ich hatte einen virus gefangen, nachdem ich dann rebootet habe hat windows beim booten automatisch anstatt ins normal zu starten einen scan durchgeführt wobei dann einige attribute (und auch dateien) gelöscht bzw geändert wurden, ist das sowas wie ein virusbekämpfungs mechanismus gewesen?? denn danach scheint das system sauber, weder mit avira noch mit malwarebytes ist was zu finden. poste daher trotzdem noch mal den combofix
ich weiss nicht obs nur neuerdings ist aber mir ist aufgefallen bevor beim booten der dell screen kommt (das quasi erste bild mit der bios taste meldung) kommt für eine millisekunde oben rechts auf dem schwarzen schirm diese nummer:
rs45/n br#225
(nummer ganz leicht abgeändert da ich nicht weiss ob sie irgendwas aussagekräftiges bedeutet)
was hat das zu bedeuten ?
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\Install.exe
.
((((((((((((((((((((((( Dateien erstellt von 2010-10-09 bis 2010-11-09 ))))))))))))))))))))))))))))))
.
2010-11-09 17:34 . 2010-11-09 17:34 -------- d-----w- c:\programme\CCleaner
2010-11-09 17:14 . 2010-11-09 17:15 -------- d-----w- c:\windows\system32\NtmsData
2010-11-09 10:00 . 2010-11-09 10:00 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\Avira
2010-11-09 06:36 . 2010-11-09 06:36 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\Malwarebytes
2010-11-09 06:30 . 2010-04-29 14:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-11-09 06:30 . 2010-11-09 06:30 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2010-11-09 06:30 . 2010-11-09 06:30 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-11-09 06:30 . 2010-04-29 14:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-11-07 05:12 . 2010-11-07 05:12 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\OpenOffice.org
2010-11-07 04:01 . 2010-11-07 04:02 -------- d-----w- c:\programme\OpenOffice.org 3
2010-11-07 03:14 . 2010-11-07 03:15 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\Notepad++
2010-11-07 03:14 . 2010-11-07 03:14 -------- d-----w- c:\programme\Notepad++
2010-11-07 03:11 . 2010-11-07 03:19 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\EditPlus 3
2010-11-07 03:11 . 2010-11-07 03:11 -------- d-----w- c:\programme\EditPlus 3
2010-11-07 03:02 . 2010-11-07 03:02 -------- d-----w- c:\programme\WoLoSoft
2010-11-07 02:28 . 2010-11-07 02:28 -------- d-----w- c:\programme\TED Notepad
2010-11-07 02:26 . 2010-11-07 02:26 -------- d-----w- c:\programme\Q10
2010-11-07 02:14 . 2010-11-07 02:21 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\NoteTab Pro
2010-11-07 02:13 . 2010-11-07 02:13 -------- d-----w- c:\programme\NoteTab Pro Trial
2010-11-07 02:09 . 2010-11-07 02:09 -------- d-----w- c:\programme\Angel Writer
2010-11-07 02:07 . 2010-11-07 02:07 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\JGsoft
2010-11-07 02:06 . 2010-11-07 02:06 -------- d-----w- c:\programme\JGsoft
2010-11-07 02:06 . 2009-12-16 02:30 65776 ----a-w- c:\windows\UnDeploy.exe
2010-11-07 02:02 . 2010-11-07 02:02 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\Helios
2010-11-07 02:01 . 2010-11-07 02:01 -------- d-----w- c:\programme\TextPad 5
2010-11-07 02:01 . 2010-11-07 02:04 -------- d-----w- c:\dokumente und einstellungen\i\Anwendungsdaten\Jarte
2010-11-07 02:01 . 2010-11-07 02:01 -------- d-----w- c:\programme\Jarte
2010-11-07 00:44 . 2010-11-07 00:50 -------- d-----w- c:\dokumente und einstellungen\i\AbiSuite
2010-11-07 00:41 . 2010-11-07 00:42 -------- d-----w- c:\programme\AbiWord
2010-11-06 20:08 . 2010-11-06 20:08 1324 ----a-w- c:\dokumente und einstellungen\i\Lokale Einstellungen\Anwendungsdaten\d3d9caps.tmp
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-11-02 21:24 . 2010-09-11 08:45 60936 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2010-11-02 21:24 . 2010-09-11 08:45 126856 ----a-w- c:\windows\system32\drivers\avipbb.sys
2010-09-22 19:19 . 2010-09-22 19:19 37376 ----a-w- c:\windows\system32\drivers\HssDrv.sys
2010-09-22 19:19 . 2010-09-22 19:19 32768 ----a-w- c:\windows\system32\drivers\taphss.sys
2010-09-18 10:22 . 2004-08-17 11:57 974848 ----a-w- c:\windows\system32\mfc42u.dll
2010-09-18 06:52 . 2004-08-17 11:57 974848 ----a-w- c:\windows\system32\mfc42.dll
2010-09-18 06:52 . 2004-08-17 11:57 954368 ----a-w- c:\windows\system32\mfc40.dll
2010-09-18 06:52 . 2004-08-17 11:57 953856 ----a-w- c:\windows\system32\mfc40u.dll
2010-09-12 18:06 . 2010-09-12 18:06 73728 ----a-w- c:\windows\system32\javacpl.cpl
2010-09-12 18:06 . 2010-09-12 18:06 423656 ----a-w- c:\windows\system32\deployJava1.dll
2010-09-11 16:43 . 2010-09-11 16:42 4179293 ----a-w- c:\programme\everesthome220.exe
2010-09-10 05:47 . 2004-08-17 12:07 916480 ----a-w- c:\windows\system32\wininet.dll
2010-09-10 05:47 . 2004-08-17 11:56 43520 ----a-w- c:\windows\system32\licmgr10.dll
2010-09-10 05:47 . 2004-08-17 11:55 1469440 ------w- c:\windows\system32\inetcpl.cpl
2010-09-01 11:50 . 2004-08-17 11:53 285824 ----a-w- c:\windows\system32\atmfd.dll
2010-09-01 07:54 . 2004-08-17 12:07 1852928 ----a-w- c:\windows\system32\win32k.sys
2010-08-27 08:01 . 2004-08-17 12:04 119808 ----a-w- c:\windows\system32\t2embed.dll
2010-08-27 05:57 . 2004-08-17 12:04 99840 ----a-w- c:\windows\system32\srvsvc.dll
2010-08-27 01:43 . 2008-05-05 05:25 5632 ----a-w- c:\windows\system32\xpsp4res.dll
2010-08-26 13:39 . 2004-08-17 12:04 357248 ----a-w- c:\windows\system32\drivers\srv.sys
2010-08-23 16:11 . 2004-08-17 11:53 617472 ----a-w- c:\windows\system32\comctl32.dll
2010-08-17 13:17 . 2004-08-17 12:04 58880 ----a-w- c:\windows\system32\spoolsv.exe
2010-08-16 08:44 . 2004-08-17 12:02 590848 ----a-w- c:\windows\system32\rpcrt4.dll
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Google Update"="c:\dokumente und einstellungen\i\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe" [2010-09-11 136176]
"DAEMON Tools Lite"="c:\programme\DAEMON Tools Lite\DTLite.exe" [2010-04-01 357696]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2010-08-10 421888]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ATICCC"="c:\programme\ATI Technologies\ATI.ACE\CLIStart.exe" [2006-05-10 90112]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-11-02 281768]
"SigmatelSysTrayApp"="c:\programme\SigmaTel\C-Major Audio\WDM\stsystra.exe" [2007-05-10 405504]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-05-14 248552]
"Broadcom Wireless Manager UI"="c:\windows\system32\WLTRAY.exe" [2007-03-16 1392640]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2010-08-10 421888]
"iTunesHelper"="c:\programme\iTunes\iTunesHelper.exe" [2010-09-01 421160]
"UpdatePDRShortCut"="c:\programme\CyberLink\PowerDirector\MUITransfer\MUIStartMenu.exe" [2008-12-03 218408]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
c:\dokumente und einstellungen\i\Startmen\Programme\Autostart\
OpenOffice.org 3.2.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2010-5-20 1195008]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\uTorrent\\uTorrent.exe"=
"c:\\Programme\\SopCast\\adv\\SopAdver.exe"=
"c:\\Programme\\SopCast\\SopCast.exe"=
"c:\\Programme\\eMule\\emule.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=
"c:\\Dokumente und Einstellungen\\i\\Lokale Einstellungen\\Anwendungsdaten\\Google\\Chrome\\Application\\chrome.exe"=
"c:\\Programme\\Java\\jre6\\bin\\javaw.exe"=
R0 atiide;atiide;c:\windows\system32\drivers\atiide.sys [11.09.2010 09:08 3456]
R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [17.10.2010 02:39 691696]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [11.09.2010 09:45 135336]
R2 HssWd;Hotspot Shield Monitoring Service;c:\programme\Hotspot Shield\bin\hsswd.exe -product HSS --> c:\programme\Hotspot Shield\bin\hsswd.exe -product HSS [?]
.
Inhalt des "geplante Tasks" Ordners
2010-10-19 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2009-10-22 09:50]
2010-11-06 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-527237240-1450960922-725345543-1004Core.job
- c:\dokumente und einstellungen\i\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2010-09-11 07:49]
2010-11-08 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-527237240-1450960922-725345543-1004UA.job
- c:\dokumente und einstellungen\i\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2010-09-11 07:49]
.
.
------- Zusätzlicher Suchlauf -------
.
uInternet Settings,ProxyOverride = *.local
IE: Free YouTube Download - c:\dokumente und einstellungen\i\Anwendungsdaten\DVDVideoSoftIEHelpers\youtubedownload.htm
TCP: {3E308E40480D} = 192.168.0.1
FF - ProfilePath - c:\dokumente und einstellungen\i\Anwendungsdaten\Mozilla\Firefox\Profiles\iyigzcnm.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - prefs.js: network.proxy.type - 0
FF - component: c:\dokumente und einstellungen\i\Anwendungsdaten\Mozilla\Firefox\Profiles\iyigzcnm.default\extensions\{57e5f5}\components\FFExternalAlert.dll
FF - component: c:\dokumente und einstellungen\i\Anwendungsdaten\Mozilla\Firefox\Profiles\iyigzcnm.default\extensions\57e5f5}\components\RadioWMPCore.dll
FF - plugin: c:\dokumente und einstellungen\i\Anwendungsdaten\Mozilla\Firefox\Profiles\iyigzcnm.default\extensions\[email protected]\plugins\npTVUAx.dll
FF - plugin: c:\dokumente und einstellungen\i\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.2.183.39\npGoogleOneClick8.dll
FF - plugin: c:\programme\Java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: c:\programme\tools\Veetle\Player\npvlc.dll
FF - plugin: c:\programme\tools\Veetle\plugins\npVeetle.dll
FF - plugin: c:\programme\tools\Veetle\VLCBroadcast\npvbp.dll
FF - plugin: c:\windows\system32\TVUAx\npTVUAx.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a4b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
**************************************************************************
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-11-09 18:58
Windows 5.1.2600 Service Pack 3 NTFS
Scanne versteckte Prozesse...
Scanne versteckte Autostarteinträge...
Scanne versteckte Dateien...
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10i_ActiveX.exe,-101"
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C68144E}\Elevation]
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C68144E}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10i_ActiveX.exe"
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483CE8144E}\TypeLib]
@="{FAB31C9}"
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2CB6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C30F}\ProxyStubClsid32]
@="{00020000046}"
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F26AF30F}\TypeLib]
@="{FAB3C6DF1C9}"
"Version"="1.0"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
- - - - - - - > 'winlogon.exe'(1464)
c:\windows\system32\Ati2evxx.dll
c:\windows\System32\BCMLogon.dll
.
Zeit der Fertigstellung: 2010-11-09 19:00:03
ComboFix-quarantined-files.txt 2010-11-09 18:00
Vor Suchlauf: 23 Verzeichnis(se), 14.992.396.288 Bytes frei
Nach Suchlauf: 25 Verzeichnis(se), 15.497.728.000 Bytes frei
WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=signature(bd296e65)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
signature(bd296e65)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect
- - End Of File - - 21CA9EA023A680DA35698B5BA9E582CF
jan.kr (706)  1x "Danke"
|
