Trojaner-Board - Taskmanager wird immer wieder deaktiviert

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Taskmanager wird immer wieder deaktiviert (https://www.trojaner-board.de/71838-taskmanager-immer-deaktiviert.html)

m00p	08.04.2009 14:47

Taskmanager wird immer wieder deaktiviert

Moin,
ich bin mittlerweile richtig sauer! Vor allem da ich vor 4 Tagen erst meinen rechner neu aufgesetzt hatte.
Wenn ich den TaskManager öffnen will kommt die Meldung das der Manager vom Administrator deaktiviert wurde. Der Administrator bin aber ich! Und ich habe den mit Sicherheit nicht deaktiviert. Im Übrigen kann ich auch nicht die regedit.exe ausführen gleiche Meldung.
Desweiteren blockiert jenes Programm, welches auch meinen TaskManager deaktiviert auch Sophos.
Ich habe schon verschiedene Methoden benutzt die alle nicht geholfen haben:

- DisableTaskMgr.reg auf 0 stellen bzw löschen -nicht geholfen-

Hat sich danach sofort wieder umgestellt bzw. neu generiert.
- AdAware Scan: Hat die Stellen zwar laut Programm behoben und weiter nur ein paar Tracking Cookies gefunden aber die Einträge haben sich trotzdem neu registriert. (Logfile hab ich nicht gespeichert. )
-gpedit.msc: dort die STRG+ALT+Entf Option - TaskManager sperren habe ich auf deaktiviert stehen aber es nützt trotzdem nichts.
- alle Probleme bleiben auch nach einem Neustart bestehen.

Wenn ich Hijackthis runterladen will blockiert Sophos es und spuckt eine Meldung mit Mal/behav-067 und danach kommt eine Fehlermeldung das ich die Ordneroptionen umändern müsste.

Ich weiß echt nicht mehr weiter... PC neu aufsetzen will ich nicht! Hatte schon genug streß mit... vielleicht könnt ihr mir ja helfen.

Auch habe ich ein Problem mit meinem Grafikkartentreiber:
Nach installation werde ich aufgefordert den PC neu zu starten nach dem Windows Pro Ladebalken springt der Monitor in den Standby Modus und nach ca. 30 Sekunden startet der PC wieder neu. In dieser Situation kann ich nichts machen außerden PC vorher schon auszuschalten.

grandnic11

08.04.2009 15:04

Hat sich auch dein Desktop Hintergrund geändert und lässt sich nicht wieder ändern? Ich glaube du hast SpySherrif oder Winhound oder etwas in der Art.

Hurrican

08.04.2009 15:11

Start --> Ausführen --> msconfig
Alle Autostarts Deaktivieren (merken was Aktiviert ist ums später rückgänig zu machen). Sophos Echtzeitschutzt Deaktivieren.
Unter msconfig -> Dienste -> Microsoft dienste Ausblenden -> Alles von Sophos deaktivieren.
Wir machen das Später rückgängig, nur das die Scanns laufen.

Neustarten.
1. HiJackThis von hier runterladen
Wenn es geklappt hat (oder auch nicht)
http://www.trojaner-board.de/51187-a...i-malware.html

http://www.trojaner-board.de/51871-a...tispyware.html

Danach nochmal versuchen HiJackThis runterladen.
Klappts nicht dann das hier:
http://virus-protect.org/artikel/tools/random.html

john.doe

08.04.2009 16:19

Hallo und :hallo:

Zitat:

Vor allem da ich vor 4 Tagen erst meinen rechner neu aufgesetzt hatte.

Dann solltest du den Verursacher finden. Neuinstallation ist schneller und sicherer als Reinigung, in deinem Fall könnte allerdings ein externer Datenträger die Ursache sein.

GMER - Rootkit Detection

Lade Trallala von file-upload.net
Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
Doppelklick auf Trallala.exe
Der Reiter Rootkit oben ist schon angewählt

http://saved.im/mzaxndu2m2ni_vs/gmerzj1oo1.jpg

Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
nach Beendigung des Scan, drücke "Copy"
nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
Sollte Gmer sagen "Gmer hasen´t found any System Modifikation", so hat Gmer keine Einträge gefunden.

ciao, andreas

m00p	08.04.2009 20:32

Danke erstmal für die schnellen Antworten.

@grandnic11: Nein, mein Desktop hat sich nicht verändert, ich kann ihn nach belieben ändern.

Hab in der zwischenzeit ein AdAware Scan gemacht

http://nopaste.biz/72030 <-- AdAware log

Zitat:

GMER 1.0.15.14966 - http://www.gmer.net
Rootkit scan 2009-04-08 21:30:34
Windows 5.1.2600 Service Pack 3

---- Kernel code sections - GMER 1.0.15 ----

? C:\WINDOWS\system32\drivers\ejunpl.sys Das System kann die angegebene Datei nicht finden. !

---- Devices - GMER 1.0.15 ----

AttachedDevice \FileSystem\Ntfs \Ntfs savonaccessfilter.sys (SAV On-access for Windows XP (x86)/Sophos plc)
AttachedDevice \FileSystem\Fastfat \Fat savonaccessfilter.sys (SAV On-access for Windows XP (x86)/Sophos plc)

---- Files - GMER 1.0.15 ----

File C:\WINDOWS\system32\wbem\Logs\wbemcore.log (size mismatch) 2852/3036 bytes

---- EOF - GMER 1.0.15 ----

@hurrican. deine methode werde ich sofort ausführen.

EDIT: Hat geklappt. Hab ein Log erstellt, soll ich die beiden Anleitung trotzdem durchführen?

HiJackThis log

Zitat:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:38:40, on 08.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\SyncroSoft\Pos\H2O\cledx.exe
C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe
C:\Programme\Razer\Copperhead\razerhid.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\System32\TUProgSt.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programme\Razer\Copperhead\razertra.exe
C:\Programme\Razer\Copperhead\razerofa.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.********.de
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O4 - HKLM\..\Run: [nTrayFw] C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [H2O] C:\Programme\SyncroSoft\Pos\H2O\cledx.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [ISUSPM] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKLM\..\Run: [razer] C:\Programme\Razer\Copperhead\razerhid.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Programme\Sophos\AutoUpdate\ALMon.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

--
End of file - 5639 bytes

@john.doe: ja, mein Bruder hatte einen USB Stick bei mir angeschlossen den er vorher an einem Virenverseuchten Rechner in der Schule hatte. An seinem PC ist das gleiche Problem... beim Laptop wo Vista drauf läuft ist das nicht so, es scheint also nur XP anzugreifen

john.doe

08.04.2009 20:41

Falls du noch irgendetwas hast, dass du mit dem Computer verbindest, wie Handy, Kamera, Memorysticks, Speicherkarten, externe Laufwerke, ..., dann stecke alles an.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

m00p	08.04.2009 21:18

ich würde ja gerne mein system mit dem ccleaner bereinigen aber immer dann wenn ich die .exe öffne erscheint das fenster für einen Augenblick und schließt sich danach wieder.

john.doe

08.04.2009 21:20

Dann benutze die windowseigene Methode:

Start => Ausführen => cleanmgr (eintippeln) => OK

Alle Haken, bis auf den letzten setzen => OK

ciao, andreas

m00p	08.04.2009 21:46

Zitat:

ComboFix 09-04-04.01 - Jan-Hendrik 2009-04-08 22:34:07.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.1031.18.2047.1687 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Jan-Hendrik\Desktop\ComboFix.exe
AV: Sophos Anti-Virus *On-access scanning enabled* (Outdated)
FW: NVIDIA Firewall *disabled*
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\programme\INSTALL.LOG
H:\Autorun.inf
I:\autorun.inf
I:\mkisw.pif

.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_DAC970NT
-------\Service_dac970nt

((((((((((((((((((((((( Dateien erstellt von 2009-03-08 bis 2009-04-08 ))))))))))))))))))))))))))))))
.

2009-04-08 21:38 . 2009-04-08 21:38 <DIR> d-------- c:\programme\Trend Micro
2009-04-08 17:11 . 2009-04-08 17:11 <DIR> d-------- c:\programme\Lavasoft
2009-04-08 17:10 . 2009-04-08 22:14 <DIR> d-------- c:\programme\CCleaner
2009-04-08 13:48 . 2009-04-08 13:48 <DIR> d-------- c:\windows\system32\KB905474
2009-04-08 13:48 . 2009-04-08 13:48 <DIR> d-------- c:\programme\MSXML 4.0
2009-04-08 13:48 . 2009-03-10 22:26 1,436,544 --a------ c:\windows\system32\KB905474\wganotifypackageinner.exe
2009-04-08 13:48 . 2009-03-10 22:18 524,680 --a------ c:\windows\system32\KB905474\wgasetup.exe
2009-04-08 13:48 . 2009-02-09 18:51 15,772 --a------ c:\windows\system32\KB905474\wga_eula.txt
2009-04-08 13:10 . 2009-04-08 13:10 <DIR> d--h----- c:\windows\system32\GroupPolicy
2009-04-08 12:57 . 2009-04-08 12:57 <DIR> d-------- c:\programme\Razer
2009-04-08 12:57 . 2001-01-04 10:12 162,900 --------- c:\windows\system32\drivers\USBICP.sys
2009-04-08 12:57 . 2005-07-22 15:01 69,632 --a------ c:\windows\system32\razer.cpl
2009-04-08 12:57 . 2005-08-12 10:11 19,020 --a------ c:\windows\system32\drivers\Razerlow.sys
2009-04-08 12:26 . 2009-04-08 12:26 <DIR> d-------- c:\windows\system32\de-de
2009-04-08 12:26 . 2009-04-08 12:26 <DIR> d-------- c:\windows\system32\de
2009-04-08 12:26 . 2009-04-08 12:26 <DIR> d-------- c:\windows\system32\bits
2009-04-08 12:26 . 2009-04-08 12:26 <DIR> d-------- c:\windows\l2schemas
2009-04-08 12:25 . 2009-04-08 12:25 <DIR> d-------- c:\windows\ServicePackFiles
2009-04-08 00:56 . 2009-04-08 17:12 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Lavasoft
2009-04-08 00:24 . 2009-04-08 00:24 <DIR> d-------- c:\programme\TuneUp Utilities 2009
2009-04-08 00:24 . 2009-04-08 00:24 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\TuneUp Software
2009-04-08 00:24 . 2009-04-08 00:24 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software
2009-04-08 00:24 . 2009-04-08 00:24 <DIR> d--hs---- c:\dokumente und einstellungen\All Users\Anwendungsdaten\{55A29068-F2CE-456C-9148-C869879E2357}
2009-04-08 00:24 . 2009-04-08 00:24 604,416 --a------ c:\windows\system32\TUProgSt.exe
2009-04-08 00:24 . 2009-04-08 00:24 360,704 --a------ c:\windows\system32\TuneUpDefragService.exe
2009-04-08 00:24 . 2009-03-20 15:01 28,416 --a------ c:\windows\system32\uxtuneup.dll
2009-04-08 00:15 . 2009-04-08 00:15 <DIR> d-------- c:\programme\Sophos
2009-04-08 00:15 . 2009-04-08 00:15 <DIR> d-------- c:\programme\Gemeinsame Dateien\Cisco Systems
2009-04-08 00:15 . 2009-04-08 00:15 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Sophos
2009-04-08 00:15 . 2006-05-08 11:00 15,872 --a------ c:\windows\system32\SophosBootTasks.exe
2009-04-08 00:12 . 2009-04-08 00:12 <DIR> d-------- C:\savxpsa
2009-04-08 00:12 . 2006-01-05 16:43 80,128 --a------ c:\windows\system32\drivers\savonaccesscontrol.sys
2009-04-08 00:12 . 2006-01-05 16:43 24,064 --a------ c:\windows\system32\drivers\savonaccessfilter.sys
2009-04-07 19:28 . 2009-04-07 19:28 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\FLEXnet
2009-04-07 18:00 . 2009-04-07 18:00 <DIR> d-------- c:\programme\Bonjour
2009-04-07 17:56 . 2009-04-07 17:56 <DIR> d-------- c:\programme\Gemeinsame Dateien\Macrovision Shared
2009-04-07 17:50 . 2009-04-08 00:17 <DIR> d-------- c:\programme\Gemeinsame Dateien\Adobe
2009-04-07 17:16 . 2009-04-07 17:16 <DIR> d-------- c:\programme\FileZilla
2009-04-07 16:51 . 2002-07-08 00:14 1,294,336 --a------ c:\windows\system32\vorbis.acm
2009-04-07 16:51 . 2006-06-20 10:56 225,280 --a------ c:\windows\system32\rewire.dll
2009-04-07 16:50 . 2009-04-07 16:50 <DIR> d-------- c:\programme\Outsim
2009-04-07 16:50 . 2009-04-07 16:51 <DIR> d-------- c:\programme\Image-Line
2009-04-07 16:34 . 2009-04-07 16:34 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Steinberg
2009-04-07 16:29 . 2005-05-09 20:08 33,792 --a------ c:\windows\system32\drivers\cledx.sys
2009-04-07 16:24 . 2009-04-07 16:24 <DIR> d-------- c:\programme\Steinberg
2009-04-07 16:24 . 2009-04-07 16:24 <DIR> d-------- c:\programme\Pinnacle
2009-04-07 16:24 . 2004-07-12 16:27 487,936 --a------ c:\windows\system\Rmbe3260.dll
2009-04-07 16:24 . 2004-07-12 16:27 352,768 --a------ c:\windows\system\pngu3263.dll
2009-04-07 16:24 . 2004-07-12 16:27 273,408 --a------ c:\windows\system\Pncrt.dll
2009-04-07 16:24 . 2004-07-12 16:27 131,072 --a------ c:\windows\system\Pneng50.dll
2009-04-07 16:24 . 2004-07-12 16:27 130,560 --a------ c:\windows\system\Pnc3250.dll
2009-04-07 16:24 . 2004-07-12 16:27 87,040 --a------ c:\windows\system\Ra32sipr.dll
2009-04-07 16:24 . 2004-07-12 16:27 85,504 --a------ c:\windows\system\Encdnet.dll
2009-04-07 16:24 . 2004-07-12 16:27 81,920 --a------ c:\windows\system\Ra3214_4.dll
2009-04-07 16:24 . 2004-07-12 16:27 72,704 --a------ c:\windows\system\Ra3228_8.dll
2009-04-07 16:24 . 2004-07-12 16:27 61,952 --a------ c:\windows\system\Decdnet.dll
2009-04-07 16:24 . 2004-07-12 16:27 21,504 --a------ c:\windows\system\Ra32dnet.dll
2009-04-07 16:22 . 2009-04-07 16:22 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Pinnacle
2009-04-07 16:22 . 2003-08-01 05:28 147,425 --a------ c:\windows\system32\SYNSOACC-Aide.chm
2009-04-07 16:22 . 2003-05-27 00:29 120,468 --a------ c:\windows\system32\SYNSOACC-Hilfe.chm
2009-04-07 16:22 . 2003-05-27 00:29 114,279 --a------ c:\windows\system32\SYNSOACC-Help.chm
2009-04-07 16:19 . 2009-04-07 16:19 <DIR> d-------- c:\programme\Realtek AC97
2009-04-07 15:42 . 2009-04-07 15:42 <DIR> d-------- c:\programme\Lavalys
2009-04-07 00:24 . 2009-04-07 15:52 169 --a------ c:\windows\RtlRack.ini
2009-04-07 00:23 . 2009-04-07 00:23 <DIR> d-------- c:\programme\Realtek Sound Manager
2009-04-07 00:23 . 2009-04-07 00:23 <DIR> d-------- c:\programme\AvRack
2009-04-07 00:23 . 2006-11-17 05:40 18,804,736 --a------ c:\windows\system32\alsndmgr.cpl
2009-04-07 00:23 . 2006-12-08 15:20 10,528,768 --a------ c:\windows\system32\RTLCPL.exe
2009-04-07 00:23 . 2008-09-24 10:40 4,122,368 -ra------ c:\windows\system32\drivers\alcxwdm.sys
2009-04-07 00:23 . 2007-04-16 15:28 577,536 --a------ c:\windows\soundman.exe
2009-04-07 00:23 . 2006-07-31 11:19 315,392 --a------ c:\windows\alcupd.exe
2009-04-07 00:23 . 2006-07-31 11:27 217,088 --a------ c:\windows\Alcrmv.exe
2009-04-07 00:23 . 2006-10-18 02:53 147,456 --a------ c:\windows\system32\RtlCPAPI.dll
2009-04-07 00:23 . 2002-02-05 13:54 141,016 --a------ c:\windows\system32\alsndmgr.wav
2009-04-07 00:23 . 2006-08-01 15:02 49,152 --a------ c:\windows\system32\ChCfg.exe
2009-04-06 23:54 . 2009-04-07 16:29 <DIR> d-------- c:\programme\Syncrosoft
2009-04-06 23:54 . 2005-02-01 04:34 700,416 --a------ c:\windows\system32\SYNSOACC.dll
2009-04-06 23:54 . 2004-05-11 00:58 147,456 --a------ c:\windows\system32\SynsoLChk.dll
2009-04-06 23:54 . 2002-11-25 17:36 45,056 --a------ c:\windows\system32\Synsopos.exe
2009-04-06 23:54 . 2001-04-09 14:03 17,784 --a------ c:\windows\system32\drivers\NSynas32.sys
2009-04-06 23:54 . 2002-11-25 14:46 16,896 --a------ c:\windows\system32\drivers\SynasUSB.sys
2009-04-06 15:41 . 2009-04-06 15:41 552 --a------ c:\windows\system32\d3d8caps.dat
2009-04-06 15:29 . 2009-04-06 23:37 <DIR> d-------- c:\windows\NV40044016.TMP
2009-04-06 15:29 . 2009-04-06 15:29 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield
2009-04-06 15:27 . 2006-03-20 17:33 73,728 --a------ c:\windows\system32\ISUSPM.cpl
2009-04-06 15:26 . 2009-04-06 15:33 <DIR> d-------- C:\NFSC
2009-04-06 15:22 . 2009-03-27 10:03 215,465 --a------ c:\windows\system32\nvapps.nvb
2009-04-06 15:19 . 2009-04-08 16:59 664 --a------ c:\windows\system32\d3d9caps.dat
2009-04-06 15:15 . 2002-11-02 09:53 57,344 --a------ c:\windows\system32\WNASPINT.DLL
2009-04-06 03:40 . 2009-04-06 03:40 <DIR> d-------- c:\windows\system32\QuickTime
2009-04-06 03:40 . 2009-04-06 15:09 <DIR> d-------- c:\programme\Gemeinsame Dateien\Macromedia
2009-04-06 03:02 . 2009-04-06 03:02 13,646 --a------ c:\windows\system32\wpa.bak
2009-04-06 03:01 . 2009-04-06 03:01 <DIR> dr------- c:\dokumente und einstellungen\LocalService\Favoriten
2009-04-06 02:57 . 2006-11-17 11:29 88,691 --a------ c:\windows\system32\nvapps.xml
2009-04-06 02:57 . 2009-04-06 02:57 86,791 --ah----- c:\windows\MEMORY.DMP
2009-04-06 02:56 . 2009-04-07 00:02 <DIR> d-------- c:\windows\nview
2009-04-06 02:56 . 2009-04-06 02:57 <DIR> d-------- c:\windows\NV3852320.TMP
2009-04-06 02:56 . 2009-03-27 10:03 453,152 --a------ c:\windows\system32\nvudisp.exe
2009-04-06 02:56 . 2009-03-27 10:03 19,054 --a------ c:\windows\system32\nvdisp.nvu
2009-04-06 02:52 . 2009-04-06 02:53 <DIR> d-------- c:\programme\Winamp
2009-04-06 02:52 . 2009-04-06 02:53 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Winamp
2009-04-06 02:48 . 2004-08-03 22:41 1,309,184 --------- c:\windows\system32\drivers\mtlstrm.sys
2009-04-06 02:47 . 2004-08-04 00:38 701,952 --------- c:\windows\system32\drivers\ati2mtag.sys
2009-04-06 02:35 . 2008-06-14 19:32 273,024 --------- c:\windows\system32\drivers\bthport.sys
2009-04-06 02:35 . 2008-06-14 19:32 273,024 -----c--- c:\windows\system32\dllcache\bthport.sys
2009-04-06 02:34 . 2009-04-07 15:39 <DIR> d-------- c:\windows\aod
2009-04-06 02:34 . 2009-04-06 02:34 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\ICQ
2009-04-06 02:34 . 2008-12-12 19:01 3,088,896 -----c--- c:\windows\system32\dllcache\mshtml.dll
2009-04-06 02:34 . 2008-10-16 03:00 1,499,136 -----c--- c:\windows\system32\dllcache\shdocvw.dll
2009-04-06 02:34 . 2008-10-16 03:00 671,744 -----c--- c:\windows\system32\dllcache\wininet.dll
2009-04-06 02:34 . 2008-10-16 03:00 620,544 -----c--- c:\windows\system32\dllcache\urlmon.dll
2009-04-06 02:33 . 2009-04-08 22:38 <DIR> d-------- c:\programme\ICQ
2009-04-06 02:32 . 2008-08-14 15:19 2,191,488 -----c--- c:\windows\system32\dllcache\ntoskrnl.exe
2009-04-06 02:32 . 2008-08-14 15:19 2,147,840 -----c--- c:\windows\system32\dllcache\ntkrnlmp.exe
2009-04-06 02:32 . 2008-08-14 15:19 2,068,352 -----c--- c:\windows\system32\dllcache\ntkrnlpa.exe
2009-04-06 02:32 . 2008-08-14 15:19 2,026,496 -----c--- c:\windows\system32\dllcache\ntkrpamp.exe
2009-04-06 02:31 . 2008-05-08 16:02 203,136 -----c--- c:\windows\system32\dllcache\rmcast.sys
2009-04-06 02:30 . 2008-04-11 21:04 691,712 -----c--- c:\windows\system32\dllcache\inetcomm.dll
2009-04-06 02:30 . 2008-10-24 13:21 455,296 -----c--- c:\windows\system32\dllcache\mrxsmb.sys
2009-04-06 02:30 . 2008-10-15 18:35 337,408 -----c--- c:\windows\system32\dllcache\netapi32.dll
2009-04-06 02:30 . 2008-12-11 12:57 333,952 -----c--- c:\windows\system32\dllcache\srv.sys
2009-04-06 02:29 . 2007-08-10 20:44 26,488 --a------ c:\windows\system32\spupdsvc.exe
2009-04-06 02:02 . 2009-04-06 02:02 0 --a------ c:\windows\nsreg.dat
2009-04-06 01:53 . 2009-04-06 01:53 <DIR> d-------- c:\programme\NVIDIA Corporation
2009-04-06 01:53 . 2009-04-08 12:57 <DIR> d--h----- c:\programme\InstallShield Installation Information

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-06 22:03 90,112 ----a-w c:\windows\DUMP5822.tmp
2009-04-05 20:27 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Office Genuine Advantage
2009-04-05 19:04 --------- d-----w c:\programme\microsoft frontpage
2009-04-05 19:03 --------- d-----w c:\programme\Online-Dienste
2009-04-05 19:02 --------- d-----w c:\programme\Gemeinsame Dateien\Dienste
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1764864]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nTrayFw"="c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe" [2005-04-29 344064]
"WinampAgent"="c:\programme\Winamp\winampa.exe" [2007-10-10 118272]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-11-17 7700480]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-11-17 86016]
"Mirabilis ICQ"="c:\progra~1\ICQ\ICQNet.exe" [2003-10-14 112712]
"H2O"="c:\programme\SyncroSoft\Pos\H2O\cledx.exe" [2005-05-11 200069]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 109424]
"ISUSPM"="c:\programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" [2006-03-20 287664]
"razer"="c:\programme\Razer\Copperhead\razerhid.exe" [2005-10-08 155648]
"MSConfig"="c:\windows\PCHealth\HelpCtr\Binaries\MSConfig.exe" [2008-04-14 172544]
"nwiz"="nwiz.exe" [2009-03-27 c:\windows\system32\nwiz.exe]
"SoundMan"="SOUNDMAN.EXE" [2007-04-16 c:\windows\soundman.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableTaskMgr"= 1 (0x1)
"DisableRegistryTools"= 1 (0x1)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService]
@="service"

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^AutoUpdate Monitor.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\AutoUpdate Monitor.lnk
backup=c:\windows\pss\AutoUpdate Monitor.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"Sophos AutoUpdate Service"=2 (0x2)
"SAVService"=2 (0x2)
"SAVAdminService"=2 (0x2)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001
"UacDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]
"AntiVirusOverride"=dword:00000001
"AntiVirusDisableNotify"=dword:00000001
"FirewallDisableNotify"=dword:00000001
"FirewallOverride"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
"UacDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\Apache Group\\Apache2\\bin\\Apache.exe"=
"c:\\Programme\\ICQ\\Icq.exe"=
"d:\\Spiele\\Tactical Ops\\System\\TacticalOps.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\Winamp\\winampa.exe"=
"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\bin\\nTrayFw.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"f:\\Programme\\Image-Line\\FL Studio 8\\FL.exe"=
"c:\\WINDOWS\\system32\\nwiz.exe"=
"c:\\Programme\\Adobe\\Reader 9.0\\Reader\\Reader_sl.exe"=
"c:\\Programme\\TuneUp Utilities 2009\\ProcessManager.exe"=
"c:\\Programme\\Gemeinsame Dateien\\InstallShield\\UpdateService\\ISUSPM.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\wuauclt.exe"=
"c:\\WINDOWS\\system32\\KB905474\\wgasetup.exe"=
"c:\\Programme\\Razer\\Copperhead\\razerofa.exe"=

R1 SAVOnAccess Control;SAVOnAccess Control;c:\windows\system32\drivers\savonaccesscontrol.sys [2009-04-08 80128]
R1 SAVOnAccess Filter;SAVOnAccess Filter;c:\windows\system32\drivers\savonaccessfilter.sys [2009-04-08 24064]
R2 TuneUp.ProgramStatisticsSvc;TuneUp Program Statistics Service;c:\windows\system32\TUProgSt.exe [2009-04-08 604416]
R3 CLEDX;Team H2O CLEDX service;c:\windows\system32\drivers\cledx.sys [2009-04-07 33792]
R3 Razerlow;Razer Copperhead Driver;c:\windows\system32\drivers\Razerlow.sys [2009-04-08 19020]
S4 SAVAdminService;Sophos Anti-Virus Statusreporter;c:\programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe [2006-10-04 147456]
S4 SAVService;Sophos Anti-Virus;c:\programme\Sophos\Sophos Anti-Virus\SavService.exe [2006-10-04 86016]

--- Andere Dienste/Treiber im Speicher ---

*NewlyCreated* - DAC970NT

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp
.
Inhalt des "geplante Tasks" Ordners

2009-04-08 c:\windows\Tasks\1-Klick-Wartung.job
- c:\programme\TuneUp Utilities 2009\OneClickStarter.exe [2009-03-20 15:17]

2009-04-08 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-03-10 22:18]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.klamm.de/?id=244863
uInternet Settings,ProxyOverride = *.local
LSP: %SYSTEMROOT%\system32\nvappfilter.dll
FF - ProfilePath - c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Mozilla\Firefox\Profiles\s16whaf2.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.klamm.de/?id=244863
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-08 22:38:43
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'lsass.exe'(736)
c:\windows\system32\nvappfilter.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Bonjour\mDNSResponder.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe
c:\programme\Razer\Copperhead\razertra.exe
c:\programme\Razer\Copperhead\razerofa.exe
c:\windows\system32\winmine.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-08 22:42:01 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2009-04-08 20:41:59

Vor Suchlauf: 12 Verzeichnis(se), 18.227.167.232 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 18,161,864,704 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

293 --- E O F --- 2009-04-08 11:48:28

Zwischendrin spuckte er ein paar Fehlermeldungen aus mit der Überschrifft Windows Laufwerk nicht bereit.

john.doe

08.04.2009 22:43

Zitat:

Zwischendrin spuckte er ein paar Fehlermeldungen aus mit der Überschrifft Windows Laufwerk nicht bereit.

Einfach gar nicht ignorieren. :)

Ich bin hier gerade mit Myrtille, meiner Heldin, am Beraten ob eine Bereinigung Sinn macht. Du hast vermutlich das hier: ThreatExpert Report: W32.Sality.AE, W32/Sality, Virus:Win32/Sality.AM

Er hat einige Systemdateien verhunzt und Unmengen an Regeinträgen erzeugt. Das zu Säubern dauert mindestens 3 Tage. Eine Neuinstallation max. einen Tag. Es ist jetzt deine Entscheidung, wie es weitergeht.

ciao, andreas

m00p	08.04.2009 22:49

Neuinstalation, -.- man was könnt ich ko***, lieber nicht...
was müsste man denn bei der Säuberung machen?
Am besten soweit das Sophos wieder funzt und das evtl etwas bereinigen kann..

john.doe

08.04.2009 23:00

Solange ich das CF-Script zusammenbastel, kannst du schon mal scannen.

1.) Deinstalliere:

TuneUp Utilities
Bonjour

2.) CureIT Dr.Web

Downloade Dr.Web CureIt!
Speichere es auf deinem Desktop.
Entpacke es in einen eigenen Ordner.
Lies nun zuerst die deutsche Anleitung und drucke sie dir aus.

Lass alle Malware in den Quarantaene Ordner verschieben.
Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.

Speichere das Logfile - siehe Anleitung - und poste es.

3.) Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

ciao, andreas

m00p	08.04.2009 23:36

die cureit page ruckelt wie sau, es ist unmöglich die .exe dort zu laden :(

und der activescan aktualisiert und aktualisiert usw. und steht immernoch auf 0% wie lange aktualisiert der denn??!

wie soll ich bonjour deinstallieren? das wird doch von Photoshop mit installiert aber wofür das ist hab ich keine ahnung

m00p	09.04.2009 12:30

ich kann die drweb-cureit.exe nicht downloaden, die Seite braucht zulange habs auch schon mit dem IE probiert. Geht stattdessen auch die DrWeb-500-win.exe die man auf der Page laden kann?
Der ActiveScan steht seit knapp 2 Stunden auf Aktualisieren mit 0%...
EDIT:
Aktualisierung wurde aufgrund eines Fehler abgebrochen habe die Aktualisierung neugestartet.

Sorry für den Doppelpost aber ich konnte meinen alten Beitrag nicht editieren

john.doe

09.04.2009 16:13

1.) Deinstalliere Spybot.

2.) Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

Driver::

IPFILTERDRIVER

TuneUp.ProgramStatisticsSvc
 

NetSvC::

UxTuneUp
 

Registry::

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=-

"MSMSGS"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"WinampAgent"=-

"Mirabilis ICQ"=-

"Adobe Reader Speed Launcher"=-

"ISUSPM"=-

"MSConfig"=-

"SoundMan"=-

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=-

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"=-

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableTaskMgr"=-

"DisableRegistryTools"=-

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=-

"UpdatesDisableNotify"=-

"AntiVirusOverride"=-

"FirewallOverride"=-

"UacDisableNotify"=-

[-HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"=-

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\Programme\\Bonjour\\mDNSResponder.exe"=-

"c:\\Programme\\TuneUp Utilities 2009\\ProcessManager.exe"=-

"c:\\Programme\\Gemeinsame Dateien\\InstallShield\\UpdateService\\ISUSPM.exe" =-

[-HKEY_CURRENT_USER\Software\Jan-Hendrik914]
 

File::

c:\windows\Tasks\1-Klick-Wartung.job

c:\windows\Tasks\WGASetup.job

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

3.) Kontrolliere die Dateigröße folgender Datei:

Code:

c:\windows\system32\dllhost.exe

4.) Statt Dr.Web lade diese Datei: File-Upload.net - ToeffToeff.exe

ciao, andreas

m00p	09.04.2009 17:01

Zitat:

ComboFix 09-04-04.01 - Jan-Hendrik 2009-04-09 17:53:04.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.1031.18.2047.1690 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Jan-Hendrik\Desktop\ComboFix.exe
AV: Sophos Anti-Virus *On-access scanning enabled* (Outdated)
FW: NVIDIA Firewall *disabled*
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_DAC970NT
-------\Service_dac970nt

((((((((((((((((((((((( Dateien erstellt von 2009-03-09 bis 2009-04-09 ))))))))))))))))))))))))))))))
.

2009-04-09 00:15 . 2009-04-09 00:15 <DIR> d-------- c:\programme\Panda Security
2009-04-09 00:15 . 2008-06-19 16:24 28,544 --a------ c:\windows\system32\drivers\pavboot.sys
2009-04-08 21:38 . 2009-04-08 21:38 <DIR> d-------- c:\programme\Trend Micro
2009-04-08 17:11 . 2009-04-08 17:11 <DIR> d-------- c:\programme\Lavasoft
2009-04-08 17:10 . 2009-04-08 22:14 <DIR> d-------- c:\programme\CCleaner
2009-04-08 13:48 . 2009-04-08 13:48 <DIR> d-------- c:\programme\MSXML 4.0
2009-04-08 13:10 . 2009-04-08 13:10 <DIR> d--h----- c:\windows\system32\GroupPolicy
2009-04-08 12:57 . 2009-04-08 12:57 <DIR> d-------- c:\programme\Razer
2009-04-08 12:57 . 2001-01-04 10:12 162,900 --------- c:\windows\system32\drivers\USBICP.sys
2009-04-08 12:57 . 2005-07-22 15:01 69,632 --a------ c:\windows\system32\razer.cpl
2009-04-08 12:57 . 2005-08-12 10:11 19,020 --a------ c:\windows\system32\drivers\Razerlow.sys
2009-04-08 12:26 . 2009-04-08 12:26 <DIR> d-------- c:\windows\system32\de-de
2009-04-08 12:26 . 2009-04-08 12:26 <DIR> d-------- c:\windows\system32\de
2009-04-08 12:26 . 2009-04-08 12:26 <DIR> d-------- c:\windows\system32\bits
2009-04-08 12:26 . 2009-04-08 12:26 <DIR> d-------- c:\windows\l2schemas
2009-04-08 12:25 . 2009-04-08 12:25 <DIR> d-------- c:\windows\ServicePackFiles
2009-04-08 00:56 . 2009-04-08 17:12 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Lavasoft
2009-04-08 00:24 . 2009-04-09 00:51 <DIR> d-------- c:\programme\TuneUp Utilities 2009
2009-04-08 00:24 . 2009-04-08 00:24 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\TuneUp Software
2009-04-08 00:24 . 2009-04-08 00:24 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software
2009-04-08 00:24 . 2009-04-08 00:24 <DIR> d--hs---- c:\dokumente und einstellungen\All Users\Anwendungsdaten\{55A29068-F2CE-456C-9148-C869879E2357}
2009-04-08 00:15 . 2009-04-08 00:15 <DIR> d-------- c:\programme\Sophos
2009-04-08 00:15 . 2009-04-08 00:15 <DIR> d-------- c:\programme\Gemeinsame Dateien\Cisco Systems
2009-04-08 00:15 . 2009-04-08 00:15 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Sophos
2009-04-08 00:15 . 2006-05-08 11:00 15,872 --a------ c:\windows\system32\SophosBootTasks.exe
2009-04-08 00:12 . 2009-04-08 00:12 <DIR> d-------- C:\savxpsa
2009-04-08 00:12 . 2006-01-05 16:43 80,128 --a------ c:\windows\system32\drivers\savonaccesscontrol.sys
2009-04-08 00:12 . 2006-01-05 16:43 24,064 --a------ c:\windows\system32\drivers\savonaccessfilter.sys
2009-04-07 19:28 . 2009-04-07 19:28 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\FLEXnet
2009-04-07 18:00 . 2009-04-09 00:59 <DIR> d-------- c:\programme\Bonjour
2009-04-07 17:56 . 2009-04-07 17:56 <DIR> d-------- c:\programme\Gemeinsame Dateien\Macrovision Shared
2009-04-07 17:50 . 2009-04-08 00:17 <DIR> d-------- c:\programme\Gemeinsame Dateien\Adobe
2009-04-07 17:16 . 2009-04-07 17:16 <DIR> d-------- c:\programme\FileZilla
2009-04-07 16:51 . 2002-07-08 00:14 1,294,336 --a------ c:\windows\system32\vorbis.acm
2009-04-07 16:51 . 2006-06-20 10:56 225,280 --a------ c:\windows\system32\rewire.dll
2009-04-07 16:50 . 2009-04-07 16:50 <DIR> d-------- c:\programme\Outsim
2009-04-07 16:50 . 2009-04-07 16:51 <DIR> d-------- c:\programme\Image-Line
2009-04-07 16:34 . 2009-04-07 16:34 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Steinberg
2009-04-07 16:29 . 2005-05-09 20:08 33,792 --a------ c:\windows\system32\drivers\cledx.sys
2009-04-07 16:24 . 2009-04-07 16:24 <DIR> d-------- c:\programme\Steinberg
2009-04-07 16:24 . 2009-04-07 16:24 <DIR> d-------- c:\programme\Pinnacle
2009-04-07 16:24 . 2004-07-12 16:27 487,936 --a------ c:\windows\system\Rmbe3260.dll
2009-04-07 16:24 . 2004-07-12 16:27 352,768 --a------ c:\windows\system\pngu3263.dll
2009-04-07 16:24 . 2004-07-12 16:27 273,408 --a------ c:\windows\system\Pncrt.dll
2009-04-07 16:24 . 2004-07-12 16:27 131,072 --a------ c:\windows\system\Pneng50.dll
2009-04-07 16:24 . 2004-07-12 16:27 130,560 --a------ c:\windows\system\Pnc3250.dll
2009-04-07 16:24 . 2004-07-12 16:27 87,040 --a------ c:\windows\system\Ra32sipr.dll
2009-04-07 16:24 . 2004-07-12 16:27 85,504 --a------ c:\windows\system\Encdnet.dll
2009-04-07 16:24 . 2004-07-12 16:27 81,920 --a------ c:\windows\system\Ra3214_4.dll
2009-04-07 16:24 . 2004-07-12 16:27 72,704 --a------ c:\windows\system\Ra3228_8.dll
2009-04-07 16:24 . 2004-07-12 16:27 61,952 --a------ c:\windows\system\Decdnet.dll
2009-04-07 16:24 . 2004-07-12 16:27 21,504 --a------ c:\windows\system\Ra32dnet.dll
2009-04-07 16:22 . 2009-04-07 16:22 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Pinnacle
2009-04-07 16:22 . 2003-08-01 05:28 147,425 --a------ c:\windows\system32\SYNSOACC-Aide.chm
2009-04-07 16:22 . 2003-05-27 00:29 120,468 --a------ c:\windows\system32\SYNSOACC-Hilfe.chm
2009-04-07 16:22 . 2003-05-27 00:29 114,279 --a------ c:\windows\system32\SYNSOACC-Help.chm
2009-04-07 16:19 . 2009-04-07 16:19 <DIR> d-------- c:\programme\Realtek AC97
2009-04-07 15:42 . 2009-04-07 15:42 <DIR> d-------- c:\programme\Lavalys
2009-04-07 00:24 . 2009-04-07 15:52 169 --a------ c:\windows\RtlRack.ini
2009-04-07 00:23 . 2009-04-07 00:23 <DIR> d-------- c:\programme\Realtek Sound Manager
2009-04-07 00:23 . 2009-04-07 00:23 <DIR> d-------- c:\programme\AvRack
2009-04-07 00:23 . 2006-11-17 05:40 18,804,736 --a------ c:\windows\system32\alsndmgr.cpl
2009-04-07 00:23 . 2006-12-08 15:20 10,528,768 --a------ c:\windows\system32\RTLCPL.exe
2009-04-07 00:23 . 2008-09-24 10:40 4,122,368 -ra------ c:\windows\system32\drivers\alcxwdm.sys
2009-04-07 00:23 . 2007-04-16 15:28 651,264 --a------ c:\windows\soundman.exe
2009-04-07 00:23 . 2006-07-31 11:19 315,392 --a------ c:\windows\alcupd.exe
2009-04-07 00:23 . 2006-07-31 11:27 217,088 --a------ c:\windows\Alcrmv.exe
2009-04-07 00:23 . 2006-10-18 02:53 147,456 --a------ c:\windows\system32\RtlCPAPI.dll
2009-04-07 00:23 . 2002-02-05 13:54 141,016 --a------ c:\windows\system32\alsndmgr.wav
2009-04-07 00:23 . 2006-08-01 15:02 49,152 --a------ c:\windows\system32\ChCfg.exe
2009-04-06 23:54 . 2009-04-07 16:29 <DIR> d-------- c:\programme\Syncrosoft
2009-04-06 23:54 . 2005-02-01 04:34 700,416 --a------ c:\windows\system32\SYNSOACC.dll
2009-04-06 23:54 . 2004-05-11 00:58 147,456 --a------ c:\windows\system32\SynsoLChk.dll
2009-04-06 23:54 . 2002-11-25 17:36 45,056 --a------ c:\windows\system32\Synsopos.exe
2009-04-06 23:54 . 2001-04-09 14:03 17,784 --a------ c:\windows\system32\drivers\NSynas32.sys
2009-04-06 23:54 . 2002-11-25 14:46 16,896 --a------ c:\windows\system32\drivers\SynasUSB.sys
2009-04-06 15:41 . 2009-04-06 15:41 552 --a------ c:\windows\system32\d3d8caps.dat
2009-04-06 15:29 . 2009-04-06 23:37 <DIR> d-------- c:\windows\NV40044016.TMP
2009-04-06 15:29 . 2009-04-06 15:29 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield
2009-04-06 15:27 . 2006-03-20 17:33 73,728 --a------ c:\windows\system32\ISUSPM.cpl
2009-04-06 15:26 . 2009-04-06 15:33 <DIR> d-------- C:\NFSC
2009-04-06 15:22 . 2009-03-27 10:03 215,465 --a------ c:\windows\system32\nvapps.nvb
2009-04-06 15:19 . 2009-04-08 16:59 664 --a------ c:\windows\system32\d3d9caps.dat
2009-04-06 15:15 . 2002-11-02 09:53 57,344 --a------ c:\windows\system32\WNASPINT.DLL
2009-04-06 03:40 . 2009-04-06 03:40 <DIR> d-------- c:\windows\system32\QuickTime
2009-04-06 03:40 . 2009-04-06 15:09 <DIR> d-------- c:\programme\Gemeinsame Dateien\Macromedia
2009-04-06 03:02 . 2009-04-06 03:02 13,646 --a------ c:\windows\system32\wpa.bak
2009-04-06 03:01 . 2009-04-06 03:01 <DIR> dr------- c:\dokumente und einstellungen\LocalService\Favoriten
2009-04-06 02:57 . 2006-11-17 11:29 88,691 --a------ c:\windows\system32\nvapps.xml
2009-04-06 02:57 . 2009-04-06 02:57 86,791 --ah----- c:\windows\MEMORY.DMP
2009-04-06 02:56 . 2009-04-07 00:02 <DIR> d-------- c:\windows\nview
2009-04-06 02:56 . 2009-04-06 02:57 <DIR> d-------- c:\windows\NV3852320.TMP
2009-04-06 02:56 . 2009-03-27 10:03 453,152 --a------ c:\windows\system32\nvudisp.exe
2009-04-06 02:56 . 2009-03-27 10:03 19,054 --a------ c:\windows\system32\nvdisp.nvu
2009-04-06 02:52 . 2009-04-06 02:53 <DIR> d-------- c:\programme\Winamp
2009-04-06 02:52 . 2009-04-06 02:53 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Winamp
2009-04-06 02:48 . 2004-08-03 22:41 1,309,184 --------- c:\windows\system32\drivers\mtlstrm.sys
2009-04-06 02:47 . 2004-08-04 00:38 701,952 --------- c:\windows\system32\drivers\ati2mtag.sys
2009-04-06 02:35 . 2008-06-14 19:32 273,024 --------- c:\windows\system32\drivers\bthport.sys
2009-04-06 02:35 . 2008-06-14 19:32 273,024 -----c--- c:\windows\system32\dllcache\bthport.sys
2009-04-06 02:34 . 2009-04-07 15:39 <DIR> d-------- c:\windows\aod
2009-04-06 02:34 . 2009-04-06 02:34 <DIR> d-------- c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\ICQ
2009-04-06 02:34 . 2008-12-12 19:01 3,088,896 -----c--- c:\windows\system32\dllcache\mshtml.dll
2009-04-06 02:34 . 2008-10-16 03:00 1,499,136 -----c--- c:\windows\system32\dllcache\shdocvw.dll
2009-04-06 02:34 . 2008-10-16 03:00 671,744 -----c--- c:\windows\system32\dllcache\wininet.dll
2009-04-06 02:34 . 2008-10-16 03:00 620,544 -----c--- c:\windows\system32\dllcache\urlmon.dll
2009-04-06 02:33 . 2009-04-09 17:55 <DIR> d-------- c:\programme\ICQ
2009-04-06 02:32 . 2008-08-14 15:19 2,191,488 -----c--- c:\windows\system32\dllcache\ntoskrnl.exe
2009-04-06 02:32 . 2008-08-14 15:19 2,147,840 -----c--- c:\windows\system32\dllcache\ntkrnlmp.exe
2009-04-06 02:32 . 2008-08-14 15:19 2,068,352 -----c--- c:\windows\system32\dllcache\ntkrnlpa.exe
2009-04-06 02:32 . 2008-08-14 15:19 2,026,496 -----c--- c:\windows\system32\dllcache\ntkrpamp.exe
2009-04-06 02:31 . 2008-05-08 16:02 203,136 -----c--- c:\windows\system32\dllcache\rmcast.sys
2009-04-06 02:30 . 2008-04-11 21:04 691,712 -----c--- c:\windows\system32\dllcache\inetcomm.dll
2009-04-06 02:30 . 2008-10-24 13:21 455,296 -----c--- c:\windows\system32\dllcache\mrxsmb.sys
2009-04-06 02:30 . 2008-10-15 18:35 337,408 -----c--- c:\windows\system32\dllcache\netapi32.dll
2009-04-06 02:30 . 2008-12-11 12:57 333,952 -----c--- c:\windows\system32\dllcache\srv.sys
2009-04-06 02:29 . 2007-08-10 20:44 26,488 --a------ c:\windows\system32\spupdsvc.exe
2009-04-06 02:02 . 2009-04-06 02:02 0 --a------ c:\windows\nsreg.dat
2009-04-06 01:53 . 2009-04-06 01:53 <DIR> d-------- c:\programme\NVIDIA Corporation
2009-04-06 01:53 . 2009-04-08 12:57 <DIR> d--h----- c:\programme\InstallShield Installation Information
2009-04-06 01:53 . 2009-04-06 01:53 1,024 --a------ C:\.rnd
2009-04-06 01:53 . 2009-04-06 01:53 26 --a------ c:\windows\Dateiname
2009-04-06 01:52 . 2009-04-06 01:52 <DIR> d-------- c:\windows\Downloaded Installations
2009-04-06 01:50 . 2009-04-06 01:50 <DIR> d-------- c:\windows\system32\Tools
2009-04-06 01:50 . 2009-04-06 15:38 <DIR> d-------- c:\programme\Gemeinsame Dateien\InstallShield

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-06 22:03 90,112 ----a-w c:\windows\DUMP5822.tmp
2009-04-05 20:27 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Office Genuine Advantage
2009-04-05 19:04 --------- d-----w c:\programme\microsoft frontpage
2009-04-05 19:03 --------- d-----w c:\programme\Online-Dienste
2009-04-05 19:02 --------- d-----w c:\programme\Gemeinsame Dateien\Dienste
.

((((((((((((((((((((((((((((( SnapShot@2009-04-08_22.40.54.62 )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-03-10 20:18:02 265,096 -c----w c:\windows\system32\dllcache\wgaLogon.dll
+ 2009-03-10 20:18:20 970,632 -c----w c:\windows\system32\dllcache\WgaTray.exe
+ 2009-03-10 20:18:20 1,482,112 ------w c:\windows\system32\LegitCheckControl.dll
- 2008-04-14 02:22:59 136,192 ----a-w c:\windows\system32\rundll32.exe
+ 2008-04-14 02:22:59 33,792 ----a-w c:\windows\system32\rundll32.exe
+ 2009-03-10 20:18:02 265,096 ------w c:\windows\system32\WgaLogon.dll
+ 2009-03-10 20:18:20 970,632 ------w c:\windows\system32\WgaTray.exe
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1764864]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nTrayFw"="c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe" [2005-04-29 344064]
"WinampAgent"="c:\programme\Winamp\winampa.exe" [2007-10-10 118272]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-11-17 7700480]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-11-17 86016]
"Mirabilis ICQ"="c:\progra~1\ICQ\ICQNet.exe" [2003-10-14 112712]
"H2O"="c:\programme\SyncroSoft\Pos\H2O\cledx.exe" [2005-05-11 200069]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 109424]
"ISUSPM"="c:\programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" [2006-03-20 287664]
"razer"="c:\programme\Razer\Copperhead\razerhid.exe" [2005-10-08 237568]
"nwiz"="nwiz.exe" [2009-03-27 c:\windows\system32\nwiz.exe]
"SoundMan"="SOUNDMAN.EXE" [2007-04-16 c:\windows\soundman.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
AutoUpdate Monitor.lnk - c:\programme\Sophos\AutoUpdate\ALMon.exe [2006-10-12 315392]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableTaskMgr"= 1 (0x1)
"DisableRegistryTools"= 1 (0x1)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService]
@="service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001
"UacDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]
"AntiVirusOverride"=dword:00000001
"AntiVirusDisableNotify"=dword:00000001
"FirewallDisableNotify"=dword:00000001
"FirewallOverride"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
"UacDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\Apache Group\\Apache2\\bin\\Apache.exe"=
"c:\\Programme\\ICQ\\Icq.exe"=
"d:\\Spiele\\Tactical Ops\\System\\TacticalOps.exe"=
"c:\\Programme\\Winamp\\winampa.exe"=
"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\bin\\nTrayFw.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"f:\\Programme\\Image-Line\\FL Studio 8\\FL.exe"=
"c:\\WINDOWS\\system32\\nwiz.exe"=
"c:\\Programme\\Adobe\\Reader 9.0\\Reader\\Reader_sl.exe"=
"c:\\Programme\\Gemeinsame Dateien\\InstallShield\\UpdateService\\ISUSPM.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\wuauclt.exe"=
"c:\\Programme\\Razer\\Copperhead\\razerofa.exe"=
"c:\\WINDOWS\\system32\\CF28150.exe"=

R0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [2009-04-09 28544]
R1 SAVOnAccess Control;SAVOnAccess Control;c:\windows\system32\drivers\savonaccesscontrol.sys [2009-04-08 80128]
R1 SAVOnAccess Filter;SAVOnAccess Filter;c:\windows\system32\drivers\savonaccessfilter.sys [2009-04-08 24064]
R2 SAVService;Sophos Anti-Virus;c:\programme\Sophos\Sophos Anti-Virus\SavService.exe [2006-10-04 86016]
R3 CLEDX;Team H2O CLEDX service;c:\windows\system32\drivers\cledx.sys [2009-04-07 33792]
R3 Razerlow;Razer Copperhead Driver;c:\windows\system32\drivers\Razerlow.sys [2009-04-08 19020]
S2 SAVAdminService;Sophos Anti-Virus Statusreporter;c:\programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe [2006-10-04 147456]

--- Andere Dienste/Treiber im Speicher ---

*NewlyCreated* - DAC970NT

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b4e426e8-2377-11de-bccc-0019213a02bb}]
\shell\aUtoPlay\ComMANd - I:\snvqv.exe
\shell\AutoRun\command - I:\snvqv.exe
\shell\eXPlORe\CommaND - I:\snvqv.exe
\shell\opEN\CommanD - I:\snvqv.exe
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.klamm.de/?id=244863
uInternet Settings,ProxyOverride = *.local
LSP: %SYSTEMROOT%\system32\nvappfilter.dll
FF - ProfilePath - c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Mozilla\Firefox\Profiles\s16whaf2.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.klamm.de/?id=244863
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-09 17:55:19
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'lsass.exe'(736)
c:\windows\system32\nvappfilter.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe
c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
c:\programme\Razer\Copperhead\razertra.exe
c:\programme\Razer\Copperhead\razerofa.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-09 17:57:46 - PC wurde neu gestartet [Jan-Hendrik]
ComboFix-quarantined-files.txt 2009-04-09 15:57:44
ComboFix2.txt 2009-04-08 20:42:02

Vor Suchlauf: 12 Verzeichnis(se), 18,030,497,792 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 17,992,003,584 Bytes frei

277 --- E O F --- 2009-04-08 11:48:28

Ich habe doch gar keinen spybot?!..

Dateigröße:
5,00 KB (5.120 Bytes)
größe auf Datenträger: 8,00 KB (8.192 Bytes)

die toefftoeff.exe beginnt leider nicht zu laden

john.doe

09.04.2009 17:09

Da ist etwas schiefgelaufen. Ziehe das Script mit der rechten Maustaste auf ComboFix. Bei Loslassen der Maustaste die Maus nicht bewegen. Dann ComboFix nochmal starten.

Zitat:

Ich habe doch gar keinen spybot?!..

Ich brauche eine Brille. :(

Zitat:

die toefftoeff.exe beginnt leider nicht zu laden

Versuche es nach dem Script nocheinmal. Sollte das auch nicht funktionieren, dann lade sie irgendwo anders und benutze einen Memorystick oder ähnliches.

ciao, andreas

m00p	09.04.2009 17:20

Also, erstmal kommt mit der rechten maustaste eine Aufforderung "öfnen mit", wenn ich darauf klicke öffnet sich ein fenster, wo ich auf "ausführen" klicken muss. Beim ersten mal hat combofix die fehlermeldung gemacht, dass nvappfilter.dll keine gültige Windowsdatei wäre.
Nach der Erstellung des Sicherheitspunktes startet der pc sofort neu und zeigt wenn er hochgefahren ist kein Logfile an. :( Danach hatte ich das nochmal versucht beim zweiten Mal hat er keine Fehlermeldung wiedergegeben aber nach dem Neustart auch kein Logfile angezeigt.

john.doe

09.04.2009 17:34

Zitat:

Zitat von m00p (Beitrag 427320)

Also, erstmal kommt mit der rechten maustaste eine Aufforderung "öfnen mit",

Nein, das ist falsch. Du darfst beim Loslassen die Maus nicht bewegen. Wenn das Fenster kommt, dann klickst du irgendwo anders hin aber nicht aufs Fenster.

Zitat:

Nach der Erstellung des Sicherheitspunktes startet der pc sofort neu und zeigt wenn er hochgefahren ist kein Logfile an. :( Danach hatte ich das nochmal versucht beim zweiten Mal hat er keine Fehlermeldung wiedergegeben aber nach dem Neustart auch kein Logfile angezeigt.

Das jeweils letzte Logfile bekommst du, wenn du Folgendes machst:

Start => Ausführen => notepad c:\combofix.txt (alles eintippeln oder markieren, kopieren, einfügen) => OK

ciao, andreas

m00p	09.04.2009 17:39

verschwindet die cfscript.txt danach oder bleibt diese erhalten?

john.doe

09.04.2009 17:48

Zitat:

verschwindet die cfscript.txt danach oder bleibt diese erhalten?

Die bleibt.

ciao, andreas

m00p	09.04.2009 18:14

Code:

ComboFix 09-04-04.01 - Jan-Hendrik 2009-04-09 19:04:49.3 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2047.1671 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Jan-Hendrik\Desktop\ComboFix.exe

AV: Sophos Anti-Virus *On-access scanning enabled* (Outdated)

FW: NVIDIA Firewall *disabled*

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Legacy_DAC970NT

-------\Service_dac970nt
 
 

(((((((((((((((((((((((   Dateien erstellt von 2009-03-09 bis 2009-04-09  ))))))))))))))))))))))))))))))

.
 

2009-04-09 00:15 . 2009-04-09 00:15        <DIR>        d--------        c:\programme\Panda Security

2009-04-09 00:15 . 2008-06-19 16:24        28,544        --a------        c:\windows\system32\drivers\pavboot.sys

2009-04-08 21:38 . 2009-04-08 21:38        <DIR>        d--------        c:\programme\Trend Micro

2009-04-08 17:11 . 2009-04-08 17:11        <DIR>        d--------        c:\programme\Lavasoft

2009-04-08 17:10 . 2009-04-08 22:14        <DIR>        d--------        c:\programme\CCleaner

2009-04-08 13:48 . 2009-04-08 13:48        <DIR>        d--------        c:\programme\MSXML 4.0

2009-04-08 13:10 . 2009-04-08 13:10        <DIR>        d--h-----        c:\windows\system32\GroupPolicy

2009-04-08 12:57 . 2009-04-08 12:57        <DIR>        d--------        c:\programme\Razer

2009-04-08 12:57 . 2001-01-04 10:12        162,900        ---------        c:\windows\system32\drivers\USBICP.sys

2009-04-08 12:57 . 2005-07-22 15:01        69,632        --a------        c:\windows\system32\razer.cpl

2009-04-08 12:57 . 2005-08-12 10:11        19,020        --a------        c:\windows\system32\drivers\Razerlow.sys

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\de-de

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\de

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\bits

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\l2schemas

2009-04-08 12:25 . 2009-04-08 12:25        <DIR>        d--------        c:\windows\ServicePackFiles

2009-04-08 00:56 . 2009-04-08 17:12        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Lavasoft

2009-04-08 00:24 . 2009-04-09 00:51        <DIR>        d--------        c:\programme\TuneUp Utilities 2009

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\TuneUp Software

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--hs----        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{55A29068-F2CE-456C-9148-C869879E2357}

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\programme\Sophos

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Cisco Systems

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Sophos

2009-04-08 00:15 . 2006-05-08 11:00        15,872        --a------        c:\windows\system32\SophosBootTasks.exe

2009-04-08 00:12 . 2009-04-08 00:12        <DIR>        d--------        C:\savxpsa

2009-04-08 00:12 . 2006-01-05 16:43        80,128        --a------        c:\windows\system32\drivers\savonaccesscontrol.sys

2009-04-08 00:12 . 2006-01-05 16:43        24,064        --a------        c:\windows\system32\drivers\savonaccessfilter.sys

2009-04-07 19:28 . 2009-04-07 19:28        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\FLEXnet

2009-04-07 18:00 . 2009-04-09 00:59        <DIR>        d--------        c:\programme\Bonjour

2009-04-07 17:56 . 2009-04-07 17:56        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Macrovision Shared

2009-04-07 17:50 . 2009-04-08 00:17        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Adobe

2009-04-07 17:16 . 2009-04-07 17:16        <DIR>        d--------        c:\programme\FileZilla

2009-04-07 16:51 . 2002-07-08 00:14        1,294,336        --a------        c:\windows\system32\vorbis.acm

2009-04-07 16:51 . 2006-06-20 10:56        225,280        --a------        c:\windows\system32\rewire.dll

2009-04-07 16:50 . 2009-04-07 16:50        <DIR>        d--------        c:\programme\Outsim

2009-04-07 16:50 . 2009-04-07 16:51        <DIR>        d--------        c:\programme\Image-Line

2009-04-07 16:34 . 2009-04-07 16:34        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Steinberg

2009-04-07 16:29 . 2005-05-09 20:08        33,792        --a------        c:\windows\system32\drivers\cledx.sys

2009-04-07 16:24 . 2009-04-07 16:24        <DIR>        d--------        c:\programme\Steinberg

2009-04-07 16:24 . 2009-04-07 16:24        <DIR>        d--------        c:\programme\Pinnacle

2009-04-07 16:24 . 2004-07-12 16:27        487,936        --a------        c:\windows\system\Rmbe3260.dll

2009-04-07 16:24 . 2004-07-12 16:27        352,768        --a------        c:\windows\system\pngu3263.dll

2009-04-07 16:24 . 2004-07-12 16:27        273,408        --a------        c:\windows\system\Pncrt.dll

2009-04-07 16:24 . 2004-07-12 16:27        131,072        --a------        c:\windows\system\Pneng50.dll

2009-04-07 16:24 . 2004-07-12 16:27        130,560        --a------        c:\windows\system\Pnc3250.dll

2009-04-07 16:24 . 2004-07-12 16:27        87,040        --a------        c:\windows\system\Ra32sipr.dll

2009-04-07 16:24 . 2004-07-12 16:27        85,504        --a------        c:\windows\system\Encdnet.dll

2009-04-07 16:24 . 2004-07-12 16:27        81,920        --a------        c:\windows\system\Ra3214_4.dll

2009-04-07 16:24 . 2004-07-12 16:27        72,704        --a------        c:\windows\system\Ra3228_8.dll

2009-04-07 16:24 . 2004-07-12 16:27        61,952        --a------        c:\windows\system\Decdnet.dll

2009-04-07 16:24 . 2004-07-12 16:27        21,504        --a------        c:\windows\system\Ra32dnet.dll

2009-04-07 16:22 . 2009-04-07 16:22        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Pinnacle

2009-04-07 16:22 . 2003-08-01 05:28        147,425        --a------        c:\windows\system32\SYNSOACC-Aide.chm

2009-04-07 16:22 . 2003-05-27 00:29        120,468        --a------        c:\windows\system32\SYNSOACC-Hilfe.chm

2009-04-07 16:22 . 2003-05-27 00:29        114,279        --a------        c:\windows\system32\SYNSOACC-Help.chm

2009-04-07 16:19 . 2009-04-07 16:19        <DIR>        d--------        c:\programme\Realtek AC97

2009-04-07 15:42 . 2009-04-07 15:42        <DIR>        d--------        c:\programme\Lavalys

2009-04-07 00:24 . 2009-04-07 15:52        169        --a------        c:\windows\RtlRack.ini

2009-04-07 00:23 . 2009-04-07 00:23        <DIR>        d--------        c:\programme\Realtek Sound Manager

2009-04-07 00:23 . 2009-04-07 00:23        <DIR>        d--------        c:\programme\AvRack

2009-04-07 00:23 . 2006-11-17 05:40        18,804,736        --a------        c:\windows\system32\alsndmgr.cpl

2009-04-07 00:23 . 2006-12-08 15:20        10,528,768        --a------        c:\windows\system32\RTLCPL.exe

2009-04-07 00:23 . 2008-09-24 10:40        4,122,368        -ra------        c:\windows\system32\drivers\alcxwdm.sys

2009-04-07 00:23 . 2007-04-16 15:28        651,264        --a------        c:\windows\soundman.exe

2009-04-07 00:23 . 2006-07-31 11:19        315,392        --a------        c:\windows\alcupd.exe

2009-04-07 00:23 . 2006-07-31 11:27        217,088        --a------        c:\windows\Alcrmv.exe

2009-04-07 00:23 . 2006-10-18 02:53        147,456        --a------        c:\windows\system32\RtlCPAPI.dll

2009-04-07 00:23 . 2002-02-05 13:54        141,016        --a------        c:\windows\system32\alsndmgr.wav

2009-04-07 00:23 . 2006-08-01 15:02        49,152        --a------        c:\windows\system32\ChCfg.exe

2009-04-06 23:54 . 2009-04-07 16:29        <DIR>        d--------        c:\programme\Syncrosoft

2009-04-06 23:54 . 2005-02-01 04:34        700,416        --a------        c:\windows\system32\SYNSOACC.dll

2009-04-06 23:54 . 2004-05-11 00:58        147,456        --a------        c:\windows\system32\SynsoLChk.dll

2009-04-06 23:54 . 2002-11-25 17:36        45,056        --a------        c:\windows\system32\Synsopos.exe

2009-04-06 23:54 . 2001-04-09 14:03        17,784        --a------        c:\windows\system32\drivers\NSynas32.sys

2009-04-06 23:54 . 2002-11-25 14:46        16,896        --a------        c:\windows\system32\drivers\SynasUSB.sys

2009-04-06 15:41 . 2009-04-06 15:41        552        --a------        c:\windows\system32\d3d8caps.dat

2009-04-06 15:29 . 2009-04-06 23:37        <DIR>        d--------        c:\windows\NV40044016.TMP

2009-04-06 15:29 . 2009-04-06 15:29        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield

2009-04-06 15:27 . 2006-03-20 17:33        73,728        --a------        c:\windows\system32\ISUSPM.cpl

2009-04-06 15:26 . 2009-04-06 15:33        <DIR>        d--------        C:\NFSC

2009-04-06 15:22 . 2009-03-27 10:03        215,465        --a------        c:\windows\system32\nvapps.nvb

2009-04-06 15:19 . 2009-04-08 16:59        664        --a------        c:\windows\system32\d3d9caps.dat

2009-04-06 15:15 . 2002-11-02 09:53        57,344        --a------        c:\windows\system32\WNASPINT.DLL

2009-04-06 03:40 . 2009-04-06 03:40        <DIR>        d--------        c:\windows\system32\QuickTime

2009-04-06 03:40 . 2009-04-06 15:09        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Macromedia

2009-04-06 03:02 . 2009-04-06 03:02        13,646        --a------        c:\windows\system32\wpa.bak

2009-04-06 03:01 . 2009-04-06 03:01        <DIR>        dr-------        c:\dokumente und einstellungen\LocalService\Favoriten

2009-04-06 02:57 . 2006-11-17 11:29        88,691        --a------        c:\windows\system32\nvapps.xml

2009-04-06 02:57 . 2009-04-06 02:57        86,791        --ah-----        c:\windows\MEMORY.DMP

2009-04-06 02:56 . 2009-04-07 00:02        <DIR>        d--------        c:\windows\nview

2009-04-06 02:56 . 2009-04-06 02:57        <DIR>        d--------        c:\windows\NV3852320.TMP

2009-04-06 02:56 . 2009-03-27 10:03        453,152        --a------        c:\windows\system32\nvudisp.exe

2009-04-06 02:56 . 2009-03-27 10:03        19,054        --a------        c:\windows\system32\nvdisp.nvu

2009-04-06 02:52 . 2009-04-06 02:53        <DIR>        d--------        c:\programme\Winamp

2009-04-06 02:52 . 2009-04-06 02:53        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Winamp

2009-04-06 02:48 . 2004-08-03 22:41        1,309,184        ---------        c:\windows\system32\drivers\mtlstrm.sys

2009-04-06 02:47 . 2004-08-04 00:38        701,952        ---------        c:\windows\system32\drivers\ati2mtag.sys

2009-04-06 02:35 . 2008-06-14 19:32        273,024        ---------        c:\windows\system32\drivers\bthport.sys

2009-04-06 02:35 . 2008-06-14 19:32        273,024        -----c---        c:\windows\system32\dllcache\bthport.sys

2009-04-06 02:34 . 2009-04-07 15:39        <DIR>        d--------        c:\windows\aod

2009-04-06 02:34 . 2009-04-06 02:34        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\ICQ

2009-04-06 02:34 . 2008-12-12 19:01        3,088,896        -----c---        c:\windows\system32\dllcache\mshtml.dll

2009-04-06 02:34 . 2008-10-16 03:00        1,499,136        -----c---        c:\windows\system32\dllcache\shdocvw.dll

2009-04-06 02:34 . 2008-10-16 03:00        671,744        -----c---        c:\windows\system32\dllcache\wininet.dll

2009-04-06 02:34 . 2008-10-16 03:00        620,544        -----c---        c:\windows\system32\dllcache\urlmon.dll

2009-04-06 02:33 . 2009-04-09 19:07        <DIR>        d--------        c:\programme\ICQ

2009-04-06 02:32 . 2008-08-14 15:19        2,191,488        -----c---        c:\windows\system32\dllcache\ntoskrnl.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,147,840        -----c---        c:\windows\system32\dllcache\ntkrnlmp.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,068,352        -----c---        c:\windows\system32\dllcache\ntkrnlpa.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,026,496        -----c---        c:\windows\system32\dllcache\ntkrpamp.exe

2009-04-06 02:31 . 2008-05-08 16:02        203,136        -----c---        c:\windows\system32\dllcache\rmcast.sys

2009-04-06 02:30 . 2008-04-11 21:04        691,712        -----c---        c:\windows\system32\dllcache\inetcomm.dll

2009-04-06 02:30 . 2008-10-24 13:21        455,296        -----c---        c:\windows\system32\dllcache\mrxsmb.sys

2009-04-06 02:30 . 2008-10-15 18:35        337,408        -----c---        c:\windows\system32\dllcache\netapi32.dll

2009-04-06 02:30 . 2008-12-11 12:57        333,952        -----c---        c:\windows\system32\dllcache\srv.sys

2009-04-06 02:29 . 2007-08-10 20:44        26,488        --a------        c:\windows\system32\spupdsvc.exe

2009-04-06 02:02 . 2009-04-06 02:02        0        --a------        c:\windows\nsreg.dat

2009-04-06 01:53 . 2009-04-06 01:53        <DIR>        d--------        c:\programme\NVIDIA Corporation

2009-04-06 01:53 . 2009-04-08 12:57        <DIR>        d--h-----        c:\programme\InstallShield Installation Information

2009-04-06 01:53 . 2009-04-06 01:53        1,024        --a------        C:\.rnd

2009-04-06 01:53 . 2009-04-06 01:53        26        --a------        c:\windows\Dateiname

2009-04-06 01:52 . 2009-04-06 01:52        <DIR>        d--------        c:\windows\Downloaded Installations

2009-04-06 01:50 . 2009-04-06 01:50        <DIR>        d--------        c:\windows\system32\Tools

2009-04-06 01:50 . 2009-04-06 15:38        <DIR>        d--------        c:\programme\Gemeinsame Dateien\InstallShield
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-04-06 22:03        90,112        ----a-w        c:\windows\DUMP5822.tmp

2009-04-05 20:27        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Office Genuine Advantage

2009-04-05 19:04        ---------        d-----w        c:\programme\microsoft frontpage

2009-04-05 19:03        ---------        d-----w        c:\programme\Online-Dienste

2009-04-05 19:02        ---------        d-----w        c:\programme\Gemeinsame Dateien\Dienste

.
 

(((((((((((((((((((((((((((((   SnapShot@2009-04-08_22.40.54.62   )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-03-10 20:18:02        265,096        -c----w        c:\windows\system32\dllcache\wgaLogon.dll

+ 2009-03-10 20:18:20        970,632        -c----w        c:\windows\system32\dllcache\WgaTray.exe

+ 2009-03-10 20:18:20        1,482,112        ------w        c:\windows\system32\LegitCheckControl.dll

- 2008-04-14 02:22:59        136,192        ----a-w        c:\windows\system32\rundll32.exe

+ 2008-04-14 02:22:59        33,792        ----a-w        c:\windows\system32\rundll32.exe

+ 2009-03-10 20:18:02        265,096        ------w        c:\windows\system32\WgaLogon.dll

+ 2009-03-10 20:18:20        970,632        ------w        c:\windows\system32\WgaTray.exe

+ 2009-04-09 17:07:10        16,384        ----atw        c:\windows\temp\Perflib_Perfdata_e78.dat

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1764864]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"nTrayFw"="c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe" [2005-04-29 344064]

"WinampAgent"="c:\programme\Winamp\winampa.exe" [2007-10-10 118272]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-11-17 7700480]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-11-17 86016]

"Mirabilis ICQ"="c:\progra~1\ICQ\ICQNet.exe" [2003-10-14 112712]

"H2O"="c:\programme\SyncroSoft\Pos\H2O\cledx.exe" [2005-05-11 200069]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 109424]

"ISUSPM"="c:\programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" [2006-03-20 287664]

"razer"="c:\programme\Razer\Copperhead\razerhid.exe" [2005-10-08 237568]

"nwiz"="nwiz.exe" [2009-03-27 c:\windows\system32\nwiz.exe]

"SoundMan"="SOUNDMAN.EXE" [2007-04-16 c:\windows\soundman.exe]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
 

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

AutoUpdate Monitor.lnk - c:\programme\Sophos\AutoUpdate\ALMon.exe [2006-10-12 315392]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableTaskMgr"= 1 (0x1)

"DisableRegistryTools"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService]

@="service"
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

"UacDisableNotify"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]

"DisableMonitoring"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

"AntiVirusOverride"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"FirewallDisableNotify"=dword:00000001

"FirewallOverride"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"UacDisableNotify"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\Apache Group\\Apache2\\bin\\Apache.exe"=

"c:\\Programme\\ICQ\\Icq.exe"=

"d:\\Spiele\\Tactical Ops\\System\\TacticalOps.exe"=

"c:\\Programme\\Winamp\\winampa.exe"=

"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\bin\\nTrayFw.exe"=

"c:\\Programme\\Mozilla Firefox\\firefox.exe"=

"f:\\Programme\\Image-Line\\FL Studio 8\\FL.exe"=

"c:\\WINDOWS\\system32\\nwiz.exe"=

"c:\\Programme\\Adobe\\Reader 9.0\\Reader\\Reader_sl.exe"=

"c:\\Programme\\Gemeinsame Dateien\\InstallShield\\UpdateService\\ISUSPM.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\wuauclt.exe"=

"c:\\Programme\\Razer\\Copperhead\\razerofa.exe"=

"c:\\WINDOWS\\VFIND.exe"=
 

R0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [2009-04-09 28544]

R1 SAVOnAccess Control;SAVOnAccess Control;c:\windows\system32\drivers\savonaccesscontrol.sys [2009-04-08 80128]

R1 SAVOnAccess Filter;SAVOnAccess Filter;c:\windows\system32\drivers\savonaccessfilter.sys [2009-04-08 24064]

R2 SAVService;Sophos Anti-Virus;c:\programme\Sophos\Sophos Anti-Virus\SavService.exe [2006-10-04 86016]

R3 CLEDX;Team H2O CLEDX service;c:\windows\system32\drivers\cledx.sys [2009-04-07 33792]

R3 Razerlow;Razer Copperhead Driver;c:\windows\system32\drivers\Razerlow.sys [2009-04-08 19020]

S2 SAVAdminService;Sophos Anti-Virus Statusreporter;c:\programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe [2006-10-04 147456]
 

--- Andere Dienste/Treiber im Speicher ---
 

*NewlyCreated* - DAC970NT
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b4e426e8-2377-11de-bccc-0019213a02bb}]

\shell\aUtoPlay\ComMANd - I:\snvqv.exe

\shell\AutoRun\command - I:\snvqv.exe

\shell\eXPlORe\CommaND - I:\snvqv.exe

\shell\opEN\CommanD - I:\snvqv.exe

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.klamm.de/?id=244863

uInternet Settings,ProxyOverride = *.local

LSP: %SYSTEMROOT%\system32\nvappfilter.dll

FF - ProfilePath - c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Mozilla\Firefox\Profiles\s16whaf2.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.klamm.de/?id=244863

.
 

**************************************************************************
 

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-04-09 19:07:11

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'lsass.exe'(736)

c:\windows\system32\nvappfilter.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

c:\programme\Razer\Copperhead\razertra.exe

c:\programme\Razer\Copperhead\razerofa.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2009-04-09 19:09:43 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2009-04-09 17:09:41

ComboFix2.txt  2009-04-09 15:57:47

ComboFix3.txt  2009-04-08 20:42:02
 

Vor Suchlauf: 12 Verzeichnis(se), 17.810.051.072 Bytes frei

Nach Suchlauf: 11 Verzeichnis(se), 17,776,373,760 Bytes frei
 

279        --- E O F ---        2009-04-08 11:48:28

Der Download funzt immer noch nicht. Von wo soll ich die exe jetzt laden?

john.doe

09.04.2009 18:18

Das Script ist noch immer nicht gelaufen. :(
Halte dich bitte genau an die Anleitung.

ciao, andreas

m00p	09.04.2009 18:44

Zitat:

Zitat von john.doe (Beitrag 427332)

Das Script ist noch immer nicht gelaufen. :(

würde ich ja gerne, nur dieses Fenster mit "öffnen mit" kommt immer, wenn ich die txt über dem Combofix loslasse. Auch wenn ich die Maus nicht mehr bewege :( Meine Hände zittern eigentlich nicht :D Aber vielleicht ist meine Maus zu schnell eingestellt, sodass sie sehr schnell im 1px Bereich wackelt?!?

john.doe

09.04.2009 19:43

1. Ziehe das Script mit der rechten Maustaste auf ComboFix.

2. Wenn das Fenster erscheint, dann klickst du auf den freien Bereich des Desktops.

3. Ziehe das Script mit der linken Maustaste auf ComboFix.

4. Doppelklicke auf ComboFix.

ciao, andreas

m00p	09.04.2009 21:33

Bei der Linken Maustaste öffnet sich kein Logfile und mit der rechten Maustaste gehts gar nicht.

john.doe

09.04.2009 21:38

Lade dir ComboFix noch einmal neu herunter.

Danach halte dich genau an diese Anleitung (nur Punkt 2): http://www.trojaner-board.de/427299-post15.html

ciao, andreas

m00p	09.04.2009 21:50

rechte taste funzt nicht :(

john.doe

09.04.2009 22:00

Nachdem du mit der rechte Maustaste das Script rübergezogen hast, musst du ComboFix mit Doppelklick starten.

ciao, andreas

m00p	09.04.2009 22:09

Code:

ComboFix 09-04-04.01 - Jan-Hendrik 2009-04-09 23:02:19.4 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2047.1695 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Jan-Hendrik\Desktop\ComboFix.exe

AV: Sophos Anti-Virus *On-access scanning enabled* (Outdated)

FW: NVIDIA Firewall *disabled*

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Legacy_DAC970NT

-------\Service_dac970nt
 
 

(((((((((((((((((((((((   Dateien erstellt von 2009-03-09 bis 2009-04-09  ))))))))))))))))))))))))))))))

.
 

2009-04-09 22:55 . 2009-04-09 22:55        <DIR>        d--------        c:\programme\Gemeinsame Dateien\DivX Shared

2009-04-09 00:15 . 2009-04-09 00:15        <DIR>        d--------        c:\programme\Panda Security

2009-04-09 00:15 . 2008-06-19 16:24        28,544        --a------        c:\windows\system32\drivers\pavboot.sys

2009-04-08 21:38 . 2009-04-08 21:38        <DIR>        d--------        c:\programme\Trend Micro

2009-04-08 17:11 . 2009-04-08 17:11        <DIR>        d--------        c:\programme\Lavasoft

2009-04-08 17:10 . 2009-04-08 22:14        <DIR>        d--------        c:\programme\CCleaner

2009-04-08 13:48 . 2009-04-08 13:48        <DIR>        d--------        c:\programme\MSXML 4.0

2009-04-08 13:10 . 2009-04-08 13:10        <DIR>        d--h-----        c:\windows\system32\GroupPolicy

2009-04-08 12:57 . 2009-04-08 12:57        <DIR>        d--------        c:\programme\Razer

2009-04-08 12:57 . 2001-01-04 10:12        162,900        ---------        c:\windows\system32\drivers\USBICP.sys

2009-04-08 12:57 . 2005-07-22 15:01        69,632        --a------        c:\windows\system32\razer.cpl

2009-04-08 12:57 . 2005-08-12 10:11        19,020        --a------        c:\windows\system32\drivers\Razerlow.sys

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\de-de

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\de

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\bits

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\l2schemas

2009-04-08 12:25 . 2009-04-08 12:25        <DIR>        d--------        c:\windows\ServicePackFiles

2009-04-08 00:56 . 2009-04-08 17:12        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Lavasoft

2009-04-08 00:24 . 2009-04-09 00:51        <DIR>        d--------        c:\programme\TuneUp Utilities 2009

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\TuneUp Software

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--hs----        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{55A29068-F2CE-456C-9148-C869879E2357}

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\programme\Sophos

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Cisco Systems

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Sophos

2009-04-08 00:15 . 2006-05-08 11:00        15,872        --a------        c:\windows\system32\SophosBootTasks.exe

2009-04-08 00:12 . 2009-04-08 00:12        <DIR>        d--------        C:\savxpsa

2009-04-08 00:12 . 2006-01-05 16:43        80,128        --a------        c:\windows\system32\drivers\savonaccesscontrol.sys

2009-04-08 00:12 . 2006-01-05 16:43        24,064        --a------        c:\windows\system32\drivers\savonaccessfilter.sys

2009-04-07 19:28 . 2009-04-07 19:28        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\FLEXnet

2009-04-07 18:00 . 2009-04-09 00:59        <DIR>        d--------        c:\programme\Bonjour

2009-04-07 17:56 . 2009-04-07 17:56        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Macrovision Shared

2009-04-07 17:50 . 2009-04-08 00:17        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Adobe

2009-04-07 17:16 . 2009-04-07 17:16        <DIR>        d--------        c:\programme\FileZilla

2009-04-07 16:51 . 2002-07-08 00:14        1,294,336        --a------        c:\windows\system32\vorbis.acm

2009-04-07 16:51 . 2006-06-20 10:56        225,280        --a------        c:\windows\system32\rewire.dll

2009-04-07 16:50 . 2009-04-07 16:50        <DIR>        d--------        c:\programme\Outsim

2009-04-07 16:50 . 2009-04-07 16:51        <DIR>        d--------        c:\programme\Image-Line

2009-04-07 16:34 . 2009-04-07 16:34        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Steinberg

2009-04-07 16:29 . 2005-05-09 20:08        33,792        --a------        c:\windows\system32\drivers\cledx.sys

2009-04-07 16:24 . 2009-04-07 16:24        <DIR>        d--------        c:\programme\Steinberg

2009-04-07 16:24 . 2009-04-07 16:24        <DIR>        d--------        c:\programme\Pinnacle

2009-04-07 16:24 . 2004-07-12 16:27        487,936        --a------        c:\windows\system\Rmbe3260.dll

2009-04-07 16:24 . 2004-07-12 16:27        352,768        --a------        c:\windows\system\pngu3263.dll

2009-04-07 16:24 . 2004-07-12 16:27        273,408        --a------        c:\windows\system\Pncrt.dll

2009-04-07 16:24 . 2004-07-12 16:27        131,072        --a------        c:\windows\system\Pneng50.dll

2009-04-07 16:24 . 2004-07-12 16:27        130,560        --a------        c:\windows\system\Pnc3250.dll

2009-04-07 16:24 . 2004-07-12 16:27        87,040        --a------        c:\windows\system\Ra32sipr.dll

2009-04-07 16:24 . 2004-07-12 16:27        85,504        --a------        c:\windows\system\Encdnet.dll

2009-04-07 16:24 . 2004-07-12 16:27        81,920        --a------        c:\windows\system\Ra3214_4.dll

2009-04-07 16:24 . 2004-07-12 16:27        72,704        --a------        c:\windows\system\Ra3228_8.dll

2009-04-07 16:24 . 2004-07-12 16:27        61,952        --a------        c:\windows\system\Decdnet.dll

2009-04-07 16:24 . 2004-07-12 16:27        21,504        --a------        c:\windows\system\Ra32dnet.dll

2009-04-07 16:22 . 2009-04-07 16:22        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Pinnacle

2009-04-07 16:22 . 2003-08-01 05:28        147,425        --a------        c:\windows\system32\SYNSOACC-Aide.chm

2009-04-07 16:22 . 2003-05-27 00:29        120,468        --a------        c:\windows\system32\SYNSOACC-Hilfe.chm

2009-04-07 16:22 . 2003-05-27 00:29        114,279        --a------        c:\windows\system32\SYNSOACC-Help.chm

2009-04-07 16:19 . 2009-04-07 16:19        <DIR>        d--------        c:\programme\Realtek AC97

2009-04-07 15:42 . 2009-04-07 15:42        <DIR>        d--------        c:\programme\Lavalys

2009-04-07 00:24 . 2009-04-07 15:52        169        --a------        c:\windows\RtlRack.ini

2009-04-07 00:23 . 2009-04-07 00:23        <DIR>        d--------        c:\programme\Realtek Sound Manager

2009-04-07 00:23 . 2009-04-07 00:23        <DIR>        d--------        c:\programme\AvRack

2009-04-07 00:23 . 2006-11-17 05:40        18,804,736        --a------        c:\windows\system32\alsndmgr.cpl

2009-04-07 00:23 . 2006-12-08 15:20        10,528,768        --a------        c:\windows\system32\RTLCPL.exe

2009-04-07 00:23 . 2008-09-24 10:40        4,122,368        -ra------        c:\windows\system32\drivers\alcxwdm.sys

2009-04-07 00:23 . 2007-04-16 15:28        651,264        --a------        c:\windows\soundman.exe

2009-04-07 00:23 . 2006-07-31 11:19        315,392        --a------        c:\windows\alcupd.exe

2009-04-07 00:23 . 2006-07-31 11:27        217,088        --a------        c:\windows\Alcrmv.exe

2009-04-07 00:23 . 2006-10-18 02:53        147,456        --a------        c:\windows\system32\RtlCPAPI.dll

2009-04-07 00:23 . 2002-02-05 13:54        141,016        --a------        c:\windows\system32\alsndmgr.wav

2009-04-07 00:23 . 2006-08-01 15:02        49,152        --a------        c:\windows\system32\ChCfg.exe

2009-04-06 23:54 . 2009-04-07 16:29        <DIR>        d--------        c:\programme\Syncrosoft

2009-04-06 23:54 . 2005-02-01 04:34        700,416        --a------        c:\windows\system32\SYNSOACC.dll

2009-04-06 23:54 . 2004-05-11 00:58        147,456        --a------        c:\windows\system32\SynsoLChk.dll

2009-04-06 23:54 . 2002-11-25 17:36        45,056        --a------        c:\windows\system32\Synsopos.exe

2009-04-06 23:54 . 2001-04-09 14:03        17,784        --a------        c:\windows\system32\drivers\NSynas32.sys

2009-04-06 23:54 . 2002-11-25 14:46        16,896        --a------        c:\windows\system32\drivers\SynasUSB.sys

2009-04-06 15:41 . 2009-04-06 15:41        552        --a------        c:\windows\system32\d3d8caps.dat

2009-04-06 15:29 . 2009-04-06 23:37        <DIR>        d--------        c:\windows\NV40044016.TMP

2009-04-06 15:29 . 2009-04-06 15:29        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield

2009-04-06 15:27 . 2006-03-20 17:33        73,728        --a------        c:\windows\system32\ISUSPM.cpl

2009-04-06 15:26 . 2009-04-06 15:33        <DIR>        d--------        C:\NFSC

2009-04-06 15:22 . 2009-03-27 10:03        215,465        --a------        c:\windows\system32\nvapps.nvb

2009-04-06 15:19 . 2009-04-09 22:57        664        --a------        c:\windows\system32\d3d9caps.dat

2009-04-06 15:15 . 2002-11-02 09:53        57,344        --a------        c:\windows\system32\WNASPINT.DLL

2009-04-06 03:40 . 2009-04-06 03:40        <DIR>        d--------        c:\windows\system32\QuickTime

2009-04-06 03:40 . 2009-04-06 15:09        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Macromedia

2009-04-06 03:02 . 2009-04-06 03:02        13,646        --a------        c:\windows\system32\wpa.bak

2009-04-06 03:01 . 2009-04-06 03:01        <DIR>        dr-------        c:\dokumente und einstellungen\LocalService\Favoriten

2009-04-06 02:57 . 2006-11-17 11:29        88,691        --a------        c:\windows\system32\nvapps.xml

2009-04-06 02:57 . 2009-04-06 02:57        86,791        --ah-----        c:\windows\MEMORY.DMP

2009-04-06 02:56 . 2009-04-07 00:02        <DIR>        d--------        c:\windows\nview

2009-04-06 02:56 . 2009-04-06 02:57        <DIR>        d--------        c:\windows\NV3852320.TMP

2009-04-06 02:56 . 2009-03-27 10:03        453,152        --a------        c:\windows\system32\nvudisp.exe

2009-04-06 02:56 . 2009-03-27 10:03        19,054        --a------        c:\windows\system32\nvdisp.nvu

2009-04-06 02:52 . 2009-04-06 02:53        <DIR>        d--------        c:\programme\Winamp

2009-04-06 02:52 . 2009-04-06 02:53        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Winamp

2009-04-06 02:48 . 2004-08-03 22:41        1,309,184        ---------        c:\windows\system32\drivers\mtlstrm.sys

2009-04-06 02:47 . 2004-08-04 00:38        701,952        ---------        c:\windows\system32\drivers\ati2mtag.sys

2009-04-06 02:35 . 2008-06-14 19:32        273,024        ---------        c:\windows\system32\drivers\bthport.sys

2009-04-06 02:35 . 2008-06-14 19:32        273,024        -----c---        c:\windows\system32\dllcache\bthport.sys

2009-04-06 02:34 . 2009-04-07 15:39        <DIR>        d--------        c:\windows\aod

2009-04-06 02:34 . 2009-04-06 02:34        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\ICQ

2009-04-06 02:34 . 2008-12-12 19:01        3,088,896        -----c---        c:\windows\system32\dllcache\mshtml.dll

2009-04-06 02:34 . 2008-10-16 03:00        1,499,136        -----c---        c:\windows\system32\dllcache\shdocvw.dll

2009-04-06 02:34 . 2008-10-16 03:00        671,744        -----c---        c:\windows\system32\dllcache\wininet.dll

2009-04-06 02:34 . 2008-10-16 03:00        620,544        -----c---        c:\windows\system32\dllcache\urlmon.dll

2009-04-06 02:33 . 2009-04-09 23:05        <DIR>        d--------        c:\programme\ICQ

2009-04-06 02:32 . 2008-08-14 15:19        2,191,488        -----c---        c:\windows\system32\dllcache\ntoskrnl.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,147,840        -----c---        c:\windows\system32\dllcache\ntkrnlmp.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,068,352        -----c---        c:\windows\system32\dllcache\ntkrnlpa.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,026,496        -----c---        c:\windows\system32\dllcache\ntkrpamp.exe

2009-04-06 02:31 . 2008-05-08 16:02        203,136        -----c---        c:\windows\system32\dllcache\rmcast.sys

2009-04-06 02:30 . 2008-04-11 21:04        691,712        -----c---        c:\windows\system32\dllcache\inetcomm.dll

2009-04-06 02:30 . 2008-10-24 13:21        455,296        -----c---        c:\windows\system32\dllcache\mrxsmb.sys

2009-04-06 02:30 . 2008-10-15 18:35        337,408        -----c---        c:\windows\system32\dllcache\netapi32.dll

2009-04-06 02:30 . 2008-12-11 12:57        333,952        -----c---        c:\windows\system32\dllcache\srv.sys

2009-04-06 02:29 . 2007-08-10 20:44        26,488        --a------        c:\windows\system32\spupdsvc.exe

2009-04-06 02:02 . 2009-04-06 02:02        0        --a------        c:\windows\nsreg.dat

2009-04-06 01:53 . 2009-04-06 01:53        <DIR>        d--------        c:\programme\NVIDIA Corporation

2009-04-06 01:53 . 2009-04-08 12:57        <DIR>        d--h-----        c:\programme\InstallShield Installation Information

2009-04-06 01:53 . 2009-04-06 01:53        1,024        --a------        C:\.rnd

2009-04-06 01:53 . 2009-04-06 01:53        26        --a------        c:\windows\Dateiname

2009-04-06 01:52 . 2009-04-06 01:52        <DIR>        d--------        c:\windows\Downloaded Installations

2009-04-06 01:50 . 2009-04-06 01:50        <DIR>        d--------        c:\windows\system32\Tools
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-04-06 22:03        90,112        ----a-w        c:\windows\DUMP5822.tmp

2009-04-05 20:27        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Office Genuine Advantage

2009-04-05 19:04        ---------        d-----w        c:\programme\microsoft frontpage

2009-04-05 19:03        ---------        d-----w        c:\programme\Online-Dienste

2009-04-05 19:02        ---------        d-----w        c:\programme\Gemeinsame Dateien\Dienste

2009-02-24 19:34        1,044,480        ----a-w        c:\programme\mozilla firefox\plugins\libdivx.dll

2009-02-24 19:34        200,704        ----a-w        c:\programme\mozilla firefox\plugins\ssldivx.dll

.
 

(((((((((((((((((((((((((((((   SnapShot@2009-04-08_22.40.54.62   )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-03-10 20:18:02        265,096        -c----w        c:\windows\system32\dllcache\wgaLogon.dll

+ 2009-03-10 20:18:20        970,632        -c----w        c:\windows\system32\dllcache\WgaTray.exe

+ 2009-03-10 20:18:20        1,482,112        ------w        c:\windows\system32\LegitCheckControl.dll

- 2008-04-14 02:22:59        136,192        ----a-w        c:\windows\system32\rundll32.exe

+ 2008-04-14 02:22:59        33,792        ----a-w        c:\windows\system32\rundll32.exe

+ 2009-03-10 20:18:02        265,096        ------w        c:\windows\system32\WgaLogon.dll

+ 2009-03-10 20:18:20        970,632        ------w        c:\windows\system32\WgaTray.exe

+ 2009-04-09 21:04:57        16,384        ----atw        c:\windows\temp\Perflib_Perfdata_d14.dat

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1867264]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"nTrayFw"="c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe" [2005-04-29 344064]

"WinampAgent"="c:\programme\Winamp\winampa.exe" [2007-10-10 118272]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-11-17 7700480]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-11-17 86016]

"Mirabilis ICQ"="c:\progra~1\ICQ\ICQNet.exe" [2003-10-14 112712]

"H2O"="c:\programme\SyncroSoft\Pos\H2O\cledx.exe" [2005-05-11 200069]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 109424]

"ISUSPM"="c:\programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" [2006-03-20 287664]

"razer"="c:\programme\Razer\Copperhead\razerhid.exe" [2005-10-08 237568]

"nwiz"="nwiz.exe" [2009-03-27 c:\windows\system32\nwiz.exe]

"SoundMan"="SOUNDMAN.EXE" [2007-04-16 c:\windows\soundman.exe]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
 

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

AutoUpdate Monitor.lnk - c:\programme\Sophos\AutoUpdate\ALMon.exe [2006-10-12 315392]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableTaskMgr"= 1 (0x1)

"DisableRegistryTools"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService]

@="service"
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

"UacDisableNotify"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]

"DisableMonitoring"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

"AntiVirusOverride"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"FirewallDisableNotify"=dword:00000001

"FirewallOverride"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"UacDisableNotify"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\Apache Group\\Apache2\\bin\\Apache.exe"=

"c:\\Programme\\ICQ\\Icq.exe"=

"d:\\Spiele\\Tactical Ops\\System\\TacticalOps.exe"=

"c:\\Programme\\Winamp\\winampa.exe"=

"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\bin\\nTrayFw.exe"=

"c:\\Programme\\Mozilla Firefox\\firefox.exe"=

"f:\\Programme\\Image-Line\\FL Studio 8\\FL.exe"=

"c:\\WINDOWS\\system32\\nwiz.exe"=

"c:\\Programme\\Adobe\\Reader 9.0\\Reader\\Reader_sl.exe"=

"c:\\Programme\\Gemeinsame Dateien\\InstallShield\\UpdateService\\ISUSPM.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\wuauclt.exe"=

"c:\\Programme\\Razer\\Copperhead\\razerofa.exe"=

"c:\\WINDOWS\\VFIND.exe"=
 

R0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [2009-04-09 28544]

R1 SAVOnAccess Control;SAVOnAccess Control;c:\windows\system32\drivers\savonaccesscontrol.sys [2009-04-08 80128]

R1 SAVOnAccess Filter;SAVOnAccess Filter;c:\windows\system32\drivers\savonaccessfilter.sys [2009-04-08 24064]

R2 SAVService;Sophos Anti-Virus;c:\programme\Sophos\Sophos Anti-Virus\SavService.exe [2006-10-04 86016]

R3 CLEDX;Team H2O CLEDX service;c:\windows\system32\drivers\cledx.sys [2009-04-07 33792]

R3 Razerlow;Razer Copperhead Driver;c:\windows\system32\drivers\Razerlow.sys [2009-04-08 19020]

S2 SAVAdminService;Sophos Anti-Virus Statusreporter;c:\programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe [2006-10-04 147456]
 

--- Andere Dienste/Treiber im Speicher ---
 

*NewlyCreated* - DAC970NT
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b4e426e8-2377-11de-bccc-0019213a02bb}]

\shell\aUtoPlay\ComMANd - I:\snvqv.exe

\shell\AutoRun\command - I:\snvqv.exe

\shell\eXPlORe\CommaND - I:\snvqv.exe

\shell\opEN\CommanD - I:\snvqv.exe

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.klamm.de/?id=244863

uInternet Settings,ProxyOverride = *.local

LSP: %SYSTEMROOT%\system32\nvappfilter.dll

FF - ProfilePath - c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Mozilla\Firefox\Profiles\s16whaf2.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.klamm.de/?id=244863

FF - plugin: f:\divx\DivX Web Player\npdivx32.dll

.
 

**************************************************************************
 

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-04-09 23:04:59

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'lsass.exe'(736)

c:\windows\system32\nvappfilter.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

c:\programme\Razer\Copperhead\razertra.exe

c:\programme\Razer\Copperhead\razerofa.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2009-04-09 23:07:42 - PC wurde neu gestartet [Jan-Hendrik]

ComboFix-quarantined-files.txt  2009-04-09 21:07:40

ComboFix2.txt  2009-04-09 17:09:44

ComboFix3.txt  2009-04-09 15:57:47

ComboFix4.txt  2009-04-08 20:42:02
 

Vor Suchlauf: 11 Verzeichnis(se), 17,878,601,728 Bytes frei

Nach Suchlauf: 10 Verzeichnis(se), 17,837,555,712 Bytes frei
 

283        --- E O F ---        2009-04-08 11:48:28

das hat geklappt :)
hatte vorhin noch den divx webplayer installiert also nicht wundern

john.doe

09.04.2009 22:45

Zitat:

das hat geklappt

Nein, leider wieder nicht. Ich weiß auch wirklich nicht, wie ich es noch erklären soll. Ich werde mal Hilfe holen.

ciao, andreas

m00p	09.04.2009 22:55

Zitat:

Zitat von john.doe (Beitrag 427400)

Nein, leider wieder nicht. Ich weiß auch wirklich nicht, wie ich es noch erklären soll. Ich werde mal Hilfe holen.

ciao, andreas

hmm,wenn ich die .txt mit der rechten Maustaste auf Combofix ziehe, dann öffnet sich dieses Fenster mit "öffnen mit". Danach hab ich einfach einen Doppelklick auf Combofix gemacht :/

Kaos	09.04.2009 23:14

Erstell bitte mal eine Uninstall-Liste mit HijackThis.

Starte HJT -> "Open the Misc Tool section" -> dort auf "Open Uninstall Manager" und anschließende auf "Save List".

Hast du vielleicht ein Tool installiert, das Drag&Drop auf dem Desktop verhindert?

Du könnstest auch versuchen, alle Schutzprogramme, die du auf dem Rechner hast, vorrübergehend zu deaktivieren. Auch Virenscanner.

m00p	09.04.2009 23:32

das mach ich ja schon jedesmal wenn ich combofix starte,

Code:

Ad-Aware SE Professional

Adobe Anchor Service CS3

Adobe Asset Services CS3

Adobe Bridge CS3

Adobe Bridge Start Meeting

Adobe Camera Raw 4.0

Adobe CMaps

Adobe Color - Photoshop Specific

Adobe Color Common Settings

Adobe Color EU Recommended Settings

Adobe Color JA Extra Settings

Adobe Color NA Extra Settings

Adobe Default Language CS3

Adobe Device Central CS3

Adobe ExtendScript Toolkit 2

Adobe Flash Player 10 Plugin

Adobe Fonts All

Adobe Help Viewer CS3

Adobe Linguistics CS3

Adobe PDF Library Files

Adobe Photoshop CS3

Adobe Photoshop CS3

Adobe Reader 9.1 - Deutsch

Adobe Setup

Adobe Stock Photos CS3

Adobe Type Support

Adobe Update Manager CS3

Adobe Version Cue CS3 Client

Adobe WinSoft Linguistics Plugin

Adobe XMP Panels CS3

ASIO4ALL

CCleaner (remove only)

Collab

DivX Web Player

EVEREST Home Edition v2.20

FileZilla (remove only)

FL Studio 8

HijackThis 2.0.2

HipHop 6

Hotfix für Windows XP (KB952287)

ICQ

IL Download Manager

IsoBuster 2.1

Macromedia Extension Manager

Macromedia Flash 8

Macromedia Flash 8 Video Encoder

Macromedia Flash Player 8

Mozilla Firefox (3.0.8)

MSXML 4.0 SP2 (KB954430)

Need for Speed Carbon

NVIDIA Drivers

NVIDIA ForceWare Network Access Manager

Panda ActiveScan 2.0

PDF Settings

PoiZone

Razer Copperhead

Realtek AC'97 Audio

Scarface: The World is Yours

Sicherheitsupdate für Windows Media Player (KB952069)

Sicherheitsupdate für Windows XP (KB923789)

Sicherheitsupdate für Windows XP (KB938464-v2)

Sicherheitsupdate für Windows XP (KB946648)

Sicherheitsupdate für Windows XP (KB950760)

Sicherheitsupdate für Windows XP (KB950762)

Sicherheitsupdate für Windows XP (KB950974)

Sicherheitsupdate für Windows XP (KB951066)

Sicherheitsupdate für Windows XP (KB951376-v2)

Sicherheitsupdate für Windows XP (KB951698)

Sicherheitsupdate für Windows XP (KB951748)

Sicherheitsupdate für Windows XP (KB952954)

Sicherheitsupdate für Windows XP (KB954459)

Sicherheitsupdate für Windows XP (KB954600)

Sicherheitsupdate für Windows XP (KB955069)

Sicherheitsupdate für Windows XP (KB956802)

Sicherheitsupdate für Windows XP (KB956803)

Sicherheitsupdate für Windows XP (KB956841)

Sicherheitsupdate für Windows XP (KB957097)

Sicherheitsupdate für Windows XP (KB958215)

Sicherheitsupdate für Windows XP (KB958644)

Sicherheitsupdate für Windows XP (KB958687)

Sicherheitsupdate für Windows XP (KB958690)

Sicherheitsupdate für Windows XP (KB960225)

Sicherheitsupdate für Windows XP (KB960714)

Sicherheitsupdate für Windows XP (KB960715)

Sophos Anti-Virus

Sophos AutoUpdate

Steinberg Cubase SX 3

SyncroSoft Emu (Remove only)

Syncrosofts Lizenz Kontrolle

Toxic Biohazard

Update für Windows XP (KB951978)

Update für Windows XP (KB955839)

Update für Windows XP (KB967715)

VC80CRTRedist - 8.0.50727.762

VEGA$ Tycoon

Winamp

Windows Media Format Runtime

Windows XP Service Pack 3

WinRAR

Kaos	10.04.2009 00:31

Mach bitte folgendes:

1. Heisst die textdatei auch cfscript.txt (nicht cfscript.txt.txt oder so)
2. Ziehe die cfscript mit der rechten Maustaste auf das Combofixsymbol. (Das Öffnen mit NICHT anklicken, drücke irgendwo auf den Desktop.
3. Ziehe cfscript nun mit der linken Maustaste auf das Combofixsymbol

Combofix sollte nun starten und anschließend automatisch den PC neustarten. Nach dem Neustart sollte dann auch die cfscript Datei weg sein.

m00p	10.04.2009 00:51

Zitat:

Zitat von Kaos (Beitrag 427413)

Mach bitte folgendes:

1. Heisst die textdatei auch cfscript.txt (nicht cfscript.txt.txt oder so)
2. Ziehe die cfscript mit der rechten Maustaste auf das Combofixsymbol. (Das Öffnen mit NICHT anklicken, drücke irgendwo auf den Desktop.
3. Ziehe cfscript nun mit der linken Maustaste auf das Combofixsymbol

Combofix sollte nun starten und anschließend automatisch den PC neustarten. Nach dem Neustart sollte dann auch die cfscript Datei weg sein.

ja, genau so ist es auch... aber es wird auch kein Logfile erstellt :/ und Combofix bricht nach Erstellung des Systemwiederherstellungspunktes ab und startet neu. Noch vor der letzten Abfrage ob man den Scan wirklich will erscheinen Fehler Meldungen mit Überschrifften wie: ping.exe - Abbild Fehlerhaft und ComboFix-Downloader.cfexe - Abbild Fehlerhaft. Mit dem Inhalt das nvappfilter.dll Keine gültige Windowsdatei wäre.

Danke erstmal das ihr so geduldig seid und mir überhaupt hilft, kenne nicht viele Menschen die sowas machen ohne die Person gegenüber zu kennen!:daumenhoc

Kaos	10.04.2009 00:52

Sollte es so auch nicht funktionieren, geht es auch noch anders.

1. Start -> Arbeitsplatz und Festplatte C: öffnen.
2. Dort eine neue Textdatei erstellen. Benenne sie cfscript
3. Kopiere den Inhalt der anderen cfscript (die auf dem Desktop) dort hinein.
4. Start -> Ausführen.... Dort gibst du ein "combofix c:\cfscript.txt" (ohne die "")

Vielleicht geht es ja so.

So, ich gehe jetzt schlafen dir noch viel Erfolg, falls es klappt, kann john.doe dann morgen weiter machen

mfg, Kaos

m00p	10.04.2009 01:04

Zitat:

Zitat von Kaos (Beitrag 427415)

Sollte es so auch nicht funktionieren, geht es auch noch anders.

1. Start -> Arbeitsplatz und Festplatte C: öffnen.
2. Dort eine neue Textdatei erstellen. Benenne sie cfscript
3. Kopiere den Inhalt der anderen cfscript (die auf dem Desktop) dort hinein.
4. Start -> Ausführen.... Dort gibst du ein "combofix c:\cfscript.txt" (ohne die "")

Vielleicht geht es ja so.

So, ich gehe jetzt schlafen dir noch viel Erfolg, falls es klappt, kann john.doe dann morgen weiter machen

mfg, Kaos

das gleiche ergebnis, wie das, was ich vorhin gemacht habe :(

Naja gut nacht

Kaos	10.04.2009 01:07

Deinstalliere mal den NVIDIA ForceWare Network Access Manager. nvappfilter.dll gehört dazu.

Kaos	10.04.2009 01:10

Ich warte noch auf das Ergebnis, ob es nach der Deinstallation geklappt hat, aber dann zzZZZZzzzz : )

m00p	10.04.2009 01:21

und wie? ich finde keine Uninstall datei oder sowas

Kaos	10.04.2009 01:29

Eigentlich über Start -> Systemsteuerung -> Software.

Falls es dort nicht ist:

Start-> Ausführen. Und dann "REGSVR32 /u nvappfilter.dll " (Wieder ohne "")

m00p	10.04.2009 01:56

Deinstallation hat funktioniert, Combofix auch nur es wird immernoch kein Logfile erstellt, im Gegenteil Combofix bleibt hängen.

Zitat:

bereite Logdatei vor.
Starte keine anderen Programme bevor Combofix fertig ist.

<-- aber das doch nich seid 20 Minuten, normaler Weise dauert dieser Abschnit nur ne Minute maximal
Sonst ist auch noch immer mein ICQ gestartet und mein Soundtreiber nach dem neustart von Combofix jetzt nicht mehr :(

Kaos	10.04.2009 01:58

Guck mal ob unter C:\ die combofix Logfile ist.

m00p	10.04.2009 01:59

Zitat:

Zitat von Kaos (Beitrag 427425)

Guck mal ob unter C:\ die combofix Logfile ist.

Nein, leider nicht vorhanden. Aber die CFScript.txt ist weg.

Kaos	10.04.2009 02:08

Seltsam, ich bin mir nicht sicher, wie lange es dauern kann, aber solange kann ich es mir auch nicht vorstellen.

Suche mal in dem Ordner Qoobox nach der letzten Logdatei (Also die mit dem letzten Zeitstempel).

Kann sein das Combofix die cfscript ausgeführt hat, aber die Logfile nicht fertig bekommen hat.

Kaos	10.04.2009 02:16

Also in der cfscript Datei steht es auch so drin, dass ICQ und Soundman entfernt werden. Kannst du später wieder installieren, wenn die Bereinigung fertig ist. Ich denke mal das wird dir dann john.doe noch sagen. Mach also morgen mit dem weiter, was er dir sagt.

Du könntest schonmal Combofix normal laufen lassen und die Logfile hier reinstellen, damit er zumindest sehen kann, was sich soweit geändert hat.

Also keine Sorge wegen dem Sound und ICQ, das lässt sich wieder richten : )

So, nun wird es aber Zeit für mich. Bekomme morgen noch Besuch.

mfg, Kaos und noch eine angenehme Nacht. zzZZZzzz....

m00p	10.04.2009 02:16

hier ist einmal CFScript_used

Code:

KILLALL::
 

Driver::

IPFILTERDRIVER

TuneUp.ProgramStatisticsSvc
 

NetSvC::

UxTuneUp
 

Registry::

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=-

"MSMSGS"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"WinampAgent"=-

"Mirabilis ICQ"=-

"Adobe Reader Speed Launcher"=-

"ISUSPM"=-

"MSConfig"=-

"SoundMan"=-

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=-

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"=-

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableTaskMgr"=-

"DisableRegistryTools"=-

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=-

"UpdatesDisableNotify"=-

"AntiVirusOverride"=-

"FirewallOverride"=-

"UacDisableNotify"=-

[-HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"=-

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\Programme\\Bonjour\\mDNSResponder.exe"=-

"c:\\Programme\\TuneUp Utilities 2009\\ProcessManager.exe"=-

"c:\\Programme\\Gemeinsame Dateien\\InstallShield\\UpdateService\\ISUSPM.exe" =-

[-HKEY_CURRENT_USER\Software\Jan-Hendrik914]
 

File::

c:\windows\Tasks\1-Klick-Wartung.job

c:\windows\Tasks\WGASetup.job

und combofix5.txt

Code:

ComboFix 09-04-04.01 - Jan-Hendrik 2009-04-08 22:34:07.1 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2047.1687 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Jan-Hendrik\Desktop\ComboFix.exe

AV: Sophos Anti-Virus *On-access scanning enabled* (Outdated)

FW: NVIDIA Firewall *disabled*

 * Neuer Wiederherstellungspunkt wurde erstellt

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

c:\programme\INSTALL.LOG

H:\Autorun.inf

I:\autorun.inf

I:\mkisw.pif
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Legacy_DAC970NT

-------\Service_dac970nt
 
 

(((((((((((((((((((((((   Dateien erstellt von 2009-03-08 bis 2009-04-08  ))))))))))))))))))))))))))))))

.
 

2009-04-08 21:38 . 2009-04-08 21:38        <DIR>        d--------        c:\programme\Trend Micro

2009-04-08 17:11 . 2009-04-08 17:11        <DIR>        d--------        c:\programme\Lavasoft

2009-04-08 17:10 . 2009-04-08 22:14        <DIR>        d--------        c:\programme\CCleaner

2009-04-08 13:48 . 2009-04-08 13:48        <DIR>        d--------        c:\windows\system32\KB905474

2009-04-08 13:48 . 2009-04-08 13:48        <DIR>        d--------        c:\programme\MSXML 4.0

2009-04-08 13:48 . 2009-03-10 22:26        1,436,544        --a------        c:\windows\system32\KB905474\wganotifypackageinner.exe

2009-04-08 13:48 . 2009-03-10 22:18        524,680        --a------        c:\windows\system32\KB905474\wgasetup.exe

2009-04-08 13:48 . 2009-02-09 18:51        15,772        --a------        c:\windows\system32\KB905474\wga_eula.txt

2009-04-08 13:10 . 2009-04-08 13:10        <DIR>        d--h-----        c:\windows\system32\GroupPolicy

2009-04-08 12:57 . 2009-04-08 12:57        <DIR>        d--------        c:\programme\Razer

2009-04-08 12:57 . 2001-01-04 10:12        162,900        ---------        c:\windows\system32\drivers\USBICP.sys

2009-04-08 12:57 . 2005-07-22 15:01        69,632        --a------        c:\windows\system32\razer.cpl

2009-04-08 12:57 . 2005-08-12 10:11        19,020        --a------        c:\windows\system32\drivers\Razerlow.sys

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\de-de

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\de

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\bits

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\l2schemas

2009-04-08 12:25 . 2009-04-08 12:25        <DIR>        d--------        c:\windows\ServicePackFiles

2009-04-08 00:56 . 2009-04-08 17:12        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Lavasoft

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--------        c:\programme\TuneUp Utilities 2009

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\TuneUp Software

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software

2009-04-08 00:24 . 2009-04-08 00:24        <DIR>        d--hs----        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{55A29068-F2CE-456C-9148-C869879E2357}

2009-04-08 00:24 . 2009-04-08 00:24        604,416        --a------        c:\windows\system32\TUProgSt.exe

2009-04-08 00:24 . 2009-04-08 00:24        360,704        --a------        c:\windows\system32\TuneUpDefragService.exe

2009-04-08 00:24 . 2009-03-20 15:01        28,416        --a------        c:\windows\system32\uxtuneup.dll

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\programme\Sophos

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Cisco Systems

2009-04-08 00:15 . 2009-04-08 00:15        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Sophos

2009-04-08 00:15 . 2006-05-08 11:00        15,872        --a------        c:\windows\system32\SophosBootTasks.exe

2009-04-08 00:12 . 2009-04-08 00:12        <DIR>        d--------        C:\savxpsa

2009-04-08 00:12 . 2006-01-05 16:43        80,128        --a------        c:\windows\system32\drivers\savonaccesscontrol.sys

2009-04-08 00:12 . 2006-01-05 16:43        24,064        --a------        c:\windows\system32\drivers\savonaccessfilter.sys

2009-04-07 19:28 . 2009-04-07 19:28        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\FLEXnet

2009-04-07 18:00 . 2009-04-07 18:00        <DIR>        d--------        c:\programme\Bonjour

2009-04-07 17:56 . 2009-04-07 17:56        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Macrovision Shared

2009-04-07 17:50 . 2009-04-08 00:17        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Adobe

2009-04-07 17:16 . 2009-04-07 17:16        <DIR>        d--------        c:\programme\FileZilla

2009-04-07 16:51 . 2002-07-08 00:14        1,294,336        --a------        c:\windows\system32\vorbis.acm

2009-04-07 16:51 . 2006-06-20 10:56        225,280        --a------        c:\windows\system32\rewire.dll

2009-04-07 16:50 . 2009-04-07 16:50        <DIR>        d--------        c:\programme\Outsim

2009-04-07 16:50 . 2009-04-07 16:51        <DIR>        d--------        c:\programme\Image-Line

2009-04-07 16:34 . 2009-04-07 16:34        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Steinberg

2009-04-07 16:29 . 2005-05-09 20:08        33,792        --a------        c:\windows\system32\drivers\cledx.sys

2009-04-07 16:24 . 2009-04-07 16:24        <DIR>        d--------        c:\programme\Steinberg

2009-04-07 16:24 . 2009-04-07 16:24        <DIR>        d--------        c:\programme\Pinnacle

2009-04-07 16:24 . 2004-07-12 16:27        487,936        --a------        c:\windows\system\Rmbe3260.dll

2009-04-07 16:24 . 2004-07-12 16:27        352,768        --a------        c:\windows\system\pngu3263.dll

2009-04-07 16:24 . 2004-07-12 16:27        273,408        --a------        c:\windows\system\Pncrt.dll

2009-04-07 16:24 . 2004-07-12 16:27        131,072        --a------        c:\windows\system\Pneng50.dll

2009-04-07 16:24 . 2004-07-12 16:27        130,560        --a------        c:\windows\system\Pnc3250.dll

2009-04-07 16:24 . 2004-07-12 16:27        87,040        --a------        c:\windows\system\Ra32sipr.dll

2009-04-07 16:24 . 2004-07-12 16:27        85,504        --a------        c:\windows\system\Encdnet.dll

2009-04-07 16:24 . 2004-07-12 16:27        81,920        --a------        c:\windows\system\Ra3214_4.dll

2009-04-07 16:24 . 2004-07-12 16:27        72,704        --a------        c:\windows\system\Ra3228_8.dll

2009-04-07 16:24 . 2004-07-12 16:27        61,952        --a------        c:\windows\system\Decdnet.dll

2009-04-07 16:24 . 2004-07-12 16:27        21,504        --a------        c:\windows\system\Ra32dnet.dll

2009-04-07 16:22 . 2009-04-07 16:22        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Pinnacle

2009-04-07 16:22 . 2003-08-01 05:28        147,425        --a------        c:\windows\system32\SYNSOACC-Aide.chm

2009-04-07 16:22 . 2003-05-27 00:29        120,468        --a------        c:\windows\system32\SYNSOACC-Hilfe.chm

2009-04-07 16:22 . 2003-05-27 00:29        114,279        --a------        c:\windows\system32\SYNSOACC-Help.chm

2009-04-07 16:19 . 2009-04-07 16:19        <DIR>        d--------        c:\programme\Realtek AC97

2009-04-07 15:42 . 2009-04-07 15:42        <DIR>        d--------        c:\programme\Lavalys

2009-04-07 00:24 . 2009-04-07 15:52        169        --a------        c:\windows\RtlRack.ini

2009-04-07 00:23 . 2009-04-07 00:23        <DIR>        d--------        c:\programme\Realtek Sound Manager

2009-04-07 00:23 . 2009-04-07 00:23        <DIR>        d--------        c:\programme\AvRack

2009-04-07 00:23 . 2006-11-17 05:40        18,804,736        --a------        c:\windows\system32\alsndmgr.cpl

2009-04-07 00:23 . 2006-12-08 15:20        10,528,768        --a------        c:\windows\system32\RTLCPL.exe

2009-04-07 00:23 . 2008-09-24 10:40        4,122,368        -ra------        c:\windows\system32\drivers\alcxwdm.sys

2009-04-07 00:23 . 2007-04-16 15:28        577,536        --a------        c:\windows\soundman.exe

2009-04-07 00:23 . 2006-07-31 11:19        315,392        --a------        c:\windows\alcupd.exe

2009-04-07 00:23 . 2006-07-31 11:27        217,088        --a------        c:\windows\Alcrmv.exe

2009-04-07 00:23 . 2006-10-18 02:53        147,456        --a------        c:\windows\system32\RtlCPAPI.dll

2009-04-07 00:23 . 2002-02-05 13:54        141,016        --a------        c:\windows\system32\alsndmgr.wav

2009-04-07 00:23 . 2006-08-01 15:02        49,152        --a------        c:\windows\system32\ChCfg.exe

2009-04-06 23:54 . 2009-04-07 16:29        <DIR>        d--------        c:\programme\Syncrosoft

2009-04-06 23:54 . 2005-02-01 04:34        700,416        --a------        c:\windows\system32\SYNSOACC.dll

2009-04-06 23:54 . 2004-05-11 00:58        147,456        --a------        c:\windows\system32\SynsoLChk.dll

2009-04-06 23:54 . 2002-11-25 17:36        45,056        --a------        c:\windows\system32\Synsopos.exe

2009-04-06 23:54 . 2001-04-09 14:03        17,784        --a------        c:\windows\system32\drivers\NSynas32.sys

2009-04-06 23:54 . 2002-11-25 14:46        16,896        --a------        c:\windows\system32\drivers\SynasUSB.sys

2009-04-06 15:41 . 2009-04-06 15:41        552        --a------        c:\windows\system32\d3d8caps.dat

2009-04-06 15:29 . 2009-04-06 23:37        <DIR>        d--------        c:\windows\NV40044016.TMP

2009-04-06 15:29 . 2009-04-06 15:29        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield

2009-04-06 15:27 . 2006-03-20 17:33        73,728        --a------        c:\windows\system32\ISUSPM.cpl

2009-04-06 15:26 . 2009-04-06 15:33        <DIR>        d--------        C:\NFSC

2009-04-06 15:22 . 2009-03-27 10:03        215,465        --a------        c:\windows\system32\nvapps.nvb

2009-04-06 15:19 . 2009-04-08 16:59        664        --a------        c:\windows\system32\d3d9caps.dat

2009-04-06 15:15 . 2002-11-02 09:53        57,344        --a------        c:\windows\system32\WNASPINT.DLL

2009-04-06 03:40 . 2009-04-06 03:40        <DIR>        d--------        c:\windows\system32\QuickTime

2009-04-06 03:40 . 2009-04-06 15:09        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Macromedia

2009-04-06 03:02 . 2009-04-06 03:02        13,646        --a------        c:\windows\system32\wpa.bak

2009-04-06 03:01 . 2009-04-06 03:01        <DIR>        dr-------        c:\dokumente und einstellungen\LocalService\Favoriten

2009-04-06 02:57 . 2006-11-17 11:29        88,691        --a------        c:\windows\system32\nvapps.xml

2009-04-06 02:57 . 2009-04-06 02:57        86,791        --ah-----        c:\windows\MEMORY.DMP

2009-04-06 02:56 . 2009-04-07 00:02        <DIR>        d--------        c:\windows\nview

2009-04-06 02:56 . 2009-04-06 02:57        <DIR>        d--------        c:\windows\NV3852320.TMP

2009-04-06 02:56 . 2009-03-27 10:03        453,152        --a------        c:\windows\system32\nvudisp.exe

2009-04-06 02:56 . 2009-03-27 10:03        19,054        --a------        c:\windows\system32\nvdisp.nvu

2009-04-06 02:52 . 2009-04-06 02:53        <DIR>        d--------        c:\programme\Winamp

2009-04-06 02:52 . 2009-04-06 02:53        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Winamp

2009-04-06 02:48 . 2004-08-03 22:41        1,309,184        ---------        c:\windows\system32\drivers\mtlstrm.sys

2009-04-06 02:47 . 2004-08-04 00:38        701,952        ---------        c:\windows\system32\drivers\ati2mtag.sys

2009-04-06 02:35 . 2008-06-14 19:32        273,024        ---------        c:\windows\system32\drivers\bthport.sys

2009-04-06 02:35 . 2008-06-14 19:32        273,024        -----c---        c:\windows\system32\dllcache\bthport.sys

2009-04-06 02:34 . 2009-04-07 15:39        <DIR>        d--------        c:\windows\aod

2009-04-06 02:34 . 2009-04-06 02:34        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\ICQ

2009-04-06 02:34 . 2008-12-12 19:01        3,088,896        -----c---        c:\windows\system32\dllcache\mshtml.dll

2009-04-06 02:34 . 2008-10-16 03:00        1,499,136        -----c---        c:\windows\system32\dllcache\shdocvw.dll

2009-04-06 02:34 . 2008-10-16 03:00        671,744        -----c---        c:\windows\system32\dllcache\wininet.dll

2009-04-06 02:34 . 2008-10-16 03:00        620,544        -----c---        c:\windows\system32\dllcache\urlmon.dll

2009-04-06 02:33 . 2009-04-08 22:38        <DIR>        d--------        c:\programme\ICQ

2009-04-06 02:32 . 2008-08-14 15:19        2,191,488        -----c---        c:\windows\system32\dllcache\ntoskrnl.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,147,840        -----c---        c:\windows\system32\dllcache\ntkrnlmp.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,068,352        -----c---        c:\windows\system32\dllcache\ntkrnlpa.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,026,496        -----c---        c:\windows\system32\dllcache\ntkrpamp.exe

2009-04-06 02:31 . 2008-05-08 16:02        203,136        -----c---        c:\windows\system32\dllcache\rmcast.sys

2009-04-06 02:30 . 2008-04-11 21:04        691,712        -----c---        c:\windows\system32\dllcache\inetcomm.dll

2009-04-06 02:30 . 2008-10-24 13:21        455,296        -----c---        c:\windows\system32\dllcache\mrxsmb.sys

2009-04-06 02:30 . 2008-10-15 18:35        337,408        -----c---        c:\windows\system32\dllcache\netapi32.dll

2009-04-06 02:30 . 2008-12-11 12:57        333,952        -----c---        c:\windows\system32\dllcache\srv.sys

2009-04-06 02:29 . 2007-08-10 20:44        26,488        --a------        c:\windows\system32\spupdsvc.exe

2009-04-06 02:02 . 2009-04-06 02:02        0        --a------        c:\windows\nsreg.dat

2009-04-06 01:53 . 2009-04-06 01:53        <DIR>        d--------        c:\programme\NVIDIA Corporation

2009-04-06 01:53 . 2009-04-08 12:57        <DIR>        d--h-----        c:\programme\InstallShield Installation Information
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-04-06 22:03        90,112        ----a-w        c:\windows\DUMP5822.tmp

2009-04-05 20:27        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Office Genuine Advantage

2009-04-05 19:04        ---------        d-----w        c:\programme\microsoft frontpage

2009-04-05 19:03        ---------        d-----w        c:\programme\Online-Dienste

2009-04-05 19:02        ---------        d-----w        c:\programme\Gemeinsame Dateien\Dienste

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1764864]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"nTrayFw"="c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe" [2005-04-29 344064]

"WinampAgent"="c:\programme\Winamp\winampa.exe" [2007-10-10 118272]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-11-17 7700480]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-11-17 86016]

"Mirabilis ICQ"="c:\progra~1\ICQ\ICQNet.exe" [2003-10-14 112712]

"H2O"="c:\programme\SyncroSoft\Pos\H2O\cledx.exe" [2005-05-11 200069]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 109424]

"ISUSPM"="c:\programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" [2006-03-20 287664]

"razer"="c:\programme\Razer\Copperhead\razerhid.exe" [2005-10-08 155648]

"MSConfig"="c:\windows\PCHealth\HelpCtr\Binaries\MSConfig.exe" [2008-04-14 172544]

"nwiz"="nwiz.exe" [2009-03-27 c:\windows\system32\nwiz.exe]

"SoundMan"="SOUNDMAN.EXE" [2007-04-16 c:\windows\soundman.exe]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableTaskMgr"= 1 (0x1)

"DisableRegistryTools"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService]

@="service"
 

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^AutoUpdate Monitor.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\AutoUpdate Monitor.lnk

backup=c:\windows\pss\AutoUpdate Monitor.lnkCommon Startup
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]

"Sophos AutoUpdate Service"=2 (0x2)

"SAVService"=2 (0x2)

"SAVAdminService"=2 (0x2)
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

"UacDisableNotify"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]

"DisableMonitoring"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

"AntiVirusOverride"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"FirewallDisableNotify"=dword:00000001

"FirewallOverride"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"UacDisableNotify"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\Apache Group\\Apache2\\bin\\Apache.exe"=

"c:\\Programme\\ICQ\\Icq.exe"=

"d:\\Spiele\\Tactical Ops\\System\\TacticalOps.exe"=

"c:\\Programme\\Bonjour\\mDNSResponder.exe"=

"c:\\Programme\\Winamp\\winampa.exe"=

"c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\bin\\nTrayFw.exe"=

"c:\\Programme\\Mozilla Firefox\\firefox.exe"=

"f:\\Programme\\Image-Line\\FL Studio 8\\FL.exe"=

"c:\\WINDOWS\\system32\\nwiz.exe"=

"c:\\Programme\\Adobe\\Reader 9.0\\Reader\\Reader_sl.exe"=

"c:\\Programme\\TuneUp Utilities 2009\\ProcessManager.exe"=

"c:\\Programme\\Gemeinsame Dateien\\InstallShield\\UpdateService\\ISUSPM.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\wuauclt.exe"=

"c:\\WINDOWS\\system32\\KB905474\\wgasetup.exe"=

"c:\\Programme\\Razer\\Copperhead\\razerofa.exe"=
 

R1 SAVOnAccess Control;SAVOnAccess Control;c:\windows\system32\drivers\savonaccesscontrol.sys [2009-04-08 80128]

R1 SAVOnAccess Filter;SAVOnAccess Filter;c:\windows\system32\drivers\savonaccessfilter.sys [2009-04-08 24064]

R2 TuneUp.ProgramStatisticsSvc;TuneUp Program Statistics Service;c:\windows\system32\TUProgSt.exe [2009-04-08 604416]

R3 CLEDX;Team H2O CLEDX service;c:\windows\system32\drivers\cledx.sys [2009-04-07 33792]

R3 Razerlow;Razer Copperhead Driver;c:\windows\system32\drivers\Razerlow.sys [2009-04-08 19020]

S4 SAVAdminService;Sophos Anti-Virus Statusreporter;c:\programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe [2006-10-04 147456]

S4 SAVService;Sophos Anti-Virus;c:\programme\Sophos\Sophos Anti-Virus\SavService.exe [2006-10-04 86016]
 

--- Andere Dienste/Treiber im Speicher ---
 

*NewlyCreated* - DAC970NT
 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs

UxTuneUp

.

Inhalt des "geplante Tasks" Ordners
 

2009-04-08 c:\windows\Tasks\1-Klick-Wartung.job

- c:\programme\TuneUp Utilities 2009\OneClickStarter.exe [2009-03-20 15:17]
 

2009-04-08 c:\windows\Tasks\WGASetup.job

- c:\windows\system32\KB905474\wgasetup.exe [2009-03-10 22:18]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.klamm.de/?id=244863

uInternet Settings,ProxyOverride = *.local

LSP: %SYSTEMROOT%\system32\nvappfilter.dll

FF - ProfilePath - c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Mozilla\Firefox\Profiles\s16whaf2.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.klamm.de/?id=244863

.
 

**************************************************************************
 

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-04-08 22:38:43

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'lsass.exe'(736)

c:\windows\system32\nvappfilter.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Bonjour\mDNSResponder.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

c:\programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe

c:\programme\Razer\Copperhead\razertra.exe

c:\programme\Razer\Copperhead\razerofa.exe

c:\windows\system32\winmine.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2009-04-08 22:42:01 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2009-04-08 20:41:59
 

Vor Suchlauf: 12 Verzeichnis(se), 18.227.167.232 Bytes frei

Nach Suchlauf: 11 Verzeichnis(se), 18,161,864,704 Bytes frei
 

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
 

293        --- E O F ---        2009-04-08 11:48:28

sind jeweils die letzten

danke schonmal an Kaos :)

EDIT: Hier der normale ComboFix Scanlauf

http://nopaste.biz/72143

Kaos	10.04.2009 02:19

Nicht ganz. Der ist von 22:34:07 ; )

Müsste dann die Logfile mit der 2 oder ohne Nummer sein.

Aber das die Used dabei ist, ist schon mal gut

john.doe

10.04.2009 12:37

Lade dir das hier herunter, sollte das nicht funktionieren, dann versuche das hier.

1.) Lege auf dem Desktop einen Ordner Salitifix an.
2.) Entpacke die Dateien in diesen Ordner.
3.) Doppelklicke auf rmsality.exe
4.) Klicke nach dem Scan auf Save log und speichere es auf dem Desktop.
5.) Lade die Datei VirusRemover.log bei einem Filehoster (z.B. www.materialordner.de) hoch und poste den Link.

ciao, andreas

m00p	10.04.2009 15:18

http://ul.to/x7isj4 <-- bitteschön :)

john.doe

10.04.2009 15:21

Dann lade dir noch ein neues ComboFix, scanne und poste das Log.

Systemdetails mit RSIT prüfen

Lade Random's System Information Tool (RSIT) von random/random herunter,
speichere es auf Deinem Desktop.
Starte mit Doppelklick die RSIT.exe.
Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

ciao, andreas

john.doe

10.04.2009 16:25

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

D:\Download\Keygen(EMBRACE)\nero8x.exe

D:\Download\win_hack_pro\KeyGen.exe

D:\Download\win_hack_pro\keyfinder.exe

D:\Download\win_hack_pro\Microsoft Genuine Advantage Diagnostic Tool.exe

D:\Download\win_hack_pro\wga-fix.exe

D:\Download\ut2004-winpatch3369.exe

D:\Spiele\VegasTycoon\VEGAS\Crack\casino.exe

D:\Spiele\VegasTycoon\VEGAS\Crack\VegasEuroPatch1_11.exe

D:\Download\Sony.Sound.Forge.Audio.Studio.9.0.Build.85.Winall.Cracked-NoPE\setup\audiostudio90.exe

D:\Programme\HIPHOP6D2\CRACK\HipHop6.exe

D:\Spiele\20061105_1312\Crack\Scarface.exe

F:\Download\Crack.exe

F:\Download\StarCraft_Loader.exe

F:\Download\Wowwal_Launcher.exe

H:\backup\Cracks\Gta SA\GTA_SA.EXE

H:\backup\PhotoshopcS3\adbePScs3extended\Keygen.exe

Markiere jeweils eine Zeile, kopiere sie und füge sie bei Virustotal ein. Sollte die Meldung kommen, dass die Datei schon analysiert wurde, dann klicke trotzdem auf Analysieren.

ciao, andreas

m00p	10.04.2009 16:42

ja, ich kenne aber alle Dateien und kann sagen, dass das von denen nicht kommt. Denn die hab ich alle mitgesichert bevor ich meinen Rechner neu aufgesetzt hatte, H:/ ist übrigens eine Externe Platte.

Bei allen die gleicher Fehlermeldung:

Exception

Please report failure as: ErrorTime= "Apr 10 17:39:23"

RSIT Log.txt

Code:

http://nopaste.biz/72181

info.txt

Code:

http://nopaste.biz/72180

john.doe

10.04.2009 16:58

Dann nimm http://virscan.org oder http://virusscan.jotti.org/de/.

Was ist dein Laufwerk I:?

ciao, andreas

m00p	10.04.2009 17:42

Ich schätze mal der USB Stick, den ich nu aber nicht angeschlossen habe.

Beim 1.
http://virscan.org/report/a8cb4cd8d2bac8efc3b2a70f2acec26c.html

Zur 2.
http://virscan.org/report/d638dc0ae606aec45eaf64ab43c93912.html

Zur 3.
http://virscan.org/report/dda549c475a5dc212290cc3ffdb93d3f.html

zur 4.
http://virscan.org/report/14a5fc2255eba8de8dbde8f0385f7383.html

zur 5.
http://virscan.org/report/218c91936dbe389dfb389c972a1248a7.html

zur 6.
zu groß ist n Patch für ein Spiel ist auch nix mit.

zur 7.
zu groß, ist die .exe für ein Spiel

zur 8.
zu groß, Patch fürs Spiel

zur 9.
zu groß, beide scanner geben Fehlermeldungen

zur 10.
zu groß, .exe für einen MidiSequencer

zur 11.
zu groß, .exe für ein Spiel

zur 12.
zu groß

zur 13.
zu groß, updater für ein spiel

zur 14.
zu groß

zur 15.
zu groß

zur 16.
ebenfalls zu groß

john.doe

10.04.2009 18:20

1.) Deinstalliere vorübergehend:

Sophos Anti-Virus
SyncroSoft Emu (Remove only)
Syncrosofts Lizenz Kontrolle
Panda Onlinescan

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:

Doppelklick auf das Avenger-Symbol http://saved.im/mzi3ntr4adf5/trert.jpg

Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"

Code:

Drivers to delete:

DAC970NT

IPFILTERDRIVER

pavboot

SAVOnAccess Control

SAVOnAccess Filter

SAVService

CLEDX

SAVAdminService
 

Registry keys to delete:

HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc

HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService

HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b4e426e8-2377-11de-bccc-0019213a02bb}
 

Registry values to delete:

HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List | c:\\DOKUME~1\\JAN-HE~1\\LOKALE~1\\Temp\\wingbpvlb.exe

HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile | EnableFirewall

HKEY_LOCAL_MACHINE\software\microsoft\security center | AntiVirusOverride

HKEY_LOCAL_MACHINE\software\microsoft\security center | AntiVirusDisableNotify

HKEY_LOCAL_MACHINE\software\microsoft\security center | FirewallOverride

HKEY_LOCAL_MACHINE\software\microsoft\security center | UpdatesDisableNotify

HKEY_LOCAL_MACHINE\software\microsoft\security center | UacDisableNotify

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system | EnableLUA

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run | H2O
 

Folders to delete:

c:\dokume~1\JAN-HE~1\LOKALE~1\temp

c:\programme\Online-Dienste

c:\programme\Bonjour

C:\savxpsa

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Sophos

c:\programme\Gemeinsame Dateien\Cisco Systems

c:\programme\Sophos

c:\dokumente und einstellungen\All Users\Anwendungsdaten\{55A29068-F2CE-456C-9148-C869879E2357}

c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software

c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\TuneUp Software

c:\programme\TuneUp Utilities 2009

c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Lavasoft

c:\programme\Lavasoft

c:\programme\SyncroSoft\Pos\H2O
 

Files to delete:

c:\windows\DUMP5822.tmp

c:\windows\system32\drivers\ejunpl.sys

c:\windows\system32\SophosBootTasks.exe

c:\windows\nsreg.dat

c:\windows\system32\drivers\cledx.sys

c:\windows\system32\drivers\savonaccessfilter.sys

c:\windows\system32\drivers\savonaccesscontrol.sys

http://saved.im/mzi3ndg3nta0/aven.jpg

Schliesse nun alle Programme und Browser-Fenster

Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet

Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

4.) Poste ein neues ComboFix-Log.

ciao, andreas

m00p	10.04.2009 19:25

Systemwiederherstellung wieder aktivieren?

Avenger Log

Code:

//////////////////////////////////////////

  Avenger Pre-Processor log

//////////////////////////////////////////
 

Platform: Windows XP (build 2600, Service Pack 3)

Fri Apr 10 20:13:01 2009
 

20:12:32: Error: Invalid registry syntax in command:

"HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b4e426e8-2377-11de-bccc-0019213a02bb}"

Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.

Skipping line.  (Registry key deletion mode)  
 
 

//////////////////////////////////////////
 
 

Logfile of The Avenger Version 2.0, (c) by Swandog46

http://swandog46.geekstogo.com
 

Platform:  Windows XP
 

*******************
 

Script file opened successfully.

Script file read successfully.
 

Backups directory opened successfully at C:\Avenger
 

*******************
 

Beginning to process script file:
 

Rootkit scan active.

No rootkits found!
 

Driver "DAC970NT" deleted successfully.
 

Error:  registry key "\Registry\Machine\System\CurrentControlSet\Services\IPFILTERDRIVER" not found!

Deletion of driver "IPFILTERDRIVER" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  registry key "\Registry\Machine\System\CurrentControlSet\Services\pavboot" not found!

Deletion of driver "pavboot" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  registry key "\Registry\Machine\System\CurrentControlSet\Services\SAVOnAccess Control" not found!

Deletion of driver "SAVOnAccess Control" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  registry key "\Registry\Machine\System\CurrentControlSet\Services\SAVOnAccess Filter" not found!

Deletion of driver "SAVOnAccess Filter" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  registry key "\Registry\Machine\System\CurrentControlSet\Services\SAVService" not found!

Deletion of driver "SAVService" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  registry key "\Registry\Machine\System\CurrentControlSet\Services\CLEDX" not found!

Deletion of driver "CLEDX" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  registry key "\Registry\Machine\System\CurrentControlSet\Services\SAVAdminService" not found!

Deletion of driver "SAVAdminService" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  registry key "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService" not found!

Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 

Folder "c:\dokume~1\JAN-HE~1\LOKALE~1\temp" deleted successfully.

Folder "c:\programme\Online-Dienste" deleted successfully.

Folder "c:\programme\Bonjour" deleted successfully.

Folder "C:\savxpsa" deleted successfully.
 

Error:  folder "c:\dokumente und einstellungen\All Users\Anwendungsdaten\Sophos" not found!

Deletion of folder "c:\dokumente und einstellungen\All Users\Anwendungsdaten\Sophos" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  folder "c:\programme\Gemeinsame Dateien\Cisco Systems" not found!

Deletion of folder "c:\programme\Gemeinsame Dateien\Cisco Systems" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 

Folder "c:\programme\Sophos" deleted successfully.

Folder "c:\dokumente und einstellungen\All Users\Anwendungsdaten\{55A29068-F2CE-456C-9148-C869879E2357}" deleted successfully.

Folder "c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software" deleted successfully.

Folder "c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\TuneUp Software" deleted successfully.

Folder "c:\programme\TuneUp Utilities 2009" deleted successfully.

Folder "c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Lavasoft" deleted successfully.

Folder "c:\programme\Lavasoft" deleted successfully.
 

Error:  folder "c:\programme\SyncroSoft\Pos\H2O" not found!

Deletion of folder "c:\programme\SyncroSoft\Pos\H2O" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 

File "c:\windows\DUMP5822.tmp" deleted successfully.

File "c:\windows\system32\drivers\ejunpl.sys" deleted successfully.
 

Error:  file "c:\windows\system32\SophosBootTasks.exe" not found!

Deletion of file "c:\windows\system32\SophosBootTasks.exe" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 

File "c:\windows\nsreg.dat" deleted successfully.

File "c:\windows\system32\drivers\cledx.sys" deleted successfully.
 

Error:  file "c:\windows\system32\drivers\savonaccessfilter.sys" not found!

Deletion of file "c:\windows\system32\drivers\savonaccessfilter.sys" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  file "c:\windows\system32\drivers\savonaccesscontrol.sys" not found!

Deletion of file "c:\windows\system32\drivers\savonaccesscontrol.sys" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 

Registry key "HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc" deleted successfully.

Registry key "HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus" deleted successfully.
 

Error:  could not delete registry value "HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List|c:\\DOKUME~1\\JAN-HE~1\\LOKALE~1\\Temp\\wingbpvlb.exe"

Deletion of registry value "HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List|c:\\DOKUME~1\\JAN-HE~1\\LOKALE~1\\Temp\\wingbpvlb.exe" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Error:  could not delete registry value "HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile|EnableFirewall"

Deletion of registry value "HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile|EnableFirewall" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 

Registry value "HKEY_LOCAL_MACHINE\software\microsoft\security center|AntiVirusOverride" deleted successfully.

Registry value "HKEY_LOCAL_MACHINE\software\microsoft\security center|AntiVirusDisableNotify" deleted successfully.

Registry value "HKEY_LOCAL_MACHINE\software\microsoft\security center|FirewallOverride" deleted successfully.

Registry value "HKEY_LOCAL_MACHINE\software\microsoft\security center|UpdatesDisableNotify" deleted successfully.

Registry value "HKEY_LOCAL_MACHINE\software\microsoft\security center|UacDisableNotify" deleted successfully.

Registry value "HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system|EnableLUA" deleted successfully.
 

Error:  could not delete registry value "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|H2O"

Deletion of registry value "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|H2O" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 
 

Completed script processing.
 

*******************
 

Finished!  Terminate.

ComboFix Log

Code:

ComboFix 09-04-04.01 - Jan-Hendrik 2009-04-10 20:17:26.7 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2047.1740 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Jan-Hendrik\Desktop\ComboFix.exe

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Legacy_DAC970NT

-------\Service_dac970nt
 
 

(((((((((((((((((((((((   Dateien erstellt von 2009-03-10 bis 2009-04-10  ))))))))))))))))))))))))))))))

.
 

2009-04-10 20:13 . 2009-04-10 20:13        0        --a------        C:\backup.reg

2009-04-10 17:44 . 2009-04-10 17:44        <DIR>        d--------        C:\rsit

2009-04-10 16:16 . 2009-04-10 13:03        344,064        --a------        c:\windows\system32\rmsality.nt

2009-04-09 22:55 . 2009-04-09 22:55        <DIR>        d--------        c:\programme\Gemeinsame Dateien\DivX Shared

2009-04-09 00:15 . 2009-04-10 20:04        <DIR>        d--------        c:\programme\Panda Security

2009-04-08 21:38 . 2009-04-08 21:38        <DIR>        d--------        c:\programme\Trend Micro

2009-04-08 17:10 . 2009-04-08 22:14        <DIR>        d--------        c:\programme\CCleaner

2009-04-08 13:48 . 2009-04-08 13:48        <DIR>        d--------        c:\programme\MSXML 4.0

2009-04-08 13:10 . 2009-04-08 13:10        <DIR>        d--h-----        c:\windows\system32\GroupPolicy

2009-04-08 12:57 . 2009-04-08 12:57        <DIR>        d--------        c:\programme\Razer

2009-04-08 12:57 . 2001-01-04 10:12        162,900        ---------        c:\windows\system32\drivers\USBICP.sys

2009-04-08 12:57 . 2005-07-22 15:01        69,632        --a------        c:\windows\system32\razer.cpl

2009-04-08 12:57 . 2005-08-12 10:11        19,020        --a------        c:\windows\system32\drivers\Razerlow.sys

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\de-de

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\de

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\system32\bits

2009-04-08 12:26 . 2009-04-08 12:26        <DIR>        d--------        c:\windows\l2schemas

2009-04-08 12:25 . 2009-04-08 12:25        <DIR>        d--------        c:\windows\ServicePackFiles

2009-04-07 19:28 . 2009-04-07 19:28        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\FLEXnet

2009-04-07 17:56 . 2009-04-07 17:56        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Macrovision Shared

2009-04-07 17:50 . 2009-04-08 00:17        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Adobe

2009-04-07 17:16 . 2009-04-07 17:16        <DIR>        d--------        c:\programme\FileZilla

2009-04-07 16:51 . 2002-07-08 00:14        1,294,336        --a------        c:\windows\system32\vorbis.acm

2009-04-07 16:51 . 2006-06-20 10:56        225,280        --a------        c:\windows\system32\rewire.dll

2009-04-07 16:50 . 2009-04-07 16:50        <DIR>        d--------        c:\programme\Outsim

2009-04-07 16:50 . 2009-04-07 16:51        <DIR>        d--------        c:\programme\Image-Line

2009-04-07 16:34 . 2009-04-07 16:34        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Steinberg

2009-04-07 16:24 . 2009-04-07 16:24        <DIR>        d--------        c:\programme\Steinberg

2009-04-07 16:24 . 2009-04-07 16:24        <DIR>        d--------        c:\programme\Pinnacle

2009-04-07 16:24 . 2004-07-12 16:27        487,936        --a------        c:\windows\system\Rmbe3260.dll

2009-04-07 16:24 . 2004-07-12 16:27        352,768        --a------        c:\windows\system\pngu3263.dll

2009-04-07 16:24 . 2004-07-12 16:27        273,408        --a------        c:\windows\system\Pncrt.dll

2009-04-07 16:24 . 2004-07-12 16:27        131,072        --a------        c:\windows\system\Pneng50.dll

2009-04-07 16:24 . 2004-07-12 16:27        130,560        --a------        c:\windows\system\Pnc3250.dll

2009-04-07 16:24 . 2004-07-12 16:27        87,040        --a------        c:\windows\system\Ra32sipr.dll

2009-04-07 16:24 . 2004-07-12 16:27        85,504        --a------        c:\windows\system\Encdnet.dll

2009-04-07 16:24 . 2004-07-12 16:27        81,920        --a------        c:\windows\system\Ra3214_4.dll

2009-04-07 16:24 . 2004-07-12 16:27        72,704        --a------        c:\windows\system\Ra3228_8.dll

2009-04-07 16:24 . 2004-07-12 16:27        61,952        --a------        c:\windows\system\Decdnet.dll

2009-04-07 16:24 . 2004-07-12 16:27        21,504        --a------        c:\windows\system\Ra32dnet.dll

2009-04-07 16:22 . 2009-04-07 16:22        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Pinnacle

2009-04-07 16:19 . 2009-04-07 16:19        <DIR>        d--------        c:\programme\Realtek AC97

2009-04-07 15:42 . 2009-04-07 15:42        <DIR>        d--------        c:\programme\Lavalys

2009-04-07 00:24 . 2009-04-10 03:00        169        --a------        c:\windows\RtlRack.ini

2009-04-07 00:23 . 2009-04-07 00:23        <DIR>        d--------        c:\programme\Realtek Sound Manager

2009-04-07 00:23 . 2009-04-07 00:23        <DIR>        d--------        c:\programme\AvRack

2009-04-07 00:23 . 2006-11-17 05:40        18,804,736        --a------        c:\windows\system32\alsndmgr.cpl

2009-04-07 00:23 . 2006-12-08 15:20        10,528,768        --a------        c:\windows\system32\RTLCPL.exe

2009-04-07 00:23 . 2008-09-24 10:40        4,122,368        -ra------        c:\windows\system32\drivers\alcxwdm.sys

2009-04-07 00:23 . 2007-04-16 15:28        651,264        --a------        c:\windows\soundman.exe

2009-04-07 00:23 . 2006-07-31 11:19        315,392        --a------        c:\windows\alcupd.exe

2009-04-07 00:23 . 2006-07-31 11:27        217,088        --a------        c:\windows\Alcrmv.exe

2009-04-07 00:23 . 2006-10-18 02:53        147,456        --a------        c:\windows\system32\RtlCPAPI.dll

2009-04-07 00:23 . 2002-02-05 13:54        141,016        --a------        c:\windows\system32\alsndmgr.wav

2009-04-07 00:23 . 2006-08-01 15:02        49,152        --a------        c:\windows\system32\ChCfg.exe

2009-04-06 23:54 . 2009-04-10 20:07        <DIR>        d--------        c:\programme\Syncrosoft

2009-04-06 23:54 . 2002-11-25 14:46        16,896        --a------        c:\windows\system32\drivers\SynasUSB.sys

2009-04-06 15:41 . 2009-04-06 15:41        552        --a------        c:\windows\system32\d3d8caps.dat

2009-04-06 15:29 . 2009-04-06 23:37        <DIR>        d--------        c:\windows\NV40044016.TMP

2009-04-06 15:29 . 2009-04-06 15:29        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\InstallShield

2009-04-06 15:27 . 2006-03-20 17:33        73,728        --a------        c:\windows\system32\ISUSPM.cpl

2009-04-06 15:26 . 2009-04-06 15:33        <DIR>        d--------        C:\NFSC

2009-04-06 15:22 . 2009-03-27 10:03        215,465        --a------        c:\windows\system32\nvapps.nvb

2009-04-06 15:19 . 2009-04-10 20:03        664        --a------        c:\windows\system32\d3d9caps.dat

2009-04-06 15:15 . 2002-11-02 09:53        57,344        --a------        c:\windows\system32\WNASPINT.DLL

2009-04-06 03:40 . 2009-04-06 03:40        <DIR>        d--------        c:\windows\system32\QuickTime

2009-04-06 03:40 . 2009-04-06 15:09        <DIR>        d--------        c:\programme\Gemeinsame Dateien\Macromedia

2009-04-06 03:02 . 2009-04-06 03:02        13,646        --a------        c:\windows\system32\wpa.bak

2009-04-06 03:01 . 2009-04-06 03:01        <DIR>        dr-------        c:\dokumente und einstellungen\LocalService\Favoriten

2009-04-06 02:57 . 2006-11-17 11:29        88,691        --a------        c:\windows\system32\nvapps.xml

2009-04-06 02:57 . 2009-04-06 02:57        86,791        --ah-----        c:\windows\MEMORY.DMP

2009-04-06 02:56 . 2009-04-07 00:02        <DIR>        d--------        c:\windows\nview

2009-04-06 02:56 . 2009-04-06 02:57        <DIR>        d--------        c:\windows\NV3852320.TMP

2009-04-06 02:56 . 2009-03-27 10:03        453,152        --a------        c:\windows\system32\nvudisp.exe

2009-04-06 02:56 . 2009-03-27 10:03        19,054        --a------        c:\windows\system32\nvdisp.nvu

2009-04-06 02:52 . 2009-04-06 02:53        <DIR>        d--------        c:\programme\Winamp

2009-04-06 02:52 . 2009-04-06 02:53        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Winamp

2009-04-06 02:48 . 2004-08-03 22:41        1,309,184        ---------        c:\windows\system32\drivers\mtlstrm.sys

2009-04-06 02:47 . 2004-08-04 00:38        701,952        ---------        c:\windows\system32\drivers\ati2mtag.sys

2009-04-06 02:35 . 2008-06-14 19:32        273,024        ---------        c:\windows\system32\drivers\bthport.sys

2009-04-06 02:35 . 2008-06-14 19:32        273,024        -----c---        c:\windows\system32\dllcache\bthport.sys

2009-04-06 02:34 . 2009-04-07 15:39        <DIR>        d--------        c:\windows\aod

2009-04-06 02:34 . 2009-04-06 02:34        <DIR>        d--------        c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\ICQ

2009-04-06 02:34 . 2008-12-12 19:01        3,088,896        -----c---        c:\windows\system32\dllcache\mshtml.dll

2009-04-06 02:34 . 2008-10-16 03:00        1,499,136        -----c---        c:\windows\system32\dllcache\shdocvw.dll

2009-04-06 02:34 . 2008-10-16 03:00        671,744        -----c---        c:\windows\system32\dllcache\wininet.dll

2009-04-06 02:34 . 2008-10-16 03:00        620,544        -----c---        c:\windows\system32\dllcache\urlmon.dll

2009-04-06 02:33 . 2009-04-10 20:10        <DIR>        d--------        c:\programme\ICQ

2009-04-06 02:32 . 2008-08-14 15:19        2,191,488        -----c---        c:\windows\system32\dllcache\ntoskrnl.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,147,840        -----c---        c:\windows\system32\dllcache\ntkrnlmp.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,068,352        -----c---        c:\windows\system32\dllcache\ntkrnlpa.exe

2009-04-06 02:32 . 2008-08-14 15:19        2,026,496        -----c---        c:\windows\system32\dllcache\ntkrpamp.exe

2009-04-06 02:31 . 2008-05-08 16:02        203,136        -----c---        c:\windows\system32\dllcache\rmcast.sys

2009-04-06 02:30 . 2008-04-11 21:04        691,712        -----c---        c:\windows\system32\dllcache\inetcomm.dll

2009-04-06 02:30 . 2008-10-24 13:21        455,296        -----c---        c:\windows\system32\dllcache\mrxsmb.sys

2009-04-06 02:30 . 2008-10-15 18:35        337,408        -----c---        c:\windows\system32\dllcache\netapi32.dll

2009-04-06 02:30 . 2008-12-11 12:57        333,952        -----c---        c:\windows\system32\dllcache\srv.sys

2009-04-06 02:29 . 2007-08-10 20:44        26,488        --a------        c:\windows\system32\spupdsvc.exe

2009-04-06 01:53 . 2009-04-08 12:57        <DIR>        d--h-----        c:\programme\InstallShield Installation Information

2009-04-06 01:52 . 2009-04-06 01:52        <DIR>        d--------        c:\windows\Downloaded Installations

2009-04-06 01:50 . 2009-04-06 01:50        <DIR>        d--------        c:\windows\system32\Tools

2009-04-06 01:50 . 2009-04-06 15:38        <DIR>        d--------        c:\programme\Gemeinsame Dateien\InstallShield
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-04-05 20:27        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Office Genuine Advantage

2009-04-05 19:04        ---------        d-----w        c:\programme\microsoft frontpage

2009-04-05 19:02        ---------        d-----w        c:\programme\Gemeinsame Dateien\Dienste

2009-02-24 19:34        1,044,480        ----a-w        c:\programme\mozilla firefox\plugins\libdivx.dll

2009-02-24 19:34        200,704        ----a-w        c:\programme\mozilla firefox\plugins\ssldivx.dll

.
 

(((((((((((((((((((((((((((((   SnapShot@2009-04-08_22.40.54.62   )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-03-10 20:18:02        265,096        -c----w        c:\windows\system32\dllcache\wgaLogon.dll

+ 2009-03-10 20:18:20        970,632        -c----w        c:\windows\system32\dllcache\WgaTray.exe

+ 2009-03-10 20:18:20        1,482,112        ------w        c:\windows\system32\LegitCheckControl.dll

- 2008-04-14 02:22:59        136,192        ----a-w        c:\windows\system32\rundll32.exe

+ 2008-04-14 02:22:59        33,792        ----a-w        c:\windows\system32\rundll32.exe

+ 2009-03-10 20:18:02        265,096        ------w        c:\windows\system32\WgaLogon.dll

+ 2009-03-10 20:18:20        970,632        ------w        c:\windows\system32\WgaTray.exe

+ 2009-04-10 18:19:58        16,384        ----atw        c:\windows\temp\Perflib_Perfdata_7fc.dat

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-11-17 7700480]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-11-17 86016]

"razer"="c:\programme\Razer\Copperhead\razerhid.exe" [2005-10-08 237568]

"nwiz"="nwiz.exe" [2009-03-27 c:\windows\system32\nwiz.exe]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableTaskMgr"= 1 (0x1)

"DisableRegistryTools"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"FirewallOverride"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"UacDisableNotify"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

"AntiVirusOverride"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"FirewallDisableNotify"=dword:00000001

"FirewallOverride"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"UacDisableNotify"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\ICQ\\Icq.exe"=

"d:\\Spiele\\Tactical Ops\\System\\TacticalOps.exe"=

"c:\\Programme\\Winamp\\winampa.exe"=

"c:\\Programme\\Mozilla Firefox\\firefox.exe"=

"f:\\Programme\\Image-Line\\FL Studio 8\\FL.exe"=

"c:\\WINDOWS\\system32\\nwiz.exe"=

"c:\\Programme\\Adobe\\Reader 9.0\\Reader\\Reader_sl.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\wuauclt.exe"=

"c:\\Programme\\Razer\\Copperhead\\razerofa.exe"=

"c:\\WINDOWS\\VFIND.exe"=

"c:\\ComboFix\\NirCmd.cfexe"=

"c:\\Programme\\Razer\\Copperhead\\razerhid.exe"=
 

R3 Razerlow;Razer Copperhead Driver;c:\windows\system32\drivers\Razerlow.sys [2009-04-08 19020]
 

--- Andere Dienste/Treiber im Speicher ---
 

*NewlyCreated* - DAC970NT
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b4e426e8-2377-11de-bccc-0019213a02bb}]

\shell\aUtoPlay\ComMANd - I:\snvqv.exe

\shell\AutoRun\command - I:\snvqv.exe

\shell\eXPlORe\CommaND - I:\snvqv.exe

\shell\opEN\CommanD - I:\snvqv.exe

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.klamm.de/?id=244863

uInternet Settings,ProxyOverride = *.local

FF - ProfilePath - c:\dokumente und einstellungen\Jan-Hendrik\Anwendungsdaten\Mozilla\Firefox\Profiles\s16whaf2.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.klamm.de/?id=244863

FF - plugin: f:\divx\DivX Web Player\npdivx32.dll

.
 

**************************************************************************
 

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-04-10 20:19:59

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Razer\Copperhead\razertra.exe

c:\programme\Razer\Copperhead\razerofa.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2009-04-10 20:22:38 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2009-04-10 18:22:36

ComboFix2.txt  2009-04-10 01:27:31

ComboFix3.txt  2009-04-09 21:07:43

ComboFix4.txt  2009-04-09 17:09:44

ComboFix5.txt  2009-04-10 18:17:03
 

Vor Suchlauf: 12 Verzeichnis(se), 21.225.058.304 Bytes frei

Nach Suchlauf: 11 Verzeichnis(se), 21,189,726,208 Bytes frei
 

224        --- E O F ---        2009-04-08 11:48:28

john.doe

10.04.2009 20:22

Code:

Dateiname :          Windows XP Keygen.exe

Größe :          94208 byte

Typ :          MS-DOS executable (EXE), OS/2 or MS Windows

MD5 :          d638dc0ae606aec45eaf64ab43c93912

SHA1 :          8a2f3ac4047494e2aa38e2f8057aa25b5aa85577
 

Scan ErgebnisScan Ergebnis :          25% der Scanner (9/36) haben Malware gefunden!

Zeit :          2008/07/04 20:38:07 (CEST)

Scanner        Engine Ver        Sig Ver        Sig Datum        Scan Ergebnis        Zeit

a-squared        3.5.0.18        2008.07.02        2008-07-02        -        2.644

AhnLab V3        2008.07.05.00        2008.07.05        2008-07-05        Win-AppCare/WinKeygen.94208        1.424

AntiVir        7.8.0.64        7.0.5.52        2008-07-04        SPR/Hacktool.94208        7.079

Arcavir        1.0.4        200807041351        2008-07-04        -        3.696

AVAST!        1.0.8        080704-1        2008-07-04        -        7.746

AVG        7.5.51.442        270.4.5/1533        2008-07-03        HackTool.DEW        4.586

BitDefender        7.60825.1335182        7.19848        2008-07-05        -        9.605

CA (VET)        9.0.0.143        31.6.5927        2008-07-04        -        0.813

ClamAV        0.93        7554        2008-06-25        -        0.002

Comodo        2.11        2.0.0.575        2008-07-04        -        0.830

CP Secure        1.1.0.715        2008.07.05        2008-07-05        Troj.Downloader.W32.Agent.uj        12.604

Dr.Web        4.44.0.9170        2008.07.04        2008-07-04        -        9.326

ewido        4.0.0.2        2008.07.04        2008-07-04        -        2.803

F-Prot        4.4.1.52        20080703        2008-07-03        -        3.104

F-Secure        5.51.6100        2008.07.04.04        2008-07-04        -        0.061

Fortinet        2.81-3.11        0.0        1970-01-01        -        0.600

ViRobot        20080704        2008.07.04        2008-07-04        -        1.194

Ikarus        T3.1.01.26        2008.07.04.71032        2008-07-04        Hack.Tool.Keygen        8.256

JiangMin        11.0.706        2008.07.04        2008-07-04        Backdoor/Agent.aknh        1.680

Kaspersky        5.5.10        2008.07.04        2008-07-04        -        0.066

KingSoft        2008.1.14.15        2008.7.4.17        2008-07-04        -        1.090

McAfee        5.2.00        5332        2008-07-04        Generic Downloader.z        3.962

Microsoft        1.3704        2008.07.02        2008-07-02        -        5.484

mks_vir        2.01        2008.07.02        2008-07-02        Backdoor.Tagent.e        6.591

Norman        5.93.01        5.93.00        2008-07-04        -        14.396

Panda        9.04.03        2008.07.04        2008-07-04        -        2.237

Trend Micro        8.700-1004        5.384.05        2008-07-04        -        0.054

Quick Heal        9.50        2008.07.04        2008-07-04        -        0.819

Rising        20.0        20.51.42.00        2008-07-04        -        1.095

Sophos        2.74.1        4.30        2008-07-05        Mal/Generic-A        6.686

Sunbelt        3.1.1509.1        2118        2008-07-03        -        0.805

Symantec        1.3.0.24        20080704.003        2008-07-04        -        0.170

nProtect        2008-07-04.00        1629390        2008-07-04        -        3.421

The Hacker        6.2.96        v00370        2008-07-03        -        0.624

VBA32        3.12.6.8        20080703.0817        2008-07-03        -        2.149

VirusBuster        4.5.11.10        10.79.1/594378        2008-06-19        -        2.584

Zitat:

Systemwiederherstellung wieder aktivieren?

Kannst du dir sparen. Jetzt kommt: http://www.trojaner-board.de/51262-a...sicherung.html

Ich bin raus,
andreas

Alle Zeitangaben in WEZ +1. Es ist jetzt 07:18 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131