Hallo zusammen,

ich habe eben mal escan aus Spaß an der Freude im abgesicherten Modus über mein System laufen lassen und bekomme die Meldung dass die Spyware/Adware "searchexe" auf meinem System gefunden wurde.

Ewido, AdAware, AVG und Spybot sagten mir immer, dass mein System clean sei. Auch mein HJT-Log war bei der automatischen Auswertung sauber.

Das ganze Logfile von escan ist 4,6 MB groß und ellenlang! Weiß nicht, ob es sinnvoll wäre, das hier zu posten. Ich poste jetzt einfach mal die Stelle, wo das mit searchexe sthet. Bin mit escan nicht so firm! Habe aber den Scan nach der Anleitung durchgeführt: Sprich: eben erst gedownloadet und geupdatet...

Wed Feb 22 15:26:46 2006 => Scanning File C:\WINDOWS\system32\HAL.DLL
Wed Feb 22 15:26:46 2006 => Scanning File C:\WINDOWS\system32\win32k.sys
Wed Feb 22 15:26:46 2006 => Scanning File C:\WINDOWS\system32\ntdll.dll
Wed Feb 22 15:26:46 2006 => Scanning File C:\WINDOWS\system32\advapi32.dll
Wed Feb 22 15:26:46 2006 => Scanning File C:\WINDOWS\system32\user32.dll
Wed Feb 22 15:26:46 2006 => Scanning File C:\WINDOWS\system32\gdi32.dll
Wed Feb 22 15:26:46 2006 => Scanning File C:\WINDOWS\system32\bootvid.dll
Wed Feb 22 15:26:47 2006 => Scanning File C:\WINDOWS\system32\command.com

Wed Feb 22 15:26:47 2006 => ***** Scanning Registry and File system for Adware/Spyware *****
Wed Feb 22 15:26:47 2006 => Loading Spyware Signatures from new External Database (Size: 152537).
Wed Feb 22 15:26:51 2006 => Indexed Spyware Databases Successfully Created...

Wed Feb 22 15:27:03 2006 => System found infected with searchexe Spyware/Adware ({807553e5-5146-11d5-a672-00b0d022e945})! Action taken: No Action Taken.

Wed Feb 22 15:27:15 2006 => ***** Scanning All Drives *****
Wed Feb 22 15:27:15 2006 => Scanning C:\ Drive
Wed Feb 22 15:27:15 2006 => Scanning Folder: C:\*.*
Wed Feb 22 15:27:15 2006 => Scanning Folder: C:\$VAULT$.AVG\*.*
Wed Feb 22 15:27:15 2006 => Scanning Folder: C:\Acrobat Reader 7.0\*.*

Ich werde jetzt mal alle Cookies und private Daten bei Firefox löschen und dann nochmal schauen, ob die Meldung immernoch kommt... Ergebnis werde ich hier posten. Ich frage mich wirklich, wo das herkommen sollte, weil ich Dateien immer nur sehr bewusst und vorsichtig downloade...

Noch was: Gerade eben habe ich auf C:\ ne sonderbare Datei entdeckt: 23990098.$$$ die kann ich nicht bei jotti hochladen, da sie 0kB groß ist! Außerdem gibt es da ein Logfile das sich "AVPCallback.log" nennt. da dirn stehen nur die Zahlen: "460677"...
Hab meinen rechner auch nach "*searchexe*.*" durchsucht, was aber keine Ergebnisse brachte...

Ich habe bei google mit den Suchbegriffen "searchexe" und "searchexe und escan" keine hilfreichen Links gefunden...

Vielen Dank für Hilfe schonmal im Voraus und Grüße,
G.F.

PS: WinXP Home ist natürlich mit allen Updates aufm neuesten Stand! Braucht ihr en HJT-Log?

PPS: Bitte ein "false positive"

Hallo,

Bitte ein "false positive"

Davon kannst du ausgehen, Escan sieht sehr gerne mal Gespenster.
Die avpCallback.log, *hmm* wußte irgendwann mal was das war, habe ich aber als harmlos in Erinnerung.
Bei der 23990098.$$$ bin ich mir nicht ganz sicher glaube aber das sie harmlos ist und zum System gehört.


Grüße Wildone

@Wildone
THX für Deine schnell und erstmal beruhigende Antwort! Aber:

1. Habe ich jetzt mal ClearProg laufen lassen und bei Firefox die Persönlichen daten löschen lassen... escan findet die "Spyware/Adware" jedoch immernoch... Und Deine Antwort klingt, als ob Du's auch nicht genau wüsstest... Oder hört sich das nur so an und ich hab Dich falsch verstanden?

2. Gegen die Möglichkeit dass diese komische *.$$$ zum System gehört würde doch sprechen, dass sie auch da steht, wenn ich im Explorer die Option "Wichtige Systemdateien ausblenden" aktiviert hab, oder? jotti.org hat irgendwas gesagt, dass es mit ner Firewall zu tun haben könnte. Vielleicht liets an meiner Kerio... Werd nochmal Google fragen

Bis hier hin erstmal danke, aber wirklich weiter bin ich glaub' ich immernoch nicht .

EDIT: Google findet zu den beiden suspekten Dateien auch nur Einträge die auf harmlose Dinge schließen lassen: dieses AVPCallback gehört wohl zu escan... und die Dollar-Datei tatsächlich zu windoof. Aber was ist mit dem escan-Fund

G.F.

Hallo,
zu 1.), na klar findet den Escan weiterhin, das ist ja auch keine Datei sondern ein Regestrykey den hast du mit Clearprog mit Sicherheit nicht gelöscht. Außerdem ist Escan bekannt für seine false positives und das ist mit großer Sicherheit einer, ignoriere die Meldung einfach.

zu 2.) wie gesagt bin mir nicht sicher wozu genau sie gehört, glaube aber nicht an Malware. Die Meldung von jotti ist eine Standardmeldung, ich glaube nicht das es an der Firewall liegt, vielleicht ist die Datei auch aktiv und kann deswegen nicht hochgeladen werden.


Grüße Wildone

Oki, dann mal vielen Dank!

Hätte mich auch gewundert...

Habe übrigens auch mal die registry nach "searchexe" durchsucht: Ohne Befund

Also nochmal Danke und bis demnächst!

G.F.