Hallo!

Seit einiger Zeit ist einer der svchost Prozesse (insgesamt laufen 6) sofort nach hochfahren des Computers zu 99% ausgelastet. Nach Beendigung des Prozesses im Task Manager ist kein Zugriff ins Internet mehr möglich ...was ja auch logisch ist da gewisse dll´s geladen werden um ins www zu kommen. (Leerlaufprozess ist aber sowie es sein sollte danach bei 97%) Aber jetzt kommts: Nach erneutem hochfahren - im abgesicherten Modus ist alles soweit OK - ist der 99er svchost wieder da. Zugangssoftware gestartet,Mozilla bzw. IE gestartet, kein Seitenaufbau möglich, allerdings lassen sich öffentliche IP - Adressen anpingen, die Datenpakete kommen zurück.

Zugangssoftware ins Internet (DSL): cfos

Escan ( im abgesicherten Modus mit den neuesten Definitionen) hat folgende Viren gefunden:
w32/sasser worm!ft
w32.harnig.gen
vbs.psyme.av

manuell entfernt !!! Allerdings nur die Einträge die escan mir angezeigt hat, auch in der Registry!


AV Personal: nichts !
Bitdefender: nichts !
Sbybot: nichts !
A²: nichts !
Adaware: nichts !
Trojan Hunter: nichts !

Neuinstallation der beiden oben genannten Browser: kein Erfolg !

Allerdings kommt beim hochfahren jedesmal die Meldung: Error 10106


Zonealarm als Firewall


Hier mal mein Hijack this Logfile, wer weiß rat ??? bin echt am Ende, Danke im Voraus, gruß andro



Logfile of HijackThis v1.99.1
Scan saved at 01:28:19, on 02.07.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\1&1 Programme\cFos1\cFosDNT.exe
C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mmtask.exe
C:\PROGRA~1\BILLPS~1\WINPAT~1\winpatrol.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Tweak-XP Pro 3\AdBlocker.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\taskmgr.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TrojanHunter 4.2\TrojanHunter.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Besitzer\LOKALE~1\Temp\Rar$EX00.140\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://allsearcher.info/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.hsv-sc.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://allsearcher.info/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://allsearcher.info/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://allsearcher.info/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.1und1.com/b1redirect
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von 1&1 Internet AG
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\System32\svcpack.exe
O1 - Hosts: º´ 127.01 64.90.1!034
O1 - Hosts: è80R.15€6ta1708.g.akamai.netFd.asv.de4ca.doubleclicÒkAde#&k#& 8$es"%fr$ee 6.com‚it!""iwin–!jp¢!k£Wlinke€xchange– synergyIÖnl¢%no¢ preferenc@gSs£Šsma. puntoÖœtr€afficmp7u£›webpro`vider•@ÑfocaAT•1.a dceptÕ+1. icorp—lo¤ok@=rt52<2.^3\-adex3.flycascontent.games†p–KÁrollÀ*uni
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [cFosDNT] C:\Programme\1&1 Programme\cFos1\cFosDNT.exe
O4 - HKLM\..\Run: [mmtask] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mmtask.exe
O4 - HKLM\..\Run: [WinPatrol] C:\PROGRA~1\BILLPS~1\WINPAT~1\winpatrol.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [THGuard] C:\Programme\TrojanHunter 4.2\THGuard.exe
O4 - HKCU\..\Run: [BlockAds] "C:\Programme\Tweak-XP Pro 3\AdBlocker.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.1\bin\npjpi141.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.1\bin\npjpi141.dll
O10 - Broken Internet access because of LSP provider 'c:\programme\newdotnet\newdotnet3_88.dll' missing
O16 - DPF: {00000000-663f-49e8-bdf6-f26db51c7dd5} -
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - h**p://a1540.g.akamai.net/7/1540/52/20020909/qtinstall.info.apple.com/sikes/de/win/QuickTimeInstaller.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{0C94F45C-D59F-4E78-83D2-C3CA66B50287}: NameServer = 207.44.140.102,64.191.22.247
O17 - HKLM\System\CCS\Services\Tcpip\..\{E6F7CEF5-F6A2-4628-843B-4EB156EEE7DF}: NameServer = 217.237.151.225 217.237.150.225
O17 - HKLM\System\CS1\Services\Tcpip\..\{0C94F45C-D59F-4E78-83D2-C3CA66B50287}: NameServer = 207.44.140.102,64.191.22.247
O21 - SSODL: System - {44BCFB4A-76A1-41B7-933D-96CAA5552093} - C:\WINDOWS\system32\system32.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

@Andro
du hast noch einiges im logfile
poste doch mal die escan ergebnisse
laut dieser anleitung
http://www.trojaner-board.de/showthread.php?t=17492

chaosman

Hallo!

Vielen Dank für mögliche Lösungsvorschläge!

Nach folgendem Artikel und abarbeitung des Selbigen lief alles wieder

Gruß Andro

Auszug aus der Microsoft Knowledge Base:
ON
Exportieren und Löschen der beschädigten Registrierungsunterschlüssel
1. Legen Sie eine Diskette in das Diskettenlaufwerk des Computers ein, dessen Registrierungsschlüssel Sie exportieren.
2. Klicken Sie auf Start und auf Ausführen, geben Sie regedit ein, und klicken Sie auf OK.
3. Klicken Sie auf den folgenden Unterschlüssel in der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winsock
4. Klicken Sie im Menü Datei auf Exportieren.
5. Klicken Sie im Feld Speichern in auf 3,5-Diskette (A, geben Sie im Feld Dateiname einen Namen für die Datei ein, und klicken Sie auf Speichern.
6. Klicken Sie mit der rechten Maustaste auf Winsock, und klicken Sie anschließend auf Löschen. Klicken Sie auf Ja, wenn Sie dazu aufgefordert werden, den Löschvorgang zu bestätigen.
7. Wiederholen Sie die Schritte 3 bis 6 für den folgenden Registrierungsunterschlüssel:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winsock2
Hinweis: Jede von Ihnen gespeicherte .reg-Datei muss anders benannt werden.
8. Klicken Sie mit der rechten Maustaste auf Winsock2, klicken Sie auf Löschen, und klicken Sie danach auf Ja.
9. Beenden Sie den Registrierungs-Editor.


Windows XP-Computer
Installieren von TCP/IP auf einem Windows XP-Computer
Der TCP/IP-Stack ist eine Kernkomponente des Betriebssystems Windows XP. Deshalb können Sie TCP/IP unter Windows XP nicht entfernen. 1. Installieren Sie TCP/IP auf sich selbst. Gehen Sie hierzu folgendermaßen vor:a. Doppelklicken Sie in der Systemsteuerung auf Netzwerkverbindungen, klicken Sie mit der rechten Maustaste auf LAN-Verbindung, und klicken Sie anschließend auf Eigenschaften.
b. Klicken Sie auf Installieren.
c. Klicken Sie auf Protokoll und anschließend auf Hinzufügen.
d. Klicken Sie auf Datenträger.
e. Im Feld Dateien des Herstellers kopieren von: geben Sie Systemlaufwerkbuchstabe:\windows\inf ein. Klicken Sie anschließend auf OK.
f. Klicken Sie in der Liste der verfügbaren Protokolle auf Internetprotokoll (TCP/IP) und anschließend auf OK.

2. Starten Sie den Computer neu. OFF

@Andro
auch wenn dein Inetverbindung wieder geht, du hast trotzdem noch jede Menge im system.
poste bitte die escan ergebnisse.

chaosman

Hallo!

Hier die Escan Ergebnisse laut find.bat:

ON

Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Sun Jul 03 18:21:49 2005 => System found infected with l.exe Spyware/Adware (C:\WINDOWS\system32\uninstall.exe)! Action taken: No Action Taken.
Sun Jul 03 18:55:31 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Sun Jul 03 19:42:32 2005 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Sun Jul 03 18:22:48 2005 => File C:\WINDOWS\HKNTDLL.dll tagged as not-a-virus:Monitor.Win32.Hooker.e. No Action Taken.
Sun Jul 03 18:25:10 2005 => File C:\WINDOWS\system32\osconfig.dll tagged as not-a-virus:Server-Proxy.Win32.MarketScode.c. No Action Taken.
Sun Jul 03 18:25:11 2005 => File C:\WINDOWS\system32\osmim.dll tagged as not-a-virus:Server-Proxy.Win32.MarketScode.c. No Action Taken.
Sun Jul 03 18:29:36 2005 => File C:\Dokumente und Einstellungen\All Users\Dokumente\Anwender-Programme\DivXPro502GAINBundle.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Sun Jul 03 19:24:49 2005 => File C:\WINDOWS\HKNTDLL.dll tagged as not-a-virus:Monitor.Win32.Hooker.e. No Action Taken.
Sun Jul 03 19:36:29 2005 => File C:\WINDOWS\system32\osconfig.dll tagged as not-a-virus:Server-Proxy.Win32.MarketScode.c. No Action Taken.
Sun Jul 03 19:36:30 2005 => File C:\WINDOWS\system32\osmim.dll tagged as not-a-virus:Server-Proxy.Win32.MarketScode.c. No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Sun Jul 03 19:42:32 2005 => Total Virus(es) Found: 10
Sun Jul 03 19:42:32 2005 => Total Errors: 97
Sun Jul 03 19:42:32 2005 => Time Elapsed: 01:22:17
Sun Jul 03 19:42:32 2005 => Total Objects Scanned: 62600
Sun Jul 03 18:18:21 2005 => Virus Database Date: 2005/07/03
Sun Jul 03 19:42:32 2005 => Virus Database Date: 2005/07/03
Sun Jul 03 21:24:18 2005 => Virus Database Date: 2005/07/03
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~

OFF


Gruß Andro

@Andro
poste bitte auch noch ein neues HJT logfile
chaosman