befall von mysearchdial; schädliche einträge gelöscht. was nun?

GNR · 23. Februar 2014

Hallo Leute,
wie der Titel schon vermuten lässt, habe ich mir heute malware unter dem Namen mysearchdial eingefangen, die einzigen zwei durchgeführten downloads/site visits (außerhalb der surf-routine) waren Alcohol 52 und dotNetFx50_full_setup.exe auf chip.de.
Plötzlich schließ sich mein internet browser (firefox), und hatte als startseite mysearchdial gesetzt.

Daraufhin lief ich folgende Programme, in dieser Reihenfolge:
- microsoft essentials, nichts gefunden
- malwarebyte, Einträge gefunden und dann entfernt (log im spoiler),
- AdwCleaner hat auch etwas gefunden und entfernt,
- FRST, nichts gefunden
- rkill.exe hat auch nichts gefunden.

Meine Frage ist nun, sollte ich den PC neu aufsetzen, oder welche Maßnahmen sollte ich nun vornehmen?

Danke!
Grüße, GNR

Malwarebytes Anti-Malware 1.75.0.1300
www.malwarebytes.org

Datenbank Version: v2014.02.23.05

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 11.0.9600.16518
***** :: *****-PC [Administrator]

23.02.2014 16:10:49
mbam-log-2014-02-23 (16-10-49).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 529854
Laufzeit: 1 Stunde(n), 45 Minute(n), 3 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 25
HKCR\CLSID\{EF5625A3-37AB-4BDB-9875-2A3D91CD0DFD} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\mysearchdial.mysearchdialHlpr.1 (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\mysearchdial.mysearchdialHlpr (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EF5625A3-37AB-4BDB-9875-2A3D91CD0DFD} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\AppID\{CA5CAA63-B27C-4963-9BEC-CB16A36D56F8} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\CLSID\{3004627E-F8E9-4E8B-909D-316753CBA923} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\mysearchdial.mysearchdialdskBnd.1 (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\mysearchdial.mysearchdialdskBnd (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\CLSID\{D40753C7-8A59-4C1F-BE88-C300F4624D5B} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\TypeLib\{C292AD0A-C11F-479B-B8DB-743E72D283B0} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\esrv.mysearchdialESrvc.1 (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\esrv.mysearchdialESrvc (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\Typelib\{FBC322D5-407E-4854-8C0B-555B951FD8E3} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\Interface\{0400EBCA-042C-4000-AA89-9713FBEDB671} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{219046AE-358F-4CF1-B1FD-2B4DE83642A8} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\CLSID\{C358B3D0-B911-41E3-A276-E7D43A6BA56D} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\mysearchdial.mysearchdialappCore.1 (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\mysearchdial.mysearchdialappCore (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\CLSID\{4ED063C9-4A0B-4B44-A9DC-23AFF424A0D3} (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\m (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\Software\mysearchdial (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\Software\InstallCore\1I1T1Q1S (PUP.Optional.InstallCore.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\Software\InstallCore\mysearchdial (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\InstallCore\mysearchdial (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Registrierungswerte: 3
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar|{3004627E-F8E9-4E8B-909D-316753CBA923} (PUP.Optional.MySearchDial.A) -> Daten: mysearchdial Toolbar -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{3004627E-F8E9-4E8B-909D-316753CBA923} (PUP.Optional.MySearchDial.A) -> Daten: -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Daten: 0B1G1O1S0V1G1F -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 2
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (PUP.Optional.MySearchDial.A) -> Bösartig: (http://start.mysearchdial.com/?f=1&...tCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=568254385&ir=) Gut: (http://www.google.com) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (PUP.Optional.MySearchDial.A) -> Bösartig: (http://start.mysearchdial.com/?f=1&...tCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=568254385&ir=) Gut: (http://www.google.com) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 5
C:\Users\*****\AppData\Roaming\mysearchdial (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Roaming\mysearchdial\icons_2.2.15.1631 (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0 (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0\bh (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateien: 21
C:\Program Files (x86)\Mysearchdial\1.8.21.0\bh\mysearchdial.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0\mysearchdialTlbr.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0\mysearchdialsrv.exe (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\$Recycle.Bin\S-1-5-21-995344294-4261489575-2025338415-1001\$RCIIU2W.exe (PUP.Optional.OpenCandy) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0\mysearchdialApp.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0\mysearchdialEng.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\ZC6CIA7F\Setup[1].exe (PUP.Optional.FindRight.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Local\Temp\MySearchDial.exe (PUP.Optional.MySpeedDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Local\Temp\is17018913\mysearchdial.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Local\Temp\is17018913\mysearchdialApp.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Local\Temp\is17018913\mysearchdialEng.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Local\Temp\is17018913\mysearchdialsrv.exe (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Local\Temp\is17018913\mysearchdialTlbr.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Programme\Adobe_Photoshop_CS3_Extended_v10.0_Deutsch_Portable\Files\asneu.dll (Trojan.Agent.ED) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Programme\Alcohol 52\Alcohol52_FE_2.0.2.5830.exe (PUP.Optional.InstallCore) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Programme\Daemon Tools\dotNetFx40_Full_setup.exe (PUP.Optional.OpenCandy) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Roaming\mysearchdial\icons_2.2.15.1631\62.ico (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\*****\AppData\Roaming\mysearchdial\icons_2.2.15.1631\80.ico (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0\FavIcon.ico (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0\Sqlite3.dll (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Program Files (x86)\Mysearchdial\1.8.21.0\uninstall.exe (PUP.Optional.MySearchDial.A) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)

# AdwCleaner v3.019 - Bericht erstellt am 23/02/2014 um 18:23:42
# Aktualisiert 17/02/2014 von Xplode
# Betriebssystem : Windows 7 Home Premium Service Pack 1 (64 bits)
# Benutzername : ***** - *****-PC
# Gestartet von : D:\Programme\AdwCleaner\AdwCleaner.exe
# Option : Löschen

***** [ Dienste ] *****

***** [ Dateien / Ordner ] *****

Ordner Gelöscht : C:\Windows\SysWOW64\AI_RecycleBin
Ordner Gelöscht : C:\Users\*****\Documents\PC Speed Maximizer
Ordner Gelöscht : C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\Extensions\{ACAA314B-EEBA-48E4-AD47-84E31C44796C}
Datei Gelöscht : C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\user.js

***** [ Verknüpfungen ] *****

***** [ Registrierungsdatenbank ] *****

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\escort.DLL
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\escortApp.DLL
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\escortEng.DLL
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\escorTlbr.DLL
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\esrv.EXE
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\{09C554C3-109B-483C-A06B-F14172F1A947}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\{4E1E9D45-8BF9-4139-915C-9F83CC3D5921}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\{B12E99ED-69BD-437C-86BE-C862B9E5444D}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\{C292AD0A-C11F-479B-B8DB-743E72D283B0}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\AppID\{D7EE8177-D51E-4F89-92B6-83EA2EC40800}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{1AA60054-57D9-4F99-9A55-D0FBFBE7ECD3}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{4E1E9D45-8BF9-4139-915C-9F83CC3D5921}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{D7EE8177-D51E-4F89-92B6-83EA2EC40800}
Schlüssel Gelöscht : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{77AA745B-F4F8-45DA-9B14-61D2D95054C8}
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{77AA745B-F4F8-45DA-9B14-61D2D95054C8}
Schlüssel Gelöscht : HKCU\Software\caphyon
Schlüssel Gelöscht : HKLM\Software\caphyon
Schlüssel Gelöscht : HKLM\Software\InstallCore

***** [ Browser ] *****

-\\ Internet Explorer v11.0.9600.16518

Einstellung Wiederhergestellt : HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls [Tabs]
Einstellung Wiederhergestellt : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Start Page]

-\\ Mozilla Firefox v

[ Datei : C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\prefs.js ]

*************************

AdwCleaner[R0].txt - [3293 octets] - [23/02/2014 18:20:38]
AdwCleaner[R1].txt - [3353 octets] - [23/02/2014 18:22:49]
AdwCleaner[S0].txt - [2744 octets] - [23/02/2014 18:23:42]

########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [2804 octets] ##########

Ergänzung (23. Februar 2014)

# AdwCleaner v3.019 - Bericht erstellt am 23/02/2014 um 18:28:52
# Aktualisiert 17/02/2014 von Xplode
# Betriebssystem : Windows 7 Home Premium Service Pack 1 (64 bits)
# Benutzername : ***** - *****-PC
# Gestartet von : D:\Programme\AdwCleaner\AdwCleaner.exe
# Option : Löschen

***** [ Dienste ] *****

***** [ Dateien / Ordner ] *****

***** [ Verknüpfungen ] *****

***** [ Registrierungsdatenbank ] *****

***** [ Browser ] *****

-\\ Internet Explorer v11.0.9600.16518

-\\ Mozilla Firefox v

[ Datei : C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\prefs.js ]

*************************

AdwCleaner[R0].txt - [3293 octets] - [23/02/2014 18:20:38]
AdwCleaner[R1].txt - [3353 octets] - [23/02/2014 18:22:49]
AdwCleaner[R2].txt - [987 octets] - [23/02/2014 18:28:10]
AdwCleaner[S0].txt - [2892 octets] - [23/02/2014 18:23:42]
AdwCleaner[S1].txt - [909 octets] - [23/02/2014 18:28:52]

########## EOF - C:\AdwCleaner\AdwCleaner[S1].txt - [968 octets] ##########

Freak-X · 23. Februar 2014

Tja, heute mus man leider immer SEHR genau hingucken, was man sich installiert (KEINE Express/Automatische Installationen wählen!) - Wie ich heute gesehen habe, will einem seit Neuestem sogar der VLC-Player so einen Rotz mitinstallieren.

- microsoft essentials, nichts gefunden

MSE Microsoft finden sowieso nie was...

Meine Frage ist nun, sollte ich den PC neu aufsetzen, oder welche Maßnahmen sollte ich nun vornehmen?

Die Frage ist: ist dein System denn nun wieder OK? Oder gibt es noch Probleme?

Wilhelm14 · 23. Februar 2014

Das Ding ist ja kein Virus an sich, sondern vergurkt die Startseiten und Suchmaschinen des Browsers. Das kommt von Alcohol 52 und steht sogar unter dem Download. http://www.chip.de/downloads/Alcohol-120-Vollversion_59137712.html
Dort steht auch, wie man den Browser wieder gerade biegt. http://www.chip.de/news/Qv06-entfernen-So-werden-Sie-den-Browser-Virus-los_62962302.html
Wenn es wirklich "nur" eine Toolbar war, würde ich nicht neu installieren.

TimBerlin · 23. Februar 2014

habe mir die alkohol52 seite bei chip angesehen.
sind's die augen...
steht doch alles da, wörtlich:

Hinweis: Wählen Sie unbedingt die "erweiterte Installation" und deaktivieren Sie alle gesetzten Häkchen und lehnen Sie Zusatz-Software ab, um sich nicht unnötig eine Toolbar und ungewollte Browser-Einstellungen einzufangen. "Alcohol 52%" will zudem gleich mehrere Software-Komponenten installieren, die Sie allesamt nicht benötigen.

Freak-X · 23. Februar 2014

habe mir die alkohol52 seite bei chip angesehen.
sind's die augen...
steht doch alles da, wörtlich:

Hinweis: Wählen Sie unbedingt die "erweiterte Installation" und deaktivieren Sie alle gesetzten Häkchen und lehnen Sie Zusatz-Software ab, um sich nicht unnötig eine Toolbar und ungewollte Browser-Einstellungen einzufangen. "Alcohol 52%" will zudem gleich mehrere Software-Komponenten installieren, die Sie allesamt nicht benötigen.

Naja, sei es die Datensicherung, der Virenschutz oder solche Adware-Fallen: Du kannst es so oft sagen, wie du willst: Es bringt einfach nichts. Leider muss man ja immer aus Erfahrung lernen... Man lernt immer erst, wenn man auf die Schnauze fliegt...

GNR · 23. Februar 2014

Zunächst habt Dank für die schnellen Antworten.

@Freak-X:
Nein, ich habe keine weiteren Probleme, noch wiederholte sich das Problem, dass sich die startseite ändert, wie es bei anderen der Fall ist.

@Wilhelm14:
Ahh, danke! Hätte wohl nicht blind auf den download-button drücken dürfen, selbst antiviren und malwareprgramme schützen vor der eigenen Dummheit nicht. :/

Scheinbar, war nur die Toolbar betroffen, und die qv06 finde ich auch nicht (mehr?).

Obligatorisches Edit:
Es ist Jahre her, dass ich etwas von chip.de gezogen hab, und hatte nicht in Erinnerung, dass zusätzliche software angeboten/mit installiert wird, wenn nicht manuell deaktiviert.
Für gewöhnlich schau ich auch genau hin, aber heute hab ich wohl geschlafen.

Freak-X · 23. Februar 2014

@Freak-X:
Nein, ich habe keine weiteren Probleme, noch wiederholte sich das Problem, dass sich die startseite ändert, wie es bei anderen der Fall ist.

Dann gibt es in meinen Augen keinen Grund, mehr zu tun...

Randy89 · 23. Februar 2014

Freak-X schrieb:
Wie ich heute gesehen habe, will einem seit Neuestem sogar der VLC-Player so einen Rotz mitinstallieren.

Warst du auf videolan.org (offizielle Herstellerseite) oder auf vlc.de?
Wenn du dir das Setup von ersterem herunterlädst, befindet sich auch keine Adware drinn. Aber ich klick dort auch nicht auf den erstbesten Downloadbutton, sondern auf die Übersicht zu den VLC-Downloads für Windows und von dort auf den Link zu der 64 Bit-Version, die mich zu folgendem Link führt, von dem ich letztendlich das Setup herunterlade:
http://download.videolan.org/pub/videolan/vlc/last/win64/

- FRST, nichts gefunden

Kannst du überhaupt die FRST-Logs auswerten? Wenn nein, würde ich vorschlagen, du hängst beide (FRST+Addition) an, damit emlyn d. drüberschauen kann.

D:\Programme\Adobe_Photoshop_CS3_Extended_v10.0_Deutsch_Portable\Files\asneu.dll (Trojan.Agent.ED)

Kannst du die Datei auf Virus Total hochladen?

Ansonsten auch mal Junkware Removal Tool (http://thisisudax.org/) per Rechtsklick als Administrator ausführen.

Freak-X · 23. Februar 2014

Warst du auf videolan.org (offizielle Herstellerseite) oder auf vlc.de?
Wenn du dir das Setup von ersterem herunterlädst, befindet sich auch keine Adware drinn. Aber ich klick dort auch nicht auf den erstbesten Downloadbutton, sondern auf die Übersicht zu den VLC-Downloads für Windows und von dort auf den Link zu der 64 Bit-Version, die mich zu folgendem Link führt, von dem ich letztendlich das Setup herunterlade:
http://download.videolan.org/pub/vid...lc/last/win64/

Hast recht, ich war auf vlc.de - Aber ich finde das trotzdem schlimm...

Randy89 · 23. Februar 2014

@ Freak-X: Ja, solche Seiten nutzen halt die Unwissenheit der Leute aus, die mal schnell nach "VLC" googlen und auch vlc(.de) bekommen.

@ GNR: Was ist eigentlich "dotNetFx50_full_setup.exe" für ein Programm?

Freak-X · 23. Februar 2014

@ Freak-X: Ja, solche Seiten nutzen halt die Unwissenheit der Leute aus, die mal schnell nach "VLC" googlen und auch vlc(.de) bekommen.

naja, zum Glück bin ich ja wissend genug, um sowas zu sehen. Habe dann erst mal schön die Optionen abgehakt... Bin nur heute darüber gestolpert und war etwas enttäuscht von Videolan; dass die sowas mitmachen...

@ GNR: Was ist eigentlich "dotNetFx50_full_setup.exe" für ein Programm?

Net. Framework

Randy89 · 23. Februar 2014

Freak-X schrieb:
Bin nur heute darüber gestolpert und war etwas enttäuscht von Videolan; dass die sowas mitmachen...

Da bist du nicht der einzige. Ist mir selber passiert, war auch schon enttäuscht, dass plötzlich Werbesoftware im Installer drinn sein sollte.
Hätte ich nur besser auf die VT-Analyse gehört:
Adware inside
"Probably harmless!".
Damals war beim letzteren nichtmal ein Fehlalarm vorhanden.

Ich hab nach der Installation mit Adware Cleaner, Frst und Junkware Removal Tool nachgeschaut, ob sich irgendwas bezüglich PUPs verändert hat und hab auch die Addon und Programm-Liste nochmal doppelt gecheckt und nichts gefunden.
Aus Prinzip hab ich dann den mit Adware gebündelten VLC Player komplett deinstalliert, das Setup von Videolan.org installiert, welches direkt mit der Belehrung und dem Satz am Ende "you are now aware of your rights"/"Sie sind nun über ihre Rechte informiert" (oder so ähnlich) beginnt, im Gegensatz zum anderen Setup.

Net. Framework

Danke, das war mir bei dem Namen wohl nicht ersichtlich.

GNR · 24. Februar 2014

Anhang anzeigen addition.txt Anhang anzeigen Rkill.txt

Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 23-02-2014 01
Ran by ***** (administrator) on *****-PC on 23-02-2014 18:41:57
Running from C:\Users\*****\Desktop
Windows 7 Home Premium Service Pack 1 (X64) OS Language: German Standard
Internet Explorer Version 11
Boot Mode: Normal

The only official download link for FRST:
Download link for 32-Bit version: http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/81/
Download link for 64-Bit Version: http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/82/
Download link from any site other than Bleeping Computer is unpermitted or outdated.
See tutorial for FRST: http://www.geekstogo.com/forum/topic/335081-frst-tutorial-how-to-use-farbar-recovery-scan-tool/

==================== Processes (Whitelisted) =================

(Microsoft Corporation) C:\Program Files\Microsoft Security Client\MsMpEng.exe
(AMD) C:\Windows\system32\atiesrxx.exe
(AMD) C:\Windows\system32\atieclxx.exe
(Advanced Micro Devices, Inc.) D:\Treiber\ATI Technologies\ATI.ACE\Fuel\Fuel.Service.exe
(Apple Inc.) C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
(Malwarebytes Corporation) D:\Programme\malware bytes\mbamscheduler.exe
(Malwarebytes Corporation) D:\Programme\malware bytes\mbamservice.exe
(Malwarebytes Corporation) D:\Programme\malware bytes\mbamgui.exe
(Logitech Inc.) C:\Program Files\Logitech\GamePanel Software\LGDevAgt.exe
(Logitech Inc.) C:\Program Files\Logitech\GamePanel Software\LCD Manager\LCDMon.exe
(Logitech Inc.) C:\Program Files\Logitech\GamePanel Software\G-series Software\LGDCore.exe
(Microsoft Corporation) C:\Program Files\Microsoft Security Client\msseces.exe
(Brother Industries, Ltd.) C:\Program Files (x86)\Brother\ControlCenter3\brccMCtl.exe
(Adobe Systems Incorporated) C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe
(Oracle Corporation) C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
(Apple Inc.) D:\Programme\iTunes\iTunesHelper.exe
(Advanced Micro Devices Inc.) D:\Treiber\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
(Apple Inc.) C:\Program Files\iPod\bin\iPodService.exe
(ATI Technologies Inc.) D:\Treiber\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
(Microsoft Corporation) C:\Program Files\Microsoft Security Client\NisSrv.exe
(Microsoft Corporation) C:\Windows\system32\msiexec.exe
(TeamSpeak Systems GmbH) D:\Programme\TeamSpeak 3\ts3client_win64.exe
(Malwarebytes Corporation) D:\Programme\malware bytes\mbam.exe
(Mozilla Corporation) D:\Programme\Mozilla Firefox\firefox.exe
(Mozilla Corporation) D:\Programme\Mozilla Firefox\plugin-container.exe
(Adobe Systems, Inc.) C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_12_0_0_70.exe
(Adobe Systems, Inc.) C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_12_0_0_70.exe
(Microsoft Corporation) C:\Program Files\Microsoft Security Client\MpCmdRun.exe

==================== Registry (Whitelisted) ==================

HKLM\...\Run: [Launch LgDeviceAgent] - C:\Program Files\Logitech\GamePanel Software\LgDevAgt.exe [415816 2010-08-03] (Logitech Inc.)
HKLM\...\Run: [Launch LCDMon] - C:\Program Files\Logitech\GamePanel Software\LCD Manager\LCDMon.exe [2412616 2010-08-03] (Logitech Inc.)
HKLM\...\Run: [Launch LGDCore] - C:\Program Files\Logitech\GamePanel Software\G-series Software\LGDCore.exe [4725320 2010-08-03] (Logitech Inc.)
HKLM\...\Run: [MSC] - C:\Program Files\Microsoft Security Client\msseces.exe [1266912 2013-10-23] (Microsoft Corporation)
HKLM-x32\...\Run: [ControlCenter3] - C:\Program Files (x86)\Brother\ControlCenter3\brctrcen.exe [114688 2008-12-24] (Brother Industries, Ltd.)
HKLM-x32\...\Run: [Adobe ARM] - C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe [946352 2012-12-03] (Adobe Systems Incorporated)
HKLM-x32\...\Run: [APSDaemon] - C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe [59720 2013-04-21] (Apple Inc.)
HKLM-x32\...\Run: [SunJavaUpdateSched] - C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe [254336 2013-07-02] (Oracle Corporation)
HKLM-x32\...\Run: [iTunesHelper] - D:\Programme\iTunes\iTunesHelper.exe [152392 2013-10-01] (Apple Inc.)
HKLM-x32\...\Run: [StartCCC] - D:\Treiber\ATI Technologies\ATI.ACE\Core-Static\amd64\CLIStart.exe [766208 2013-12-06] (Advanced Micro Devices, Inc.)
HKU\.DEFAULT\...\RunOnce: [SPReview] - C:\Windows\System32\SPReview\SPReview.exe [301568 2013-03-21] (Microsoft Corporation)
HKU\S-1-5-21-995344294-4261489575-2025338415-1001\...\MountPoints2: {d8a90be0-1a05-11e2-9746-6cf049786151} - G:\setup_vmc_lite.exe /checkApplicationPresence
HKU\S-1-5-21-995344294-4261489575-2025338415-1001\...\MountPoints2: {d8a90c8b-1a05-11e2-9746-6cf049786151} - G:\setup_vmc_lite.exe /checkApplicationPresence

==================== Internet (Whitelisted) ====================

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = http://de.msn.com/?ocid=iehp
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 0x4B4290BB3E01CE01
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de-DE
SearchScopes: HKLM - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=irmsd0202ff&cd=2XzuyEtN2Y1L1QzuyC0C0FtDyEzyyBzzyCtCyDtCyCzytAyDtN0D0Tzu0SyBzzyEtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=568254385&ir=
SearchScopes: HKLM - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=irmsd0202ff&cd=2XzuyEtN2Y1L1QzuyC0C0FtDyEzyyBzzyCtCyDtCyCzytAyDtN0D0Tzu0SyBzzyEtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=568254385&ir=
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=irmsd0202ff&cd=2XzuyEtN2Y1L1QzuyC0C0FtDyEzyyBzzyCtCyDtCyCzytAyDtN0D0Tzu0SyBzzyEtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=568254385&ir=
BHO-x32: Adobe PDF Link Helper - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated)
BHO-x32: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre7\bin\ssv.dll (Oracle Corporation)
BHO-x32: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre7\bin\jp2ssv.dll (Oracle Corporation)
Handler-x32: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Program Files (x86)\Common Files\Skype\Skype4COM.dll (Skype Technologies)
Tcpip\Parameters: [DhcpNameServer] 192.168.178.1

FireFox:
========
FF ProfilePath: C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default
FF Homepage: https://encrypted.google.com/
FF NetworkProxy: "ftp", "199.30.136.117"
FF NetworkProxy: "ftp_port", 8089
FF NetworkProxy: "http", "199.30.136.117"
FF NetworkProxy: "http_port", 8089
FF NetworkProxy: "no_proxies_on", "localhost, 127.0.0.1, stealthy.co"
FF NetworkProxy: "share_proxy_settings", true
FF NetworkProxy: "socks", "199.30.136.117"
FF NetworkProxy: "socks_port", 8089
FF NetworkProxy: "ssl", "199.30.136.117"
FF NetworkProxy: "ssl_port", 8089
FF NetworkProxy: "type", 0
FF Plugin: @adobe.com/FlashPlayer - C:\Windows\system32\Macromed\Flash\NPSWF64_12_0_0_70.dll ()
FF Plugin-x32: @adobe.com/FlashPlayer - C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_12_0_0_70.dll ()
FF Plugin-x32: @Apple.com/iTunes,version=1.0 - D:\Programme\iTunes\Mozilla Plugins\npitunes.dll ()
FF Plugin-x32: @idsoftware.com/QuakeLive - C:\ProgramData\id Software\QuakeLive\npquakezero.dll (id Software Inc.)
FF Plugin-x32: @java.com/DTPlugin,version=10.51.2 - C:\Program Files (x86)\Java\jre7\bin\dtplugin\npDeployJava1.dll (Oracle Corporation)
FF Plugin-x32: @java.com/JavaPlugin,version=10.51.2 - C:\Program Files (x86)\Java\jre7\bin\plugin2\npjp2.dll (Oracle Corporation)
FF Plugin-x32: @pandonetworks.com/PandoWebPlugin - C:\Program Files (x86)\Pando Networks\Media Booster\npPandoWebPlugin.dll No File
FF Plugin-x32: @videolan.org/vlc,version=2.1.2 - D:\Programme\VLC\npvlc.dll (VideoLAN)
FF Plugin-x32: Adobe Reader - C:\Program Files (x86)\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
FF Extension: FT DeepDark - C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\Extensions\{77d2ed30-4cd2-11e0-b8af-0800200c9a66} [2014-02-23]
FF Extension: FT SleekDark - C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\Extensions\{a21cd440-41d6-11e0-9207-0800200c9a66} [2012-05-10]
FF Extension: Personas Plus - C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\Extensions\personas@christopher.beard.xpi [2012-03-24]
FF Extension: Stealthy - C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\Extensions\stealthyextension@gmail.com.xpi [2012-03-24]
FF Extension: Adblock Plus - C:\Users\*****\AppData\Roaming\Mozilla\Firefox\Profiles\jsew9qhs.default\Extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi [2012-03-24]
FF StartMenuInternet: FIREFOX.EXE - D:\Programme\Mozilla Firefox\firefox.exe

==================== Services (Whitelisted) =================

R2 AMD FUEL Service; D:\Treiber\ATI Technologies\ATI.ACE\Fuel\Fuel.Service.exe [344064 2013-12-06] (Advanced Micro Devices, Inc.)
R2 MBAMScheduler; D:\Programme\malware bytes\mbamscheduler.exe [418376 2013-04-04] (Malwarebytes Corporation)
R2 MBAMService; D:\Programme\malware bytes\mbamservice.exe [701512 2013-04-04] (Malwarebytes Corporation)
R2 MsMpSvc; C:\Program Files\Microsoft Security Client\MsMpEng.exe [23808 2013-10-23] (Microsoft Corporation)
R3 NisSrv; C:\Program Files\Microsoft Security Client\NisSrv.exe [348376 2013-10-23] (Microsoft Corporation)
S2 SkypeUpdate; D:\Programme\Skype\Updater\Updater.exe [171680 2013-09-05] (Skype Technologies)

==================== Drivers (Whitelisted) ====================

R2 AODDriver4.2.0; D:\Treiber\ATI Technologies\ATI.ACE\Fuel\amd64\AODDriver2.sys [59648 2013-09-19] (Advanced Micro Devices)
R3 MBAMProtector; C:\Windows\system32\drivers\mbam.sys [25928 2013-04-04] (Malwarebytes Corporation)
R0 MpFilter; C:\Windows\System32\DRIVERS\MpFilter.sys [248240 2013-09-27] (Microsoft Corporation)
R2 NisDrv; C:\Windows\System32\DRIVERS\NisDrvWFP.sys [134944 2013-09-27] (Microsoft Corporation)
R0 sptd; C:\Windows\System32\Drivers\sptd.sys [386680 2014-02-23] (Duplex Secure Ltd.)

==================== NetSvcs (Whitelisted) ===================

==================== One Month Created Files and Folders ========

2014-02-23 18:41 - 2014-02-23 18:42 - 00010699 _____ () C:\Users\*****e\Desktop\FRST.txt
2014-02-23 18:41 - 2014-02-23 18:41 - 02155520 _____ (Farbar) C:\Users\*****\Desktop\FRST64.exe
2014-02-23 18:41 - 2014-02-23 18:41 - 00000000 ____D () C:\FRST
2014-02-23 18:30 - 2014-02-23 18:30 - 00001047 _____ () C:\Users\*****\Desktop\AdwCleaner[S1].txt
2014-02-23 18:26 - 2014-02-23 18:26 - 00002892 _____ () C:\Users\*****\Desktop\AdwCleaner[S0].txt
2014-02-23 18:20 - 2014-02-23 18:28 - 00000000 ____D () C:\AdwCleaner
2014-02-23 16:07 - 2013-04-04 14:50 - 00025928 _____ (Malwarebytes Corporation) C:\Windows\system32\Drivers\mbam.sys
2014-02-23 12:57 - 2014-02-23 12:57 - 00386680 _____ (Duplex Secure Ltd.) C:\Windows\system32\Drivers\sptd.sys
2014-02-23 12:55 - 2014-02-23 12:55 - 08813392 _____ (Alcohol Soft Development Team) C:\Users\*****\Downloads\_Alcohol52_FE_2.0.2.5830.exe
2014-02-23 08:40 - 2014-02-23 12:49 - 00000000 ____D () C:\Users\Public\Documents\DAEMON Tools Images
2014-02-23 08:38 - 2014-02-23 08:39 - 00000000 ____D () C:\Users\*****\AppData\Roaming\DAEMON Tools Lite
2014-02-23 08:18 - 2014-02-23 08:18 - 00808448 _____ () C:\Users\*****\Desktop\ISORecorder31x64.msi
2014-02-22 09:33 - 2014-02-22 09:33 - 17858952 _____ (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerInstaller.exe
2014-02-15 16:58 - 2014-02-15 16:58 - 00276016 _____ () C:\Windows\Minidump\021514-17924-01.dmp
2014-02-14 14:09 - 2014-02-22 11:32 - 00000000 ____D () C:\Users\*****\.pyfa
2014-02-14 01:39 - 2013-12-21 10:53 - 00548864 _____ (Microsoft Corporation) C:\Windows\system32\vbscript.dll
2014-02-14 01:39 - 2013-12-21 09:56 - 00454656 _____ (Microsoft Corporation) C:\Windows\SysWOW64\vbscript.dll
2014-02-14 01:38 - 2014-02-06 13:16 - 23170048 _____ (Microsoft Corporation) C:\Windows\system32\mshtml.dll
2014-02-14 01:38 - 2014-02-06 12:30 - 02724864 _____ (Microsoft Corporation) C:\Windows\system32\mshtml.tlb
2014-02-14 01:38 - 2014-02-06 12:30 - 00004096 _____ (Microsoft Corporation) C:\Windows\system32\ieetwcollectorres.dll
2014-02-14 01:38 - 2014-02-06 12:12 - 02765824 _____ (Microsoft Corporation) C:\Windows\system32\iertutil.dll
2014-02-14 01:38 - 2014-02-06 12:07 - 00066048 _____ (Microsoft Corporation) C:\Windows\system32\iesetup.dll
2014-02-14 01:38 - 2014-02-06 12:06 - 00048640 _____ (Microsoft Corporation) C:\Windows\system32\ieetwproxystub.dll
2014-02-14 01:38 - 2014-02-06 11:57 - 00053760 _____ (Microsoft Corporation) C:\Windows\system32\jsproxy.dll
2014-02-14 01:38 - 2014-02-06 11:56 - 00033792 _____ (Microsoft Corporation) C:\Windows\system32\iernonce.dll
2014-02-14 01:38 - 2014-02-06 11:52 - 00574976 _____ (Microsoft Corporation) C:\Windows\system32\ieui.dll
2014-02-14 01:38 - 2014-02-06 11:49 - 00139264 _____ (Microsoft Corporation) C:\Windows\system32\ieUnatt.exe
2014-02-14 01:38 - 2014-02-06 11:48 - 00708608 _____ (Microsoft Corporation) C:\Windows\system32\jscript9diag.dll
2014-02-14 01:38 - 2014-02-06 11:48 - 00111616 _____ (Microsoft Corporation) C:\Windows\system32\ieetwcollector.exe
2014-02-14 01:38 - 2014-02-06 11:38 - 17103872 _____ (Microsoft Corporation) C:\Windows\SysWOW64\mshtml.dll
2014-02-14 01:38 - 2014-02-06 11:32 - 00218624 _____ (Microsoft Corporation) C:\Windows\system32\ie4uinit.exe
2014-02-14 01:38 - 2014-02-06 11:20 - 02724864 _____ (Microsoft Corporation) C:\Windows\SysWOW64\mshtml.tlb
2014-02-14 01:38 - 2014-02-06 11:17 - 00195584 _____ (Microsoft Corporation) C:\Windows\system32\msrating.dll
2014-02-14 01:38 - 2014-02-06 11:11 - 05768704 _____ (Microsoft Corporation) C:\Windows\system32\jscript9.dll
2014-02-14 01:38 - 2014-02-06 11:01 - 00061952 _____ (Microsoft Corporation) C:\Windows\SysWOW64\iesetup.dll
2014-02-14 01:38 - 2014-02-06 11:00 - 00051200 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieetwproxystub.dll
2014-02-14 01:38 - 2014-02-06 10:57 - 02168320 _____ (Microsoft Corporation) C:\Windows\SysWOW64\iertutil.dll
2014-02-14 01:38 - 2014-02-06 10:57 - 00627200 _____ (Microsoft Corporation) C:\Windows\system32\msfeeds.dll
2014-02-14 01:38 - 2014-02-06 10:52 - 00043008 _____ (Microsoft Corporation) C:\Windows\SysWOW64\jsproxy.dll
2014-02-14 01:38 - 2014-02-06 10:52 - 00032768 _____ (Microsoft Corporation) C:\Windows\SysWOW64\iernonce.dll
2014-02-14 01:38 - 2014-02-06 10:50 - 02041856 _____ (Microsoft Corporation) C:\Windows\system32\inetcpl.cpl
2014-02-14 01:38 - 2014-02-06 10:49 - 00440832 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieui.dll
2014-02-14 01:38 - 2014-02-06 10:47 - 00112128 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieUnatt.exe
2014-02-14 01:38 - 2014-02-06 10:46 - 00553472 _____ (Microsoft Corporation) C:\Windows\SysWOW64\jscript9diag.dll
2014-02-14 01:38 - 2014-02-06 10:25 - 04244480 _____ (Microsoft Corporation) C:\Windows\SysWOW64\jscript9.dll
2014-02-14 01:38 - 2014-02-06 10:25 - 00164864 _____ (Microsoft Corporation) C:\Windows\SysWOW64\msrating.dll
2014-02-14 01:38 - 2014-02-06 10:24 - 02334208 _____ (Microsoft Corporation) C:\Windows\system32\wininet.dll
2014-02-14 01:38 - 2014-02-06 10:22 - 13051392 _____ (Microsoft Corporation) C:\Windows\system32\ieframe.dll
2014-02-14 01:38 - 2014-02-06 10:13 - 00524288 _____ (Microsoft Corporation) C:\Windows\SysWOW64\msfeeds.dll
2014-02-14 01:38 - 2014-02-06 10:09 - 01964032 _____ (Microsoft Corporation) C:\Windows\SysWOW64\inetcpl.cpl
2014-02-14 01:38 - 2014-02-06 10:03 - 11266048 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieframe.dll
2014-02-14 01:38 - 2014-02-06 09:55 - 01393664 _____ (Microsoft Corporation) C:\Windows\system32\urlmon.dll
2014-02-14 01:38 - 2014-02-06 09:41 - 01820160 _____ (Microsoft Corporation) C:\Windows\SysWOW64\wininet.dll
2014-02-14 01:38 - 2014-02-06 09:40 - 00817664 _____ (Microsoft Corporation) C:\Windows\system32\ieapfltr.dll
2014-02-14 01:38 - 2014-02-06 09:36 - 01156096 _____ (Microsoft Corporation) C:\Windows\SysWOW64\urlmon.dll
2014-02-14 01:38 - 2014-02-06 09:34 - 00703488 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieapfltr.dll
2014-02-13 20:57 - 2014-01-01 00:05 - 00420008 _____ () C:\Windows\SysWOW64\locale.nls
2014-02-13 20:57 - 2014-01-01 00:04 - 00420008 _____ () C:\Windows\system32\locale.nls
2014-02-13 20:57 - 2013-12-06 03:30 - 01882112 _____ (Microsoft Corporation) C:\Windows\system32\msxml3.dll
2014-02-13 20:57 - 2013-12-06 03:30 - 00002048 _____ (Microsoft Corporation) C:\Windows\system32\msxml3r.dll
2014-02-13 20:57 - 2013-12-06 03:02 - 01237504 _____ (Microsoft Corporation) C:\Windows\SysWOW64\msxml3.dll
2014-02-13 20:57 - 2013-12-06 03:02 - 00002048 _____ (Microsoft Corporation) C:\Windows\SysWOW64\msxml3r.dll
2014-02-13 20:56 - 2013-12-25 00:09 - 01987584 _____ (Microsoft Corporation) C:\Windows\SysWOW64\d3d10warp.dll
2014-02-13 20:56 - 2013-12-24 23:48 - 02565120 _____ (Microsoft Corporation) C:\Windows\system32\d3d10warp.dll
2014-02-13 20:56 - 2013-12-04 03:27 - 00488448 _____ (Microsoft Corporation) C:\Windows\system32\secproc.dll
2014-02-13 20:56 - 2013-12-04 03:27 - 00485888 _____ (Microsoft Corporation) C:\Windows\system32\secproc_isv.dll
2014-02-13 20:56 - 2013-12-04 03:27 - 00123392 _____ (Microsoft Corporation) C:\Windows\system32\secproc_ssp_isv.dll
2014-02-13 20:56 - 2013-12-04 03:27 - 00123392 _____ (Microsoft Corporation) C:\Windows\system32\secproc_ssp.dll
2014-02-13 20:56 - 2013-12-04 03:26 - 00528384 _____ (Microsoft Corporation) C:\Windows\system32\msdrm.dll
2014-02-13 20:56 - 2013-12-04 03:16 - 00658432 _____ (Microsoft Corporation) C:\Windows\system32\RMActivate_isv.exe
2014-02-13 20:56 - 2013-12-04 03:16 - 00626176 _____ (Microsoft Corporation) C:\Windows\system32\RMActivate.exe
2014-02-13 20:56 - 2013-12-04 03:16 - 00553984 _____ (Microsoft Corporation) C:\Windows\system32\RMActivate_ssp.exe
2014-02-13 20:56 - 2013-12-04 03:16 - 00552960 _____ (Microsoft Corporation) C:\Windows\system32\RMActivate_ssp_isv.exe
2014-02-13 20:56 - 2013-12-04 03:03 - 00428032 _____ (Microsoft Corporation) C:\Windows\SysWOW64\secproc.dll
2014-02-13 20:56 - 2013-12-04 03:03 - 00423936 _____ (Microsoft Corporation) C:\Windows\SysWOW64\secproc_isv.dll
2014-02-13 20:56 - 2013-12-04 03:03 - 00087040 _____ (Microsoft Corporation) C:\Windows\SysWOW64\secproc_ssp_isv.dll
2014-02-13 20:56 - 2013-12-04 03:03 - 00087040 _____ (Microsoft Corporation) C:\Windows\SysWOW64\secproc_ssp.dll
2014-02-13 20:56 - 2013-12-04 03:02 - 00390144 _____ (Microsoft Corporation) C:\Windows\SysWOW64\msdrm.dll
2014-02-13 20:56 - 2013-12-04 02:54 - 00594944 _____ (Microsoft Corporation) C:\Windows\SysWOW64\RMActivate_isv.exe
2014-02-13 20:56 - 2013-12-04 02:54 - 00572416 _____ (Microsoft Corporation) C:\Windows\SysWOW64\RMActivate.exe
2014-02-13 20:56 - 2013-12-04 02:54 - 00510976 _____ (Microsoft Corporation) C:\Windows\SysWOW64\RMActivate_ssp.exe
2014-02-13 20:56 - 2013-12-04 02:54 - 00508928 _____ (Microsoft Corporation) C:\Windows\SysWOW64\RMActivate_ssp_isv.exe
2014-02-13 20:56 - 2013-11-26 09:16 - 03419136 _____ (Microsoft Corporation) C:\Windows\SysWOW64\d2d1.dll
2014-02-13 20:56 - 2013-11-22 23:48 - 03928064 _____ (Microsoft Corporation) C:\Windows\system32\d2d1.dll
2014-02-12 08:16 - 2014-02-12 08:16 - 00032674 _____ () C:\Users\*****\Documents\EVEMon_Settings_3611.xml.bak
2014-02-11 23:21 - 2014-02-11 23:21 - 00276016 _____ () C:\Windows\Minidump\021114-18766-01.dmp
2014-02-08 00:43 - 2014-02-08 00:43 - 00000000 ____D () C:\Users\*****\AppData\Local\EdgeOfReality
2014-01-30 15:44 - 2013-12-18 21:09 - 00096168 _____ (Oracle Corporation) C:\Windows\SysWOW64\WindowsAccessBridge-32.dll
2014-01-30 15:44 - 2013-12-18 21:04 - 00264616 _____ (Oracle Corporation) C:\Windows\SysWOW64\javaws.exe
2014-01-30 15:44 - 2013-12-18 21:04 - 00175016 _____ (Oracle Corporation) C:\Windows\SysWOW64\javaw.exe
2014-01-30 15:44 - 2013-12-18 21:03 - 00174504 _____ (Oracle Corporation) C:\Windows\SysWOW64\java.exe
2014-01-30 15:43 - 2014-01-30 15:44 - 00005327 _____ () C:\Windows\SysWOW64\jupdate-1.7.0_51-b13.log

==================== One Month Modified Files and Folders =======

2014-02-23 18:42 - 2014-02-23 18:41 - 00010699 _____ () C:\Users\*****\Desktop\FRST.txt
2014-02-23 18:41 - 2014-02-23 18:41 - 02155520 _____ (Farbar) C:\*****\*****\Desktop\FRST64.exe
2014-02-23 18:41 - 2014-02-23 18:41 - 00000000 ____D () C:\FRST
2014-02-23 18:37 - 2009-07-14 05:45 - 00014608 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
2014-02-23 18:37 - 2009-07-14 05:45 - 00014608 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
2014-02-23 18:33 - 2013-02-18 12:54 - 00000884 _____ () C:\Windows\Tasks\Adobe Flash Player Updater.job
2014-02-23 18:33 - 2012-03-24 18:16 - 01405907 _____ () C:\Windows\WindowsUpdate.log
2014-02-23 18:30 - 2014-02-23 18:30 - 00001047 _____ () C:\Users\*****\Desktop\AdwCleaner[S1].txt
2014-02-23 18:29 - 2009-07-14 06:08 - 00000006 ____H () C:\Windows\Tasks\SA.DAT
2014-02-23 18:29 - 2009-07-14 05:51 - 00088950 _____ () C:\Windows\setupact.log
2014-02-23 18:28 - 2014-02-23 18:20 - 00000000 ____D () C:\AdwCleaner
2014-02-23 18:26 - 2014-02-23 18:26 - 00002892 _____ () C:\Users\*****\Desktop\AdwCleaner[S0].txt
2014-02-23 18:09 - 2012-06-24 09:51 - 00208578 _____ () C:\Windows\PFRO.log
2014-02-23 16:27 - 2012-03-24 19:16 - 00000000 ____D () C:\Users\*****\AppData\Roaming\Skype
2014-02-23 15:47 - 2009-07-14 18:58 - 00699432 _____ () C:\Windows\system32\perfh007.dat
2014-02-23 15:47 - 2009-07-14 18:58 - 00149572 _____ () C:\Windows\system32\perfc007.dat
2014-02-23 15:47 - 2009-07-14 06:13 - 01620684 _____ () C:\Windows\system32\PerfStringBackup.INI
2014-02-23 12:57 - 2014-02-23 12:57 - 00386680 _____ (Duplex Secure Ltd.) C:\Windows\system32\Drivers\sptd.sys
2014-02-23 12:55 - 2014-02-23 12:55 - 08813392 _____ (Alcohol Soft Development Team) C:\Users\*****\Downloads\_Alcohol52_FE_2.0.2.5830.exe
2014-02-23 12:49 - 2014-02-23 08:40 - 00000000 ____D () C:\Users\Public\Documents\DAEMON Tools Images
2014-02-23 08:39 - 2014-02-23 08:38 - 00000000 ____D () C:\Users\*****\AppData\Roaming\DAEMON Tools Lite
2014-02-23 08:18 - 2014-02-23 08:18 - 00808448 _____ () C:\Users\*****\Desktop\ISORecorder31x64.msi
2014-02-22 11:32 - 2014-02-14 14:09 - 00000000 ____D () C:\Users\*****\.pyfa
2014-02-22 09:33 - 2014-02-22 09:33 - 17858952 _____ (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerInstaller.exe
2014-02-22 09:33 - 2013-02-18 12:54 - 00003822 _____ () C:\Windows\System32\Tasks\Adobe Flash Player Updater
2014-02-22 09:33 - 2012-04-01 11:35 - 00692616 _____ (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerApp.exe
2014-02-22 09:33 - 2012-03-24 20:17 - 00071048 _____ (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerCPLApp.cpl
2014-02-20 23:37 - 2012-03-25 13:19 - 00000000 ____D () C:\Users\*****\Documents\EVE
2014-02-16 22:49 - 2013-08-15 02:01 - 00000000 ____D () C:\Windows\system32\MRT
2014-02-16 22:47 - 2013-04-03 12:51 - 88567024 _____ (Microsoft Corporation) C:\Windows\system32\MRT.exe
2014-02-15 20:28 - 2014-01-10 22:53 - 16209207 _____ () C:\Users\*****\Desktop\*****.rar
2014-02-15 16:58 - 2014-02-15 16:58 - 00276016 _____ () C:\Windows\Minidump\021514-17924-01.dmp
2014-02-15 16:58 - 2012-07-24 13:20 - 461280948 _____ () C:\Windows\MEMORY.DMP
2014-02-15 16:58 - 2012-07-24 13:20 - 00000000 ____D () C:\Windows\Minidump
2014-02-15 09:37 - 2009-07-14 04:20 - 00000000 ____D () C:\Windows\rescache
2014-02-14 14:09 - 2012-03-24 18:21 - 00000000 ____D () C:\Users\*****
2014-02-14 13:59 - 2014-02-14 13:59 - 00000000 ____D () C:\Users\*****\.matplotlib
2014-02-14 01:40 - 2012-04-11 15:42 - 01594028 _____ () C:\Windows\SysWOW64\PerfStringBackup.INI
2014-02-13 12:32 - 2014-01-10 22:59 - 00000000 ____D () C:\Users\*****\Desktop\1_Data
2014-02-12 08:17 - 2012-03-28 19:22 - 00000000 ____D () C:\Users\*****\AppData\Roaming\EVEMon
2014-02-12 08:16 - 2014-02-12 08:16 - 00032674 _____ () C:\Users\*****\Documents\EVEMon_Settings_3611.xml.bak
2014-02-11 23:21 - 2014-02-11 23:21 - 00276016 _____ () C:\Windows\Minidump\021114-18766-01.dmp
2014-02-08 00:43 - 2014-02-08 00:43 - 00000000 ____D () C:\Users\*****\AppData\Local\EdgeOfReality
2014-02-06 13:16 - 2014-02-14 01:38 - 23170048 _____ (Microsoft Corporation) C:\Windows\system32\mshtml.dll
2014-02-06 12:30 - 2014-02-14 01:38 - 02724864 _____ (Microsoft Corporation) C:\Windows\system32\mshtml.tlb
2014-02-06 12:30 - 2014-02-14 01:38 - 00004096 _____ (Microsoft Corporation) C:\Windows\system32\ieetwcollectorres.dll
2014-02-06 12:12 - 2014-02-14 01:38 - 02765824 _____ (Microsoft Corporation) C:\Windows\system32\iertutil.dll
2014-02-06 12:07 - 2014-02-14 01:38 - 00066048 _____ (Microsoft Corporation) C:\Windows\system32\iesetup.dll
2014-02-06 12:06 - 2014-02-14 01:38 - 00048640 _____ (Microsoft Corporation) C:\Windows\system32\ieetwproxystub.dll
2014-02-06 11:57 - 2014-02-14 01:38 - 00053760 _____ (Microsoft Corporation) C:\Windows\system32\jsproxy.dll
2014-02-06 11:56 - 2014-02-14 01:38 - 00033792 _____ (Microsoft Corporation) C:\Windows\system32\iernonce.dll
2014-02-06 11:52 - 2014-02-14 01:38 - 00574976 _____ (Microsoft Corporation) C:\Windows\system32\ieui.dll
2014-02-06 11:49 - 2014-02-14 01:38 - 00139264 _____ (Microsoft Corporation) C:\Windows\system32\ieUnatt.exe
2014-02-06 11:48 - 2014-02-14 01:38 - 00708608 _____ (Microsoft Corporation) C:\Windows\system32\jscript9diag.dll
2014-02-06 11:48 - 2014-02-14 01:38 - 00111616 _____ (Microsoft Corporation) C:\Windows\system32\ieetwcollector.exe
2014-02-06 11:38 - 2014-02-14 01:38 - 17103872 _____ (Microsoft Corporation) C:\Windows\SysWOW64\mshtml.dll
2014-02-06 11:32 - 2014-02-14 01:38 - 00218624 _____ (Microsoft Corporation) C:\Windows\system32\ie4uinit.exe
2014-02-06 11:20 - 2014-02-14 01:38 - 02724864 _____ (Microsoft Corporation) C:\Windows\SysWOW64\mshtml.tlb
2014-02-06 11:17 - 2014-02-14 01:38 - 00195584 _____ (Microsoft Corporation) C:\Windows\system32\msrating.dll
2014-02-06 11:11 - 2014-02-14 01:38 - 05768704 _____ (Microsoft Corporation) C:\Windows\system32\jscript9.dll
2014-02-06 11:01 - 2014-02-14 01:38 - 00061952 _____ (Microsoft Corporation) C:\Windows\SysWOW64\iesetup.dll
2014-02-06 11:00 - 2014-02-14 01:38 - 00051200 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieetwproxystub.dll
2014-02-06 10:57 - 2014-02-14 01:38 - 02168320 _____ (Microsoft Corporation) C:\Windows\SysWOW64\iertutil.dll
2014-02-06 10:57 - 2014-02-14 01:38 - 00627200 _____ (Microsoft Corporation) C:\Windows\system32\msfeeds.dll
2014-02-06 10:52 - 2014-02-14 01:38 - 00043008 _____ (Microsoft Corporation) C:\Windows\SysWOW64\jsproxy.dll
2014-02-06 10:52 - 2014-02-14 01:38 - 00032768 _____ (Microsoft Corporation) C:\Windows\SysWOW64\iernonce.dll
2014-02-06 10:50 - 2014-02-14 01:38 - 02041856 _____ (Microsoft Corporation) C:\Windows\system32\inetcpl.cpl
2014-02-06 10:49 - 2014-02-14 01:38 - 00440832 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieui.dll
2014-02-06 10:47 - 2014-02-14 01:38 - 00112128 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieUnatt.exe
2014-02-06 10:46 - 2014-02-14 01:38 - 00553472 _____ (Microsoft Corporation) C:\Windows\SysWOW64\jscript9diag.dll
2014-02-06 10:25 - 2014-02-14 01:38 - 04244480 _____ (Microsoft Corporation) C:\Windows\SysWOW64\jscript9.dll
2014-02-06 10:25 - 2014-02-14 01:38 - 00164864 _____ (Microsoft Corporation) C:\Windows\SysWOW64\msrating.dll
2014-02-06 10:24 - 2014-02-14 01:38 - 02334208 _____ (Microsoft Corporation) C:\Windows\system32\wininet.dll
2014-02-06 10:22 - 2014-02-14 01:38 - 13051392 _____ (Microsoft Corporation) C:\Windows\system32\ieframe.dll
2014-02-06 10:13 - 2014-02-14 01:38 - 00524288 _____ (Microsoft Corporation) C:\Windows\SysWOW64\msfeeds.dll
2014-02-06 10:09 - 2014-02-14 01:38 - 01964032 _____ (Microsoft Corporation) C:\Windows\SysWOW64\inetcpl.cpl
2014-02-06 10:03 - 2014-02-14 01:38 - 11266048 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieframe.dll
2014-02-06 09:55 - 2014-02-14 01:38 - 01393664 _____ (Microsoft Corporation) C:\Windows\system32\urlmon.dll
2014-02-06 09:41 - 2014-02-14 01:38 - 01820160 _____ (Microsoft Corporation) C:\Windows\SysWOW64\wininet.dll
2014-02-06 09:40 - 2014-02-14 01:38 - 00817664 _____ (Microsoft Corporation) C:\Windows\system32\ieapfltr.dll
2014-02-06 09:36 - 2014-02-14 01:38 - 01156096 _____ (Microsoft Corporation) C:\Windows\SysWOW64\urlmon.dll
2014-02-06 09:34 - 2014-02-14 01:38 - 00703488 _____ (Microsoft Corporation) C:\Windows\SysWOW64\ieapfltr.dll
2014-02-05 11:56 - 2012-05-05 17:01 - 00000000 ____D () C:\Users\*****\AppData\Local\Adobe
2014-01-30 15:44 - 2014-01-30 15:43 - 00005327 _____ () C:\Windows\SysWOW64\jupdate-1.7.0_51-b13.log
2014-01-30 15:44 - 2013-11-09 08:24 - 00000000 ____D () C:\ProgramData\Oracle
2014-01-30 15:44 - 2013-09-15 17:21 - 00000000 ____D () C:\Program Files (x86)\Java

Randy89 · 24. Februar 2014

Häng die Logfiles (FRST.txt und Addition.txt) über das Büroklammersymbol an (Ansicht: Erweitert" beim Posten).

areiland · 24. Februar 2014

GNR schrieb:
...Es ist Jahre her, dass ich etwas von chip.de gezogen hab, und hatte nicht in Erinnerung, dass zusätzliche software angeboten/mit installiert wird, wenn nicht manuell deaktiviert...

Diese Tools werden nicht zusätzlich zum Download angeboten oder zwangsweise durch den Chip-Server auf den Rechner geschoben - die sind in den Downloads enthalten und werden, wenn man nicht aufpasst, durch das Setup des Downloads mitinstalliert. Das ist einfach eine Vermarktungsstrategie, mit der sich die Programmierer ein Zubrot sichern. Eben indem sie in ihre Installationsroutinen noch die Installation von anderen Programmen integrieren. Es ist aber alles abwählbar, nur sind die entsprechenden Hinweise meist sehr klein gehalten oder farblich so gestaltet, dass sie wie deaktivierte Optionen aussehen.

Dagegen hilft nur benutzerdefiniert installieren und alle Dialoge sehr aufmerksam begutachten.

GNR · 24. Februar 2014

Randy89 schrieb:
Häng die Logfiles (FRST.txt und Addition.txt) über das Büroklammersymbol an (Ansicht: Erweitert" beim Posten).

done

emlyn d. · 25. Februar 2014

Hallo,
nichts beunruhigendes zu sehen, aber bitte noch einmal die komplette FRST.txt posten/anhängen.

Die Proxy-Einstellungen sind so gewollt?

Bitte die Fixlist.txt in den Ordner speichern, von dem Du FRST ausgeführt hast, bei FRST auf "Fix" klicken und Fixlog.txt posten/anhängen.

Dann http://thisisudax.org/downloads/JRT.exe herunterladen und als Admin ausführen.
Wenn das Programm durch ist, wird eine JRT.txt erzeugt.
Diese bitte posten/anhängen.

Als letztes alles auf den neuesten Stand bringen.
Dabei können http://secunia.com/PSISetup.exe und http://www.filehippo.com/updatechecker/UpdateChecker.exe helfen.

GNR · 9. März 2014

Hallo,
ich habe alles ausgeführt, um das du mich gebeten hast. Logs sind im Anhang. Der proxy war so gewollt. Ist über das stealthy-browser addon erstellt. Nutzen tu' ich es aber nemmer, von daher könnts auch runter.

Danke für die Hilfe!

Grüße,
GNR

joerghalm · 9. März 2014

Ich hatte letztens auch das Problem mit dem zugemüllten Browser. Habe dann das http://download.cnet.com/Yet-Another-Cleaner/3000-2086_4-75959789.html runtergeladen und reparieren lassen und mit Emsisoft Emergency Kit nachgereinigt.

emlyn d. · 10. März 2014

GNR schrieb:
Hallo,
ich habe alles ausgeführt, um das du mich gebeten hast.

Nicht ganz, ich hätte gerne noch eine komplette FRST.txt.

befall von mysearchdial; schädliche einträge gelöscht. was nun?

Lt. Junior Grade

Freak-X

Gast

Fleet Admiral

Lt. Commander

Freak-X

Gast

Lt. Junior Grade

Freak-X

Gast

Captain

Freak-X

Gast

Captain

Freak-X

Gast

Captain

Lt. Junior Grade

Captain

Admiral

Lt. Junior Grade

Lieutenant

Anhänge

Lt. Junior Grade

Anhänge

Lieutenant

Lieutenant