" *
 

* Scan in "C:\Dokumente und Einstellungen\Niki\lokale~1\anwend~1" * 
 
 
 

*** Search files *** 
 
 
 

*** Search specific Registry keys ***
 
 

*** Complementary Search ***

(Search specific files)
 

1)Search new Instant Access files :
 
 

2)Heuristic Search :
 

* In "C:\WINDOWS\system32" :
 
 

* In "C:\Dokumente und Einstellungen\Niki\lokale~1\anwend~1" : 
 
 

3)Certificates Search :
 

Egroup certificate not found !

Electronic-Group certificate found !

Montorgueil certificate not found !

OOO-Favorit certificate found !

Sunny-Day-Design-Ltd certificate not found !
 

4)Search known files :
 
 
 

*** Search completed on 01.09.2008 at 23:58:07,09 ***

Folge bitte dieser Anleitung und poste alle logs.

Und suche wie in meiner Signatur beschrieben wird nach: omieoaq
Lösche alle Funde.

Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

CureIT Dr.Web

Downloade Dr.Web CureIt!
Speichere es auf deinem Desktop.
Entpacke es in einen eigenen Ordner.
Lies nun zuerst die deutsche Anleitung und drucke sie dir aus.

Lass alle Malware in den Quarantaene Ordner verschieben.
Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.

Speichere das Logfile - siehe Anleitung - und poste es.

Erstellung eines Hijacklog

-Hier gibt es das Tool -> HijackThis
-Speichere es in einem eigenen Ordner! (z.B.: c:\Hijackthis\)
-Suche die Datei HiJackThis.exe und benenne sie um in 'This.com'
(Klick rechte Maustaste -> umbenennen)
-Starte nun mit Doppelklick auf This.com
-Klicke auf den rot markierten Button Do a system scan and save a log file
-Nach dem Scan öffnet sich ein Editor Fenster, kopiere nun dieses Logfile ab und füge es in deinen Beitrag im Forum mit ein)
- Wichtig: Durchsuche das Log-File nach persönlichen Informationen, wie z.B. deinen Realname, und editiere diese, bevor Du es postest.
- Alle Links im Log-File sollten wie folgt editiert werden -> z.B. h**p://meine-seite.de. Einfach, damit niemand auf die Idee kommt, auf die Links zu klicken.

Eine bebilderte Anleitung findet sich in unserem FAQ-Bereich: HJT-Anleitung

Zitat:

Zitat von undoreal (Beitrag 367979)

Folge bitte dieser Anleitung und poste alle logs.

Bei den RootKits hatte ich mehrere Probleme beim Runterladen der Dateien.

1. Ist beim AVG das AVG Antivirus das richtige, weil der Link bringt mich nicht direkt zu .exe Datei. Also ist Hier das linke das richtige?
2. Beim Bitdefender ist der Link zum Bitdefender Antirootkit-ß down.

Vielen Dank im voraus
Gruß Niki

AVG Anti-Rootkit

Bitdefender gibt es momentan scheinbar nicht mehr...

Rootkit Revealer:

Code:

HKU\.DEFAULT\Control Panel\International        01.09.2008 22:17        0 bytes        Security mismatch.

HKU\.DEFAULT\Control Panel\International\Geo        01.09.2008 22:17        0 bytes        Security mismatch.

HKU\S-1-5-21-1202660629-1580436667-725345543-1003\Control Panel\International        01.09.2008 22:17        0 bytes        Security mismatch.

HKU\S-1-5-21-1202660629-1580436667-725345543-1003\Control Panel\International\Geo        01.09.2008 22:17        0 bytes        Security mismatch.

HKU\S-1-5-21-1202660629-1580436667-725345543-1003\Software\SecuROM\!CAUTION! NEVER DELETE OR CHANGE ANY KEY*        05.06.2007 21:14        0 bytes        Key name contains embedded nulls (*)

HKU\S-1-5-18\Control Panel\International        01.09.2008 22:17        0 bytes        Security mismatch.

HKU\S-1-5-18\Control Panel\International\Geo        01.09.2008 22:17        0 bytes        Security mismatch.

HKLM\SECURITY\Policy\Secrets\SAC*        10.12.2006 15:02        0 bytes        Key name contains embedded nulls (*)

HKLM\SECURITY\Policy\Secrets\SAI*        10.12.2006 15:03        0 bytes        Key name contains embedded nulls (*)

HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg        07.04.2008 17:29        0 bytes        Access is denied.

C:\ ATI        01.01.1601 09:30        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\ATI        02.06.16508 00:11        0 bytes        Hidden from Windows API.

C:\ATI\ .        17.09.1620 11:34        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\ATI\ ..        01.01.1601 09:30        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Microsoft\CryptnetUrlCache\Content\ 3C83474D61E624A4F9844DF935AFE217        01.01.1601 05:49        569 bytes        Visible in Windows API, but not in MFT or directory index.

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Microsoft\CryptnetUrlCache\Content\3C83474D61E624A4F9844DF935AFE217        02.06.16508 00:12        569 bytes        Hidden from Windows API.

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Microsoft\CryptnetUrlCache\MetaData\ 3C83474D61E624A4F9844DF935AFE217        01.01.1601 09:30        142 bytes        Visible in Windows API, but not in MFT or directory index.

C:\Dokumente und Einstellungen\Niki\Anwendungsdaten\Microsoft\CryptnetUrlCache\MetaData\3C83474D61E624A4F9844DF935AFE217        02.06.16508 00:12        142 bytes        Hidden from Windows API.

C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.dll        24.04.2008 19:11        252.00 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.Wrapper.dll        24.04.2008 19:11        111.00 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\assembly\GAC_MSIL\IEExecRemote\2.0.0.0__b03f5f7f11d50a3a\IEExecRemote.dll        24.04.2008 19:11        8.00 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\inf\ fdc.PNF        01.01.1601 09:30        7.77 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\inf\ flpydisk.PNF        01.01.1601 09:30        8.30 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\inf\ msdv.PNF        01.01.1601 05:49        38.13 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\inf\ oem7.PNF        15.11.1620 11:00        362.16 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\inf\fdc.PNF        02.06.16508 00:02        7.77 KB        Hidden from Windows API.

C:\WINDOWS\inf\flpydisk.PNF        02.06.16508 00:02        8.30 KB        Hidden from Windows API.

C:\WINDOWS\inf\msdv.PNF        02.06.16508 00:12        38.13 KB        Hidden from Windows API.

C:\WINDOWS\inf\oem7.PNF        02.06.16508 00:12        362.16 KB        Hidden from Windows API.

C:\WINDOWS\PCHEALTH\ ERRORREP        01.01.1601 09:30        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\PCHEALTH\ERRORREP        02.06.16508 00:02        0 bytes        Hidden from Windows API.

C:\WINDOWS\PCHEALTH\ERRORREP\ .        01.01.1601 09:30        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\PCHEALTH\ERRORREP\ ..        01.01.1601 09:30        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\PCHEALTH\ERRORREP\ UserDumps        01.01.1601 09:30        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\PCHEALTH\ERRORREP\UserDumps        02.06.16508 00:03        0 bytes        Hidden from Windows API.

C:\WINDOWS\PCHEALTH\ERRORREP\UserDumps\ .        01.01.1601 09:30        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\PCHEALTH\ERRORREP\UserDumps\ ..        01.01.1601 09:30        0 bytes        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\Prefetch\ IKERNEL.EXE-1ED7DD43.pf        15.11.1620 11:00        64.25 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\Prefetch\ NMINDEXSTORESVR.EXE-28939A55.pf        17.09.1620 06:48        31.79 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\Prefetch\ OSA.EXE-2A196FE2.pf        17.09.1620 06:48        15.61 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\Prefetch\ REGSVR32.EXE-396DEA2C.pf        17.09.1620 06:48        32.38 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\Prefetch\ VERCLSID.EXE-28F52AD2.pf        01.01.1601 09:30        16.15 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\Prefetch\ WSCNTFY.EXE-0B14C27D.pf        01.01.1601 09:30        7.49 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\Prefetch\IKERNEL.EXE-1ED7DD43.pf        02.06.16508 00:12        64.25 KB        Hidden from Windows API.

C:\WINDOWS\Prefetch\NMINDEXSTORESVR.EXE-28939A55.pf        02.06.16508 00:04        31.79 KB        Hidden from Windows API.

C:\WINDOWS\Prefetch\OSA.EXE-2A196FE2.pf        02.06.16508 00:04        15.61 KB        Hidden from Windows API.

C:\WINDOWS\Prefetch\REGSVR32.EXE-396DEA2C.pf        02.06.16508 00:10        32.38 KB        Hidden from Windows API.

C:\WINDOWS\Prefetch\VERCLSID.EXE-28F52AD2.pf        02.06.16508 00:09        16.15 KB        Hidden from Windows API.

C:\WINDOWS\Prefetch\WSCNTFY.EXE-0B14C27D.pf        02.06.16508 00:13        7.49 KB        Hidden from Windows API.

C:\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\ bfeee528-c675-4290-b264-544e8b0d9e54        01.01.1601 09:30        388 bytes        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\bfeee528-c675-4290-b264-544e8b0d9e54        02.06.16508 00:02        388 bytes        Hidden from Windows API.

C:\WINDOWS\system32\ReinstallBackups\0000\DriverFiles\ CX_48640.PNF        01.01.1601 09:30        362.16 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\system32\ReinstallBackups\0000\DriverFiles\CX_48640.PNF        02.06.16508 00:12        362.16 KB        Hidden from Windows API.

C:\WINDOWS\system32\ReinstallBackups\0001\DriverFiles\ CX_48640.PNF        01.01.1601 09:30        362.16 KB        Visible in Windows API, but not in MFT or directory index.

C:\WINDOWS\system32\ReinstallBackups\0001\DriverFiles\CX_48640.PNF        02.06.16508 00:12        362.16 KB        Hidden from Windows API.

D:\Programme\Setupdateien\ 7-6_xp_dd_48640.exe        23.01.1622 02:11        14.22 MB        Visible in Windows API, but not in MFT or directory index.

D:\Programme\Setupdateien\7-6_xp_dd_48640.exe        02.06.16508 00:09        14.22 MB        Hidden from Windows API.

Blacklight:

Code:

09/02/08 12:34:15 [Info]: BlackLight Engine 1.0.70 initialized

09/02/08 12:34:15 [Info]: OS: 5.1 build 2600 (Service Pack 2)

09/02/08 12:34:15 [Note]: 7019 4

09/02/08 12:34:15 [Note]: 7005 0

09/02/08 12:34:17 [Note]: 7006 0

09/02/08 12:34:17 [Note]: 7011 1432

09/02/08 12:34:17 [Note]: 7035 0

09/02/08 12:34:18 [Note]: 7026 0

09/02/08 12:34:18 [Note]: 7026 0

09/02/08 12:34:19 [Note]: FSRAW library version 1.7.1024

09/02/08 12:53:23 [Note]: 7007 0

Sophos:

Code:

Sophos Anti-Rootkit Version 1.3.1 (data 1.08)  (c) 2006 Sophos Plc

Started logging on 02.09.2008 at 12:55:07

Stopped logging on 02.09.2008 at 12:58:04

GMER (muss ich auf 2 Posts verteilen):

Code:

GMER 1.0.14.14536 - http://www.gmer.net

Rootkit scan 2008-09-02 13:08:50

Windows 5.1.2600 Service Pack 2
 
 

---- System - GMER 1.0.14 ----
 

SSDT      sphp.sys                                                                                                   ZwCreateKey [0xF73DF0E0]

SSDT      sphp.sys                                                                                                   ZwEnumerateKey [0xF73FCCA2]

SSDT      sphp.sys                                                                                                   ZwEnumerateValueKey [0xF73FD030]

SSDT      sphp.sys                                                                                                   ZwOpenKey [0xF73DF0C0]

SSDT      sphp.sys                                                                                                   ZwQueryKey [0xF73FD108]

SSDT      sphp.sys                                                                                                   ZwQueryValueKey [0xF73FCF88]

SSDT      sphp.sys                                                                                                   ZwSetValueKey [0xF73FD19A]

SSDT      \??\D:\Programme\SUPERAntiSpyware\SASKUTIL.sys (SASKUTIL.SYS/SUPERAdBlocker.com and SUPERAntiSpyware.com)  ZwTerminateProcess [0xAE620F20]
 

INT 0x62  ?                                                                                                          8676DBF8

INT 0x73  ?                                                                                                          867DBBF8

INT 0x82  ?                                                                                                          8676DBF8

INT 0x84  ?                                                                                                          8612CF00

INT 0xA4  ?                                                                                                          8612CF00

INT 0xB1  ?                                                                                                          867DBBF8

INT 0xB1  ?                                                                                                          867DBBF8

INT 0xB4  ?

Code:

---- Kernel code sections - GMER 1.0.14 ----
 

?         sphp.sys                                                                                                   Das System kann die angegebene Datei nicht finden. !

.text     USBPORT.SYS!DllUnload                                                                                      F6A5A62C 5 Bytes  JMP 8612C4E0 

.text     ajhrlym4.SYS                                                                                               F6993384 1 Byte  [ 20 ]

.text     ajhrlym4.SYS                                                                                               F6993386 35 Bytes  [ 00, 68, 00, 00, 00, 00, 00, ... ]

.text     ajhrlym4.SYS                                                                                               F69933AA 24 Bytes  [ 00, 00, 20, 00, 00, E0, 00, ... ]

.text     ajhrlym4.SYS                                                                                               F69933C4 3 Bytes  [ 00, 00, 00 ]

.text     ajhrlym4.SYS                                                                                               F69933C9 1 Byte  [ 00 ]

.text     ...                                                                                                        

?         System32\Drivers\ab40i2zs.SYS                                                                              Das System kann die angegebene Datei nicht finden. !

?         C:\WINDOWS\system32\Drivers\RKREVEAL150.SYS                                                                Das System kann die angegebene Datei nicht finden. !

?         C:\WINDOWS\system32\EC.tmp                                                                                 Das System kann die angegebene Datei nicht finden. !
 

---- User code sections - GMER 1.0.14 ----
 

.text     C:\WINDOWS\system32\wscntfy.exe[1260] kernel32.dll!LoadLibraryA                                            7C801D77 5 Bytes  JMP 10003090 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] kernel32.dll!LoadLibraryA                                                    7C801D77 5 Bytes  JMP 10003090 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!sendto                                                            71A12C69 5 Bytes  JMP 10002D10 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!recvfrom                                                          71A12D0F 5 Bytes  JMP 10002CA0 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!bind                                                              71A13E00 5 Bytes  JMP 10003020 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!connect                                                           71A1406A 5 Bytes  JMP 10002DA0 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!send                                                              71A1428A 5 Bytes  JMP 10002AA0 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!gethostbyname                                                     71A14FD4 5 Bytes  JMP 10002D70 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!listen                                                            71A188D3 5 Bytes  JMP 10002A60 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!closesocket                                                       71A19639 5 Bytes  JMP 10003060 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\Explorer.EXE[1432] WS2_32.dll!accept                                                            71A21028 5 Bytes  JMP 10002F30 C:\WINDOWS\system32\sockspy.dll

.text     C:\Programme\Analog Devices\Core\smax4pnp.exe[2092] kernel32.dll!LoadLibraryA                              7C801D77 5 Bytes  JMP 00923090 C:\WINDOWS\system32\sockspy.dll

.text     C:\Programme\Java\jre1.6.0_07\bin\jusched.exe[2104] kernel32.dll!LoadLibraryA                              7C801D77 5 Bytes  JMP 10003090 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE[2132] kernel32.dll!LoadLibraryA                   7C801D77 5 Bytes  JMP 10003090 C:\WINDOWS\system32\sockspy.dll

.text     C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe[2192] KERNEL32.dll!LoadLibraryA                  7C801D77 5 Bytes  JMP 10003090 C:\WINDOWS\system32\sockspy.dll

.text     C:\WINDOWS\system32\rundll32.exe[2212] kernel32.dll!LoadLibraryA                                           7C801D77 5 Bytes  JMP 10003090 C:\WINDOWS\system32\sockspy.dll

.text     ...                                                                                                        

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!sendto                                           71A12C69 5 Bytes  JMP 10002D10 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!recvfrom                                         71A12D0F 5 Bytes  JMP 10002CA0 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!bind                                             71A13E00 5 Bytes  JMP 10003020 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!connect                                          71A1406A 5 Bytes  JMP 10002DA0 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!send                                             71A1428A 5 Bytes  JMP 10002AA0 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!gethostbyname                                    71A14FD4 5 Bytes  JMP 10002D70 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!listen                                           71A188D3 5 Bytes  JMP 10002A60 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!closesocket                                      71A19639 5 Bytes  JMP 10003060 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Rainlendar2\Rainlendar2.exe[2376] WS2_32.dll!accept                                           71A21028 5 Bytes  JMP 10002F30 C:\WINDOWS\system32\sockspy.dll

.text     C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe[2528] KERNEL32.dll!LoadLibraryA                  7C801D77 5 Bytes  JMP 10003090 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\ObjectDock\ObjectDock.exe[2584] kernel32.dll!LoadLibraryA                                     7C801D77 5 Bytes  JMP 00373090 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] kernel32.dll!LoadLibraryA                                   7C801D77 5 Bytes  JMP 10003090 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!sendto                                           71A12C69 5 Bytes  JMP 10002D10 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!recvfrom                                         71A12D0F 5 Bytes  JMP 10002CA0 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!bind                                             71A13E00 5 Bytes  JMP 10003020 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!connect                                          71A1406A 5 Bytes  JMP 10002DA0 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!send                                             71A1428A 5 Bytes  JMP 10002AA0 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!gethostbyname                                    71A14FD4 5 Bytes  JMP 10002D70 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!listen                                           71A188D3 5 Bytes  JMP 10002A60 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!closesocket                                      71A19639 5 Bytes  JMP 10003060 C:\WINDOWS\system32\sockspy.dll

.text     D:\Programme\Mozilla Firefox\firefox.exe[3712] WS2_32.dll!accept                                           71A21028 5 Bytes  JMP 10002F30 C:\WINDOWS\system32\sockspy.dll
 

---- Kernel IAT/EAT - GMER 1.0.14 ----
 

IAT       atapi.sys[HAL.dll!READ_PORT_UCHAR]                                                                         [F73E0040] sphp.sys

IAT       atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT]                                                                 [F73E013C] sphp.sys

IAT       atapi.sys[HAL.dll!READ_PORT_USHORT]                                                                        [F73E00BE] sphp.sys

IAT       atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                                                [F73E07FC] sphp.sys

IAT       atapi.sys[HAL.dll!WRITE_PORT_UCHAR]                                                                        [F73E06D2] sphp.sys

IAT       \SystemRoot\System32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                                         [F73EFD92] sphp.sys

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!KfAcquireSpinLock]                                       0A64D90F

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!READ_PORT_UCHAR]                                         046FD406

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!KeGetCurrentIrql]                                        1672C31D

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!KfRaiseIrql]                                             1879CE14

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!KfLowerIrql]                                             3248ED2B

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!HalGetInterruptVector]                                   3C43E022

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!HalTranslateBusAddress]                                  2E5EF739

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!KeStallExecutionProcessor]                               2055FA30

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!KfReleaseSpinLock]                                       EC01B79A

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!READ_PORT_BUFFER_USHORT]                                 E20ABA93

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!READ_PORT_USHORT]                                        F017AD88

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                FE1CA081

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[HAL.dll!WRITE_PORT_UCHAR]                                        D42D83BE

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[WMILIB.SYS!WmiSystemControl]                                     C83B99AC

IAT       \SystemRoot\System32\Drivers\ajhrlym4.SYS[WMILIB.SYS!WmiCompleteRequest]                                   C63094A5
 

---- Devices - GMER 1.0.14 ----
 

Device    \FileSystem\Ntfs \Ntfs                                                                                     867D71F8

Device    \Driver\usbuhci \Device\USBPDO-0                                                                           86183500

Device    \Driver\dmio \Device\DmControl\DmIoDaemon                                                                  867D91F8

Device    \Driver\dmio \Device\DmControl\DmConfig                                                                    867D91F8

Device    \Driver\dmio \Device\DmControl\DmPnP                                                                       867D91F8

Device    \Driver\dmio \Device\DmControl\DmInfo                                                                      867D91F8

Device    \Driver\usbuhci \Device\USBPDO-1                                                                           86183500

Device    \Driver\usbuhci \Device\USBPDO-2                                                                           86183500

Device    \Driver\usbuhci \Device\USBPDO-3                                                                           86183500

Device    \Driver\usbehci \Device\USBPDO-4                                                                           86180500

Device    \Driver\sptd \Device\3784307466                                                                            sphp.sys

Device    \Driver\Ftdisk \Device\HarddiskVolume1                                                                     8676E1F8

Device    \Driver\Ftdisk \Device\HarddiskVolume2                                                                     8676E1F8

Device    \Driver\Cdrom \Device\CdRom0                                                                               863051F8

Device    \Driver\Cdrom \Device\CdRom1                                                                               863051F8

Device    \Driver\atapi \Device\Ide\IdeDeviceP1T1L0-17                                                               8676D1F8

Device    \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-3                                                                8676D1F8

Device    \Driver\atapi \Device\Ide\IdePort0                                                                         8676D1F8

Device    \Driver\atapi \Device\Ide\IdePort1                                                                         8676D1F8

Device    \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-f                                                                8676D1F8

Device    \Driver\Cdrom \Device\CdRom2                                                                               863051F8

Device    \Driver\NetBT \Device\NetBt_Wins_Export                                                                    85D211F8

Device    \Driver\NetBT \Device\NetbiosSmb                                                                           85D211F8

Device    \Driver\PCI_PNP6216 \Device\0000004d                                                                       sphp.sys

Device    \Driver\PCI_PNP6216 \Device\0000004d                                                                       sphp.sys

Device    \Driver\PCI_PNP6216 \Device\0000004e                                                                       sphp.sys

Device    \Driver\PCI_PNP6216 \Device\0000004e                                                                       sphp.sys

Device    \Driver\usbuhci \Device\USBFDO-0                                                                           86183500

Device    \Driver\usbuhci \Device\USBFDO-1                                                                           86183500

Device    \FileSystem\MRxSmb \Device\LanmanDatagramReceiver                                                          85CD61F8

Device    \Driver\usbuhci \Device\USBFDO-2                                                                           86183500

Device    \FileSystem\MRxSmb \Device\LanmanRedirector                                                                85CD61F8

Device    \Driver\usbuhci \Device\USBFDO-3                                                                           86183500

Device    \Driver\usbehci \Device\USBFDO-4                                                                           86180500

Device    \Driver\Ftdisk \Device\FtControl                                                                           8676E1F8

Device    \Driver\ajhrlym4 \Device\Scsi\ajhrlym41                                                                    86168500

Device    \Driver\viamraid \Device\Scsi\viamraid1                                                                    867D81F8

Device    \Driver\ab40i2zs \Device\Scsi\ab40i2zs1Port3Path0Target0Lun0                                               8628C500

Device    \Driver\ab40i2zs \Device\Scsi\ab40i2zs1                                                                    8628C500

Device    \Driver\sptd \Device\3784151216                                                                            sphp.sys

Device    \FileSystem\Cdfs \Cdfs                                                                                     86148500
 

---- Registry - GMER 1.0.14 ----
 

Reg       HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0009dd50206b                                

Reg       HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0009dd50206b@001813a4e603                   0xB0 0x1E 0x51 0x73 ...

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1                                                         910824612

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2                                                         -185178309

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0                                                         2

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04                           

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0                        D:\Programme\Alcohol 120\

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0                        1

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew                     0xF7 0xC2 0xBD 0x23 ...

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001                  

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0               0x20 0x01 0x00 0x00 ...

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                           

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                        0

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                     0x3C 0x3D 0xE2 0xFD ...

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                        D:\Programme\DAEMON Tools\

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                  

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0               0x20 0x01 0x00 0x00 ...

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh            0xE6 0xCE 0x9C 0x71 ...

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40            

Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh      0x4D 0x71 0x92 0x07 ...

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                               

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                            D:\Programme\DAEMON Tools\

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                            0

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                         0x18 0x56 0x12 0xC7 ...

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                      

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                   0x20 0x01 0x00 0x00 ...

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                0xE6 0xCE 0x9C 0x71 ...

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                

Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh          0xF7 0x2D 0xAF 0x56 ...

Reg       HKLM\SYSTEM\ControlSet004\Services\BTHPORT\Parameters\Keys\0009dd50206b                                    

Reg       HKLM\SYSTEM\ControlSet004\Services\BTHPORT\Parameters\Keys\0009dd50206b@001813a4e603                       0xB0 0x1E 0x51 0x73 ...

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04                               

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0                            D:\Programme\Alcohol 120\

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0                            1

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew                         0xF7 0xC2 0xBD 0x23 ...

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001                      

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0                   0x20 0x01 0x00 0x00 ...

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                               

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                            0

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                         0x3C 0x3D 0xE2 0xFD ...

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                            D:\Programme\DAEMON Tools\

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                      

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                   0x20 0x01 0x00 0x00 ...

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                0xE6 0xCE 0x9C 0x71 ...

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                

Reg       HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh          0x4D 0x71 0x92 0x07 ...
 

---- EOF - GMER 1.0.14 ----

Also so ganz sauber ist der Rechner nicht. Ich würde dir raten ihn neuaufzsetzten...

Zitat:

Zitat von undoreal (Beitrag 368025)

Also so ganz sauber ist der Rechner nicht. Ich würde dir raten ihn neuaufzsetzten...

:( Ich poste die weiteren Logs trotzdem ma, wenn ich sie jetzt schon angefertigt habe:

AVG:

Code:

Path: C:\WINDOWS\System32\Drivers\awqznwwf.SYS        Description: Hidden driver filePath: C:\WINDOWS\System32\Drivers\awqznwwf.SYS        Description: Hidden driver file

TrendMicro:

Code:

+----------------------------------------------------

| Trend Micro RootkitBuster 

| Module version: 2.2.0.1014

+----------------------------------------------------
 
 

--== Dump Hidden MBR and Hidden File on C:\ ==--

No hidden files found.
 

--== Dump Hidden Registry Value on HKLM ==--

No hidden registry entries found.
 
 

--== Dump Hidden Process ==--

No hidden processes found.
 

--== Dump Hidden Driver ==--

No hidden drivers found.

Panda Anti-Rootkit:
Screenshot

Die AVG und Rootkit Revealer Funde machen mir Sorge...

Ist deine Eintscheidung: Weitermachen oder sicher neuaufsetzten?

Zitat:

Zitat von undoreal (Beitrag 368040)

Die AVG und Rootkit Revealer Funde machen mir Sorge...

Ist deine Eintscheidung: Weitermachen oder sicher neuaufsetzten?

Wenn du meinst Formatieren ist die bessere Lösung, dann mach ich das auch.

Ich hab 2 Partitionen, eine (C) fürs Windows und paar Programme und eine andere (D) für Filme, Musik, Spiele. Langt es dann wenn ich nur die C formatiere und des Windows neu aufsetzen oder muss ich beide Partitionen neu machen?

Gruß Niki

Weise Entscheidung! :daumenhoc

Bereinigung nach einer Kompromitierung

Lies dir bitte bevor du dich an die Arbeit machst folgende Anleitung ganz genau durch:

Neuaufsetzen des Systems mit abschließender Absicherung.

Wenn du diese Anleitung zum Neuaufsetzen nicht ganz genau befolgst ist das Neuaufsetzen sinnlos!

Alle Festplatten müssen komplett formatiert werden!

Daten solltest du am besten keine sichern.
Wenn du sehr wichtige, unersetzliche Dateien sichern möchtest so musst du dies nach strengen Kriterien tun:

a) Die Datei darf nicht ausführbar sein. Das heisst sie darf keine der hier aufgeführte Dateiendung haben. Beachte bitte, dass einige Schädlinge ihre Dateiendung tarnen. Abhilfe schafft hier eine vernünftige Ordneransicht.

b) Jede Datei sollte, bevor sie wieder auf den frischen Rechner gelangt mit MWAV/eScan durchsucht werden.

c) Auch wenn du die Punkte a) und b) ganz genau einhältst sind die Dateien nicht vertrauenswürdig!!
Schädlinge können auch nicht-ausführbare Dateien wie .mp3 .doc usw. infizieren!! Und MWAV findet nur einen Bruchteil aller infizierten Dateien!

Nachdem du neuaufgesetzt hast musst du unbedingt alle Passwörter und Zugangsaccounts ändern!!!

Okay, dann möchte ich mich ausdrücklich für die herzliche und vor allem effektive Unterstützung bis hier hin bedanken.
Ich finde es echt toll, dass es so ein Forum gibt, wo einem so gut geholfen wird. Chapeau. :dankeschoen: