Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Sinowal + TR/Small.ahzz Infektion (https://www.trojaner-board.de/97211-sinowal-tr-small-ahzz-infektion.html)

dose123 06.04.2011 18:44
Sinowal + TR/Small.ahzz Infektion
 
Hallo zusammen,

dies ist mein erster Beitrag in diesem Forum, deswegen bitte ich euch nachsichtig zu sein.

aber nun zu meinem Problem:

Gmer findet das Rootkit Sinowal in meinem MBR. Avira Antivir meldet den Trojaner TR/Small.ahzz in der Datei dll.dll im System32-Verzeichnis.
Mithilfe von SysInternals habe ich herausgefunden, das diese als svchost Verbindungen zu mir unbekannten Hosts auf Port 6346 aufbaut.

Infiziert hab ich mich anscheinend durch ein infiziertes PDF.

Anbei sind die Logs OTL, Gmer und Extra.

Eine Neuinstallation würde ich gerne wegen meiner Mutter, die nur schwer mit Veränderungen am PC klarkommt vermeiden.

Ich hoffe, dass ihr mir helfen könnt und bedanke mich im Voraus.

cosinus 07.04.2011 10:54
Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.

dose123 07.04.2011 15:09
Danke für die Antwort,

soll ich einen Quick- oder Vollscan machen.
Ist es möglich, dass Sinowal nur festgestellt wurde, weil ich grub2 im MBR installiert habe?

mfg

cosinus 07.04.2011 15:23
Zitat:
weil ich grub2 im MBR installiert habe?
Glaub ich nicht.
Mach bitte einen Vollscan mit Malwarebytes.

dose123 07.04.2011 15:39
Wie ich deine Antwort erhalten habe, abe ich schon ein Quick-Scan gemacht. Anbei ist das Log. Aber Qctray kann es nicht sein weil es der Spybot DB als Autostart bekannt ist. Es gehört zu den Thinkpads. Ich reich den Komplettscan noch nach.

mfg

cosinus 07.04.2011 19:08
Die anderen Funde solltest du aber schon entfernen!

dose123 07.04.2011 22:19
Der komplette Scan hat 4 Stunden und 45 Minuten gedauert!
Anbei ist das Log.

mfg

cosinus 08.04.2011 05:13
Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

dose123 08.04.2011 14:54
Ich habe deine Anweisungen befolgt. Hier ist das Ergebnis.

mfg

cosinus 08.04.2011 15:03
Code:
2011/04/08 15:34:56.0949 4080        Detected object count: 1
2011/04/08 15:35:23.0457 4080        \HardDisk0 (Backdoor.Win32.Sinowal.knf) - will be cured after reboot
2011/04/08 15:35:23.0467 4080        \HardDisk0 - ok
2011/04/08 15:35:23.0467 4080        Backdoor.Win32.Sinowal.knf(\HardDisk0) - User select action: Cure
2011/04/08 15:35:31.0809 0768        Deinitialize success
Sinowal wurde erkannt und entfernt. Bitte Windows neu starten und den TDSS-Killer zur Kontrolle nochmal ausführen - Log posten.

dose123 08.04.2011 15:12
Er hat nichts mehr gefunden. Die unbekannten Verbindungen sind auch verschwunden. Wie stelle ich nun sicher , dass das System nicht mehr verseucht ist?

mfg

cosinus 08.04.2011 15:19
Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.
http://saved.im/mtm0nzyzmzd5/cofi.jpg
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

dose123 08.04.2011 16:25
Hallo,

hier ist das Ergebnis:
Combofix Logfile:
Code:
ComboFix 11-04-07.08 - gturetschek 08.04.2011  16:46:52.1.1 - x86
ausgeführt von:: c:\dokumente und einstellungen\gturetschek\Desktop\cofi.exe
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
 * Neuer Wiederherstellungspunkt wurde erstellt
.
.
((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\dokumente und einstellungen\Administrator\WINDOWS
c:\dokumente und einstellungen\Default User\WINDOWS
c:\dokumente und einstellungen\gturetschek\WINDOWS
c:\progra~1\ThinkPad\CONNEC~1\Qctray.exe
c:\windows\system32\config\systemprofile\WINDOWS
.
.
(((((((((((((((((((((((((((((((((((((((  Treiber/Dienste  )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_SSHNAS
.
.
(((((((((((((((((((((((  Dateien erstellt von 2011-03-08 bis 2011-04-08  ))))))))))))))))))))))))))))))
.
.
2011-04-08 14:31 . 2011-04-08 14:31        --------        d-----w-        c:\programme\CCleaner
2011-04-08 13:22 . 2011-01-21 11:11        95672        ----a-w-        c:\programme\Mozilla Firefox\plugins\nppdf32.dll
2011-04-07 14:03 . 2011-04-07 14:03        --------        d-----w-        c:\dokumente und einstellungen\gturetschek\Anwendungsdaten\Malwarebytes
2011-04-07 14:03 . 2010-12-20 16:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys
2011-04-07 14:03 . 2011-04-07 14:03        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-04-07 14:03 . 2010-12-20 16:08        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys
2011-04-07 14:03 . 2011-04-07 14:03        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware
2011-04-06 13:49 . 2011-04-06 13:49        --------        d-----w-        c:\programme\ERUNT
2011-04-04 10:51 . 2011-04-06 13:15        296487        ----a-w-        c:\windows\system32\shimg.dll
2011-03-24 18:00 . 2011-03-24 18:00        781272        ----a-w-        c:\programme\Mozilla Firefox\mozsqlite3.dll
2011-03-24 18:00 . 2011-03-24 18:00        1874904        ----a-w-        c:\programme\Mozilla Firefox\mozjs.dll
2011-03-24 18:00 . 2011-03-24 18:00        728024        ----a-w-        c:\programme\Mozilla Firefox\libGLESv2.dll
2011-03-24 18:00 . 2011-03-24 18:00        15832        ----a-w-        c:\programme\Mozilla Firefox\mozalloc.dll
2011-03-24 18:00 . 2011-03-24 18:00        142296        ----a-w-        c:\programme\Mozilla Firefox\libEGL.dll
2011-03-24 18:00 . 2011-03-24 18:00        1893336        ----a-w-        c:\programme\Mozilla Firefox\d3dx9_42.dll
2011-03-24 18:00 . 2011-03-24 18:00        1975768        ----a-w-        c:\programme\Mozilla Firefox\D3DCompiler_42.dll
2011-03-24 18:00 . 2011-03-24 18:00        142296        ----a-w-        c:\programme\Mozilla Firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-02-09 13:53 . 2008-09-10 12:21        186880        ------w-        c:\windows\system32\encdec.dll
2011-02-09 13:53 . 2008-09-10 12:21        270848        ------w-        c:\windows\system32\sbe.dll
2011-02-02 19:40 . 2010-07-10 12:08        472808        ----a-w-        c:\windows\system32\deployJava1.dll
2011-02-02 17:19 . 2008-09-16 14:52        73728        ----a-w-        c:\windows\system32\javacpl.cpl
2011-02-02 07:58 . 2008-09-10 12:18        2067456        ----a-w-        c:\windows\system32\mstscax.dll
2011-01-27 11:57 . 2008-09-10 12:18        677888        ----a-w-        c:\windows\system32\mstsc.exe
2011-01-21 14:44 . 2008-09-10 12:18        440832        ----a-w-        c:\windows\system32\shimgvw.dll
2011-03-24 18:00 . 2011-03-24 18:00        142296        ----a-w-        c:\programme\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AEIWLSTA.EXE"="AEIWLSTA.EXE START" [X]
"AGRSMMSG"="AGRSMMSG.exe" [2002-01-15 87037]
"ATIModeChange"="Ati2mdxx.exe" [2001-09-04 28672]
"AtiPTA"="atiptaxx.exe" [2002-01-18 311296]
"TrackPointSrv"="tp4serv.exe" [2002-01-18 176128]
"TP4EX"="tp4ex.exe" [2002-01-09 53248]
"TPHOTKEY"="c:\progra~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe" [2002-01-28 69632]
"TPTRAY"="c:\progra~1\ThinkPad\UTILIT~1\TP98TRAY.EXE" [2002-02-19 47104]
"BMMGAG"="c:\progra~1\ThinkPad\UTILIT~1\pwrmonit.dll" [2002-01-14 57856]
"dla"="c:\windows\system32\dla\tfswctrl.exe" [2002-01-21 102453]
"EPSON Stylus Photo RX420 Series"="c:\windows\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE" [2004-04-09 98304]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 110592]
"Acrobat Assistant 8.0"="c:\programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" [2011-01-21 624056]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-21 932288]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]
.
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Bluetooth Manager.lnk - c:\programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng1.exe [2005-6-16 49152]
Wireless LAN Utility.lnk - c:\programme\LevelOne WPC-0301\WlanCU.exe [2007-11-28 626688]
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\CounterPath\\X-Lite\\x-lite.exe"=
"c:\\Programme\\Mozilla Thunderbird\\thunderbird.exe"=
"c:\\Dokumente und Einstellungen\\gturetschek\\Anwendungsdaten\\Thunderbird\\Profiles\\uv49z4g6.default\\extensions\\{83d1f945-8280-11db-96a7-00e08161165f}\\spambayes\\win\\sbpython.exe"=
"c:\\IBMTOOLS\\UPDATER\\jre\\bin\\javaw.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\fotobuch.de\\Designer 2.0\\Designer.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:Remote Desktop
"65533:TCP"= 65533:TCP:Services
"52344:TCP"= 52344:TCP:Services
"6316:TCP"= 6316:TCP:Services
"3908:TCP"= 3908:TCP:Services
"3454:TCP"= 3454:TCP:Services
"3451:TCP"= 3451:TCP:Services
"2613:TCP"= 2613:TCP:Services
"3106:TCP"= 3106:TCP:Services
"6178:TCP"= 6178:TCP:Services
"6177:TCP"= 6177:TCP:Services
"1551:TCP"= 1551:TCP:Services
"2973:TCP"= 2973:TCP:Services
"4796:TCP"= 4796:TCP:Services
"7853:TCP"= 7853:TCP:Services
"5921:TCP"= 5921:TCP:Services
"9913:TCP"= 9913:TCP:Services
"2773:TCP"= 2773:TCP:Services
.
R1 TPPWR;TPPWR;c:\windows\system32\drivers\TPPWR.SYS [09.09.2008 09:18 12288]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [17.08.2009 16:59 108289]
R3 AEIWL;High Rate Wireless LAN MiniPCI Combo Card Driver;c:\windows\system32\drivers\AEIWLNDS.sys [01.01.1980 50688]
R3 Tp4Track;IBM PS/2 TrackPoint Driver;c:\windows\system32\drivers\tp4track.sys [01.01.1980 13055]
.
Inhalt des "geplante Tasks" Ordners
.
2011-04-08 c:\windows\Tasks\BMMTask.job
- c:\progra~1\ThinkPad\UTILIT~1\Bmmtask.exe [2008-09-09 23:23]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.fbi.h-da.de/
IE: An vorhandenes PDF anfügen - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Auswahl in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Auswahl in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: Verknüpfungsziel in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
FF - ProfilePath - c:\dokumente und einstellungen\gturetschek\Anwendungsdaten\Mozilla\Firefox\Profiles\rz0yswqv.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.fbi.h-da.de/
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKLM-Run-QCTRAY - c:\progra~1\ThinkPad\CONNEC~1\Qctray.exe
HKLM-Run-SunJavaUpdateSched - c:\programme\Java\jre6\bin\jusched.exe
Notify-cryptnet32 - (no file)
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover
Rootkit scan 2011-04-08 17:03
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10o_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10o_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\¹mÑw*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\System32\\FM20ENU.DLL"
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\System32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(920)
c:\windows\SYSTEM32\Wireless\WirelessGina.DLL
.
- - - - - - - > 'explorer.exe'(3560)
c:\progra~1\ThinkPad\UTILIT~1\pwrmonit.dll
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\windows\System32\Ati2evxx.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\System32\QCONSVC.EXE
c:\windows\System32\wbem\wmiapsrv.exe
c:\windows\AGRSMMSG.exe
c:\windows\system32\atiptaxx.exe
c:\windows\system32\tp4serv.exe
c:\windows\system32\RunDll32.exe
c:\windows\system32\AEIWLSTA.EXE
c:\windows\system32\rundll32.exe
c:\programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
c:\programme\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
c:\programme\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
c:\programme\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe
c:\programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2011-04-08  17:21:23 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2011-04-08 15:21
.
Vor Suchlauf: 221.626.368 Bytes frei
Nach Suchlauf: 148.430.848 Bytes frei
.
WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn
.
- - End Of File - - C4CBF8D8F41EAE6A43E1560B8F7F499B
--- --- ---

cosinus 08.04.2011 17:45
Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:
Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"=-
"65533:TCP"=-
"52344:TCP"=-
"6316:TCP"=-
"3908:TCP"=-
"3454:TCP"=-
"3451:TCP"=-
"2613:TCP"=-
"3106:TCP"=-
"6178:TCP"=-
"6177:TCP"=-
"1551:TCP"=-
"2973:TCP"=-
"4796:TCP"=-
"7853:TCP"=-
"5921:TCP"=-
"9913:TCP"=-
"2773:TCP"=-
3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

dose123 09.04.2011 10:01
Kannst mir kurz erklären, was ComboFix eigentlich macht und anhand welcher Kriterien es entscheidet Dateien zu löschen?

Hier ist das Ergebnis:
Combofix Logfile:
Code:
ComboFix 11-04-07.08 - gturetschek 09.04.2011  10:34:19.2.1 - x86
ausgeführt von:: c:\dokumente und einstellungen\gturetschek\Desktop\cofi.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\gturetschek\Desktop\CFScript.txt.txt
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
 * Neuer Wiederherstellungspunkt wurde erstellt
.
.
((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\windows\system32\crt.dat
c:\windows\system32\shimg.dll
.
.
(((((((((((((((((((((((  Dateien erstellt von 2011-03-09 bis 2011-04-09  ))))))))))))))))))))))))))))))
.
.
2011-04-08 14:31 . 2011-04-08 14:31        --------        d-----w-        c:\programme\CCleaner
2011-04-08 13:22 . 2011-01-21 11:11        95672        ----a-w-        c:\programme\Mozilla Firefox\plugins\nppdf32.dll
2011-04-07 14:03 . 2011-04-07 14:03        --------        d-----w-        c:\dokumente und einstellungen\gturetschek\Anwendungsdaten\Malwarebytes
2011-04-07 14:03 . 2010-12-20 16:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys
2011-04-07 14:03 . 2011-04-07 14:03        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-04-07 14:03 . 2010-12-20 16:08        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys
2011-04-07 14:03 . 2011-04-07 14:03        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware
2011-04-06 13:49 . 2011-04-06 13:49        --------        d-----w-        c:\programme\ERUNT
2011-03-24 18:00 . 2011-03-24 18:00        781272        ----a-w-        c:\programme\Mozilla Firefox\mozsqlite3.dll
2011-03-24 18:00 . 2011-03-24 18:00        1874904        ----a-w-        c:\programme\Mozilla Firefox\mozjs.dll
2011-03-24 18:00 . 2011-03-24 18:00        728024        ----a-w-        c:\programme\Mozilla Firefox\libGLESv2.dll
2011-03-24 18:00 . 2011-03-24 18:00        15832        ----a-w-        c:\programme\Mozilla Firefox\mozalloc.dll
2011-03-24 18:00 . 2011-03-24 18:00        142296        ----a-w-        c:\programme\Mozilla Firefox\libEGL.dll
2011-03-24 18:00 . 2011-03-24 18:00        1893336        ----a-w-        c:\programme\Mozilla Firefox\d3dx9_42.dll
2011-03-24 18:00 . 2011-03-24 18:00        1975768        ----a-w-        c:\programme\Mozilla Firefox\D3DCompiler_42.dll
2011-03-24 18:00 . 2011-03-24 18:00        142296        ----a-w-        c:\programme\Mozilla Firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-02-09 13:53 . 2008-09-10 12:21        186880        ------w-        c:\windows\system32\encdec.dll
2011-02-09 13:53 . 2008-09-10 12:21        270848        ------w-        c:\windows\system32\sbe.dll
2011-02-02 19:40 . 2010-07-10 12:08        472808        ----a-w-        c:\windows\system32\deployJava1.dll
2011-02-02 17:19 . 2008-09-16 14:52        73728        ----a-w-        c:\windows\system32\javacpl.cpl
2011-02-02 07:58 . 2008-09-10 12:18        2067456        ----a-w-        c:\windows\system32\mstscax.dll
2011-01-27 11:57 . 2008-09-10 12:18        677888        ----a-w-        c:\windows\system32\mstsc.exe
2011-01-21 14:44 . 2008-09-10 12:18        440832        ----a-w-        c:\windows\system32\shimgvw.dll
2011-03-24 18:00 . 2011-03-24 18:00        142296        ----a-w-        c:\programme\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AEIWLSTA.EXE"="AEIWLSTA.EXE START" [X]
"AGRSMMSG"="AGRSMMSG.exe" [2002-01-15 87037]
"ATIModeChange"="Ati2mdxx.exe" [2001-09-04 28672]
"AtiPTA"="atiptaxx.exe" [2002-01-18 311296]
"TrackPointSrv"="tp4serv.exe" [2002-01-18 176128]
"TP4EX"="tp4ex.exe" [2002-01-09 53248]
"TPHOTKEY"="c:\progra~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe" [2002-01-28 69632]
"TPTRAY"="c:\progra~1\ThinkPad\UTILIT~1\TP98TRAY.EXE" [2002-02-19 47104]
"BMMGAG"="c:\progra~1\ThinkPad\UTILIT~1\pwrmonit.dll" [2002-01-14 57856]
"dla"="c:\windows\system32\dla\tfswctrl.exe" [2002-01-21 102453]
"EPSON Stylus Photo RX420 Series"="c:\windows\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE" [2004-04-09 98304]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 110592]
"Acrobat Assistant 8.0"="c:\programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" [2011-01-21 624056]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-21 932288]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]
.
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Bluetooth Manager.lnk - c:\programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng1.exe [2005-6-16 49152]
Wireless LAN Utility.lnk - c:\programme\LevelOne WPC-0301\WlanCU.exe [2007-11-28 626688]
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\CounterPath\\X-Lite\\x-lite.exe"=
"c:\\Programme\\Mozilla Thunderbird\\thunderbird.exe"=
"c:\\Dokumente und Einstellungen\\gturetschek\\Anwendungsdaten\\Thunderbird\\Profiles\\uv49z4g6.default\\extensions\\{83d1f945-8280-11db-96a7-00e08161165f}\\spambayes\\win\\sbpython.exe"=
"c:\\IBMTOOLS\\UPDATER\\jre\\bin\\javaw.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\fotobuch.de\\Designer 2.0\\Designer.exe"=
.
R1 TPPWR;TPPWR;c:\windows\system32\drivers\TPPWR.SYS [09.09.2008 09:18 12288]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [17.08.2009 16:59 108289]
R3 AEIWL;High Rate Wireless LAN MiniPCI Combo Card Driver;c:\windows\system32\drivers\AEIWLNDS.sys [01.01.1980 50688]
R3 Tp4Track;IBM PS/2 TrackPoint Driver;c:\windows\system32\drivers\tp4track.sys [01.01.1980 13055]
.
Inhalt des "geplante Tasks" Ordners
.
2011-04-08 c:\windows\Tasks\BMMTask.job
- c:\progra~1\ThinkPad\UTILIT~1\Bmmtask.exe [2008-09-09 23:23]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.fbi.h-da.de/
IE: An vorhandenes PDF anfügen - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Auswahl in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Auswahl in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: Verknüpfungsziel in Adobe PDF konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - c:\programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
FF - ProfilePath - c:\dokumente und einstellungen\gturetschek\Anwendungsdaten\Mozilla\Firefox\Profiles\rz0yswqv.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.fbi.h-da.de/
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover
Rootkit scan 2011-04-09 10:46
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10o_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10o_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\¹mÑw*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\System32\\FM20ENU.DLL"
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\System32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(924)
c:\windows\SYSTEM32\Wireless\WirelessGina.DLL
.
Zeit der Fertigstellung: 2011-04-09  10:52:48
ComboFix-quarantined-files.txt  2011-04-09 08:52
ComboFix2.txt  2011-04-08 15:21
.
Vor Suchlauf: 123.768.832 Bytes frei
Nach Suchlauf: 112.848.896 Bytes frei
.
- - End Of File - - 862DB9BFA14F5CE7314A8C069DF04261
--- --- ---

cosinus 09.04.2011 14:42
Wir haben mit dem Script die Windows-Firewall "verbessert" - wahrscheinlich durch den Befall wurden Ausnahmen definiert, die so nicht sein müssen. Und CF entscheidet nach bestimmten Kriterien welche Datei weg muss und löscht diese dann. Diese Kritterien kann und darf ich dir im Detail nicht nennen.


Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.


Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
  • Doppelklick auf die MBRCheck.exe.
    Vista und Win7 User mit Rechtsklick "als Administrator starten"
  • Das Tool braucht nur wenige Sekunden.
  • Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.
Poste mir bitte den Inhalt des .txt Dokumentes

dose123 09.04.2011 18:27
Sinowal + TR/Small.ahzz Infektion
 
Liste der Anhänge anzeigen (Anzahl: 1)
Gmer funktionierte im abgesicherten Modus. Dort war aber die auflösung zu gering um es zu speichern, aber ich hab ein screen gemacht.
Die restlichen scans reiche ich nach.

Hier ist das Ergebnis von osam:
OSAM Logfile:
Code:
Report of OSAM: Autorun Manager v5.0.11926.0
Online Solutions. Complex Protection for Information Systems
Saved at 19:42:59 on 09.04.2011
 
OS: Windows XP Professional Service Pack 3 (Build 2600)
Default Browser: Mozilla Corporation Firefox 4.0
 
Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures
 
Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries
 
 
[Common]
-----( %SystemRoot%\Tasks )-----
"BMMTask.job" - ? - C:\PROGRA~1\ThinkPad\UTILIT~1\Bmmtask.exe  (File found, but it contains no detailed information)
 
[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl
"LocalCOM.cpl" - "東芝公司" - C:\WINDOWS\system32\LocalCOM.cpl
"tp4ex.cpl" - "IBM Corporation" - C:\WINDOWS\system32\tp4ex.cpl
"TP98.CPL" - "IBM Corp." - C:\WINDOWS\system32\TP98.CPL
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"Avira AntiVir Personal - Free Antivirus " - "Avira GmbH" - C:\PROGRA~1\Avira\ANTIVI~1\avconfig.cpl
(Disabled) "Speech" - ? - C:\Programme\Gemeinsame
 
[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"AEGIS Protocol (IEEE 802.1x) v3.4.5.0" (AegisP) - "Meetinghouse Data Communications" - C:\WINDOWS\System32\DRIVERS\AegisP.sys
"avgio" (avgio) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avgio.sys
"avgntflt" (avgntflt) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avgntflt.sys
"avipbb" (avipbb) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avipbb.sys
"Bluetooth Audio Device (WDM) from TOSHIBA" (TosRfSnd) - "TOSHIBA Corporation" - C:\WINDOWS\System32\drivers\TosRfSnd.sys
"Bluetooth Personal Area Network from TOSHIBA" (tosrfnds) - "TOSHIBA Corporation." - C:\WINDOWS\System32\DRIVERS\tosrfnds.sys
"Bluetooth Port Driver from Toshiba" (tosporte) - "TOSHIBA Corporation" - C:\WINDOWS\System32\DRIVERS\tosporte.sys
"Bluetooth RFBNEP from TOSHIBA" (Tosrfbnp) - "TOSHIBA Corporation" - C:\WINDOWS\System32\Drivers\tosrfbnp.sys
"Bluetooth RFBUS from TOSHIBA" (Tosrfbd) - "TOSHIBA CORPORATION" - C:\WINDOWS\System32\Drivers\tosrfbd.sys
"Bluetooth RFCOMM from TOSHIBA" (Tosrfcom) - "TOSHIBA Corporation" - C:\WINDOWS\System32\Drivers\tosrfcom.sys
"Bluetooth RFHID from TOSHIBA" (Tosrfhid) - "TOSHIBA Corporation." - C:\WINDOWS\System32\DRIVERS\Tosrfhid.sys
"Bluetooth USB Controller" (Tosrfusb) - "TOSHIBA CORPORATION" - C:\WINDOWS\System32\Drivers\tosrfusb.sys
"catchme" (catchme) - ? - C:\DOKUME~1\GTURET~1\LOKALE~1\Temp\catchme.sys  (File not found)
"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)
"drvmcdb" (drvmcdb) - "VERITAS Software, Inc." - C:\WINDOWS\System32\drivers\drvmcdb.sys
"drvnddm" (drvnddm) - "VERITAS Software, Inc." - C:\WINDOWS\System32\drivers\drvnddm.sys
"i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)
"IBM eGatherer Diagnostics" (EGATHDRV) - ? - C:\WINDOWS\System32\EGATHDRV.SYS  (File found, but it contains no detailed information)
"IBMTPCHK" (IBMTPCHK) - ? - C:\WINDOWS\System32\drivers\IBMBLDID.SYS  (File found, but it contains no detailed information)
"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)
"LevelOne WPC-0301 11g Wireless CardBus Adapter Driver" (rtl8185) - "Realtek Semiconductor Corporation                          " - C:\WINDOWS\System32\DRIVERS\rtl8185.sys
"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)
"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)
"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)
"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)
"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)
"PMEM" (PMEM) - "Microsoft Corporation" - C:\WINDOWS\system32\drivers\PMEMNT.SYS
"PxHelp20" (PxHelp20) - "VERITAS Software, Inc." - C:\WINDOWS\System32\DRIVERS\PxHelp20.sys
"Smapint" (Smapint) - "Microsoft Corporation" - C:\WINDOWS\System32\drivers\Smapint.sys
"sscdbhk5" (sscdbhk5) - "VERITAS Software, Inc." - C:\WINDOWS\System32\drivers\sscdbhk5.sys
"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys
"ssrtln" (ssrtln) - "VERITAS Software, Inc." - C:\WINDOWS\System32\drivers\ssrtln.sys
"TDSMAPI" (TDSMAPI) - ? - C:\WINDOWS\System32\Drivers\TDSMAPI.SYS  (File found, but it contains no detailed information)
"tfsnboio" (tfsnboio) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsnboio.sys
"tfsncofs" (tfsncofs) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsncofs.sys
"tfsndrct" (tfsndrct) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsndrct.sys
"tfsndres" (tfsndres) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsndres.sys
"tfsnifs" (tfsnifs) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsnifs.sys
"tfsnopio" (tfsnopio) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsnopio.sys
"tfsnpool" (tfsnpool) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsnpool.sys
"tfsnudf" (tfsnudf) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsnudf.sys
"tfsnudfa" (tfsnudfa) - "VERITAS Software, Inc." - C:\WINDOWS\System32\dla\tfsnudfa.sys
"TOSHIBA Bluetooth HID port driver" (toshidpt) - "TOSHIBA Corporation." - C:\WINDOWS\System32\drivers\Toshidpt.sys
"TPHKDRV" (TPHKDRV) - "IBM Corporation" - C:\WINDOWS\system32\drivers\TPHKDRV.sys
"TPPWR" (TPPWR) - "IBM Corp." - C:\WINDOWS\System32\drivers\Tppwr.sys
"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)
 
[Explorer]
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - ? - C:\Programme\Gemeinsame
-----( HKLM\Software\Classes\Protocols\Filter )-----
{807553E5-5146-11D5-A672-00B0D022E945} "text/xml" - ? - C:\Programme\Gemeinsame
-----( HKLM\Software\Classes\Protocols\Handler )-----
{32505114-5902-49B2-880A-1F7738E5A384} "Data Page Plugable Protocal mso-offdap11 Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\11\OWC11.DLL
{3D9F03FA-7A94-11D3-BE81-0050048385D1} "Data Page Pluggable Protocol mso-offdap Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\10\OWC10.DLL
{FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - C:\Programme\7-Zip\7-zip.dll
{D25B2CAB-8A9A-4517-A9B2-CB5F68A5A802} "Acrobat Elements Context Menu" - "Adobe Systems Inc." - C:\Programme\Adobe\Acrobat 8.0\Acrobat Elements\ContextMenu.dll
{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? - deskpan.dll  (File not found)
{5CA3D70E-1895-11CF-8E15-001234567890} "DriveLetterAccess" - "VERITAS Software, Inc." - C:\WINDOWS\system32\dla\tfswshx.dll
{FAC3CBF6-8697-43d0-BAB9-DCD1FCE19D75} "IE User Assist" - ? -  (File not found | COM-object registry key not found)
{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -  (File not found | COM-object registry key not found)
{32683183-48a0-441b-a342-7c2a440a9478} "Media Band" - ? -  (File not found | COM-object registry key not found)
{42042206-2D85-11D3-8CFF-005004838597} "Microsoft Office HTML Icon Handler" - "Microsoft Corporation" - C:\Programme\Microsoft Office\OFFICE11\msohev.dll
{993BE281-6695-4BA5-8A2A-7AACBFAAB69E} "Microsoft Office Metadata Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll
{00020D75-0000-0000-C000-000000000046} "Microsoft Office Outlook" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~2\OFFICE11\MLSHEXT.DLL
{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97} "Microsoft Office Thumbnail Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll
{2206CDB2-19C1-11D1-89E0-00C04FD7A829} "Microsoft OLE DB Service Component Data Links" - ? - C:\Programme\Gemeinsame
{0006F045-0000-0000-C000-000000000046} "Outlook-Dateisymbolerweiterung" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~2\OFFICE11\OLKFSTUB.DLL
{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\shlext.dll
{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -  (File not found | COM-object registry key not found)
{BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Webordner" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL
 
[Internet Explorer]
-----( HKCU\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars )-----
{32683183-48a0-441b-a342-7c2a440a9478} "{32683183-48a0-441b-a342-7c2a440a9478}" - ? -  (File not found | COM-object registry key not found)
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
<binary data> "Adobe PDF" - "Adobe Systems Incorporated" - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
<binary data> "EPSON Web-To-Page" - "SEIKO EPSON CORPORATION" - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
ITBar7Height "ITBar7Height" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBarLayout" - ? -  (File not found | COM-object registry key not found)
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_24" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_24.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab
{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} "Java Plug-in 1.6.0_24" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_24.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_24" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_24.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab
Microsoft XML Parser for Java "Microsoft XML Parser for Java" - ? -  (File not found | COM-object registry key not found) / file://C:\WINDOWS\Java\classes\xmldso.cab
{D27CDB6E-AE6D-11CF-96B8-444553540000} "Shockwave Flash Object" - "Adobe Systems, Inc." - C:\WINDOWS\system32\Macromed\Flash\Flash10o.ocx / hxxp://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
{17492023-C23A-453E-A040-C7C580BBF700} "Windows Genuine Advantage Validation Tool" - "Microsoft Corporation" - C:\WINDOWS\system32\legitcheckcontrol.dll / hxxp://go.microsoft.com/fwlink/?linkid=39204
{31435657-9980-0010-8000-00AA00389B71} "{31435657-9980-0010-8000-00AA00389B71}" - ? -  (File not found | COM-object registry key not found) / hxxp://download.microsoft.com/download/e/2/f/e2fcec4b-6c8b-48b7-adab-ab9c403a978f/wvc1dmo.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars )-----
{182EC0BE-5110-49C8-A062-BEB1D02A220B} "Adobe PDF" - "Adobe Systems Incorporated" - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBC} "ClsidExtension" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_24.dll
{53707962-6F74-2D53-2644-206D7942484F} "ClsidExtension" - "Safer Networking Limited" - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
{FF059E31-CC5A-4E2E-BF3B-96E929D65503} "Recherchieren" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----
<binary data> "Adobe PDF" - "Adobe Systems Incorporated" - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
<binary data> "EPSON Web-To-Page" - "SEIKO EPSON CORPORATION" - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----
{AE7CD045-E861-484f-8273-0445EE161910} "Adobe PDF Conversion Toolbar Helper" - "Adobe Systems Incorporated" - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} "Adobe PDF Reader" - ? - C:\Programme\Gemeinsame
{E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} "EpsonToolBandKicker Class" - "SEIKO EPSON CORPORATION" - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll
{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
{53707962-6F74-2D53-2644-206D7942484F} "Spybot-S&D IE Protection" - "Safer Networking Limited" - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} "SSVHelper Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\ssv.dll
 
[Logon]
-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----
"Bluetooth Manager.lnk" - ? - C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng1.exe  (Shortcut exists | File found, but it contains no detailed information | File exists)
"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
"Wireless LAN Utility.lnk" - ? - C:\Programme\LevelOne WPC-0301\WlanCU.exe  (Shortcut exists | File exists)
-----( %UserProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\gturetschek\Startmenü\Programme\Autostart\desktop.ini
-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----
"SpybotSD TeaTimer" - "Safer-Networking Ltd." - C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"Acrobat Assistant 8.0" - "Adobe Systems Inc." - "C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
"Adobe ARM" - "Adobe Systems Incorporated" - "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
"avgnt" - "Avira GmbH" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
"BMMGAG" - "IBM Corp." - RunDll32 C:\PROGRA~1\ThinkPad\UTILIT~1\pwrmonit.dll,StartPwrMonitor
"dla" - "VERITAS Software, Inc." - C:\WINDOWS\system32\dla\tfswctrl.exe
"TP4EX" - "IBM Corporation" - tp4ex.exe
"TPHOTKEY" - ? - C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe  (File found, but it contains no detailed information)
"TPTRAY" - "IBM Corp." - C:\PROGRA~1\ThinkPad\UTILIT~1\TP98TRAY.EXE
 
[Print Monitors]
-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----
"Adobe PDF Port" - "Adobe Systems Incorporated." - C:\WINDOWS\system32\AdobePDF.dll
"Microsoft Document Imaging Writer Monitor" - "Microsoft Corporation" - C:\WINDOWS\system32\mdimon.dll
"Toshiba Bluetooth Monitor" - "Toshiba America Business Solutions, Inc." - C:\WINDOWS\system32\tbtmon.dll
 
[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"Avira AntiVir Guard" (AntiVirService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avguard.exe
"Avira AntiVir Planer" (AntiVirSchedulerService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\sched.exe
"FLEXnet Licensing Service" (FLEXnet Licensing Service) - "Macrovision Europe Ltd." - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
"IBM PM Service" (IBMPMSVC) - ? - C:\WINDOWS\system32\ibmpmsvc.exe  (File signed by Microsoft | File found, but it contains no detailed information)
"InstallDriver Table Manager" (IDriverT) - "Macrovision Corporation" - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe
"Office Source Engine" (ose) - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE
"QCONSVC" (QCONSVC) - ? - C:\WINDOWS\System32\QCONSVC.EXE  (File found, but it contains no detailed information)
 
[Winlogon]
-----( HKCU\Control Panel\IOProcs )-----
"MVB" - ? - mvfs32.dll  (File not found)
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon )-----
"GinaDLL" - ? - C:\WINDOWS\SYSTEM32\Wireless\WirelessGina.DLL
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )-----
"WgaLogon" - "Microsoft Corporation" - C:\WINDOWS\system32\WgaLogon.dll
 
===[ Logfile end ]=========================================[ Logfile end ]===
--- --- ---
If You have questions or want to get some help, You can visit Online Solutions :: Index

MBRcheck sagt das keinen Standard Mbr hab, was mich nicht verwundert, da ich grub benutze.

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000003c

Kernel Drivers (total 150):
0x804D7000 \WINDOWS\system32\ntoskrnl.exe
0x806EF000 \WINDOWS\system32\hal.dll
0xF7D61000 \WINDOWS\system32\KDCOM.DLL
0xF7C71000 \WINDOWS\system32\BOOTVID.dll
0xF7811000 ACPI.sys
0xF7D63000 \WINDOWS\System32\DRIVERS\WMILIB.SYS
0xF7800000 pci.sys
0xF7861000 isapnp.sys
0xF7C75000 compbatt.sys
0xF7C79000 \WINDOWS\System32\DRIVERS\BATTC.SYS
0xF7D65000 intelide.sys
0xF7AE1000 \WINDOWS\System32\DRIVERS\PCIIDEX.SYS
0xF77E2000 pcmcia.sys
0xF7871000 MountMgr.sys
0xF77C3000 ftdisk.sys
0xF7C7D000 ACPIEC.sys
0xF7E29000 \WINDOWS\System32\DRIVERS\OPRGHDLR.SYS
0xF7AE9000 PartMgr.sys
0xF7881000 VolSnap.sys
0xF77AB000 atapi.sys
0xF7891000 disk.sys
0xF78A1000 \WINDOWS\System32\DRIVERS\CLASSPNP.SYS
0xF778B000 fltmgr.sys
0xF7779000 sr.sys
0xF7C81000 PxHelp20.sys
0xF7766000 drvmcdb.sys
0xF774F000 KSecDD.sys
0xF76C2000 Ntfs.sys
0xF7695000 NDIS.sys
0xF767B000 Mup.sys
0xF78B1000 agp440.sys
0xF79D1000 \SystemRoot\System32\DRIVERS\intelppm.sys
0xF744F000 \SystemRoot\System32\DRIVERS\ati2mtag.sys
0xF743B000 \SystemRoot\System32\DRIVERS\VIDEOPRT.SYS
0xF7B41000 \SystemRoot\System32\DRIVERS\usbuhci.sys
0xF7417000 \SystemRoot\System32\DRIVERS\USBPORT.SYS
0xF73CC000 \SystemRoot\system32\DRIVERS\rtl8185.sys
0xF79E1000 \SystemRoot\System32\DRIVERS\AEIWLNDS.sys
0xF73AE000 \SystemRoot\System32\DRIVERS\e100b325.sys
0xF79F1000 \SystemRoot\System32\DRIVERS\i8042prt.sys
0xF7B49000 \SystemRoot\System32\DRIVERS\kbdclass.sys
0xF7646000 \SystemRoot\System32\DRIVERS\tp4track.sys
0xF7B51000 \SystemRoot\System32\DRIVERS\mouclass.sys
0xF7B59000 \SystemRoot\System32\DRIVERS\fdc.sys
0xF7A01000 \SystemRoot\System32\DRIVERS\serial.sys
0xF7642000 \SystemRoot\System32\DRIVERS\serenum.sys
0xF739A000 \SystemRoot\System32\DRIVERS\parport.sys
0xF7B61000 \SystemRoot\System32\DRIVERS\nscirda.sys
0xF763E000 \SystemRoot\System32\DRIVERS\irenum.sys
0xF7636000 \SystemRoot\System32\DRIVERS\CmBatt.sys
0xF7B69000 \SystemRoot\System32\DRIVERS\ibmpmdrv.sys
0xF7A11000 \SystemRoot\System32\Drivers\Imapi.SYS
0xF7D9F000 \SystemRoot\system32\drivers\sscdbhk5.sys
0xF7A21000 \SystemRoot\System32\DRIVERS\cdrom.sys
0xF7A31000 \SystemRoot\System32\DRIVERS\redbook.sys
0xF7377000 \SystemRoot\System32\DRIVERS\ks.sys
0xF730A000 \SystemRoot\system32\drivers\smwdm.sys
0xF7ED6000 \SystemRoot\system32\drivers\SENSUPGD.SYS
0xF72E6000 \SystemRoot\system32\drivers\portcls.sys
0xF7A41000 \SystemRoot\system32\drivers\drmk.sys
0xF6DDC000 \SystemRoot\System32\DRIVERS\AGRSM.sys
0xF7B71000 \SystemRoot\System32\Drivers\Modem.SYS
0xF7A51000 \SystemRoot\System32\Drivers\tosrfcom.sys
0xF7EDE000 \SystemRoot\System32\DRIVERS\audstub.sys
0xF7B79000 \SystemRoot\System32\DRIVERS\rasirda.sys
0xF7B81000 \SystemRoot\System32\DRIVERS\TDI.SYS
0xF753B000 \SystemRoot\System32\DRIVERS\rasl2tp.sys
0xF7622000 \SystemRoot\System32\DRIVERS\ndistapi.sys
0xF6DC5000 \SystemRoot\System32\DRIVERS\ndiswan.sys
0xF752B000 \SystemRoot\System32\DRIVERS\raspppoe.sys
0xF751B000 \SystemRoot\System32\DRIVERS\raspptp.sys
0xF6DB4000 \SystemRoot\System32\DRIVERS\psched.sys
0xF750B000 \SystemRoot\System32\DRIVERS\msgpc.sys
0xF7B89000 \SystemRoot\System32\DRIVERS\ptilink.sys
0xF7B91000 \SystemRoot\System32\DRIVERS\raspti.sys
0xF6D84000 \SystemRoot\System32\DRIVERS\rdpdr.sys
0xF74FB000 \SystemRoot\System32\DRIVERS\termdd.sys
0xF7DA1000 \SystemRoot\System32\DRIVERS\swenum.sys
0xF6D26000 \SystemRoot\System32\DRIVERS\update.sys
0xF7D09000 \SystemRoot\System32\DRIVERS\mssmbios.sys
0xF74DB000 \SystemRoot\system32\DRIVERS\tosporte.sys
0xF7921000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xF7991000 \SystemRoot\System32\DRIVERS\usbhub.sys
0xF7DAB000 \SystemRoot\System32\DRIVERS\USBD.SYS
0xF7DED000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xF7EB8000 \SystemRoot\System32\Drivers\Null.SYS
0xF7DEF000 \SystemRoot\System32\Drivers\Beep.SYS
0xED6AF000 \SystemRoot\system32\drivers\ssrtln.sys
0xED6A7000 \SystemRoot\System32\drivers\vga.sys
0xF7DF1000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF7DF3000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xED69F000 \SystemRoot\System32\Drivers\Msfs.SYS
0xED686000 \SystemRoot\System32\Drivers\Npfs.SYS
0xEDA63000 \SystemRoot\System32\DRIVERS\rasacd.sys
0xEC90B000 \SystemRoot\System32\DRIVERS\ipsec.sys
0xEC8B2000 \SystemRoot\System32\DRIVERS\tcpip.sys
0xEC88A000 \SystemRoot\System32\DRIVERS\netbt.sys
0xEC868000 \SystemRoot\System32\drivers\afd.sys
0xED5DC000 \SystemRoot\System32\DRIVERS\netbios.sys
0xED67E000 \SystemRoot\System32\drivers\Tppwr.sys
0xEDA5F000 \SystemRoot\System32\Drivers\TPHKDRV.SYS
0xED676000 \SystemRoot\System32\Drivers\TDSMAPI.SYS
0xED66E000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0xED666000 \SystemRoot\System32\drivers\Smapint.sys
0xEC711000 \SystemRoot\System32\DRIVERS\rdbss.sys
0xEC643000 \SystemRoot\System32\DRIVERS\mrxsmb.sys
0xF7ED2000 \SystemRoot\System32\drivers\IBMBLDID.SYS
0xED5BC000 \SystemRoot\System32\Drivers\Fips.SYS
0xEC5C7000 \SystemRoot\System32\DRIVERS\ipnat.sys
0xED5AC000 \SystemRoot\System32\DRIVERS\wanarp.sys
0xED64E000 \SystemRoot\System32\DRIVERS\usbccgp.sys
0xEDA3F000 \SystemRoot\System32\DRIVERS\usbscan.sys
0xED646000 \SystemRoot\System32\DRIVERS\usbprint.sys
0xED63E000 \SystemRoot\System32\DRIVERS\USBSTOR.SYS
0xB94BB000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xF7E0F000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xB70F2000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xB6DA0000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF7E07000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xEC6F5000 \SystemRoot\System32\drivers\Dxapi.sys
0xED6C7000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xF7EB7000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\ati2dvag.dll
0xBF044000 \SystemRoot\System32\ati3d1ag.dll
0xB4D60000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xED56C000 \SystemRoot\system32\drivers\drvnddm.sys
0xF7E68000 \SystemRoot\system32\dla\tfsndres.sys
0xF7A81000 \SystemRoot\system32\dla\tfsnifs.sys
0xB71B0000 \SystemRoot\system32\dla\tfsnopio.sys
0xB6F77000 \SystemRoot\system32\dla\tfsnpool.sys
0xB7170000 \SystemRoot\system32\dla\tfsnboio.sys
0xED9A3000 \SystemRoot\system32\dla\tfsncofs.sys
0xECFF0000 \SystemRoot\system32\dla\tfsndrct.sys
0xB4D4A000 \SystemRoot\system32\dla\tfsnudf.sys
0xB4D32000 \SystemRoot\system32\dla\tfsnudfa.sys
0xB7016000 \SystemRoot\system32\DRIVERS\AegisP.sys
0xB4CCC000 \SystemRoot\System32\DRIVERS\irda.sys
0xF7D35000 \SystemRoot\System32\DRIVERS\ndisuio.sys
0xB4B4F000 \SystemRoot\system32\drivers\wdmaud.sys
0xB70E2000 \SystemRoot\system32\drivers\sysaudio.sys
0xB4AD4000 \SystemRoot\System32\DRIVERS\mrxdav.sys
0xEC75C000 \SystemRoot\System32\Drivers\TDTCP.SYS
0xB4AB1000 \SystemRoot\System32\Drivers\RDPWD.SYS
0xF7D97000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xF7DF9000 \??\C:\WINDOWS\system32\drivers\PMEMNT.SYS
0xB4849000 \SystemRoot\System32\DRIVERS\srv.sys
0xB43A8000 \SystemRoot\System32\Drivers\HTTP.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 46):
0 System Idle Process
4 System
812 C:\WINDOWS\system32\smss.exe
884 csrss.exe
916 C:\WINDOWS\system32\winlogon.exe
960 C:\WINDOWS\system32\services.exe
972 C:\WINDOWS\system32\lsass.exe
1172 C:\WINDOWS\system32\ibmpmsvc.exe
1212 C:\WINDOWS\system32\svchost.exe
1276 svchost.exe
1472 C:\WINDOWS\system32\svchost.exe
1628 svchost.exe
2008 svchost.exe
316 C:\WINDOWS\explorer.exe
832 C:\WINDOWS\system32\spoolsv.exe
1336 C:\Programme\Avira\AntiVir Desktop\sched.exe
1592 svchost.exe
1860 C:\Programme\Avira\AntiVir Desktop\avguard.exe
1892 C:\WINDOWS\system32\ati2evxx.exe
1832 svchost.exe
208 C:\WINDOWS\AGRSMMSG.exe
528 C:\Programme\Java\jre6\bin\jqs.exe
536 C:\WINDOWS\system32\atiptaxx.exe
600 C:\WINDOWS\system32\tp4serv.exe
888 C:\WINDOWS\system32\QCONSVC.EXE
1312 C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe
1344 C:\PROGRA~1\ThinkPad\UTILIT~1\TP98TRAY.EXE
1424 C:\WINDOWS\system32\rundll32.exe
1740 C:\WINDOWS\system32\dla\tfswctrl.exe
1356 C:\WINDOWS\system32\svchost.exe
1844 C:\WINDOWS\system32\AEIWLSTA.exe
1972 C:\WINDOWS\system32\rundll32.exe
416 C:\Programme\Adobe\Acrobat 8.0\Acrobat\acrotray.exe
668 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
1392 C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe
1612 C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
2320 C:\Programme\LevelOne WPC-0301\WlanCU.exe
2344 C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
2796 C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
2880 C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
3232 C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtHSP.exe
3976 C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
652 alg.exe
1044 C:\Programme\Mozilla Firefox\firefox.exe
3840 C:\WINDOWS\system32\wbem\wmiapsrv.exe
664 C:\Dokumente und Einstellungen\gturetschek\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive0 at offset 0x00000007`c4491e00 (NTFS)

PhysicalDrive0 Model Number: IC25N040ATCS04-0, Rev: CA4OA71A

Size Device Name MBR Status
--------------------------------------------
37 GB \\.\PhysicalDrive0 Unknown MBR code
SHA1: 7B236D31BA3B5B01AE6164457DD12D3F8AA4968A


Found non-standard or infected MBR.
Enter 'Y' and hit ENTER for more options, or 'N' to exit:
Options:
[1] Dump the MBR of a physical disk to file.
[2] Restore the MBR of a physical disk with a standard boot code.
[3] Exit.

Enter your choice: Enter the physical disk number to dump (0-99, -1 to exit): 0Dumping \\.\PhysicalDisk0...
Enter filename to dump to: tDumped successfully!

Enter the physical disk number to dump (0-99, -1 to exit): -1

Done!

cosinus 09.04.2011 19:01
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

dose123 09.04.2011 19:36
Und was ist mit der gmer meldung? hab den scan angestossen.

mfg

cosinus 09.04.2011 20:49
Ja, der findet irgendwo im 78. Millionsten Sektor Schadcode. Das kann man normalerweise ignorieren. Außerdem haben wir den MBR mit TDSS-Killer repariert.

dose123 09.04.2011 23:09
Superantispyware ist nun fertig, sieht gut aus:

SUPERAntiSpyware Scann-Protokoll
SUPERAntiSpyware.com | Remove Malware | Remove Spyware - AntiMalware, AntiSpyware, AntiAdware!

Generiert 04/10/2011 bei 00:07 AM

Version der Applikation : 4.50.1002

Version der Kern-Datenbank : 6797
Version der Spur-Datenbank : 4609

Scan Art : kompletter Scann
Totale Scann-Zeit : 03:31:09

Gescannte Speicherelemente : 510
Erfasste Speicher-Bedrohungen : 0
Gescannte Register-Elemente : 5697
Erfasste Register-Bedrohungen : 0
Gescannte Datei-Elemente : 100369
Erfasste Datei-Elemente : 0


MalwareBytes reiche ich morgen nach.

cosinus 10.04.2011 00:12
Das von Malwarebytes brauch ich auch noch ;)

dose123 10.04.2011 12:26
Malwarebytes hat nur etwas in Qurantäne gefunden.

Hier hist das Log:

Malwarebytes' Anti-Malware 1.50.1.1100
Malwarebytes

Datenbank Version: 6322

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

10.04.2011 13:22:05
mbam-log-2011-04-10 (13-22-05).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 228548
Laufzeit: 2 Stunde(n), 59 Minute(n), 38 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\Qoobox\quarantine\C\PROGRA~1\ThinkPad\CONNEC~1\qctray.exe.vir (Trojan.Spambot) -> Quarantined and deleted successfully.

dose123 10.04.2011 13:54
Auch Spybot hat nichts gefunden.

dose123 10.04.2011 19:31
Antivir ebenfalls nicht. Falls nun von der ct Desinfect cd Bitdefender unauffälig bleibt, ist dann mein pc sauber?

mfg

cosinus 10.04.2011 20:03
Malwarebytes hatte nur einen Überrest gefunden.
Rechner wieder ok oder noch probleme?

dose123 10.04.2011 21:38
Es scheint alles wieder ok zu sein. Bitdefender hat nur was in der Quarantäne von Avira bemängelt und ein false positive mit seiner Heuristik bei einem Kopierschutz gehabt. Der Computer reagiert wieder wesentlich schneller und die mysteriöse Netzlast ist auch verschwunden.
Ich hoffe ich muss mich an dieser Stelle nicht noch einmal melden.

Aber nun kommt ein sehr wichtiger Punkt:

DANKE Cosinus, du setzt dich mit unseren Problemen sehr intensiv auseinander und hilfst uns effektiv. :daumenhoc Gäbe es doch nur mehr so Leute wie du...

In großer Dankbarkeit,
freundliche Grüße

cosinus 11.04.2011 07:56
Zitat:
Bitdefender hat nur was in der Quarantäne von Avira bemängelt
Ähm du betreibst Bitdefender zusammen mit Antivir? Mach das nicht, verwende nur einen Virenscanner. Nur Malwarebytes und SASW vertragen sich mit einem anderen Scanner.

dose123 11.04.2011 14:24
Nee das war von einem Live -Linux von der ct. Da sind Kaspersky Bitdefender, Avira und clamav drauf. Desinfec't 2011 | c't

Trotzdem noch mal Danke.

cosinus 11.04.2011 15:16
Achso sry, dann hab ich es falsch verstanden :D

Dann wären wir durch! :abklatsch:

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update



PDF-Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst.

Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink:

Mozilla und andere Browser => http://filepony.de/?q=Flash+Player
Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.


Alle Zeitangaben in WEZ +1. Es ist jetzt 10:22 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55