Istbar

Tombstone · 22.01.2005, 18:57

Hallo!
Ich weiß es gibt schon mehrere Threads mit dem Istbar, aber ich wollte auch mal mein Log zeigen. Ich hab die vorgeschlagenen Sachen für dieses Problem schon gemacht:

Mit dem Cleartool hab ich den IE-Temp + Rest löschen lassen
f-Prot und Norton laufen lassen
von Symantec das Tool zum Entfernen des Istabar's laufen lassen - nix gefunden
Spyware-Docktor laufen lassen
Adaware
Spybot Search & Destroy
---dies alles im abgesicherten Modus

schon fast alles, was man so im Web findet

mitterweile bin ich mit meinem Latein am Ende, da ich sobald ich den Win starte, von F-Prot massenhaft Meldungen bekomme, dass Istbar geblockt wurde, das selbe meldet mir auch der Norton

Außerdem funktioniert zu allem Übel der Windows-Explorer nicht, komischerweise kann ich den Arbeitsplatz schon starten. Deswegen im Lock auch der Eintrag explorer.exe

Hauptsächlich verwende ich eigentlich den supergeilen Firefox-Browser, doch ab und zu muss ich auch den IE verwenden

Kazaa muss ich zugeben verwende ich auch öfters mal...
Sonst hab ich noch einen Router, der eigentlich schon vieles blocken soll
WinXP ist auf dem neuesten Stand: SP2, ich lass das immer aotomatisch updaten

Zitat:

Logfile of HijackThis v1.99.0
Scan saved at 18:40:59, on 22.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\Explorer.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\LEXMAR~1\LXBRKsk.exe
C:\Internet\AonInformer\informer.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\cards030.exe
C:\Programme\Archive\archive.exe
C:\Programme\F-Prot\F-Sched.exe
C:\Programme\F-Prot\F-StopW.EXE
C:\Programme\Spyware Doctor\swdoctor.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\F-Prot\fpavupdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\wuauclt.exe <---ist das was verdächtiges?
C:\installdateien\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\about.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [LXBRKsk] C:\PROGRA~1\LEXMAR~1\LXBRKsk.exe
O4 - HKLM\..\Run: [jservice] C:\Internet\AonInformer\informer.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [1fbe765b0574] C:\WINDOWS\system32\cards030.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [Archive] C:\Programme\Archive\archive.exe
O4 - HKLM\..\Run: [g0xqRFQ] C:\WINDOWS\gwvkh.exe <---das haben die Virenporgramme immer wieder gefunden und gelöscht, doch lebt es immer weiter

O4 - HKLM\..\Run: [g09¿Ì*ú]Mú*ÀaîžaaøYC:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\gwvkh.exe
O4 - HKLM\..\Run: [FRISK FP-Scheduler] C:\Programme\F-Prot\F-Sched.exe STARTUP
O4 - HKLM\..\Run: [F-StopW] C:\Programme\F-Prot\F-StopW.EXE
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Programme\Spyware Doctor\swdoctor.exe" /Q
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-12.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1101734485359
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3181217E-0660-4DDC-B3B4-11E33A8BF265}: NameServer = 195.3.96.67,195.3.96.68
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: F-Prot Antivirus Update Monitor - FRISK Software - C:\Programme\F-Prot\fpavupdm.exe
O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SmartLinkService - Unknown - slserv.exe (file missing)
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TuneUp WinStyler Theme Service - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

HerrKautz · 22.01.2005, 19:04

Kaaza,...da fängt es schon an die größte Viren Drecksschleuder im Netz überhaupt!

Zurück zu deinem Problem,der hier http://www.sophos.de/virusinfo/analyses/trojcultb.html

und noch massig andere Malware,das bedeutet format c: genau nach der Anleitung hier http://trojaner-board.de/showthread.php?t=12154

Gruss

Tombstone · 22.01.2005, 19:18

Zitat:

Zitat von HerrKautz

Kaaza,...da fängt es schon an die größte Viren Drecksschleuder im Netz überhaupt!

Zurück zu deinem Problem,der hier http://www.sophos.de/virusinfo/analyses/trojcultb.html

und noch massig andere Malware,das bedeutet format c: genau nach der Anleitung hier http://trojaner-board.de/showthread.php?t=12154

Gruss

Danke für den Tipp doch HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
Microsoft auto update = WUAUCLT.EXE hab ich nicht in der Registrierung

Glaubst du echt, dass bei mir nur mehr ein Neuaufsetzen hilft?

HerrKautz · 22.01.2005, 19:21

Zitat:

Zitat von Tombstone

Glaubst du echt, dass bei mir nur mehr ein Neuaufsetzen hilft?

Ja,die O4 Einträge lassen eben nur auf Backdoor schliessen dein System ist nicht mehr vertrauenswürdig,und es muss nicht immer unbedingt sein,dass ein ackdoor sich mit dem angegebenen Schlüssel festsetzt....

Tombstone · 22.01.2005, 19:28

ohje, dann muss ich Festplatte partitionieren und alle wichtigen Dateien sichern. Mit Partition Magic, da kann eh nicht viel passieren oder?

meine Linux-Distribution wird da eh nicht gelöscht, wenn ich format c: ausführe oder?

HerrKautz · 22.01.2005, 19:30

Zitat:

Zitat von Tombstone

ohje, dann muss ich Festplatte partitionieren und alle wichtigen Dateien sichern. Mit Partition Magic, da kann eh nicht viel passieren oder?

Hallo,

tu mir doch bitte mal einen Gefallen und les doch mal die ganzen Links von Cidre!Wenn du das nicht machst bist du in ein paar Tagen wieder hier!

Da steht alles drin!Es macht keinen Sinn Daten zu retten mp3,Filme,Bilder kannst du zwar sichern,aber keine ausführbaren Dateien oder Programme usw,das steht da aber alles...

Tombstone · 22.01.2005, 19:37

sorry, aber das hatte ich eh nicht vor

absolut unlogisch, alles mit von c: mit copy-paste erhalten *g*, sicher nicht

MP3's, Bilder und so und vielleicht Installdateien, die ich dann nicht nochmal runterladen muss

bei format c: wird nix von linux gelöscht, das ist doch auf einer eigenen Partition, oder?

Istbar

Log-Analyse und Auswertung: Istbar

Istbar

Istbar

Istbar

Istbar

Istbar

Istbar

Istbar

Ähnliche Themen: Istbar

22.01.2005, 19:04	#2
HerrKautz	Istbar Kaaza,...da fängt es schon an die größte Viren Drecksschleuder im Netz überhaupt! Zurück zu deinem Problem,der hier http://www.sophos.de/virusinfo/analyses/trojcultb.html und noch massig andere Malware,das bedeutet format c: genau nach der Anleitung hier http://trojaner-board.de/showthread.php?t=12154 Gruss __________________ Geändert von HerrKautz (22.01.2005 um 19:13 Uhr)

22.01.2005, 19:28	#5
Tombstone	Istbar ohje, dann muss ich Festplatte partitionieren und alle wichtigen Dateien sichern. Mit Partition Magic, da kann eh nicht viel passieren oder? meine Linux-Distribution wird da eh nicht gelöscht, wenn ich format c: ausführe oder?

22.01.2005, 19:37	#7
Tombstone	Istbar sorry, aber das hatte ich eh nicht vor absolut unlogisch, alles mit von c: mit copy-paste erhalten g, sicher nicht MP3's, Bilder und so und vielleicht Installdateien, die ich dann nicht nochmal runterladen muss bei format c: wird nix von linux gelöscht, das ist doch auf einer eigenen Partition, oder?