Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Navlogon?

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML

Antwort
Alt 22.03.2005, 15:47   #1
Hans_Baerbel
 
Navlogon? - Standard

Navlogon?



Hallo,

ich habe seit kurzem das Problem, dass mein explorer beim herunterfahren oft hängenbleibt, ich dann erst "jetzt beenden" klicken muss...
habe dann mal alles gescannt und folgendes im HJT für fraglich befunden: O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll
Google liefert leider nichts - auch sonst nichts gefunden

hier das log:
Logfile of HijackThis v1.99.1
Scan saved at 15:46:27, on 22.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINDOWS\system32\cba\pds.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
C:\Programme\WinPortrait\wpctrl.exe
C:\Programme\Gigabyte\Gigabyte Windows Utility Manager\ET4\et4Tray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\WinPortrait\floater.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\DOKUME~1\mb\LOKALE~1\Temp\Temporäres Verzeichnis 6 für hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [vptray] C:\Programme\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
O4 - HKLM\..\Run: [PivotSoftware] "C:\Programme\WinPortrait\wpctrl.exe"
O4 - HKLM\..\Run: [EasyTuneIV] C:\Programme\Gigabyte\Gigabyte Windows Utility Manager\ET4\et4Tray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O15 - Trusted Zone: http://*.windowsupdate.microsoft.com
O15 - Trusted Zone: http://*.windowsupdate.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = seven2one.de
O17 - HKLM\Software\..\Telephony: DomainName = seven2one.de
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = seven2one.de
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - Service: Intel File Transfer - Intel® Corporation - C:\WINDOWS\system32\cba\xfr.exe
O23 - Service: Intel PDS - Intel® Corporation - C:\WINDOWS\system32\cba\pds.exe
O23 - Service: MESAP4 DataLink Service (dl_test) (M4DataLinkService) - Seven2one GmbH - C:\Programme\Mesap4\M4DataLinkService.exe
O23 - Service: MESAP4 Schedule Agent (M4SchedAgent) - Seven2one GmbH - C:\Programme\Mesap4\M4ScheduleAgent.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
O23 - Service: Symantec System Center Discovery-Dienst (NSCTOP) - Symantec Corporation - C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
O23 - Service: OracleOraHome9ClientCache - Unknown owner - D:\oracle\ora9204\BIN\ONRSD.EXE

hab das log schon online überrpüfen lassen, nur der navlogon ist komisch

danke und gruß mirko

Alt 22.03.2005, 15:49   #2
Haui45
 
Navlogon? - Standard

Navlogon?



Überprüfe die Datei mal online bei http://virusscan.jotti.org/de/ und poste das Ergebnis.
__________________


Alt 22.03.2005, 15:55   #3
Hans_Baerbel
 
Navlogon? - Standard

Navlogon?



hatte ich ja schon gemacht, vergessen mit reinzukopieren:

Auslastung:
0% 100%
Datei: NavLogon.dll
Status:
EVENTUELL INFIZIERT/MALWARE (Es ist verdächtig, dass die Sandbox-Emulation lange dauerte und/oder die Datei gepackt war. Normalerweise sind Programme nicht gepackt und zwingen die Sandbox nicht zu einer langwierigen Emulation. Beachten Sie, dass kein Scanner eine Warnung gegeben hat, d.h. die Datei kann sehr wohl harmlos sein. Wir raten allerdings zur Vorsicht.) (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.)
Entdeckte Packprogramme:
-

AntiVir
Keine Viren gefunden (1.58 Sekunden)
Avast
Keine Viren gefunden (3.01 Sekunden)
AVG Antivirus
Keine Viren gefunden (0.49 Sekunden)
BitDefender
Keine Viren gefunden (0.77 Sekunden)
ClamAV
Keine Viren gefunden (1.24 Sekunden)
Dr.Web
Keine Viren gefunden (1.85 Sekunden)
F-Prot Antivirus
Keine Viren gefunden (0.17 Sekunden)
Fortinet
Keine Viren gefunden (0.87 Sekunden)
Kaspersky Anti-Virus
Keine Viren gefunden (2.11 Sekunden)
mks_vir
Keine Viren gefunden (0.45 Sekunden)
NOD32
Keine Viren gefunden (0.93 Sekunden)
Norman Virus Control
Keine Viren gefunden (0.54 Sekunden)
__________________

Alt 22.03.2005, 16:00   #4
Haui45
 
Navlogon? - Standard

Navlogon?



Bei der Datei handelt es sich definitiv um Malware. Damit wir wissen um welche Art, solltest du die Datei zur weiteren Analyse bei www.malwareupload.com hochladen und das Ergebnis abwarten. Ich rate dir, den befallenen Rechner, falls möglich, vom Netz zu trennen. Du kannst die Datei jedoch zusätzlich noch bei www.virustotal.com (ist sowas ähnliches wie "jotti") überprüfen lassen.

Alt 22.03.2005, 16:06   #5
Hans_Baerbel
 
Navlogon? - Standard

Navlogon?



scheisse...

malwareupload:
Eine Datei mit diesem Namen existiert bereits. Eventuell haben Sie diese Datei bereits hochgeladen.
Verdächtige Dateien hochladen

virustotal:
This is a report processed by VirusTotal on 03/22/2005 at 16:05:35 (CET) after scanning the file "NavLogon.dll" file.

Antivirus Version Update Result
AntiVir 6.30.0.7 03.22.2005 no virus found
AVG 718 03.21.2005 no virus found
BitDefender 7.0 03.22.2005 no virus found
ClamAV devel-20050307 03.22.2005 no virus found
DrWeb 4.32b 03.22.2005 no virus found
eTrust-Iris 7.1.194.0 03.22.2005 no virus found
eTrust-Vet 11.7.0.0 03.22.2005 no virus found
Fortinet 2.51 03.20.2005 no virus found
F-Prot 3.16a 03.22.2005 no virus found
Ikarus 2.32 03.21.2005 no virus found
Kaspersky 4.0.2.24 03.22.2005 no virus found
McAfee 4451 03.21.2005 no virus found
NOD32v2 1.1031 03.21.2005 no virus found
Norman 5.70.10 03.21.2005 no virus found
Panda 8.02.00 03.21.2005 no virus found
Sybari 7.5.1314 03.22.2005 no virus found
Symantec 8.0 03.21.2005 no virus found

soll ich das nun mit hjt fixen?


Alt 22.03.2005, 16:41   #6
Haui45
 
Navlogon? - Standard

Navlogon?



Schick die Datei bitte gepackt und mit Passwort versehen an partytime-germany.ice@web.de mit Verweis auf diesen Thread. Die Datei hatten wir imho schon öfters hier, nur hat sich von den betroffenen Personen keine mehr gemeldet

Kannst du schon fixen, nur ist das im Moment eigentlich keine Lösung...

Alt 22.03.2005, 16:48   #7
Hans_Baerbel
 
Navlogon? - Standard

Navlogon?



mail ist raus.
wo hab ich die eigentlich hingeschickt?
was passiert jetzt?

Danke und Gruß mirko

Alt 22.03.2005, 16:54   #8
Haui45
 
Navlogon? - Standard

Navlogon?



Du hast es an *Christian* (ein User des Boards) geschickt. Er ist auch am Projekt "malwareupload.com" beteiligt -> http://www.trojaner-board.de/showthread.php?t=14472

Alt 22.03.2005, 17:03   #9
Hans_Baerbel
 
Navlogon? - Standard

Navlogon?



ok danke...

ich warte jetzt also ab, bis ich antwort erhalte.
dann gibts neue signaturen und dann kann ich fixen?

hast du in meinem log noch weiter auffällige sachen gefunden?

gruß Mirko

Alt 23.03.2005, 17:56   #10
*Christian*
Gast
 
Navlogon? - Standard

Navlogon?



Sorry für die späte Antwort.

Die Datei gehört zu Norton und ist clean.

Alt 23.03.2005, 17:58   #11
Haui45
 
Navlogon? - Standard

Navlogon?



Danke für die Info, hab ich mich wohl getäuscht.

Antwort

Themen zu Navlogon?
.com, adobe, antivirus, bho, excel, explorer, firefox, gigabyte, herunterfahren, hijack, hijackthis, internet, internet explorer, microsoft, mozilla, mozilla firefox, problem, programme, security, server, software, sun java, symantec, system, temp, windows, windows xp




Zum Thema Navlogon? - Hallo, ich habe seit kurzem das Problem, dass mein explorer beim herunterfahren oft hängenbleibt, ich dann erst "jetzt beenden" klicken muss... habe dann mal alles gescannt und folgendes im HJT - Navlogon?...
Archiv
Du betrachtest: Navlogon? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.