Problem mit Trojaner TR/Vundo.HI |
||
|---|---|---|
| #0
| ||
|
05.06.2008, 19:21
Member
Beiträge: 11 |
||
 
|
|
|
|
05.06.2008, 21:22
Ehrenmitglied
 Beiträge: 6028 |
#2
Verborgene Dateien sichtbar machen
Arbeitsplatz öffnen >Extras >Ordneroptionen >den Reiter "Ansicht" >Versteckte Dateien und Ordner >"alle Dateien und Ordner anzeigen" aktivieren Und >Extras >Ordneroptionen >den Reiter "Ansicht" >Dateien und Ordner >"Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren. Prüfe mal diese Datei(en) bei http://www.virustotal.com/de C:\WINDOWS\system32\adsntb.exe Note:Wenn bei ViruTotal die Meldung kommt ” Die Datei wurde bereits analysiert “waehle „Analisiere die Datei“ Schliesse alle Fenster und starte Hijack This Klicke: Do a Systemscan only Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei Zitat O4 - HKLM\..\Run: [WinUpdate] C:\WINDOWS\system32\adsntb.exeklicke: Fix checked Dein Internet Explorer muss geschlossen wenn Du Fix Checked klickst Malwarebytes Anti-Malware fuer Windows 2000,XP und Vista Download MBAM Doppelklick mbam-setup und waehle Deutsch ,das Program wird jetzt ge-updatet Waehle bei Reiter “Scanner”> "Komplett Scan durchfuehren" . Waehle alle Laufwerke>Scan laufen lassen Wenn am Ende infizierungen gefunden werden,anhaacken und entfernen lassen Unter Scanberichte stet das log (mbam-log-XX-XX-XXXX.txt) Poste dessen inhalt hier ins Forum Note: Wenn MBAM Schwierigkeiten damit hat Daten zu entfernen wird es gemeldet und klicke OK Danach wird gefragt den Rechner neu zu starten,lass es zu Nehme als Update Spiegel >>It-mate.co.uk Malwarebytes Anti-Malware kann man nachher behalten ! ComboFix Download ComboFix und speichert es auf den Desktop! Alle Fenster schliessen und combofix.exe starten Folge den Instruktionen in das Fenster Waehrend Combofix lauft NICHT ins Fenster klicken sonst erfriert dein Rechner Wenn das Tool fertig ist,oeffnet sich ein logfile (C:\ combofix.txt) nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen" Wenn dein Virenscanner meckert,ignorieren ! zusammen mit ein neuen log von HijackThis __________ MfG Argus |
|
|
|
|
|
|
06.06.2008, 00:35
Member
Themenstarter Beiträge: 11 |
#3
Servus!
Bis dahin schon mal vielen Dank! Sehr kompliziert, aber ich werde es gerne versuchen! Allerdings fängt es erst mal problematisch an: Die Datei C:\WINDOWS\system32\adsntb.exe existiert bei mir nämlich nicht! Soll ich den Rest jetzt trotzdem mal durchexerzieren? Greetz! Tobi |
|
|
|
|
|
|
06.06.2008, 00:42
Ehrenmitglied
Beiträge: 6028 |
||
|
|
|
|
|
06.06.2008, 02:53
Member
Themenstarter Beiträge: 11 |
#5
Und nochmals servus!
Sooo, hier erst mal der mbam-log: Malwarebytes' Anti-Malware 1.15 Datenbank Version: 830 02:20:43 06.06.2008 mbam-log-6-6-2008 (02-20-43).txt Scan Art: Komplett Scan (C:\|D:\|) Objekte gescannt: 123310 Scan Dauer: 52 minute(s), 38 second(s) Infizierte Speicher Prozesse: 0 Infizierte Speicher Module: 1 Infizierte Registrierungsschlüssel: 3 Infizierte Registrierungswerte: 1 Infizierte Datei Objekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 1 Infizierte Speicher Prozesse: (Keine Malware Objekte gefunden) Infizierte Speicher Module: C:\WINDOWS\system32\geBuSMda.dll (Trojan.Vundo) -> Unloaded module successfully. Infizierte Registrierungsschlüssel: HKEY_CLASSES_ROOT\CLSID\{c83f6149-4782-4dab-a478-96f195a376a2} (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{c83f6149-4782-4dab-a478-96f195a376a2} (Trojan.Vundo) -> Delete on reboot. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\gebusmda (Trojan.Vundo) -> Quarantined and deleted successfully. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{c83f6149-4782-4dab-a478-96f195a376a2} (Trojan.Vundo) -> Quarantined and deleted successfully. Infizierte Datei Objekte der Registrierung: (Keine Malware Objekte gefunden) Infizierte Verzeichnisse: (Keine Malware Objekte gefunden) Infizierte Dateien: C:\WINDOWS\system32\geBuSMda.dll (Trojan.Vundo) -> Delete on reboot. Der combofix-log: ComboFix 08-06-05.3 - Tobias Härtling 2008-06-06 2:34:56.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.695 [GMT 2:00] ausgeführt von:: C:\Dokumente und Einstellungen\Tobias Härtling\Desktop\ComboFix.exe * Neuer Wiederherstellungspunkt wurde erstellt [color=red]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/color] . (((((((((((((((((((((((((((((((((((( Weitere Löschungen )))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\system32\lsprst7.dll . ((((((((((((((((((((((( Dateien erstellt von 2008-05-06 bis 2008-06-06 )))))))))))))))))))))))))))))) . 2008-06-06 01:01 . 2008-06-06 01:03 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware 2008-06-06 01:01 . 2008-06-06 01:01 <DIR> d-------- C:\Dokumente und Einstellungen\Tobias Härtling\Anwendungsdaten\Malwarebytes 2008-06-06 01:01 . 2008-06-06 01:01 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes 2008-06-06 01:01 . 2008-06-05 16:04 34,296 --a------ C:\WINDOWS\system32\drivers\mbamcatchme.sys 2008-06-06 01:01 . 2008-06-05 16:04 15,864 --a------ C:\WINDOWS\system32\drivers\mbam.sys . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-06-06 00:21 --------- d-----w C:\Dokumente und Einstellungen\Tobias Härtling\Anwendungsdaten\FRITZ! 2008-05-30 18:08 --------- d-----w C:\Programme\Avira 2008-05-22 15:15 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira 2008-04-23 16:47 --------- d-----w C:\Programme\Sygate 2008-04-23 16:47 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard 2008-04-23 16:46 7,538,176 ----a-w C:\Programme\spf.exe 2008-04-23 03:30 22,322,568 ----a-w C:\Programme\antivir_workstation_winu_de_h.exe 2008-04-17 10:26 499,712 ----a-w C:\WINDOWS\system32\msvcp71.dll 2008-04-17 10:26 --------- d-----w C:\Programme\Gemeinsame Dateien\xing shared 2008-04-17 10:26 --------- d-----w C:\Programme\Gemeinsame Dateien\Real 2008-04-17 10:23 --------- d-----w C:\Programme\Real 2008-04-08 04:50 --------- d-----w C:\Programme\Google 2008-03-20 08:03 1,845,376 ----a-w C:\WINDOWS\system32\win32k.sys 2007-10-21 13:10 6,550,992 ----a-w C:\Programme\Opera_9.24_International_Setup.exe 2007-10-03 20:46 4,646,819 ----a-w C:\Programme\TotalMovieConverter.exe 2007-10-02 15:47 17,076,509 ----a-w C:\Programme\Nessus-3.0.6.1.exe 2007-08-13 21:19 881,568 ----a-w C:\Programme\Google Updater.exe 2007-08-03 23:10 242,482 ----a-w C:\Programme\NetInstallEuroPoker.exe 2007-03-26 18:58 1,410,680 ----a-w C:\Programme\install_flash_player.exe 2007-01-15 18:47 14,994,392 ----a-w C:\Programme\GoogleEarthWin_4.2722.exe 2006-11-15 17:42 5,700,136 ----a-w C:\Programme\Firefox Setup 2.0.exe 2006-11-06 17:49 10,221,895 ----a-w C:\Programme\vlc-0.8.6-test1-win32.exe 2005-11-23 11:57 1,016,160 ----a-w C:\Programme\Windows-KB890830-V1.10-DEU.exe 2005-06-01 18:21 3,418,015 ----a-w C:\Programme\tgf_full_069.zip 2006-10-23 22:20 3,645,952 ----a-w C:\Programme\mozilla firefox\plugins\libvlc.dll . (((((((((((((((((((((((((((( Autostart Punkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt. [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "DayDisplay"="C:\Programme\DayDisplay\DayDisplay.exe" [2003-02-23 17:26 207360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2004-10-29 17:50 4620288] "Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 23:16 39792] "TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2008-04-17 12:26 185896] "SmcService"="C:\PROGRA~1\Sygate\SPF\smc.exe" [2004-02-24 16:35 2372760] "avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-12 10:06 262401] "QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2004-12-30 16:34 77824] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-05 14:00 15360] C:\Dokumente und Einstellungen\Tobias H„rtling\Startmen\Programme\Autostart\ FRITZ!DSL Protect.lnk - C:\Programme\FRITZ!DSL\FwebProt.exe [2006-10-31 02:33:16 917504] Hardcopy.LNK - C:\Programme\Hardcopy\hardcopy.exe [2005-09-21 17:24:02 1122304] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer] "NoSMHelp"= 01000000 "NoRecentDocsNetHood"= 01000000 [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa] WinUpdate REG_SZ C:\WINDOWS\system32\adsntb.exe [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk] path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk backup=C:\WINDOWS\pss\Adobe Reader - Schnellstart.lnkCommon Startup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^InterVideo WinCinema Manager.lnk] path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\InterVideo WinCinema Manager.lnk backup=C:\WINDOWS\pss\InterVideo WinCinema Manager.lnkCommon Startup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^ISDN Guard.lnk] path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\ISDN Guard.lnk backup=C:\WINDOWS\pss\ISDN Guard.lnkCommon Startup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^TK-Suite Client.lnk] path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\TK-Suite Client.lnk backup=C:\WINDOWS\pss\TK-Suite Client.lnkCommon Startup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Tobias Härtling^Startmenü^Programme^Autostart^FRITZ!DSL Internet.lnk] path=C:\Dokumente und Einstellungen\Tobias Härtling\Startmenü\Programme\Autostart\FRITZ!DSL Internet.lnk backup=C:\WINDOWS\pss\FRITZ!DSL Internet.lnkStartup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Tobias Härtling^Startmenü^Programme^Autostart^FRITZ!DSL Protect.lnk] path=C:\Dokumente und Einstellungen\Tobias Härtling\Startmenü\Programme\Autostart\FRITZ!DSL Protect.lnk backup=C:\WINDOWS\pss\FRITZ!DSL Protect.lnkStartup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Tobias Härtling^Startmenü^Programme^Autostart^FRITZ!DSL Startcenter.lnk] path=C:\Dokumente und Einstellungen\Tobias Härtling\Startmenü\Programme\Autostart\FRITZ!DSL Startcenter.lnk backup=C:\WINDOWS\pss\FRITZ!DSL Startcenter.lnkStartup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BirthdayRemember6] C:\Programme\BirthdayRemember\BirthdayRemember.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ctfmon.exe] --a------ 2004-08-05 14:00 15360 C:\WINDOWS\system32\ctfmon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DayDisplay] --a------ 2003-02-23 17:26 207360 C:\Programme\DayDisplay\DayDisplay.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\InCD] --a------ 2004-10-18 14:14 1315840 C:\Programme\Ahead\InCD\InCD.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IncrediMail] --a------ 2007-10-09 13:02 208946 C:\Programme\IncrediMail\bin\IncMail.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] C:\WINDOWS\system32\dumprep 0 -k [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\mmtask] C:\Programme\Musicmatch\Musicmatch Jukebox\mmtask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck] --a------ 2001-07-09 11:50 155648 C:\WINDOWS\system32\NeroCheck.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nForce Tray Options] -ra------ 2002-11-13 09:34 73728 C:\WINDOWS\system32\sstray.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon] --a------ 2004-10-29 17:50 4620288 C:\WINDOWS\system32\NvCpl.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter] --a------ 2004-10-29 17:50 86016 C:\WINDOWS\system32\NvMcTray.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz] --a------ 2004-10-29 17:50 921600 C:\WINDOWS\system32\nwiz.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] --a------ 2004-12-30 16:34 77824 C:\Programme\QuickTime\qttask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] --a------ 2006-10-12 04:10 49263 C:\Programme\Java\jre1.5.0_09\bin\jusched.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "C:\\WINDOWS\\system32\\sessmgr.exe"= "C:\\Programme\\IncrediMail\\bin\\IMApp.exe"= "C:\\Programme\\IncrediMail\\bin\\IncMail.exe"= "C:\\Programme\\IncrediMail\\bin\\ImLc.exe"= "C:\\Programme\\IncrediMail\\bin\\ImpCnt.exe"= "C:\\Programme\\FRITZ!DSL\\IGDCTRL.EXE"= "C:\\Programme\\IncrediMail\\incredimail_install.exe"= "C:\\Programme\\eMule\\emule.exe"= "C:\\Programme\\IncrediMail\\incredimail_install_okt.07.exe"= "C:\\Programme\\SPSSInc\\SPSS16DE\\spss.com"= "C:\\Programme\\SPSSInc\\SPSS16DE\\SPSSWinWrapIDE.exe"= "C:\\Programme\\SPSSInc\\SPSS16DE\\spss.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "50053:TCP"= 50053:TCP:127.0.0.1 "20680:UDP"= 20680:UDP:127.0.0.1 "49854:TCP"= 49854:TCP:eMule R0 Si3112r;Silicon Image SiI 3112 SATARaid Controller;C:\WINDOWS\system32\DRIVERS\si3112r.sys [2002-10-16 04:57] R2 Tenable Nessus;Tenable Nessus;C:\Programme\Tenable\Nessus\nessusd.exe [2007-07-27 16:01] *Newly Created Service* - CATCHME . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-06-06 02:37:01 Windows 5.1.2600 Service Pack 2 NTFS Scanne versteckte Prozesse... Scanne versteckte Autostart Einträge... Scanne versteckte Dateien... ************************************************************************** . Zeit der Fertigstellung: 2008-06-06 2:40:16 ComboFix-quarantined-files.txt 2008-06-06 00:39:13 7 Verzeichnis(se), 11,916,230,656 Bytes frei 9 Verzeichnis(se), 12,032,679,936 Bytes frei 155 --- E O F --- 2008-04-09 07:10:33 Und noch der neue hijack-log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 02:44:15, on 06.06.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Ahead\InCD\InCDsrv.exe C:\Programme\Sygate\SPF\smc.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\FRITZ!DSL\IGDCTRL.EXE C:\Programme\Executive Software\Diskeeper\DkService.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Tenable\Nessus\nessusd.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\DayDisplay\DayDisplay.exe C:\Programme\Hardcopy\hardcopy.exe C:\WINDOWS\system32\notepad.exe C:\WINDOWS\explorer.exe C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE C:\Programme\HijackThis\HiJackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mystart.incredimail.com/german R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKCU\..\Run: [DayDisplay] C:\Programme\DayDisplay\DayDisplay.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: FRITZ!DSL Protect.lnk = C:\Programme\FRITZ!DSL\FwebProt.exe O4 - Startup: Hardcopy.LNK = C:\Programme\Hardcopy\hardcopy.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Programme\Executive Software\Diskeeper\DkService.exe O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe O23 - Service: InCD Helper (read only) (InCDsrvR) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe O23 - Service: Tenable Nessus - Tenable Network Security - C:\Programme\Tenable\Nessus\nessusd.exe O23 - Service: Windows Media Player-Netzwerkfreigabedienst (WMPNetworkSvc) - Unknown owner - C:\Programme\Windows Media Player\WMPNetwk.exe (file missing) -- End of file - 5243 bytes Also ich bekomme jetzt keine Antivir-Meldungen mehr rein. Scheint alles wieder ok zu sein! Schon mal vielen, vielen Dank dafür!!!!!!!!! Das hätte ich alleine nie hingekriegt! Greetz! Tobi |
|
|
|
|
|
|
06.06.2008, 10:21
Ehrenmitglied
 Beiträge: 29434 |
#6
hugodepayns
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als cfscript.txt mit 'Speichern unter' auf dem Desktop. Gib an "Alle Dateien" - Speichern  Zitat Registry::Man sollte jetzt auf dem Desktop diese Datei cfscript.txt finden. cfscript.txt und mit der rechten Maustaste auf das Symbol von Combofix ziehen  danach: Combofix noch einmal anwenden +poste das neue Log von Combofix --------------------------- adsntb.exe Troj/Clunky-A backdoor trojan. Volume Shadow Copy VSSWebClient Um die Diensteverwaltung explizit aufzurufen, eingeben unter: Start - Ausführen : services.msc suche einen Dienst: Service Name: VSSWebClient Service Display Name: Volume Shadow Copy VSSWebClient falls du ihn findest, schreib es mir, dann deaktivieren ------------------------- «« lade sdfix, boote in den abgesicherten Modus, scanne wieder im normalmodus, poste den report http://virus-protect.org/artikel/tools/sdfix.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
06.06.2008, 19:27
Member
Themenstarter Beiträge: 11 |
#7
Servus!
Also... bin mir nicht sicher, ob das alles so stimmt, deswegen eins nach dem anderen: - unten dran setze ich erst mal den neuen combofix-log - Folgendes Zitat hast Du mit Rot hervorgehoben. Soll ich damit irgendwas machen? adsntb.exe Troj/Clunky-A backdoor trojan. Volume Shadow Copy VSSWebClient - Ich habe auch nach den Diensten geschaut. gefunden habe ich: * Volumenschattenkopie (steht auf manuell) * WebClient (steht auf automatisch und läuft) Meinst Du da was von? Bin mir nicht sicher, weil auch kein VSS davor steht. Weiter hab ich jetzt erst mal nix gemacht und warte auf Nachricht. Greetz! Tobi ComboFix 08-06-05.3 - Tobias Härtling 2008-06-06 18:39:30.2 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.678 [GMT 2:00] ausgeführt von:: C:\Programme\HijackThis\ComboFix\ComboFix.exe Command switches used :: C:\Dokumente und Einstellungen\Tobias Härtling\Desktop\cfscript.txt * Neuer Wiederherstellungspunkt wurde erstellt [color=red]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/color] FILE :: C:\WINDOWS\system32\adsntb.exe . ((((((((((((((((((((((( Dateien erstellt von 2008-05-06 bis 2008-06-06 )))))))))))))))))))))))))))))) . 2008-06-06 03:14 . 2008-06-06 03:14 <DIR> d-------- C:\Programme\SUPERAntiSpyware 2008-06-06 03:14 . 2008-06-06 03:14 <DIR> d-------- C:\Dokumente und Einstellungen\Tobias Härtling\Anwendungsdaten\SUPERAntiSpyware.com 2008-06-06 03:14 . 2008-06-06 03:14 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com 2008-06-06 03:13 . 2008-06-06 03:13 6,467,096 --a------ C:\Programme\SUPERAntiSpyware.exe 2008-06-06 01:01 . 2008-06-06 01:03 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware 2008-06-06 01:01 . 2008-06-06 01:01 <DIR> d-------- C:\Dokumente und Einstellungen\Tobias Härtling\Anwendungsdaten\Malwarebytes 2008-06-06 01:01 . 2008-06-06 01:01 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes 2008-06-06 01:01 . 2008-06-05 16:04 34,296 --a------ C:\WINDOWS\system32\drivers\mbamcatchme.sys 2008-06-06 01:01 . 2008-06-05 16:04 15,864 --a------ C:\WINDOWS\system32\drivers\mbam.sys . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-06-06 01:13 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard 2008-05-30 18:08 --------- d-----w C:\Programme\Avira 2008-05-22 15:15 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira 2008-04-23 16:47 --------- d-----w C:\Programme\Sygate 2008-04-23 16:46 7,538,176 ----a-w C:\Programme\spf.exe 2008-04-23 03:30 22,322,568 ----a-w C:\Programme\antivir_workstation_winu_de_h.exe 2008-04-17 10:26 499,712 ----a-w C:\WINDOWS\system32\msvcp71.dll 2008-04-17 10:26 --------- d-----w C:\Programme\Gemeinsame Dateien\xing shared 2008-04-17 10:26 --------- d-----w C:\Programme\Gemeinsame Dateien\Real 2008-04-17 10:23 --------- d-----w C:\Programme\Real 2008-04-08 04:50 --------- d-----w C:\Programme\Google 2008-03-20 08:03 1,845,376 ----a-w C:\WINDOWS\system32\win32k.sys 2007-10-21 13:10 6,550,992 ----a-w C:\Programme\Opera_9.24_International_Setup.exe 2007-10-03 20:46 4,646,819 ----a-w C:\Programme\TotalMovieConverter.exe 2007-10-02 15:47 17,076,509 ----a-w C:\Programme\Nessus-3.0.6.1.exe 2007-08-13 21:19 881,568 ----a-w C:\Programme\Google Updater.exe 2007-08-03 23:10 242,482 ----a-w C:\Programme\NetInstallEuroPoker.exe 2007-03-26 18:58 1,410,680 ----a-w C:\Programme\install_flash_player.exe 2007-01-15 18:47 14,994,392 ----a-w C:\Programme\GoogleEarthWin_4.2722.exe 2006-11-15 17:42 5,700,136 ----a-w C:\Programme\Firefox Setup 2.0.exe 2006-11-06 17:49 10,221,895 ----a-w C:\Programme\vlc-0.8.6-test1-win32.exe 2005-11-23 11:57 1,016,160 ----a-w C:\Programme\Windows-KB890830-V1.10-DEU.exe 2005-06-01 18:21 3,418,015 ----a-w C:\Programme\tgf_full_069.zip 2006-10-23 22:20 3,645,952 ----a-w C:\Programme\mozilla firefox\plugins\libvlc.dll . (((((((((((((((((((((((((((( Autostart Punkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt. [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "DayDisplay"="C:\Programme\DayDisplay\DayDisplay.exe" [2003-02-23 17:26 207360] "SUPERAntiSpyware"="C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2008-05-28 10:33 1506544] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2004-10-29 17:50 4620288] "Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 23:16 39792] "TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2008-04-17 12:26 185896] "SmcService"="C:\PROGRA~1\Sygate\SPF\smc.exe" [2004-02-24 16:35 2372760] "avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-12 10:06 262401] "QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2004-12-30 16:34 77824] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-05 14:00 15360] C:\Dokumente und Einstellungen\Tobias H„rtling\Startmen\Programme\Autostart\ FRITZ!DSL Protect.lnk - C:\Programme\FRITZ!DSL\FwebProt.exe [2006-10-31 02:33:16 917504] Hardcopy.LNK - C:\Programme\Hardcopy\hardcopy.exe [2005-09-21 17:24:02 1122304] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer] "NoSMHelp"= 01000000 "NoRecentDocsNetHood"= 01000000 [hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks] "{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= C:\Programme\SUPERAntiSpyware\SASSEH.DLL [2008-05-13 10:13 77824] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon] C:\Programme\SUPERAntiSpyware\SASWINLO.dll 2007-04-19 13:41 294912 C:\Programme\SUPERAntiSpyware\SASWINLO.dll [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa] WinUpdate REG_SZ C:\WINDOWS\system32\adsntb.exe [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk] path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk backup=C:\WINDOWS\pss\Adobe Reader - Schnellstart.lnkCommon Startup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^InterVideo WinCinema Manager.lnk] path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\InterVideo WinCinema Manager.lnk backup=C:\WINDOWS\pss\InterVideo WinCinema Manager.lnkCommon Startup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^ISDN Guard.lnk] path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\ISDN Guard.lnk backup=C:\WINDOWS\pss\ISDN Guard.lnkCommon Startup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^TK-Suite Client.lnk] path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\TK-Suite Client.lnk backup=C:\WINDOWS\pss\TK-Suite Client.lnkCommon Startup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Tobias Härtling^Startmenü^Programme^Autostart^FRITZ!DSL Internet.lnk] path=C:\Dokumente und Einstellungen\Tobias Härtling\Startmenü\Programme\Autostart\FRITZ!DSL Internet.lnk backup=C:\WINDOWS\pss\FRITZ!DSL Internet.lnkStartup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Tobias Härtling^Startmenü^Programme^Autostart^FRITZ!DSL Protect.lnk] path=C:\Dokumente und Einstellungen\Tobias Härtling\Startmenü\Programme\Autostart\FRITZ!DSL Protect.lnk backup=C:\WINDOWS\pss\FRITZ!DSL Protect.lnkStartup [HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Tobias Härtling^Startmenü^Programme^Autostart^FRITZ!DSL Startcenter.lnk] path=C:\Dokumente und Einstellungen\Tobias Härtling\Startmenü\Programme\Autostart\FRITZ!DSL Startcenter.lnk backup=C:\WINDOWS\pss\FRITZ!DSL Startcenter.lnkStartup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BirthdayRemember6] C:\Programme\BirthdayRemember\BirthdayRemember.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ctfmon.exe] --a------ 2004-08-05 14:00 15360 C:\WINDOWS\system32\ctfmon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DayDisplay] --a------ 2003-02-23 17:26 207360 C:\Programme\DayDisplay\DayDisplay.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\InCD] --a------ 2004-10-18 14:14 1315840 C:\Programme\Ahead\InCD\InCD.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IncrediMail] --a------ 2007-10-09 13:02 208946 C:\Programme\IncrediMail\bin\IncMail.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] C:\WINDOWS\system32\dumprep 0 -k [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\mmtask] C:\Programme\Musicmatch\Musicmatch Jukebox\mmtask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck] --a------ 2001-07-09 11:50 155648 C:\WINDOWS\system32\NeroCheck.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nForce Tray Options] -ra------ 2002-11-13 09:34 73728 C:\WINDOWS\system32\sstray.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon] --a------ 2004-10-29 17:50 4620288 C:\WINDOWS\system32\NvCpl.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter] --a------ 2004-10-29 17:50 86016 C:\WINDOWS\system32\NvMcTray.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz] --a------ 2004-10-29 17:50 921600 C:\WINDOWS\system32\nwiz.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] --a------ 2004-12-30 16:34 77824 C:\Programme\QuickTime\qttask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] --a------ 2006-10-12 04:10 49263 C:\Programme\Java\jre1.5.0_09\bin\jusched.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "C:\\WINDOWS\\system32\\sessmgr.exe"= "C:\\Programme\\IncrediMail\\bin\\IMApp.exe"= "C:\\Programme\\IncrediMail\\bin\\IncMail.exe"= "C:\\Programme\\IncrediMail\\bin\\ImLc.exe"= "C:\\Programme\\IncrediMail\\bin\\ImpCnt.exe"= "C:\\Programme\\FRITZ!DSL\\IGDCTRL.EXE"= "C:\\Programme\\IncrediMail\\incredimail_install.exe"= "C:\\Programme\\eMule\\emule.exe"= "C:\\Programme\\IncrediMail\\incredimail_install_okt.07.exe"= "C:\\Programme\\SPSSInc\\SPSS16DE\\spss.com"= "C:\\Programme\\SPSSInc\\SPSS16DE\\SPSSWinWrapIDE.exe"= "C:\\Programme\\SPSSInc\\SPSS16DE\\spss.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "50053:TCP"= 50053:TCP:127.0.0.1 "20680:UDP"= 20680:UDP:127.0.0.1 "49854:TCP"= 49854:TCP:eMule R0 Si3112r;Silicon Image SiI 3112 SATARaid Controller;C:\WINDOWS\system32\DRIVERS\si3112r.sys [2002-10-16 04:57] R2 Tenable Nessus;Tenable Nessus;C:\Programme\Tenable\Nessus\nessusd.exe [2007-07-27 16:01] . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-06-06 18:41:23 Windows 5.1.2600 Service Pack 2 NTFS Scanne versteckte Prozesse... Scanne versteckte Autostart Einträge... Scanne versteckte Dateien... ************************************************************************** . Zeit der Fertigstellung: 2008-06-06 18:44:14 ComboFix-quarantined-files.txt 2008-06-06 16:43:11 7 Verzeichnis(se), 11,936,219,136 Bytes frei 9 Verzeichnis(se), 11,927,887,872 Bytes frei 161 --- E O F --- 2008-04-09 07:10:33 |
|
|
|
|
|
|
06.06.2008, 20:22
Ehrenmitglied
Beiträge: 29434 |
#8
Hallo,
Öffne notepad (editor) Unter Start/Ausführen den Befehl: notepad eingeben,bestätigen,dann erscheint ein texteditor. Oder unter Start/Programme/Zubehör/Editor kopiere diesen Code rein: Zitat reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa" >RegQuery.txtSpeichere die Datei als Fix.bat auf Desktop Doppelklick auf die Datei Fix.bat, dann wird eine RegQuery.txt Datei erstellt,den Inhalt hier posten ------------ 2- lade LSA.zip , wende an+ poste das log http://virus-protect.org/lsa.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
07.06.2008, 15:36
Member
Themenstarter Beiträge: 11 |
#9
Servus!
erst mal sorry. dass ich mich jetzt erst melde! War gestern fast den gesamten Tag unterwegs. Unten jetzt die gewünschten logs. fix.bat-log: ! REG.EXE VERSION 3.0 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa Authentication Packages REG_MULTI_SZ msv1_0\0\0 Bounds REG_BINARY 0030000000200000 Security Packages REG_MULTI_SZ kerberos\0msv1_0\0schannel\0wdigest\0\0 ImpersonatePrivilegeUpgradeToolHasRun REG_DWORD 0x1 LsaPid REG_DWORD 0x2e0 SecureBoot REG_DWORD 0x1 auditbaseobjects REG_DWORD 0x0 crashonauditfail REG_DWORD 0x0 disabledomaincreds REG_DWORD 0x0 everyoneincludesanonymous REG_DWORD 0x0 fipsalgorithmpolicy REG_DWORD 0x0 forceguest REG_DWORD 0x1 fullprivilegeauditing REG_BINARY 00 limitblankpassworduse REG_DWORD 0x1 lmcompatibilitylevel REG_DWORD 0x0 nodefaultadminowner REG_DWORD 0x1 nolmhash REG_DWORD 0x0 restrictanonymous REG_DWORD 0x0 restrictanonymoussam REG_DWORD 0x1 Notification Packages REG_MULTI_SZ scecli\0\0 WinUpdate REG_SZ C:\WINDOWS\system32\adsntb.exe enabledcom REG_SZ y HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\AccessProviders HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Data HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\GBG HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\JD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Skew1 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SSO HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache lsa-log: Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa] "Authentication Packages"=hex(7):6d,00,73,00,76,00,31,00,5f,00,30,00,00,00,00,\ 00 "Bounds"=hex:00,30,00,00,00,20,00,00 "Security Packages"=hex(7):6b,00,65,00,72,00,62,00,65,00,72,00,6f,00,73,00,00,\ 00,6d,00,73,00,76,00,31,00,5f,00,30,00,00,00,73,00,63,00,68,00,61,00,6e,00,\ 6e,00,65,00,6c,00,00,00,77,00,64,00,69,00,67,00,65,00,73,00,74,00,00,00,00,\ 00 "ImpersonatePrivilegeUpgradeToolHasRun"=dword:00000001 "LsaPid"=dword:000002e0 "SecureBoot"=dword:00000001 "auditbaseobjects"=dword:00000000 "crashonauditfail"=dword:00000000 "disabledomaincreds"=dword:00000000 "everyoneincludesanonymous"=dword:00000000 "fipsalgorithmpolicy"=dword:00000000 "forceguest"=dword:00000001 "fullprivilegeauditing"=hex:00 "limitblankpassworduse"=dword:00000001 "lmcompatibilitylevel"=dword:00000000 "nodefaultadminowner"=dword:00000001 "nolmhash"=dword:00000000 "restrictanonymous"=dword:00000000 "restrictanonymoussam"=dword:00000001 "Notification Packages"=hex(7):73,00,63,00,65,00,63,00,6c,00,69,00,00,00,00,00 "WinUpdate"="C:\\WINDOWS\\system32\\adsntb.exe" "enabledcom"="y" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\AccessProviders] "ProviderOrder"=hex(7):57,00,69,00,6e,00,64,00,6f,00,77,00,73,00,20,00,4e,00,\ 54,00,20,00,41,00,63,00,63,00,65,00,73,00,73,00,20,00,50,00,72,00,6f,00,76,\ 00,69,00,64,00,65,00,72,00,00,00,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\AccessProviders\Windows NT Access Provider] "ProviderPath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 6e,00,74,00,6d,00,61,00,72,00,74,00,61,00,2e,00,64,00,6c,00,6c,00,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit\PerUserAuditing] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit\PerUserAuditing\System] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Data] "Pattern"=hex:e0,42,26,d0,54,33,dd,84,82,a3,2f,02,c2,fd,98,49,39,31,38,66,36,\ 65,35,31,00,fd,07,00,fc,02,00,00,34,fa,07,00,56,82,46,75,20,fa,07,00,40,fd,\ 07,00,4c,fd,07,00,4c,38,92,c1,86,5f,8f,40,25,5d,f1,91 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\GBG] "GrafBlumGroup"=hex:1c,93,31,0c,3c,3f,75,81,a8 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\JD] "Lookup"=hex:6b,c8,5d,bf,12,f7 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Domains] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\SidCache] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0] "Auth132"="IISSUBA" "ntlmminclientsec"=dword:00000000 "ntlmminserversec"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Skew1] "SkewMatrix"=hex:13,7e,ec,76,25,54,2f,92,84,c6,63,0d,5f,26,35,81 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SSO] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SSO\Passport1.4] "SSOURL"="http://www.passport.com" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache] "Time"=hex:50,37,c1,98,46,92,c1,01 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache\digest.dll] "Name"="Digest" "Comment"="Digest SSPI Authentication Package" "Capabilities"=dword:00004050 "RpcId"=dword:0000ffff "Version"=dword:00000001 "TokenSize"=dword:0000ffff "Time"=hex:00,a0,ca,bb,e3,7a,c4,01 "Type"=dword:00000031 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache\msapsspc.dll] "Name"="DPA" "Comment"="DPA Security Package" "Capabilities"=dword:00000037 "RpcId"=dword:00000011 "Version"=dword:00000001 "TokenSize"=dword:00000300 "Time"=hex:00,a0,ca,bb,e3,7a,c4,01 "Type"=dword:00000031 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache\msnsspc.dll] "Name"="MSN" "Comment"="MSN Security Package" "Capabilities"=dword:00000037 "RpcId"=dword:00000012 "Version"=dword:00000001 "TokenSize"=dword:00000300 "Time"=hex:00,a0,ca,bb,e3,7a,c4,01 "Type"=dword:00000031 |
|
|
|
|
|
|
07.06.2008, 15:59
Ehrenmitglied
Beiträge: 29434 |
#10
Hallo hugodepayns
ich hab den Übeltäter schon ausfindig gemacht, brauche aber noch ein log - siehe:find_Stuff.zip http://virus-protect.org/registry_stuff.html ------------------------------------------------------------ ist für mich Zitat http://www.avira.com/de/threats/section/fulldetails/id_vir/3412/tr_dldr.ibill.b.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
07.06.2008, 16:14
Member
Themenstarter Beiträge: 11 |
#11
Nochmals servus!
Respekt, Respekt, Respekt! Für Dich scheint es aber auch kein Wochenende zu geben! Naja, irgendwo her müssen die knapp 28.000 Einträge ja kommen! ;-) Greetz! Tobi doesn't exist HKEY_LOCAL_MACHINE\SSYSTEM\CurrentControlSet\Services\windowsnetwork doesn't exist HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanworkstation\parameters ----------------------- ----------------------- REGEDIT4 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess] "DependOnGroup"=hex(7):00 "DependOnService"=hex(7):4e,65,74,6d,61,6e,00,57,69,6e,4d,67,6d,74,00,00 "Description"="Bietet allen Computern in Heim- und kleinen Firmennetzwerken Dienste für die Netzwerkadressübersetzung, Adressierung, Namensauflösung und Eindringsschutz." "DisplayName"="Windows-Firewall/Gemeinsame Nutzung der Internetverbindung" "ErrorControl"=dword:00000001 "ImagePath"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,53,79,73,74,65,6d,33,\ 32,5c,73,76,63,68,6f,73,74,2e,65,78,65,20,2d,6b,20,6e,65,74,73,76,63,73,00 "ObjectName"="LocalSystem" "Start"=dword:00000002 "Type"=dword:00000020 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch] "Epoch"=dword:00002cd8 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters] "ServiceDll"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,53,79,73,74,65,6d,\ 33,32,5c,69,70,6e,61,74,68,6c,70,2e,64,6c,6c,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] "EnableFirewall"=dword:00000000 "DoNotAllowExceptions"=dword:00000000 "DisableNotifications"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] "C:\\WINDOWS\\system32\\sessmgr.exe"="C:\\WINDOWS\\system32\\sessmgr.exe:*  isabled:@xpsp2res.dll,-22019""C:\\Programme\\IncrediMail\\bin\\IMApp.exe"="C:\\Programme\\IncrediMail\\bin\\IMApp.exe:*:Enabled:IncrediMail" "C:\\Programme\\IncrediMail\\bin\\IncMail.exe"="C:\\Programme\\IncrediMail\\bin\\IncMail.exe:*:Enabled:IncrediMail" "C:\\Programme\\IncrediMail\\bin\\ImLc.exe"="C:\\Programme\\IncrediMail\\bin\\ImLc.exe:*:Enabled:IncrediMail" "C:\\Programme\\IncrediMail\\bin\\ImpCnt.exe"="C:\\Programme\\IncrediMail\\bin\\ImpCnt.exe:*:Enabled:IncrediMail" "C:\\Programme\\FRITZ!DSL\\IGDCTRL.EXE"="C:\\Programme\\FRITZ!DSL\\IGDCTRL.EXE:*:Enabled:FRITZ!DSL - igdctrl.exe" "C:\\Programme\\IncrediMail\\incredimail_install.exe"="C:\\Programme\\IncrediMail\\incredimail_install.exe:*:Enabled:IncrediMail Installer" "C:\\Programme\\eMule\\emule.exe"="C:\\Programme\\eMule\\emule.exe:*:Enabled:eMule" "C:\\Programme\\IncrediMail\\incredimail_install_okt.07.exe"="C:\\Programme\\IncrediMail\\incredimail_install_okt.07.exe:*:Enabled:IncrediMail Installer" "C:\\Programme\\SPSSInc\\SPSS16DE\\spss.com"="C:\\Programme\\SPSSInc\\SPSS16DE\\spss.com:* isabled:SPSS 16.0 für Windows (1031:com)""C:\\Programme\\SPSSInc\\SPSS16DE\\SPSSWinWrapIDE.exe"="C:\\Programme\\SPSSInc\\SPSS16DE\\SPSSWinWrapIDE.exe:* isabled:SPSS Basic Script Editor (1031)""C:\\Programme\\SPSSInc\\SPSS16DE\\spss.exe"="C:\\Programme\\SPSSInc\\SPSS16DE\\spss.exe:* isabled:SPSS 16.0 für Windows (1031:exe)"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List] "50053:TCP"="50053:TCP:*:Enabled:127.0.0.1 " "20680:UDP"="20680:UDP:*:Enabled:127.0.0.1 " "49854:TCP"="49854:TCP:*:Enabled:eMule" "1900:UDP"="1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007" "2869:TCP"="2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup] "ServiceUpgrade"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup\InterfacesUnfirewalledAtUpdate] "All"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Enum] "0"="Root\\LEGACY_SHAREDACCESS\\0000" "Count"=dword:00000001 "NextInstance"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\System] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc] "Type"=dword:00000020 "Start"=dword:00000002 "ErrorControl"=dword:00000001 "ImagePath"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,53,79,73,74,65,6d,33,\ 32,5c,73,76,63,68,6f,73,74,2e,65,78,65,20,2d,6b,20,6e,65,74,73,76,63,73,00 "DisplayName"="Sicherheitscenter" "DependOnService"=hex(7):52,70,63,53,73,00,77,69,6e,6d,67,6d,74,00,00 "ObjectName"="LocalSystem" "Description"="Überwacht Systemsicherheitseinstellungen und -konfigurationen." "DependOnGroup"=hex(7):00 "Group"="" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters] "ServiceDll"=hex(2):25,53,59,53,54,45,4d,52,4f,4f,54,25,5c,73,79,73,74,65,6d,\ 33,32,5c,77,73,63,73,76,63,2e,64,6c,6c,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Security] "Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\ 00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\ 00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\ 05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\ 20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\ 00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\ 00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum] "0"="Root\\LEGACY_WSCSVC\\0000" "Count"=dword:00000001 "NextInstance"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters] [HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Control\Lsa] "WinUpdate"="C:\\WINDOWS\\system32\\adsntb.exe" [HKEY_CURRENT_USER\Software\Microsoft\OLE] "WinUpdate"="C:\\WINDOWS\\system32\\adsntb.exe" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Messenger] "ImagePath"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,\ 32,5c,73,76,63,68,6f,73,74,2e,65,78,65,20,2d,6b,20,6e,65,74,73,76,63,73,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Messenger\Parameters] "ServiceDll"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,53,79,73,74,65,6d,\ 33,32,5c,6d,73,67,73,76,63,2e,64,6c,6c,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry] "Description"="Ermöglicht Remotebenutzern, Registrierungseinstellungen dieses Computers zu verändern. Wenn dieser Dienst beendet wird, kann die Registrierung nur von lokalen Benutzern dieses Computers verändert werden. Wenn dieser Dienst deaktiviert wird, werden alle von diesem Dienst explizit abhängigen Dienste nicht gestartet werden können." "DependOnService"=hex(7):52,50,43,53,53,00,00 "DisplayName"="Remote-Registrierung" "ErrorControl"=dword:00000001 "ImagePath"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,\ 32,5c,73,76,63,68,6f,73,74,2e,65,78,65,20,2d,6b,20,4c,6f,63,61,6c,53,65,72,\ 76,69,63,65,00 "ObjectName"="NT AUTHORITY\\LocalService" "Group"="" "Start"=dword:00000002 "Type"=dword:00000020 "FailureActions"=hex:00,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,e0,ad,08,\ 00,01,00,00,00,e8,03,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry\Parameters] "ServiceDll"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,\ 33,32,5c,72,65,67,73,76,63,2e,64,6c,6c,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry\Security] "Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\ 00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\ 00,00,02,00,60,00,04,00,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,\ 05,0b,00,00,00,00,00,18,00,9d,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,\ 23,02,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,20,\ 02,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,05,12,00,00,00,01,01,\ 00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry\Enum] "0"="Root\\LEGACY_REMOTEREGISTRY\\0000" "Count"=dword:00000001 "NextInstance"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TlntSvr] "Type"=dword:00000010 "Start"=dword:00000004 "ErrorControl"=dword:00000001 "ImagePath"=hex(2):43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c,\ 74,6c,6e,74,73,76,72,2e,65,78,65,00 "DisplayName"="Telnet" "DependOnService"=hex(7):52,50,43,53,53,00,54,43,50,49,50,00,4e,54,4c,4d,53,53,\ 50,00,00 "DependOnGroup"=hex(7):00 "ObjectName"="LocalSystem" "Description"=hex(2):45,72,6d,f6,67,6c,69,63,68,74,20,65,69,6e,65,6d,20,52,65,\ 6d,6f,74,65,62,65,6e,75,74,7a,65,72,2c,20,73,69,63,68,20,61,6e,20,64,69,65,\ 73,65,6d,20,43,6f,6d,70,75,74,65,72,20,61,6e,7a,75,6d,65,6c,64,65,6e,20,75,\ 6e,64,20,50,72,6f,67,72,61,6d,6d,65,20,61,75,73,7a,75,66,fc,68,72,65,6e,2e,\ 20,55,6e,74,65,72,73,74,fc,74,7a,74,20,76,65,72,73,63,68,69,65,64,65,6e,65,\ 20,54,43,50,2f,49,50,2d,54,65,6c,6e,65,74,63,6c,69,65,6e,74,73,2c,20,65,69,\ 6e,73,63,68,6c,69,65,df,6c,69,63,68,20,55,4e,49,58,2d,62,61,73,69,65,72,74,\ 65,6e,20,75,6e,64,20,57,69,6e,64,6f,77,73,2d,62,61,73,69,65,72,74,65,6e,20,\ 43,6f,6d,70,75,74,65,72,6e,2e,20,57,65,6e,6e,20,64,69,65,73,65,72,20,44,69,\ 65,6e,73,74,20,61,6e,67,65,68,61,6c,74,65,6e,20,77,69,72,64,2c,20,69,73,74,\ 20,64,65,72,20,52,65,6d,6f,74,65,7a,75,67,72,69,66,66,20,6d,f6,67,6c,69,63,\ 68,65,72,77,65,69,73,65,20,6e,69,63,68,74,20,6d,65,68,72,20,76,65,72,66,fc,\ 67,62,61,72,2e,20,57,65,6e,6e,20,64,69,65,73,65,72,20,44,69,65,6e,73,74,20,\ 64,65,61,6b,74,69,76,69,65,72,74,20,77,69,72,64,2c,20,6b,f6,6e,6e,65,6e,20,\ 61,6c,6c,65,20,44,69,65,6e,73,74,65,2c,20,64,69,65,20,65,78,70,6c,69,7a,69,\ 74,20,76,6f,6e,20,64,69,65,73,65,6d,20,44,69,65,6e,73,74,20,61,62,68,e4,6e,\ 67,65,6e,2c,20,6e,69,63,68,74,20,6d,65,68,72,20,67,65,73,74,61,72,74,65,74,\ 20,77,65,72,64,65,6e,2e,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TlntSvr\Security] "Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\ 00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\ 00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\ 05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\ 20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\ 00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\ 00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate] [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole] "DefaultLaunchPermission"=hex:01,00,04,80,5c,00,00,00,6c,00,00,00,00,00,00,00,\ 14,00,00,00,02,00,48,00,03,00,00,00,00,00,18,00,1f,00,00,00,01,02,00,00,00,\ 00,00,05,20,00,00,00,20,02,00,00,00,00,14,00,0b,00,00,00,01,01,00,00,00,00,\ 00,05,04,00,00,00,00,00,14,00,0b,00,00,00,01,01,00,00,00,00,00,05,12,00,00,\ 00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,01,02,00,00,00,00,00,05,\ 20,00,00,00,20,02,00,00 "MachineLaunchRestriction"=hex:01,00,04,80,48,00,00,00,58,00,00,00,00,00,00,00,\ 14,00,00,00,02,00,34,00,02,00,00,00,00,00,18,00,1f,00,00,00,01,02,00,00,00,\ 00,00,05,20,00,00,00,20,02,00,00,00,00,14,00,0b,00,00,00,01,01,00,00,00,00,\ 00,01,00,00,00,00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,01,02,00,\ 00,00,00,00,05,20,00,00,00,20,02,00,00 "MachineAccessRestriction"=hex:01,00,04,80,44,00,00,00,54,00,00,00,00,00,00,00,\ 14,00,00,00,02,00,30,00,02,00,00,00,00,00,14,00,03,00,00,00,01,01,00,00,00,\ 00,00,05,07,00,00,00,00,00,14,00,07,00,00,00,01,01,00,00,00,00,00,01,00,00,\ 00,00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,01,02,00,00,00,00,00,\ 05,20,00,00,00,20,02,00,00 "EnableDCOM"="Y" "WinUpdate"="C:\\WINDOWS\\system32\\adsntb.exe" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\AppCompat] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\AppCompat\ActivationSecurityCheckExemptionList] "{A50398B8-9075-4FBF-A7A1-456BF21937AD}"="1" "{AD65A69D-3831-40D7-9629-9B0B50A93843}"="1" "{0040D221-54A1-11D1-9DE0-006097042D69}"="1" "{2A6D72F1-6E7E-4702-B99C-E40D3DED33C3}"="1" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\NONREDIST] "System.EnterpriseServices.Thunk.dll"="" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa] "Authentication Packages"=hex(7):6d,73,76,31,5f,30,00,00 "Bounds"=hex:00,30,00,00,00,20,00,00 "Security Packages"=hex(7):6b,65,72,62,65,72,6f,73,00,6d,73,76,31,5f,30,00,73,\ 63,68,61,6e,6e,65,6c,00,77,64,69,67,65,73,74,00,00 "ImpersonatePrivilegeUpgradeToolHasRun"=dword:00000001 "LsaPid"=dword:000002e0 "SecureBoot"=dword:00000001 "auditbaseobjects"=dword:00000000 "crashonauditfail"=dword:00000000 "disabledomaincreds"=dword:00000000 "everyoneincludesanonymous"=dword:00000000 "fipsalgorithmpolicy"=dword:00000000 "forceguest"=dword:00000001 "fullprivilegeauditing"=hex:00 "limitblankpassworduse"=dword:00000001 "lmcompatibilitylevel"=dword:00000000 "nodefaultadminowner"=dword:00000001 "nolmhash"=dword:00000000 "restrictanonymous"=dword:00000000 "restrictanonymoussam"=dword:00000001 "Notification Packages"=hex(7):73,63,65,63,6c,69,00,00 "WinUpdate"="C:\\WINDOWS\\system32\\adsntb.exe" "enabledcom"="y" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\AccessProviders] "ProviderOrder"=hex(7):57,69,6e,64,6f,77,73,20,4e,54,20,41,63,63,65,73,73,20,\ 50,72,6f,76,69,64,65,72,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\AccessProviders\Windows NT Access Provider] "ProviderPath"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,\ 33,32,5c,6e,74,6d,61,72,74,61,2e,64,6c,6c,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit\PerUserAuditing] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit\PerUserAuditing\System] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Data] "Pattern"=hex:e0,42,26,d0,54,33,dd,84,82,a3,2f,02,c2,fd,98,49,39,31,38,66,36,\ 65,35,31,00,fd,07,00,fc,02,00,00,34,fa,07,00,56,82,46,75,20,fa,07,00,40,fd,\ 07,00,4c,fd,07,00,4c,38,92,c1,86,5f,8f,40,25,5d,f1,91 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\GBG] "GrafBlumGroup"=hex:1c,93,31,0c,3c,3f,75,81,a8 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\JD] "Lookup"=hex:6b,c8,5d,bf,12,f7 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Domains] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\SidCache] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0] "Auth132"="IISSUBA" "ntlmminclientsec"=dword:00000000 "ntlmminserversec"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Skew1] "SkewMatrix"=hex:13,7e,ec,76,25,54,2f,92,84,c6,63,0d,5f,26,35,81 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SSO] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SSO\Passport1.4] "SSOURL"="http://www.passport.com" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache] "Time"=hex:50,37,c1,98,46,92,c1,01 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache\digest.dll] "Name"="Digest" "Comment"="Digest SSPI Authentication Package" "Capabilities"=dword:00004050 "RpcId"=dword:0000ffff "Version"=dword:00000001 "TokenSize"=dword:0000ffff "Time"=hex:00,a0,ca,bb,e3,7a,c4,01 "Type"=dword:00000031 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache\msapsspc.dll] "Name"="DPA" "Comment"="DPA Security Package" "Capabilities"=dword:00000037 "RpcId"=dword:00000011 "Version"=dword:00000001 "TokenSize"=dword:00000300 "Time"=hex:00,a0,ca,bb,e3,7a,c4,01 "Type"=dword:00000031 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\SspiCache\msnsspc.dll] "Name"="MSN" "Comment"="MSN Security Package" "Capabilities"=dword:00000037 "RpcId"=dword:00000012 "Version"=dword:00000001 "TokenSize"=dword:00000300 "Time"=hex:00,a0,ca,bb,e3,7a,c4,01 "Type"=dword:00000031 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] "FirstRunDisabled"=dword:00000001 "AntiVirusDisableNotify"=dword:00000000 "FirewallDisableNotify"=dword:00000000 "UpdatesDisableNotify"=dword:00000000 "AntiVirusOverride"=dword:00000000 "FirewallOverride"=dword:00000000 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile] |
|
|
|
|
|
|
07.06.2008, 17:01
Ehrenmitglied
Beiträge: 29434 |
#12
1.
Um die Diensteverwaltung explizit aufzurufen, geben Sie unter Start -- Ausführen den Befehl ein: services.msc deaktiviere; RemoteRegistry Ermöglicht Remotebenutzern, Registrierungseinstellungen dieses Computers zu verändern. Wenn dieser Dienst beendet wird, kann die Registrierung nur von lokalen Benutzern dieses Computers verändert werden. Wenn dieser Dienst deaktiviert wird, werden alle von diesem Dienst explizit abhängigen Dienste nicht gestartet werden können. Starttyp-Empfehlung: Deaktiviert (aus Sicherheitsgründen) *Wenn unter Status "gestartet" steht, mit der rechten Maustaste anklicken und die Option "Eigenschaften" auswählen. *Nicht "Den Dienst beenden" auswählen, denn dann wird der Dienst "RemoteRegistry" beim nächsten Systemstart erneut ausgeführt. *Als Starttyp "deaktiviert" auswählen und den Dienststatus mit "Beenden" schliessen. *Jetzt noch "Übernehmen" anklicken. Der "RemoteRegistry" läuft nicht mehr im Hintergrund und wird auch nicht mehr bei einem Neustart ausgeführt. ----------------------------------------------------------------------- 2. erstelle eine neue cfscript.txt (Änderung der ersten zulassen) Zitat Registry::dann wieder + Combofix erneut anwenden ------------------------------------------ PC neustarten 3. scanne mit Kaspersky - Virus Removal Tool - AVPTool (auch die Mails mitscannen lassen) http://virus-protect.org/artikel/tools/kaspersky.html + poste den report hier 4. wende dialfix an + berichte, ob die windowsupdates wieder funktionieren http://virus-protect.org/artikel/tools/dial_a_fix.html - __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
09.06.2008, 23:29
Member
Themenstarter Beiträge: 11 |
#13
Servus!
Sooo, habe alle Punkte erledigt bzw. es zumindest versucht. Habe auch Kaspersky durchlaufen lassen, wovon Du ja den Report haben wolltest. Das ist allerdings ein Riesending! Das Editor-Dokument hat eine Größe von 56,4 MB. Ist das normal oder hab ich vielleicht was falsch gemacht? Das mit dem Microsoft-Updates habe ich noch nicht so richtig rausbekommen. Wie check ich das am besten? Greetz! Tobi |
|
|
|
|
|
|
09.06.2008, 23:39
Ehrenmitglied
Beiträge: 29434 |
#14
Hallo Tobi
« Installation über Windows Update (Internet) www.windowsupdate.com «« kopiere vom kasperskyscan nur den ersten Teil ab, also nur, wo angezeigt wird, welche Viren gefunden wurden und die Anzahl...alles andere ist der komplette scandurchlauf, der natürlich sehr gross ist, mich interessiert nur, was , wie und wo ein Viren gefunden wurde. __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
11.06.2008, 11:26
Member
Themenstarter Beiträge: 11 |
#15
Servus!
Das mit dem Windows Update versuche ich jetzt seit 3 Tagen und bekomme jedesmal folgende Fehlermeldung angezeigt: [Fehlernummer: 0x80072EFD] Die gewünschte Seite kann nicht angezeigt werden, da auf der Website ein Problem aufgetreten ist. Mit den folgenden Optionen kann das Problem möglicherweise behoben werden. Optionen zur Selbsthilfe: • Häufig gestellte Fragen • Lösungen suchen • Windows Update-Newsgroup Optionen für technischen Support: • Microsoft-Onlinesupportunterstützung (für Windows Update-Probleme kostenlos) Aber hier jetzt erstmal der kaspersky-log, der sehr erfreulich ausschaut: Scan ---- Scanned: 443898 Detected: 0 Untreated: 0 Start time: 09.06.2008 19:05:09 Duration: 02:11:47 Finish time: 09.06.2008 21:16:56 Detected -------- Status Object ------ ------ Reicht Dir das so? Bis denne! Tobi |
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
Seit heute meldet mir mein Antivir sobald ich ein Programm öffne oder auf "Desktop anzeigen" gehe, dass folgendes trojanisches Pferd gefunden wurde:
TR/Vundo.HI
und zwar in der Datei:
C\Windows\system32\geBuSMda.dII
Bin dann in einem Forumbeitrag darauf gestoßen, "HijackThis" zu benutzen. In einer Anleitung dazu hieß es dann, dass ich den logfile in ein Forum posten soll, was ich jetzt hiermit tue:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:34:58, on 05.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Executive Software\Diskeeper\DkService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Tenable\Nessus\nessusd.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\DayDisplay\DayDisplay.exe
C:\Programme\FRITZ!DSL\FwebProt.exe
C:\Programme\Hardcopy\hardcopy.exe
C:\Programme\FRITZ!DSL\StCenter.EXE
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\WINDOWS\explorer.exe
C:\Programme\Adobe\Reader 8.0\Reader\AcroRd32.exe
C:\Programme\Gemeinsame Dateien\Adobe\Updater5\AdobeUpdater.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programme\HiJackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mystart.incredimail.com/german
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [WinUpdate] C:\WINDOWS\system32\adsntb.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\RunServices: [WinUpdate] C:\WINDOWS\system32\adsntb.exe
O4 - HKCU\..\Run: [DayDisplay] C:\Programme\DayDisplay\DayDisplay.exe
O4 - HKCU\..\Run: [WinUpdate] C:\WINDOWS\system32\adsntb.exe
O4 - HKCU\..\RunServices: [WinUpdate] C:\WINDOWS\system32\adsntb.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: FRITZ!DSL Protect.lnk = C:\Programme\FRITZ!DSL\FwebProt.exe
O4 - Startup: Hardcopy.LNK = C:\Programme\Hardcopy\hardcopy.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O20 - Winlogon Notify: geBuSMda - C:\WINDOWS\SYSTEM32\geBuSMda.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Programme\Executive Software\Diskeeper\DkService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: InCD Helper (read only) (InCDsrvR) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: Tenable Nessus - Tenable Network Security - C:\Programme\Tenable\Nessus\nessusd.exe
O23 - Service: Windows Media Player-Netzwerkfreigabedienst (WMPNetworkSvc) - Unknown owner - C:\Programme\Windows Media Player\WMPNetwk.exe (file missing)
--
End of file - 5524 bytes
Also, ich selber kann damit gar nix anfangen!
Kann mir irgendjemand sagen, was ich jetzt machen soll bzw. wie ich das Ding wieder los werden kann?
Wäre wirklich super!
Bin für jeden Tipp echt dankbar!
Greetz!
hugo