Home » Viren, Trojaner & Malware Forum » Services.exe hat eine ZU hohe CPU Auslastung » Themenansicht
Services.exe hat eine ZU hohe CPU Auslastung |
||
|---|---|---|
| #0
| ||
|
02.07.2010, 20:35
Member
Themenstarter Beiträge: 23 |
||
 
|
|
|
|
02.07.2010, 20:46
Member
Themenstarter Beiträge: 23 |
#17
Das hier ist das Ergebnis aus Schritt 2 (2 Option):
Das stand im Dos-Fenster: Microsoft Windows XP [Version 5.1.2600] (C) Copyright 1985-2001 Microsoft Corp. C:\Dokumente und Einstellungen\Administrator>mbr.exe -f Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully kernel: MBR read successfully copy of MBR has been found in sector 0x02542D6C1 malicious code @ sector 0x02542D6C4 ! PE file found in sector at 0x02542D6DA ! MBR rootkit infection detected ! Use: "mbr.exe -f" to fix. original MBR restored successfully ! C:\Dokumente und Einstellungen\Administrator> Soll ich das Fenster jetzt schließen? Weil mehr passiert da nicht? |
|
|
|
|
|
|
02.07.2010, 20:54
Member
Themenstarter Beiträge: 23 |
#18
So, ich habe das Dos-Fenster geschlossen.
Wenn ich mit Doppelklick auf RootRepeal klicke, kommt diese Fehlermeldung: "RootRepeal Error" "Attempt to read from address: 0x01167000" Also, dasselbe wie beim ersten Versuch 
|
|
|
|
|
|
|
02.07.2010, 23:27
Moderator
Beiträge: 5694 |
#19
Sieht dennoch schon sehr gut aus. Sind die Probleme mit der Auslastung noch vorhanden?
• Eset Online Scanner (NOD32) • Unterstützte Betriebssysteme: Microsoft Windows 98/ME/NT 4.0/2000/XP und Windows Vista • Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten. • Voraussetzung: Internet Explorer (IE) 5.0 oder höher • Haken bei "YES, I accept the Terms of Use" machen • Start • ActiveX-Steuerelement installieren • Start • Signaturen werden heruntergeladen • Haken machen bei "Remove found threads" • Haken machen bei "Remove found threads" und "Scan unwanted applications" • Scan • Scanende • Browser schließen • Explorer öffnen • C:\Programme\EsetOnlineScanner\log.txt • Log hier posten • Deinstallation: Systemsteuerung => Software => Eset Online Scanner entfernen. • mit HJT folgenden Eintrag fixen: • O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} |
|
|
|
|
|
|
03.07.2010, 14:43
Member
Themenstarter Beiträge: 23 |
#20
Ich glaube es ist schon etwas besser geworden, aber ein paar laggs sind noch da. Aber schon mal großes Dankeschön!
 hier das Eset-Log: ESETSmartInstaller@High as downloader log: all ok # version=7 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6211 # api_version=3.0.2 # EOSSerial=c375b19c9d97184cb4238d530a773159 # end=stopped # remove_checked=true # archives_checked=false # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2010-07-03 03:33:51 # local_time=2010-07-03 05:33:51 (+0100, Westeuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=5.1.2600 NT Service Pack 3 # compatibility_mode=512 16777215 100 0 5658851 5658851 0 0 # compatibility_mode=1797 16775125 100 100 756954 53643186 30770 0 # compatibility_mode=8192 67108863 100 0 346 346 0 0 # scanned=6898 # found=0 # cleaned=0 # scan_time=154 ESETSmartInstaller@High as downloader log: all ok # version=7 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6211 # api_version=3.0.2 # EOSSerial=c375b19c9d97184cb4238d530a773159 # end=finished # remove_checked=true # archives_checked=false # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2010-07-03 12:38:52 # local_time=2010-07-03 02:38:52 (+0100, Westeuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=5.1.2600 NT Service Pack 3 # compatibility_mode=512 16777215 100 0 5686699 5686699 0 0 # compatibility_mode=1797 16775125 100 100 784802 53671034 58618 0 # compatibility_mode=8192 67108863 100 0 28194 28194 0 0 # scanned=179606 # found=0 # cleaned=0 # scan_time=5012 |
|
|
|
|
|
|
03.07.2010, 14:49
Member
Themenstarter Beiträge: 23 |
#21
Zitat:
"• mit HJT folgenden Eintrag fixen: • O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} " Wie mache ich das? Wenn ich HJT öffne und einen Scan mache, finde ich diesen Eintrag (O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B}) nicht. |
|
|
|
|
|
|
04.07.2010, 00:39
Moderator
Beiträge: 5694 |
#22
Lass das mit dem fixen
Das hat sich geändert Schritt 1 System mit Windows-eigenen Mitteln bereinigen Datenträger bereinigen • Start => ausführen => cleanmgr (reinschreiben) => OK • Wähle das zu bereinigende Laufwerk aus => OK • "Datenträger bereinigen"-Fenster öffnet sich. Es wird berechnet, wieviel Platz freigemacht werden kann. • Es öffnet sich das Fenster mit den zu löschenden Dateien. • Bei den zu löschenden Bereichen einen Haken machen. • Vergewissere Dich, dass Temporary Files, Temporary Internet Files und Papierkorb geleert werden => OK Temporäre Ordner bereinigen • Start => ausführen => temp (reinschreiben) => OK • Es öffnet sich der Windows-Explorer mit dem Verzeichnis => den Inhalt manuell löschen Damit hast Du den Inhalt von C:\Windows\Temp gelöscht • START => ausführen => %temp% (reinschreiben) => OK • Es öffnet sich der Windows-Explorer mit dem Verzeichnis => den Inhalt manuell löschen Damit hast Du den Inhalt der temporären Dateien Deines Benutzerkontos gelöscht. IE Cache leeren • Start => Systemsteuerung => Internetoptionen • Reiter Allgemein => Browserverlauf => löschen • Temporäre Internetdateien, Cookies und Verlauf löschen Firefox Cache leeren • Firefox starten => Extras => Einstellungen • Erweitert => Netzwerk => Bei Offline-Speicher auf Jetzt leeren klicken • Firefox beenden. Temporäre Java-Dateien löschen • Schließe alle Browser • Öffne Start => Systemsteuerung => Java • Unter dem Reiter "Allgemein" => Temporäre Internet-Dateien • Einstellungen => Dateien löschen => OK Wenn gemeldet wird, dass einzelne Dateien nicht gelöscht werden konnten, weil sie in Gebrauch sind, ist das in Ordnung. Schritt 2 F-Secure Onlinescanner Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten. • Unterstützte Betriebssysteme: Windows 2000, Windows XP und Windows Vista (32bit) • Bitte den Internet Explorer unbedingt mit Rechtsklick auf das Icon und als Administrator starten. • Einen Haken bei "I have read and accepted the license terms". • Den Button "Install" drücken. • IE-User müssen die Installation des ActiveX Elements erlauben und auf "Installieren" klicken. • Firefox-User müssen die Installation des Firefox Addons erlauben und anschließend den Firefox neu starten. • Den Button "Start" drücken. • "Full Scan" einstellen und den Button "Start" drücken. • Die Signaturen werden heruntergeladen. • Der Scan beginnt automatisch. • Scanende (Finish). • Bei Funden benutze => Automatische Bereinigung (Automatically) • und klicke auf den Button "Next". • Bericht anzeigen, indem Du auf den Button "Full report" klickst. • Menü => Datei => Seite speichern unter • Dateityp auf Textdatei umstellen und • auf dem Desktop als f-secure.txtspeichern. • Log hier posten.Deinstallation • Firefox: Addon über Extras => F-Secure deinstallieren. • Internet Explorer: mit HJT folgenden Eintrag fixen: O16 - DPF: {BDBDE413-7B1C-4V68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) Schritt 3 Rootkitsuche mit Avira AntiRootkit Lade Avira AntiRootkit herunter, indem Du auf den Download-Button klickst. Speichere die Datei auf Deinem Desktop. • Du solltest jetzt antivir_rootkit.zip auf Deinem Desktop finden. • Entpacke das Archiv auf Deinen Desktop (antivir_rootkit.zip kannst Du jetzt manuell löschen). • Doppelklick auf die avirarkd.exe => OK. • Klicke auf Start scan. • Wenn der Suchlauf beendet ist, klicke auf View report und kopiere das Log hier in den Thread. |
|
|
|
|
|
|
04.07.2010, 02:06
Member
Themenstarter Beiträge: 23 |
#23
Bei "Temporäre Ordner bereinigen" bleibt bei beiden (temp und %temp%) ein bzw. zwei Dateien übrig, die ich nicht löschen kann, obwohl alles geschlossen ist.
Den Scan mache ich dann morgen. |
|
|
|
|
|
|
04.07.2010, 17:03
Member
Themenstarter Beiträge: 23 |
#24
F-Secure-Log:
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN"><html><HEAD><title> Online Scanner - Scanning Report - Sunday, July 4, 2010 12:25:08</title><meta http-equiv="Content-Type" content="text/html; charset=utf-8"></HEAD><BODY><FONT style="FONT: 10pt verdana; COLOR: black"><H1><FONT face=Arial>Scanning Report</FONT></H1> <H2><FONT face=Arial>Sunday, July 4, 2010 11:03:46 - 12:25:08</FONT></H2> <P>Computer name: WINDOWSPC</BR> Scanning type: Scan system for malware, spyware and rootkits</BR> Target: C:\ D:\ </P> <HR NOSHADE><H2><FONT color=#5a6ed2 face=Arial>No malware found</H2></FONT><HR NOSHADE> <H2><FONT color=#5a6ed2 face=Arial>Statistics</FONT></H2>Scanned: <UL> <LI>Files: 134533 <LI>System: 5076 <LI>Not scanned: 8 </UL> Actions: <UL> <LI>Disinfected: 0 <LI>Renamed: 0 <LI>Deleted: 0 <LI>Not cleaned: 0 <LI>Submitted: 0 </UL> Files not scanned:<UL> <LI>C:\PAGEFILE.SYS <LI>C:\WINDOWS\SYSTEM32\CONFIG\DEFAULT <LI>C:\WINDOWS\SYSTEM32\CONFIG\SAM <LI>C:\WINDOWS\SYSTEM32\CONFIG\SECURITY <LI>C:\WINDOWS\SYSTEM32\CONFIG\SOFTWARE <LI>C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM <LI>C:\DOKUMENTE UND EINSTELLUNGEN\ADMINISTRATOR\LOKALE EINSTELLUNGEN\TEMP\HSPERFDATA_XY\212 <LI>C:\DOKUMENTE UND EINSTELLUNGEN\ADMINISTRATOR\LOKALE EINSTELLUNGEN\TEMP\HSPERFDATA_XY\2068 </UL> <HR NOSHADE> <H2><FONT color=#5a6ed2 face=Arial>Options</FONT></H2> Scanning engines: <UL> </UL> Scanning options: <UL> <LI>Scan defined files: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML XXX ANI AVB BAT CMD JOB LSP MAP MHT MIF PHP POT SWF WMF NWS TAR <LI>Use advanced heuristics</UL> <HR NOSHADE> <UL> <H6>Copyright © 1998-2009<A HREF=http://support.f-secure.com/> Product support</A> | <A HREF=http://support.f-secure.com//enu/home/virusproblem/sample/> Send virus sample to F-Secure</A></H6><H6> F-Secure assumes no responsibility for material created or published by third parties that F-Secure World Wide Web pages have a link to. Unless you have clearly stated otherwise, by submitting material to any of our servers, for example by E-mail or via our F-Secure's CGI E-mail, you agree that the material you make available may be published in the F-Secure World Wide Pages or hard-copy publications. You will reach F-Secure public web site by clicking on underlined links. While doing this, your access will be logged to our private access statistics with your domain name. This information will not be given to any third party. You agree not to take action against us in relation to material that you submit. Unless you have clearly stated otherwise, by submitting material you warrant that F-Secure may incorporate any concepts described in it in the F-Secure products/publications without liability. </H6></UL> </FONT></BODY></html> |
|
|
|
|
|
|
04.07.2010, 17:24
Member
Themenstarter Beiträge: 23 |
#25
Hier der Avira Log:
Avira AntiRootkit Tool (1.1.0.1) ======================================================================================================== - Scan started Sonntag, 4. Juli 2010 - 17:09:44 ======================================================================================================== -------------------------------------------------------------------------------------------------------- Configuration: -------------------------------------------------------------------------------------------------------- - [X] Scan files - [X] Scan registry - [X] Scan processes - [ ] Fast scan - Working disk total size : 146.48 GB - Working disk free size : 128.30 GB (87 %) -------------------------------------------------------------------------------------------------------- Scan task finished. No hidden objects detected! -------------------------------------------------------------------------------------------------------- Files: 0/192258 Registry items: 0/246607 Processes: 0/55 Scan time: 00:14:13 -------------------------------------------------------------------------------------------------------- Active processes: - wqdkvxxo.exe (PID 3328) (Avira AntiRootkit Tool) - plugin-container.exe (PID 4072) - System (PID 4) - smss.exe (PID 564) - csrss.exe (PID 780) - winlogon.exe (PID 804) - services.exe (PID 848) - lsass.exe (PID 860) - svchost.exe (PID 1020) - svchost.exe (PID 1080) - svchost.exe (PID 1136) - svchost.exe (PID 1188) - svchost.exe (PID 1256) - AAWService.exe (PID 1272) - spoolsv.exe (PID 1328) - sched.exe (PID 1368) - svchost.exe (PID 1412) - a2service.exe (PID 1500) - avguard.exe (PID 1552) - AppleMobileDeviceService.exe (PID 1564) - IGDCTRL.EXE (PID 1588) - explorer.exe (PID 1816) - WLanNetService.exe (PID 1864) - GoogleUpdate.exe (PID 176) - svchost.exe (PID 188) - jqs.exe (PID 216) - MDM.EXE (PID 428) - nvsvc32.exe (PID 456) - SearchAnonymizerHelper.exe (PID 696) - SOUNDMAN.EXE (PID 1784) - PDVD10Serv.exe (PID 2100) - QTTask.exe (PID 2140) - SearchAnonymizer.exe (PID 2256) - rundll32.exe (PID 2284) - iTunesHelper.exe (PID 2316) - HDTune.exe (PID 2328) - WLanGUI.exe (PID 2364) - avgnt.exe (PID 2372) - AdobeARM.exe (PID 2416) - jusched.exe (PID 2436) - VisualTaskTips.exe (PID 2460) - GoogleToolbarNotifier.exe (PID 2468) - StCenter.exe (PID 2568) - SSScheduler.exe (PID 2596) - unsecapp.exe (PID 3188) - wmiprvse.exe (PID 3504) - iPodService.exe (PID 3540) - alg.exe (PID 3580) - opera.exe (PID 704) - wuauclt.exe (PID 1508) - ICQ Away Reader.exe (PID 2240) - ICQ.exe (PID 2772) - AAWTray.exe (PID 3204) - firefox.exe (PID 212) - avirarkd.exe (PID 3656) ======================================================================================================== - Scan finished Sonntag, 4. Juli 2010 - 17:23:57 ======================================================================================================== |
|
|
|
|
|
|
04.07.2010, 23:06
Moderator
Beiträge: 5694 |
#26
Schritt 1
Combofix deinstallieren Bitte vor der folgenden Aktion wieder temporär Antivirus-Programm, evtl. vorhandenes Skript-Blocking (Norton) und Anti-Malware Programme deaktivieren. Start => Ausführen (bei Vista (Windows-Taste + R) => dort reinschreiben Combo-Fix.exe /uninstall => Enter drücken - damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert, damit auch daraus die Schädlinge verschwinden. Es wird ein neuer Systemwiederherstellungspunkt erstellt. Gleichzeitig setzt Combofix die Zeiteinstellungen wieder auf die Ursprungseinstellungen, und setzt die Systemeinstellungen wieder so zurück, dass Dateierweiterungen und Systemdateien versteckt sind, was Du bei Bedarf im Explorer unter Extras => Ordneroptionen aber wieder ändern bzw. Deinen persönlichen Vorlieben entsprechend anpassen kannst. Schritt 2 Erneuter Systemscan mit OTL • Doppelklick auf die OTL.exe • Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen • Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output • Unter Extra Registry, wähle bitte Use SafeList • Klicke nun auf Run Scan links oben • Wenn der Scan beendet wurde werden 2 Logfiles erstellt • Poste die Logfiles in Code-Tags hier in den Thread. Schritt 3 Wie läufts? |
|
|
|
|
|
|
04.07.2010, 23:33
Member
Themenstarter Beiträge: 23 |
#27
So, hier die beiden Logs und zu der Frage "Wie läufts?" kann ich nur sagen, dass es deutlich! besser und flüssiger geht!
Danke! Code OTL logfile created on: 04.07.2010 23:18:56 - Run 2 Code OTL Extras logfile created on: 04.07.2010 23:18:56 - Run 2 |
|
|
|
|
|
|
04.07.2010, 23:38
Moderator
Beiträge: 5694 |
#28
Schritt 1
Tool-Bereinigung mit OTL • Doppelklick auf OTL.exe, um das Programm auszuführen. • Klicke auf den Button CleanUp! und bestätige die Cleanup Prozedur mit Yes. • OTL fragt nach einem Neustart, lasse das bitte zu. Nach dem Neustart werden OTL selbst und die meisten anderen Helferprogramme, die wir im Laufe der Bereinigung benutzt haben, nicht mehr vorhanden sein. Evtl. nun noch vorhandene Helferprogramme oder Logfiles bitte manuell löschen und den Papierkorb leeren. Schritt 2 Programme updaten Du verwendest zum Teil veraltete Software, die Sicherheitslücken auf deinem System bildet, durch die Malware eindringen kann. Alle Software, die du auf deinem Rechner hast, muss regelmäßig geupdatet werden, auch dann, wenn du sie nicht verwendest. Eine einfache Möglichkeit, diese Software Updates zu überwachen, bietet der Secunia Inspektor. |
|
|
|
|
|
|
04.07.2010, 23:42
Member
Themenstarter Beiträge: 23 |
#29
Werde ich gleich alles machen, aber zum Thema Windows Updates...Unten Rechts in der Leiste neben der Uhrzeit, steht seit 1-2 Tagen ein gelbes Zeichen mit Ausrufezeichen (Windows Updates)...Die installiere ich gerade alle (65 Updates). Nun die Frage: Wieso kommen die jetzt alle auf einmal und zuvor die Monate/Jahre wurde das nie angezeigt? Hab ich iwas falsch eingestellt gehabt?
|
|
|
|
|
|
|
04.07.2010, 23:51
Moderator
Beiträge: 5694 |
#30
Die Infizierung hat den Zugang zu den Updates blockiert
|
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
bearbeite jetzt die anderen Punkte.
ComboFix 10-07-01.02 - XY 02.07.2010 19:30:22.2.1 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.2047.1514 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\Combo-Fix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Administrator\Desktop\CFScript.txt
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
AV: Emsisoft Anti-Malware *On-access scanning disabled* (Outdated) {0F8591BB-342B-4493-91C3-4E948ED21255}
.
((((((((((((((((((((((( Dateien erstellt von 2010-06-02 bis 2010-07-02 ))))))))))))))))))))))))))))))
.
2010-07-02 12:49 . 2010-07-02 12:49 664 ----a-w- c:\windows\system32\d3d9caps.dat
2010-07-02 09:52 . 2010-07-02 09:52 -------- d-----w- c:\programme\Windows Media Connect 2
2010-07-01 17:01 . 2010-07-01 17:01 -------- d-----w- c:\programme\Gemeinsame Dateien\Java
2010-07-01 17:01 . 2010-07-01 17:00 411368 ----a-w- c:\windows\system32\deployJava1.dll
2010-07-01 16:16 . 2010-07-01 16:16 388096 ----a-r- c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe
2010-07-01 13:11 . 2010-07-01 13:13 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\SecTaskMan
2010-06-23 23:07 . 2010-06-24 09:16 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\NOS
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-07-02 17:32 . 2004-11-11 12:00 84326 ----a-w- c:\windows\system32\perfc007.dat
2010-07-02 17:32 . 2004-11-11 12:00 458822 ----a-w- c:\windows\system32\perfh007.dat
2010-07-02 09:49 . 2009-06-09 12:53 -------- d-----w- c:\programme\Windows Media Connect
2010-07-01 21:09 . 2009-06-09 12:50 86327 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat
2010-07-01 17:00 . 2009-06-09 13:23 -------- d-----w- c:\programme\Java
2010-06-29 18:08 . 2010-04-07 23:37 -------- d-----w- c:\programme\Gemeinsame Dateien\DVDVideoSoft
2010-05-27 11:42 . 2009-06-28 21:44 -------- d-----w- c:\dokumente und einstellungen\Administrator\Anwendungsdaten\ICQ
2010-05-10 14:57 . 2009-06-09 14:14 -------- d-----w- c:\programme\RocketDock
2010-04-29 13:39 . 2010-04-06 12:06 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-04-29 13:39 . 2010-04-06 12:06 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-04-28 17:07 . 2010-04-28 17:07 23 --sha-w- c:\windows\system32\edacded0.dat
2010-04-15 15:43 . 2010-04-15 15:43 73000 ----a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple Computer\Installer Cache\iTunes 9.1.0.79\SetupAdmin.exe
2010-04-15 15:38 . 2010-04-15 15:38 79144 ----a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple Computer\Installer Cache\Safari 5.31.22.7\SetupAdmin.exe
2010-04-15 14:57 . 2010-04-15 14:58 29480 ----a-w- c:\windows\system32\msxml3a.dll
2010-04-15 14:57 . 2010-04-15 14:57 53319 ----a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Temp\{DEC235ED-58A4-4517-A278-C41E8DAEAB3B}\PostBuild.exe
2010-04-15 14:57 . 2009-06-09 15:54 505128 ----a-w- c:\windows\system32\msvcp71.dll
2010-04-14 22:35 . 2010-04-14 22:35 95024 ----a-w- c:\windows\system32\drivers\SBREDrv.sys
2010-04-14 22:35 . 2010-04-15 09:22 15880 ----a-w- c:\windows\system32\lsdelete.exe
2009-05-01 21:02 . 2009-05-01 21:02 1044480 ----a-w- c:\programme\opera\program\plugins\libdivx.dll
2009-05-01 21:02 . 2009-05-01 21:02 200704 ----a-w- c:\programme\opera\program\plugins\ssldivx.dll
.
((((((((((((((((((((((((((((( SnapShot@2010-07-01_21.15.00 )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-07-02 17:27 . 2010-07-02 17:27 16384 c:\windows\Temp\Perflib_Perfdata_7f0.dat
+ 2008-10-16 12:09 . 2009-08-06 17:24 44768 c:\windows\system32\wups2.dll
+ 2009-06-09 12:49 . 2009-08-06 17:24 35552 c:\windows\system32\wups.dll
+ 2009-06-09 12:49 . 2009-08-06 17:24 53472 c:\windows\system32\wuauclt.exe
+ 2004-11-11 12:00 . 2006-11-03 07:56 99840 c:\windows\system32\wmpshell.dll
+ 2010-07-02 09:54 . 2006-09-25 15:58 14640 c:\windows\system32\spmsg.dll
+ 2010-07-02 09:36 . 2009-08-06 17:24 44768 c:\windows\system32\SoftwareDistribution\Setup\ServiceStartup\wups2.dll\7.4.7600.226\wups2.dll
+ 2010-07-02 09:36 . 2009-08-06 17:24 35552 c:\windows\system32\SoftwareDistribution\Setup\ServiceStartup\wups.dll\7.4.7600.226\wups.dll
- 2004-11-11 12:00 . 2010-07-01 21:07 71060 c:\windows\system32\perfc009.dat
+ 2004-11-11 12:00 . 2010-07-02 17:32 71060 c:\windows\system32\perfc009.dat
+ 2009-06-09 12:49 . 2009-08-06 17:24 35552 c:\windows\system32\dllcache\wups.dll
+ 2009-06-09 12:49 . 2009-08-06 17:24 53472 c:\windows\system32\dllcache\wuauclt.exe
+ 2004-11-11 12:00 . 2006-11-03 07:56 99840 c:\windows\system32\dllcache\wmpshell.dll
+ 2009-06-09 12:49 . 2006-11-03 07:56 64000 c:\windows\system32\dllcache\wmplayer.exe
+ 2009-06-09 12:49 . 2006-11-03 07:56 96256 c:\windows\system32\dllcache\wmpband.dll
+ 2004-11-11 12:00 . 2009-08-06 17:24 96480 c:\windows\system32\dllcache\cdm.dll
+ 2004-11-11 12:00 . 2009-08-06 17:24 96480 c:\windows\system32\cdm.dll
+ 2004-11-11 12:00 . 2006-11-03 07:54 8192 c:\windows\system32\dllcache\asferror.dll
+ 2004-11-11 12:00 . 2006-11-03 07:54 8192 c:\windows\system32\asferror.dll
+ 2009-06-09 12:49 . 2009-08-06 17:24 209632 c:\windows\system32\wuweb.dll
+ 2009-06-09 12:49 . 2009-08-06 17:24 327896 c:\windows\system32\wucltui.dll
+ 2009-06-09 12:49 . 2009-08-06 17:23 575704 c:\windows\system32\wuapi.dll
+ 2004-11-11 12:00 . 2006-10-18 19:47 204288 c:\windows\system32\wmpsrcwp.dll
+ 2006-10-18 19:47 . 2006-10-18 19:47 130048 c:\windows\system32\wmpps.dll
+ 2006-10-18 19:47 . 2006-10-18 19:47 613376 c:\windows\system32\wmpmde.dll
+ 2006-10-18 19:47 . 2006-10-18 19:47 295936 c:\windows\system32\wmpeffects.dll
+ 2004-11-11 12:00 . 2006-10-18 19:47 314880 c:\windows\system32\wmpdxm.dll
+ 2004-11-11 12:00 . 2006-10-18 19:47 242688 c:\windows\system32\wmpasf.dll
+ 2004-11-11 12:00 . 2006-11-03 07:55 275968 c:\windows\system32\wmerror.dll
+ 2004-11-11 12:00 . 2010-07-02 17:32 441124 c:\windows\system32\perfh009.dat
- 2004-11-11 12:00 . 2010-07-01 21:07 441124 c:\windows\system32\perfh009.dat
+ 2006-10-02 13:28 . 2006-10-02 13:28 312128 c:\windows\system32\msdelta.dll
+ 2009-06-09 12:49 . 2009-08-06 17:24 209632 c:\windows\system32\dllcache\wuweb.dll
+ 2009-06-09 12:49 . 2009-08-06 17:24 327896 c:\windows\system32\dllcache\wucltui.dll
+ 2009-06-09 12:49 . 2009-08-06 17:23 575704 c:\windows\system32\dllcache\wuapi.dll
+ 2004-11-11 12:00 . 2006-10-18 19:47 314880 c:\windows\system32\dllcache\wmpdxm.dll
+ 2004-11-11 12:00 . 2006-10-18 19:47 242688 c:\windows\system32\dllcache\wmpasf.dll
+ 2004-11-11 12:00 . 2006-11-03 07:55 275968 c:\windows\system32\dllcache\wmerror.dll
+ 2004-11-11 12:00 . 2006-11-03 07:55 316928 c:\windows\system32\dllcache\unregmp2.exe
+ 2009-06-09 12:49 . 2006-11-03 07:54 243712 c:\windows\system32\dllcache\mpvis.dll
+ 2004-11-11 12:00 . 2006-11-03 07:55 316928 c:\windows\inf\unregmp2.exe
+ 2009-06-09 12:49 . 2009-08-06 17:23 1929952 c:\windows\system32\wuaueng.dll
+ 2004-11-11 12:00 . 2006-11-03 08:02 8282112 c:\windows\system32\wmploc.dll
+ 2004-11-11 12:00 . 2006-10-18 19:47 1661440 c:\windows\system32\wmpencen.dll
+ 2009-06-09 12:49 . 2009-08-06 17:23 1929952 c:\windows\system32\dllcache\wuaueng.dll
+ 2004-11-11 12:00 . 2006-11-03 08:02 8282112 c:\windows\system32\dllcache\wmploc.dll
+ 2009-06-09 12:49 . 2006-11-03 08:02 1678848 c:\windows\system32\dllcache\setup_wm.exe
+ 2004-11-11 12:00 . 2006-10-18 19:47 10834432 c:\windows\system32\wmp.dll
+ 2004-11-11 12:00 . 2006-10-18 19:47 10834432 c:\windows\system32\dllcache\wmp.dll
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{E601996F-E400-41CA-804B-CD6373A7EEE2}]
2010-02-10 01:34 750256 ----a-w- c:\programme\kikin\ie_kikin.dll
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"VisualTaskTips"="c:\programme\VisualTaskTips\VisualTaskTips.exe" [2007-09-05 36352]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2010-01-01 39408]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2004-11-11 67072]
"RemoteControl10"="d:\programme\Cyberlink\PowerDVD10\PDVD10Serv.exe" [2010-02-02 87336]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2010-03-17 421888]
"Ocs_SM"="c:\dokumente und einstellungen\Administrator\Anwendungsdaten\OCS\SM\SearchAnonymizer.exe" [2009-07-29 102400]
"nwiz"="nwiz.exe" [2006-04-01 1495040]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-04-01 86016]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-04-01 7110656]
"iTunesHelper"="d:\musik\iTunes\iTunesHelper.exe" [2010-03-25 142120]
"HD Tune"="c:\progra~1\HDTUNE~1\HDTune.exe" [2008-02-09 401408]
"Easy-PrintToolBox"="c:\programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE" [2004-01-14 409600]
"AVMWlanClient"="c:\programme\avmwlanstick\wlangui.exe" [2005-10-18 1560576]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-22 35760]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-02-18 248040]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
FRITZ!DSL Startcenter.lnk - c:\programme\FRITZ!DSL\StCenter.exe [2009-6-9 651264]
McAfee Security Scan Plus.lnk - c:\programme\McAfee Security Scan\2.0.181\SSScheduler.exe [2010-1-15 255536]
[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]
@="Service"
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\FRITZ!DSL\\IGDCTRL.EXE"=
"c:\\Games\\Empire Earth - Zeitalter der Eroberungen\\EE-AOC.exe"=
"c:\\Games\\Empire Earth\\Empire Earth.exe"=
"c:\\Programme\\FRITZ!DSL\\FBOXUPD.EXE"=
"d:\\Programme\\ICQ\\ICQ 6.5\\ICQ6.5\\ICQ.exe"=
"d:\\Programme\\Azureus\\Azureus.exe"=
"d:\\Spiele\\Anno 1701 (RIP, English)\\dm-a1701\\Anno 1701\\Anno1701.exe"=
"d:\\Spiele\\Pro Evolution Soccer 2010\\pes2010.exe"=
"d:\\Spiele\\Counter-Strike 1.6\\hl.exe"=
"c:\\Games\\Siedler 2\\bin\\S2DNG.exe"=
"d:\\Spiele\\Age Of Empires\\Empires.exe"=
"d:\\Musik\\iTunes\\iTunes.exe"=
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:Remote Desktop
R0 Lbd;Lbd;c:\windows\system32\drivers\Lbd.sys [15.04.2010 00:35 64288]
R2 {1BA31E5A-C098-42d8-8F88-3C9F78A2FDDC};Power Control [2010/04/15 17:00];d:\programme\Cyberlink\PowerDVD10\NavFilter\000.fcl [13.03.2010 12:58 87536]
R2 a2AntiMalware;Emsisoft Anti-Malware 5.0 - Service;d:\programme\Emsisoft\Emsisoft Anti-Malware\a2service.exe [20.05.2010 20:57 1911960]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [09.06.2009 16:07 108289]
R2 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;c:\programme\Lavasoft\Ad-Aware\AAWService.exe [04.02.2010 17:52 1265264]
R2 SearchAnonymizer;SearchAnonymizer;c:\dokumente und einstellungen\Administrator\Anwendungsdaten\OCS\SM\SearchAnonymizerHelper.exe [29.07.2009 19:30 40960]
R3 a2acc;a2acc;d:\programme\Emsisoft\Emsisoft Anti-Malware\a2accx86.sys [20.05.2010 20:57 71008]
R3 FWLANUSB;AVM FRITZ!WLAN;c:\windows\system32\drivers\fwlanusb.sys [09.06.2009 17:53 264704]
S0 viasraid;viasraid;c:\windows\system32\drivers\viasraid.sys [11.11.2004 14:00 75904]
S2 gupdate1c9f9a749ac593a;Google Update Service (gupdate1c9f9a749ac593a);c:\programme\Google\Update\GoogleUpdate.exe [30.06.2009 19:22 133104]
S3 McComponentHostService;McAfee Security Scan Component Host Service;c:\programme\McAfee Security Scan\2.0.181\McCHSvc.exe [15.01.2010 14:49 227232]
.
Inhalt des "geplante Tasks" Ordners
2010-07-02 c:\windows\Tasks\Ad-Aware Update (Weekly).job
- c:\programme\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2010-02-04 22:34]
2009-06-13 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]
2010-06-15 c:\windows\Tasks\GoogleUpdateTaskMachineCore1cb0cc44fb0f8b4.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-06-30 17:21]
.
.
------- Zusätzlicher Suchlauf -------
.
uInternet Settings,ProxyOverride = *.local
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: Easy-WebPrint - Drucken - c:\programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
IE: Easy-WebPrint - Schnelldruck - c:\programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
IE: Easy-WebPrint - Vorschau - c:\programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
IE: Easy-WebPrint - Zu Druckliste hinzufügen - c:\programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
IE: Free YouTube to Mp3 Converter - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\DVDVideoSoftIEHelpers\youtubetomp3.htm
IE: Google Sidewiki... - c:\programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: {{8b2d996f-b7d1-4961-a929-414d9cf5ba7b} - http://support.microsoft.com/default.aspx?scid=FH;EN-US;KBHOWTO
IE: {{0F7195C2-6713-4d93-A1BC-DA5FA33F0A65} - {E601996F-E400-41CA-804B-CD6373A7EEE2} - c:\programme\kikin\ie_kikin.dll
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\l8yj2ldk.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de
FF - plugin: c:\programme\Google\Update\1.2.183.29\npGoogleOneClick8.dll
FF - plugin: c:\programme\Java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: c:\programme\Opera\program\plugins\npdivx32.dll
FF - plugin: d:\musik\iTunes\Mozilla Plugins\npitunes.dll
FF - plugin: d:\programme\DivX\DivX Player\npDivxPlayerPlugin.dll
FF - plugin: d:\programme\DivX\DivX Web Player\npdivx32.dll
---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type", 5);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
**************************************************************************
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-07-02 19:38
Windows 5.1.2600 Service Pack 3 NTFS
Scanne versteckte Prozesse...
Scanne versteckte Autostarteinträge...
Scanne versteckte Dateien...
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
**************************************************************************
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
called modules: ntoskrnl.exe catchme.sys CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x893B978A]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xf763bf28
\Driver\ACPI -> ACPI.sys @ 0xf75adcb8
\Driver\atapi -> ntoskrnl.exe @ 0x805c7a1e
IoDeviceObjectType -> DeleteProcedure -> ntoskrnl.exe @ 0x805a05a8
ParseProcedure -> ntoskrnl.exe @ 0x8056c1d6
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntoskrnl.exe @ 0x805a05a8
ParseProcedure -> ntoskrnl.exe @ 0x8056c1d6
NDIS: AVM FRITZ!WLAN USB Stick -> SendCompleteHandler -> 0x8941fac0
PacketIndicateHandler -> NDIS.sys @ 0xf788ca21
SendHandler -> NDIS.sys @ 0xf786a87b
copy of MBR has been found in sector 0x02542D6C1
malicious code @ sector 0x02542D6C4 !
PE file found in sector at 0x02542D6DA !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.
**************************************************************************
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\{1BA31E5A-C098-42d8-8F88-3C9F78A2FDDC}]
"ImagePath"="\??\d:\programme\Cyberlink\PowerDVD10\NavFilter\000.fcl"
.
Zeit der Fertigstellung: 2010-07-02 19:40:38
ComboFix-quarantined-files.txt 2010-07-02 17:40
ComboFix2.txt 2010-07-01 21:17
Vor Suchlauf: 12 Verzeichnis(se), 138.162.810.880 Bytes frei
Nach Suchlauf: 14 Verzeichnis(se), 138.160.631.808 Bytes frei
- - End Of File - - 50E24291417B22B69A34E5CE215DCE02