| |
| |||||||
Log-Analyse und Auswertung: bitte um auswertungWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
02.12.2004, 22:48
| #1 |
| |  bitte um auswertung hallo alle, wäre froh um auswertung des folgenden logs. zusätzliche frage: wenn ich die R1 und/oder R0er einträge lösche, erscheinen die immer wieder. ist da ein dienst, der diese wieder und wieder startet? wenn ja, wie finde ich raus, welcher das ist? danke für eure hilfe im voraus. yves Logfile of HijackThis v1.97.7 Scan saved at 22:42:10, on 02.12.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\S24EvMon.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe C:\OfficeScan NT\ntrtscan.exe C:\WINDOWS\System32\nvsvc32.exe C:\OfficeScan NT\OfcPfwSvc.exe C:\WINDOWS\System32\RegSrvc.exe C:\OfficeScan NT\tmlisten.exe C:\WINDOWS\System32\wdfmgr.exe C:\WINDOWS\TEMP\GEE46C.EXE C:\WINDOWS\system32\ZCfgSvc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\1XConfig.exe C:\WINDOWS\System32\00THotkey.exe C:\WINDOWS\System32\TFNF5.exe C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\Programme\TOSHIBA\TouchED\TouchED.Exe C:\WINDOWS\System32\TPSMain.exe C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe C:\OfficeScan NT\pccntmon.exe C:\WINDOWS\System32\TPSBattM.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Plaxo\2.0.4.65\InstallStub.exe C:\Programme\Messenger\msmsgs.exe C:\windows\dilrfgw.exe C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe C:\Dokumente und Einstellungen\lschellenberg\Desktop\searchassistant_remove_tools\hijack\HijackThis.exe C:\WINDOWS\System32\odcfg.exe C:\WINDOWS\System32\getdns.exe C:\WINDOWS\system32\mmc.exe C:\Programme\Mozilla Firefox\firefox.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://your-searcher.com/sp.htm R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://your-searcher.com/index.htm R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://your-searcher.com/index.htm R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://your-searcher.com/sp.htm R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://your-searcher.com/index.htm O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe O4 - HKLM\..\Run: [TFNF5] TFNF5.exe O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [TouchED] C:\Programme\TOSHIBA\TouchED\TouchED.Exe O4 - HKLM\..\Run: [TPSMain] TPSMain.exe O4 - HKLM\..\Run: [TFncKy] TFncKy.exe O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Programme\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\OfficeScan NT\pccntmon.exe" -HideWindow O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [PlaxoUpdate] C:\Programme\Plaxo\2.0.4.65\InstallStub.exe -a O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [wbuyyaf] c:\windows\lbwsdbg.exe O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe O4 - Global Startup: Microsoft Office OneNote 2003 Schnellstart.lnk = C:\Programme\Microsoft Office\OFFICE11\ONENOTEM.EXE O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - https://192.168.3.200/officescan/con...l/WinNTChk.cab O16 - DPF: {08BEF711-06DA-48B2-9534-802ECAA2E4F9} (PlxInstall Class) - https://www.plaxo.com/down/release/PlaxoInstall.cab O16 - DPF: {08D75BB0-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupINICtrl Class) - https://192.168.3.200/officescan/con...l/setupini.cab O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - https://192.168.3.200/officescan/con...tall/setup.cab O16 - DPF: {35C3D91E-401A-4E45-88A5-F3B32CD72DF4} (Encrypt Class) - https://192.168.3.200/officescan/con...tml/AtxEnc.cab O16 - DPF: {5EFE8CB1-D095-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment ObjRemoveCtrl Class) - https://192.168.3.200/officescan/con...RemoveCtrl.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1099598248394 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub...sh/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = lomzh.ch O17 - HKLM\Software\..\Telephony: DomainName = lomzh.ch O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = lomzh.ch |
|
02.12.2004, 22:49
| #2 |
  | bitte um auswertung Bitte die aktuelle Version 1.98.2 verwenden und ein neues Logfile posten! www.hijackthis.de -> Direktdownload
__________________ |
|
02.12.2004, 22:56
| #3 |
| | teil 2.... danke dir für die prompte reaktion!
__________________hier mein neues logfile: Logfile of HijackThis v1.98.2 Scan saved at 22:53:15, on 02.12.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\S24EvMon.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe C:\OfficeScan NT\ntrtscan.exe C:\WINDOWS\System32\nvsvc32.exe C:\OfficeScan NT\OfcPfwSvc.exe C:\WINDOWS\System32\RegSrvc.exe C:\OfficeScan NT\tmlisten.exe C:\WINDOWS\System32\wdfmgr.exe C:\WINDOWS\TEMP\GEE46C.EXE C:\WINDOWS\system32\ZCfgSvc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\1XConfig.exe C:\WINDOWS\System32\00THotkey.exe C:\WINDOWS\System32\TFNF5.exe C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\Programme\TOSHIBA\TouchED\TouchED.Exe C:\WINDOWS\System32\TPSMain.exe C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe C:\OfficeScan NT\pccntmon.exe C:\WINDOWS\System32\TPSBattM.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Plaxo\2.0.4.65\InstallStub.exe C:\Programme\Messenger\msmsgs.exe C:\windows\dilrfgw.exe C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe C:\Dokumente und Einstellungen\lschellenberg\Desktop\searchassistant_remove_tools\hijack\HijackThis.exe C:\WINDOWS\System32\odcfg.exe C:\WINDOWS\System32\getdns.exe C:\WINDOWS\system32\mmc.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\PROGRA~1\ULTIMA~1.7\uzip.exe C:\DOKUME~1\LSCHEL~1\LOKALE~1\TEMP\HIJACKTHIS.EXE C:\Programme\Internet Explorer\iexplore.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://your-searcher.com/sp.htm R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://your-searcher.com/index.htm R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://your-searcher.com/index.htm R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://your-searcher.com/sp.htm R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://your-searcher.com/index.htm O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe O4 - HKLM\..\Run: [TFNF5] TFNF5.exe O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [TouchED] C:\Programme\TOSHIBA\TouchED\TouchED.Exe O4 - HKLM\..\Run: [TPSMain] TPSMain.exe O4 - HKLM\..\Run: [TFncKy] TFncKy.exe O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Programme\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\OfficeScan NT\pccntmon.exe" -HideWindow O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [PlaxoUpdate] C:\Programme\Plaxo\2.0.4.65\InstallStub.exe -a O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [wbuyyaf] c:\windows\lbwsdbg.exe O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe O4 - Global Startup: Microsoft Office OneNote 2003 Schnellstart.lnk = C:\Programme\Microsoft Office\OFFICE11\ONENOTEM.EXE O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - https://192.168.3.200/officescan/con...l/WinNTChk.cab O16 - DPF: {08BEF711-06DA-48B2-9534-802ECAA2E4F9} (PlxInstall Class) - https://www.plaxo.com/down/release/PlaxoInstall.cab O16 - DPF: {08D75BB0-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupINICtrl Class) - https://192.168.3.200/officescan/con...l/setupini.cab O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - https://192.168.3.200/officescan/con...tall/setup.cab O16 - DPF: {35C3D91E-401A-4E45-88A5-F3B32CD72DF4} (Encrypt Class) - https://192.168.3.200/officescan/con...tml/AtxEnc.cab O16 - DPF: {5EFE8CB1-D095-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment ObjRemoveCtrl Class) - https://192.168.3.200/officescan/con...RemoveCtrl.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1099598248394 O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = lomzh.ch O17 - HKLM\Software\..\Telephony: DomainName = lomzh.ch O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = lomzh.ch |
|
02.12.2004, 23:11
| #4 |
| | bitte um auswertung Scanne mal mit eScan im abgesicherten Modus gemäß der Anleitung! Poste dann was gefunden wurde. Am einfachsten machst du das so: Direkt nach dem Scan, den Inhalt des Fensters "Virus Log Information" kopieren (Strg+A alles markieren; Strg+C kopieren) und dann in einer Textdatei abspeichern (z.B. mit Wordpad o.ä.). Dazu den Inhalt mit Strg+V in das Textverarbeitungsprogramm einfügen und das Dokument dann abspeichern. Nach dem Neustart kannst du die Infos aus der Datei dann einfach ins Forum kopieren. mfg Haui |
|
07.12.2004, 19:59
| #5 |
| | schlussendlich neu..... hallo haui & co. sorry, dass ich erst so spät antworte. habe den notebook schlussendlich neu formatiert......musste auf nummer sicher gehn, das dort nix 'böses' hängen blieb... danke trotzdem für deine/eure hilfe! gruss yves |
|
| Themen zu bitte um auswertung |
| adobe, auswertung, bho, crypt, desktop, einstellungen, encrypt, explorer, firefox, frage, hijack, hijackthis, hilfe, internet, internet explorer, messenger, microsoft, monitor, mozilla, mozilla firefox, object, officescan, programme, shockwave, software, system, tcpip, temp, träge, windows, windows xp, windows\temp |
