Na hallo miteinander

seit gestern hab ich mir da was eingefangen. Outlook versendet 2x pro Tag ca 50. Mails. Diese sind weder in der Outbox noch hab ich sie geschrieben.

Nach einem FullScan mit dem Antivirus Tool, -> nüscht
Spyware -> nüscht

Ich vermute mal, da hat sich was in der Outlook Routine festgefressen, denn normalerweise bringen die Würmchen ja einen eigenen SMTP mit. Der benutzt aber Outlook, wenns ned läuft sendets auch nicht. Wie unterhaltsam

Mal gucken ob wir rausfinden was das ist, besonders weil der AV nix findet. Bei ner analyse mit File & Regmon von sysinternals seh ich, dass Outlook die ganze Zeit Winword aufruft zum die Mails zu generieren. Ev. ein VBS Script?

Gruss
streetfox

Hier mal mein Hijack
--------------------
Logfile of HijackThis v1.99.1
Scan saved at 15:19:11, on 05.06.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\ibmpmsvc.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
C:\Program Files\CVSNT\cvslock.exe
C:\Program Files\CVSNT\cvsservice.exe
C:\WINDOWS\system32\cba\pds.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\xampp\mysql\bin\mysqld-nt.exe
C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\TPHDEXLG.EXE
C:\WINDOWS\system32\TpKmpSVC.exe
C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
C:\WINDOWS\system32\vmnat.exe
C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\system32\ams_ii\iao.exe
C:\WINDOWS\system32\cba\xfr.exe
C:\WINDOWS\system32\vmnetdhcp.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Program Files\Analog Devices\SoundMAX\Smax4.exe
C:\WINDOWS\system32\TpShocks.exe
C:\WINDOWS\System32\TpScrLk.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\ThinkPad\ConnectUtilities\QCWLICON.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe
C:\Program Files\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe
C:\Program Files\Lenovo\PkgMgr\HOTKEY_1\TpScrex.exe
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\system32\rmctrl.exe
C:\Program Files\Mindjet\MindManager 6\MMReminderService.exe
C:\PROGRA~1\ThinkPad\CONNEC~1\QCTray.exe
C:\Program Files\Adobe\Adobe Version Cue CS2\ControlPanel\VersionCueCS2Tray.exe
C:\Program Files\Adobe\Adobe Acrobat 7.0\Distillr\Acrotray.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Tracker Software\PDF-XChange 3\pdfSaver\pdfSaver3.exe
C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
C:\WINDOWS\system32\wuauclt1.exe
C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
C:\Program Files\TechSmith\SnagIt 7\SnagIt32.exe
C:\Program Files\xampp\mysql\bin\winmysqladmin.exe
C:\Program Files\TechSmith\SnagIt 7\TSCHelp.exe
C:\Documents and Settings\[zensiert]\Desktop\Regmon.exe
C:\WINDOWS\regedit.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\Symantec AntiVirus\DefWatch.exe
C:\Program Files\Symantec AntiVirus\Rtvscan.exe
C:\Program Files\Symantec AntiVirus\SavRoam.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Symantec AntiVirus\vptray.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\[zensiert]\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.n-tv.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = [zensiert]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;<local>
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 7\SnagItBHO.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Adobe Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: IexploreOmea - {09628AAA-66AD-4FA2-82E2-698185B66463} - C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NewzCrawlerRSSAutodiscovery2 Object - {5F50A50A-0A0F-4F58-8B1C-62BC60F9B05A} - C:\PROGRA~1\NEWZCR~1\NCRSSA~1.DLL
O2 - BHO: CmjBrowserHelperObject Object - {AC41D38F-B56D-40AD-94E0-B493D130C959} - C:\Program Files\Mindjet\MindManager 6\Mm6InternetExplorer.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 7\SnagItIEAddin.dll
O3 - Toolbar: Omea - {35402C01-1777-4159-9ABA-3480BA70D90A} - C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [EZEJMNAP] C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ControlCenter] "C:\Program Files\IBM fingerprint software\ctlcntr.exe" /startup
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [TPKBDLED] C:\WINDOWS\System32\TpScrLk.exe
O4 - HKLM\..\Run: [TP4EX] tp4ex.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QCWLICON] C:\Program Files\ThinkPad\ConnectUtilities\QCWLICON.EXE
O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe
O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Program Files\ThinkPad\Utilities\TpKmapAp.exe -helper
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [MMReminderService] C:\Program Files\Mindjet\MindManager 6\MMReminderService.exe
O4 - HKLM\..\Run: [QCTray] C:\PROGRA~1\ThinkPad\CONNEC~1\QCTray.exe
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Adobe Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\system32\rmctrl.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [pdfSaver3] "C:\Program Files\Tracker Software\PDF-XChange 3\pdfSaver\pdfSaver3.exe"
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [SCCSwitcher] C:\Program Files\PushOk Software\CVS Proxy NT\SCCSwitcher.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\Msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Microsoft Office OneNote 2003 Quick Launch.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Startup: WinMySQLadmin.lnk = C:\Program Files\xampp\mysql\bin\winmysqladmin.exe
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office OneNote 2003 Quick Launch.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: SnagIt 7.lnk = C:\Program Files\TechSmith\SnagIt 7\SnagIt32.exe
O4 - Global Startup: Vision Services.lnk = C:\Program Files\Common Files\Vision\vservice.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: Add to Link Commander collection - C:\Program Files\Link Commander\add_link.htm
O8 - Extra context menu item: Clip and Edit - res://C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll/1000
O8 - Extra context menu item: Clip and Save - res://C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll/1001
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Save Web Page to askSam... - C:\Program Files\askSam\askSam6\ASAdd.htm
O8 - Extra context menu item: Subscribe in NewzCrawler - file://C:\Program Files\NewzCrawler\context.htm
O9 - Extra button: Show Link Commander - {0492EC8E-CBD1-4303-BC8B-74A8EC2CED09} - C:\PROGRA~1\LINKCO~1\LCLaunch.dll
O9 - Extra 'Tools' menuitem: Show Link Commander - {0492EC8E-CBD1-4303-BC8B-74A8EC2CED09} - C:\PROGRA~1\LINKCO~1\LCLaunch.dll
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_07\bin\npjpi142_07.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_07\bin\npjpi142_07.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Add to collection - {4712ACB0-8ABC-4FF1-8485-2FC9E9348542} - C:\PROGRA~1\LINKCO~1\LCAdd.dll
O9 - Extra 'Tools' menuitem: Add to Link Commander collection - {4712ACB0-8ABC-4FF1-8485-2FC9E9348542} - C:\PROGRA~1\LINKCO~1\LCAdd.dll
O9 - Extra button: Send to Mindjet MindManager - {531B9DC0-D8EE-4c76-A6EE-6C1E50569655} - C:\Program Files\Mindjet\MindManager 6\Mm6InternetExplorer.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Software Installer - {D1A4DEBD-C2EE-449f-B9FB-E8409F9A0BC5} - C:\Program Files\Lenovo\PkgMgr\\PkgMgr.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {35402C01-1777-4159-9ABA-3480BA70D901} - C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll (HKCU)
O9 - Extra 'Tools' menuitem: Omea Add-on Options… - {35402C01-1777-4159-9ABA-3480BA70D901} - C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll (HKCU)
O9 - Extra button: Subscribe to Feed - {35402C01-1777-4159-9ABA-3480BA70D903} - C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll (HKCU)
O9 - Extra button: Clip and Edit - {35402C01-1777-4159-9ABA-3480BA70D905} - C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll (HKCU)
O9 - Extra button: Clip and Save - {35402C01-1777-4159-9ABA-3480BA70D907} - C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll (HKCU)
O9 - Extra button: Annotate - {35402C01-1777-4159-9ABA-3480BA70D909} - C:\Program Files\JetBrains\Omea\IexploreOmeaW.dll (HKCU)
O15 - Trusted Zone: [zensiert - ist ok, bekannte website]
O16 - DPF: {40272BF7-4FF5-4D6F-9BAD-3C1D3CB32982} (Live365PlayerVIP Class) - h**p://www.live365.com/players/p365vip.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - h**p://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - h**p://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {CC05BC12-2AA2-4AC7-AC81-0E40F83B1ADF} (Live365Player Class) - h**p://www.live365.com/players/play365.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = [zensiert]
O17 - HKLM\Software\..\Telephony: DomainName = [zensiert]
O17 - HKLM\System\CCS\Services\Tcpip\..\{272FF07E-D4C2-41B7-8CC7-70374188C52A}: Domain = [zensiert]
O17 - HKLM\System\CCS\Services\Tcpip\..\{5F76F17C-796C-49B9-9D59-CB1653BEB09C}: Domain = [zensiert]
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = [zensiert]
O18 - Protocol: asksam6 - {72A9B8AD-6895-422C-A3F7-F2A7A88B88DA} - C:\Program Files\askSam\askSam6\AS6_AIPP.dll
O18 - Protocol: haufereader - {39198710-62F7-42CD-9458-069843FA5D32} - C:\Program Files\Haufe\HaufeReader\HRInstmon.dll
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: psfus - C:\Program Files\IBM fingerprint software\psfus.dll
O20 - Winlogon Notify: QConGina - C:\WINDOWS\SYSTEM32\QConGina.dll
O20 - Winlogon Notify: tphotkey - C:\WINDOWS\SYSTEM32\tphklock.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: CVSNT Locking Service 2.5.03.2151 (cvslock) - Unknown owner - C:\Program Files\CVSNT\cvslock.exe
O23 - Service: CVSNT Dispatch service 2.5.03.2151 (cvsnt) - March Hare Software Ltd - C:\Program Files\CVSNT\cvsservice.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe
O23 - Service: EvtEng - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Intel Alert Handler - LANDesk Software Ltd. - C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
O23 - Service: Intel Alert Originator - LANDesk Software Ltd. - C:\WINDOWS\system32\ams_ii\iao.exe
O23 - Service: Intel File Transfer - LANDesk Software Ltd. - C:\WINDOWS\system32\cba\xfr.exe
O23 - Service: Intel PDS - LANDesk Software Ltd. - C:\WINDOWS\system32\cba\pds.exe
O23 - Service: MySql - Unknown owner - C:/Program Files/xampp/mysql/bin/mysqld-nt.exe
O23 - Service: Symantec System Center Discovery Service (NSCTOP) - Symantec Corporation - C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
O23 - Service: QCONSVC - IBM Corp. - C:\WINDOWS\System32\QCONSVC.EXE
O23 - Service: RegSrvc - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe
O23 - Service: IBM HDD APS Logging Service (TPHDEXLGSVC) - IBM Corporation - C:\WINDOWS\System32\TPHDEXLG.EXE
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe
O23 - Service: Protector Suite Virtual Token (vtserver) - UPEK Inc. - C:\Program Files\Common Files\Virtual Token\vtserver.exe

seit gestern hab ich mir da was eingefangen. Outlook versendet 2x pro Tag ca 50. Mails. Diese sind weder in der Outbox noch hab ich sie geschrieben.

Ich hab das Log mal "überflogen" ...
Du stellst einen Server zur verfügung und wunderst dich über Mail-Traffik?
Im Logfile jedenfalls habe ich gerade nichts sehr auffälliges gefunden ...

Oder bist du so jemand, der absolut alles installieren muss

mfg,
Markus

Wegen Xampp? Im log siehste ja auch das es n notebook ist. Wäre ja mal was für nen grossen Anbieter, Server auf Notebooks laufen zu lassen. Mache ab und an mal ne HP und teste hier.

Wundern tu ich mich, ja. Aber über die Ghost-Mails. Ist kein Mail-Server drauf.

Spass beiseite. Er verschickt 30 Mails, 2x am Tag. Outlook 2003 öffnen, und plötzlich siehste unten rechts:
"Sending Mail 1 of 30..."

In der Outbox ist nichts und dann kommen plötzlich < 30 "Delivery Notifications" zurück.

Das lustige ist ja, der schickt sich schön durch den Symantec AV Scanner durch

Zitat von streetfox

Das lustige ist ja, der schickt sich schön durch den Symantec AV Scanner durch

Na und?
Spam muss keine Viren enthalten.
Hat dir schon mal jemand gesagt, dass man nicht alles installieren muss, was man so findet?
Und man muss auch nicht jedes Programm laufen lassen, wenn man ein HJT-Log erstellt. Würde bedeutend übersichtlicher, deshalb auch nur überflogen

Hm, heute scheint ihr ja echt ne gute Laune zu haben.

a) wenn das log läuft, ist alles ausgeschaltet, bis auf die services die natürlich laufen.

b) also was ich installier lasst ihr ja bitte meine Sorge sein, das ist ja echt echt anmassend. Was ist drauf:
Adobe, Xampp, Das Devstudio + CVS Anbindung, was für usenet, ne linkverwaltung, Office, Mindmanager.
Und das noch von nem Moderator... dachte ihr seid IT spezis und habt auch n bisschen mehr als nur den Messenger drauf?

c) Liebe leuts, dann kommt noch tonnenweise SW mit den I*M Thinkpads: z.B.
- PräsiManager
- PowerManager
- fingerprint/gina (das UPEK Teil)
- Hotkey Manager

Ist mehr drauf als 08/15 ja, aber wenn ihr am Ende mit dem Latein seid, lasst bitte die unnützen Kommentare mal stecken... Jetzt arbeit ich seit einigen Jahren in nem Unternehmen und hab gröbers gesehn.

Wenn ihr nix gescheits wisst ist das ja auch ned schlimm, doch diese postings sind Müll. Sorry, die helfen mir gar nix. Also das von Markus is ja noch ok. Doch diese "Na und" Kommentare...tja dann verschickt er halt nur spam.

Fakt ist: Kein AV erkennt das Teil !

Ich bin offen für alle die ne idee haben und konstruktiv was beitragen können.

By the way: EScan hat mittlerweile auch nix gefunden.

Was ist denn der Inhalt der Mails? Die Delivery Notifications sollten Aufschluss drüber geben.

Ausserdem mal diesen Thread: http://www.trojaner-board.de/showthread.php?t=26225 auf Relevanz prüfen.

Gruß
Yopie

Das ist konstruktiv! Danke

also ich poste nicht das ganze, falls wirklich was neues ist.
Vermutlich ist es ned nur spam weil sowas verschickt wird:

> eJ8+IgQKAQaQCAAEAAAAA
[....rausgeschnitten...]
> k2ODk4
> MzA5M0U0MjYwOUYyNEI3MkMwMAAAAAD+bg==
         

Subject:
Patches
hello
darling

also das klassische Muster. Irgendwie sollte sich doch herausfinden lassen welches mainfile da in action ist? Dann kann mans mal sym..tec, F-secure etc. schicken. oder über das portal gegen andere scanner vergleichen.

EScan Update [Heute gemacht]
SAV Definitions [4.6.2006 rev.6 / engine 61.1.0.11]

Wenn du den ganzen Base-64-kodierten Body mal irgendwo online stellen könntest, dann wüsste man zumindest, ob Malware verschickt wird. So sagt einem das gar nichts.

Gruß
Yopie

Zitat von streetfox

a) wenn das log läuft, ist alles ausgeschaltet, bis auf die services die natürlich laufen.

Regedit läuft, Internet-Explorer etc...

"Na und" bezog sich darauf, dass Norton bei seinem Mail-Scan nichts findet, was dich so zu überraschen scheint. Dies ist aber ganz "normal", denn Spam enthält nun mal eher selten Viren. (ist möglich, aber eher die Ausnahme)

Auch muss man nicht alles installieren, was ein Hersteller einem so anbietet, gut vorkonfiguriert ist es u.U. schon drauf, gilt sicher auch für die Daemon-Tools, live365.com etc? Richtig es ist dein PC (oder deines Arbeitgebers), aber du hast nach unserer Meinung gefragt, hier ist einTeil davon :aplaus:

Welche AV-Programme hast du denn schon alles durchlaufen lassen, außer NAV und MWAV/eScan? (MWAV/eScan hat nichts gefunden? Überhauptnichts? nicht mal "tagged as not a virus"?)

Und beachte Yopies Beitrag

hm...also das teil das er verschickt sieht mir eher nach nem header von winmail.dat aus in plaintext form.

der zweite thread klingt interessant.

öhm shadow...soll ich denn jetzt noch die anderen Scanner installieren? Ich dachte ich hab jetzt totales installierverbot? was du auch immer zu meckern hast, ne ist mein privater.

Zum Thema vorkonfiguriert und Hersteller Blabla. Das ist Religion, interessiert mich nicht. Mich interessiert nur das Problem. Ja ist ne Bastelkiste und setzt die dann und wann zurück. Doch jetzt gilts erstma herauszufinden ob das was Böses ist oder nur n "Ich bin ein Dummer User" Fehler. Im zweiten Fall werde ich mich dann auch vor dir verneigen...hehe

+++
Blödsinn.
Regedit läuft, Internet-Explorer etc...
+++

Regedit ja, aber IE seh ich nicht als offenes Window....aha???
Mussu mich ja auch nicht für blöd verkaufen. Ich bin naiv aber dumm nicht. Ausserdem hätt ich ja noch ein paar andere Programme die ich laufen lassen könnte :aplaus:

Alles andere sind services und autostart items...schöne performance halt

Zitat von streetfox

hm...also das teil das er verschickt sieht mir eher nach nem header von winmail.dat aus in plaintext form.

Und was hindert dich daran, diesen Inhalt nun irgendwo als Textdatei online zu stellen? Im Trüben fischen ist nicht mein Hobby.

Gruß
Yopie

Zitat von Yopie

Wenn du den ganzen Base-64-kodierten Body mal irgendwo online stellen könntest, dann wüsste man zumindest, ob Malware verschickt wird. So sagt einem das gar nichts.

Gruß
Yopie

Hey danke, es sind in der Tat "Not Read" messages. Werd mal nach dem zweiten Thread verfahren. Danke erstma Yopie

hier, auch n bisschen trüb...

> eJ8+IgQKAQaQCAAEAAAAAAABAAEAAQeQBgAIAAAA5AQAAAAAAADoAAEIgAcAFwAAAFJFUE
> eJ8+9SVC5J
> UE0uTm90ZS5JUE5OUk4AtwYBCoABACEAAABDQzEwNjlGRjJENTEwQzQ5QkNGREVDQ0Q4Qj
> Q4MjE1 
> QQB7BwEDkAYARAIAABcAAABAADIAgIuK4ouIxgEeAEkAAQAAAAQAAABGdzoAAgFMAAEAAA
> ByAAAA
> AAAAAIErH6S+oxAZnW4A3QEPVAIAAAGAQwByAG8AdwBsAGUAeQAgAEEAbgBpAHQAYQAAAF
> AAAAAIErH6S+MATQBU
> AFAAAABjAHMAaQBoAGUAbQBsAGwAdgByAGoAQABkAGEAdABhAHQAcgBhAGMAZQAuAGMAbw
> BtAAAA
> AAAeAE0AAQAAAA4AAABDcm93bGV5IEFuaXRhAAAAQABOAICzZFwOIcYBQABVAAA+l/39IM
> AAAeAE0AAQAAAA4AAABDcm93bGV5IEFuaXRhAAAAQABOAICzZFwOIcYBQABVAAA+YBHgBw
> AAEAAAABAAAAAAAAAAIBcQABAAAAGwAAAAHGIP39l6xNJGsWo0o3jRLIqTepeygZ43k8YQ
> AeAHIA 
> AQAAAAEAAAAAAAAAHgBzAAEAAAABAAAAAAAAAB4AdAABAAAAGAAAAG9saXZlci5sb2hyaU
> BibHVl 
> d2luLmNoAAsACAwAAAAACwABDgEAAAADABQOAQAAAB4AARABAAAAGQAAAE1lc3NhZ2Ugd2
> FzIG5v
> dCByZWFkIGJ5OgAAAAALAB8OAQAAAAIB+A8BAAAAEAAAAGZuJSQ/znNKlomDCT5CYJ8CAf
> dCByZWFkIGJ5OgAAAAALAB8OAQAAAAIB+oPAQAA
> ABAAAABmbiUkP85zSpaJgwk+QmCfAwD+DwUAAAADAA00/T8DAAMADzT9PwMAAgEUNAEAAA
> ABAAAABmbiUkP85zSpaJgwk+QmCfAwD+AQAAAA
> TklUQfm/uAEAqgA32W4AAAIBfwABAAAAMQAAADAwMDAwMDAwNjY2RTI1MjQzRkNFNzM0QT
> k2ODk4
> MzA5M0U0MjYwOUYyNEI3MkMwMAAAAAD+bg==
         

Ist so nicht zu dekodieren, aber nun auch nicht mehr so wichtig.

Gruß
Yopie

Zitat von Shadow

Welche AV-Programme hast du denn schon alles durchlaufen lassen, außer NAV und MWAV/eScan? (MWAV/eScan hat nichts gefunden? Überhauptnichts? nicht mal "tagged as not a virus"?)

NAV und eSCAN, korrekt.

Bei eScan ist das Virus Log Information Window leer, ja. Ich halt ja meinen Kübel sauber...drum bin ich so erstaunt!

Es stellt sich langsam wirklich raus, dass dies diese *** "Not Read" Messages sind. Ich dachte ich hab die Option ausgeschaltet, habe aber grad gestern ein Update von Outlook und mehrere von XP nachfahren lassen (SUS). Scheint auf default zurückzugehen.

Ach ja, hier noch die Verneigung vor Shadow, man steht ja zu seinem Wort
*verneig*

Hitzkopf...