Hi zusammen,

ich hab ein Problehm mach ich doch neulich meinen Monitor aus und hab nicht weiter auf meine kiste geachtet.. muss vorraus sagen ich war online und zusätlich noch im Yahoo messy drin.

Also ich den Moni dan irgendwann wieder eingeschaltet.. jedoch die ganze kiste hing für mich nix ausser gewöhnliches, kommt öfters mal vor....

Jedoch war die letzte Aktion die da laufen sollte das Öffnen eines laufwerkes das ich nicht habe das hat dann so aus gesehen (N:/rec) , der Ordner war bereitz geöffnet und der Mauszeiger zeigte noch ne Spur.

ich hab dan nen reste durchgeführt und nach diesem LW gesucht, aber weder LW noch der Ordner waren vorhanden


Kann sich da ein trojana eingenistet haben der alles auf ein Virtuelles LW aufnimmt ?

Bitte um hilfe

Danke

Servus!

Kann sich da ein trojana eingenistet haben der alles auf ein Virtuelles LW aufnimmt ?

Kann sein, muss nicht sein! Aber nach Deiner Beschreibung klingt das so, als ob jemand Dritter über ein Netzwerk (<-- installiert?) auf Deinem PC fuhrwerkt! Hat jemand anderer als Du Zugriff (physisch wie auch über Netzwerk) zu Deinm PC?
Auf jeden Fall: Poste doch einmal ein HJT-Logfile nach Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=17493 hier!
stupormundi

re.

Ja hab ein Netz aber iss alles in der wohnung und der andere Rechner kann nicht so ohne weiteres auf diesen hier zugreifen, was noch denkbar wäre iss das mein Sohn am rechner war wärend ich bei Artz war... jedoch kann auch er nicht auf ein laufwerk zugreifen das ich garnicht hab.

Das Laufwerk wie auch der Ordner müssen def. dagewesen sein.. das fenster von diesem LW war ja offen und der Ordner ebenfalls.. ich hab meine maus so eingestellt das sie eine Spur zieht.. und auch das war noch auf dem Schirm sichtbar.

Logfile hab ich erstellt aber ich hab keinen schimmer ob ich das hier einfach so rein posten kann. kenn mich mit der materie nicht aus und will das hier nicht öffentlich machen , aber wenn da wirklich noch einer auf meinem rechner rumhackt würde ich das schon gerne wissen

Gruss bullit

Logfile mit Markieren-->kopieren-->einfügen hier im 'Antwort' Fenster hierher kopieren!

rumhackt würde ich das schon gerne wissen

Das gluabe ich Dir!
Btw. Vielleicht auch ein Idee: Hast Du ein Flash RAM (USB Stick, Speicherkartei von Digicam) oder eine externe Festplatte (oder Dein Sprößlinig). Da poppt auch nur dann ein zusätzliches Laufwerk auf, wenn derartiges angesteckt ist!?
stupormundi

re.

ja hab ne Externe Platte aber die hat ne andere LW bezeichnung und ich habe an der hardware nix geändert, der buchstabe N als LW war nich nie vergeben.

hier mal das Log file:

Logfile of HijackThis v1.99.1
Scan saved at 09:57:18, on 25.11.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\Programme\Ahead\InCD\InCDsrv.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
I:\Programme\ScanSoft\OmniPageSE\opware32.exe
D:\WINDOWS\System32\LVCOMSX.EXE
I:\Programme\nerodvd\PowerDVD\PDVDServ.exe
D:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
D:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
D:\WINDOWS\tdss.exe\tdss.exe
D:\Programme\Trojancheck 6\tcguard.exe
D:\WINDOWS\System32\ctfmon.exe
J:\PROGRA~1\ASHAMP~1\PopUpKiller.exe
D:\Programme\Zone Labs\ZoneAlarm\zapro.exe
D:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
D:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
D:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
D:\WINDOWS\system32\drivers\KodakCCS.exe
D:\WINDOWS\System32\ScsiAccess.EXE
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\ZONELABS\vsmon.exe
D:\Programme\Internet Explorer\iexplore.exe
J:\Programme\PMAIL\winpm-32.exe
D:\Programme\Internet Explorer\iexplore.exe
D:\Programme\Yahoo!\Messenger\YPager.exe
D:\Programme\Yahoo!\Messenger\YPager.exe
E:\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchAssistant = ,
R1 - HKCU\Software\Microsoft\Internet Explorer,CustomizeSearch = ,
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = ,
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://D:\WINDOWS\system32\hravc.dll/sp.html#55135
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://D:\WINDOWS\system32\hravc.dll/sp.html#55135
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R3 - Default URLSearchHook is missing
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - D:\Programme\Yahoo!\Messenger\ycomp.dll
O2 - BHO: Class - {5AD223F0-D505-ED2C-EDD0-DD8182600925} - D:\WINDOWS\sdkgh.dll (file missing)
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - J:\PROGRA~1\FLASHGET\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - J:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Programme\Yahoo!\Messenger\ycomp.dll
O4 - HKLM\..\Run: [Omnipage] I:\Programme\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "D:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [LVCOMSX] D:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] I:\Programme\nerodvd\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [AVG7_CC] D:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] D:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [WinUpdate] D:\WINDOWS\tdss.exe\tdss.exe
O4 - HKLM\..\Run: [Trojancheck 6 Guard] D:\Programme\Trojancheck 6\tcguard.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Ashampoo PopUpBlocker] J:\PROGRA~1\ASHAMP~1\PopUpKiller.exe
O4 - HKCU\..\Run: [NBJ] "I:\Programme\nero\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [WinUpdate] D:\WINDOWS\tdss.exe\tdss.exe
O4 - HKCU\..\Run: [Yahoo! Pager] D:\Programme\Yahoo!\Messenger\ypager.exe -quiet
O4 - Global Startup: ZoneAlarm Pro.lnk = D:\Programme\Zone Labs\ZoneAlarm\zapro.exe
O8 - Extra context menu item: Alles mit FlashGet laden - J:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - J:\Programme\FlashGet\jc_link.htm
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - J:\Programme\AMI\aim.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - J:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - J:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\YAHOO!\MESSEN~1\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\YAHOO!\MESSEN~1\YPAGER.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\MSMSGS.EXE
O12 - Plugin for .tiff: D:\Programme\Internet Explorer\PLUGINS\npqtplugin5.dll
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/pote_x.cab
O16 - DPF: {7D1E9C49-BD6A-11D3-87A8-009027A35D73} (Yahoo! Audio UI1) - http://chat.yahoo.com/cab/yacsui.cab
O16 - DPF: {8714912E-380D-11D5-B8AA-00D0B78F3D48} (Yahoo! Webcam Upload Wrapper) - http://chat.yahoo.com/cab/yuplapp.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O16 - DPF: {DA511858-B44C-439E-A0EA-704ED20035E7} (EphoxEditLive4.EditLive) - http://www.beepworld.de/hp/activexeditor/editlive4.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{5222CB3F-8D4E-4D11-B703-8F11991BB7AB}: NameServer = 217.237.151.161 217.237.151.33
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - D:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - D:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: C-DillaSrv - C-Dilla Ltd - D:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - D:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - D:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - D:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: ScsiAccess - Unknown owner - D:\WINDOWS\System32\ScsiAccess.EXE
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - D:\WINDOWS\system32\ZONELABS\vsmon.exe


bis später und danke noch

Zitat von Bullit2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

Ich frage mich warum Leute die jeden Mist den sie finden installieren müssen, nicht auch mal WindowsXP-SP2 finden und installieren können.
(ist nicht ganz so böse gemeint wie es klingt)

Und da fällt dir nichts auf?

Zitat von Bullit2005

D:\WINDOWS\tdss.exe\tdss.exe
...
O4 - HKCU\..\Run: [WinUpdate] D:\WINDOWS\tdss.exe\tdss.exe

Datei bei http://virusscan.jotti.org/ überprüfen

R0 bzw. R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://D:\WINDOWS\system32\hravc.dll/sp.html#55135

ist nix gut. Fixen und nach sp.html hier suchen

http://www.trojaner-board.de/showthread.php?t=22159

re

ich hab doch keine ahnung von dem müll wenn ich die kiste zu was brauch isses fast ausschlisslich nur zum Chatte. ich werd meinen kleinen mal pc verbot geben des nimm hier überhand

naja.. jetzt gugg ich erst mal das ich besagtes erledige wobei ich mir net sicher bin das ich des hinbekomm isch ma alles zu hoch.

danke und ich melde mich wieder rein