Trojan.Win32.Agent.ud

#1 Hallo zusammen,

ich habe einen Virencheck mit dem Kaspersky-Online Scanner gemacht und dabei wurde mit gesagt, dass auf meiner zweiten Festplatte der Trojaner "Trojan.Win32.Agent.ud" in Ordner "System Volume Information" sei. Mit dem normalen Virenscanner von Kaspersky wurde dieser aber nicht entdeckt. Ich habe im Internet nach diesem Virus gesucht, konnte aber irgendwie nichts finden. Nur dass die Datei "autoclk.exe" mit diesem Virus verbunden ist, aber so eine Datei existiert bei mir nicht.
Was soll ich nun machen bzw. was kann ich tun? Gibt es diesen Virus wirklich? Kann ich herausfinden ob ich nun infiziert bin oder nicht?
Bitte hilft mir.

#2 Hi Archilles,

deaktiviere die Systemwiederherstellung (Rechtsklick auf Arbeitsplatz => Eigenschaften => Systemwiederherstellung) und aktiviere sie anschließend wieder.
Das Problem sollte damit behoben sein, falls Du keine weitere Malware auf dem Rechner hast.

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#3 Hallo Heron,

die Aktion hat leider nichts gebracht. Immernoch wird der genannte Virus im Ordner "System Volume Information" vom Kaspersky Online Scanner angezeigt.

#4 Archilles

lies mal nach, warum die systemwiederherstellung deaktiviert werden soll.
http://virus-protect.org/systemwiederherstellung.html

somit muesste der Ordner "System Volume Information - entfernt werden
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Hi Sabrina,

die Systemwiederherstellung habe ich deaktiviert. Jedoch wird der Ordner "System Volume Information" nicht gelöscht und der Virus ist immer noch in diesem Ordner.

#6 das ist mehr als eigenartig ---- poste mal bitte den kompletten Pfad, den Kaspersky anzeigt
__________
MfG Sabina

rund um die PC-Sicherheit

#7 System Volume Information\_restore{A6D23F8D-4672-4559-8B50-C98DC52B10DB}\RP4\A0011441.exe
und
System Volume Information\_restore{BB1F911E-77A6-4259-8DF5-26F38D0D03AC}\RP69\A0016458.exe

#8 versuche es mit der Killbox zu loeschen (muss mit dem kompletten korrekten Pfad einkopiert werden)
http://virus-protect.org/killbox.html

C:\System Volume Information\_restore{BB1F911E-77A6-4259-8DF5-26F38D0D03AC}\RP69\A0016458.exe
C:\System Volume Information\_restore{A6D23F8D-4672-4559-8B50-C98DC52B10DB}\RP4\A0011441.exe
__________
MfG Sabina

rund um die PC-Sicherheit

#9 Das ist alles recht merkwürdig. Da gebe ich Sabina voll recht.

Jedes Laufwerk hat doch nur einen "System Volume Information" Ordner, oder irre ich da?

Meldet Kaspersky den Trojaner in beiden Ordnern?

Noch merkwürdiger ist die Tatsache, dass der Trojaner, wenn er denn nur in den/dem "System Volume Information" Ordner(n) sitzt, nicht durch die Deaktivierung der Systemwiederhrstellung verschwindet.
Eigentlich löscht die Deaktivierung alle vorhandenen Systemwiederherstellungspunkte. Allerdings wird bei der anschließenden Reaktivierung (soweit ich weiß) direkt ein neuer Wiederherstellungs-Punkt erstellt.
Wenn der auch schon wieder den Trojaner enthält, so legt das eigentlich den Schluss nahe, dass er sich irgendwo auf dem System verstecken könnte und gleich wieder in den Wiederherstellungspunkt kopiert wird.

Am besten wäre es vielleicht, Du postest mal das Log vom Kaspersky-Scan.

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#10 Mich wundert das auch alles. Aber auch als die Systemwiederherstellung deaktiviert ist, wurde der Virus entdeckt.

Habe ihn jetzt mit der Killbox gelöscht. Aber es ist schon komisch, das der Systemordner nicht leer ist, obwohl die Wiederherstellung deaktiviert ist.

Sollte ich vielleicht mal ein Hijackthis file posten?

#11 Wäre vielleicht sinnvoll.
Poste gleich auch das Log von Combofix mit.

Gruß
Heron

edit:
Noch eine Bemerkung zum "System Information Volume" Ordner:
der Ordner ist nicht leer, wenn Du die Systemwiederherstellung deaktivierst! Es werden lediglich alle Wiederherstellungspunkte gelöscht.
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#12 Logfile of HijackThis v1.99.1
Scan saved at 17:44:18, on 21.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\MSTMON_N.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\rclumad.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
E:\Programme\Board\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [KONICA MINOLTA PagePro 1300WStatusDisplay] C:\WINDOWS\system32\MSTMON_N.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AWMON] "C:\Programme\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/german/kavwebscan_unicode.cab
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - Unknown owner - C:\WINDOWS\ATKKBService.exe (file missing)
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cluster Manager Service V2 (rcluma) - Unknown owner - C:\WINDOWS\system32\rclumad.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

Was ist denn Combofix, das kenne ich nicht.

#13 Irgendwas ist los auf Deinem Rechner. Das "regedit" wurde deaktiviert:
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

Combofix findest Du hier: http://board.protecus.de/t23188.htm
Arbeite auch alles weitere ab, was dort angeführt ist.
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#14 Hier ist der Auszug von Combofix:

Trainer - 06-11-21 22:19:50,45 Service Pack 2
ComboFix 06.11.19 - Running from: "C:\Dokumente und Einstellungen\Trainer\Desktop"

((((((((((((((((((((((((((((((( Files Created from 2006-10-21 to 2006-11-21 ))))))))))))))))))))))))))))))))))


2006-11-20 19:23 <DIR> dr-h----- C:\Dokumente und Einstellungen\Trainer\Recent
2006-11-20 18:16 <DIR> d-------- C:\!KillBox
2006-11-19 21:43 <DIR> d-------- C:\WINDOWS\system32\Kaspersky Lab
2006-11-19 17:48 <DIR> d-------- C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\Talkback
2006-11-15 22:02 <DIR> d-------- C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\Subversion
2006-11-15 18:48 <DIR> d-------- C:\Dokumente und Einstellungen\Trainer\workspace
2006-11-15 18:45 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\MiKTeX
2006-11-15 18:42 <DIR> d-------- C:\Programme\MiKTeX 2.5
2006-11-14 20:58 <DIR> d-------- C:\Dokumente und Einstellungen\Trainer\WLSCompanion
2006-11-01 17:58 974,915 --------- C:\WINDOWS\python23.dll
2006-11-01 17:58 93 --------- C:\WINDOWS\adams05.bat
2006-11-01 17:58 20,480 --------- C:\WINDOWS\gettopdirloc.exe
2006-11-01 17:58 20,480 --------- C:\WINDOWS\getstopdirloc.exe
2006-11-01 17:58 20,480 --------- C:\WINDOWS\getruntime.exe
2006-11-01 17:58 16,384 --------- C:\WINDOWS\w9xpopen.exe
2006-11-01 17:58 112 --------- C:\WINDOWS\achassis05.bat
2006-11-01 17:58 105 --------- C:\WINDOWS\appt05.bat
2006-11-01 17:41 <DIR> d-------- C:\MSC.Software
2006-10-28 12:07 <DIR> d-------- C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\Datalayer


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-11-21 22:17 -------- d-------- C:\Programme\Mozilla Thunderbird
2006-11-21 22:14 -------- d-------- C:\Programme\Mozilla Firefox
2006-11-19 21:26 -------- d-------- C:\Programme\eMule.de
2006-11-19 19:51 -------- d-------- C:\Programme\Dassault Systemes
2006-11-08 08:25 -------- d-------- C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\Skype
2006-11-01 17:44 -------- d--h----- C:\Programme\InstallShield Installation Information
2006-11-01 15:06 -------- d-------- C:\Programme\IsoBuster
2006-10-28 12:26 -------- d-------- C:\Programme\Nokia
2006-10-28 12:26 -------- d-------- C:\Programme\Gemeinsame Dateien
2006-10-15 23:09 -------- d-------- C:\Programme\TGTSoft
2006-10-15 22:11 -------- d-------- C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\PC Suite
2006-10-15 21:50 -------- d-------- C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\DassaultSystemes
2006-10-15 20:38 -------- d-------- C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\PTC
2006-10-14 12:47 -------- d-------- C:\Programme\Gemeinsame Dateien\Ahead
2006-10-14 12:47 -------- d-------- C:\Programme\Ahead
2006-10-14 03:14 14912 --a------ C:\WINDOWS\system32\drivers\LUMDriver.sys
2006-10-14 03:13 26384 --a------ C:\WINDOWS\system32\FM20ENU.DLL
2006-10-04 11:34 59536 --a------ C:\WINDOWS\system32\drivers\klin.sys
2006-10-04 11:33 61072 --a------ C:\WINDOWS\system32\drivers\klick.sys
2006-08-16 03:12 52568 --a------ C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\GDIPFONTCACHEV1.DAT


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\ctfmon.exe"
"AWMON"="\"C:\\Programme\\Lavasoft\\Ad-Aware SE Professional\\Ad-Watch.exe\""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\runonce]
"ICQ Lite"="C:\\Programme\\ICQLite\\ICQLite.exe -trayboot"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvCpl.dll,NvStartup"
"nwiz"="nwiz.exe /install"
"NvMediaCenter"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvMcTray.dll,NvTaskbarInit"
"SoundMan"="SOUNDMAN.EXE"
"KAVPersonal50"="\"C:\\Programme\\Kaspersky Lab\\Kaspersky Anti-Virus Personal\\kav.exe\" /minimize"
"KONICA MINOLTA PagePro 1300WStatusDisplay"="C:\\WINDOWS\\system32\\MSTMON_N.EXE"
"KernelFaultCheck"=hex(2):25,73,79,73,74,65,6d,72,6f,6f,74,25,5c,73,79,73,74,\
65,6d,33,32,5c,64,75,6d,70,72,65,70,20,30,20,2d,6b,00
"NeroFilterCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"
"BluetoothAuthenticationAgent"="rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,cc,00,00,00,00,00,00,00,34,03,00,00,e2,02,00,00,00,\
00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
00,00,01,00,00,00

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"updateMgr"="C:\\Programme\\Adobe\\Acrobat 7.0\\Reader\\AdobeUpdateManager.exe AcRdB7_0_5 -reboot 1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"SunJavaUpdateSched"="C:\\Programme\\Java\\jre1.5.0_06\\bin\\jusched.exe"
"ICQ Lite"="\"C:\\Programme\\ICQLite\\ICQLite.exe\" -minimize"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"


Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\1-Klick-Wartung.job

Completion time: 06-11-21 22:23:01.59
C:\ComboFix.txt ... 06-11-21 22:23



und vom Kasperksy Online Scanner:
-------------------------------------------------------------------------------
PROTOKOLL FÜR KASPERSKY ONLINE SCANNER
Dienstag, 21. November 2006 22:14:24
Betriebssystem: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Version von Kaspersky Online Scanner: 5.0.83.0
Letztes Update der Antiviren-Datenbanken: 21/11/2006
Anzahl der Einträge in den Antiviren-Datenbanken: 229797
-------------------------------------------------------------------------------

Scan-Einstellungen:
Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Standard
Archive untersuchen: ja
Mail-Datenbanken untersuchen: ja

Untersuchungsobjekt - Arbeitsplatz:
C:\
D:\
E:\
F:\
G:\
H:\
I:\
J:\
K:\

Untersuchungsergebnisse:
Untersuchte Objekte insgesamt: 301442
Viren gefunden: 0
Infizierte Objekte gefunden: 0 / 0
Verdächtige Objekte gefunden: 0
Untersuchungszeit: 04:05:21

Name des infizierten Objekts / Virusname / Letzte Aktion
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.i0000 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.i0001 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.i0100 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.i0101 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.i0200 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.i0201 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.i0300 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.i0301 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.reph Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.repi Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Backup\BackupMng.rept Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.i0000 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.i0001 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.i0100 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.i0101 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.i0200 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.i0201 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.i0300 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.i0301 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.reph Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.repi Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Quarantine\QMng.rept Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.i0000 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.i0001 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.i0100 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.i0101 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.i0200 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.i0201 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.reph Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.repi Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\RptMng.rept Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{26701907-8D77-4EBE-9CDF-212172000F4E}.i0200 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{26701907-8D77-4EBE-9CDF-212172000F4E}.reph Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{26701907-8D77-4EBE-9CDF-212172000F4E}.repi Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{26701907-8D77-4EBE-9CDF-212172000F4E}.rept Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{56AB44FF-BB8F-4270-B725-710883EDE5FE}.i0200 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{56AB44FF-BB8F-4270-B725-710883EDE5FE}.reph Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{56AB44FF-BB8F-4270-B725-710883EDE5FE}.repi Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{56AB44FF-BB8F-4270-B725-710883EDE5FE}.rept Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{C810FF54-ADFE-4FF8-9BA1-95B11C749C5D}.i0200 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{C810FF54-ADFE-4FF8-9BA1-95B11C749C5D}.reph Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{C810FF54-ADFE-4FF8-9BA1-95B11C749C5D}.repi Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{C810FF54-ADFE-4FF8-9BA1-95B11C749C5D}.rept Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{F455A85A-5EBF-4BB8-A354-BE1395744F35}.i0200 Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{F455A85A-5EBF-4BB8-A354-BE1395744F35}.reph Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{F455A85A-5EBF-4BB8-A354-BE1395744F35}.repi Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\Reports\{F455A85A-5EBF-4BB8-A354-BE1395744F35}.rept Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\Anwendungsdaten\Lavasoft\Ad-Aware\logs\AWEVLOG.txt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\Lokale Einstellungen\Verlauf\History.IE5\MSHist012006112120061122\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\Trainer\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\MSC.Software\MSC.Licensing\9.2\lmgrd.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\debug.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\debug.log.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\error.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\error.log.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\hips.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\hips.log.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\ids.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\ids.log.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\network.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\network.log.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\system.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\system.log.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\warning.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\warning.log.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\web.log Das Objekt ist gesperrt übersprungen
C:\Programme\Kerio\Personal Firewall 4\logs\web.log.idx Das Objekt ist gesperrt übersprungen
C:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Debug\PASSWD.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\SoftwareDistribution\EventCache\{6B34172A-B5C5-42EE-8779-1F91C29A6143}.bin Das Objekt ist gesperrt übersprungen
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\AppEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SecEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SysEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\h323log.txt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\WindowsUpdate.log Das Objekt ist gesperrt übersprungen
D:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
E:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
F:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
G:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
H:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
I:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen

Die Untersuchung wurde abgeschlossen.



Das der Aufruf von Rededit unterdrückt ist kommt durch das Programm xp-antispy. Sollte wohl eher unbedenklich sein.

#15 virustotal
Oben auf der Seite --> auf Durchsuchen klicken --> Datei mit korrektem Pfad einkopieren) --> Doppelklick auf die zu prüfende Datei --> klick auf "Send"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> kopieren - einfügen
http://www.virustotal.com/flash/index_en.html

C:\WINDOWS\gettopdirloc.exe
C:\WINDOWS\getstopdirloc.exe
C:\WINDOWS\getruntime.exe

poste die reporte
__________
MfG Sabina

rund um die PC-Sicherheit