tach medelz und junx
ich hab da mal n progi ausgeführt. aufeinmal hat der PC angefangen zu spinnen und der Task-Manager, den ich so sehr brauche, ging nicht mehr. Fehlermeldung:

Der Task-Manager wurde durch den Administrator deaktiviert.
         

Ich überlegte kurz und versuchte mich zu erinnern wann ich, der Administrator, meinen task-manger deaktiviert hab. schliesslich kam ich auf den entschluss dass ich das nicht war! ich vermute da ist ein trojaner im spiel.
meine Log:

Logfile of HijackThis v1.99.1
Scan saved at 12:43:10, on 03.06.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\spoolsv.exe
C:\PROGRA~1\GEMEIN~1\Stardock\SDMCP.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\Explorer.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\windows\RTHDCPL.EXE
C:\Programme\Lexmark 5200 series\lxbtbmgr.exe
C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Programme\Lexmark 5200 series\lxbtbmon.exe
C:\HP\KBD\KBD.EXE
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\internet explorer\iexplore.exe
C:\Programme\Ulead Systems\Ulead Photo Express 6\CalCheck.exe
C:\windows\VM_STI.EXE
C:\Programme\QuickTime\qttask.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\windows\WinKer.exe
C:\windows\system32\ctfmon.exe
C:\Programme\Steam\Steam.exe
C:\Programme\FreeCall.com\FreeCall\FreeCall.exe
C:\Programme\Stardock\ObjectDock\ObjectDock.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\windows\system32\svchost.exe
C:\Programme\PC Connectivity Solution\ServiceLayer.exe
C:\windows\system32\wuauclt.exe
C:\progra~1\mozill~1\firefox.exe
C:\Dokumente und Einstellungen\1L4D\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.iofm.net
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.iofm.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :
F2 - REG:system.ini: Shell=Explorer.exe C:\windows\system32\scvhost.exe
F3 - REG:win.ini: load=C:\windows\system32\scvhost.exe
F3 - REG:win.ini: run=C:\windows\system32\scvhost.exe
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Flashget Catch Url Class - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Programme\FlashGet\jccatch.dll
O2 - BHO: gFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Programme\FlashGet\getflash.dll
O3 - Toolbar: FlashGet - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\Programme\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [ATIPTA] "C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Lexmark 5200 series] "C:\Programme\Lexmark 5200 series\lxbtbmgr.exe"
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [LXBTCATS] rundll32 C:\windows\System32\spool\DRIVERS\W32X86\3\LXBTtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [Ulead AutoDetector] C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\Monitor.exe
O4 - HKLM\..\Run: [Ulead Calendar Checker] C:\Programme\Ulead Systems\Ulead Photo Express 6\CalCheck.exe
O4 - HKLM\..\Run: [BigDogPath] C:\windows\VM_STI.EXE Philips SPC 200NC PC Camera
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKLM\..\Run: [Generic Host Process] C:\windows\system32\scvhost.exe
O4 - HKLM\..\Run: [WinKernel] C:\windows\WinKer.exe
O4 - HKLM\..\RunServices: [Generic Host Process] C:\windows\system32\scvhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Steam] "C:\Programme\Steam\Steam.exe" -silent
O4 - HKCU\..\Run: [FreeCall] "C:\Programme\FreeCall.com\FreeCall\FreeCall.exe" -nosplash -minimized
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: Stardock ObjectDock.lnk = C:\Programme\Stardock\ObjectDock\ObjectDock.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: &Download All with FlashGet - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: &Download with FlashGet - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\ie_banner_deny.htm
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.iofm.net
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/DE-CH/a-UNO1/GAME_UNO1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {97E71027-0BA2-44F2-97DB-F84D808ED0B6} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab55762.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: klogon - C:\windows\system32\klogon.dll
O20 - Winlogon Notify: MCPClient - C:\PROGRA~1\GEMEIN~1\Stardock\mcpstub.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\windows\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security 6.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe" -r (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: lxbt_device - Lexmark International, Inc. - C:\WINDOWS\system32\lxbtcoms.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Hi,

du hast dir zweifelsfrei einen Backdoor-Trojaner eingefangen!

Relevante Einträge:

F2 - REG:system.ini: Shell=Explorer.exe C:\windows\system32\scvhost.exe
F3 - REG:win.ini: load=C:\windows\system32\scvhost.exe
F3 - REG:win.ini: run=C:\windows\system32\scvhost.exe

O4 - HKLM\..\Run: [Generic Host Process] C:\windows\system32\scvhost.exe
O4 - HKLM\..\Run: [WinKernel] C:\windows\WinKer.exe
C:\windows\system32\scvhost.exe

Du kannst die Dateien zwar bei Virustotal scannen aber ehrlich gesagt kommst du wahrscheinlich nicht drum herum dein System neu aufzusetzen!

Würde ich dir auf jeden Fall raten. Selbst wenn ein AV-Proggi den Trojaner desinfiziert, weißt du nicht was dieser in deinem System angerichtet hat.

Ich würde auf jeden Fall nicht mehr mit dem System ins Internet gehen wollen!! Das kommt eben dabei raus, wenn man gecrackte Proggis installieren will!

Ändere sämtliche Passwörter und setzte neu auf.

Gruss

mhm
also scvhost.exe is mein eigener trojaner ... wollte mehr darüber wissen und hab mal rumexperimentiert und mich selbst mit Cruel-Intentionz infiziert um zu sehen, was das script-kiddie sieht.
warum soll man nach so einem angriff neuaufsetzen? was kann er den meinem system so anrichten? meine diese frage ernst, weil mich das thema security im moment sehr interessiert.

meine gecrackten proggies sind sicher! (ich habe natürlich keine, nur legale)

Zitat von lecter

mhm
also scvhost.exe is mein eigener trojaner ... wollte mehr darüber wissen und hab mal rumexperimentiert und mich selbst mit Cruel-Intentionz infiziert um zu sehen, was das script-kiddie sieht.

Was auch immer du gesehen hast: Das Infizieren scheint funktioniert zu haben.

warum soll man nach so einem angriff neuaufsetzen? was kann er den meinem system so anrichten?

Angriff? Welcher Angriff? Es ist doch "dein eigener Trojaner". Und was ich sowieso nicht verstehe: Warum experimentiert einer mit Schädlingen, die er nicht beherrscht?

meine diese frage ernst, weil mich das thema security im moment sehr interessiert.

Lektüretipps: Suchmaschine nach den Stichworten Trojaner/Backdoor/(Technische) Kompromittierung befragen, außerdem:
http://www.trojaner-board.de/12154-a...sicherung.html. felixx65 hat's bereits gesagt. Deinem Wissensdurst dürfte damit ein gutes Stück abgeholfen sein.

meine gecrackten proggies sind sicher! (ich habe natürlich keine, nur legale)

Und ich dachte, "gecrackte proggies" sind unsicher und illegal...