|
AVIRA meldet andauernd Trojaner TR/Fakealert.LH und TR/Dldr.Agent.fdbj und vieles mehr! Hallo zusammen, und wieder muss ich mich an euch wenden, weil ich ein "kleines" (bzw. eher riesen großes) Problem mit dem Rechner auf der Arbeit habe! Bisher habt ihr mir hier super geholfen, von daher wende ich mich wieder an euch! Es hat heute damit angefangen, dass ich nicht mehr ins Internet kam, weil Firefox angeblich die ganze Zeit abstürzt. Internet Explorer funktioniert bzw. geht auf, allerdings lässt sich keine Seite öffnen. Nachdem ich versucht habe, Mozilla neu zu installieren, ist das Programm weiterhin abgestürzt! Es kam oft die Fehlermeldung, dass die Datei btyvic.exe nicht ausgeführt werden konnte und ob ich einen Problembericht senden oder nicht senden möchte. Diese Datei finde ich unter C.//windows, wobei sich diese natürlich nicht löschen lässt. Nach kurzer Zeit fing nun das Virenprogramm an, andauernd Trojaner zu finden. Es wurden mehrere schädliche Dateien gefudnen u.a. unter C://windows/system32/ctujce5y80.dll und jetzt auch noch mehr .dll-Dateien! All diese Dateien wurden letzen Freitag (19.11.) erstellt, sodass ich nun weiss, dass ich mir diesen Plagegeist wohl Freitag eingefangen habe :( AVIRA springt wie gesagt die ganze Zeit an und piept andauernd. Ich kann nicht löschen, nicht den Zugriff verweigern bzw. nicht in Quarantäne verschieben, weil die Fehlermeldungen andauernd wieder anspringen! Nun habe ich das Problem, dass der PC mittlerweile zwar angeht, aber sobald ich irgendwelche Programme starten möchte, stürzen die sofort wieder ab! Deswegen weiss ich nicht wie ich weiter vorgehen kann. Ich habe das Glück, dass ich vom Arbeitsplatz einer Kollegin posten kann. Ich würde mich freuen, wenn ich kurzfristig einige Tipps oder Anleitungen von euch ehalte, was ihr benötigt bzw. was ich machen soll! Ich kriege nämlich so gut wie nix gestartet! Ich bedanke mich schon mal vorab! Liebe Grüße, Sylvia |
1. unter avira ereignisse, fundmeldungen posten. 2. ootl: Systemscan mit OTL download otl: http://filepony.de/download-otl/ Doppelklick auf die OTL.exe (user von Windows 7 und Vista: Rechtsklick als Administrator ausführen) 1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output 2. Hake an "scan all users" 3. Unter "Extra Registry wähle: "Use Safelist" "LOP Check" "Purity Check" 4. Kopiere in die Textbox: netsvcs msconfig safebootminimal safebootnetwork activex drivers32 %ALLUSERSPROFILE%\Application Data\*. %ALLUSERSPROFILE%\Application Data\*.exe /s %APPDATA%\*. %APPDATA%\*.exe /s %SYSTEMDRIVE%\*.exe /md5start userinit.exe eventlog.dll scecli.dll netlogon.dll cngaudit.dll ws2ifsl.sys sceclt.dll ntelogon.dll winlogon.exe logevent.dll user32.DLL explorer.exe iaStor.sys nvstor.sys atapi.sys IdeChnDr.sys viasraid.sys AGP440.sys vaxscsi.sys nvatabus.sys viamraid.sys nvata.sys nvgts.sys iastorv.sys ViPrt.sys eNetHook.dll ahcix86.sys KR10N.sys nvstor32.sys ahcix86s.sys /md5stop %systemroot%\system32\drivers\*.sys /lockedfiles %systemroot%\System32\config\*.sav %systemroot%\*. /mp /s %systemroot%\system32\*.dll /lockedfiles CREATERESTOREPOINT 5. Klicke "Scan" 6. 2 reporte werden erstellt: OTL.Txt Extras.Txt beide posten. |
DAnke für die schnelle Antwort. Die Scans haben etwas gedauert. 1.) Musste ich bei 99,5 % abbrechen, weil der nix mehr getan hat :( Ich hoffe das reicht soweit. Avira AntiVir Personal Erstellungsdatum der Reportdatei: Montag, 22. November 2010 12:15 Es wird nach 3074710 Virenstämmen gesucht. Lizenznehmer : Avira AntiVir Personal - FREE Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : HP11977682828 Versionsinformationen: BUILD.DAT : 9.0.0.429 21701 Bytes 06.10.2010 09:59:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 22.11.2010 11:02:56 AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 12:04:10 LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 11:35:44 LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 10:41:59 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 11:02:52 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 11:02:52 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 11:02:52 VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 11:02:52 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 11:02:53 VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 11:02:53 VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 11:02:53 VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 11:02:54 VBASE008.VDF : 7.10.11.133 3454464 Bytes 13.09.2010 11:02:54 VBASE009.VDF : 7.10.13.80 2265600 Bytes 02.11.2010 11:02:54 VBASE010.VDF : 7.10.13.81 2048 Bytes 02.11.2010 11:02:54 VBASE011.VDF : 7.10.13.82 2048 Bytes 02.11.2010 11:02:54 VBASE012.VDF : 7.10.13.83 2048 Bytes 02.11.2010 11:02:54 VBASE013.VDF : 7.10.13.116 147968 Bytes 04.11.2010 11:02:54 VBASE014.VDF : 7.10.13.147 146944 Bytes 07.11.2010 11:02:54 VBASE015.VDF : 7.10.13.180 123904 Bytes 09.11.2010 11:02:54 VBASE016.VDF : 7.10.13.211 122368 Bytes 11.11.2010 11:02:54 VBASE017.VDF : 7.10.13.243 147456 Bytes 15.11.2010 11:02:54 VBASE018.VDF : 7.10.14.15 142848 Bytes 17.11.2010 11:02:54 VBASE019.VDF : 7.10.14.41 134144 Bytes 19.11.2010 11:02:54 VBASE020.VDF : 7.10.14.42 2048 Bytes 19.11.2010 11:02:54 VBASE021.VDF : 7.10.14.43 2048 Bytes 19.11.2010 11:02:54 VBASE022.VDF : 7.10.14.44 2048 Bytes 19.11.2010 11:02:54 VBASE023.VDF : 7.10.14.45 2048 Bytes 19.11.2010 11:02:54 VBASE024.VDF : 7.10.14.46 2048 Bytes 19.11.2010 11:02:54 VBASE025.VDF : 7.10.14.47 2048 Bytes 19.11.2010 11:02:54 VBASE026.VDF : 7.10.14.48 2048 Bytes 19.11.2010 11:02:54 VBASE027.VDF : 7.10.14.49 2048 Bytes 19.11.2010 11:02:54 VBASE028.VDF : 7.10.14.50 2048 Bytes 19.11.2010 11:02:54 VBASE029.VDF : 7.10.14.51 2048 Bytes 19.11.2010 11:02:54 VBASE030.VDF : 7.10.14.52 2048 Bytes 19.11.2010 11:02:54 VBASE031.VDF : 7.10.14.58 74240 Bytes 22.11.2010 11:02:54 Engineversion : 8.2.4.98 AEVDF.DLL : 8.1.2.1 106868 Bytes 22.11.2010 11:02:56 AESCRIPT.DLL : 8.1.3.46 1364347 Bytes 22.11.2010 11:02:56 AESCN.DLL : 8.1.6.1 127347 Bytes 22.11.2010 11:02:56 AESBX.DLL : 8.1.3.1 254324 Bytes 22.11.2010 11:02:56 AERDL.DLL : 8.1.9.2 635252 Bytes 22.11.2010 11:02:56 AEPACK.DLL : 8.2.3.11 471416 Bytes 22.11.2010 11:02:56 AEOFFICE.DLL : 8.1.1.8 201081 Bytes 22.11.2010 11:02:56 AEHEUR.DLL : 8.1.2.41 3043703 Bytes 22.11.2010 11:02:56 AEHELP.DLL : 8.1.14.0 246134 Bytes 22.11.2010 11:02:55 AEGEN.DLL : 8.1.3.24 401781 Bytes 22.11.2010 11:02:55 AEEMU.DLL : 8.1.2.0 393588 Bytes 22.11.2010 11:02:55 AECORE.DLL : 8.1.17.0 196982 Bytes 22.11.2010 11:02:54 AEBB.DLL : 8.1.1.0 53618 Bytes 22.11.2010 11:02:54 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 08:47:56 AVPREF.DLL : 9.0.3.0 44289 Bytes 22.11.2010 11:02:56 AVREP.DLL : 8.0.0.7 159784 Bytes 22.11.2010 11:02:56 AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 15:25:04 AVARKT.DLL : 9.0.0.3 292609 Bytes 24.03.2009 15:05:37 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 10:37:04 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 15:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 08:21:28 NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 15:41:21 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 15.05.2009 15:35:17 RCTEXT.DLL : 9.0.73.0 87297 Bytes 22.11.2010 11:02:52 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp Protokollierung.......................: niedrig Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, D:, Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: mittel Beginn des Suchlaufs: Montag, 22. November 2010 12:15 Der Suchlauf nach versteckten Objekten wird begonnen. Es wurden '36916' Objekte überprüft, '0' versteckte Objekte wurden gefunden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'guardgui.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'guardgui.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'e-BRIDGE Viewer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GLDocMon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AdobeARM.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'reader_sl.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Scheduler.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'igfxsrvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RTHDCPL.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'igfxpers.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hkcmd.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'igfxtray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'dwm.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'shell.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TeamViewer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TeamViewer_Service.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sqlwriter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PsiService_2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'pdfsvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sqlservr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iviRegMgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'eBVServ.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '48' Prozesse mit '48' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Masterbootsektor HD1 [INFO] Es wurde kein Virus gefunden! Masterbootsektor HD2 [INFO] Es wurde kein Virus gefunden! Masterbootsektor HD3 [INFO] Es wurde kein Virus gefunden! Masterbootsektor HD4 [INFO] Es wurde kein Virus gefunden! Masterbootsektor HD5 [INFO] Es wurde kein Virus gefunden! Masterbootsektor HD6 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\wzLyM.exe [FUND] Ist das Trojanische Pferd TR/Meredrop.A.16261 C:\WINDOWS\system32\xblkaudp.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F C:\WINDOWS\system32\x3fz2zomin.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F C:\WINDOWS\system32\vglf3.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\td5p1ipxj.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\mdm.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\smss.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\drweb.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\gdi32.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\sysedit.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\user.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\wininst.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\lsass.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\hexdump.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\svchost.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\avp.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\ll0qko4l.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen C:\driversxxx.exe\driversxxx.exe [FUND] Ist das Trojanische Pferd TR/Meredrop.A.16261 C:\reasrvxxxx.exe\reasrvxxxx.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ivbmm.exe [FUND] Ist das Trojanische Pferd TR/Rimecud.A.1531 Die Registry wurde durchsucht ( '85' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' C:\hiberfil.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\hotfix.exe [FUND] Ist das Trojanische Pferd TR/FakeAV.svg C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ivbmm.exe [FUND] Ist das Trojanische Pferd TR/Rimecud.A.1531 C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\19\2e9fe413-351a3039 [0] Archivtyp: ZIP --> bpac/a.class [FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Agent.HN C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\33\599cb9a1-70b833c6 [0] Archivtyp: ZIP --> bpac/a.class [FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Agent.2212 C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\35\3a2bdae3-492036de [0] Archivtyp: ZIP --> bpac/a.class [FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Agent.HN C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\4\5ef22dc4-3824a723 [0] Archivtyp: ZIP --> bpac/a.class [FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Agent.2212 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\0.5822041811403891.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.art C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\1175754.exe [FUND] Ist das Trojanische Pferd TR/Spy.106496.365 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\3005443.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.HW C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\491854.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Autorun.bqiv C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\602.exe [FUND] Ist das Trojanische Pferd TR/Rimecud.A.1492 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\8264714.exe [FUND] Ist das Trojanische Pferd TR/Rimecud.A.1531 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brb.exe [FUND] Ist das Trojanische Pferd TR/Renos.HB C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brc.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brd.exe [FUND] Ist das Trojanische Pferd TR/Renos.HB C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Bre.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brf.exe [FUND] Ist das Trojanische Pferd TR/Renos.HB C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brg.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brh.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Bri.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brj.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brk.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brl.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brm.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\d0j3wayh8v.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\dlge.exe [FUND] Ist das Trojanische Pferd TR/FakeAV.svg C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\ewn2889x.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\gdi32.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\gy8h7mx5zr.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\h6jsdp.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\hexdump.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\lkx6t.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\ll0qko4l.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\lsass.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\mdm.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\nrosmawcxe.tmp [FUND] Ist das Trojanische Pferd TR/Kazy.3539 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\prt06fa.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\sshnas21.dll [FUND] Ist das Trojanische Pferd TR/Renos.HB C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\sysedit.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\td5p1ipxj.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\uqeye.exe [FUND] Ist das Trojanische Pferd TR/Agent.HY.1224 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\winamp.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\wnx8l4j38clktf8.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\wzLyM.exe [FUND] Ist das Trojanische Pferd TR/Meredrop.A.16261 C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CFO0GXOY\swflash[1].cab [0] Archivtyp: CAB (Microsoft) --> FP_AX_CAB_INSTALLER.exe [WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen. [WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen. C:\driversxxx.exe\cleansweepupd.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen C:\driversxxx.exe\driversxxx.exe [FUND] Ist das Trojanische Pferd TR/Meredrop.A.16261 C:\reasrvxxxx.exe\reasrvxxxx.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen C:\WINDOWS\avp.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\Btyvia.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\WINDOWS\Btyvib.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\WINDOWS\Btyvic.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH C:\WINDOWS\drweb.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\smss.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\svchost.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\user.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\wininst.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 C:\WINDOWS\system32\ctujce5y80.dll [FUND] Ist das Trojanische Pferd TR/Dldr.Agent.fdbj C:\WINDOWS\system32\eem1h.dll [FUND] Ist das Trojanische Pferd TR/Dldr.Agent.fdbj C:\WINDOWS\system32\sshnas21.dll [FUND] Ist das Trojanische Pferd TR/Renos.HB C:\WINDOWS\system32\uu7ln.dll [FUND] Ist das Trojanische Pferd TR/Dldr.Agent.fdbj C:\WINDOWS\system32\vglf3.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F C:\WINDOWS\system32\x3fz2zomin.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F C:\WINDOWS\system32\xblkaudp.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F C:\WINDOWS\Temp\u79317.sys [FUND] Ist das Trojanische Pferd TR/Agent.34304.17 Beginne mit der Suche in 'D:\' <HP_RECOVERY> Beginne mit der Desinfektion: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\wzLyM.exe [FUND] Ist das Trojanische Pferd TR/Meredrop.A.16261 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26003 [WARNUNG] Die Datei konnte nicht gelöscht werden! [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ae7991b.qua' verschoben! C:\WINDOWS\system32\xblkaudp.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d56575b.qua' verschoben! C:\WINDOWS\system32\x3fz2zomin.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d50572c.qua' verschoben! C:\WINDOWS\system32\vglf3.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d565760.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\td5p1ipxj.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen [HINWEIS] TR/Dropper.Gen:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<HPUGRQURrOuc>=sz:td5p1ipxj.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d1f575d.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\mdm.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<HPUGRQURpZ>=sz:mdm.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d57575d.qua' verschoben! C:\WINDOWS\smss.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<MKeg>=sz:smss.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5d5766.qua' verschoben! C:\WINDOWS\drweb.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<MKasc>=sz:drweb.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d61576b.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\gdi32.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<HPUGRQURoMc>=sz:gdi32.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d53575d.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\sysedit.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<HPUGRQURrtc>=sz:sysedit.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5d5772.qua' verschoben! C:\WINDOWS\user.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<MKee>=sz:user.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4f576d.qua' verschoben! C:\WINDOWS\wininst.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<MKfre>=sz:wininst.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d585763.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\lsass.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<HPUGRQURpuc>=sz:lsass.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4b576d.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\hexdump.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<HPUGRQURotc>=sz:hexdump.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d62575f.qua' verschoben! C:\WINDOWS\svchost.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<MKese>=sz:svchost.exe [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<svchost>=sz:svchost.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4d5770.qua' verschoben! C:\WINDOWS\avp.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] BDS/IRCBot.36864:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<MKZe>=sz:avp.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5a5770.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\ll0qko4l.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen [HINWEIS] TR/Dropper.Gen:[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]:<HPUGRQURpeP>=sz:ll0qko4l.exe [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d1a5766.qua' verschoben! C:\driversxxx.exe\driversxxx.exe [FUND] Ist das Trojanische Pferd TR/Meredrop.A.16261 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d53576c.qua' verschoben! C:\reasrvxxxx.exe\reasrvxxxx.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4b575f.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ivbmm.exe [FUND] Ist das Trojanische Pferd TR/Rimecud.A.1531 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4c5770.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\hotfix.exe [FUND] Ist das Trojanische Pferd TR/FakeAV.svg [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5e5769.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ivbmm.exe [FUND] Ist das Trojanische Pferd TR/Rimecud.A.1531 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library [HINWEIS] Die Datei wurde zum Löschen nach einem Neustart markiert. C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\19\2e9fe413-351a3039 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d235776.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\33\599cb9a1-70b833c6 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d23574a.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\35\3a2bdae3-492036de [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d1c5772.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\4\5ef22dc4-3824a723 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d505776.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\0.5822041811403891.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.art [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d1f573f.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\1175754.exe [FUND] Ist das Trojanische Pferd TR/Spy.106496.365 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d215742.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\3005443.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.HW [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d1a5741.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\491854.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Autorun.bqiv [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d1b574a.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\602.exe [FUND] Ist das Trojanische Pferd TR/Rimecud.A.1492 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d1c5741.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\8264714.exe [FUND] Ist das Trojanische Pferd TR/Rimecud.A.1531 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d205743.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brb.exe [FUND] Ist das Trojanische Pferd TR/Renos.HB [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4c5783.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brc.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4d5784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brd.exe [FUND] Ist das Trojanische Pferd TR/Renos.HB [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4e5784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Bre.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4f5784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brf.exe [FUND] Ist das Trojanische Pferd TR/Renos.HB [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d505784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brg.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d515784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brh.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d525784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Bri.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d535784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brj.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d545784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brk.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d555784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brl.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d565784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Brm.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d575784.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\d0j3wayh8v.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d545742.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\dlge.exe [FUND] Ist das Trojanische Pferd TR/FakeAV.svg [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d51577e.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\ewn2889x.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d585789.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\gdi32.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library [HINWEIS] Die Datei wurde zum Löschen nach einem Neustart markiert. C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\gy8h7mx5zr.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d225797.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\h6jsdp.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d545754.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\hexdump.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library [HINWEIS] Die Datei wurde zum Löschen nach einem Neustart markiert. C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\lkx6t.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d625795.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\ll0qko4l.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\lsass.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\mdm.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\nrosmawcxe.tmp [FUND] Ist das Trojanische Pferd TR/Kazy.3539 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5957aa.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\prt06fa.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5e57aa.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\sshnas21.dll [FUND] Ist das Trojanische Pferd TR/Renos.HB [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5257ab.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\sysedit.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\td5p1ipxj.exe [FUND] Ist das Trojanische Pferd TR/Dropper.Gen [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\uqeye.exe [FUND] Ist das Trojanische Pferd TR/Agent.HY.1224 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4f57b3.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\winamp.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5857ab.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\wnx8l4j38clktf8.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d6257b0.qua' verschoben! C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\wzLyM.exe [FUND] Ist das Trojanische Pferd TR/Meredrop.A.16261 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\driversxxx.exe\cleansweepupd.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4f57b4.qua' verschoben! C:\driversxxx.exe\driversxxx.exe [FUND] Ist das Trojanische Pferd TR/Meredrop.A.16261 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\reasrvxxxx.exe\reasrvxxxx.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\avp.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\Btyvia.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d6357ca.qua' verschoben! C:\WINDOWS\Btyvib.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '47a62da3.qua' verschoben! C:\WINDOWS\Btyvic.exe [FUND] Ist das Trojanische Pferd TR/Fakealert.LH [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '47aae13b.qua' verschoben! C:\WINDOWS\drweb.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\smss.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\svchost.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\user.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\wininst.exe [FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/IRCBot.36864 [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\system32\ctujce5y80.dll [FUND] Ist das Trojanische Pferd TR/Dldr.Agent.fdbj [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5f57eb.qua' verschoben! C:\WINDOWS\system32\eem1h.dll [FUND] Ist das Trojanische Pferd TR/Dldr.Agent.fdbj [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5757dc.qua' verschoben! C:\WINDOWS\system32\sshnas21.dll [FUND] Ist das Trojanische Pferd TR/Renos.HB [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26003 [WARNUNG] Die Datei konnte nicht gelöscht werden! [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4028f8cb.qua' verschoben! C:\WINDOWS\system32\uu7ln.dll [FUND] Ist das Trojanische Pferd TR/Dldr.Agent.fdbj [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d2157ee.qua' verschoben! C:\WINDOWS\system32\vglf3.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\system32\x3fz2zomin.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\system32\xblkaudp.dll [FUND] Ist das Trojanische Pferd TR/Ertfor.F [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004 [WARNUNG] Die Quelldatei konnte nicht gefunden werden. [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen. [WARNUNG] Fehler in der ARK Library C:\WINDOWS\Temp\u79317.sys [FUND] Ist das Trojanische Pferd TR/Agent.34304.17 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d2357c0.qua' verschoben! Ende des Suchlaufs: Montag, 22. November 2010 12:44 Benötigte Zeit: 21:36 Minute(n) Der Suchlauf wurde abgebrochen! 6408 Verzeichnisse wurden überprüft 411980 Dateien wurden geprüft 84 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 64 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 2 Dateien konnten nicht durchsucht werden 411894 Dateien ohne Befall 8652 Archive wurden durchsucht 26 Warnungen 86 Hinweise 36916 Objekte wurden beim Rootkitscan durchsucht 0 Versteckte Objekte wurden gefunden 2.) OTL logfileOTL Logfile: Code: OTL logfile created on: 22.11.2010 12:47:10 - Run 1OTL Extras logfileOTL Logfile: Code: OTL Extras logfile created on: 22.11.2010 12:47:10 - Run 1 |
rechtsklick avira schirm, guard deaktivieren. • Starte bitte die OTL.exe • Kopiere nun das Folgende in die Textbox. :OTL PRC - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Windows\shell.exe () PRC - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\svchost.exe () PRC - C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\dwm.exe () SRV - (SSHNAS) -- C:\WINDOWS\System32\sshnas21.dll File not found SRV - (0293411250701732mcinstcleanup) McAfee Application Installer Cleanup (0293411250701732) -- C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\029341~1.EXE File not found O3 - HKLM\..\Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - No CLSID value found O4 - HKU\S-1-5-21-1361850054-40047553-1010693534-500..\Run: [{7B4FF62B-C9F3-52B3-DE9B-EE4AE5F6FD2A}] C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Uqsa\cyinn.exe () O4 - HKU\S-1-5-21-1361850054-40047553-1010693534-500..\Run: [ugsoacgsco.exe] C:\ugsoacgsco.exe\ugsoacgsco.exe () F3 - HKU\S-1-5-21-1361850054-40047553-1010693534-500 WinNT: Load - (C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\dwm.exe) - C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\dwm.exe () O20 - HKU\S-1-5-21-1361850054-40047553-1010693534-500 Winlogon: Shell - (C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Windows\shell.exe) - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Windows\shell.exe () [2010.11.19 12:33:35 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\All Users\Dokumente\Server [2010.11.22 12:46:00 | 000,000,262 | -H-- | M] () -- C:\WINDOWS\tasks\{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}.job [2010.11.22 12:14:02 | 000,000,304 | -H-- | M] () -- C:\WINDOWS\tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job [2010.11.22 12:13:48 | 000,000,304 | -H-- | M] () -- C:\WINDOWS\tasks\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}.job [2010.11.19 12:33:54 | 000,000,214 | ---- | M] () -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\scgdfgasfbh.bat [2010.06.06 22:48:03 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Uqsa [2010.11.22 12:22:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Yxetc O4 - HKLM..\Run: [uPc+MV0NblcaXms] C:\WINDOWS\System32\x3fz2zomin.DLL File not found O4 - HKLM..\Run: [uPc+MV0NopbCxl] C:\WINDOWS\System32\xblkaudp.DLL File not found O4 - HKLM..\Run: [uPc+MV0NpKJsiv] C:\WINDOWS\System32\vglf3.DLL File not found O4 - HKLM..\Run: [viA3dSfc5ix] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\wzLyM.exe File not found O4 - HKU\.DEFAULT..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\.DEFAULT..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found O4 - HKU\.DEFAULT..\Run: [shitspykid.exe] C:\shitspykid.exe\shitspykid.exe File not found O4 - HKU\S-1-5-18..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\S-1-5-18..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found O4 - HKU\S-1-5-18..\Run: [shitspykid.exe] C:\shitspykid.exe\shitspykid.exe File not found O4 - HKU\S-1-5-19..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\S-1-5-20..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found :Files :Commands [purity] [EMPTYFLASH] [emptytemp] [Reboot] • Schliesse bitte nun alle Programme. • Klicke nun bitte auf den Fix Button. • OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen. • Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort posten. öffne den arbeitsplatz, c: dann _OTL dort rechtsklick auf moved files wähle zu moved files.rar oder zip hinzufügen. lade das archiv in unserem upload channel hoch. http://www.trojaner-board.de/54791-a...ner-board.html |
Es klappt zwar, dass der PC neu startet, aber irgendwie öffnet sich keine Textdatei bzw. der Ordner mit moved files ist leer. Kann das sein? Ich gehe eher davon aus, dass ich etwas falsch gemacht habe! Bei der Anleitung für Upload channel für Windows XP kann ich unter Extras keine Ordneroptionen finden sondern nur synchronisieren und Netzlaufwerk verbinden oder trennen?!? :( |
ordneroptionen können so bleiben :OTL PRC - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Windows\shell.exe () PRC - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\svchost.exe () PRC - C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\dwm.exe () SRV - (SSHNAS) -- C:\WINDOWS\System32\sshnas21.dll File not found SRV - (0293411250701732mcinstcleanup) McAfee Application Installer Cleanup (0293411250701732) -- C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\029341~1.EXE File not found O3 - HKLM\..\Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - No CLSID value found O4 - HKU\S-1-5-21-1361850054-40047553-1010693534-500..\Run: [{7B4FF62B-C9F3-52B3-DE9B-EE4AE5F6FD2A}] C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Uqsa\cyinn.exe () O4 - HKU\S-1-5-21-1361850054-40047553-1010693534-500..\Run: [ugsoacgsco.exe] C:\ugsoacgsco.exe\ugsoacgsco.exe () F3 - HKU\S-1-5-21-1361850054-40047553-1010693534-500 WinNT: Load - (C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\dwm.exe) - C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\dwm.exe () O20 - HKU\S-1-5-21-1361850054-40047553-1010693534-500 Winlogon: Shell - (C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Windows\shell.exe) - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Windows\shell.exe () [2010.11.19 12:33:35 | 000,000,000 | -H-D | C] -- C:\Dokumente und Einstellungen\All Users\Dokumente\Server [2010.11.22 12:46:00 | 000,000,262 | -H-- | M] () -- C:\WINDOWS\tasks\{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}.job [2010.11.22 12:14:02 | 000,000,304 | -H-- | M] () -- C:\WINDOWS\tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job [2010.11.22 12:13:48 | 000,000,304 | -H-- | M] () -- C:\WINDOWS\tasks\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}.job [2010.11.19 12:33:54 | 000,000,214 | ---- | M] () -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\scgdfgasfbh.bat [2010.06.06 22:48:03 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Uqsa [2010.11.22 12:22:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Yxetc O4 - HKLM..\Run: [uPc+MV0NblcaXms] C:\WINDOWS\System32\x3fz2zomin.DLL File not found O4 - HKLM..\Run: [uPc+MV0NopbCxl] C:\WINDOWS\System32\xblkaudp.DLL File not found O4 - HKLM..\Run: [uPc+MV0NpKJsiv] C:\WINDOWS\System32\vglf3.DLL File not found O4 - HKLM..\Run: [viA3dSfc5ix] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\wzLyM.exe File not found O4 - HKU\.DEFAULT..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\.DEFAULT..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found O4 - HKU\.DEFAULT..\Run: [shitspykid.exe] C:\shitspykid.exe\shitspykid.exe File not found O4 - HKU\S-1-5-18..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\S-1-5-18..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found O4 - HKU\S-1-5-18..\Run: [shitspykid.exe] C:\shitspykid.exe\shitspykid.exe File not found O4 - HKU\S-1-5-19..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\S-1-5-20..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found :Files :Commands [purity] [EMPTYFLASH] [emptytemp] [Reboot] das wie beschrieben reinkopieren und auf fix klicken, dann sollte es los gehen. wenn nicht, starte mal im abgesichertem modus ohne netzwerk, sollte die f8-taste sein, dann abgesicherter modus wählen, und noch mal probieren |
So, ich habe es jetzt im abgesicherten Modus durchgeführt, weil im normalen Modus ist er nicht ausgegangen! Aber irgendwie scheint die Datei trotzdem leer zu sein?!? Ich habe sie jetzt mal hochgeladen! |
versuchen wirs anders bitte erstelle und poste ein combofix log. Ein Leitfaden und Tutorium zur Nutzung von ComboFix |
So, also ich habe combofix mehrmals runtergeladen und versucht es auszuführen. Vorher habe ich natürlich alle Programme geschlossen, combofix auf dem Desktop runtergeladen, aber combofix startet einfach nicht :( Soll ich es wieder im abgesicherten Modus probieren oder bringt es hier nichts? |
lade den avenger, kopiere das script ein wie beschrieben Avenger Files to delete: C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Windows\shell.exe C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\svchost.exe C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\dwm.exe folders to delete: C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Uqsa C:\ugsoacgsco.exe C:\Dokumente und Einstellungen\All Users\Dokumente\Server C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Yxetc führe das programm wie beschrieben aus, nach neustart sollte ein log geöffnet werden, dessen inhalt posten. |
Ok, hab ich gemacht. PC wurde herunter gefahren und jetzt versucht er den neu zu starten. Ich glaube mittlerweile schon zum 6ten oder 7ten mal. Ist das normal, dass das so lange dauert und er den PC mehrfach neu startet? |
nein, gibts ne fehlermeldung? cd rom laufwerk + roling zur verfügung? |
ja, cd-rom-laufwerk und rohling vorhanden, aber kein brenner! was nun? |
naja wir müssen aber wohl was brennen, damit wir den pc zum laufen bekommen, der ist sowieso so stark verseucht, da müssen wir erst mal schauen ob wir den überhaupt noch säubern sollen. keinen bekannten mit brenner in der nähe? |
Achso. Der Brenner muss jetzt nicht in meinem PC sein? Der PC meiner Kollegin, an dem ich gerade sitze hat einen Brenner. So verseucht??? Was habe ich mir denn da eingefangen und wie??? Mein Chef bringt mich um :crazy: |
sehr viele trojaner. wir machen den so weit flott damit du daten sichern kannst, benutzen kannst du den für wichtige sachen nie wieder, bis er formatiert ist. ok kolegins pc is auch gut hehe. download: http://filepony.de/download-otlpe/ und brenne es mit ISOBurner auf eine CD. Active@ ISO Burner. Data CD DVD burning software. Write ISO image to CD,DVD,CD-RW,CDR,DVD-RW. • Wenn der Download fertig ist mache ein doppel Klick auf die Datei, was ISOBurner öffnet um es auf die CD zu brennen. Starte dein System neu und boote von der CD die du gerade erstellt hast. Wenn du nicht weist wie du deinen Computer dazu bringst von der CD zu booten, http://www.trojaner-board.de/81857-c...cd-booten.html • Dein System sollte jetzt einen REATOGO-X-PE Desktop anzeigen. • Mache einen doppel Klick auf das OTLPE Icon. • Wenn du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes. • Wenn du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes. • entferne den haken bei "Automatically Load All Remaining Users" wenn er gesetzt ist. • OTL sollte nun starten. • Drücke Run Scan um den Scan zu starten. • Wenn er fertig ist werden die Dateien in C:\otl.txt gesichert • Kopiere diesen Ordner auf deinen USB-Stick wenn du keine Internetverbindung auf diesem System hast. poste beide logs warum sollte er dich umbrigen, er ist selbst schuld, wenn er euch keine backup software gönnt. nutzt ihr eig alle avira free? für firmen ist das illegal, schau in der lizenzvereinbarung :-) |
Also, ich habe jetzt den ISO-Burner runtergeladen, installiert und geöffnet. Dann habe ich die Datei OTLPENet.exe drauf gebrannt und in meinen Rechner geschmissen. Ich hoffe soweit ist alles klar?!? Allerdings klappt es mit dem booten nicht so ganz. Ich bin auf F10 gegangen und dann oben unter Boot. Da stand dann: Esc Boot Menu enabled F9 Diagnostics enabled ... Boot-time Diagnostic screen Disabled Boot device Priority Auf diese Boot Device Priority bin ich dann gegangen und habe dann 1st Boot die CD-Rom Group eingestellt, Als 2nd ist die Hard Drive Group, als 3rd auch und als 4th Network Boot Group. Die 3rd und 4th waren schon so und ich habe sie so gelassen. DAnn drücke ich wieder F10 um es zu speichern und der PC geht raus und startet weiterhin neu, ohne das es klappt :( Kannst du mir da auch weiterhelfen? :heilig: |
startet der pc deiner kolegin von der cd? vllt falsch gebrannt. oder sind 2 laufwerke vorhanden? die datei mit doppelklick öffnen, dann geht iso burner auf und du kannst es brennen. |
Oh, ich glaube ich habe es tatsächlich falsch gebrannt :stirn: Aber jetzt scheint er den REATOGO-X-PE Desktop zu öffnen. :) Büro schließt leider um 18 Uhr, deswegen muss ich gleich schon los. Bin morgen ab 13 Uhr wieder da. Muss vorher zur Uni! Kann ich da wieder mit deiner Hilfe rechnen? Das ist nämlich unglaublich wie du das kannst :) |
ja, aber es war auch meine schuld das er im mom nicht läuft, hab da etwas wichtiges vergessen, aber mit otl bekommen wir das wieder hin. |
So wie du mir bisher geholfen hast, werde ich dir bestimmt keine Vorwürfe machen ;) Ja hauptsache der PC läuft erstmal. Dann kann ich meinen Outlook sichern und noch paar Kleinigkeiten. Die restlichen Dateien vom Büro sind auf einem Server. Da kann wieder die Verbindung hergestellt werden. :) |
ja, mit otl auf cd bringen wir das wieder hin, das dauert vllt 20 minuten. |
Ach ja. Hatte das gar nicht gesehen. Nee Antivir hatte ich mir nur drauf gemacht, weil wir nichts hatten und weil ich den PC auch privat nutze. Hat aber anscheinend nicht soviel gebracht :( Wir haben die PC´s vor ca. einem Jahr bekommen und da waren "Spezialisten" da, die uns die installiert haben. Ich frag mal meinen Chef, ob er etwas von einer backup software wusste, die man haben sollte. So gut kenne ich mich da nämlich nicht aus. Welche gibt es denn da, die gut sind? |
das machen wir morgen. gibt gute kostenlose und auch günstige maßnamen um die pcs in eurem büro abzusichern. aber machen wir eins nach dem anderen :-) |
So, hoffe das sind jetzt die richtigen Posts. Wenn du noch welche brauchst, sag bescheid: Logfile of The Avenger Version 2.0, (c) by Swandog46 hxxp://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! File "C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Windows\shell.exe" deleted successfully. File "C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\svchost.exe" deleted successfully. File "C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\dwm.exe" deleted successfully. Folder "C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Uqsa" deleted successfully. Folder "C:\ugsoacgsco.exe" deleted successfully. Folder "C:\Dokumente und Einstellungen\All Users\Dokumente\Server" deleted successfully. Folder "C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Yxetc" deleted successfully. Completed script processing. ******************* Finished! Terminate. OTL Logfile: Code: OTL logfile created on: 11/22/2010 5:49:32 PM - Run |
auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort rein: :OTL O4 - HKLM..\Run: [svchost] C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\svchost.exe File not found O4 - HKLM..\Run: [uPc+MV0NblcaXms] C:\WINDOWS\System32\x3fz2zomin.DLL File not found O4 - HKLM..\Run: [uPc+MV0NopbCxl] C:\WINDOWS\System32\xblkaudp.DLL File not found O4 - HKLM..\Run: [uPc+MV0NpKJsiv] C:\WINDOWS\System32\vglf3.DLL File not found O4 - HKLM..\Run: [viA3dSfc5ix] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\wzLyM.exe File not found O4 - HKU\.DEFAULT..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\.DEFAULT..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found O4 - HKU\.DEFAULT..\Run: [shitspykid.exe] C:\shitspykid.exe\shitspykid.exe File not found O4 - HKU\.DEFAULT..\Run: [ugsoacgsco.exe] C:\ugsoacgsco.exe\ugsoacgsco.exe File not found O4 - HKU\Administrator_ON_C..\Run: [{7B4FF62B-C9F3-52B3-DE9B-EE4AE5F6FD2A}] C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Uqsa\cyinn.exe File not found O4 - HKU\Administrator_ON_C..\Run: [6BTOP2GA8A] C:\WINDOWS\Btyvic.exe File not found O4 - HKU\Administrator_ON_C..\Run: [cdoosoft] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\herss.exe File not found O4 - HKU\Administrator_ON_C..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\Administrator_ON_C..\Run: [HJRUDZ5DT2] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Bri.exe File not found O4 - HKU\Administrator_ON_C..\Run: [HPUGRQURoMc] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\gdi32.exe File not found O4 - HKU\Administrator_ON_C..\Run: [HPUGRQURotc] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\hexdump.exe File not found O4 - HKU\Administrator_ON_C..\Run: [HPUGRQURpeP] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\ll0qko4l.exe File not found O4 - HKU\Administrator_ON_C..\Run: [HPUGRQURpuc] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\lsass.exe File not found O4 - HKU\Administrator_ON_C..\Run: [HPUGRQURpZ] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\mdm.exe File not found O4 - HKU\Administrator_ON_C..\Run: [HPUGRQURrOuc] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\td5p1ipxj.exe File not found O4 - HKU\Administrator_ON_C..\Run: [HPUGRQURrtc] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\sysedit.exe File not found O4 - HKU\Administrator_ON_C..\Run: [MKasc] C:\WINDOWS\drweb.exe File not found O4 - HKU\Administrator_ON_C..\Run: [MKee] C:\WINDOWS\user.exe File not found O4 - HKU\Administrator_ON_C..\Run: [MKeg] C:\WINDOWS\smss.exe File not found O4 - HKU\Administrator_ON_C..\Run: [MKese] C:\WINDOWS\svchost.exe File not found O4 - HKU\Administrator_ON_C..\Run: [MKfre] C:\WINDOWS\wininst.exe File not found O4 - HKU\Administrator_ON_C..\Run: [MKZe] C:\WINDOWS\avp.exe File not found O4 - HKU\Administrator_ON_C..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found O4 - HKU\Administrator_ON_C..\Run: [ugsoacgsco.exe] C:\ugsoacgsco.exe\ugsoacgsco.exe File not found O4 - HKU\Administrator_ON_C..\Run: [uPc+MV0NblcaXms] C:\WINDOWS\System32\x3fz2zomin.DLL File not found O4 - HKU\Administrator_ON_C..\Run: [uPc+MV0NopbCxl] C:\WINDOWS\System32\xblkaudp.DLL File not found O4 - HKU\Administrator_ON_C..\Run: [uPc+MV0NpKJsiv] C:\WINDOWS\System32\vglf3.DLL File not found O4 - HKU\Administrator_ON_C..\Run: [yT] C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\wzLyM.exe File not found O4 - HKU\LocalService_ON_C..\Run: [driversxxx.exe] C:\driversxxx.exe\driversxxx.exe File not found O4 - HKU\NetworkService_ON_C..\Run: [reasrvxxxx.exe] C:\reasrvxxxx.exe\reasrvxxxx.exe File not found O4 - HKLM..\RunOnce: [Cleanup] C:\cleanup.exe () F3 - HKU\Administrator_ON_C WinNT: Load - (C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\dwm.exe) - C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\dwm.exe File not found O20 - HKLM Winlogon: TaskMan - (C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ivbmm.exe) - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ivbmm.exe File not found :Files :Commands [purity] [EMPTYFLASH] [emptytemp] [Reboot] dieses speicherst du auf nem usb stick als fix.txt nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits in meinem post zu OTLPENet.exe beschrieben ist. • Klicke nun bitte auf den Fix Button. es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt auf deinem stick. dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen, log posten bitte. |
Ich hatte nun alles so gemacht und er hat auch gefragt, ob ich jetzt meinen Computer rebooten möchte und da habe ich auf ja geklickt und da ist er abgestürzt. Jetzt starte ich es nochmal neu von der CD und mal schauen, ob es gleich klappt... |
So, ich muss jetzt los :( Schaffe es also heute nicht mehr es dir zu posten. Werde es morgen direkt als erstes versuchen. Ich lasse meinen PC einfach an und hoffe, dass wir das morgen hinkriegen ;) Eins nach dem anderen finde ich gut :) Danke schonmal für deine Hilfe. Klappt supiii :daumenhoch: Wünsche dir noch einen schönen Abend und sobald ich morgen im Büro bin, bin ich wieder online ;) |
du kannst den pc ruhig aus machen. schönen abend :-) |
So Markus, ich bin wieder da :lach: Erwarte weitere Anweisungen. :lach: Den otl.txt habe ich dir ja schon getextet. Der lautet wie folgtOTL Logfile: Code: OTL logfile created on: 11/22/2010 5:49:32 PM - Run Heute habe ich bis halb 5 Zeit. Kriegen wir das hin? :wtf: |
Ach ja. Hab noch etwas vergessen. Der PC hat nicht neu gestartet, d.h. ich bin noch im System von der CD! |
hast du den fix ausgeführt? das ist ja der otl log von gestern. |
Oh :lach: Also nachdem ich auf Fix gedrueckt habe, wurde ich gefragt, ob ich das Szstem rebooten moechte. Dann habe ich ja gedrueckt, aber es ist nichts passiert. DAs System ist nicht herunter gefahren und es wurde diese Datei geoeffnet ========== OTL ========== Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\svchost deleted successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\uPc+MV0NblcaXms deleted successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\uPc+MV0NopbCxl deleted successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\uPc+MV0NpKJsiv deleted successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\viA3dSfc5ix deleted successfully. Registry value HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run\\driversxxx.exe deleted successfully. Registry value HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run\\reasrvxxxx.exe deleted successfully. Registry value HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run\\shitspykid.exe deleted successfully. Registry value HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run\\ugsoacgsco.exe deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\{7B4FF62B-C9F3-52B3-DE9B-EE4AE5F6FD2A} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7B4FF62B-C9F3-52B3-DE9B-EE4AE5F6FD2A}\ not found. File C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Uqsa\cyinn.exe not found. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\6BTOP2GA8A deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\cdoosoft deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\driversxxx.exe deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\HJRUDZ5DT2 deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\HPUGRQURoMc deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\HPUGRQURotc deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\HPUGRQURpeP deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\HPUGRQURpuc deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\HPUGRQURpZ deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\HPUGRQURrOuc deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\HPUGRQURrtc deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\MKasc deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\MKee deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\MKeg deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\MKese deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\MKfre deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\MKZe deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\reasrvxxxx.exe deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\ugsoacgsco.exe deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\uPc+MV0NblcaXms deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\uPc+MV0NopbCxl deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\uPc+MV0NpKJsiv deleted successfully. Registry value HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\yT deleted successfully. Registry value HKEY_USERS\LocalService_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\driversxxx.exe deleted successfully. Registry value HKEY_USERS\NetworkService_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\reasrvxxxx.exe deleted successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce\\Cleanup deleted successfully. File C:\cleanup.exe not found. Registry value HKEY_USERS\Administrator_ON_C\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\Load:C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\dwm.exe deleted successfully. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\TaskMan:C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ivbmm.exe deleted successfully. File C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ivbmm.exe not found. ========== FILES ========== ========== COMMANDS ========== [EMPTYFLASH] User: Administrator ->Temp folder emptied: 944494470 bytes ->Temporary Internet Files folder emptied: 15818540 bytes ->Java cache emptied: 2309704 bytes ->FireFox cache emptied: 41722172 bytes ->Flash cache emptied: 59288 bytes User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 32902 bytes User: LocalService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 32902 bytes User: NetworkService ->Temp folder emptied: 213472 bytes ->Temporary Internet Files folder emptied: 33170 bytes Total Flash Files Cleaned = 958.00 mb [EMPTYTEMP] User: Administrator ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 0 bytes ->Flash cache emptied: 0 bytes User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: LocalService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 0 bytes Total Files Cleaned = 0.00 mb OTLPE by OldTimer - Version 3.1.43.0 log created on 11222010_181430 Files\Folders moved on Reboot... File\Folder C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\Y890ZAI2\700;fpan=0;fpa=P0-639365929-1290174618359;ns=1;url=http%3A%2F%2Fads.clicksor.com%2FnewServing%2FsearchTrack.php%3Fnid%3D1037%26random%3D91252;ref=http%3A%2F%2Fnewsvidz[1].gif not found! File\Folder C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\1QUTYS3Y\fpan=1;fpa=P0-639365929-1290174618359;ns=1;url=http%3A%2F%2Fads.clicksor.com%2FnewServing%2FsearchTrack.php%3Fnid%3D1%26random%3D984864563;ref=http%3A%2F%2Fplaymyflash[1].gif not found! Registry entries deleted on Reboot... Ist die das? Oder wo finde ich die? |
das ist sie. jetzt neustart, cd raus und hoffen :-) |
Klappt nicht :( :( :( Der startet einfach nicht :( |
was genau macht er? kannst du noch mal die otl cd starten, auf c: navigiern und den kompletten ornder C:\Avenger auf deinen usb stick verschieben. den ordner avenger dann mit winrar oder zip packen und hochladen. dateiupload: http://www.trojaner-board.de/54791-a...ner-board.html |
Erledigt :) Er macht nichts. Er fängt an zu laden, dann kommt auch das Windows XP-Zeichen für einen Moment und dann geht er wieder aus und versucht es aufs neue... |
habt ihr ne windows cd zur hand |
Ich glaube nicht :( Habe meinem Chef gerade eine Mail geschrieben, aber hab hier nur eine Windows 97. XP hatten die uns drauf gespielt, als die Pc´s eingerichtet wurden. |
na aber mit irgend ner cd müssen sie das ja gemacht haben, vllt habt ihr ne firmen lizenz, auf jeden fall benötigen wir die cd um windows zu reparieren. es sieht so aus als hätten deine trojaner systemdateien ausgetauscht und das müssen wir rückgängig machen |
Hab hier nur eine Operating System DVD für Windows Vista, HP Restore Plus, Operating System CD. Sonst nix... |
letztere klingt doch gut. welche daten müssen gesichert werden? du sagtest outlook, welche version nutzt du? express? |
Also ich habe zwei Operating System DVD´s. Einmal für Windows Cista Business Service Pack 1 und die Multiple Language Pack for use with Vista. Ich schau gleich nich, ob ich noch etwas finde. Ja Outlook wäre schon wirklich gut... Also ich habe die ganz normale Version von Micorsoft Outlook drauf. Ich meine die 2000-Version?!? Kann das sein? Keine Ahnung, wegen Express. Meine Kollegin hat die gleiche Version. Wie kann ich herausfinden welche das ist? |
Moment!!! Hab die Operating System CD für Microsoft Windows XP Professional Service pack 2 gefunden :lach: |
das ist ja schon mal was. lege die win cd ein. starte von der cd du solltest nach 2 3 minuten eine auswahlmöglichkeit bekommen, in der dir die recovery konsole /rettungskonsole angeboten wird. diese mit r und enter auswählen. dann meldest du dich bei deiner windows instalation an, mit der taste 1 dann schreibe SFC.EXE /scannow enter dass sollte ne weile laufen und, hoffendlich, beschädigte dateien reparieren. wenn fertig, schließe die konsole mit exit enter cd raus starten schauen obs funktioniert das so |
Gut, hab von der CD gestartet, sollte dann die Restore Plus CD reinlegen, dann wieder rausnehmen und die Operating System CD reintun und jetzt ist da ein blauer Bildschirm und unten steht das das Setup lädt. Dann habe ich R gedürckz und die Taste 1 Und jetzt soll ich ein Administratorkennwort eingeben???? |
wenns keins gibt dann mit enter weiter. |
Ok klappt. Jetzt habe ich den Befehl SFC.EXE/scannow eingegeben, aber er sagt, das wäre ein unbekannter Befehl? Muss ich irgendwie auf Groß- und Kleinschreibung oder auf leertasten achten? Hab folgende Sachen schon probiert: SFC.EXE/scannnow SFC.EXE /scannnow SFC.exe/scannnow SFC.exe /scannnow |
hmm dann geh mal aus der konsole raus und wähle windows reparieren aus |
Also ich habe da jetzt wieder den blauen Bildschirm, weil ich das nochmal von neu starten musst! Jetzt kann ich entweder 1.) Windows XP installieren 2.) R-Taste drücken, um mithilfe der Wiederherstellungskonsole Windows zu reparieren und 3.) F3-Taste drücken, um abzubrechen! Also jetzt wieder R drücken? Und weiter? |
dann gibts bei der recovery vllt keine reparatur funktion und wir müssen erst mal manuell daten sichern. also von welchen programmen benötigst du daten? |
Eigentlich nur Microsoft Outlook! Und wenn es geht den Ordner "Eigene Dateien". Sonst nix! |
Ach ja. Ich habe gerade mit meiner Kollegin gesprochen. Wir haben Outlook so eingestellt, dass er im bestimmten Rhytmus eine Sicherungskopie erstellt. Nur zur Info, falls es dir irgendwie helfen kann. |
na also brauchen wir outlook nicht. dann leg die cd mit otl ein und dann kopiere den ordner eigene dateien, auf deinen stick |
Ok bin gerade dabei die otl-CD wieder zu starten. Wir haben hier aber keine Ahnung, wo diese Sicherungen abgespeichert werden?!? Mein Chef wusste noch nicht mal, dass Outlook sich sichert. :( |
Und ich finde meine eigene Dateien nicht :( Unter My Documents ist nix. |
Ah habs schon gefunden :) Also meine Eigene Dateien. Eine Sorge schon mal weniger :daumenhoc |
deine eigenen dateien C:\Dokumente und Einstellungen\Benutzername\Eigene Dateien habt ihr nicht ne firma gehabt die euch das einrichtet, fragt die mal wo die syncronisierung gespeichert ist. vllt hätte man, nicht du persönlich vllt, sich das mal erklären lassen, was nützen einem backups wenn man sie nicht nutzen kann :d |
Nee die Firma hat diese Sicherung nicht eingestellt. Das müssen wir hier irgendwie im Büro gewesen sein. Aber keiner weiss wo die abgepeichert werden :( Bei der Fa. nimmt jetzt keiner ab. Habs gerade versucht :( Ist es denn sehr aufwendig Outlook jetzt manuell zu sichern? Müssen das dann wahrscheinlich auf morgen verschieben. Hab um 5 einen Termin vom Büro aus und um 18 Uhr eine Übergabe. Dazwischen komme ich nicht mehr ins Büro, sondern bin morgen wieder von 8-13 Uhr wieder da :( |
Habs gefunden :lach::lach::lach: Hab da mehrere Dateien. Aber ich denke wir brauchen die Outlook Sicherung.pst?!? Die ist vom 17.11. aber das ist mir egal. :) Wie gesagt, muss jetzt aber leider weg. Schaffen wir es dann morgen? Wie kann ich dir dafür überhaupt danken? :daumenhoch: |
Ach ja. Muss ich die Dateien jetzt auch auf meinen Stick ziehen? |
morgen schaffen wirs. wie siehts mit dem adressbuc aus? empfiehl uns weiter, oder, wenn du magst, freuen wir uns auch über ne spende um diesen server am leben zu erhalten :-) welche datei willst du auf den stick ziehen? wenn die .pst datei auf dem laufwerk c: deines pcs ist, dann ja, wenn sie auf dem server ist, nein. |
Ja sie war auf dem Laufwerk. Hab sie schon rübergezogen. Adressbuch ist egal. Waren nicht so viele Adressen drin. Wichtiger sind die Mails, von daher :) Gut zu wissen. Empfehlung kommt auf jeden Fall und ne Spende ist auch drin ;) Dann wünsche ich dir heute auch einen schönen Abend und bis morgen. Bin ab 8 Uhr da. Hoffe du bist ein Frühaufsteher ;) Liebe Grüße |
falsch gehofft :d aber ich versuch gegen 10 da zu sein. das morgen dauert ne stunde, neu aufsetzen geht schnell |
Ok, bin da :) Meld dich einfach, wenn du da bist ;) |
hi, dann leg mal die windows cd ein, formatiere dann. bitte nicht die schnelle formatierung wählen sondern die normale. dann windows aufspielen. dann, falls du hast, treiber cd(s) nutzen. danach http://www.google.de/url?sa=t&source...eGl_YPyrno8G8Q sp3 instalieren und windows update seite aufrufen und sonstige wichtigen updates drauf +internet explorer 8. dann gehts weiter wenn das erfolgreich war. |
Ich habe die CD jetzt reingelegt und bin auf installieren gegangen und habe immer Enter gedrückt. Jetzt kam die Meldung: Die gewählte Partition ist zu klein um Windows XP aufzunehmen. Wählen Sie eine Partition von mind. 1298 MB. Frage lieber was ich machen soll, bevor ich etwas falsch mache :) |
ne du sollst erst formatieren dann instalieren. achte darauf das die partition c: gewählt ist, dort wo win vorher drauf war |
Und wie formatiere ich? Als ich die CD reingeworfen habe, gab es nur 3 Möglichkeite, installieren, reparieren oder abbrechen :( |
ok dannmal wie folgt. starte noch mal in die rettungskonsole mit der taste r dann 1 für windows anmeldung admin passwort leer lassen. schreibe jetzt format c: enter nachfrage bestätigen. wenn das fertig ist exit enter dann instaliere windows auf die partition c: |
Ok supi. Er formatiert jetzt. Danach installiere ich Windows auf die Partition C. Hoffe er macht dann keine Probleme mehr. Das wird ja bisschen dauern. Bin gleich ja wieder weg. Mache aber erstmal alles so fertig und dann melde ich mich wieder. Ich denke ich schaffe es später nochmal kurz ins Büro zu kommen. Danke und bis später :) |
das formatieren sollte 20 bis 40 minuten dauern. |
Ja ist fertig. Hab jetzt die Windows CD reingetan und er kopiert jetzt Dateien. Hab die Partition C gewählt und dann hat er mich nochmal gefragt, ob ich formatieren möchte (also normal oder schnell) oder das so beibehalten möchte oder so ähnlich. Bin dann da drauf gegangen, weil formatiert haben wir ja schon... |
Jetzt muss ich den Product Key eingeben. Hab auf meinem Tower einen Key stehen, aber auf einem Aufkleber von Windows Vista und der ist ungültig. Jetzt habe ich keine Ahnung welchen ich eingeben muss bzw. dann muss ich mal schauen, welcher eingegeben wurde, als Windows an meinem PC installiert wurde?!? |
na das geht jetzt nicht mehr da wir formatiert haben. hat jeder im büro nen extra windows oder ist as eines für alle gewesen? wenn ja müssen wir den key bei einem deiner kolegen auslesen. normalerweise gibts zu den cds immer noch papiere dazu und ne klarsichthülle, da klebt der zettel drauf. |
Nee leider nicht. Hab aber mit dem Herrn gesprochen, der uns das installiert hat. Der hat gesagt, dass XP da schon darufinstalliert war und er fragt bei HP jetzt nach dem Key bzw. ob es da eine CD gibt oder so ähnlich :lach: Er ruft mich an sobald er etwas weiss. Dann melde ich mich :) |
ist ja schrecklich :d dann hätten sie euch ja nen key mal zu mindest sagen sollen, oder denken sie ihre produkte /instalationen halten ewig :p hätte ich das vorher gewusst, hätten wir ihn auslesen können, das wäre nicht das problem gewesen nich das du das alles als unbezahlte arbeitszeit abgezogen bekommst :-( |
Ja das wusste ich leider auch nicht :( Nee, ist schon ok. Ist ja der PC vom Büro aus und kann mir das Ding oder die Dinger während der Arbeit fürs Büro eingefangen haben ;) Der hat sich wegen dem Key noch nicht gemeldet. Ich ruf den nochmal an, damit wir hier auch weiter voran kommen :) |
Bin gerade nicht im Büro und habe mit meiner Kollegin gesprochen. Windows ist laut meinem Chef drauf. Er hatte mit dem Herrn gesprochen und hat den Schlüssel bekommen. Was soll ich dann jetzt als nächstes tun? Weiß nicht, ob ich es heute noch ins Büro schaffe, aber wenn ich weiss was ich als nächstes tun muss, kann ich es dann machen, wenn ich im Büro bin :) |
erst mal windows updates anstoßen, servicepack 3 instalieren, internet explorer 8 und sonstige wichtigen updates. das sollte n bissel zeit in anspruch nehmen. sag bescheid wenn das erledigt ist bitte |
Hey, bin erst Montag im Büro und mache dann alles fertig und dann melde ich mich hier wieder :) Wollte eigentlich heute hin, hab es aber nicht geschafft. Bin gerade allerdings bei meinen Eltern und die haben auch Probleme mit ihrem Laptop. Da springt die ganze Zeot der Internet Explorer mit der Seite www.counterphob.in an. Also ich denke dieser Laptop ist richtig verseucht :( Kannst du mir hier vielleicht auch etwas (oder auch etwas mehr) helfen? Soll ich ein neues Thema anfangen? Hab schon mal den HijackThis log erstellt: HiJackthis Logfile: Code: Logfile of Trend Micro HijackThis v2.0.2Bitte um kurze Info, ob ich ein neues Thema starten soll ;) |
Ich meinte www.countertopbob.in :D |
wenns dir nicht so viel ausmacht, kannst du nen neuen thread eröffnen und dort otl logs posten. ich hätte das gern getrennt von einander behandelt :-) |
Kein Problem. Mache ich ;) Die Updates auf dem PC vom Büro sind schon abgeschlossen. Das Service Pack installiert sich gerade, dürfte aber nicht mehr allzu lange dauern. Wie gehen wir weiter vor? :) |
Hab gerade mit meinem Chef gesprochen. Er hat die Office CD leider nicht mit, bringt die aber morgen mit und kann mir Outlook usw. einrichten. Was muss ich denn noch runterladen, damit ich mir so ein Ding nicht mehr so einfach einfange? :dankeschoen: |
So, ich habe soweit glaube ich fast alles drauf :) Hab allerdings ein Problem mit Outlook. Hab gerade Outlook 2000 installiert, alles eingerichtet mit dem Posteingangs- und ausgangsserver, aber da kommt andauernd die Fehlermeldung: "Fehler beim Versuch eine Verbindung zum Server herzustellen, ist ein TCP/IP-Fehler aufgetreten. (Konto: "post.strato.de", SMTP-Server:"post.strato.de", Fehlernuimmer: 0x800ccc15" und das gleiche auch beim pop3-Server. Hab schon bisschen bei google geschaut, aber werde da nicht richtig schlau draus :( |
nutzt ihr ne firewall? wird dort evtl. dein zugang geblockt? |
Hmm keine Ahnung. Hab gerade geguckt und die Windows Firewall ist aktiv. Sonst weiss ich von keiner Firewall. Wie kann ich das erkennen, ob das Programm geblockt wird? lg |
vllt habt ihr ne extra netzwerk firewall. faq-o-matic.net TCP/IP neu installieren bitte deinstaliere tcp/ip und lasse es neu instalieren, dann noch mal das mit den mails probieren. hast du bei deinen kolegen mal geschaut, ob die konfig übereinstimmt? |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 13:33 Uhr. |
Copyright ©2000-2024, Trojaner-Board