Hi Jack This ;)

Karsesi · 09.11.2005, 18:40

Da bin ich wieder

Könnte ihr mal nachschauen, was mit dem PC los ist !!

Logfile of HijackThis v1.99.1
Scan saved at 18:39:44, on 09.11.2005
Platform: Windows XP SP2, v.2096 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2096)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
E:\PROGRA~1\eScan\TRAYICOS.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
E:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\VIA\RAID\raid_tool.exe
E:\PROGRA~1\eScan\MAILDISP.EXE
E:\PROGRA~1\eScan\SPOOLER.EXE
E:\PROGRA~1\eScan\MAILSCAN.EXE
E:\PROGRA~1\eScan\kavss.exe
E:\Programme\Spybot - Search & Destroy\SpybotSD.exe
E:\PROGRA~1\eScan\TRAYSSER.EXE
C:\WINDOWS\system32\wuauclt.exe
E:\Programme\eScan\escanwin.exe
E:\Programme\eScan\kavss.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
L:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [eScan Updater] E:\PROGRA~1\eScan\TRAYICOS.EXE /App
O4 - HKLM\..\Run: [eScan Monitor] E:\PROGRA~1\eScan\AVPMWrap.EXE
O4 - HKLM\..\Run: [MailScan Dispatcher] "E:\Programme\eScan\LAUNCH.EXE"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Configuration Loader] scvhost.exe
O4 - HKLM\..\Run: [Microsoft sddcE Contol] taskmnegr.exe
O4 - HKLM\..\RunServices: [Microsoft sddcE Contol] taskmnegr.exe
O4 - HKLM\..\RunServices: [Configuration Loader] scvhost.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] E:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: VIA RAID TOOL.lnk = C:\Programme\VIA\RAID\raid_tool.exe
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'mwtsp.dll' missing
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{47C7F516-B6E3-4B1E-A5B7-95D28AD960BC}: NameServer = 213.191.74.12 213.191.92.84
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: IntlRun - C:\WINDOWS\system32\en88l1lu1.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: eScan Server-Updater (eScan-trayicos) - MicroWorld Technologies Inc. - E:\PROGRA~1\eScan\TRAYSSER.EXE

cacatoa · 09.11.2005, 18:44

Hi,
mit mindestens zwei aktiven Backdoors und einer Look2me-Infektion gibts nur eines: System neu aufsetzen. Halte dich an alle Tipps und poste ein neues Logfile, wenn du fertig bist!
sorry
cacatoa

Edit: n´Abend cronos!

cronos · 09.11.2005, 18:46

Du hast u.a. folgenden auf dem Rechner:

http://www.sophos.com/virusinfo/anal...agobotaae.html

Daher ist dein System als kompromittiert anzusehen.
daher kann dir nur geraten werden, dein System Neuaufzusetzen und es vor der ersten I-netverbindung sicher zu konfigurieren:

http://www.trojaner-board.de/showthread.php?t=12154

Edit: Hi cacatoa

Karsesi · 09.11.2005, 21:52

mh? bin fertisch, aber nichts verändert ????

Logfile of HijackThis v1.99.1
Scan saved at 21:51:10, on 09.11.2005
Platform: Windows XP SP2, v.2096 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2096)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\eScan\TRAYICOS.EXE
C:\PROGRA~1\eScan\AVPMWrap.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\eScan\MAILDISP.EXE
C:\PROGRA~1\eScan\SPOOLER.EXE
C:\PROGRA~1\eScan\MAILSCAN.EXE
C:\PROGRA~1\eScan\kavss.exe
C:\PROGRA~1\eScan\AvpM.exe
C:\PROGRA~1\eScan\TRAYSSER.EXE
C:\PROGRA~1\eScan\avpm.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
L:\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [MailScan Dispatcher] "C:\Programme\eScan\LAUNCH.EXE"
O4 - HKLM\..\Run: [eScan Updater] C:\PROGRA~1\eScan\TRAYICOS.EXE /App
O4 - HKLM\..\Run: [eScan Monitor] C:\PROGRA~1\eScan\AVPMWrap.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'mwtsp.dll' missing
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1131564929413
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1131569115437
O17 - HKLM\System\CCS\Services\Tcpip\..\{0A443B94-93A7-4DC1-9B4F-7849C9FDF18C}: NameServer = 213.191.74.12 213.191.92.84
O17 - HKLM\System\CS1\Services\Tcpip\..\{0A443B94-93A7-4DC1-9B4F-7849C9FDF18C}: NameServer = 213.191.74.12 213.191.92.84
O23 - Service: eScan Server-Updater (eScan-trayicos) - MWTI2 - C:\PROGRA~1\eScan\TRAYSSER.EXE
O23 - Service: eScan Monitor Service (KAVMonitorService) - Kaspersky Labs. - C:\PROGRA~1\eScan\avpm.exe

cronos · 09.11.2005, 22:02

Was haste gemacht?Neu aufgesetzt?
Was hat sich nicht verändert?

Karsesi · 09.11.2005, 22:04

Ich weiss nicht alles neu gemacht, auch den update und die anderen Sachen, meinst du der hat immer noch Macken?

cronos · 09.11.2005, 22:08

Ja, das meine ich.
Siehe:

http://www.mathematik.uni-marburg.de...al.html#sec2.5

oder auch zweiter Link in meiner Signatur.
Du kannst dein System nur durch Neuaufsetzen in einen vertrauenswürdigen Zustand bringen.
Wir empfehlen dir das ja nicht zum Spaß!

Karsesi · 09.11.2005, 22:24

Ich gebe auf! Ich sitz hier schon so lange und dieser BackdoorWich*** soll immer noch da sein? Ne, oder? Was meint der überhaupt mit Knoppix bei der Kompromittierung? MIttlerweile weiss ich ja schon wie das Wort ausgeschrieben wird... Ich komm einfach nicht weiter...

cacatoa · 09.11.2005, 22:31

Sag mal,
hab ichs dir nicht am Anfang gleich geschrieben, was zu tun ist?

cacatoa

Karsesi · 09.11.2005, 22:35

Mach ich doch, jetzt hab ich minimum 3 mal das Betriebssystem installiert und die Sachen getan was drauf standen, ich will doch nur wissen woher siehst du das ich noch befallen bin? Der PC so geht ja einbahnfrei, aber hab auch kein bOck später wieder Dumm aus der Wäsche zu gucken

cronos · 09.11.2005, 22:39

Du mußt dein System auch, bevor du das erste mal ins Internet gehst absichern.
Wie das geht, ist in der Anleitung zum Neuaufsetzen beschrieben.

Karsesi · 18.11.2005, 12:43

Also bin wieder mal drin und fragen ob mit diesem log alles ok ist ...

Logfile of HijackThis v1.99.1
Scan saved at 12:42:52, on 18.11.2005
Platform: Windows XP SP2, v.2096 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2096)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\VIA\RAID\raid_tool.exe
C:\Programme\MessengerPlus! 3\MsgPlus.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\mst software\mst Defrag\mstDfrgS.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
L:\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] "C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [RaidTool] C:\Programme\VIA\RAID\raid_tool.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{1E0CC026-0ED4-472C-B843-AC2AD980BC62}: NameServer = 213.191.74.12 213.191.92.84
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: mst Defrag Service (mstDfrgS) - mst software, Martin Stiemerling, Germany - C:\Programme\mst software\mst Defrag\mstDfrgS.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

cacatoa · 18.11.2005, 12:55

Tja, diesmal hat´s wohl geklappt...
Das Logfile ist o.k.
cacatoa

Karsesi · 18.11.2005, 12:59

mh, ich geh stark davon aus, das ich euch genervt hab, aber ihr seid die besten.

. RESPEKT :aplaus:

Hat mich zwar auch ein paar Häärchen gekostet, aber ich hoff hat sich gelohnt .. cu

cacatoa · 18.11.2005, 13:44

Danke

cacatoa

Hi Jack This ;)

Log-Analyse und Auswertung: Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Hi Jack This ;)

Ähnliche Themen: Hi Jack This ;)

09.11.2005, 18:44	#2
cacatoa	Hi Jack This ;) Hi, mit mindestens zwei aktiven Backdoors und einer Look2me-Infektion gibts nur eines: System neu aufsetzen. Halte dich an alle Tipps und poste ein neues Logfile, wenn du fertig bist! sorry cacatoa Edit: n´Abend cronos! __________________ __________________ Geändert von cacatoa (09.11.2005 um 18:57 Uhr)

09.11.2005, 18:46	#3
cronos	Hi Jack This ;) Du hast u.a. folgenden auf dem Rechner: http://www.sophos.com/virusinfo/anal...agobotaae.html Daher ist dein System als kompromittiert anzusehen. daher kann dir nur geraten werden, dein System Neuaufzusetzen und es vor der ersten I-netverbindung sicher zu konfigurieren: http://www.trojaner-board.de/showthread.php?t=12154 Edit: Hi cacatoa __________________ __________________

09.11.2005, 22:02	#5
cronos	Hi Jack This ;) Was haste gemacht?Neu aufgesetzt? Was hat sich nicht verändert? __________________ Only cronos endures

09.11.2005, 22:04	#6
Karsesi	Hi Jack This ;) Ich weiss nicht alles neu gemacht, auch den update und die anderen Sachen, meinst du der hat immer noch Macken?

09.11.2005, 22:08	#7
cronos	Hi Jack This ;) Ja, das meine ich. Siehe: http://www.mathematik.uni-marburg.de...al.html#sec2.5 oder auch zweiter Link in meiner Signatur. Du kannst dein System nur durch Neuaufsetzen in einen vertrauenswürdigen Zustand bringen. Wir empfehlen dir das ja nicht zum Spaß! __________________ Only cronos endures

09.11.2005, 22:24	#8
Karsesi	Hi Jack This ;) Ich gebe auf! Ich sitz hier schon so lange und dieser BackdoorWich*** soll immer noch da sein? Ne, oder? Was meint der überhaupt mit Knoppix bei der Kompromittierung? MIttlerweile weiss ich ja schon wie das Wort ausgeschrieben wird... Ich komm einfach nicht weiter...

09.11.2005, 22:31	#9
cacatoa	Hi Jack This ;) Sag mal, hab ichs dir nicht am Anfang gleich geschrieben, was zu tun ist? cacatoa __________________ Der Mensch sollte eine Hundeseele haben

09.11.2005, 22:35	#10
Karsesi	Hi Jack This ;) Mach ich doch, jetzt hab ich minimum 3 mal das Betriebssystem installiert und die Sachen getan was drauf standen, ich will doch nur wissen woher siehst du das ich noch befallen bin? Der PC so geht ja einbahnfrei, aber hab auch kein bOck später wieder Dumm aus der Wäsche zu gucken

09.11.2005, 22:39	#11
cronos	Hi Jack This ;) Du mußt dein System auch, bevor du das erste mal ins Internet gehst absichern. Wie das geht, ist in der Anleitung zum Neuaufsetzen beschrieben. __________________ Only cronos endures

18.11.2005, 12:55	#13
cacatoa	Hi Jack This ;) Tja, diesmal hat´s wohl geklappt... Das Logfile ist o.k. cacatoa __________________ Der Mensch sollte eine Hundeseele haben

18.11.2005, 12:59	#14
Karsesi	Hi Jack This ;) mh, ich geh stark davon aus, das ich euch genervt hab, aber ihr seid die besten. . RESPEKT :aplaus: Hat mich zwar auch ein paar Häärchen gekostet, aber ich hoff hat sich gelohnt .. cu

18.11.2005, 13:44	#15
cacatoa	Hi Jack This ;) Danke cacatoa __________________ Der Mensch sollte eine Hundeseele haben