Hallo erstmal....

ich bin leider nicht so fit was Trojaner und deren Anzeichen angeht... nun die Frage an Euch:

In meinem system32-Ordner befindet sich eine .exe-Datei Namens "chkdsk" und eine Namens "chkdisk". Benötigt XP beide Dateien oder ist eine davon ein Anzeichen für ungewünschte Gäste?

Mein OS: XP-Home SP2

Danke schonmal im Vorraus.

Gruß, RoX1601

Hallo rox, in einem solchen Fall ist es ratsam die beiden Dateien bei Jotti zu überprüfen und das Ergebnis dann anschließend hier zu posten.

"chkdisk" ist mal sicherlich NICHT 'original', könnte aber natürlich auch ein 'legales' Tool eines Drittanbieters sein, ein Alarmsignal ist es aber jedenfalls.

(fehlendes "nicht" nachgetragen! sorry!)

Hab die chkdisk mal durchlaufen lassen:

AntiVir PCK/FSG gefunden
ArcaVir Keine Viren gefunden
Avast : Keine Viren gefunden
AVG Antivirus : Generic2.ZWV gefunden
BitDefender : BehavesLike:Trojan.ShellStartup gefunden (mögliche Variante)
ClamAV : Keine Viren gefunden
Dr.Web : Keine Viren gefunden
F-Prot Antivirus : Keine Viren gefunden
F-Secure Anti-Virus : Keine Viren gefunden
Fortinet : W32/Agent.DCE!tr gefunden
Kaspersky Anti-Virus : Keine Viren gefunden
NOD32 : probably unknown NewHeur_PE gefunden (mögliche Variante)
Norman Virus Control : Keine Viren gefunden
Panda Antivirus : Keine Viren gefunden
VirusBuster : Packed/FSG gefunden
VBA32 : Keine Viren gefunden


sieht für mich al Laien jetzt nicht so toll aus....

Was heißt das ganze jetzt? bzw auf welche dieser Aussagen sollte ich mich konzentrieren?

Danke

Hallo, poste mal bitte ein Hijackthis-Logfile (siehe FAQ), um das hier auszuschließen.

so, hab die "chkdsk" jetzt auch mal prüfen lassen. Da war alles ohne Befund....

Logfile of HijackThis v1.99.1
Scan saved at 14:54:08, on 10.03.2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\Dit.exe
C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Lexmark X1100 Series\lxbkbmon.exe
C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe
C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe
C:\WINDOWS\DitExp.exe
C:\Programme\Java\jre1.5.0_10\bin\jusched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\MI3AA1~1\wcescomm.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Teleca Shared\CapabilityManager.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\Gemeinsame Dateien\Teleca Shared\Generic.exe
C:\Programme\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Robert\tool\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [UninstalTime] chkdisk.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\PROGRA~1\MI3AA1~1\wcescomm.exe"
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {2DEF4530-8CE6-41C9-84B6-A54536C90213} (Crystal Report Viewer Control 9) - http://www.geadiva.de/viewer9/activeXViewer/activexviewer.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe




Hab grad gesehen, daß ich anscheinend doch nur SP1 und nicht SP2 drauf habe.... Sorry für die Fehlinfo....

Außerdem hab ich vorher schon mal HJT drüberlaufen lassen und 2 Einträge rausgeschmissen: der eine hatte was mit "regchk.exe" zu tun und bei dem Anderen weiß ichs nicht mehr genau....

O4 - HKLM\..\Run: [UninstalTime] chkdisk.exe
Außerdem hab ich vorher schon mal HJT drüberlaufen lassen und 2 Einträge rausgeschmissen: der eine hatte was mit "regchk.exe" zu tun und bei dem Anderen weiß ichs nicht mehr genau....

Nun, das hätte interessant sein können. Mir fällt leider zu deiner Ausgangsfrage nichts ein. Der Backdoor-Trojaner, an den ich gedacht hatte, scheint es nicht zu sein. Ich habe einen Hinweis darauf gefunden, dass es eine legitime Windows-Datei mit dem Namen chkdisk.exe geben soll:

...the legitimate Windows chkdisk.exe will in Windows XP/2K/NT always be located in the Winnt\System32 or Windows\System32 folder...

Quelle: http://www.hijackfree.com/en/autorunlist/default.aspx?show=1&search=chkdisk.exe
aber erstens dürfte diese nicht automatisch mitstarten, und zweitens findet sich im Netz zu wenig darüber. Mehr kann ich leider nicht sagen.
Denke bitte daran, SP2 einzuspielen, und rufe ansonsten hier noch mal laut um Hilfe.

Erstmal Danke an alle.

Anscheinend handelt es sich bei meiner "chkdisk" tatsächlich um einen ungebetenen Gast wenn ich nach "Jotti"s Analyse gehe.... Die Auswertung des Logfiles bei HijackThis benannte "chkdisk.exe" als "unbekanntes Programm"... hab es jetzt mal gefixt.....sieht eigentlich nicht schlecht aus bis jetzt.

Erwähnenswert wäre evtl noch gewesen, daß ich beim Starten des Systems immer die Meldung bekommen habe, daß "regchk.exe nicht gefunden" wurde. daraufhin hab ich dann HJT drüberlaufen lassen und eben diesen F2 Eintrag gefixt. Außerdem öffneten sich seit 2 Tagen IE-Fenster mit irgendwelchen Sites (Lycos, Ebay, goitemdb.com ,....) scheint sich aber momentan gelöst zu haben. Die Meldung beim booten kommt nicht mehr und der Vorgang chkdisk.exe erscheint nicht mehr im Task-Manager.
Was mit den Web-Sites ist, muß ich noch abwarten....

Vielen Dank für Eure Hilfe....


Falls jemand doch noch ein Problem sieht, wäre ich dankbar über ein Post...

Grüße, ROX1601

Zitat von rox1601

Falls jemand doch noch ein Problem sieht, wäre ich dankbar über ein Post...

Hallo.

Ich sehe da noch ein ganz großes Problem:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Wo ist das Sevice Pack 2 sowie die restlichen Sicherheitsupdates?
Du solltest dein System schleunigst auf einen aktuellen Stand bringen, sonst kriegst du bald noch mehr Probleme...

Sunny

ja, da hast Du recht.... bin auch grad am Beheben dieses Problems.....

meinte aber eigentlich in Bezug auf die aufgetretenen Symptome


trotzdem Danke