Trojaner-Board
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Trojaner PSW.onlinegames3.bap (https://www.trojaner-board.de/72231-trojaner-psw-onlinegames3-bap.html)

chris1309 21.04.2009 08:35
die Logs von RIST sind zu lange. Desshalb hier der Link zu

info.txt:

http://www.materialordner.de/zr5RDkFKjuw0VYIKVzu35gj0GJMHq3vP.html

und Log.txt

http://www.materialordner.de/2gdupqP7gGrjeRpMp1JJJZELoTKtTYj.html

Gruß chris

chris1309 21.04.2009 08:43
Ok, und hier noch der Log von ZHPDiag.
War auch zu lange. Hier der Link:

http://www.materialordner.de/2gdupqP...ELoTKtTYj.html

john.doe 21.04.2009 15:12
Code:
c:\windows\crackpdf.INI
:eek:

1.) Deinstalliere (falls vorhanden):
  • Ask Toolbar (Adware)
  • uTorrent (Virenschleuder)
  • WinPatrol (sinnfrei)
  • Gmer (Zweck erfüllt)
  • Win-Tuning Suite 2003 (sinnfrei)
  • Spy Blocker (hö?)

2.) Scripten mit Combofix
  • Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:
Code:
KILLALL::

Driver::
Lbd
cmdGuard
cmdHlp
Lavasoft Ad-Aware Service
gusvc
ntnxlmn
aujasnkj

NetSvc::
UxTuneUp

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WinPatrol"=-
"igfxtray"=-
"igfxpers"=-
"COMODO SafeSurf"=-
"COMODO Internet Security"=-
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=-
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]
[-HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Google Updater.lnk]
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"Bonjour Service"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
[-HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{bb22a4fe-5d20-11dc-925d-000e352c2eb0}]

Folder::
c:\dokumente und einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
c:\dokumente und einstellungen\Christian\Anwendungsdaten\SUPERAntiSpyware.com
c:\dokumente und einstellungen\All Users\Anwendungsdaten\comodo
c:\dokumente und einstellungen\All Users\Anwendungsdaten\{7972B2E5-3E09-4E5E-81B7-FE5819D6772F}
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Lavasoft
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
C:\Dokumente und Einstellungen\Christian\Anwendungsdaten\Spybot - Search & Destroy
c:\windows\msdownld.tmp
c:\programme\SUPERAntiSpyware
c:\programme\COMODO
c:\programme\AskBarDis
c:\programme\Lavasoft
c:\dokumente und einstellungen\Christian\Anwendungsdaten\uTorrent
c:\programme\Spybot - Search & Destroy
c:\programme\TuneUp Utilities 2007
C:\WINDOWS\Minidump
C:\rsit
C:\programme\Online-Dienste

File::
c:\windows\Tasks\Ad-Aware Update (Weekly).job
c:\windows\system32\cssdll32.dll
c:\windows\system32\guard32.dll
c:\windows\system32\drivers\cmdhlp.sys
c:\windows\system32\drivers\cmdguard.sys
c:\windows\system32\drivers\Lbd.sys
C:\aaw7boot.log
c:\windows\DUMP6dfc.tmp
c:\windows\system32\perfc007.dat
c:\windows\system32\perfh007.dat
c:\dokumente und einstellungen\Christian\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
c:\dokumente und einstellungen\Christian\Anwendungsdaten\GDIPFONTCACHEV1.DAT
c:\38-svgtemplates_8cd869debe9f2cfd855880c3afd7a05d.zip
c:\38-index-4.5.2.txt
c:\InstallHelper.log
c:\windows\system32\perfh009.dat
c:\windows\system32\perfc009.dat
c:\windows\system32\perfh007.dat
c:\windows\system32\perfc007.dat
c:\windows\system32\PerfStringBackup.INI
c:\windows\system32\jupdate-1.6.0_04-b12.log
c:\windows\system32\SET76.tmp
c:\windows\system32\SET77.tmp
c:\windows\system32\SET72.tmp
c:\windows\system32\SET7E.tmp
c:\windows\system32\SET1C4.tmp
c:\windows\system32\SET1E7.tmp
c:\windows\system32\SET1C6.tmp
c:\windows\system32\SET1D5.tmp
c:\windows\system32\SET1C2.tmp
C:\WINDOWS\WindowsUpdate.log
C:\WINDOWS\DUMP6dfc.tmp
C:\WINDOWS\clock.avi
C:\WINDOWS\NIRCMD.exe
C:\programme\Uninstall Spy Blocker.dll

DirLook::
C:\Config.Msi
C:\Neuer Ordner

FileLook::
Müller Foto.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\xnwfyhdk.mld
Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt
  • Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!
http://users.pandora.be/bluepatchy/m...s/CFScript.gif
  • Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten


Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

chris1309 21.04.2009 19:37
Combofix Log Teil1:

Code:
ComboFix 09-04-21.A8 - Christian 21.04.2009 20:09.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.759.425 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Christian\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Christian\Desktop\cfscript.txt
AV: AVG Anti-Virus Free *On-access scanning disabled* (Updated)
 * Neuer Wiederherstellungspunkt wurde erstellt

FILE ::
c:\38-index-4.5.2.txt
c:\38-svgtemplates_8cd869debe9f2cfd855880c3afd7a05d.zip
C:\aaw7boot.log
c:\dokumente und einstellungen\Christian\Anwendungsdaten\GDIPFONTCACHEV1.DAT
c:\dokumente und einstellungen\Christian\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
c:\InstallHelper.log
c:\programme\Uninstall Spy Blocker.dll
c:\windows\clock.avi
c:\windows\DUMP6dfc.tmp
c:\windows\NIRCMD.exe
c:\windows\system32\cssdll32.dll
c:\windows\system32\drivers\cmdguard.sys
c:\windows\system32\drivers\cmdhlp.sys
c:\windows\system32\drivers\Lbd.sys
c:\windows\system32\guard32.dll
c:\windows\system32\jupdate-1.6.0_04-b12.log
c:\windows\system32\perfc007.dat
c:\windows\system32\perfc009.dat
c:\windows\system32\perfh007.dat
c:\windows\system32\perfh009.dat
c:\windows\system32\PerfStringBackup.INI
c:\windows\system32\SET1C2.tmp
c:\windows\system32\SET1C4.tmp
c:\windows\system32\SET1C6.tmp
c:\windows\system32\SET1D5.tmp
c:\windows\system32\SET1E7.tmp
c:\windows\system32\SET72.tmp
c:\windows\system32\SET76.tmp
c:\windows\system32\SET77.tmp
c:\windows\system32\SET7E.tmp
c:\windows\Tasks\Ad-Aware Update (Weekly).job
c:\windows\WindowsUpdate.log
c:\windows\Minidump        -- Whitelisted --
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\38-index-4.5.2.txt
c:\38-svgtemplates_8cd869debe9f2cfd855880c3afd7a05d.zip
C:\aaw7boot.log
c:\dokumente und einstellungen\All Users\Anwendungsdaten\comodo
c:\dokumente und einstellungen\All Users\Anwendungsdaten\comodo\common\db\system.db
c:\dokumente und einstellungen\All Users\Anwendungsdaten\comodo\common\Pending\PendingList.txt
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Lavasoft
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\FalscherAnwendungspfad.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\FalscherAnwendungspfad1.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\FalscherAnwendungspfad2.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\FalscherAnwendungspfad3.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\FalscherAnwendungspfad4.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\FalscherAnwendungspfad5.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\MicrosoftWindowsSecurityCenterAntiVirusOverride.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\MicrosoftWindowsSecurityCenterAntiVirusOverride1.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\MicrosoftWindowsSecurityCenterAntiVirusOverride2.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\MicrosoftWindowsSecurityCenterFirewallOverride.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\MicrosoftWindowsSecurityCenterFirewallOverride1.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\MicrosoftWindowsSecurityCenterFirewallOverride2.zip
c:\dokumente und einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
c:\dokumente und einstellungen\Christian\Anwendungsdaten\GDIPFONTCACHEV1.DAT
c:\dokumente und einstellungen\Christian\Anwendungsdaten\SUPERAntiSpyware.com
c:\dokumente und einstellungen\Christian\Anwendungsdaten\uTorrent
c:\dokumente und einstellungen\Christian\Anwendungsdaten\uTorrent\Bob Ross 3-hour landscape workshop dvd rip includes covers.torrent
c:\dokumente und einstellungen\Christian\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
c:\InstallHelper.log
c:\programme\COMODO
c:\programme\Online-Dienste
c:\programme\Online-Dienste\An weitere Internetdienstanbieter verweisen.lnk
c:\programme\Spybot - Search & Destroy
c:\programme\Spybot - Search & Destroy\borlndmm.dll
c:\programme\Spybot - Search & Destroy\delphimm.dll
c:\programme\Spybot - Search & Destroy\Dummies\dummy.cd_clint.dll
c:\programme\Spybot - Search & Destroy\Help\Deutsch.chm
c:\programme\Spybot - Search & Destroy\Help\English.Resident.chm
c:\programme\Spybot - Search & Destroy\Languages\Greek.sbl
c:\programme\Spybot - Search & Destroy\Tools.dll
c:\programme\Spybot - Search & Destroy\unins000.dat
c:\programme\Spybot - Search & Destroy\unins000.exe
c:\programme\Spybot - Search & Destroy\UnzDll.dll
c:\programme\Spybot - Search & Destroy\ZipDll.dll
c:\programme\SUPERAntiSpyware
c:\programme\Uninstall Spy Blocker.dll
C:\rsit
c:\rsit\info.txt
c:\rsit\log.txt
c:\windows\clock.avi
c:\windows\DUMP6dfc.tmp
c:\windows\msdownld.tmp
c:\windows\NIRCMD.exe
c:\windows\system32\cssdll32.dll
c:\windows\system32\jupdate-1.6.0_04-b12.log
c:\windows\system32\perfc007.dat
c:\windows\system32\perfc009.dat
c:\windows\system32\perfh007.dat
c:\windows\system32\perfh009.dat
c:\windows\system32\PerfStringBackup.INI
c:\windows\system32\SET1C2.tmp
c:\windows\system32\SET1C4.tmp
c:\windows\system32\SET1C6.tmp
c:\windows\system32\SET1D5.tmp
c:\windows\system32\SET1E7.tmp
c:\windows\system32\SET72.tmp
c:\windows\system32\SET76.tmp
c:\windows\system32\SET77.tmp
c:\windows\system32\SET7E.tmp
c:\windows\Tasks\Ad-Aware Update (Weekly).job
c:\windows\WindowsUpdate.log . . . . Nicht in der Lage zu löschen

.
(((((((((((((((((((((((((((((((((((((((  Treiber/Dienste  )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_AUJASNKJ
-------\Legacy_CMDGUARD
-------\Legacy_CMDHLP
-------\Legacy_GUSVC
-------\Legacy_LBD
-------\Legacy_NTNXLMN
-------\Service_gusvc
-------\Service_ntnxlmn


(((((((((((((((((((((((  Dateien erstellt von 2009-03-21 bis 2009-04-21  ))))))))))))))))))))))))))))))
.

2009-04-16 16:58 . 2009-04-16 16:58        --------        d-----w        c:\dokumente und einstellungen\Christian\Anwendungsdaten\Malwarebytes
2009-04-16 16:58 . 2009-04-06 13:32        15504        ----a-w        c:\windows\system32\drivers\mbam.sys
2009-04-16 16:58 . 2009-04-06 13:32        38496        ----a-w        c:\windows\system32\drivers\mbamswissarmy.sys
2009-04-16 16:58 . 2009-04-16 16:58        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-04-16 12:43 . 2009-02-06 10:10        227840        -c----w        c:\windows\system32\dllcache\wmiprvse.exe
2009-04-16 12:43 . 2009-03-06 14:19        286720        -c----w        c:\windows\system32\dllcache\pdh.dll
2009-04-16 12:43 . 2009-02-09 11:21        111104        -c----w        c:\windows\system32\dllcache\services.exe
2009-04-16 12:43 . 2009-02-09 10:51        401408        -c----w        c:\windows\system32\dllcache\rpcss.dll
2009-04-16 12:42 . 2009-02-09 10:51        473600        -c----w        c:\windows\system32\dllcache\fastprox.dll
2009-04-16 12:42 . 2009-02-09 10:51        678400        -c----w        c:\windows\system32\dllcache\advapi32.dll
2009-04-16 12:42 . 2009-02-09 10:51        736768        -c----w        c:\windows\system32\dllcache\lsasrv.dll
2009-04-16 12:42 . 2009-02-09 10:51        453120        -c----w        c:\windows\system32\dllcache\wmiprvsd.dll
2009-04-16 12:42 . 2009-02-09 10:51        740352        -c----w        c:\windows\system32\dllcache\ntdll.dll
2009-04-16 12:39 . 2009-03-27 06:49        1203922        -c----w        c:\windows\system32\dllcache\sysmain.sdb
2009-04-16 12:39 . 2008-04-21 21:13        217600        -c----w        c:\windows\system32\dllcache\wordpad.exe
2009-04-15 18:04 . 2009-04-15 18:04        477        ----a-w        c:\windows\eReg.dat
2009-04-01 15:46 . 2009-04-01 15:46        90416        ------w        c:\windows\AKDeInstall.exe
2009-04-01 15:30 . 2009-03-09 13:27        453456        ----a-w        c:\windows\system32\d3dx10_41.dll
2009-04-01 15:30 . 2009-03-09 13:27        1846632        ----a-w        c:\windows\system32\D3DCompiler_41.dll
2009-04-01 15:28 . 2007-03-15 14:57        443752        ----a-w        c:\windows\system32\d3dx10_33.dll
2009-04-01 15:28 . 2007-03-12 14:42        1123696        ----a-w        c:\windows\system32\D3DCompiler_33.dll
2009-04-01 15:28 . 2007-03-12 14:42        3495784        ----a-w        c:\windows\system32\d3dx9_33.dll
2009-04-01 15:28 . 2007-01-24 13:27        255848        ----a-w        c:\windows\system32\xactengine2_6.dll
2009-04-01 15:28 . 2006-12-08 10:02        251672        ----a-w        c:\windows\system32\xactengine2_5.dll
2009-04-01 15:28 . 2006-11-29 11:06        3426072        ----a-w        c:\windows\system32\d3dx9_32.dll
2009-04-01 15:28 . 2007-03-05 10:42        15128        ----a-w        c:\windows\system32\x3daudio1_1.dll
2009-04-01 15:28 . 2006-09-28 14:05        237848        ----a-w        c:\windows\system32\xactengine2_4.dll
2009-04-01 15:28 . 2006-09-28 14:05        2414360        ----a-w        c:\windows\system32\d3dx9_31.dll
2009-04-01 15:28 . 2006-07-28 07:30        236824        ----a-w        c:\windows\system32\xactengine2_3.dll
2009-04-01 15:28 . 2006-07-28 07:30        62744        ----a-w        c:\windows\system32\xinput1_2.dll
2009-04-01 15:00 . 2009-04-01 15:00        --------        d-----w        c:\windows\Logs
2009-03-31 18:32 . 2006-02-07 06:40        155648        ----a-w        c:\windows\system32\igfxres.dll
2009-03-31 12:51 . 2009-03-31 12:51        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Nokia
2009-03-31 12:30 . 2008-04-13 18:45        26112        -c--a-w        c:\windows\system32\dllcache\usbser.sys
2009-03-31 12:30 . 2008-04-13 18:45        26112        ----a-w        c:\windows\system32\drivers\usbser.sys
2009-03-31 12:30 . 2009-03-31 12:30        0        ---ha-w        c:\windows\system32\drivers\Msft_Kernel_ccdcmb_01007.Wdf
2009-03-31 12:30 . 2009-03-31 12:30        0        ---ha-w        c:\windows\system32\drivers\MsftWdf_Kernel_01007_Coinstaller_Critical.Wdf
2009-03-31 12:29 . 2008-03-21 11:57        14640        ------w        c:\windows\system32\spmsgXP_2k3.dll
2009-03-31 12:29 . 2009-03-31 12:48        --------        d-----w        c:\dokumente und einstellungen\Christian\Anwendungsdaten\Nokia
2009-03-31 12:27 . 2009-03-31 12:30        --------        d-----w        c:\dokumente und einstellungen\Christian\Anwendungsdaten\PC Suite
2009-03-31 12:27 . 2009-03-31 12:30        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\PC Suite
2009-03-31 12:19 . 2008-08-26 07:26        18816        ----a-w        c:\windows\system32\drivers\pccsmcfd.sys
2009-03-31 12:18 . 2008-09-15 05:56        8064        ----a-w        c:\windows\system32\drivers\usbser_lowerfltj.sys
2009-03-31 12:18 . 2008-09-15 05:56        8064        ----a-w        c:\windows\system32\drivers\usbser_lowerflt.sys
2009-03-31 12:18 . 2008-09-15 05:56        22016        ----a-w        c:\windows\system32\drivers\ccdcmbo.sys
2009-03-31 12:18 . 2008-09-15 05:56        659968        ----a-w        c:\windows\system32\nmwcdcocls.dll
2009-03-31 12:18 . 2008-09-15 05:56        17664        ----a-w        c:\windows\system32\drivers\ccdcmb.sys
2009-03-31 12:18 . 2008-09-15 05:29        1112288        ----a-w        c:\windows\system32\wdfcoinstaller01007.dll
2009-03-31 12:16 . 2009-03-31 12:16        0        ---ha-w        c:\windows\system32\drivers\Msft_Kernel_ccdcmb_01005.Wdf
2009-03-31 12:16 . 2009-03-31 12:16        0        ---ha-w        c:\windows\system32\drivers\MsftWdf_Kernel_01005_Coinstaller_Critical.Wdf
2009-03-31 12:15 . 2009-03-31 12:49        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Installations

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-21 10:56 . 2007-08-17 12:42        --------        d-----w        c:\dokumente und einstellungen\Christian\Anwendungsdaten\Skype
2009-04-20 22:02 . 2007-11-04 16:30        --------        d-----w        c:\programme\Gemeinsame Dateien\Wise Installation Wizard
2009-04-20 19:29 . 2009-04-20 19:29        --------        d-----w        c:\programme\CCleaner
2009-04-20 13:04 . 2007-08-17 11:56        --------        d--h--w        c:\programme\InstallShield Installation Information
2009-04-20 13:01 . 2008-08-23 11:03        --------        d---a-w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP
2009-04-20 12:58 . 2008-04-26 17:08        10520        ----a-w        c:\windows\system32\avgrsstx.dll
2009-04-20 12:58 . 2008-04-26 17:08        108552        ----a-w        c:\windows\system32\drivers\avgtdix.sys
2009-04-20 12:58 . 2008-04-26 17:08        325640        ----a-w        c:\windows\system32\drivers\avgldx86.sys
2009-04-20 12:57 . 2008-04-26 17:07        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\avg8
2009-04-20 10:45 . 2009-04-01 15:45        --------        d-----w        c:\programme\Z-DBackup
2009-04-16 17:03 . 2009-04-16 17:03        --------        d-----w        c:\programme\Trend Micro
2009-04-16 16:58 . 2009-04-16 16:58        --------        d-----w        c:\programme\Malwarebytes' Anti-Malware
2009-04-06 19:15 . 2009-04-06 19:15        --------        d-----w        c:\programme\Xvid
2009-04-01 15:30 . 2009-04-01 15:30        --------        d-----w        c:\programme\Lavalys
2009-03-31 18:39 . 2009-03-31 12:20        --------        d-----w        c:\programme\Gemeinsame Dateien\Nokia
2009-03-31 18:39 . 2009-03-31 12:18        --------        d-----w        c:\programme\Nokia
2009-03-31 18:24 . 2009-03-31 18:19        --------        d-----w        c:\programme\SystemRequirementsLab
2009-03-31 12:20 . 2009-03-31 12:20        --------        d-----w        c:\programme\Gemeinsame Dateien\PCSuite
2009-03-31 12:19 . 2009-03-31 12:19        --------        d-----w        c:\programme\DIFX
2009-03-31 12:18 . 2009-03-31 12:18        --------        d-----w        c:\programme\PC Connectivity Solution
2009-03-17 16:13 . 2008-04-24 19:02        --------        d-----w        c:\dokumente und einstellungen\Christian\Anwendungsdaten\Meine Die Schlacht um Mittelerde-Dateien
2009-03-16 12:18 . 2009-04-01 15:29        69448        ----a-w        c:\windows\system32\XAPOFX1_3.dll
2009-03-16 12:18 . 2009-04-01 15:29        517448        ----a-w        c:\windows\system32\XAudio2_4.dll
2009-03-16 12:18 . 2009-04-01 15:29        235352        ----a-w        c:\windows\system32\xactengine3_4.dll
2009-03-16 12:18 . 2009-04-01 15:29        22360        ----a-w        c:\windows\system32\X3DAudio1_6.dll
2009-03-12 11:23 . 2009-03-12 11:23        --------        d-----w        c:\programme\Smallvideosoft
2009-03-09 13:27 . 2009-04-01 15:29        4178264        ----a-w        c:\windows\system32\D3DX9_41.dll
2009-03-08 16:31 . 2009-03-08 16:31        --------        d-----w        c:\dokumente und einstellungen\Christian\Anwendungsdaten\SPAMfighter
2009-03-06 14:19 . 2004-08-04 12:00        286720        ----a-w        c:\windows\system32\pdh.dll
2009-03-02 10:56 . 2009-03-02 10:56        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\pcvisit
2009-03-02 10:55 . 2009-03-02 10:55        --------        d-----w        c:\programme\pcvisit Software AG
2009-02-20 08:09 . 2004-08-04 12:00        671744        ----a-w        c:\windows\system32\wininet.dll
2009-02-20 08:09 . 2004-08-04 12:00        81920        ----a-w        c:\windows\system32\ieencode.dll
2009-02-10 17:03 . 2004-08-04 00:50        2068352        ----a-w        c:\windows\system32\ntkrnlpa.exe
2009-02-09 14:04 . 2004-08-04 12:00        1846912        ----a-w        c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2004-08-04 12:00        2191360        ----a-w        c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2004-08-04 12:00        111104        ----a-w        c:\windows\system32\services.exe
2009-02-09 10:51 . 2004-08-04 12:00        736768        ----a-w        c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2004-08-04 12:00        401408        ----a-w        c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2004-08-04 12:00        678400        ----a-w        c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2004-08-04 12:00        740352        ----a-w        c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2004-08-04 12:00        35328        ----a-w        c:\windows\system32\sc.exe
2009-02-03 19:57 . 2004-08-04 12:00        56832        ----a-w        c:\windows\system32\secur32.dll
2009-01-22 21:11 . 2008-01-02 10:40        1490944        ----a-w        c:\windows\system32\ExFileVw.dll
2008-12-19 15:43 . 2008-12-19 14:59        47360        ----a-w        c:\dokumente und einstellungen\Christian\Anwendungsdaten\pcouffin.sys
2007-11-15 20:32 . 2007-11-15 20:32        32        -c--a-w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\ezsid.dat
2007-12-16 16:13 . 2007-12-16 16:13        220        -csh--w        c:\windows\dwin.sys
.

((((((((((((((((((((((((((((((((((((((((((((  Look  )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

---- Directory of C:\Config.Msi ----


---- Directory of C:\Neuer Ordner ----



((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"igfxhkcmd"="c:\windows\system32\hkcmd.exe" [2006-02-07 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avgrsstarter]
2009-04-20 12:58        10520        ----a-w        c:\windows\system32\avgrsstx.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VPN Client.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\VPN Client.lnk
backup=c:\windows\pss\VPN Client.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VPN Client.lnk.disabled]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\VPN Client.lnk.disabled
backup=c:\windows\pss\VPN Client.lnk.disabledCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^WinManager.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\WinManager.lnk
backup=c:\windows\pss\WinManager.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Christian^Startmenü^Programme^Autostart^RocketDock.lnk.disabled]
path=c:\dokumente und einstellungen\Christian\Startmenü\Programme\Autostart\RocketDock.lnk.disabled
backup=c:\windows\pss\RocketDock.lnk.disabledStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"S24EventMonitor"=2 (0x2)
"iPod Service"=3 (0x3)
"FLEXnet Licensing Service"=3 (0x3)
"Apple Mobile Device"=2 (0x2)
"Adobe LM Service"=3 (0x3)
"WMPNetworkSvc"=3 (0x3)
"gusvc"=3 (0x3)
"usnjsvc"=3 (0x3)
"ose"=3 (0x3)
"ServiceLayer"=3 (0x3)
"sdCoreService"=3 (0x3)
"sdAuxService"=3 (0x3)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Programme\\AVG\\AVG8\\avgupd.exe"=
"c:\\Programme\\AVG\\AVG8\\avgemc.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=
"c:\\Programme\\AVG\\AVG8\\avgnsx.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

R3 A3AB;D-Link AirPro 802.11a/b Wireless Adapter Service(A3AB);c:\windows\system32\DRIVERS\A3AB.sys [2007-05-23 547744]
R3 UDXTTM6000;DTV-DVB UDXTTM6000 - USB 2.0 Receiver;c:\windows\system32\Drivers\UDXTTM6000.sys [2007-06-21 320384]
R3 UDXTTM6000HID;UDXTTM6000HID - HID Driver;c:\windows\system32\drivers\UDXTTM6000HID.sys [2006-06-29 17408]
R4 pcvisit 4 Remote Service;pcvisit 4 Remote Service;c:\programme\pcvisit Software AG\pcvisit 4 Remote\pcvisit4Remote.exe [2008-06-13 4810088]
S1 AvgLdx86;AVG AVI Loader Driver x86;c:\windows\System32\Drivers\avgldx86.sys [2009-04-20 325640]
S1 AvgTdiX;AVG8 Network Redirector;c:\windows\System32\Drivers\avgtdix.sys [2009-04-20 108552]
S2 avg8emc;AVG Free8 E-mail Scanner;c:\progra~1\AVG\AVG8\avgemc.exe [2009-04-20 908056]
S2 avg8wd;AVG8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [2009-04-20 298264]
S2 Prvflder;Prvflder;c:\windows\system32\DRIVERS\prvflder.sys [2006-04-21 70912]
S3 ATKXPDisplayName;ATKXPDisplayName;c:\windows\system32\DRIVERS\ATKACPI.sys [2004-05-27 5786]

.
.
------- Zusätzlicher Suchlauf -------
.
mStart Page = hxxp://alice.aol.de
uInternet Connection Wizard,ShellNext = https://login.live.com/ppsecure/sha1auth.srf?lc=1031
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: An vorhandenes PDF anfügen
IE: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Auswahl in Adobe PDF konvertieren - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Auswahl in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Download über Download &Express - c:\programme\Download Express\Add_Url.htm
IE: In Adobe PDF konvertieren - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: In vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: Verknüpfungsziel in Adobe PDF konvertieren - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
Name-Space Handler: ftp\HIEClickCatcher - {E131C96E-4DDB-11D4-84B8-008048B33DEA} - c:\progra~1\DOWNLO~1\mdpph.dll
Name-Space Handler: http\HIEClickCatcher - {E131C96E-4DDB-11D4-84B8-008048B33DEA} - c:\progra~1\DOWNLO~1\mdpph.dll
Name-Space Handler: https\HIEClickCatcher - {E131C96E-4DDB-11D4-84B8-008048B33DEA} - c:\progra~1\DOWNLO~1\mdpph.dll
FF - ProfilePath - c:\dokumente und einstellungen\Christian\Anwendungsdaten\Mozilla\Firefox\Profiles\wmyf3tg2.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - www.welt.de
FF - component: c:\dokumente und einstellungen\Christian\Anwendungsdaten\Mozilla\Firefox\Profiles\wmyf3tg2.default\extensions\{D249FD00-4DF9-11D9-9FDC-0080481ADA61}\components\mpint.dll
FF - component: c:\programme\AVG\AVG8\Firefox\components\avgssff.dll
FF - component: c:\programme\Nokia\Nokia PC Suite 7\bkmrksync\components\BkMrkExt.dll
FF - plugin: c:\programme\Google\Picasa3\npPicasa3.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npPandoWebInst.dll

---- FIREFOX Richtlinien ----
FF - user.js: network.http.max-persistent-connections-per-server - 4
FF - user.js: content.max.tokenizing.time - 1800000
FF - user.js: content.notify.interval - 600000
FF - user.js: content.switch.threshold - 1000000
FF - user.js: nglayout.initialpaint.delay - 600
FF - user.js: yahoo.homepage.dontask - true.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-21 20:16
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\pcvisit 4 Remote Service]
"ImagePath"="\"c:\programme\pcvisit Software AG\pcvisit 4 Remote\pcvisit4Remote.exe\" --service:run"
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-507921405-413027322-1801674531-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:46,fd,cf,d8,0f,4a,cf,31,d6,be,35,47,41,14,cb,db,80,e3,ef,8d,26,95,b2,
  80,74,f7,99,9e,30,b8,3c,d1,46,29,0b,c1,e0,5d,b8,6f,b3,aa,67,e6,ac,1e,32,e7,\
"??"=hex:0c,f7,a4,45,95,77,0d,89,8f,7f,56,ce,a0,ea,7b,70
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'explorer.exe'(3692)
c:\windows\system32\WPDShServiceObj.dll
c:\programme\Nokia\Nokia PC Suite 7\PhoneBrowser.dll
c:\programme\Nokia\Nokia PC Suite 7\NGSCM.DLL
c:\programme\Nokia\Nokia PC Suite 7\Lang\PhoneBrowser_ger.nlr
c:\programme\Nokia\Nokia PC Suite 7\Resource\PhoneBrowser_Nokia.ngr
c:\programme\Microsoft Private Folder 1.0\ShellExt.dll
c:\windows\system32\PFLib.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Cisco Systems\VPN Client\cvpnd.exe
c:\windows\system32\NMSAccessU.exe
c:\programme\AVG\AVG8\avgrsx.exe
c:\progra~1\AVG\AVG8\avgnsx.exe
c:\programme\AVG\AVG8\avgcsrvx.exe
c:\windows\system32\wscntfy.exe
.

chris1309 21.04.2009 19:38
Combofix Log Teil 2:


Code:
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-21 20:19 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-21 18:19
ComboFix2.txt  2009-04-20 19:23

Vor Suchlauf: 21 Verzeichnis(se), 27.192.107.008 Bytes frei
Nach Suchlauf: 19 Verzeichnis(se), 27.173.265.408 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

380        --- E O F ---        2009-04-17 03:06

john.doe 21.04.2009 20:23
1.) Kommen noch Meldungen von AVG?

2.) Start => Ausführen => combofix /u => OK

ciao, andreas

chris1309 21.04.2009 20:38
Hallo Andreas,

AVG zeigt nichts mehr an! Ist das Ding jetzt weg?

Auf jeden Fall schon mal vielen dank für deine Unterstützung!!!

john.doe 21.04.2009 20:48
Zitat:
Ist das Ding jetzt weg?
Ja.

1.) Kaspersky Online Scan

Überprüfe Dein komplettes System mit dem Kaspersky Online-Scanner. Bitte während des Scans alle evtl. vorhandenen externen Festplatten einschalten/anschließen. Außerdem während des Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliche) abstellen und nicht vergessen, sie hinterher wieder einzuschalten.
  • Kaspersky Online Scanner
    • Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten.
    • Java muss installiert, aktiv und erlaubt sein.
    • Bebilderte Anleitung von sundavis.
    • Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick.
    • Wir werden Dir helfen, die Funde manuell vom System zu entfernen.
    • Die Datenschutzerklärung akzeptieren.
    • Programm installieren lassen.
    • Update der Signaturen installieren lassen.
    • Wenn der Status "Complete" ist,
    • Scan-Einstellungen (Settings) Standard lassen
    • Links den Link "My Computer" anklicken.
    • Scan beginnt automatisch.
    • Wenn der Scan fertig ist, auf "View scan report" klicken,
    • "Save report as" und Dateityp auf .txt umstellen,
    • und auf dem Desktop als Kaspersky.txt speichern.
    • Logdatei hier posten.
    • Deinstallation ist nicht nötig, alle Dateien werden in temporären Ordnern gespeichert.

2.) http://www.trojaner-board.de/51871-a...tispyware.html (nur Punkt 1-3 der Anleitung)

ciao, andreas

chris1309 21.04.2009 23:58
Oh man...schon wieder was :schmoll:

So, hier der Log:

--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7.0 REPORT
Wednesday, April 22, 2009
Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)
Kaspersky Online Scanner version: 7.0.26.13
Program database last update: Tuesday, April 21, 2009 21:33:51
Records in database: 2067243
--------------------------------------------------------------------------------

Scan settings:
Scan using the following database: extended
Scan archives: yes
Scan mail databases: yes

Scan area - My Computer:
C:\
D:\
E:\

Scan statistics:
Files scanned: 150713
Threat name: 2
Infected objects: 3
Suspicious objects: 0
Duration of the scan: 02:48:27


File name / Threat name / Threats count
E:\Backup\archive.pst Infected: Trojan-Spy.HTML.Bankfraud.od 2
E:\Backup\archive.pst Infected: not-a-virus:WebToolbar.Win32.MyWebSearch.ak 1

The selected area was scanned.

john.doe 22.04.2009 16:20
Zitat:
Oh man...schon wieder was
Entschuldige bitte, dass ich dich nerve. Nehmen wir doch die schnelle Lösung: http://www.trojaner-board.de/51262-a...sicherung.html

Alternativ würde ich dir vorschlagen, dein verseuchtes Outlook-Backup zu löschen.
Code:
E:\Backup\archive.pst
ciao, andreas

chris1309 22.04.2009 17:09
Hallo Andreas,

SuperAntiSpyware hat nichts gefunden.

Code:
SUPERAntiSpyware Scann-Protokoll
http://www.superantispyware.com

Generiert 04/22/2009 bei 06:04 PM

Version der Applikation : 4.26.1000

Version der Kern-Datenbank : 3857
Version der Spur-Datenbank : 1809

Scan Art      : kompletter Scann
Totale Scann-Zeit : 04:32:19

Gescannte Speicherelemente  : 451
Erfasste Speicher-Bedrohungen  : 0
Gescannte Register-Elemente  : 5833
Erfasste Register-Bedrohungen  : 0
Gescannte Datei-Elemente    : 149427
Erfasste Datei-Elemente  : 0
Glaub ich entscheide mich erst mal fürs löschen des Backups...:)
müsste eh veraltet sein.

Auf jeden Fall viele vielen Dank für deine Hilfe! Echt super!

Gruß Christian

john.doe 22.04.2009 17:37
Zitat:
Glaub ich entscheide mich erst mal fürs löschen des Backups...
Schau mal hier vorbei: http://www.trojaner-board.de/400716-post7.html
Da meinte jemand, die Schädlinge auch noch sichern zu müssen.

Also ich habe ja schon gerüchteweise davon gehört, dass Männer mit dem Spruch: "Soll ich dir mal meine Briefmarkensammlung zeigen?" Erfolg gehabt haben sollen, aber bei "Soll ich dir mal meine Schädlingssammlung zeigen?" halte ich die Erfolgsaussichten doch eher für gering. :D

Bist entlassen.

ciao, andreas

chris1309 22.04.2009 18:22
super! Danke!!!


Alle Zeitangaben in WEZ +1. Es ist jetzt 23:57 Uhr.
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131