Q548361.exe

giBBo · 21.11.2004, 10:55

Hi zusammen

Q548361.exe und Mega.exe gehen mir gewaltig auf den keks... Habe die schon geposteten Zeilen im Forum gelesen, helfen wir aber leider nicht weiter ;(

Hier mein Log

Logfile of HijackThis v1.98.2
Scan saved at 10:56:35, on 21.11.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Roxio\GoBack\GBPoll.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton Personal Firewall\NISUM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\Norton Personal Firewall\ccPxySvc.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Trust\Ami Mouse Single Scroll\Amoumain.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\PROGRA~1\ELTech\Keyboard\Easymain.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\Roxio\GoBack\GBTray.exe
C:\Programme\FRITZ!\IWatch.exe
C:\PROGRA~1\AD-AWA~1\Ad-Aware.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\xxx\Eigene Dateien\hijackthis1982\HijackThis.exe
C:\Dokumente und Einstellungen\xxx\Eigene Dateien\hijackthis1982\Q548361.exe
C:\WINDOWS\system32\cmd.exe
c:\Q548361.exe
C:\WINDOWS\system32\cmd.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.freenet.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
F2 - REG:system.ini: UserInit=Userinit.exe,_huytam_
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [WheelMouse] Amoumain.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [E-KeyWork] C:\PROGRA~1\ELTech\Keyboard\Easymain.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: GoBack.lnk = C:\Programme\Roxio\GoBack\GBTray.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1100968873671
O17 - HKLM\System\CCS\Services\Tcpip\..\{D8CCB1D2-565F-45F5-AA64-CD3607FBAC3E}: NameServer = 192.168.120.252,192.168.120.253

Vielen Dank schon mal

Gruß
giBBo

Cidre · 21.11.2004, 11:02

Das eScan AntiVirus Toolkit Utility (mwav.exe) herunterladen, die Datei in den Ordner "c:\Bases" (wichtig !) entpacken und danach die "kavupd.exe" (Update) ausführen.
http://www.mwti.net/antivirus/free_utilities.asp

Wechsle in den abgesicherten Modus http://www.bsi.bund.de/av/texte/wiederher_xp.htm und fixe diese Einträge (Haken setzen und auf Fix Checked klicken):
F2 - REG:system.ini: UserInit=Userinit.exe,_huytam_

Lösche diese Dateien:
c:\Q548361.exe
C:\Dokumente und Einstellungen\xxx\Eigene Dateien\hijackthis1982\Q548361.exe

- mit eScan scannen (den Scanner mit der "mwavscan.com" starten. Alle Häkchen setzen und "Scan" klicken.) und die Malware manuell entfernen http://www.trojaner-board.de/42731-escan-anleitung.html
- Neustart
- dein System updaten http://v5.windowsupdate.microsoft.co...r/default.aspx
- neues Log-File von HijackThis und die Virus Log Information von eScan posten

giBBo · 21.11.2004, 19:16

eScan sagt mir _huytam_.dll und _huytam_.exe sind infiziert im Ordner c:/windows/system32/
Kann die Dateien aber nicht finden, auch wenn ich mir alle versteckten anzeigen lasse

chaosman · 21.11.2004, 19:38

@giBBo
Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren -> "OK"

bringt auch nichts?
chaosman

giBBo · 21.11.2004, 20:02

nein, leider net

Cidre · 21.11.2004, 20:05

HJT öffnen -> Config -> Misc Tools -> Delete a File on reboot -> zur betroffenen .dll oder .exe navigieren -> Öffnen -> nächste Frage mit JA beantworten.

giBBo · 21.11.2004, 22:28

Hab mich an eure Tips gehalten, und wollte jetzt mal fragen, ob das log jetzt sauber ist, ob alle Malwares beseitigt sind, oder ob noch was auf q548361 hindeutet

Danke schon mal

Logfile of HijackThis v1.98.2
Scan saved at 22:30:50, on 21.11.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Roxio\GoBack\GBPoll.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton Personal Firewall\NISUM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Norton Personal Firewall\ccPxySvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\PROGRA~1\ELTech\Keyboard\Easymain.exe
C:\WINDOWS\System32\msiexec.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\Roxio\GoBack\GBTray.exe
C:\Programme\FRITZ!\IWatch.exe
C:\WINDOWS\System32\MsiExec.exe
C:\Bases\mwavscan.com
C:\Bases\kavss.exe
C:\Dokumente und Einstellungen\Tom\Eigene Dateien\hijackthis1982\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=1010
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.freenet.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
F2 - REG:system.ini: UserInit=
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [E-KeyWork] C:\PROGRA~1\ELTech\Keyboard\Easymain.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: GoBack.lnk = C:\Programme\Roxio\GoBack\GBTray.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1100968873671
O17 - HKLM\System\CCS\Services\Tcpip\..\{D8CCB1D2-565F-45F5-AA64-CD3607FBAC3E}: NameServer = 192.168.120.252,192.168.120.253

Cidre · 21.11.2004, 22:34

Fixe diesen Eintrag noch:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=1010

Ansonsten sehe ich keine Auffälligkeiten mehr.

giBBo · 21.11.2004, 22:35

sofern ich noch vorkommen der oben genannten datei oder der mega2.exe habe, einfach löschen???

Vielen Dank für die Hilfe

Gruß

giBBo

Cidre · 21.11.2004, 22:37

Ja, ansonsten gern geschehen.

giBBo · 22.11.2004, 07:37

nachdem ich jetzt alle mega2.exe und Q548361.exe gelöscht habe, kann ich mich nicht mehr am system anmelden. Der Anmeldedialog erscheint zwar, ich kann dort auch normal Benutzer und Passwort eingeben, dass ganze bestätigen und dann erscheint mein Desktop hintergrund, aber: ich werde direkt wieder ausgeloggt, und gelange wieder zum Anmeldedialog

Lidius · 22.11.2004, 07:43

Kommst du in den abgesicherten modus? Wenn ja, erstelle dort nochmal ein hijakckthis log und poste es hier.

giBBo · 22.11.2004, 07:46

nein, kann mich nirgends anmelden

HILFE

Cidre · 22.11.2004, 23:29

Beschreibe mal wie du in den abgesicherten Modus gehst.
Gleiches Szenario wie im normalen Modus?
Hast du ein Administrator Passwort vergeben?
Welche XP Version nutzt du?

giBBo · 22.11.2004, 23:32

Ich habe ein Adminpassword vergeben, kann mich aber als Admin auch nicht anmelden... im abgesicherten Modus verhält sich XP wie in dem normalen Modus...
Beim Anmeldedialog kann ich mich ganz normal anmelden, er läd dann auch mein Wallpaper, aber ich seh keine Startleiste und keine Icons... und dann meldet der Rechner mich, egal mit welchem Account ich mich anmelde, wieder ab

Achja: Win XP Prof Servicepack 2

Wie gehe ich in den Abgesicherten??? Naja, ich frücke F8 und dann wähle ich den abgesicherten aus... ohne netz und ohne eingabeauffoderung

21.11.2004, 20:05	#6
Cidre Administrator, a.D.	Q548361.exe HJT öffnen -> Config -> Misc Tools -> Delete a File on reboot -> zur betroffenen .dll oder .exe navigieren -> Öffnen -> nächste Frage mit JA beantworten. __________________ --> Q548361.exe

21.11.2004, 22:34	#8
Cidre Administrator, a.D.	Q548361.exe Fixe diesen Eintrag noch: R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=1010 Ansonsten sehe ich keine Auffälligkeiten mehr. __________________ Gruß, Cidre [B]Neuaufsetzen des Systems/Absicherung - Wie poste ich falsch?

21.11.2004, 22:37	#10
Cidre Administrator, a.D.	Q548361.exe Ja, ansonsten gern geschehen. __________________ Gruß, Cidre [B]Neuaufsetzen des Systems/Absicherung - Wie poste ich falsch?

22.11.2004, 23:29	#14
Cidre Administrator, a.D.	Q548361.exe Beschreibe mal wie du in den abgesicherten Modus gehst. Gleiches Szenario wie im normalen Modus? Hast du ein Administrator Passwort vergeben? Welche XP Version nutzt du? __________________ Gruß, Cidre [B]Neuaufsetzen des Systems/Absicherung - Wie poste ich falsch?

Q548361.exe

Plagegeister aller Art und deren Bekämpfung: Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Q548361.exe

Ähnliche Themen: Q548361.exe

21.11.2004, 19:16	#3
giBBo	Q548361.exe eScan sagt mir _huytam_.dll und _huytam_.exe sind infiziert im Ordner c:/windows/system32/ Kann die Dateien aber nicht finden, auch wenn ich mir alle versteckten anzeigen lasse __________________

21.11.2004, 19:38	#4
chaosman	Q548361.exe @giBBo Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren -> "OK" bringt auch nichts? chaosman __________________ Bonus vir semper tiro

21.11.2004, 22:35	#9
giBBo	Q548361.exe sofern ich noch vorkommen der oben genannten datei oder der mega2.exe habe, einfach löschen??? Vielen Dank für die Hilfe Gruß giBBo

22.11.2004, 07:37	#11
giBBo	Q548361.exe nachdem ich jetzt alle mega2.exe und Q548361.exe gelöscht habe, kann ich mich nicht mehr am system anmelden. Der Anmeldedialog erscheint zwar, ich kann dort auch normal Benutzer und Passwort eingeben, dass ganze bestätigen und dann erscheint mein Desktop hintergrund, aber: ich werde direkt wieder ausgeloggt, und gelange wieder zum Anmeldedialog

22.11.2004, 07:43	#12
Lidius	Q548361.exe Kommst du in den abgesicherten modus? Wenn ja, erstelle dort nochmal ein hijakckthis log und poste es hier.

22.11.2004, 07:46	#13
giBBo	Q548361.exe nein, kann mich nirgends anmelden HILFE Geändert von giBBo (22.11.2004 um 15:30 Uhr)