HiJackThis log

JimSelf · 22.12.2005, 11:57

Hallo zusammen..
sitze an dem rechner eines bekannten,
habe mitlerweile ne menge von dieser Spielwiese entfernt, aber um sicher zu sein wär es klasse wenn ihr noch einmal drüberschauen könntet.
Dank im vorraus

die aktuallisierung des systems folgt nach säuberung

Logfile of HijackThis v1.99.1
Scan saved at 12:17:19, on 16.12.2005
Platform: Windows 2003 SP1 (WinNT 5.02.3790)
MSIE: Internet Explorer v6.00 SP1 (6.00.3790.1830)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programme\Symantec AntiVirus\DefWatch.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\system32\CBA\pds.exe
C:\WINDOWS\System32\ismserv.exe
C:\Programme\No-IP\DUC20.exe
C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
C:\WINDOWS\system32\ntfrs.exe
C:\WINDOWS\system32\oocinst.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\System32\snmp.exe
C:\Programme\Symantec AntiVirus\Rtvscan.exe
C:\Programme\RealVNC\VNC4\WinVNC4.exe
E:\SUS\wusync\WUSyncSvc.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\system32\ams_ii\iao.exe
C:\WINDOWS\system32\cba\xfr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Cobian Backup 6\cobui.exe
C:\Program Files\Ctqdng\Fxmp.exe
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\PROGRA~1\SYMANT~1\VPTray.exe
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\Programme\No-IP\DUC20.exe
C:\WINDOWS\scanfile.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\cidaemon.exe
c:\windows\system32\inetsrv\w3wp.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Dokumente und Einstellungen\+++\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [cssvrsub] "C:\Programme\Competent Software\CheckSystem Pro 4.0\cssvrsub.exe" -startup
O4 - HKLM\..\Run: [Cobian Backup Interface 6] "C:\Programme\Cobian Backup 6\cobui.exe" -service
O4 - HKLM\..\Run: [Ildqhk] C:\Program Files\Ctqdng\Fxmp.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - Startup: No-IP DUC.lnk = C:\Programme\No-IP\DUC20.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Scanner File Utility.lnk = C:\Programme\Kyocera Mita\FileUtility\fileexec.exe
O16 - DPF: {D30CA0FD-1CA0-11D4-AC78-006008A9A8BC} (WebBasedClientInstall Class) - file://*:\Install\Applikationen\Norton\Tools\WebInst\webinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = ****
O17 - HKLM\Software\..\Telephony: DomainName = *****
O17 - HKLM\System\CCS\Services\Tcpip\..\{AD303427-EFCA-48E5-A021-C65D194AD72D}: NameServer = +++.+++.+++.+++,+++.++.+++.++
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ******
O20 - Winlogon Notify: dimsntfy - C:\WINDOWS\SYSTEM32\dimsntfy.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O23 - Service: AllSync Scheduler Service (AllSyncService) - Michael Thummerer Software Design - E:\AllSync\AllSync.exe
O23 - Service: Cobian Backup 6 service (CobBackup6) - Luis Cobian - C:\Programme\Cobian Backup 6\cbs.exe
O23 - Service: CheckSystem Service (CspSrv) - Timo Kosiol - Softwareconsulting - C:\Programme\Competent Software\CheckSystem Pro 4.0\CspSrv.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Programme\Symantec AntiVirus\DefWatch.exe
O23 - Service: Intel Alert Handler - Intel® Corporation - C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
O23 - Service: Intel Alert Originator - Intel® Corporation - C:\WINDOWS\system32\ams_ii\iao.exe
O23 - Service: Intel File Transfer - Intel® Corporation - C:\WINDOWS\system32\cba\xfr.exe
O23 - Service: Intel PDS - Intel® Corporation - C:\WINDOWS\system32\CBA\pds.exe
O23 - Service: NoIPDUCService - Vitalwerks LLC - C:\Programme\No-IP\DUC20.exe
O23 - Service: Symantec System Center Discovery-Dienst (NSCTOP) - Symantec Corporation - C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
O23 - Service: O&O ComponentInstaller Agent - O&O Software GmbH - C:\WINDOWS\system32\oocinst.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Programme\Symantec AntiVirus\Rtvscan.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Programme\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

cosinus · 22.12.2005, 12:08

Hi,

> C:\Program Files\Ctqdng\Fxmp.exe
> C:\WINDOWS\scanfile.exe

Diese Dateien bitte bei Jotti prüfen lassen und das Ergebnis hier posten.

JimSelf · 22.12.2005, 12:44

Zitat:

Zitat von cosinus

Hi,

> C:\Program Files\Ctqdng\Fxmp.exe
> C:\WINDOWS\scanfile.exe

Diese Dateien bitte bei Jotti prüfen lassen und das Ergebnis hier posten.

hi, ein nachtrag..
also bei dem befallenen rechner handelt es sich um eine laptop, habe ihn nicht am netz, das ist mir was zu heikel denn ich fürchte das was da drauf läuft ist nicht ganz ohne..

die gerade von mir gepostete log ist die nachdem ich den rechner, meiner meinung nach, bereinigt hatte, im abgesicherten modus
diese beiden dateien, welche ich prüfen lassen soll ,sind witziger weise nicht zu finden

der ordner C:\Program Files\Ctqdng\ wo die datei Fxmp.exe drin sein soll ist garnicht da..
und die scanfile.exe finde ich auch net..
ich poste dann hier noch mal die log nachdem ich den rechner neu gestartet habe:

Logfile of HijackThis v1.99.1
Scan saved at 12:21:14, on 22.12.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ipnz.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\CtrlVol.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Browser MOUSE\mouse32a.exe
C:\Programme\PFU\ScanSnap!\CardMinder\CardLauncher.exe
C:\Programme\ScanSoft\OmniPagePro11.0\opware32.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\javajq.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Adobe\Acrobat 7.0\Acrobat\acrobat_sl.exe
C:\Programme\PFU\ScanSnap!\Driver\PfuSsMon.exe
C:\Programme\PFU\ScanSnap!\CardMinder\bcd_file\SbCRecE.exe
C:\daten\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=53142
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://lookfor.cc/sp.php?pin=53142
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://lookfor.cc?pin=53142
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://lookfor.cc?pin=53142
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://lookfor.cc/sp.php?pin=53142
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=53142
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://lookfor.cc/sp.php?pin=53142
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://lookfor.cc?pin=53142
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ksdog.dll/sp.html#53142%everything4find.com
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\vktov.dll
O2 - BHO: Class - {AC2D8F55-4AC6-20AE-E0C0-B85403479114} - C:\WINDOWS\addyk.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Class - {BCEB5FA0-2605-5E87-B49D-E1DE122F1C5C} - C:\WINDOWS\system32\apidn.dll
O2 - BHO: Class - {D49792CC-8DC7-3486-5C0A-ED97D10E10D8} - C:\WINDOWS\system32\ippl32.dll
O2 - BHO: Class - {F002AC88-197D-52CF-C9AD-794EE679E071} - C:\WINDOWS\winmu32.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\vktov.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Program Files\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Programme\Browser MOUSE\mouse32a.exe
O4 - HKLM\..\Run: [CardMinder] C:\Programme\PFU\ScanSnap!\CardMinder\CardLauncher.exe
O4 - HKLM\..\Run: [Pdfquickview] C:\Programme\PFU\ScanSnap!\PDF Thumbnail View\pdfquickview.exe
O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPagePro11.0\opware32.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [javajq.exe] C:\WINDOWS\javajq.exe
O4 - HKLM\..\Run: [NAVNet] "C:\WINDOWS\System32\dgprpsetup.exe" /m
O4 - HKLM\..\Run: [dmuwn.exe] C:\WINDOWS\System32\dmuwn.exe
O4 - HKLM\..\RunOnce: [ipnz.exe] C:\WINDOWS\system32\ipnz.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = ?
O4 - Global Startup: ScanSnap! Monitor.lnk = ?
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O10 - Broken Internet access because of LSP provider 'bmnet.dll' missing
O17 - HKLM\System\CCS\Services\Tcpip\..\{4C3C2376-8F16-44C6-AD34-92AF7D9B3A04}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{600DA58F-9A34-40DA-BFB4-31B579CFB530}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{8870DE97-AA5E-4AF4-9D86-03A11C2E99E0}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{99890689-30A4-480C-A562-17F69ACC13A4}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{B01E92E9-4788-46F3-B16F-12967790A4D1}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{D5C0B2DF-5028-42AA-9790-38C394A9A53D}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{EEC741F0-C4F5-4D80-98B9-E76D932C98EE}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CS1\Services\Tcpip\..\{4C3C2376-8F16-44C6-AD34-92AF7D9B3A04}: NameServer = 85.255.113.122,85.255.112.65
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Network Security Service (NSS) ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\mfcqu.exe (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE

die gesamten einträge unter R1 und R0 hatte ich eigentlich gelöscht,
auch war 020 und der erste 023 eigentlich gefixt
bin ein wenig ratlos
ich hatte ja schon mit so eins zwei spyware-/trojanern zu tun, aber der is nich schlecht

cosinus · 22.12.2005, 12:48

Zitat:

Zitat von JimSelf

hi, ein nachtrag..
also bei dem befallenen rechner handelt es sich um eine laptop, habe ihn nicht am netz, das ist mir was zu heikel denn ich fürchte das was da drauf läuft ist nicht ganz ohne..

Sehr löblich! Befallene Rechner trennt man sofort vom Netz

Zitat:

diese beiden dateien, welche ich prüfen lassen soll ,sind witziger weise nicht zu finden

Hast Du auch eingestellt, dass alle Dateien angezeigt werden, also die versteckten UND die geschützten Systemdateien?

JimSelf · 22.12.2005, 12:52

Zitat:

Zitat von cosinus

Hast Du auch eingestellt, dass alle Dateien angezeigt werden, also die versteckten UND die geschützten Systemdateien?

habe alles auf zeigen..
auch wenn ich als admin angemeldet bin sehe ich diese nicht

aber bei dem zweiten log tauchen die ja auch nicht mehr auf

cosinus · 22.12.2005, 12:58

Zitat:

Zitat von JimSelf

habe alles auf zeigen..
auch wenn ich als admin angemeldet bin sehe ich diese nicht

aber bei dem zweiten log tauchen die ja auch nicht mehr auf

Scan Dein System mal mit dem Rootkit Revealer und poste das Log.

JimSelf · 22.12.2005, 13:30

Zitat:

Zitat von cosinus

Scan Dein System mal mit dem Rootkit Revealer und poste das Log.

ui das hat gedauert..
auch flitz ich hier die ganze zeit mit nem usb stick durch die gegend

hier das log:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesProcessed 22.12.2005 12:58 4 bytes Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesSuccessful 22.12.2005 12:58 4 bytes Data mismatch between Windows API and raw hive data.
C:\Dokumente und Einstellungen\LuedkeHolger\Lokale Einstellungen\Temp\15.tmp 09.12.2005 22:45 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\LuedkeHolger\Lokale Einstellungen\Temp\16.tmp 09.12.2005 22:45 0 bytes Hidden from Windows API.
C:\WINDOWS\hidce.dll 09.12.2005 22:45 0 bytes Hidden from Windows API.
C:\WINDOWS\ipes.dll 24.11.2005 23:58 89.66 KB Hidden from Windows API.
C:\WINDOWS\lmkbh.txt 10.12.2005 18:19 0 bytes Hidden from Windows API.
C:\WINDOWS\syscr32.exe 17.12.2005 14:50 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\apibh.exe 10.12.2005 16:17 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\blhil.txt 09.12.2005 07:00 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\ndgkc.dll 17.12.2005 19:43 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\tlsnn.log 10.12.2005 00:39 0 bytes Hidden from Windows API.
C:\WINDOWS\wingk32.exe 16.12.2005 12:07 11.62 KB Hidden from Windows API.
C:\WINDOWS\winil32.exe 15.12.2005 09:52 193.13 KB Hidden from Windows API.

denke mal die letzten 2 von vornherein schon mal weg..
im übrigen, cooles forum

, hat mir schon das eine oder andere mal geholfen..
heute wurde es dann nötig mich anzumelden

cosinus · 22.12.2005, 13:42

Code:

ATTFilter

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesProcessed 22.12.2005 12:58 4 bytes Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesSuccessful 22.12.2005 12:58 4 bytes Data mismatch between Windows API and raw hive data.
C:\Dokumente und Einstellungen\LuedkeHolger\Lokale Einstellungen\Temp\15.tmp 09.12.2005 22:45 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\LuedkeHolger\Lokale Einstellungen\Temp\16.tmp 09.12.2005 22:45 0 bytes Hidden from Windows API.
C:\WINDOWS\hidce.dll 09.12.2005 22:45 0 bytes Hidden from Windows API.
C:\WINDOWS\ipes.dll 24.11.2005 23:58 89.66 KB Hidden from Windows API.
C:\WINDOWS\lmkbh.txt 10.12.2005 18:19 0 bytes Hidden from Windows API.
C:\WINDOWS\syscr32.exe 17.12.2005 14:50 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\apibh.exe 10.12.2005 16:17 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\blhil.txt 09.12.2005 07:00 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\ndgkc.dll 17.12.2005 19:43 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\tlsnn.log 10.12.2005 00:39 0 bytes Hidden from Windows API.
C:\WINDOWS\wingk32.exe 16.12.2005 12:07 11.62 KB Hidden from Windows API.
C:\WINDOWS\winil32.exe 15.12.2005 09:52 193.13 KB Hidden from Windows API.

Jo, da haben sich ein paar Rootkits eingenistet. Diese Dateien wirst Du so einfach nicht zu Gesicht bekommen, unter dem kompromittiertem System jedenfalls! Man weiß auch nicht, was der Rootkit Revealer evtl. übersehen haben könnte...
Ich würde das System neu aufsetzen. Du kannst da die Vorgehensweise benutzen, die Markus Klaffke empfiehlt. (Ganz unten, bei Punkt (C.) )

JimSelf · 22.12.2005, 13:46

Zitat:

Zitat von cosinus

Ich würde das System neu aufsetzen.

mmh.. das ist natürlich ein ding an das ich auch schon dachte, allerdings wollte ich das als letzte konsequenz durchführen..

sind ne menge sachen drauf die benötigt werden, da dieser rechner privat und beruflich genutzt wird...

wenn ich mit knoppix an die sache ran gehe, kann ich dann die kiste vielleicht retten? sprich mit knoppix den ganzen kram löschen/fixen/beseitigen?

cosinus · 22.12.2005, 14:09

> sprich mit knoppix den ganzen kram löschen/fixen/beseitigen?

Geht eher nicht. Du hast bestimmt die Systempartition NTFS formatiert oder?
Und Knoppix bekommt nicht wirklich Schreibzugriff auf NTFS-Volumes. Geht zwar schon, das Ganz befindet sich aber in einer Testphase und Datenverlust ist dabei auch nicht auszuschließen.
Du kannst mit Knoppix aber relevante Daten sichern und zwar mit dem integrierten Brennprogramm K3b.

//EDIT/Zusatz: Noch angemerkt sei, dass selbst wenn man zuverlässigen Schreibzugriff mit Knoppix hat, auch nicht nach einer Bereinigung zuverlässig ein vertrauenswürdiges Windows-System wiederherstellen kann.
Siehe auch hier -> Viren entfernen

JimSelf · 22.12.2005, 14:30

ohje ohje.. naja dann bleibt mir nix.. verdammt

kapituliere ja nicht gerne..
danke für die hilfe

22.12.2005, 12:08	#2
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	HiJackThis log Hi, > C:\Program Files\Ctqdng\Fxmp.exe > C:\WINDOWS\scanfile.exe Diese Dateien bitte bei Jotti prüfen lassen und das Ergebnis hier posten. __________________ __________________

HiJackThis log

Log-Analyse und Auswertung: HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

HiJackThis log

Ähnliche Themen: HiJackThis log

22.12.2005, 14:30	#11
JimSelf	HiJackThis log ohje ohje.. naja dann bleibt mir nix.. verdammt kapituliere ja nicht gerne.. danke für die hilfe __________________ David