Hier der Log von HiJackThis

Logfile of HijackThis v1.99.1
Scan saved at 09:43:13, on 10.05.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVWin\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\RealVNC\WinVNC\WinVNC.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Logitech\QCDriver2\LVCOMS.EXE
C:\Programme\Logitech\ImageStudio\LogiTray.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\PROGRA~1\MICROS~3\wcescomm.exe
C:\Programme\FRITZ!\IWatch.exe
C:\PROGRA~1\MICROS~3\rapimgr.exe
C:\Programme\AVWin\AVGUARD.EXE
C:\Programme\AVWin\AVESVC.EXE
C:\Programme\AVWin\AVMAILC.EXE
C:\Programme\AVWin\AVGNT.EXE
E:\Programme\WS_FTP Pro\wsftppro.exe
E:\download\Firefox-0.8-de-DE\Firefox\firefox.exe
C:\WINDOWS\system32\cmd.exe
X:\office\csh\Download-Area\Antivirus\trojaner\hijackthis_199\HijackThis.exe

R3 - URLSearchHook: _URLHandler - {7FF23285-DBBC-49B6-818C-34AC459D5BB3} - C:\WINDOWS\system32\pidd.dll (file missing)
O2 - BHO: Ipswitch.WsftpBrowserHelper - {601ED020-FB6C-11D3-87D8-0050DA59922B} - e:\Programme\WS_FTP Pro\wsbho2k0.dll
O4 - HKLM\..\Run: [Gtwatch] C:\WINDOWS\gtwatch.exe
O4 - HKLM\..\Run: [LVCOMS] C:\Programme\Gemeinsame Dateien\Logitech\QCDriver2\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Programme\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Programme\Logitech\ImageStudio\LogiTray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVWin\AVGNT.EXE /min
O4 - HKLM\..\Run: [AVWUpd32] C:\PROGRA~1\AVWin\Avwupd32.EXE /min
O4 - HKLM\..\Run: [WinVNC] "C:\Programme\RealVNC\WinVNC\WinVNC.exe" -servicehelper
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\PROGRA~1\MICROS~3\wcescomm.exe"
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Verknüpfung mit all_user.lnk = ?
O4 - Global Startup: Windows Privacy Tray.lnk = C:\Programme\GnuPP\WinPT\WinPT.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'avsda.dll' missing
O17 - HKLM\System\CCS\Services\Tcpip\..\{9418E452-B6E7-49B1-8334-AE7D7F3240AC}: NameServer = 192.168.101.7,192.168.101.1
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Mail Security Service (AntiVirMailService) - H+BEDV Datentechnik GmbH - C:\Programme\AVWin\AVMAILC.EXE
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVWin\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVE Service (AVEService) - H+BEDV Datentechnik GmbH - C:\Programme\AVWin\AVESVC.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVWin\AVWUPSRV.EXE
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Programme\RealVNC\WinVNC\WinVNC.exe" -service (file missing)

Hier die hosts:
127.0.0.1 localhost
127.0.0.1 localhost
127.0.0.10 avmailserverlocal

Danke für Deine schnelle Antwort. Den dritten Punkt (f-secure) reiche ich gleich nach, wenn der scann fertig ist.

Atze

Hier der Log von f-secure Blacklight:

05/10/06 09:46:40 [Info]: BlackLight Engine 1.0.36 initialized
05/10/06 09:46:40 [Info]: OS: 5.1 build 2600 (Service Pack 2)
05/10/06 09:46:40 [Note]: 7019 4
05/10/06 09:46:40 [Note]: 7005 0
05/10/06 09:46:43 [Note]: 7006 0
05/10/06 09:46:43 [Note]: 7011 908
05/10/06 09:46:44 [Note]: 7026 0
05/10/06 09:46:44 [Note]: 7026 0
05/10/06 09:46:54 [Note]: FSRAW library version 1.7.1015
05/10/06 09:51:08 [Note]: 2000 1006
05/10/06 09:51:08 [Note]: 2000 1006
05/10/06 09:51:08 [Note]: 2000 1006

Hallo,
hmm, sieht alles sauber aus, glaube auch von den Symptomen her nicht an einen Hijacker, denn der würde bei jedem Aufruf zu google dich umleiten, und nicht nur manchmal.

Das ganze scheint mir ein Einstellungs bzw. ev. Netzwerkproblem zu sein, aber da fische ich im trüben, da ich in der Materie nicht firm genug bin um dir weiter zu helfen.
Vielleicht schaut ja noch jemand anderes vorbei, der dir helfen kann.


Grüße Wildone

Hallo,

und danke für die Antwort. Ich möchte an dieser Stelle ein Netzwerkproblem ausschliessen, weil

a) das Netzwerk seit über einem Jahr mit dieser Konfiguration läuft
b) keine Änderungen an der Netzwerkstruktur / -einstellungen vorgenommen wurde
c) ein DNS-Problem (DNS-Server-seitig) ausgeschlossen werden, weil es auch bei der Nutzung eines anderen DNS-Servers zu diesem Verhalten kommt.

Vielleciht guck ja noch einer rein, der eine neue Idee hat.
Danke.

Atze

Hallo,
also ich schließe ein Hijacker/Trojaner Problem zu 99,9% aus. Das einzige was mir noch einfallen würde wäre ein Problem von Seiten deines ISPs, erreichst du google wenn du 216.239.59.104 im Browser aufrufst?


Grüße Wildone

Hi,

ja ich erreiche google, wenn ich eine Ip-Adresse eingebe. Problem ISP würde ich ausschliessen, weil es bei einem anderen Rechner im Netzwerk funktioniert und der schließlich die selbe Verbindung nutzt.

Die unterschiedlichen DNS-Server, die ich getestet habe, sind von verschiedenen ISP. Weiterhin ist die Namensauflösung (nslookup) in der DOS-Konsole erfolgreich. Lediglich über den Browser scheint es nicht zu funktionieren.

Atze

Hallo,

ja ich erreiche google, wenn ich eine Ip-Adresse eingebe. Problem ISP würde ich ausschliessen, weil es bei einem anderen Rechner im Netzwerk funktioniert und der schließlich die selbe Verbindung nutzt.

Stimmt, vergesse ich immerwieder bei der Analyse.

Die unterschiedlichen DNS-Server, die ich getestet habe, sind von verschiedenen ISP.

Wäre mein nächster Ansatz gewesen...

Weiterhin ist die Namensauflösung (nslookup) in der DOS-Konsole erfolgreich. Lediglich über den Browser scheint es nicht zu funktionieren.

Es scheint aber auf jedenFall irgendwie mit den DNS Einstellungen zusammen zu hängen, aber jetzt klinke ich mich endgültig aus, wie gesagt, vielleicht weiß jemand anderes mehr, aber hier sind nun mal eher Viren/Trojanerexperten beheimatet.



Grüße Wildone