Proxyeinstellungen verändert - Befall möglich?

[Archetype9000]

Hallo allerseits!

Ich hatte vor einigen Tagen Probleme mit den Einstellungen meiner Internet Anwendungen (dazu hatte ich wegen Verbindungsproblemen meines Thunderbird ein Thema eröffnet) - wie sich herausgestellt hat, lag es an der Einstellung "Proxy automatisch erkennen", anstelle von "Keinen Proxy nutzen" in den Optionen.

Heute hatte ich versucht, meine Dropbox zu starten - erneut keine Verbindung möglich. Nach einigen Sekunden warten ist mir dann der Thunderbird Fall eingefallen und auch bei Dropbox war eingestellt, den "Proxy automatisch zu erkennen". Ein einfaches umsetzen auf "Kein Proxy" hat auch hier funktioniert. Mein Firefox hatte diese Einstellung ebenfalls, hat jedoch komischerweise die ganze Zeit über seinen Dienst verrichtet.

Als ich auf die Problematik aufmerksam wurde ist folgendes Passiert:

Eines abends bei einer Google Bildersuche hat sich plötzlich meine Firewall Control gemeldet, da eine "edysf.exe" (aus dem ordner "C:/.../roaming/vfpay") Verbindung haben wollte. Diese habe ich geblockt, direkt darauf (ich erinnere mich nichtmehr an den genauen Ablauf) gab der Instant Messenger Trillian die Meldung raus, dass keine Verbindung vorhanden wäre. Dann hat sich der Benutzer automatisch abgemeldet. Ich konnte mich direkt wieder anmelden und habe den Rechner heruntergefahren und die neueste Antivir Rescue CD durchlaufen lassen - ohne Befund.

Nach dem Neustart habe ich dann manuell (leider ohne weitere Tests) die edysf.exe (die auch einen "edysf.exe*32 Prozess laufen hatte) mit Ordner gelöscht. Danach ist mir dann das Thunderbird Verbindungsproblem aufgefallen und nun auch das Problem mit Dropbox.

Meine Frage an ecuh wäre, wie man jetzt vorgehen sollte.
Gescannt habe ich bereits 2x mit Antivir, ohne Befunde (wobei Antivir ja eigentlich auch ganz renommiert sein soll). Könnte es ein Trojaner/Virus gewesen sein? Einfach so stellen sich ja wahrscheinlich nicht sämtlich Proxy Einstellungen in Internetanwendungen um! Allerdings waren Firefox (zumindest effektiv) und Trillian nicht beteiligt, dafür bis jetzt Thunderbird und Dropbox, die auch nichts direkt miteinander zu tun haben. Kann ein Virus diese Einstellungen in den Programmen überhaupt so direkt verändern?

Sollte ich noch mehr am System überprüfen? Eventuell irgendwelche Interneteinstellungen? (Der Rechner läuft übrigens mit Windows 7 64-bit)

Ich würde mich sehr freuen über ein paar Vorschläge, ihr kennt euch da sicherlich viel besser aus als ich.


Besten Gruß!

 

[TheGreatMM]

vfpay und edysf.exe klingt schon doof -> Malwarebyte benutzen
http://www.chip.de/downloads/Malwarebytes-Anti-Malware_27322637.html

MS Essential habe ich lieber als antivir

einen Proxy brauchst du nicht

 

[Gary12345]

Hallo,

Eines abends bei einer Google Bildersuche hat sich plötzlich meine Firewall Control gemeldet, da eine "edysf.exe" (aus dem ordner "C:/.../roaming/vfpay") Verbindung haben wollte.

Malwareverdächtig.

• Downloade Dir Malwarebytes (Link im vorigen Thread)
• Installieren
• Aktualisieren
• Fullscan, dabei alle externen Medien anschließen
• Nichts löschen!
• Log posten

 

[emlyn d.]

hallo,
das

eine "edysf.exe" (aus dem ordner "C:/.../roaming/vfpay")

ist das strickmuster der aktuellen generation der zbot-familie.
mbam sollte den registry-eintrag aufdecken.
dann empfehle ich den sauberen neuanfang.

 

[Gary12345]

Mal sehen - ich sammle den mal ein. ZBOT habe ich noch nicht , bzw. hatte ihn mal.

 

[Archetype9000]

Nabend, danke für die Antworten und den Vorschlag!

Hier das Log (falls was vergesen wurde bitte bescheidsagen):

Malwarebytes Anti-Malware 1.65.0.1400
www.malwarebytes.org

Datenbank Version: v2012.09.28.06

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Stefan :: Zeratul [Administrator]

28.09.2012 18:45:19
mbam-log-2012-09-28 (19-25-43).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|H:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 628792
Laufzeit: 37 Minute(n), 6 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 1
HKLM\SYSTEM\CurrentControlSet\Services\SVKP (Trojan.Agent) -> Keine Aktion durchgeführt.

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 2
C:\Windows\System32\SVKP.sys (Trojan.Agent) -> Keine Aktion durchgeführt.
C:\Windows\SysWOW64\SVKP.sys (Trojan.Agent) -> Keine Aktion durchgeführt.

(Ende)

Ich sitze jetzt grade vor dem Entfernen-Fenster.. sollte man vorher etwas machen oder kann man die Sachen einfach entfernen?

ZBOT? Ich lese gerade er stiehlt Bankinformationen? Wahrscheinlich ratsam mein Online-Banking Passwort zu ändern? Oder kann man sicher sein, dass die Firewall komplett undurchlässig ist (ändern ist natürlich immer sicherer, keine Frage)..?

 

[Gary12345]

Hallo,

Wir machen einen Scan mit OTL und werden sehen, ob da wirklich ZBOT läuft. Der Scan dauert nicht allzulange, denn kannst Du heute noch schaffen.

====Schritt1====

1. Lad dir OTL von hier:http://www.paules-pc-forum.de/forum/redirect-to/?redirect=http://oldtimer.geekstogo.com/OTL.exe
2. Doppelklick auf die OTL.exe
3. User von Windows 7 und Vista: Rechtsklick als Administrator ausführen
4. Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimal-Ausgabe
5. Setze einen Haken Oben bei Scanne alle Benutzer.
6. Unter "Extra Registrierung wähle "Benutze SafeList"
7. Rechts unten Haken setzen bei "LOP Prüfung" und "Purity Prüfung "
8. Kopiere in die Textbox (ohen das Wort Code: )

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT

9. Klicke "Scan"
10. Es werden 2 Reporte erstellt:
11. OTL.Txt sowie Extras.Txt
Lade bitte das Log bei File-Upload.net hoch und poste die Downloadlinks hier im Forum.

 

[purzelbär]

Die Funde werden von Malwarebytes automatisch in Qurantäne verschoben und von da aus können die keinen Schaden mehr anrichten und du kannst die Funde aus der Quarantäne heraus endgültig löschen lassen.

 

[emlyn d.]

ZBOT? Ich lese gerade er stiehlt Bankinformationen?

ja.

Wahrscheinlich ratsam mein Online-Banking Passwort zu ändern?

ich würde das konto sperren lassen.

Oder kann man sicher sein, dass die Firewall komplett undurchlässig ist

nein.

das, was mbam anzeigt, sieht nach fehlalarm aus.

bitte poste mal ein dds-log(https://www.computerbase.de/forum/t...cht-infektion-vor-dem-posten-beachten.741157/).

 

[Gary12345]

Mal schauen, ob ZBOT drauf ist.

Mein letzter Beitrag wurde anscheinend nicht angezeigt?!

EDIT: Jetzt wird er doch dargestellt - Anleitung siehe oben

bitte poste mal ein dds-log

DDS benutze ich persönlich nicht, mir wäre OTL lieber, Dir?

 

[emlyn d.]

ich habe deinen beitrag zu spät gesehen.

1. Lad dir OTL von hier:http://www.paules-pc-forum.de/forum/redirect-to/?redirect=http://oldtimer.geekstogo.com/OTL.exe

warum postest du nicht den direkten link(http://oldtimer.geekstogo.com/OTL.exe)?
davon abgesehen:
dds geht schneller und ich denke, dass die informationen, die das log liefert, ausreichen werden.

 

[purzelbär]

das, was mbam anzeigt, sieht nach fehlalarm aus.

Kannst du die Aussage begründen? interessiert mich nur warum du die Malwarebytes Funde als Fehlalarme einschätzt

 

[emlyn d.]

siehe z.b. hier:
https://www.virustotal.com/file/c43...74564f24ec318807bbe796b26619fce7154/analysis/
http://md5.virscan.org/f05028b163b92c302a74409d683ac9b0

 

[Archetype9000]

Alles klar! Hier ist schonmal das D.D.S. Log, das OTL liefer ich gleich nach, bloß dies ging jetzt einfach schneller:

.
DDS (Ver_2011-08-26.01) - NTFSAMD64
Internet Explorer: 9.0.8112.16421 BrowserJavaVersion: 10.6.2
Run by Stefan at 21:24:28 on 2012-09-28
Microsoft Windows 7 Home Premium 6.1.7601.1.1252.49.1031.18.8086.4111 [GMT 2:00]
.
AV: Avira Desktop *Enabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Enabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
============== Running Processes ===============
.
C:\Windows\system32\wininit.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe -k DcomLaunch
D:\Avira\AntiVir Desktop\avguard.exe
D:\Avira\AntiVir Desktop\avshadow.exe
C:\Windows\system32\conhost.exe
C:\Windows\system32\nvvsvc.exe
C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
C:\Windows\system32\svchost.exe -k RPCSS
C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
C:\Windows\system32\svchost.exe -k netsvcs
C:\Windows\system32\svchost.exe -k LocalService
C:\Program Files\Tablet\Pen\Pen_TouchService.exe
C:\Program Files\NVIDIA Corporation\Display\nvxdsync.exe
C:\Windows\system32\nvvsvc.exe
C:\Windows\system32\svchost.exe -k NetworkService
C:\Windows\system32\WLANExt.exe
C:\Windows\system32\conhost.exe
C:\Windows\System32\spoolsv.exe
D:\Avira\AntiVir Desktop\sched.exe
C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork
C:\Program Files\Windows7FirewallControl\Windows7FirewallService.exe
C:\Program Files\Realtek\Audio\HDA\AERTSr64.exe
C:\Program Files\Intel\WiFi\bin\EvtEng.exe
C:\Program Files\Common Files\Intel\WirelessCommon\RegSrvc.exe
C:\Program Files\Tablet\Pen\Pen_Tablet.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32\taskhost.exe
C:\Windows\system32\Dwm.exe
C:\Program Files\Tablet\Pen\Pen_TouchUser.exe
C:\Windows\Explorer.EXE
C:\Program Files\Tablet\Pen\Pen_TabletUser.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Dell\QuickSet\quickset.exe
C:\Program Files\Common Files\Intel\WirelessCommon\iFrmewrk.exe
C:\Program Files\DellTPad\Apoint.exe
C:\Program Files\Windows7FirewallControl\Windows7FirewallControl.exe
C:\Program Files (x86)\STMicroelectronics\AccelerometerP11\FF_Protection.exe
C:\Program Files\DellTPad\ApMsgFwd.exe
C:\Program Files\DellTPad\Apntex.exe
C:\Program Files\DellTPad\HidFind.exe
C:\Windows\system32\conhost.exe
C:\Program Files\Realtek\Audio\HDA\RtkNGUI64.exe
D:\Rocket Dock\RocketDock.exe
C:\Program Files (x86)\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe
D:\Avira\AntiVir Desktop\avgnt.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Tablet\Pen\Pen_Tablet.exe
C:\Program Files\NVIDIA Corporation\Display\nvtray.exe
C:\Windows\system32\svchost.exe -k LocalServiceAndNoImpersonation
C:\Windows\System32\svchost.exe -k LocalServicePeerNet
C:\Program Files\Intel\BluetoothHS\BTHSAmpPalService.exe
C:\Program Files\Intel\BluetoothHS\BTHSSecurityMgr.exe
C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe
C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe
C:\Windows\notepad.exe
D:\Mozilla\Firefox\firefox.exe
D:\Mozilla\Firefox\plugin-container.exe
C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_11_3_300_268.exe
C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_11_3_300_268.exe
C:\Windows\system32\svchost.exe -k SDRSVC
C:\Windows\SysWOW64\cmd.exe
C:\Windows\system32\conhost.exe
C:\Windows\SysWOW64\cscript.exe
C:\Windows\system32\wbem\wmiprvse.exe
.
============== Pseudo HJT Report ===============
.
uInternet Settings,ProxyServer = socks=127.0.0.1:31195
mWinlogon: Userinit=userinit.exe
BHO: Java(tm) Plug-In SSV Helper: {761497bb-d6f0-462c-b6eb-d4daf1d92d43} - C:\Program Files (x86)\Java\jre7\bin\ssv.dll
BHO: CIESpeechBHO Class: {8d10f6c4-0e01-4bd4-8601-11ac1fdf8126} - C:\Program Files (x86)\Dell Wireless\Bluetooth Suite\IEPlugIn.dll
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - C:\Program Files (x86)\Java\jre7\bin\jp2ssv.dll
uRun: [RocketDock] "D:\Rocket Dock\RocketDock.exe"
mRun: [NUSB3MON] "C:\Program Files (x86)\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe"
mRun: [avgnt] "D:\Avira\AntiVir Desktop\avgnt.exe" /min
mPolicies-explorer: NoActiveDesktop = 1 (0x1)
mPolicies-explorer: NoActiveDesktopChanges = 1 (0x1)
mPolicies-system: ConsentPromptBehaviorAdmin = 0 (0x0)
mPolicies-system: ConsentPromptBehaviorUser = 3 (0x3)
mPolicies-system: EnableLUA = 0 (0x0)
mPolicies-system: EnableUIADesktopToggle = 0 (0x0)
mPolicies-system: PromptOnSecureDesktop = 0 (0x0)
IE: {7815BE26-237D-41A8-A98F-F7BD75F71086} - {8D10F6C4-0E01-4BD4-8601-11AC1FDF8126} - C:\Program Files (x86)\Dell Wireless\Bluetooth Suite\IEPlugIn.dll
TCP: DhcpNameServer = 80.69.103.78 192.168.0.1
TCP: Interfaces\{DD407CCC-F627-426A-BBBC-A424A254F1D3}\056455E44445E45445A5 : DhcpNameServer = 80.69.103.78 192.168.0.1
TCP: Interfaces\{DD407CCC-F627-426A-BBBC-A424A254F1D3}\35E6F65647 : DhcpNameServer = 192.168.178.1
TCP: Interfaces\{ED039FCF-378F-4ED6-9708-FB2B673E0F92} : DhcpNameServer = 80.69.103.78 192.168.0.1
AppInit_DLLs: C:\Windows\SysWOW64\nvinit.dll
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}
{8D10F6C4-0E01-4BD4-8601-11AC1FDF8126}
{DBC80044-A445-435b-BC74-9C25C1C588A9}
mRun-x64: [NUSB3MON] "C:\Program Files (x86)\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe"
mRun-x64: [avgnt] "D:\Avira\AntiVir Desktop\avgnt.exe" /min
AppInit_DLLs-X64: C:\Windows\SysWOW64\nvinit.dll
.
================= FIREFOX ===================
.
FF - ProfilePath - C:\Users\Stefan\AppData\Roaming\Mozilla\Firefox\Profiles\kpyvlm7x.default\
FF - prefs.js: browser.startup.homepage - about:home
FF - prefs.js: keyword.URL - hxxps://startpage.com/do/search?language=deutsch&cat=web&query=
FF - prefs.js: network.proxy.type - 0
FF - plugin: C:\Program Files (x86)\Java\jre7\bin\plugin2\npjp2.dll
FF - plugin: C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dv.dll
FF - plugin: C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dvstreaming.dll
FF - plugin: C:\Program Files (x86)\TabletPlugins\npwacom.dll
FF - plugin: C:\Users\Stefan\AppData\LocalLow\Unity\WebPlayer\loader\npUnity3D32.dll
FF - plugin: C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_11_3_300_268.dll
FF - plugin: C:\Windows\SysWOW64\npDeployJava1.dll
FF - plugin: C:\Windows\SysWOW64\npmproxy.dll
FF - plugin: D:\Mozilla\Firefox\plugins\npPDFXCviewNPPlugin.dll
FF - plugin: D:\PDF XChange\PDF Viewer\Win32\npPDFXCviewNPPlugin.dll
.
---- FIREFOX POLICIES ----
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
.
============= SERVICES / DRIVERS ===============
.
R0 nvpciflt;nvpciflt;C:\Windows\system32\DRIVERS\nvpciflt.sys --> C:\Windows\system32\DRIVERS\nvpciflt.sys [?]
R0 PxHlpa64;PxHlpa64;C:\Windows\system32\Drivers\PxHlpa64.sys --> C:\Windows\system32\Drivers\PxHlpa64.sys [?]
R0 Si3531;SiI-3531 SATA Controller;C:\Windows\system32\DRIVERS\Si3531.sys --> C:\Windows\system32\DRIVERS\Si3531.sys [?]
R0 stdcfltn;Disk Class Filter Driver for Accelerometer;C:\Windows\system32\DRIVERS\stdcfltn.sys --> C:\Windows\system32\DRIVERS\stdcfltn.sys [?]
R1 avkmgr;avkmgr;C:\Windows\system32\DRIVERS\avkmgr.sys --> C:\Windows\system32\DRIVERS\avkmgr.sys [?]
R1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;C:\Windows\system32\DRIVERS\dtsoftbus01.sys --> C:\Windows\system32\DRIVERS\dtsoftbus01.sys [?]
R1 nvkflt;nvkflt;C:\Windows\system32\DRIVERS\nvkflt.sys --> C:\Windows\system32\DRIVERS\nvkflt.sys [?]
R1 vwififlt;Virtual WiFi Filter Driver;C:\Windows\system32\DRIVERS\vwififlt.sys --> C:\Windows\system32\DRIVERS\vwififlt.sys [?]
R2 AERTFilters;Andrea RT Filters Service;C:\Program Files\Realtek\Audio\HDA\AERTSr64.exe [2012-7-30 98208]
R2 AMPPALR3;Intel® Centrino® Wireless Bluetooth® 3.0 + High Speed Service;C:\Program Files\Intel\BluetoothHS\BTHSAmpPalService.exe [2011-10-19 661504]
R2 AntiVirSchedulerService;Avira Planer;D:\Avira\AntiVir Desktop\sched.exe [2012-7-30 86224]
R2 AntiVirService;Avira Echtzeit Scanner;D:\Avira\AntiVir Desktop\avguard.exe [2012-7-30 110032]
R2 avgntflt;avgntflt;C:\Windows\system32\DRIVERS\avgntflt.sys --> C:\Windows\system32\DRIVERS\avgntflt.sys [?]
R2 BTHSSecurityMgr;Intel(R) Centrino(R) Wireless Bluetooth(R) 3.0 + High Speed Security Service;C:\Program Files\Intel\BluetoothHS\BTHSSecurityMgr.exe [2011-10-20 135440]
R2 Stereo Service;NVIDIA Stereoscopic 3D Driver Service;C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe [2012-5-15 382272]
R2 TabletServicePen;TabletServicePen;C:\Program Files\Tablet\Pen\Pen_Tablet.exe [2012-8-2 5790064]
R2 TouchServicePen;Wacom Consumer Touch Service;C:\Program Files\Tablet\Pen\Pen_TouchService.exe [2012-8-2 487280]
R2 UNS;Intel(R) Management and Security Application User Notification Service;C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [2012-7-29 2656280]
R2 Windows7FirewallService;Windows7FirewallService;C:\Program Files\Windows7FirewallControl\Windows7FirewallService.exe [2012-7-30 760320]
R3 Acceler;Accelerometer Service;C:\Windows\system32\DRIVERS\Accelern.sys --> C:\Windows\system32\DRIVERS\Accelern.sys [?]
R3 AMPPAL;Intel® Centrino® Wireless Bluetooth® 3.0 + High Speed - Virtueller Adapter;C:\Windows\system32\DRIVERS\AMPPAL.sys --> C:\Windows\system32\DRIVERS\AMPPAL.sys [?]
R3 BTATH_BUS;Atheros Bluetooth Bus;C:\Windows\system32\DRIVERS\btath_bus.sys --> C:\Windows\system32\DRIVERS\btath_bus.sys [?]
R3 iwdbus;IWD Bus Enumerator;C:\Windows\system32\DRIVERS\iwdbus.sys --> C:\Windows\system32\DRIVERS\iwdbus.sys [?]
R3 MEIx64;Intel(R) Management Engine Interface;C:\Windows\system32\DRIVERS\HECIx64.sys --> C:\Windows\system32\DRIVERS\HECIx64.sys [?]
R3 NETwNs64;___ Intel(R) Wireless WiFi Link der Serie 5000 Adaptertreiber für Windows 7 64-Bit;C:\Windows\system32\DRIVERS\NETwNs64.sys --> C:\Windows\system32\DRIVERS\NETwNs64.sys [?]
R3 nusb3hub;Renesas Electronics USB 3.0 Hub Driver;C:\Windows\system32\DRIVERS\nusb3hub.sys --> C:\Windows\system32\DRIVERS\nusb3hub.sys [?]
R3 nusb3xhc;Renesas Electronics USB 3.0 Host Controller Driver;C:\Windows\system32\DRIVERS\nusb3xhc.sys --> C:\Windows\system32\DRIVERS\nusb3xhc.sys [?]
R3 RTL8167;Realtek 8167 NT Driver;C:\Windows\system32\DRIVERS\Rt64win7.sys --> C:\Windows\system32\DRIVERS\Rt64win7.sys [?]
R3 vwifimp;Microsoft Virtual WiFi Miniport Service;C:\Windows\system32\DRIVERS\vwifimp.sys --> C:\Windows\system32\DRIVERS\vwifimp.sys [?]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-3-18 130384]
S2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;C:\Windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-3-18 138576]
S3 AMPPALP;Intel® Centrino® Wireless Bluetooth® 3.0 + High Speed Protokoll;C:\Windows\system32\DRIVERS\amppal.sys --> C:\Windows\system32\DRIVERS\amppal.sys [?]
S3 AthBTPort;Atheros Virtual Bluetooth Class;C:\Windows\system32\DRIVERS\btath_flt.sys --> C:\Windows\system32\DRIVERS\btath_flt.sys [?]
S3 BTATH_A2DP;Bluetooth A2DP Audio Driver;C:\Windows\system32\drivers\btath_a2dp.sys --> C:\Windows\system32\drivers\btath_a2dp.sys [?]
S3 BTATH_HCRP;Bluetooth HCRP Server driver;C:\Windows\system32\DRIVERS\btath_hcrp.sys --> C:\Windows\system32\DRIVERS\btath_hcrp.sys [?]
S3 BTATH_LWFLT;Bluetooth LWFLT Device;C:\Windows\system32\DRIVERS\btath_lwflt.sys --> C:\Windows\system32\DRIVERS\btath_lwflt.sys [?]
S3 BTATH_RCP;Bluetooth AVRCP Device;C:\Windows\system32\DRIVERS\btath_rcp.sys --> C:\Windows\system32\DRIVERS\btath_rcp.sys [?]
S3 btmaux;Intel Bluetooth Auxiliary Service;C:\Windows\system32\DRIVERS\btmaux.sys --> C:\Windows\system32\DRIVERS\btmaux.sys [?]
S3 btmhsf;btmhsf;C:\Windows\system32\DRIVERS\btmhsf.sys --> C:\Windows\system32\DRIVERS\btmhsf.sys [?]
S3 dmvsc;dmvsc;C:\Windows\system32\drivers\dmvsc.sys --> C:\Windows\system32\drivers\dmvsc.sys [?]
S3 FLEXnet Licensing Service 64;FLEXnet Licensing Service 64;C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService64.exe [2012-9-6 1432400]
S3 iBtFltCoex;iBtFltCoex;C:\Windows\system32\DRIVERS\iBtFltCoex.sys --> C:\Windows\system32\DRIVERS\iBtFltCoex.sys [?]
S3 intaud_WaveExtensible;Intel WiDi Audio Device;C:\Windows\system32\drivers\intelaud.sys --> C:\Windows\system32\drivers\intelaud.sys [?]
S3 MozillaMaintenance;Mozilla Maintenance Service;C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe [2012-7-30 115168]
S3 MyWiFiDHCPDNS;Wireless PAN DHCP Server;C:\Program Files\Intel\WiFi\bin\PanDhcpDns.exe [2011-11-1 340240]
S3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;C:\Windows\system32\drivers\rdpvideominiport.sys --> C:\Windows\system32\drivers\rdpvideominiport.sys [?]
S3 RSUSBSTOR;RtsUStor.Sys Realtek USB Card Reader;C:\Windows\system32\Drivers\RtsUStor.sys --> C:\Windows\system32\Drivers\RtsUStor.sys [?]
S3 SwitchBoard;SwitchBoard;C:\Program Files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe [2010-2-19 517096]
S3 Synth3dVsc;Microsoft Virtual 3D Video Transport Driver;C:\Windows\system32\drivers\Synth3dVsc.sys --> C:\Windows\system32\drivers\Synth3dVsc.sys [?]
S3 terminpt;Microsoft Remote Desktop Input Driver;C:\Windows\system32\drivers\terminpt.sys --> C:\Windows\system32\drivers\terminpt.sys [?]
S3 TsUsbFlt;TsUsbFlt;C:\Windows\system32\drivers\tsusbflt.sys --> C:\Windows\system32\drivers\tsusbflt.sys [?]
S3 TsUsbGD;%TsUsbGD.DeviceDesc.Generic%;C:\Windows\system32\drivers\TsUsbGD.sys --> C:\Windows\system32\drivers\TsUsbGD.sys [?]
S3 tsusbhub;Remote Deskotop USB Hub;C:\Windows\system32\drivers\tsusbhub.sys --> C:\Windows\system32\drivers\tsusbhub.sys [?]
S3 wacmoumonitor;Wacom Mode Helper;C:\Windows\system32\DRIVERS\wacmoumonitor.sys --> C:\Windows\system32\DRIVERS\wacmoumonitor.sys [?]
S4 Atheros Bt&Wlan Coex Agent;Atheros Bt&Wlan Coex Agent;C:\Program Files (x86)\Dell Wireless\Ath_CoexAgent.exe [2012-7-30 151552]
S4 AtherosSvc;AtherosSvc;C:\Program Files (x86)\Dell Wireless\Bluetooth Suite\AdminService.exe [2010-12-17 53920]
S4 Bluetooth Device Monitor;Bluetooth Device Monitor;C:\Program Files (x86)\Intel\Bluetooth\devmonsrv.exe [2011-3-30 923984]
S4 Bluetooth Media Service;Bluetooth Media Service;C:\Program Files (x86)\Intel\Bluetooth\mediasrv.exe [2011-3-30 1321296]
S4 Bluetooth OBEX Service;Bluetooth OBEX Service;C:\Program Files (x86)\Intel\Bluetooth\obexsrv.exe [2011-3-30 1001808]
S4 nvUpdatusService;NVIDIA Update Service Daemon;C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe [2012-7-30 1262400]
.
=============== Created Last 30 ================
.
2012-09-28 16:41:41 -------- d-----w- C:\Users\Stefan\AppData\Roaming\Malwarebytes
2012-09-28 16:41:33 25928 ----a-w- C:\Windows\System32\drivers\mbam.sys
2012-09-28 16:41:33 -------- d-----w- C:\ProgramData\Malwarebytes
2012-09-27 19:33:37 -------- d-----w- C:\Users\Stefan\AppData\Local\Apple Computer
2012-09-27 18:39:10 -------- d-----w- C:\Users\Stefan\AppData\Local\Apple
2012-09-22 19:58:15 -------- d-----w- C:\Users\Stefan\AppData\Local\Thunderbird
2012-09-20 11:07:59 -------- d-----w- C:\Users\Stefan\AppData\Roaming\StageManager.BD092818F67280F4B42B04877600987F0111B594.1
2012-09-19 22:04:24 -------- d-----w- C:\Users\Stefan\AppData\Roaming\HD Tune
2012-09-19 13:04:34 -------- d-----w- C:\Users\Stefan\.thumbnails
2012-09-19 12:59:55 -------- d-----w- C:\Users\Stefan\AppData\Local\fontconfig
2012-09-19 12:59:54 -------- d-----w- C:\Users\Stefan\AppData\Local\gegl-0.2
2012-09-19 12:59:54 -------- d-----w- C:\Users\Stefan\.gimp-2.8
2012-09-18 21:31:18 -------- d-----w- C:\Users\Stefan\AppData\Roaming\Soza
2012-09-15 09:54:13 -------- d-----w- C:\Users\Stefan\AppData\Roaming\Fritzing
2012-09-14 09:57:00 2368 ----a-w- C:\Windows\SysWow64\SVKP.sys
2012-09-14 09:48:51 -------- d-----w- C:\Program Files\JoWooD
2012-09-12 16:02:27 -------- d-----w- C:\Windows\45235788142C44BE8A4DDDE9A84492E5.TMP
2012-09-12 16:02:27 -------- d-----w- C:\Program Files (x86)\Common Files\Wise Installation Wizard
2012-09-10 05:28:50 -------- d-----w- C:\Users\Stefan\AppData\Local\Tools&More
2012-09-10 05:27:54 -------- d-----w- C:\Windows\Downloaded Installations
2012-09-09 21:05:52 249856 ------w- C:\Windows\Setup1.exe
2012-09-09 21:05:51 73216 ----a-w- C:\Windows\ST6UNST.EXE
2012-09-06 17:56:08 -------- d-----w- C:\Users\Stefan\AppData\Local\Autodesk
2012-09-06 17:55:13 -------- d-----w- C:\Program Files (x86)\Autodesk
2012-09-06 17:54:17 -------- d-----w- C:\Program Files\Autodesk
2012-09-06 17:54:15 -------- d-----w- C:\Program Files\Common Files\Macrovision Shared
2012-09-06 17:53:24 -------- d-----w- C:\Program Files\Common Files\Autodesk Shared
2012-09-06 17:48:32 -------- d-----w- C:\Users\Stefan\AppData\Roaming\Autodesk
2012-09-06 17:44:20 283200 ----a-w- C:\Windows\System32\drivers\dtsoftbus01.sys
2012-09-06 17:44:18 -------- d-----w- C:\Users\Stefan\AppData\Roaming\DAEMON Tools Lite
2012-09-06 17:43:13 -------- d-----w- C:\ProgramData\DAEMON Tools Lite
2012-09-05 11:12:38 -------- d-----w- C:\Users\Stefan\AppData\Roaming\Unity
2012-09-05 11:08:26 -------- d-----w- C:\Program Files (x86)\Common Files\PACE Anti-Piracy
2012-09-05 11:07:53 -------- d-----w- C:\Users\Stefan\AppData\Local\Unity
2012-09-02 15:58:41 43520 ----a-w- C:\Windows\SysWow64\CmdLineExt03.dll
2012-09-02 15:42:34 21840 ----atw- C:\Windows\SysWow64\SIntfNT.dll
2012-09-02 15:42:34 17212 ----atw- C:\Windows\SysWow64\SIntf32.dll
2012-09-02 15:42:34 12067 ----atw- C:\Windows\SysWow64\SIntf16.dll
2012-09-02 15:40:04 2829 ----a-w- C:\Windows\DIIUnin.pif
2012-09-02 15:40:04 102400 ----a-w- C:\Windows\DIIUnin.exe
2012-09-01 16:12:00 330032 ----a-w- C:\Windows\System32\drivers\Si3531.sys
2012-09-01 16:12:00 15872 ----a-w- C:\Windows\System32\drivers\SiWinAcc.sys
2012-09-01 16:12:00 10240 ----a-w- C:\Windows\System32\drivers\SiRemFil.sys
.
==================== Find3M ====================
.
2012-08-28 11:53:46 95208 ----a-w- C:\Windows\SysWow64\WindowsAccessBridge-32.dll
2012-08-28 11:53:46 821736 ----a-w- C:\Windows\SysWow64\npDeployJava1.dll
2012-08-28 11:53:46 746984 ----a-w- C:\Windows\SysWow64\deployJava1.dll
2012-08-21 13:54:21 61440 ----a-w- C:\Windows\SysWow64\nvPhotoshopUtil.dll
2012-08-21 13:54:21 40960 ----a-w- C:\Windows\SysWow64\nvISWOW64.dll
2012-08-21 13:54:21 151552 ----a-w- C:\Windows\SysWow64\nvRegDev.dll
2012-08-10 13:58:30 955840 ----a-w- C:\Windows\System32\npDeployJava1.dll
2012-08-10 13:58:30 839096 ----a-w- C:\Windows\System32\deployJava1.dll
2012-08-02 11:11:06 108144 ----a-w- C:\Windows\SysWow64\CmdLineExt.dll
2012-07-30 12:48:29 70344 ----a-w- C:\Windows\SysWow64\FlashPlayerCPLApp.cpl
2012-07-30 12:48:29 426184 ----a-w- C:\Windows\SysWow64\FlashPlayerApp.exe
2012-07-20 18:00:00 112640 ----a-w- C:\Windows\SysWow64\ff_vfw.dll
2012-07-18 16:04:42 27760 ----a-w- C:\Windows\System32\drivers\avkmgr.sys
2012-07-18 16:04:41 98848 ----a-w- C:\Windows\System32\drivers\avgntflt.sys
2012-07-01 22:15:28 4102656 ----a-w- C:\Windows\SysWow64\x264vfw.dll
.
============= FINISH: 21:24:51,23 ===============

 

[emlyn d.]

ein weiterer typischer zbot-eintrag:
uInternet Settings,ProxyServer = socks=127.0.0.1:31195
vgl. z.b. hier:
http://www.sophos.com/de-de/threat-...-spyware/Troj~Zbot-CHV/detailed-analysis.aspx
http://home.mcafee.com/virusinfo/virusprofile.aspx?key=1105468#none

was befindet sich in diesem
C:\Users\Stefan\AppData\Roaming\Soza
ordner?

noch einmal:
ich schlage den sauberen neuanfang vor.

 

[Archetype9000]

was befindet sich in diesem
C:\Users\Stefan\AppData\Roaming\Soza
ordner?

Eine Datei mit dem Namen "mykey.tmp", wurde schon vor knapp 2 Wochen Erstellt. Ich bin mir aber irgendwie sicher, dass der Ordner noch nicht so lange "da" (bzw. sichtbar) ist, wenn das etwas aussagt.

noch einmal:
ich schlage den sauberen neuanfang vor.

Ach mist, woher kommt der Dreck denn bloß?
Ich wüsste nicht, dass ich mich schlampig verhalten hätte im Netz - Da kann ich den Rechner ja jede Woche neu aufsetzen (das Ding ist jetzt erst ein paar Monate alt)

Hier habe ich die OLT Logs als Archiv auf Dropbox:
https://dl.dropbox.com/u/97178161/otl.zip

 

[Gary12345]

Hallo,

Proxy wurde umgestellt:

IE - HKU\S-1-5-21-99236984-2280754492-566058915-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = socks=127.0.0.1:31195

Setze lieber den PC neu auf.

 

[purzelbär]

Gary12345
Da du ja wohl sehr gut die OTL Logs auslesen und bewerten kannst, habe ich vorhin erstmalig OTL auf meinem System laufen lassen. Welches der beiden Logs bräuchtest du bzw müsste ich hier posten?

 

[Gary12345]

Hast Du selbst Probleme mit dem PC? Wenn ja, eröffne doch bitte ein neues Thema.

Lade die Logfiles bei File-Upload.net hoch , kannst sie mir per PN geben. Alle beide bräuchte ich.

Danke

 

[purzelbär]

Nein Probleme hab ich nicht mit dem PC, wüsste nix davon. Mich würde nurmal deine Meinung zu meinen Logfiles interessieren. Ich lade sie mal beide hoch und schick es dir per PN.