Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Virenproblen? Mit HJT-log

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 24.07.2006, 20:22   #1
JeffBriggs
 
Virenproblen? Mit HJT-log - Standard

Virenproblen? Mit HJT-log



Hallo,

bei mir sind heute beim Virenscan mit Antivir folgende Viren aufgetaucht:

[FUND] Enthält Signatur des Droppers DR/Dldr.Keenval.F
[FUND] Ist das Trojanische Pferd TR/Dldr.DNSChan.R.3

den Scan hatte ich gemacht, wiel grade mal das Inet nich mehr ging und ja zeit war ... nur danach kam mir der Verdacht, daß es ev. grade deswegen nimmer ging ... die Viren hab ich jedenfalls löschen lassen und ich kam nimmer ins Internet, andere PC's im LAN aber schon.

Also hab ich Win2k nochmal drüberinstalliert, hat aber nix geholfen ... unten dazu dann mal das HijackThis-Log ... jedenfalls geht plötzlich nachdem ich den Brenner und Nero installiert hatte beim Nero-Neustart das Internet wieder ... nachdems einfach mal 5h vorher trotz intensiver Bemühungen nich wollte ... das is mir sehr suspekt ... kann da nun noch irgendein Problem vorliegen? Wird ja nich ohne Grund nich gegangen sein!?

Zusatzproblem: Nachdem ich Win2K drüberinstalliert hab, feht das SP4 ja nun wieder ... das kann ich aber von meiner CD aus nimmer neu installieren, da der immer rummeckert, daß di atapi.sys benutzt wird, selbst im abgesicherten Modus ... wie krieg ich das wieder drauf??

DANKE!



***
Logfile of HijackThis v1.99.1
Scan saved at 21:09:51, on 24.07.2006
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\acs.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINNT\SOUNDMAN.EXE
C:\WINNT\System32\internat.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINNT\System32\cmd.exe
C:\WINNT\System32\mshta.exe
C:\WINNT\system32\msiexec.exe
C:\Programme\WinAce\WinAce.exe
C:\DOKUME~1\fox1\LOKALE~1\Temp\~AceTemp\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://google.icq.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.msn.de/
R3 - URLSearchHook: (no name) - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - (no file)
R3 - URLSearchHook: (no name) - {A7DD4F3E-B5D6-DA83-C092-1E58C8CB30AA} - trycrt.dll (file missing)
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: (no name) - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [zzzHPSETUP] F:\Setup.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [dmbwt.exe] C:\WINNT\system32\dmbwt.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet
O4 - Global Startup: SMCWPCI-G 54Mbps Wireless PCI adapter.lnk = C:\Programme\SMC\SMCWPCI-G 54Mbps Wireless PCI adapter\Monitor.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Programme\Yahoo!\Messenger\YahooMessenger.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Programme\Yahoo!\Messenger\YahooMessenger.exe
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: http://*.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.05p.com (HKLM)
O15 - Trusted Zone: *.awmdabest.com (HKLM)
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.scoobidoo.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} -
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B76C6A57-F757-405C-8DA1-110CAF31B262}: NameServer = 85.255.113.139,85.255.112.24
O17 - HKLM\System\CCS\Services\Tcpip\..\{BAEF4B2A-8301-4528-8C3C-02937F183999}: NameServer = 85.255.115.76,85.255.112.149
O18 - Filter: text/html - {657F70CB-580A-412A-B71F-AA29DBEAC0C3} - (no file)
O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINNT\system32\acs.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
***

Alt 24.07.2006, 20:31   #2
Sunny
Administrator
> Competence Manager
 

Virenproblen? Mit HJT-log - Standard

Virenproblen? Mit HJT-log



@JeffBriggs

Hallo,

du hast mit einer Wahrscheinlichkeit von 99,99999% einen BackdoorTrojaner im System!
Zitat:
O17 - HKLM\System\CCS\Services\Tcpip\..\{BAEF4B2A-8301-4528-8C3C-02937F183999}: NameServer = 85.255.115.76,85.255.112.149
O17 - HKLM\System\CCS\Services\Tcpip\..\{B76C6A57-F757-405C-8DA1-110CAF31B262}: NameServer = 85.255.113.139,85.255.112.24
Da ist mit einfachem "drüberwegbügeln" nicht mit getan...
Es bleibt dir nur der Weg des nochmaligen Neuaufsetzens!


Beachte dabei diesmal folgende Anleitung, druck sie dir einfach aus, oder notiere dir die wichtigsten Punkte. Neuaufsetzen & anschliessende Absicherung

Einer der wichtigsten überhaupt:

Erst alle Service Packs und Updates installieren, erst dann wieder ins Internet gehen...sonst geht der "Spass" von vorne los...

Gruß
Daniel
__________________

__________________

Alt 24.07.2006, 20:37   #3
JeffBriggs
 
Virenproblen? Mit HJT-log - Standard

Virenproblen? Mit HJT-log



also hab ich das richtig verstanden, ist alles andere als formatieren aussichtslos?

Irgendwie fangen meine Ferien immer gleich an ... *lol*
__________________

Alt 24.07.2006, 20:40   #4
Sunny
Administrator
> Competence Manager
 

Virenproblen? Mit HJT-log - Standard

Virenproblen? Mit HJT-log



Zitat:
Zitat von JeffBriggs
Irgendwie fangen meine Ferien immer gleich an ...
Meine zwar nicht, aber hier im Forum fangen sie auch immer so an...

SCNR

Setz dein System nach der von mir geposteten Anleitung auf, danach hast du mit großer Sicherheit erstmal RUHE...

(und wir auch vielleicht )

Gruß
Daniel
__________________
Anfragen per Email, Profil- oder privater Nachricht werden ignoriert!
Hilfe gibts NUR im Forum!


Stulti est se ipsum sapientem putare.

Alt 24.07.2006, 20:59   #5
felix1
/// Helfer-Team
 
Virenproblen? Mit HJT-log - Standard

Virenproblen? Mit HJT-log



Was soll dieser ungepatchte und ungewartete PC

Scan saved at 21:09:51, on 24.07.2006den PC
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 (5.00.2920.0000)


Wir sind bei SP4 und IE6 angekommen.
Tue was [GC]Sunny sagt. Setze den PC neu auf und bringe ihn auf den neusten Stand.



__________________
LG

Der Felix

Keine Hilfe per PN und E-Mail

Alt 25.07.2006, 01:55   #6
JeffBriggs
 
Virenproblen? Mit HJT-log - Standard

Virenproblen? Mit HJT-log



Zitat:
Zitat von felix1
Wir sind bei SP4 und IE6 angekommen.
ja wenn du mal oben gelesen hättest, SP4 war doch drauf (taucht wohl nur nich auf weil ich Win2k nochmal drübergezogen hab) genauso wie halbwegs aktuell die Sicherheitsupdates, und IE6 nicht weil ich eigentlich nur Firefox nutze und mir der IE6 nicht so sehr zusagt.

Alt 25.07.2006, 13:52   #7
felix1
/// Helfer-Team
 
Virenproblen? Mit HJT-log - Standard

Virenproblen? Mit HJT-log



Zitat:
Zitat von JeffBriggs
ja wenn du mal oben gelesen hättest, SP4 war doch drauf (taucht wohl nur nich auf weil ich Win2k nochmal drübergezogen hab) genauso wie halbwegs aktuell die Sicherheitsupdates, und IE6 nicht weil ich eigentlich nur Firefox nutze und mir der IE6 nicht so sehr zusagt.
Ob Du SP4 mal drauf hattest oder nicht, ist egal. Auf jeden Fall bist Du jetzt mit einem ungepatchten, ungewarteten und verseuchten PC unterwegs. Und dazu noch eine Umleitung in die Ukraine
__________________
LG

Der Felix

Keine Hilfe per PN und E-Mail

Antwort

Themen zu Virenproblen? Mit HJT-log
.dll, 1.exe, abgesicherten modus, antivir, atapi.sys, avira, bho, excel, explorer, firefox, firewall, hijack, icqtoolbar, internet, internet explorer, lan, löschen, microsoft, mozilla, mozilla firefox, object, problem, programme, scan, shockwave, software, suspekt, system, temp, urlsearchhook, windows, yahoo



Zum Thema Virenproblen? Mit HJT-log - Hallo, bei mir sind heute beim Virenscan mit Antivir folgende Viren aufgetaucht: [FUND] Enthält Signatur des Droppers DR/Dldr.Keenval.F [FUND] Ist das Trojanische Pferd TR/Dldr.DNSChan.R.3 den Scan hatte ich gemacht, wiel - Virenproblen? Mit HJT-log...
Archiv
Du betrachtest: Virenproblen? Mit HJT-log auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.