Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   PC sehr langsam (https://www.trojaner-board.de/91073-pc-sehr-langsam.html)

habefrage 24.09.2010 09:15
PC sehr langsam
 
Guten Morgen,

in diesem Thread geht es um meinen anderen PC. Er ist seit Monaten sehr langsam, seit einiger Zeit so langsam, dass er fast unbenutzbar ist. (Einfache Klicks dauern manchmal Minuten und er rechnet und rechnet. Ich habe deshalb die sechs Schritte aus Eurem Tutorial für langsame Recher durchgeführt, außerdem Scandisk durchgeführt (was auch tatsächlich scheinbar etwas repariert hat). Trotzdem schien alles wie gehabt langsam, plötzlich lief er dann viel doch viel schneller, nun wieder nicht mehr.

Eben hab ich im Task-Manager gesehen, dass die Datei wuauclt.exe zweimal läuft (einmal unter System, einmal unter meinem Benutzernamen), die Svchost.exe sieben Mal, weiß nicht, ob das problematisch ist. (XP und kein 64bit)
Außerdem ist mir eingefallen, dass ich vor Monaten manchmal beim Herunterfahren die Meldung hatte, dass ein Programm mit einem mir nicht bekannten Namen, bestehend aus sehr vielen Buchstaben durcheinander beendet werden muss.
Virenscanner, die ich schon damals dann durchlaufen lassen habe, haben aber nichts oder kaum was gefunden. (Irgendwann war mal evtl. eine Datei, die auffällig war, aber ich hab kein log mehr). Ich hatte eine Zeit lang auch sehr viele Abstürze und außerdem waren mal Dateien im AOL-Programm beschädigt/unbenutzbar.
Außerdem hab ich festgestellt, dass manchmal mehr Datenpakete gesendet als empfangen werden im Internet und auch gesendet wird, wenn ich nicht surfe.
Außerdem kommt oft beim Hochfahren die Meldung, Firewall und/oder Virenscanner seien deaktiviert, kurz danach ist wieder alles normal.

Hier Malwarebytes und OTL:

Code:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4656

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

20.09.2010 18:24:04
mbam-log-2010-09-20 (18-24-04).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 685975
Laufzeit: 4 Stunde(n), 40 Minute(n), 50 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
OTL Logfile:
Code:
OTL logfile created on: 23.09.2010 20:17:50 - Run 1
OTL by OldTimer - Version 3.2.14.1    Folder = C:\Dokumente und Einstellungen\***\Eigene Dateien
Windows XP Home Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
255,00 Mb Total Physical Memory | 158,00 Mb Available Physical Memory | 62,00% Memory free
1,00 Gb Paging File | 1,00 Gb Available in Paging File | 77,00% Paging File free
Paging file location(s): C:\pagefile.sys 1000 1000 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 74,56 Gb Total Space | 30,65 Gb Free Space | 41,10% Space Free | Partition Type: NTFS
D: Drive not present or media not loaded
E: Drive not present or media not loaded
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
 
Computer Name: ***
Current User Name: ***
Logged in as Administrator.
 
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
 
========== Processes (SafeList) ==========
 
PRC - C:\Dokumente und Einstellungen\***\Eigene Dateien\OTL.exe (OldTimer Tools)
PRC - C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
PRC - C:\Programme\Windows NT\Zubehör\wordpad.exe (Microsoft Corporation)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
PRC - C:\Programme\LexmarkX83\ACMonitor_X83.exe (Jetsoft Development Company)
PRC - C:\WINDOWS\system32\tcpsvcs.exe (Microsoft Corporation)
PRC - C:\Programme\LexmarkX83\AcBtnMgr_X83.exe ()
 
 
========== Modules (SafeList) ==========
 
MOD - C:\Dokumente und Einstellungen\***\Eigene Dateien\OTL.exe (OldTimer Tools)
MOD - C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2982_x-ww_ac3f9c03\comctl32.dll (Microsoft Corporation)
MOD - C:\WINDOWS\system32\msscript.ocx (Microsoft Corporation)
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (HidServ) -- C:\WINDOWS\System32\hidserv.dll File not found
SRV - (AppMgmt) -- C:\WINDOWS\System32\appmgmts.dll File not found
SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
SRV - (p2pgasvc) -- C:\WINDOWS\system32\p2pgasvc.dll (Microsoft Corporation)
SRV - (Iprip) -- C:\WINDOWS\system32\iprip.dll (Microsoft Corporation)
SRV - (ose) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE (Microsoft Corporation)
SRV - (SimpTcp) -- C:\WINDOWS\system32\tcpsvcs.exe (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (wanatw) WAN Miniport (ATW) -- C:\WINDOWS\System32\DRIVERS\wanatw4.sys File not found
DRV - (ATWPKT2) -- C:\PROGRA~1\GEMEIN~1\aol\ACS\ATWPKT2.SYS File not found
DRV - (avgntflt) -- C:\WINDOWS\system32\drivers\avgntflt.sys (Avira GmbH)
DRV - (ssmdrv) -- C:\WINDOWS\system32\drivers\ssmdrv.sys (Avira GmbH)
DRV - (avipbb) -- C:\WINDOWS\system32\drivers\avipbb.sys (Avira GmbH)
DRV - (avgio) -- C:\Programme\Avira\AntiVir Desktop\avgio.sys (Avira GmbH)
DRV - (Tcpip6) -- C:\WINDOWS\system32\drivers\tcpip6.sys (Microsoft Corporation)
DRV - (rtl8139) NT-Treiber für Realtek RTL8139(A/B/C) -- C:\WINDOWS\system32\drivers\RTL8139.sys (Realtek Semiconductor Corporation)
DRV - (gameenum) -- C:\WINDOWS\system32\drivers\gameenum.sys (Microsoft Corporation)
DRV - (amdagp) -- C:\WINDOWS\System32\DRIVERS\amdagp.sys (Advanced Micro Devices, Inc.)
DRV - (nv) -- C:\WINDOWS\system32\drivers\nv4_mini.sys (NVIDIA Corporation)
DRV - (ASCTRM) -- C:\WINDOWS\System32\drivers\asctrm.sys (Windows (R) 2000 DDK provider)
DRV - (AVMUNET) -- C:\WINDOWS\system32\drivers\avmunet.sys (AVM GmbH)
DRV - (sisagp) -- C:\WINDOWS\System32\DRIVERS\sisagp.sys (Silicon Integrated Systems Corporation)
DRV - (ALCXWDM) Service for Avance AC97 Audio (WDM) -- C:\WINDOWS\system32\drivers\ALCXWDM.SYS (Avance Logic, Inc.)
DRV - (CmdIde) -- C:\WINDOWS\System32\DRIVERS\cmdide.sys (CMD Technology, Inc.)
DRV - (Sparrow) -- C:\WINDOWS\System32\DRIVERS\sparrow.sys (Adaptec, Inc.)
DRV - (sym_u3) -- C:\WINDOWS\System32\DRIVERS\sym_u3.sys (LSI Logic)
DRV - (sym_hi) -- C:\WINDOWS\System32\DRIVERS\sym_hi.sys (LSI Logic)
DRV - (symc8xx) -- C:\WINDOWS\System32\DRIVERS\symc8xx.sys (LSI Logic)
DRV - (symc810) -- C:\WINDOWS\System32\DRIVERS\symc810.sys (Symbios Logic Inc.)
DRV - (ms_mpu401) -- C:\WINDOWS\system32\drivers\msmpu401.sys (Microsoft Corporation)
DRV - (hpt3xx) -- C:\WINDOWS\System32\DRIVERS\hpt3xx.sys (HighPoint Technologies, Inc.)
DRV - (ultra) -- C:\WINDOWS\System32\DRIVERS\ultra.sys (Promise Technology, Inc.)
DRV - (ql12160) -- C:\WINDOWS\System32\DRIVERS\ql12160.sys (QLogic Corporation)
DRV - (ql1080) -- C:\WINDOWS\System32\DRIVERS\ql1080.sys (QLogic Corporation)
DRV - (ql1280) -- C:\WINDOWS\System32\DRIVERS\ql1280.sys (QLogic Corporation)
DRV - (dac2w2k) -- C:\WINDOWS\System32\DRIVERS\dac2w2k.sys (Mylex Corporation)
DRV - (mraid35x) -- C:\WINDOWS\System32\DRIVERS\mraid35x.sys (American Megatrends Inc.)
DRV - (asc) -- C:\WINDOWS\System32\DRIVERS\asc.sys (Advanced System Products, Inc.)
DRV - (asc3550) -- C:\WINDOWS\System32\DRIVERS\asc3550.sys (Advanced System Products, Inc.)
DRV - (AliIde) -- C:\WINDOWS\System32\DRIVERS\aliide.sys (Acer Laboratories Inc.)
DRV - (MODEMCSA) -- C:\WINDOWS\system32\drivers\MODEMCSA.sys (Microsoft Corporation)
DRV - (wandrv) -- C:\WINDOWS\system32\drivers\wandrv.sys (America Online, Inc.)
DRV - (winachsf) -- C:\WINDOWS\system32\drivers\HSF_CNXT.sys (Conexant Systems)
DRV - (basic2) -- C:\WINDOWS\system32\drivers\basic2.sys (Conexant Systems)
DRV - (V124) -- C:\WINDOWS\system32\drivers\v124nt.sys (Conexant Systems)
DRV - (Rksample) -- C:\WINDOWS\system32\drivers\rksample.sys (Conexant Systems)
DRV - (Cnxtdiag) -- C:\WINDOWS\system32\drivers\cnxtdiag.sys (Conexant Systems)
DRV - (K56) -- C:\WINDOWS\system32\drivers\k56nt.sys (Conexant)
DRV - (Fsks) -- C:\WINDOWS\system32\drivers\fsksnt.sys (Conexant)
DRV - (SoftFax) -- C:\WINDOWS\system32\drivers\faxnt.sys (Conexant)
DRV - (Tones) -- C:\WINDOWS\system32\drivers\tonesnt.sys (Conexant)
DRV - (Fallback) -- C:\WINDOWS\system32\drivers\fallback.sys (Conexant)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?ocid=iehp
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 5A 6D AC 88 39 5B CB 01  [binary data]
IE - HKCU\..\URLSearchHook:  - Reg Error: Key error. File not found
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
 
 
O1 HOSTS File: ([2001.08.18 14:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1      localhost
O2 - BHO: (AcroIEHlprObj Class) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx ()
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O2 - BHO: (Windows Live Anmelde-Hilfsprogramm) - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll (Microsoft Corporation)
O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [Lexmark X83 Button Manager] C:\Programme\LexmarkX83\AcBtnMgr_X83.exe ()
O4 - HKLM..\Run: [Lexmark X83 Button Monitor] C:\Programme\LexmarkX83\ACMonitor_X83.exe (Jetsoft Development Company)
O4 - HKLM..\Run: [PrinTray] C:\WINDOWS\system32\spool\drivers\w32x86\3\printray.exe (Lexmark)
O4 - HKCU..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O9 - Extra Button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe (ICQ, LLC.)
O9 - Extra 'Tools' menuitem : ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe (ICQ, LLC.)
O15 - HKCU\..Trusted Domains:  ([]msn in My Computer)
O15 - HKCU\..Trusted Domains: aol.com ([objects] * is out of zone range -  5)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/products/plugin/1.3.1/jinstall-131_02-win.cab (Java Plug-in 1.3.1_02)
O16 - DPF: {CAFEEFAC-0013-0001-0002-ABCDEFFEDCBA} hxxp://java.sun.com/products/plugin/1.3.1/jinstall-131_02-win.cab (Java Plug-in 1.3.1_02)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object)
O16 - DPF: Microsoft XML Parser for Java file://C:\WINDOWS\Java\classes\xmldso.cab (Reg Error: Key error.)
O18 - Protocol\Handler\cdo {CD00020A-8B95-11D1-82DB-00C04FB1625D} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\PKMCDO.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ms-itss {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Information Retrieval\msitss.dll (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2000.12.31 21:04:02 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2010.09.23 20:03:24 | 000,575,488 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\***\Eigene Dateien\OTL.exe
[2010.09.19 18:04:12 | 000,000,000 | -HSD | C] -- C:\found.000
[2010.09.13 14:15:17 | 000,000,000 | RH-D | C] -- C:\Dokumente und Einstellungen\***\Recent
[2010.09.13 14:02:22 | 000,000,000 | ---D | C] -- C:\Programme\CCleaner
[2010.09.13 13:52:42 | 000,000,000 | -HSD | C] -- C:\Dokumente und Einstellungen\***\IECompatCache
[2010.09.09 23:04:36 | 000,000,000 | -HSD | C] -- C:\Dokumente und Einstellungen\***\PrivacIE
[2010.09.09 22:56:56 | 000,000,000 | -HSD | C] -- C:\Dokumente und Einstellungen\***\IETldCache
[2010.09.09 20:02:22 | 000,000,000 | -H-D | C] -- C:\WINDOWS\ie8
[2010.09.09 18:20:58 | 000,000,000 | --SD | C] -- C:\Dokumente und Einstellungen\***\Eigene Dateien\0BMTU9MZ
[2010.09.09 17:49:56 | 001,185,128 | ---- | C] (Piriform Ltd) -- C:\Dokumente und Einstellungen\***\Eigene Dateien\ccsetup235_slim.exe
[2010.09.06 14:08:17 | 000,038,224 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys
[2010.09.06 14:06:12 | 000,020,952 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2010.09.06 14:06:10 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware
[2010.09.06 14:00:11 | 006,153,352 | ---- | C] (Malwarebytes Corporation                                    ) -- C:\Dokumente und Einstellungen\***\Eigene Dateien\mbam146-setup.exe
[3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[2 C:\Dokumente und Einstellungen\***\Eigene Dateien\*.tmp files -> C:\Dokumente und Einstellungen\***\Eigene Dateien\*.tmp -> ]
[15 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
[1 C:\WINDOWS\System32\dllcache\*.tmp files -> C:\WINDOWS\System32\dllcache\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2010.09.23 20:03:24 | 000,575,488 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\***\Eigene Dateien\OTL.exe
[2010.09.23 17:47:12 | 000,000,020 | ---- | M] () -- C:\WINDOWS\ACMonitor_X83.ini
[2010.09.23 17:47:10 | 000,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT
[2010.09.23 17:47:07 | 000,001,158 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2010.09.23 17:47:05 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2010.09.23 17:47:03 | 267,964,416 | -HS- | M] () -- C:\hiberfil.sys
[2010.09.20 23:25:40 | 000,000,190 | -HS- | M] () -- C:\Dokumente und Einstellungen\***\ntuser.ini
[2010.09.20 23:25:39 | 009,699,328 | ---- | M] () -- C:\Dokumente und Einstellungen\***\ntuser.dat
[2010.09.20 00:16:14 | 004,314,960 | -H-- | M] () -- C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Anwendungsdaten\IconCache.db
[2010.09.13 14:24:06 | 000,373,746 | ---- | M] () -- C:\Dokumente und Einstellungen\***\Eigene Dateien\cc_20100913_142210.reg
[2010.09.13 14:02:49 | 000,000,662 | ---- | M] () -- C:\Dokumente und Einstellungen\***\Desktop\CCleaner.lnk
[2010.09.09 19:13:41 | 000,063,080 | ---- | M] () -- C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
[2010.09.09 17:50:03 | 001,185,128 | ---- | M] (Piriform Ltd) -- C:\Dokumente und Einstellungen\***\Eigene Dateien\ccsetup235_slim.exe
[2010.09.09 17:15:09 | 000,000,211 | RHS- | M] () -- C:\boot.ini
[2010.09.09 17:15:06 | 000,001,179 | ---- | M] () -- C:\WINDOWS\win.ini
[2010.09.09 17:15:03 | 000,000,227 | ---- | M] () -- C:\WINDOWS\system.ini
[2010.09.09 17:07:43 | 000,234,368 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2010.09.06 14:11:44 | 000,000,684 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2010.09.06 14:00:16 | 006,153,352 | ---- | M] (Malwarebytes Corporation                                    ) -- C:\Dokumente und Einstellungen\***\Eigene Dateien\mbam146-setup.exe
[3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[2 C:\Dokumente und Einstellungen\***\Eigene Dateien\*.tmp files -> C:\Dokumente und Einstellungen\***\Eigene Dateien\*.tmp -> ]
[15 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
[1 C:\WINDOWS\System32\dllcache\*.tmp files -> C:\WINDOWS\System32\dllcache\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2100.04.01 17:22:34 | 000,000,194 | ---- | C] () -- C:\WINDOWS\X83_DS.ini
[2100.02.24 14:15:04 | 000,000,821 | ---- | C] () -- C:\WINDOWS\Lexmark_ICM.ini
[2100.02.16 16:09:06 | 000,000,062 | ---- | C] () -- C:\WINDOWS\System32\LXASUSCI.INI
[2010.09.13 14:22:27 | 000,373,746 | ---- | C] () -- C:\Dokumente und Einstellungen\***\Eigene Dateien\cc_20100913_142210.reg
[2010.09.13 14:02:48 | 000,000,662 | ---- | C] () -- C:\Dokumente und Einstellungen\***\Desktop\CCleaner.lnk
[2010.09.06 14:11:44 | 000,000,684 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk
[2005.07.26 16:13:40 | 000,000,057 | ---- | C] () -- C:\WINDOWS\start.INI
[2003.10.13 21:32:03 | 000,000,512 | ---- | C] () -- C:\WINDOWS\FORMSYNC.DLL
[2003.07.13 13:40:28 | 000,217,088 | ---- | C] () -- C:\WINDOWS\System32\SAWZipNG.dll
[2003.05.15 17:19:13 | 000,000,052 | ---- | C] () -- C:\WINDOWS\wininit.ini
[2003.04.08 19:32:42 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI
[2002.12.10 01:00:00 | 000,036,864 | ---- | C] () -- C:\WINDOWS\System32\DOCOBJ.DLL
[2002.12.10 01:00:00 | 000,032,768 | ---- | C] () -- C:\WINDOWS\System32\HLINKPRX.DLL
[2002.09.25 19:22:48 | 000,000,014 | ---- | C] () -- C:\WINDOWS\msoffice.ini
[2002.06.13 18:22:32 | 000,000,021 | ---- | C] () -- C:\WINDOWS\progman.ini
[2002.06.13 18:22:21 | 000,000,828 | ---- | C] () -- C:\WINDOWS\HAFASWIN.INI
[2002.06.13 18:22:21 | 000,000,369 | ---- | C] () -- C:\WINDOWS\FUNTRAIN.INI
[2002.06.08 16:30:51 | 000,000,078 | ---- | C] () -- C:\WINDOWS\psuite.ini
[2002.06.08 16:21:51 | 000,000,020 | ---- | C] () -- C:\WINDOWS\ACMonitor_X83.ini
[2002.06.08 16:19:08 | 000,004,672 | ---- | C] () -- C:\WINDOWS\System32\LXASUSCI.DLL
[2002.06.04 21:31:11 | 000,000,158 | ---- | C] () -- C:\WINDOWS\TSDataEx.ini
[2002.05.27 20:15:23 | 000,000,644 | ---- | C] () -- C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Anwendungsdaten\FASTWiz.html
[2002.05.25 16:45:57 | 000,000,040 | ---- | C] () -- C:\WINDOWS\sversion.ini
[2002.05.25 15:46:47 | 000,009,728 | ---- | C] () -- C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2002.04.17 22:06:49 | 000,000,061 | ---- | C] () -- C:\WINDOWS\smscfg.ini
[2002.04.17 21:11:51 | 000,000,742 | ---- | C] () -- C:\WINDOWS\System32\oeminfo.ini
[2002.04.17 21:06:12 | 000,000,942 | ---- | C] () -- C:\WINDOWS\orun32.ini
[2002.04.17 21:06:12 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2002.03.13 15:46:00 | 000,053,248 | ---- | C] () -- C:\WINDOWS\System32\zlib.dll
[2001.10.25 20:20:00 | 000,102,400 | ---- | C] () -- C:\WINDOWS\System32\LXASBCE.DLL
[2001.10.25 20:20:00 | 000,032,768 | ---- | C] () -- C:\WINDOWS\System32\LXASICO.DLL
[2001.10.25 20:19:59 | 000,000,643 | ---- | C] () -- C:\WINDOWS\LEXSTAT.INI
[2001.01.05 13:34:30 | 000,016,812 | ---- | C] () -- C:\WINDOWS\System32\lxas2kpm.dll
[2001.01.05 12:08:02 | 000,008,427 | ---- | C] () -- C:\WINDOWS\System32\lxas2kui.dll
[2000.10.24 09:08:36 | 000,118,784 | ---- | C] () -- C:\WINDOWS\System32\LFKODAK.DLL
[2000.10.24 09:08:33 | 000,338,944 | ---- | C] () -- C:\WINDOWS\System32\lffpx7.dll
[2000.10.11 14:11:12 | 000,121,562 | ---- | C] () -- C:\WINDOWS\System32\PicFormat32.dll
 
========== LOP Check ==========
 
[2009.07.30 15:03:11 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\HaCon
[2009.10.29 17:07:31 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ICQ
[2004.04.03 20:36:39 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Viewpoint
[2009.07.30 15:03:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\***\Anwendungsdaten\HaCon
[2009.10.29 17:49:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\***\Anwendungsdaten\ICQ
[2002.04.17 22:51:16 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\***\Anwendungsdaten\InterTrust
[2009.05.19 12:40:27 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Viewpoint
 
========== Purity Check ==========
 
 
< End of report >
--- --- ---

[/code]
OTL Logfile:
Code:
OTL Extras logfile created on: 23.09.2010 20:17:50 - Run 1
OTL by OldTimer - Version 3.2.14.1    Folder = C:\Dokumente und Einstellungen\***\Eigene Dateien
Windows XP Home Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
255,00 Mb Total Physical Memory | 158,00 Mb Available Physical Memory | 62,00% Memory free
1,00 Gb Paging File | 1,00 Gb Available in Paging File | 77,00% Paging File free
Paging file location(s): C:\pagefile.sys 1000 1000 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 74,56 Gb Total Space | 30,65 Gb Free Space | 41,10% Space Free | Partition Type: NTFS
D: Drive not present or media not loaded
E: Drive not present or media not loaded
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded
 
Computer Name: ***
Current User Name: ***
Logged in as Administrator.
 
Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Minimal
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
htmlfile [edit] -- "C:\Programme\Microsoft Office\Office10\msohtmed.exe" %1 (Microsoft Corporation)
htmlfile [print] -- "C:\Programme\Microsoft Office\Office10\msohtmed.exe" /p %1 (Microsoft Corporation)
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation)
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
"3587:TCP" = 3587:TCP:*:Enabled:Windows-Peer-zu-Peer-Gruppierung
"3540:UDP" = 3540:UDP:*:Enabled:Peer Name Resolution-Protokoll (PNRP)
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
"3587:TCP" = 3587:TCP:*:Enabled:Windows-Peer-zu-Peer-Gruppierung
"3540:UDP" = 3540:UDP:*:Enabled:Peer Name Resolution-Protokoll (PNRP)
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe" = C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe:*:Enabled:AOL -- File not found
"C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe" = C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe:*:Enabled:AOL -- File not found
"C:\Programme\Windows Live\Messenger\wlcsdk.exe" = C:\Programme\Windows Live\Messenger\wlcsdk.exe:*:Enabled:Windows Live Call -- (Microsoft Corporation)
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\AOL 9.0\waol.exe" = C:\Programme\AOL 9.0\waol.exe:*:Enabled:AOL 9.0 -- File not found
"C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe" = C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe:*:Enabled:AOL -- File not found
"C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe" = C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe:*:Enabled:AOL -- File not found
"C:\Programme\Gemeinsame Dateien\aol\1185877962\ee\aolsoftware.exe" = C:\Programme\Gemeinsame Dateien\aol\1185877962\ee\aolsoftware.exe:*:Enabled:AOL Shared Components -- File not found
"C:\Programme\Gemeinsame Dateien\aol\1248422823\ee\aolsoftware.exe" = C:\Programme\Gemeinsame Dateien\aol\1248422823\ee\aolsoftware.exe:*:Enabled:AOL Shared Components -- File not found
"C:\Programme\ICQ6.5\ICQ.exe" = C:\Programme\ICQ6.5\ICQ.exe:*:Enabled:ICQ6 -- (ICQ, LLC.)
"C:\Programme\Windows Live\Messenger\wlcsdk.exe" = C:\Programme\Windows Live\Messenger\wlcsdk.exe:*:Enabled:Windows Live Call -- (Microsoft Corporation)
"C:\Programme\AOL 9.0a\waol.exe" = C:\Programme\AOL 9.0a\waol.exe:*:Enabled:AOL -- File not found
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
"{1F5C00FE-6E62-4DB7-B961-DA125FDDF3B4}" = simtrain's - HeidiExpress
"{205C6BDD-7B73-42DE-8505-9A093F35A238}" = Windows Live-Uploadtool
"{22B775E7-6C42-4FC5-8E10-9A5E3257BD94}" = MSVCRT
"{25F60491-F5AB-4985-9354-37C146783F35}" = Microsoft Works Suite-Add-Ins für Microsoft Word
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{41E654A9-26D0-4EAC-854B-0FA824FFFABB}" = Windows Live Messenger
"{4CABD32F-1045-41E2-8670-8E44623F50F9}" = simtrain's simtrain's - Bernina Express
"{52B97218-98CB-4B8B-9283-D213C85E1AA4}" = Windows Live Anmelde-Assistent
"{5FC68772-6D56-41C6-9DF1-24E868198AE6}" = Windows Live Call
"{60DE4033-9503-48D1-A483-7846BD217CA9}" = ICQ6.5
"{63569CE9-FA00-469C-AF5C-E5D4D93ACF91}" = Windows Genuine Advantage v1.3.0254.0
"{681734DF-28F0-4842-855C-91CCE610FA67}" = Aerosoft's - Strassenbahn Berlin-Koepenick
"{6B7EC15B-915A-4F03-80BA-2DC016CC65AE}" = simtrain's - Glacier Express
"{90840407-6000-11D3-8CFE-0150048383C9}" = Microsoft Office Excel Viewer 2003
"{911B0407-6000-11D3-8CFE-0050048383C9}" = Microsoft Word 2002
"{95120000-00B9-0409-0000-0000000FF1CE}" = Microsoft Application Error Reporting
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{A1F66FC9-11EE-4F2F-98C9-16F8D1E69FB7}" = Segoe UI
"{A4D7B764-4140-11D4-88EB-0050DA3579C0}" = Nero - Burning Rom
"{BF7C1B99-A250-45EF-B186-0C33B7308F95}" = SD40-2_Content_Update
"{C1939820-A945-11D4-86F6-0001031E5712}" = InterVideo WinDVD
"{D121161E-AD64-4438-97A0-66A1AB7FFDE3}" = Works Suite-Betriebssystem-Pack
"{ED00D08A-3C5F-488D-93A0-A04F21F23956}" = Windows Live Communications Platform
"{ED5EDCD0-5745-4B13-8061-58C9833FD06D}" = Microsoft Works 6.0
"{F0E12BBA-AD66-4022-A453-A1C8A0C4D570}" = Microsoft Choice Guard
"{F2260E94-80F2-4CB1-B6B1-6043D9BFFA47}" = Works-Synchronisierung
"{F8FF18EE-264A-43FD-B2F6-5EAD40798C2F}" = Windows Live Essentials
"ActivityChanger 1.5" = ActivityChanger 1.5
"Adobe Acrobat 5.0" = Adobe Acrobat 5.0
"America Online de" = AOL Deutschland
"Avira AntiVir Desktop" = Avira AntiVir Personal - Free Antivirus
"Berlin Subway" = Berlin Subway
"CCleaner" = CCleaner
"CNXT_MODEM_PCI_VEN_14F1&DEV_2F00&SUBSYS_8D88122D" = MSP3885-E 56K PCI Modem
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie8" = Windows Internet Explorer 8
"JRE 1.3.1_02" = Java 2 Runtime Environment Standard Edition 1.3.1_02
"Kicking Horse Pass 2.0" = Kicking Horse Pass 2.0
"KVB B-Wagen Pack Vol. 3" = KVB B-Wagen Pack Vol. 3
"KVB K4000 Pack Vol. 1" = KVB K4000 Pack Vol. 1
"KVB Linien 6-12-15" = KVB Linien 6-12-15
"KVB-SWB K5000-Pack Vol.2" = KVB-SWB K5000-Pack Vol.2
"Legenden zwischen Spree und Oder" = Legenden zwischen Spree und Oder 1.0
"Lexmark X83" = Lexmark X83
"Linie 51" = Linie 51
"Loksim3D" = Loksim3D
"Malwarebytes' Anti-Malware_is1" = Malwarebytes' Anti-Malware
"MGI_PHOTOSUITE_V806" = MGI PhotoSuite 8.1 (nur entfernen)
"MM Eisenbahn-Bildschirmschoner V3" = MM Eisenbahn-Bildschirmschoner V3
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"ProTrain 10  Aachen - Köln 1.0" = ProTrain 10  Aachen - Köln 1.0
"ProTrain 11 Hamburg - Flensburg 1.0" = ProTrain 11 Hamburg - Flensburg 1.0
"ProTrain 12 Karlsruhe - Basel 1.0" = ProTrain 12 Karlsruhe - Basel 1.0
"ProTrain 12 Weihnachtsspecial 1.0" = ProTrain 12 Weihnachtsspecial 1.0
"ProTrain 13 Hamburg - Westerland 1.0" = ProTrain 13 Hamburg - Westerland 1.0
"ProTrain 16 Schwarzwaldromantik 1.0" = ProTrain 16 Schwarzwaldromantik 1.0
"ProTrain 18 Hamburg-Berlin 1.0" = ProTrain 18 Hamburg-Berlin 1.0
"ProTrain 19 Berlin-Rostock 1.0" = ProTrain 19 Berlin-Rostock 1.0
"ProTrain 2 2.0" = ProTrain 2 2.0
"ProTrain 20 Dortmund - Hannover 1.0" = ProTrain 20 Dortmund - Hannover 1.0
"ProTrain 25 Koblenz - Giessen "Lahntalbahn" 1.0" = ProTrain 25 Koblenz - Giessen "Lahntalbahn" 1.0
"ProTrain 28 "Durch den Berliner Speckgürtel" 1.0" = ProTrain 28 "Durch den Berliner Speckgürtel" 1.0
"ProTrain 3 3.0" = ProTrain 3 3.0
"ProTrain 4    Hamburg-Berlin 4.0" = ProTrain 4    Hamburg-Berlin 4.0
"ProTrain 7 - Frankfurt-Nürnberg 1.0" = ProTrain 7 - Frankfurt-Nürnberg 1.0
"ProTrain 7 "Spessartrampe" Update auf Version 1.2 1.2" = ProTrain 7 "Spessartrampe" Update auf Version 1.2 1.2
"ProTrain 8 - Update auf Version 1.1 1.1" = ProTrain 8 - Update auf Version 1.1 1.1
"ProTrain 8 Hannover-Berlin 1.0" = ProTrain 8 Hannover-Berlin 1.0
"ProTrain 9 Berlin-Rostock 1.0" = ProTrain 9 Berlin-Rostock 1.0
"ProTrain Berlin-Dresden 1.0" = ProTrain Berlin-Dresden 1.0
"ProTrain Karwendelbahn Aufgabenpaket 1 1.0" = ProTrain Karwendelbahn Aufgabenpaket 1 1.0
"ProTrain Karwendelbahn Papiermodelle 1.0" = ProTrain Karwendelbahn Papiermodelle 1.0
"ProTrain Köln - Frankfurt 1.0" = ProTrain Köln - Frankfurt 1.0
"ProTrain Rasender Roland 1.0" = ProTrain Rasender Roland 1.0
"ProTrain Semmering 1.0" = ProTrain Semmering 1.0
"ProTrain Tauernbahn 1.0" = ProTrain Tauernbahn 1.0
"ProTrain Vogelfluglinie 1.0" = ProTrain Vogelfluglinie 1.0
"ProTrain Weltkulturerbe Semmering: Activitiepack 1 1.01" = ProTrain Weltkulturerbe Semmering: Activitiepack 1 1.01
"Q903235" = Internet Explorer Q903235
"QuickTime" = QuickTime
"RealPlayer 6.0" = RealPlayer Basic
"Shockwave" = Shockwave
"ShockwaveFlash" = Adobe Flash Player 9 ActiveX
"SIMRUDI´s Freeware AddOn Gesäusestrecke eletrifiziert" = SIMRUDI´s Freeware AddOn Gesäusestrecke eletrifiziert
"StarOffice 4.0" = StarOffice 4.0
"The Bridge Line Route" = The Bridge Line Route
"Train Store (German Language Pack)" = Train Store (German Language Pack)
"Train Store V3.2" = Train Store V3.2
"U-Bahn-Triebwagen, Typ U - V 2.0" = U-Bahn-Triebwagen, Typ U - V 2.0
"VBB-Fahrinfo offline" = VBB-Fahrinfo offline starten
"ViewpointMediaPlayer" = Viewpoint Media Player
"Windows XP Service Pack" = Windows XP Service Pack 2
"WinLiveSuite_Wave3" = Windows Live Essentials
"WinZip" = WinZip
"Works2002Setup" = Microsoft Works 2002-Setup-Start
 
========== HKEY_CURRENT_USER Uninstall List ==========
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Wupper Express 11 Actpack 1.0" = Wupper Express 11 Actpack 1.0
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 09.09.2010 11:23:28 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 1478656 (0x0000000000169000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:30 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 65536 (0x0000000000010000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:31 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 69632 (0x0000000000011000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:32 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 20480 (0x0000000000005000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:33 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 32768 (0x0000000000008000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:37 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 512000 (0x000000000007d000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:40 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 81920 (0x0000000000014000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 13:28:31 | Computer Name = *** | Source = MsiInstaller | ID = 11706
Description = Produkt: Microsoft Word 2002 -- Fehler 1706. Setup kann die benötigten
 Dateien nicht finden. Überprüfen Sie Ihre Verbindung mit dem Netzwerk oder dem
CD-ROM-Laufwerk. Um mehr über mögliche Lösungen für dieses Problem zu erfahren,
sehen sie bitte nach in C:\Programme\Microsoft Office\Office10\1031\SETUP.HLP.
 
Error - 09.09.2010 13:28:32 | Computer Name = *** | Source = MsiInstaller | ID = 1024
Description = Produkt: Microsoft Word 2002 - Update "{4757E865-0292-4E04-940D-9C51052A5DD6}"
 konnte nicht installiert werden. Fehlercode 1603. Windows Installer kann Protokolle
 erstellen, um bei der Problembehandlung betreffend der Installation von Softwarepaketen
 behilflich zu sein. Verwenden Sie folgenden Link, um Anweisungen zur Aktivierung
 der Protokollierungsunterstützung zu erhalten: hxxp://go.microsoft.com/fwlink/?LinkId=23127
 
Error - 19.09.2010 18:11:59 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (640) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 81920 (0x0000000000014000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
[ Application Events ]
Error - 09.09.2010 11:23:28 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 1478656 (0x0000000000169000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:30 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 65536 (0x0000000000010000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:31 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 69632 (0x0000000000011000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:32 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 20480 (0x0000000000005000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:33 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 32768 (0x0000000000008000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:37 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 512000 (0x000000000007d000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 11:23:40 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (172) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 81920 (0x0000000000014000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
Error - 09.09.2010 13:28:31 | Computer Name = *** | Source = MsiInstaller | ID = 11706
Description = Produkt: Microsoft Word 2002 -- Fehler 1706. Setup kann die benötigten
 Dateien nicht finden. Überprüfen Sie Ihre Verbindung mit dem Netzwerk oder dem
CD-ROM-Laufwerk. Um mehr über mögliche Lösungen für dieses Problem zu erfahren,
sehen sie bitte nach in C:\Programme\Microsoft Office\Office10\1031\SETUP.HLP.
 
Error - 09.09.2010 13:28:32 | Computer Name = *** | Source = MsiInstaller | ID = 1024
Description = Produkt: Microsoft Word 2002 - Update "{4757E865-0292-4E04-940D-9C51052A5DD6}"
 konnte nicht installiert werden. Fehlercode 1603. Windows Installer kann Protokolle
 erstellen, um bei der Problembehandlung betreffend der Installation von Softwarepaketen
 behilflich zu sein. Verwenden Sie folgenden Link, um Anweisungen zur Aktivierung
 der Protokollierungsunterstützung zu erhalten: hxxp://go.microsoft.com/fwlink/?LinkId=23127
 
Error - 19.09.2010 18:11:59 | Computer Name = *** | Source = ESENT | ID = 482
Description = HelpSvc (640) Versuch, in Datei "C:\WINDOWS\PCHealth\HelpCtr\Database\HCdata.edb"
 bei Offset 81920 (0x0000000000014000) für 4096 (0x00001000) Bytes zu schreiben,
 ist mit Systemfehler 5 (0x00000005): "Zugriff verweigert " fehlgeschlagen. Fehler
 -1032 (0xfffffbf8) bei Schreiboperation. Wenn dieser Zustand andauert, ist die
Datei möglicherweise beschädigt und muss aus einer vorherigen Sicherung wiederhergestellt
 werden.
 
[ System Events ]
Error - 20.09.2010 05:55:10 | Computer Name = *** | Source = Service Control Manager | ID = 7022
Description = Der Dienst "Avira AntiVir Guard" wurde nicht ordnungsgemäß gestartet.
 
Error - 20.09.2010 07:18:13 | Computer Name = *** | Source = Windows Update Agent | ID = 16
Description = Verbindung nicht möglich: Es konnte keine Verbindung mit dem Dienst
 "Automatische Updates" hergestellt werden, daher können Updates nicht nach dem
angegebenen Zeitplan heruntergeladen und installiert werden. Es wird weiterhin versucht,
 eine Verbindung herzustellen.
 
Error - 20.09.2010 07:46:23 | Computer Name = *** | Source = Disk | ID = 262155
Description = Der Treiber hat einen Controllerfehler auf \Device\Harddisk0\D gefunden.
 
Error - 20.09.2010 07:48:27 | Computer Name = *** | Source = Disk | ID = 262155
Description = Der Treiber hat einen Controllerfehler auf \Device\Harddisk0\D gefunden.
 
Error - 20.09.2010 07:49:13 | Computer Name = *** | Source = atapi | ID = 262153
Description = Das Gerät \Device\Ide\IdePort0 hat innerhalb der Fehlerwartezeit nicht
 geantwortet.
 
Error - 20.09.2010 07:55:06 | Computer Name = *** | Source = Disk | ID = 262155
Description = Der Treiber hat einen Controllerfehler auf \Device\Harddisk0\D gefunden.
 
Error - 23.09.2010 11:47:22 | Computer Name = *** | Source = Service Control Manager | ID = 7001
Description = Der Dienst "Computerbrowser" ist vom Dienst "Server" abhängig, der
 aufgrund folgenden Fehlers nicht gestartet wurde:  %%1058
 
Error - 23.09.2010 11:50:16 | Computer Name = *** | Source = Service Control Manager | ID = 7009
Description = Zeitüberschreitung (30000 ms) beim Verbindungsversuch mit Dienst IMAPI-CD-Brenn-COM-Dienste.
 
Error - 23.09.2010 11:50:17 | Computer Name = *** | Source = Service Control Manager | ID = 7000
Description = Der Dienst "IMAPI-CD-Brenn-COM-Dienste" wurde aufgrund folgenden Fehlers
 nicht gestartet:  %%1053
 
Error - 23.09.2010 14:13:14 | Computer Name = *** | Source = Windows Update Agent | ID = 16
Description = Verbindung nicht möglich: Es konnte keine Verbindung mit dem Dienst
 "Automatische Updates" hergestellt werden, daher können Updates nicht nach dem
angegebenen Zeitplan heruntergeladen und installiert werden. Es wird weiterhin versucht,
 eine Verbindung herzustellen.
 
 
< End of report >
--- --- ---

[/code]

Ist das ein Malwareproblem oder ist er "zu alt" oder so? Danke schonmal.

Mfg

PS: Das Erstellen von OTL dauerte viele Stunden, auf meinem anderen PC waren das nur ein paar Augenblicke. Und warum hab ich plötzlich eine Datei "Thumbs" auf dem Desktop?

cosinus 24.09.2010 11:15
Zitat:
255,00 Mb Total Physical Memory | 158,00 Mb Available Physical Memory
Das Teil hat aber verdammt wenig Arbeitsspeicher. Solange der nicht aufgerüstet wird, wird die Kiste auch recht langsam bleiben. Was für Hardware hat der Rechner genau?

habefrage 24.09.2010 16:43
Ich bin mir nicht ganz sicher, was Du ganz genau wissen möchtest, ich geb Dir einfach mal die Daten aus der Systemsteuerung.

Fujitsu Siemens Computer Intel (R)
Pentium (R) 4 CPU 2GHz
1.99 GHz 256 MB RAM

(Ist von 2002).

Aber er ist halt manchmal extrem langsam.

habefrage 24.09.2010 21:03
Ich hab jetzt gerade nochmal den Status der LAN-Verbindung beobachtet und ohne dass ich etwas tue werden alle paar Sekunden einzelne Datenpakete gesendet, manchmal auch empfangen. :confused:

cosinus 25.09.2010 14:04
Rüste den Arbeitsspeicher auf.

habefrage 25.09.2010 19:12
Sorry, wenn ich nochmal nachfrage, aber ich hab nochmal "weitergeforscht" wegen diesen Datenpaketen, die gesendet werden.

Wollte TCPView mal testen, aber das Programm hängt sich immer auf, sofort nach dem Start (Problem festgestellt, senden oder nicht...):confused:.
Dann probierte ich netstat, wird sofort geschlossen, aber nicht in Eingabeaufforderung, dort sah ich dann Verbindungen zu mir unbekannten Seiten wie (z.B.) w*w.buxflow.com oder w*w.mydays.de oder w*w.bw-in-f106.1e100.net.

Ist das alles nicht irgendwie verdächtig?

cosinus 25.09.2010 20:07
Vergiss die Datenpakete!! Mit TCPView siehst Du eh nichts, da siehst Du nur aktive Verbindungen!
Dein Rechner ist in die Jahre gekommen und hat zu wenig Arbeitsspeicher, das ist Fakt und auch der Grund warum er so langsam ist. Das liegt nicht an irgendwelchen Datenpaketen.

Wann wurde das System zuletzt neu installiert? Manchmal ist die brachiale Methode - Format C: plus Neuinstallation von Windows - am ehesten angebracht, besonders bei stark vermüllten Systemen. Vermüllt sieht Dein System aber nicht aus.

Führ mal CF für weitere Analysen aus, aber Malware hab ich schon über die anderen Logs nicht gesehen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.
http://saved.im/mtm0nzyzmzd5/cofi.jpg
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

habefrage 26.09.2010 00:56
Hier der Comofix-log, allerdings war die Datei plötzlich weg und ich musste die unter C:\Combofix.txt öffnen und nochmal neu den Benutzernamen durch *** ersetzten (hatte ich eigentlich gerade schon gemacht):confused:.
Ich hoffe, das ist kein Mist passiert - notfalls kann ich auch nochmal scannen.

Code:
ComboFix 10-09-25.05 - *** 26.09.2010  1:08.1.1 - x86
Microsoft Windows XP Home Edition  5.1.2600.2.1252.49.1031.18.255.83 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\***\Desktop\cofi.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

(((((((((((((((((((((((  Dateien erstellt von 2010-08-25 bis 2010-09-25  ))))))))))))))))))))))))))))))
.

2010-09-19 16:04 . 2010-09-19 16:04        --------        d-----w-        C:\found.000
2010-09-13 12:02 . 2010-09-13 12:02        --------        d-----w-        c:\programme\CCleaner
2010-09-13 11:52 . 2010-09-13 11:52        --------        d-sh--w-        c:\dokumente und einstellungen\***\IECompatCache
2010-09-09 21:04 . 2010-09-09 21:04        --------        d-sh--w-        c:\dokumente und einstellungen\***\PrivacIE
2010-09-09 20:56 . 2010-09-09 20:56        --------        d-sh--w-        c:\dokumente und einstellungen\***\IETldCache
2010-09-09 18:02 . 2010-09-09 18:05        --------        dc-h--w-        c:\windows\ie8
2010-09-06 12:08 . 2010-04-29 13:39        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-06 12:06 . 2010-04-29 13:39        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys
2010-09-06 12:06 . 2010-09-06 12:15        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-09 17:13 . 2002-09-29 13:38        63080        ----a-w-        c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-09-09 15:07 . 2004-03-30 17:09        --------        d-----w-        c:\programme\LeechGet 2004
2010-09-09 15:04 . 2004-09-01 16:55        --------        d-----w-        c:\programme\Route_Riter
2010-09-09 14:58 . 2002-04-17 19:04        --------        d-----w-        c:\programme\Microsoft Encarta
2010-09-09 14:53 . 2002-11-01 14:02        --------        d-----w-        c:\programme\DB2002
2010-09-09 14:15 . 2003-12-24 22:26        --------        d-----w-        c:\programme\Train Store
2010-09-09 14:03 . 2010-01-14 23:03        --------        d-----w-        c:\programme\Gemeinsame Dateien\aolshare
2010-09-09 14:03 . 2004-04-03 18:32        --------        d-----w-        c:\programme\Gemeinsame Dateien\aol
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"PrinTray"="c:\windows\System32\spool\DRIVERS\W32X86\3\printray.exe" [2001-10-25 36864]
"Lexmark X83 Button Monitor"="c:\progra~1\LEXMAR~1\ACMonitor_X83.exe" [2001-10-12 40960]
"Lexmark X83 Button Manager"="c:\progra~1\LEXMAR~1\AcBtnMgr_X83.exe" [2001-06-10 53248]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2004-04-03 98304]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360]

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^AOL 9.0 Tray-Symbol.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\AOL 9.0 Tray-Symbol.lnk
backup=c:\windows\pss\AOL 9.0 Tray-Symbol.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Erinnerungen in Microsoft Works-Kalender.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Erinnerungen in Microsoft Works-Kalender.lnk
backup=c:\windows\pss\Erinnerungen in Microsoft Works-Kalender.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]
2004-08-04 07:57        15360        ----a-w-        c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Microsoft Works Portfolio]
2001-10-04 14:47        331830        ----a-w-        c:\programme\Microsoft Works\wkssb.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Microsoft Works Update Detection]
2001-10-04 14:46        28738        ----a-w-        c:\programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2004-10-13 16:24        1694208        --sh--w-        c:\programme\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroCheck]
2001-08-06 18:03        155648        ----a-w-        c:\windows\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2004-04-03 18:39        98304        ----a-w-        c:\programme\QuickTime\qttask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RealTray]
2004-04-03 18:35        26112        ----a-w-        c:\programme\Real\RealPlayer\realplay.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3587:TCP"= 3587:TCP:Windows-Peer-zu-Peer-Gruppierung
"3540:UDP"= 3540:UDP:Peer Name Resolution-Protokoll (PNRP)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [07.11.2009 17:13 108289]
R2 BulkUsb;Genesys Logic USB Scanner Controller NT 5.0;c:\windows\system32\drivers\usbscan.sys [08.06.2002 16:21 15104]
R2 Iprip;RIP-Überwachung;c:\windows\System32\svchost.exe -k netsvcs [17.04.2002 21:12 14336]
S3 AVMUNET;AVM FRITZ! Box;c:\windows\system32\drivers\avmunet.sys [09.12.2004 13:27 16384]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
p2psvc        REG_MULTI_SZ          p2psvc p2pimsvc p2pgasvc PNRPSvc
.
.
------- Zusätzlicher Suchlauf -------
.
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

MSConfigStartUp-AOLDialer - c:\programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
MSConfigStartUp-McAfeeUpdaterUI - c:\programme\Network Associates\Common Framework\UpdaterUI.exe
AddRemove-TRAINS - c:\programme\Microsoft Games\Train Simulator\TRAINS\uninstall.exe
AddRemove-Wupper Express 11 Actpack 1.0 - c:\dokumente und einstellungen\***\Desktop\train simulator\Uninstal.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-09-26 01:28
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'explorer.exe'(3520)
c:\windows\system32\webcheck.dll
c:\windows\system32\IEFRAME.dll
.
Zeit der Fertigstellung: 2010-09-26  01:38:59
ComboFix-quarantined-files.txt  2010-09-25 23:38

Vor Suchlauf: 28 Verzeichnis(se), 32.853.147.648 Bytes frei
Nach Suchlauf: 31 Verzeichnis(se), 32.830.808.064 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /NoExecute=OptIn

- - End Of File - - 9068CF87941BC8B3B255B7A471ADFB4C
Über diese Seite buxflow hab ich beim Suchen über google vereinzelt gelesen, dass es da scheinbar Zusammenhänge mit Malware geben soll :-(. Und ich kenn die Seite auch nicht, ebenso diese mydays.
(editiert, ergänzt).

EDIT: Eben hat netstat außer einer für mich kryptisch klingenden Webseite w*w.assoc-amazon.de angegeben - da war ich eben nicht... :confused:

NOCHMAL EDIT: Jetzt ist die Datei wieder auf der Taskleiste :confused:.

cosinus 26.09.2010 10:54
Das CF-Log ist unauffällig.

Zu den Dir unbekannten Webseiten: Das Thema hatte ich erst neulich mit jmd durchgekaut => http://www.trojaner-board.de/90758-v...slive-com.html

habefrage 26.09.2010 22:13
Erstmal Danke fürs auswerten.

Aber nun schon wieder ein Problem:

Antivir hat gemeldet "AntivirGuard wurde gestoppt". Und er ließ sich auch nicht aktivieren.
Dann hab ich neu gestartet und es sah wieder normal aus (nur in der Taskleiste steht immer noch gestoppt!).

Hab dann diesen Testvirus eicar als txt-Datei auf dem Desktop gespeichert und es passiert NICHTS!

Oh mann, irgendwas stimmt da doch nicht...

EDIT: Nach Umbenennung in eicar.com hat antivir doch was gemeldet - bei wikipedia stand aber, es ginge auch txt :confused:.

habefrage 19.10.2010 17:39
Ich bins nochmal...

Zitat:
Außerdem ist mir eingefallen, dass ich vor Monaten manchmal beim Herunterfahren die Meldung hatte, dass ein Programm mit einem mir nicht bekannten Namen, bestehend aus sehr vielen Buchstaben durcheinander beendet werden muss.
Ich hab einen Zettel gefunden, wo ich den Anfang dieses ominösen Prozesses aufgeschrieben habe: "DcRsJVZ(IqCD)...". Das in Klammern bin ich mir nicht ganz sicher, ob das in Klammern war oder ob ich mir nicht sicher war - bei den Pünktchen ging es noch viele Buchstaben/Zeichen weiter, aber die Meldung war dann weg - hatte ich ein paar Mal vor ein paar Monaten.

Was ist das?

Danke.

habefrage 11.11.2010 17:51
Hallo,

jetzt hab ich mal mit "sophos" nach Rootkits gesucht, leider weiß ich nicht genau, was das Ergebnis bedeutet. Sind das Rootkits? Keine Ahnung, was dieses "Antivirusantisyware" (oft verkürzt) heißt oder Malware, etc.

Bitte um Hilfe. Danke.

Code:
Sophos Anti-Rootkit Version 1.5.0  (c) 2009 Sophos Plc
Started logging on 11.11.2010 at 13:17:19
User "***" on computer "***"
Windows version 5.1 SP 2.0 Service Pack 2 build 2600 SM=0x300 PT=0x1 Win32
Info:        Starting process scan.
Info:        Starting registry scan.
Info:        Starting disk scan of C: (NTFS).
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\ispyware;kw=[keyword];gkw=[googlekeyword];pos=promoteaser;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=;sz=1x1;tile=6;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\e;kw=[keyword];gkw=[googlekeyword];pos=leadfull;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=;sz=468x60,728x90;tile=1;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\[keyword];gkw=[googlekeyword];pos=sky;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\antispyware;kw=[keyword];gkw=[googlekeyword];pos=sky2;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=;sz=160x190;tile=3;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\ware;kw=[keyword];gkw=[googlekeyword];pos=mpu;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=;sz=300x250,336x280;tile=4;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\antispyware;kw=[keyword];gkw=[googlekeyword];pos=promobox;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=;sz=1x1;tile=5;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\tispyware;kw=[keyword];gkw=[googlekeyword];pos=textlinks1;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=;sz=1x1;tile=7;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\tispyware;kw=[keyword];gkw=[googlekeyword];pos=textlinks2;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=;sz=1x1;tile=8;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\antispyware;kw=[keyword];gkw=[googlekeyword];pos=layer;tax1=Sicherheit;tax2=Malware;tax3=Trojanisches+Pferd;tax4=;dcopt=ist;sz=1x1;tile=9;ord=583157131[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\4;i6=4;i7=4;i9=4;i12=4;i13=4;i15=4;i17=4;i19=4;i28=4;i34=4;i37=4;i39=3;i40=4;i43=4;i44=4;i46=4;s1=3;s5=0;a11=2;a14=2;;sz=120x600;tile=2;ord=4194009225[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\ntivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=textlinks2;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=8;ord=349740218[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\4;i6=4;i7=4;i9=4;i12=4;i13=4;i15=4;i17=4;i19=4;i28=4;i34=4;i37=4;i39=3;i40=4;i43=4;i44=4;i46=4;s1=3;s5=0;a11=2;a14=2;;sz=300x250;tile=3;ord=4194009225[2]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\;b1=1;b2=1;b3=6;e2=3;e3=1;e4=1;e5=3;e9=4;f0=4;f1=4;f3=4;g0=4;j1=4;i0=4;i1=4;n0=3;a0=6;a1=0;b8=2;c0=3;c1=3;c2=3;d7=3;e8=0;f6=2;g1=3;g4=0;g5=3;ct=1;ck=0[4]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\;b1=1;b2=1;b3=6;e2=3;e3=1;e4=1;e5=3;e9=4;f0=4;f1=4;f3=4;g0=4;j1=4;i0=4;i1=4;n0=3;a0=6;a1=0;b8=2;c0=3;c1=3;c2=3;d7=3;e8=0;f6=2;g1=3;g4=0;g5=3;ct=1;ck=0[5]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\;b1=1;b2=1;b3=6;e2=3;e3=1;e4=1;e5=3;e9=4;f0=4;f1=4;f3=4;g0=4;j1=4;i0=4;i1=4;n0=3;a0=6;a1=0;b8=2;c0=3;c1=3;c2=3;d7=3;e8=0;f6=2;g1=3;g4=0;g5=3;ct=1;ck=0[2]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\;b1=1;b2=1;b3=6;e2=3;e3=1;e4=1;e5=3;e9=4;f0=4;f1=4;f3=4;g0=4;j1=4;i0=4;i1=4;n0=3;a0=6;a1=0;b8=2;c0=3;c1=3;c2=3;d7=3;e8=0;f6=2;g1=3;g4=0;g5=3;ct=1;ck=0[6]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\;b1=1;b2=1;b3=6;e2=3;e3=1;e4=1;e5=3;e9=4;f0=4;f1=4;f3=4;g0=4;j1=4;i0=4;i1=4;n0=3;a0=6;a1=0;b8=2;c0=3;c1=3;c2=3;d7=3;e8=0;f6=2;g1=3;g4=0;g5=3;ct=1;ck=0[9]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\;b1=1;b2=1;b3=6;e2=3;e3=1;e4=1;e5=3;e9=4;f0=4;f1=4;f3=4;g0=4;j1=4;i0=4;i1=4;n0=3;a0=6;a1=0;b8=2;c0=3;c1=3;c2=3;d7=3;e8=0;f6=2;g1=3;g4=0;g5=3;ct=1;ck=0[4]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\;b1=1;b2=1;b3=6;e2=3;e3=1;e4=1;e5=3;e9=4;f0=4;f1=4;f3=4;g0=4;j1=4;i0=4;i1=4;n0=3;a0=6;a1=0;b8=2;c0=3;c1=3;c2=3;d7=3;e8=0;f6=2;g1=3;g4=0;g5=3;ct=1;ck=0[5]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\;b1=1;b2=1;b3=6;e2=3;e3=1;e4=1;e5=3;e9=4;f0=4;f1=4;f3=4;g0=4;j1=4;i0=4;i1=4;n0=3;a0=6;a1=0;b8=2;c0=3;c1=3;c2=3;d7=3;e8=0;f6=2;g1=3;g4=0;g5=3;ct=1;ck=0[9]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=leadfull;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=468x60,728x90;tile=1;ord=867630850[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\antispyware;kw=[keyword];gkw=[googlekeyword];pos=leadfull;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=468x60,728x90;tile=1;ord=635424698[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\spyware;kw=[keyword];gkw=[googlekeyword];pos=sky;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=90517785[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=promobox;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=5;ord=90517785[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\ntivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=promoteaser;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=6;ord=90517785[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=textlinks1;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=7;ord=90517785[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=textlinks2;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=8;ord=90517785[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=layer;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=ist;sz=1x1;tile=9;ord=90517785[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\antispyware;kw=[keyword];gkw=[googlekeyword];pos=leadfull;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=468x60,728x90;tile=1;ord=349740218[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\pyware;kw=[keyword];gkw=[googlekeyword];pos=sky;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=349740218[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=sky2;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=160x190;tile=3;ord=349740218[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\rusantispyware;kw=[keyword];gkw=[googlekeyword];pos=mpu;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=300x250,336x280;tile=4;ord=349740218[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=promobox;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=5;ord=349740218[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\pyware;kw=[keyword];gkw=[googlekeyword];pos=sky;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=635424698[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\rusantispyware;kw=[keyword];gkw=[googlekeyword];pos=mpu;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=300x250,336x280;tile=4;ord=635424698[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YV23N407\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=promobox;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=5;ord=635424698[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\tivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=promoteaser;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=6;ord=635424698[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\ntivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=textlinks1;tax1=Antivirus;tax2=Online;tax3=Sicherheit;tax4=;dcopt=;sz=1x1;tile=7;ord=635424698[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\INFIK82V\irusantispyware;kw=[keyword];gkw=[googlekeyword];pos=sky;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=867630850[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\46,20908,21181,21308,21769,21774,24306,24307,24618,24908,25291%26RawValues%3dNGUID%2C3e681923-22312-1696301196-1%26Redirect%3d;ord=2010.10.21.9.25.21[1].0
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=leadfull;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=468x60,728x90;tile=1;ord=394380698[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\irusantispyware;kw=[keyword];gkw=[googlekeyword];pos=sky;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=394380698[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\46,20908,21181,21308,21769,21774,24306,24307,24618,24908,25291%26RawValues%3dNGUID%2C3e681923-22312-1696301196-1%26Redirect%3d;ord=2010.10.21.9.26.27[1].0
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=leadfull;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=468x60,728x90;tile=1;ord=772647960[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\irusantispyware;kw=[keyword];gkw=[googlekeyword];pos=sky;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=772647960[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\46,20908,21181,21308,21769,21774,24306,24307,24618,24908,25290%26RawValues%3dNGUID%2C3e681923-22312-1696301196-1%26Redirect%3d;ord=2010.10.21.9.27.19[1].0
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=leadfull;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=468x60,728x90;tile=1;ord=913714422[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\irusantispyware;kw=[keyword];gkw=[googlekeyword];pos=sky;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=913714422[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\46,20908,21181,21308,21769,21774,24306,24307,24618,24908,25291%26RawValues%3dNGUID%2C3e681923-22312-1696301196-1%26Redirect%3d;ord=2010.10.21.9.29.10[1].0
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\365I3FOF\antivirusantispyware;kw=[keyword];gkw=[googlekeyword];pos=leadfull;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=468x60,728x90;tile=1;ord=579237506[1]
Hidden:        file C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G86GEW4Y\irusantispyware;kw=[keyword];gkw=[googlekeyword];pos=sky;tax1=Daten+Sicherheit;tax2=;tax3=;tax4=;dcopt=;sz=120x600,160x600,160x800;tile=2;ord=579237506[1]
Stopped logging on 11.11.2010 at 17:31:49

cosinus 11.11.2010 22:47
Die anderen Logs waren bisher unauffällig. Sophos hat nur wa im IE-Cache gefunden.
Hast Du den Arbeitsspeicher jetzt aufgerüstet?

habefrage 11.11.2010 22:57
Nein, aufgerüstet habe ich bislang nicht, aber er ist auch (meist) nicht mehr so extrem langsam.

Diesen Content.IE5 Ordner gibt es eigentlich gar nicht (mehr) bei mir - ich kann diese Dateien manuell nicht finden, auch nicht, wenn ich Systemdateien nicht ausblenden lasse. Und warum heißen die fast alle was mit Malware, Spyware, Trojanisches Pferd etc. :wtf:?

cosinus 11.11.2010 23:18
Das ist auch ein versteckter Ordner...

habefrage 11.11.2010 23:36
Aber müsste der nicht sichtbar werden, wenn man versteckte und Systemordner einblendet? Auch über die Suchfunktion find ich das nicht.:confused:

Sicher kein Rootkit?

Sorry, ich kenn mich nicht wirklich aus damit... würde man Rootkits denn in normalen Scans wie Malwarebytes sehen? Ich dachte gerade nicht.:confused:

cosinus 12.11.2010 06:00
content.ie5 ist ein legitimer Ordner, da sind die temp. Dateien vom IE!

habefrage 12.11.2010 12:05
Warum kann ich die Dateien dann nicht sichtbar machen? Warum haben sie solche Namen?

Gmer bleibt leider hängen.

Mal eine grundsätzliche Frage:

Kann ein Hacker auch ohne Malware auf den Rechner kommen (z.B. durch bekannte IP-Adresse) oder muss vorher Malware heruntergeladen worden sein? Und kann man Hacker irgendwie nachweisen oder ausschließen?

cosinus 12.11.2010 13:20
Zitat:
Warum kann ich die Dateien dann nicht sichtbar machen? Warum haben sie solche Namen?
Nimm einen anderen Dateimanager zB Totalcommander und lass dir versteckte und Systemdateien anzeigen.
Warum der Ordner so heißt kannst du Herrn Microsoft mal fragen :blabla:

Zitat:
Kann ein Hacker auch ohne Malware auf den Rechner kommen (z.B. durch bekannte IP-Adresse) oder muss vorher Malware heruntergeladen worden sein? Und kann man Hacker irgendwie nachweisen oder ausschließen?
Grundsätzlich kommt man auf die Kiste dann, wenn diese gewisse Dienste gestartet hat (zB einen Webserver der Port 80 öffnet) und diese auch nach außen hin offen sind. Malware muss also nicht im Spiel sein, kommt auch darauf an, wie dieser Dienst konfiguriert ist und/oder ob er verwundbar ist.
Wenn du einen Router mit Firewall hast kommt man nicht ohne weiteres auf den Rechner.

Zitat:
Und kann man Hacker irgendwie nachweisen oder ausschließen?
Wie soll der Nachweis aussehen? Dazu müsstest du schon eine Firewall davor haben, die sämtliches Protokolliert. Damit meine ich aber nicht so ein Spielzeug wie ZoneAlarm, sondern einen eigenen Rechner mit spezieller Software wie IPCop oder m0n0wall die auch sämtlichen Ereignisse protokollieren.
Mit gewisser Absicherung lässt sich vieles ausschließen aber 100%ige Sicherheit wird es nie geben!

habefrage 12.11.2010 17:50
O.K. - erstmal Danke - dann muss ich mal schaun...

cosinus 12.11.2010 18:42
Nach der langen Posterei schreit es ja förmlich nach Kontrollscans :lach:
Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

habefrage 13.11.2010 14:32
Mal 'ne ganz blöde Frage:

Müsste ich Malwarebytes & Co vom Admin-Konto aus ausführen?

Ich habe gerade versucht, GMER im abgesicherten Modus zu starten (auch hängen geblieben) und dabei festgestellt, dass es da ja noch ein Benutzerkonto bei mir gibt, das das Admin-Konto zu sein scheint :wtf:. Hab ich gar nicht gewusst:wtf:.

EDIT: Jetzt wollte ich da mal hinwechseln aber im normalen Modus gibt es das gar nicht :wtf:. Da stand aber beim normalen Benutzerkonto "1 Programm wird ausgeführt".

habefrage 13.11.2010 20:09
Also unter Systemsteuerung - Benutzerkonten bin auch ich der Admin - im abgesicherten Modus gabs mich oder Admin. Seltsam.

Hier mal Malwarebytes, SuperAntiSpyware hab ich noch nicht geschafft.

Code:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 5105

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

13.11.2010 20:00:50
mbam-log-2010-11-13 (20-00-50).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 702230
Laufzeit: 4 Stunde(n), 48 Minute(n), 51 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
Aber das "verdächtigste" find ich immer noch (im Nachhinein) das:

Zitat:
Zitat:
Außerdem ist mir eingefallen, dass ich vor Monaten manchmal beim Herunterfahren die Meldung hatte, dass ein Programm mit einem mir nicht bekannten Namen, bestehend aus sehr vielen Buchstaben durcheinander beendet werden muss.

Ich hab einen Zettel gefunden, wo ich den Anfang dieses ominösen Prozesses aufgeschrieben habe: "DcRsJVZ(IqCD)...". Das in Klammern bin ich mir nicht ganz sicher, ob das in Klammern war oder ob ich mir nicht sicher war - bei den Pünktchen ging es noch viele Buchstaben/Zeichen weiter, aber die Meldung war dann weg - hatte ich ein paar Mal vor ein paar Monaten.

Was ist das?
Hast Du da wirklich keine Idee?

mfg

cosinus 14.11.2010 10:20
Selbstverständlich muss man Malwarebytes als Admin ausführen!
Was das für ein Programm sein könnte, kann man nur vermuten wenn die Namen aus zufälligen Zeichen bestehen. GMER macht das und zB auch der RootkitRevealer aus dem MS-Technet.

habefrage 15.11.2010 01:44
Heißt das, das es vielleicht doch ein Rootkit sein könnte?

Hab mal RootkitRevealer durchgeführt, aber was heißt das Ergbnis?

Code:
HKU\S-1-5-21-3433162778-473866232-3689853989-1005\Console        26.09.2010 00:39        0 bytes        Security mismatch.
HKLM\SECURITY\Policy\Secrets\SAC*        31.12.2000 20:19        0 bytes        Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI*        31.12.2000 20:19        0 bytes        Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\webcal\URL Protocol        03.04.2004 19:34        13 bytes        Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\Swearware\backup\winsock2        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000001        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000002        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000003        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000004        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000005        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000012        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000013        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000014        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000015        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000016        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000017        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000018        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000019        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000020        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000021        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000022        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000023        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000024        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000025        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000026        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000027        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000028        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000029        25.09.2010 23:51        0 bytes        Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000030        25.09.2010 23:51        0 bytes        Security mismatch.

habefrage 15.11.2010 22:35
So, nun SuperAntiSpyware:

Code:
SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 11/15/2010 at 07:22 PM

Application Version : 4.45.1000

Core Rules Database Version : 5860
Trace Rules Database Version: 3672

Scan type      : Complete Scan
Total Scan Time : 07:26:34

Memory items scanned      : 388
Memory threats detected  : 0
Registry items scanned    : 5694
Registry threats detected : 0
File items scanned        : 561201
File threats detected    : 68

Adware.Tracking Cookie
        C:\Dokumente und Einstellungen\***\Cookies\***@adviva[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@adfarm1.adition[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@ad.zanox[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@de.sitestat[4].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@invitemedia[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@mediaplex[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@zanox-affiliate[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@tracking.mindshare[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@unitymedia[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@doubleclick[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@ad3.adfarm1.adition[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@tracking.quisma[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@ww251.smartadserver[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@content.yieldmanager[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@kaspersky.122.2o7[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@usenext[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@tradedoubler[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@ad.adnet[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@ad.ad-srv[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@adx.chip[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@chipxonioonlinegmbh.112.2o7[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@imrworldwide[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@www.zanox-affiliate[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@specificclick[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@avgtechnologies.112.2o7[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@collective-media[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@de.sitestat[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@serving-sys[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@webmasterplan[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@smartadserver[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@msnportal.112.2o7[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@de.sitestat[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@ad.yieldmanager[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@fastclick[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@adserver.clipscale[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@traffictrack[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@apmebf[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@microsoftsto.112.2o7[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@vinvest.122.2o7[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@ad2.adfarm1.adition[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@atdmt[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@de.sitestat[3].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@guj.122.2o7[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@shop.zanox[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@zanox[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@content.yieldmanager[3].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@bs.serving-sys[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@www.usenext[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@ad.chip[2].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@tracking.mlsat02[1].txt
        C:\Dokumente und Einstellungen\***\Cookies\***@track.adform[2].txt
        acvs.mediaonenetwork.net [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        adserver.new-directions.de [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        aka-cdn-ns.adtech.de [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        atdmt.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        cdn1.eyewonder.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        googleads.g.doubleclick.net [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        host-a.oddcast.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        m.de.2mdn.net [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        macromedia.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        media.jambocast.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        media.mtvnservices.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        media.tattomedia.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        msntest.serving-sys.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        spe.atdmt.com [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        webstats.adcina.de [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]
        webstats.cina.de [ C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\35Y2SZAR ]

NotAThreat.EICAR[TestFile]
        C:\DOKUMENTE UND EINSTELLUNGEN\***\EIGENE DATEIEN\EICAR.TXT

cosinus 15.11.2010 22:56
Sieht ok aus, da wurden nur Cookies gefunden. Rootkits seh ich da keine.
Noch Probleme oder weitere Funde in der Zwischenzeit?

habefrage 16.11.2010 00:20
Also die Funde von RootkitRevealer findest Du nicht auffällig? Sollte ich da noch andere Scans machen (wegen dem Prozess und so, ich mein da war auch schon mal vorher so'n komischer Prozess) oder hat das keinen Zweck?

Ansonsten läuft er einigermaßen, ja.

Danke und mfg

cosinus 16.11.2010 08:10
Dann wären wir durch! :abklatsch:

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update



PDF-Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst.

Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink => http://filepony.de/?q=Flash+Player


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

habefrage 16.11.2010 11:55
Zitat:
nach der beseitigten Infektion
Mmh, ich dachte, wir hätten bislang gar keine gefunden?

Das hab ich eben bei Antivir gefunden (alte Meldung von zwei Tagen letztes Jahr) - wusste ich gar nicht mehr - könnte aber mit diesem Prozess evtl. zeitlich passen:

Code:
07.11.2009,17:37:01 [WARNUNG]  Verdächtige Datei: Enthält verdächtigen Code: HEUR/HTML.Malware!
  C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\QDJGT87E\localnews;oms=localnews;nielsen=5;tile=3;sz=300x250;ord=365653532563[2]
      [INFO] Bei diesem Fund handelt es sich aller Wahrscheinlichkeit nach um eine Fehlmeldung. Bitte senden Sie uns diese Datei zur weiteren Analyse umgehend zu.
      [USER] NT-AUTORITÄT\SYSTEM
      [INFO]  Der Zugriff auf die Datei wurde verweigert!
07.11.2009,17:37:18 [WARNUNG]  Verdächtige Datei: Enthält verdächtigen Code: HEUR/HTML.Malware!
  C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\QDJGT87E\localnews;oms=localnews;nielsen=5;tile=3;sz=300x250;ord=365653532563[2]
      [INFO] Bei diesem Fund handelt es sich aller Wahrscheinlichkeit nach um eine Fehlmeldung. Bitte senden Sie uns diese Datei zur weiteren Analyse umgehend zu.
      [USER] NT-AUTORITÄT\SYSTEM
      [INFO]  Der Zugriff auf die Datei wurde verweigert!
07.11.2009,17:37:30 [WARNUNG]  Verdächtige Datei: Enthält verdächtigen Code: HEUR/HTML.Malware!
  C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\QDJGT87E\localnews;oms=localnews;nielsen=5;tile=3;sz=300x250;ord=365653532563[2]
      [INFO] Bei diesem Fund handelt es sich aller Wahrscheinlichkeit nach um eine Fehlmeldung. Bitte senden Sie uns diese Datei zur weiteren Analyse umgehend zu.
      [USER] NT-AUTORITÄT\SYSTEM
      [INFO]  Der Zugriff auf die Datei wurde verweigert!
08.11.2009,06:56:22 [WARNUNG]  Verdächtige Datei: Enthält verdächtigen Code: HEUR/HTML.Malware!
  C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\QDJGT87E\localnews;oms=localnews;nielsen=5;tile=3;sz=300x250;ord=365653532563[2]
      [INFO] Bei diesem Fund handelt es sich aller Wahrscheinlichkeit nach um eine Fehlmeldung. Bitte senden Sie uns diese Datei zur weiteren Analyse umgehend zu.
      [USER] NT-AUTORITÄT\SYSTEM
      [INFO]  Der Zugriff auf die Datei wurde verweigert!

cosinus 16.11.2010 12:47
Das ist ein Standardtext...ich will nicht 10x am Tag das Rad neu erfinden :balla:
Was AntiVir gefunden hat sind nur heuristische Funde im IE-Cache. Den solltest du doch längst mit CCleaner geleert haben!

habefrage 27.11.2010 21:48
Sorry, wenn ich noch mal nachfrage...

Kann oder soll ich also davon ausgehen, dass dieser seltsame lange (zufällig benannte?) Prozess, der beim herunterfahren gemeldet wurde, kein Beweis für Malware ist sondern dass er auch harmlos gewesen sein könnte (DcRsJVZ usw.)?

Ist zwar schon lange her, aber irgendwie frag ich mich immernoch, was das war.

Dann ist mir noch so ein kleines Fenster aufgefallen, dass manchmal ganz kurz aufgeht (unter 1 sec.).

mfg


Alle Zeitangaben in WEZ +1. Es ist jetzt 22:37 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131