ComboFix 09-05-21.08 - Yasin 22.05.2009 20:11.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1252.49.1031.18.767.440 [GMT 2:00] ausgeführt von:: c:\dokumente und einstellungen\Yasin.YASIN-F4F861E64\Desktop\ComboFix.exe AV: ZoneAlarm Security Suite Antivirus *On-access scanning disabled* (Updated) {5D467B10-818C-4CAB-9FF7-6893B5B8F3CF} FW: ZoneAlarm Security Suite Firewall *disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B} * Resident AV is active Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !! . (((((((((((((((((((((((((((((((((((( Weitere Löschungen )))))))))))))))))))))))))))))))))))))))))))))))) . c:\dokumente und einstellungen\Yasin.YASIN-F4F861E64\Lokale Einstellungen\Temporary Internet Files\fbk.sts c:\winxp\system32\drivers\ovfsthxghrmrark.sys c:\winxp\system32\ovfsthxiklygmna.dll c:\winxp\system32\ovfsthxioaosopj.dat c:\winxp\system32\ovfsthxkqhrioov.dll c:\winxp\system32\ovfsthxondrhtnn.dll c:\winxp\system32\ovfsthxqdvqbmau.dat c:\winxp\system32\uniq.tll C:\xcrashdump.dat D:\uninstall.exe D:\WinRAR.exe E:\desktop.ini . ((((((((((((((((((((((((((((((((((((((( Treiber/Dienste ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Service_ovfsthxewqibbud ((((((((((((((((((((((( Dateien erstellt von 2009-04-22 bis 2009-05-22 )))))))))))))))))))))))))))))) . 2009-05-22 18:19 . 2009-05-22 18:19 -------- d-----w c:\winxp\system32\xircom 2009-05-22 18:19 . 2009-05-22 18:19 -------- d-----w c:\programme\microsoft frontpage 2009-05-22 17:29 . 2009-05-22 17:29 -------- d-----w c:\programme\CCleaner 2009-05-22 17:22 . 2009-05-22 17:22 -------- d-----w c:\dokumente und einstellungen\Yasin.YASIN-F4F861E64\Anwendungsdaten\Malwarebytes 2009-05-22 17:22 . 2009-04-06 13:32 15504 ----a-w c:\winxp\system32\drivers\mbam.sys 2009-05-22 17:21 . 2009-04-06 13:32 38496 ----a-w c:\winxp\system32\drivers\mbamswissarmy.sys 2009-05-22 17:21 . 2009-05-22 17:22 -------- d-----w c:\programme\Malwarebytes' Anti-Malware 2009-05-22 17:21 . 2009-05-22 17:21 -------- d-----w c:\dokumente und einstellungen\All Users.WINXP\Anwendungsdaten\Malwarebytes 2009-05-22 15:28 . 2009-05-22 15:28 -------- d-----w c:\programme\Trend Micro 2009-05-22 15:18 . 2009-03-09 19:06 64160 ----a-w c:\winxp\system32\drivers\Lbd.sys 2009-05-22 15:17 . 2009-03-12 08:17 2902048 -c--a-w c:\dokumente und einstellungen\All Users.WINXP\Anwendungsdaten\{7972B2E5-3E09-4E5E-81B7-FE5819D6772F}\Ad-AwareAE.exe 2009-05-22 15:16 . 2009-05-22 15:20 -------- d-----w c:\dokumente und einstellungen\All Users.WINXP\Anwendungsdaten\Lavasoft 2009-05-22 15:16 . 2009-05-22 15:16 -------- d-----w c:\programme\Lavasoft 2009-05-22 15:15 . 2009-05-22 15:17 -------- dc-h--w c:\dokumente und einstellungen\All Users.WINXP\Anwendungsdaten\{7972B2E5-3E09-4E5E-81B7-FE5819D6772F} 2009-05-22 15:03 . 2009-05-22 15:06 -------- d-----w c:\dokumente und einstellungen\All Users.WINXP\Anwendungsdaten\Spybot - Search & Destroy 2009-05-22 15:03 . 2009-05-22 15:03 -------- d-----w c:\programme\Spybot - Search & Destroy 2009-05-22 11:51 . 2009-05-22 18:15 99840 ----a-w c:\winxp\system32\icfksita.dll 2009-05-21 16:15 . 2009-05-22 18:15 99840 ----a-w c:\winxp\system32\uympgo.dll 2009-05-21 16:15 . 2009-05-22 18:15 99840 ----a-w c:\winxp\system32\nqjntfji.dll . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-05-22 18:25 . 2008-07-06 20:37 22688544 --sha-w c:\winxp\system32\drivers\fidbox.dat 2009-05-22 18:18 . 2008-07-06 20:37 310964 --sha-w c:\winxp\system32\drivers\fidbox.idx 2009-05-22 18:07 . 2008-12-07 00:53 4426666 ----a-w c:\winxp\Internet Logs\tvDebug.zip 2009-05-22 14:47 . 2009-05-22 14:47 57053 ----a-w c:\winxp\Internet Logs\zlclient_2nd_2009_05_22_16_20_00_small.dmp.zip 2009-05-22 14:45 . 2001-08-23 09:00 77924 ----a-w c:\winxp\system32\perfc007.dat 2009-05-22 14:45 . 2001-08-23 09:00 425118 ----a-w c:\winxp\system32\perfh007.dat 2009-05-17 22:11 . 2008-08-20 22:05 -------- d-----w c:\dokumente und einstellungen\Yasin.YASIN-F4F861E64\Anwendungsdaten\uTorrent 2009-05-17 18:30 . 2008-08-18 22:38 39 ----a-w c:\winxp\popcinfot.dat 2009-05-15 19:20 . 2008-05-03 13:43 -------- d-----w c:\programme\Google 2009-05-15 19:17 . 2008-10-15 16:56 -------- d-----w c:\programme\Cheat Engine 2009-05-13 19:17 . 2009-05-13 19:18 2612224 ----a-w c:\winxp\Internet Logs\xDB4E.tmp 2009-05-12 13:26 . 2008-07-06 20:30 4212 ---h--w c:\winxp\system32\zllictbl.dat 2009-05-10 13:08 . 2009-05-10 13:10 2602496 ----a-w c:\winxp\Internet Logs\xDB4D.tmp 2009-05-09 15:38 . 2009-05-09 15:52 2599936 ----a-w c:\winxp\Internet Logs\xDB4C.tmp 2009-05-08 09:31 . 2009-05-08 09:34 2598400 ----a-w c:\winxp\Internet Logs\xDB4B.tmp 2009-05-06 12:51 . 2009-05-06 13:06 2597376 ----a-w c:\winxp\Internet Logs\xDB4A.tmp 2009-05-05 19:31 . 2009-05-06 12:45 2596864 ----a-w c:\winxp\Internet Logs\xDB49.tmp 2009-05-01 13:56 . 2009-05-01 13:57 2653696 ----a-w c:\winxp\Internet Logs\xDB48.tmp 2009-04-25 20:00 . 2009-04-25 20:46 2575872 ----a-w c:\winxp\Internet Logs\xDB47.tmp 2009-04-18 13:53 . 2009-04-18 13:58 2554880 ----a-w c:\winxp\Internet Logs\xDB46.tmp 2009-04-16 09:37 . 2009-04-16 09:40 5039104 ----a-w c:\winxp\Internet Logs\xDB44.tmp 2009-04-16 09:37 . 2009-04-16 09:40 2545664 ----a-w c:\winxp\Internet Logs\xDB45.tmp 2009-04-15 21:11 . 2009-04-15 21:10 55005 ----a-w c:\winxp\Internet Logs\zlclient_2nd_2009_04_15_22_23_14_small.dmp.zip 2009-04-15 21:10 . 2009-04-15 21:10 57988 ----a-w c:\winxp\Internet Logs\zlclient_2nd_2009_04_15_22_22_54_small.dmp.zip 2009-04-13 11:48 . 2009-04-13 12:00 2518528 ----a-w c:\winxp\Internet Logs\xDB43.tmp 2009-04-07 17:10 . 2009-04-07 17:27 2512384 ----a-w c:\winxp\Internet Logs\xDB42.tmp 2009-04-05 07:12 . 2009-04-05 16:58 2510336 ----a-w c:\winxp\Internet Logs\xDB41.tmp 2009-03-09 17:35 . 2009-03-09 18:07 2343424 ----a-w c:\winxp\Internet Logs\xDB40.tmp 2009-03-06 13:59 . 2004-08-03 19:57 286720 ----a-w c:\winxp\system32\pdh.dll 2009-03-03 00:13 . 2007-12-11 19:54 828416 ----a-w c:\winxp\system32\wininet.dll 2009-03-02 16:47 . 2009-03-02 16:49 2328064 ----a-w c:\winxp\Internet Logs\xDB3F.tmp 2009-03-02 16:40 . 2009-03-02 16:42 2327552 ----a-w c:\winxp\Internet Logs\xDB3E.tmp . (((((((((((((((((((((((((((( Autostartpunkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . *Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\winxp\system32\ctfmon.exe" [2004-08-03 15360] "swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-05-03 68856] "SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-01-26 2144088] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NVMixerTray"="c:\programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe" [2004-06-03 131072] "NvCplDaemon"="c:\winxp\system32\NvCpl.dll" [2006-10-22 7700480] "WinampAgent"="d:\programme\Winamp\winampa.exe" [2008-04-01 36352] "LVCOMSX"="c:\winxp\system32\LVCOMSX.EXE" [2004-12-14 221184] "LogitechVideoRepair"="d:\programme\Logitech\Video\ISStart.exe" [2004-12-14 458752] "LogitechVideoTray"="d:\programme\Logitech\Video\LogiTray.exe" [2004-12-14 217088] "NeroCheck"="c:\winxp\system32\NeroCheck.exe" [2001-07-09 155648] "ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe" [2008-04-02 919016] "SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-01-12 136600] "Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792] "Ad-Watch"="c:\programme\Lavasoft\Ad-Aware\AAWTray.exe" [2009-03-09 515416] "NvMediaCenter"="NvMCTray.dll" - c:\winxp\system32\nvmctray.dll [2006-10-22 86016] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\winxp\system32\CTFMON.EXE" [2004-08-03 15360] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "nltide_2"="shell32" [X] "nltide_3"="advpack.dll" - c:\winxp\system32\advpack.dll [2009-02-20 124928] c:\winxp\system32\config\systemprofile\Startmen\Programme\Autostart\ ChkDisk.dll [2009-5-22 23552] c:\winxp\system32\config\systemprofile\Startmen\Programme\Autostart\ ChkDisk.dll [2009-5-22 23552] c:\dokumente und einstellungen\Yasin.YASIN-F4F861E64\Startmen\Programme\Autostart\ ChkDisk.lnk - c:\winxp\system32\rundll32.exe [2004-8-3 33792] [HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer] "NoSetActiveDesktop"= 1 (0x1) "NoActiveDesktopChanges"= 1 (0x1) [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service] @="Service" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\procexp90.Sys] @="" HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\µTorrent [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services] "gusvc"=3 (0x3) "Apple Mobile Device"=2 (0x2) "AntiVirService"=2 (0x2) "AntiVirScheduler"=2 (0x2) [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall] "DisableMonitoring"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "%windir%\\system32\\sessmgr.exe"= "d:\\Programme\\Azureus\\Azureus.exe"= "d:\\Programme\\BearShare\\BearShare.exe"= "c:\\Programme\\Messenger\\msmsgs.exe"= "c:\\Dokumente und Einstellungen\\Yasin.YASIN-F4F861E64\\Desktop\\leecher.exe"= "d:\\Programme\\ICQ6\\ICQ.exe"= "c:\\Programme\\utorrent\\utorrent.exe"= "c:\\Programme\\Mozilla Firefox\\firefox.exe"= "c:\\Programme\\MSN Messenger\\msnmsgr.exe"= "c:\\Programme\\MSN Messenger\\livecall.exe"= R0 Lbd;Lbd;c:\winxp\system32\drivers\Lbd.sys [22.05.2009 17:18 64160] R2 acedrv11;acedrv11;c:\winxp\system32\drivers\ACEDRV11.sys [23.01.2008 10:19 501560] R3 ENDETECT;ENDETECT;c:\progra~1\HanseNet\Alice\app\ENDETECT.SYS [19.04.2008 07:58 7754] R3 ENETNT5;Efficient Networks, tango Access PPPoE WAN Miniport;c:\winxp\system32\drivers\enetnt.sys [19.04.2008 07:58 45024] R3 NTSTPL1;NTSTPL1;c:\progra~1\HanseNet\Alice\app\NTSTPL1.SYS [19.04.2008 07:58 18528] R3 TAPBIND;TAPBIND;c:\progra~1\HanseNet\Alice\app\TAPBIND1.SYS [19.04.2008 07:58 51008] S2 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;c:\programme\Lavasoft\Ad-Aware\AAWService.exe [09.03.2009 21:06 951632] S3 iatmunin;iatmunin;\??\c:\dokume~1\YASIN~1.YAS\LOKALE~1\Temp\iatmunin.sys --> c:\dokume~1\YASIN~1.YAS\LOKALE~1\Temp\iatmunin.sys [?] S3 NTSTPL2;NTSTPL2;c:\progra~1\HanseNet\Alice\app\NTSTPL2.SYS [30.06.2008 04:29 18528] S3 RAWESR;RAWESR;c:\progra~1\HanseNet\Alice\app\RAWESR.SYS [19.04.2008 07:58 16288] . Inhalt des "geplante Tasks" Ordners 2009-05-22 c:\winxp\Tasks\Ad-Aware Update (Weekly).job - c:\programme\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2009-03-09 19:06] 2009-04-15 c:\winxp\Tasks\AppleSoftwareUpdate.job - c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-04-11 15:57] 2009-05-22 c:\winxp\Tasks\RegCure Program Check.job - c:\programme\RegCure\RegCure.exe [2008-04-21 16:51] 2009-05-21 c:\winxp\Tasks\RegCure.job - c:\programme\RegCure\RegCure.exe [2008-04-21 16:51] 2009-05-22 c:\winxp\Tasks\WGASetup.job - c:\winxp\system32\KB905474\wgasetup.exe [2009-04-22 20:18] . - - - - Entfernte verwaiste Registrierungseinträge - - - - BHO-{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - c:\winxp\system32\xxywwUoO.dll BHO-{87DEAD25-2F5F-4062-A42E-5F24D15DD886} - c:\winxp\system32\jkkIYpQJ.dll BHO-{C6C7B2A1-00F3-42BD-F434-00AABA2C8953} - c:\winxp\system32\had73sfdfd.dll SharedTaskScheduler-{C6C7B2A1-00F3-42BD-F434-00AABA2C8953} - c:\winxp\system32\had73sfdfd.dll ShellExecuteHooks-{0a9f1a20-8269-4f1c-bae9-6cbc035e933b} - c:\winxp\system32\pwyiwa.dll ShellExecuteHooks-{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - c:\winxp\system32\xxywwUoO.dll Notify-xxywwUoO - (no file) Notify-__c0024B1 - (no file) . ------- Zusätzlicher Suchlauf ------- . IE: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 TCP: {E715C70D-82B1-4620-B875-520688B75169} = 213.191.74.12 62.109.123.254 Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - c:\programme\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll FF - ProfilePath - c:\dokumente und einstellungen\Yasin.YASIN-F4F861E64\Anwendungsdaten\Mozilla\Firefox\Profiles\9m95mbe7.default\ FF - plugin: c:\dokumente und einstellungen\All Users.WINXP\Anwendungsdaten\Zylom\ZylomGamesPlayer\npzylomgamesplayer.dll FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll FF - plugin: c:\programme\Mozilla Firefox\plugins\nppopcaploader.dll FF - plugin: c:\programme\Mozilla Firefox\plugins\npzylomgamesplayer.dll FF - plugin: e:\programme\DivX\DivX Player\npDivxPlayerPlugin.dll FF - plugin: e:\programme\DivX\DivX Web Player\npdivx32.dll . ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-05-22 20:21 Windows 5.1.2600 Service Pack 2 NTFS Scanne versteckte Prozesse... Scanne versteckte Autostarteinträge... Scanne versteckte Dateien... Scan erfolgreich abgeschlossen versteckte Dateien: 0 ************************************************************************** . --------------------- Gesperrte Registrierungsschluessel --------------------- [HKEY_USERS\S-1-5-21-606747145-963894560-839522115-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*] "????????????????????????"=hex:fd,a7,b3,a5,02,fe,bb,a1,09,35,78,90,13,d8,8d,8f, 70,06,25,9d,06,08,06,8c,2e,70,8c,61,70,51,9d,28,00,00,00,00,00,00,00,00,00,\ [HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\*–€|ÿÿÿÿ;•€|é•6~*] "7040110900063D11C8EF10054038389C"="C?\\WINXP\\system32\\FM20ENU.DLL" . --------------------- Durch laufende Prozesse gestartete DLLs --------------------- - - - - - - - > 'explorer.exe'(1440) c:\winxp\system32\wpdshserviceobj.dll c:\winxp\system32\portabledevicetypes.dll c:\winxp\system32\portabledeviceapi.dll c:\winxp\system32\browselc.dll c:\programme\Microsoft Office\OFFICE11\msohev.dll c:\programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll c:\programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.DEU . ------------------------ Weitere laufende Prozesse ------------------------ . c:\programme\Java\jre6\bin\jqs.exe c:\winxp\system32\nvsvc32.exe c:\winxp\system32\pctspk.exe c:\programme\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe c:\programme\HanseNet\Alice\app\TangoService.exe c:\winxp\system32\UAService7.exe c:\progra~1\HanseNet\Alice\app\TANGOM~1.EXE d:\programme\Logitech\Video\FxSvr2.exe c:\winxp\system32\wscntfy.exe c:\winxp\system32\taskmgr.exe c:\programme\Mozilla Firefox\firefox.exe . ************************************************************************** . Zeit der Fertigstellung: 2009-05-22 20:32 - PC wurde neu gestartet ComboFix-quarantined-files.txt 2009-05-22 18:32 Vor Suchlauf: 638.410.752 Bytes frei Nach Suchlauf: 732.241.920 Bytes frei 240 --- E O F --- 2009-05-17 11:08