Hallo,

wir haben seit gestern ein Problem – wir glauben es handelt sich um einen Virus/Trojaner (nachdem ich mich etwas schlau in div. Foren gemacht habe)
Das Problem äußert sich folgendermaßen:
-nach kurzer Zeit online kommt die bekannte Fehlermeldung „Generic Host Services hat einen Fehler festgestellt und muß beendet werden“
-danach geht eigentlich nix mehr online
-außerdem ist unser Aon-Speed eine recht langsame Schnecke geworden und hat mit Breitbandinternet nicht viel zu tun!

Anbei unser HijackThis-Logfile:
Verdächtig lt. Analyse: 017
Habe es auch gefixt – war nach Neustart wieder da!

Was können wir tun? Wie lassen sich diese hartnäckigen Dinger entfernen(mit HijackThis und AntiVir keine Chance)

Bitte helft uns!
Danke

Thomas

Logfile of HijackThis v1.99.1
Scan saved at 11:18:46, on 13.08.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
J:\WINDOWS\System32\smss.exe
J:\WINDOWS\system32\winlogon.exe
J:\WINDOWS\system32\services.exe
J:\WINDOWS\system32\lsass.exe
J:\WINDOWS\System32\Ati2evxx.exe
J:\WINDOWS\system32\svchost.exe
J:\WINDOWS\system32\Ati2evxx.exe
J:\WINDOWS\Explorer.EXE
J:\WINDOWS\system32\spoolsv.exe
J:\WINDOWS\SOUNDMAN.EXE
J:\WINDOWS\System32\carpserv.exe
J:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
J:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
J:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb11.exe
J:\Programme\HP\HP Software Update\HPWuSchd2.exe
J:\Programme\HP\hpcoretech\hpcmpmgr.exe
J:\WINDOWS\System32\hphmon06.exe
J:\Programme\Microsoft IntelliType Pro\type32.exe
J:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
J:\Programme\Java\jre1.5.0_06\bin\jusched.exe
J:\Programme\ATI Multimedia\RemCtrl\ATIRW.exe
J:\Programme\Messenger\msmsgs.exe
J:\Programme\Ahead\Nero BackItUp\nbj.exe
J:\Programme\Nikon\PictureProject\NkbMonitor.exe
J:\WINDOWS\System32\rundll32.exe
J:\Programme\HP\Digital Imaging\bin\hpqgalry.exe
J:\WINDOWS\System32\drivers\CDAC11BA.EXE
J:\WINDOWS\System32\svchost.exe
J:\WINDOWS\System32\HPZipm12.exe
J:\WINDOWS\System32\wuauclt.exe
J:\WINDOWS\System32\svchost.exe
J:\Programme\AntiVir PersonalEdition Classic\avguard.exe
J:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
J:\Programme\AntiVir PersonalEdition Classic\sched.exe
J:\Programme\AntiVir PersonalEdition Classic\avcenter.exe
J:\Programme\AntiVir PersonalEdition Classic\avscan.exe
J:\Dokumente und Einstellungen\Admin\Eigene Dateien\Thomas\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.Aon.at
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orf.at/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=proxy.aon.at:8080;http=proxy.aon.at:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.aon.at;*.jet2web.net;<local>
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - J:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - J:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - J:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - J:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Norton] J:\Programme\ASUS\WLAN Card Utilities\NorExec.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [ATIPTA] J:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATI DeviceDetect] J:\Programme\ATI Multimedia\\Program Files\ATI Multimedia\main\ATIDtct.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] J:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] J:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] J:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] J:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb11.exe
O4 - HKLM\..\Run: [HPHUPD06] J:\Programme\HP\{AAC4FC36-8F89-4587-8DD3-EBC57C83374D}\hphupd06.exe
O4 - HKLM\..\Run: [HP Software Update] "J:\Programme\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [HP Component Manager] "J:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HPHmon06] J:\WINDOWS\System32\hphmon06.exe
O4 - HKLM\..\Run: [type32] "J:\Programme\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [TkBellExe] "J:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [avgnt] "J:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] J:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKCU\..\Run: [ATI Launchpad] "J:\Programme\ATI Multimedia\main\launchpd.exe"
O4 - HKCU\..\Run: [ATI Remote Control] J:\Programme\ATI Multimedia\RemCtrl\ATIRW.exe
O4 - HKCU\..\Run: [MSMSGS] "J:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NBJ] "J:\Programme\Ahead\Nero BackItUp\nbj.exe"
O4 - Startup: Registration-InstantCopy.lnk = J:\Programme\Pinnacle\Shared Files\InstantCDDVD\Pixie\RegTool.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = J:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = J:\Programme\HP\digital imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = J:\Programme\HP\digital imaging\bin\hpqthb08.exe
O4 - Global Startup: Microsoft Office.lnk = J:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: NkbMonitor.exe.lnk = J:\Programme\Nikon\PictureProject\NkbMonitor.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://J:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - J:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - J:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ATI TV - {44226DFF-747E-4edc-B30C-78752E50CD0C} - J:\Programme\ATI Multimedia\tv\EXPLBAR.DLL
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - J:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - J:\Programme\Messenger\MSMSGS.EXE
O17 - HKLM\System\CCS\Services\Tcpip\..\{6D4D6F9C-4174-4A3A-8D78-181AE2CB098C}: NameServer = 195.3.96.67 195.3.96.68
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - J:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - J:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - J:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - J:\WINDOWS\system32\ati2sgag.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - J:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: Pml Driver HPZ12 - HP - J:\WINDOWS\System32\HPZipm12.exe
O23 - Service: X10 Device Network Service (x10nets) - Unknown owner - J:\PROGRA~1\ATIMUL~1\RemCtrl\x10nets.exe (file missing)

Hallo,

erstmal eine Frage vorweg, ist dies ein gewerblich genutzter PC?

Dein Logfile sieht meiner Ansicht nach sauber aus..um deine Geschwindigkeit im Internet zu testen folge diesem Link Speedtest

Gruß
Sunny

Nein - privater PC!

Doch das Problem wird immer schlimmer. Komme oft gar nicht mehr ins Netz.
Wenn ich google, komme ich eigentlich immer auf WUrm, Trojaner und Viren-Ursachen!

Was ist nur los???
Lg,
Thomas

Zitat von thomas_19760

Nein - privater PC!

Doch das Problem wird immer schlimmer. Komme oft gar nicht mehr ins Netz.
Wenn ich google, komme ich eigentlich immer auf WUrm, Trojaner und Viren-Ursachen!

Warum ist bei dir ein Proxy eingerichtet?

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = ftp=proxy.aon.at:8080;http=proxy.aon.at:8080

Überprüfe dein System mit folgenden Tools:
eScan
sowie
F-Secure Blacklight

Poste jeweils den Inhalt der Report Datei..

Gruß
Sunny

Momentan sehr schwer für mich was downzuloaden, weil ich meist nicht länger online sein kann als 2-4min. Danach kommt die Fehlermeldung!

Lg

Zitat von thomas_19760

Momentan sehr schwer für mich was downzuloaden, weil ich meist nicht länger online sein kann als 2-4min. Danach kommt die Fehlermeldung!

Lg

Ok, aber was ist hiermit?

Warum ist bei dir ein Proxy eingerichtet?

}

F-Secure at 0 ergeben!

Thomas

und das mit dem Proxy????? Bin auf diesem Gebiet ein Laie und ich kann dir diese Frage leider nicht beantworten. Wir haben seit Mai Breitband und meine Frau hat das mit Hilfe der Hotline eingerichtet. Bis jetzt auch recht gut funktioniert, bis auf die Geschwindigkeit - die mir etwas zu langsam vorkam!

Aber das Problem ist ein Hammer!

Danke und Lg,
Thomas

Habe mich gearde belesen, der Prxy gehört zu deinem Internet Service Provider "AON" zum einloggen auf dessen Server!

Was für einen Breitband Anschluss hast du denn? 1000,2000,4000 oder höher? Was kam denn bei dem Speedtest heraus, stimmen den die Up-und Download Geschwindigkeiten? Das ist jetzt wichitg, da es nicht unbedingt an deinem PC liegen muss, sondern vielleicht auch am ISP!

Gruß
Sunny

Sonntag, 13.08.2006 um 13:25:32 Uhr (CEST).


Download-Geschwindigkeit: [-] 323 kbit/s (40 kByte/s)
Upload-Geschwindigkeit: [o] 94 kbit/s (12 kByte/s)

Legende: zu gering [-] befriedigend [o] gut [+] perfekt [++]


Warnung: das Messergebnis ist für die von Ihnen gemachten Angaben (Download: 768 kbit/s, Upload: 128 kbit/s) zu gering. Bitte führen Sie den Test innerhalb der nächsten Stunde erneut aus, um zu sehen, ob es sich um ein kurzfristiges Problem handelt. Bevor Sie Ihren Provider diesbezüglich kontaktieren, sollten Sie den Test mindestens an drei unterschiedlichen Tagen ausführen.
Wichtig: denken Sie daran, alle Hintergrundprogramme, die das Messergebnis verschlechtern können auszuschalten. Insbesondere Mailprogramme, Instant-Messenger, FTP-Programme oder Webradio. Schließen Sie alle anderen Browserfenster. Prüfen Sie auch, ob Sie die richtige Verbindung vor Beginn des Tests angegeben haben.


Falls ich richtig gewählt habe!

ANbei der Link zu meinem Internet-Paket:
http://www.aon.at/portal/site/aon/me...00220a14acRCRD

Sollte aber fast passen, oder???

Lg

Lt. Aon 384 kb Download und Up 128 kb.
Also passt das wahrscheinlich.

Aber was ist nun bloss mit dem Wurm,Virus oder Trojaner???

Folgendes ist mit eScan heraus gekommen:


Sun Aug 13 15:38:24 2006 => ***** Adware/Spyware - Scan der Registrierung und des Dateisystems *****
Sun Aug 13 15:38:24 2006 => Loading Spyware Signatures from new External Database (Size: 161865).
Sun Aug 13 15:38:25 2006 => Indexed Spyware Databases Successfully Created...

Sun Aug 13 15:38:29 2006 => Offending Folder found: J:\DOKUME~1\Admin\LOKALE~1\Temp\media_manager
Sun Aug 13 15:38:39 2006 => Object "wotch Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:38:40 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Eigene Dateien\eigene musik\alben\files.ini
Sun Aug 13 15:38:40 2006 => System found infected with iwon Spyware/Adware (files.ini)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:38:41 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\anwendungsdaten\hp\digital imaging\cache\1.dat
Sun Aug 13 15:38:41 2006 => System found infected with wareout Adware (1.dat)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:38:41 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\anwendungsdaten\hp\digital imaging\cache\2.dat
Sun Aug 13 15:38:41 2006 => System found infected with wareout Adware (2.dat)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:38:41 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\anwendungsdaten\hp\digital imaging\cache\3.dat
Sun Aug 13 15:38:41 2006 => System found infected with wareout Adware (3.dat)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:38:41 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\anwendungsdaten\hp\digital imaging\cache\43.dat
Sun Aug 13 15:38:41 2006 => System found infected with networkessentials Spyware/Adware (43.dat)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:38:41 2006 => Offending Folder found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\temp\media_manager
Sun Aug 13 15:38:41 2006 => Object "wotch Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:01 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\hp\digital imaging\cache\1.dat
Sun Aug 13 15:39:01 2006 => System found infected with wareout Adware (1.dat)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:39:01 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\hp\digital imaging\cache\2.dat
Sun Aug 13 15:39:01 2006 => System found infected with wareout Adware (2.dat)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:39:01 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\hp\digital imaging\cache\3.dat
Sun Aug 13 15:39:01 2006 => System found infected with wareout Adware (3.dat)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:39:01 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\hp\digital imaging\cache\43.dat
Sun Aug 13 15:39:01 2006 => System found infected with networkessentials Spyware/Adware (43.dat)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:39:01 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Eigene Dateien\Eigene Musik\alben\files.ini
Sun Aug 13 15:39:01 2006 => System found infected with iwon Spyware/Adware (files.ini)! Action taken: Keine Aktion vorgenommen.

Sun Aug 13 15:39:02 2006 => Offending file found: J:\Dokumente und Einstellungen\Admin\Eigene Dateien\eigene musik\alben\files.ini
Sun Aug 13 15:39:02 2006 => System found infected with iwon Spyware/Adware (files.ini)! Action taken: Keine Aktion vorgenommen.




Sun Aug 13 15:39:05 2006 => Checking CLSID Reference Entries...
Sun Aug 13 15:39:06 2006 => Entry "HKCR\ATLPlugin.ATL3DPage_d2.1" verweist auf das ungültige Objekt "{cc10ddda-2452-4598-a6c4-f9f2f0b6a758
}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:06 2006 => Entry "HKCR\Automap.Map.EU" verweist auf das ungültige Objekt "{A49EEA01-9231-4C77-AA9E-2F89D72B4804}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:06 2006 => Entry "HKCR\Automap.Map.EU.11" verweist auf das ungültige Objekt "{A49EEA01-9231-4C77-AA9E-2F89D72B4804}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:06 2006 => Entry "HKCR\Automap.Template.EU.11" verweist auf das ungültige Objekt "{A49EEA01-9231-4C77-AA9E-2F89D72B4804}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:06 2006 => Entry "HKCR\ComPlusMetaData.MsCorHost" verweist auf das ungültige Objekt "{727CDF4F-3BA0-11D3-8738-00C04F79ED0D}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:06 2006 => Entry "HKCR\ComPlusMetaData.MsCorHost.2" verweist auf das ungültige Objekt "{727CDF4F-3BA0-11D3-8738-00C04F79ED0D}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:09 2006 => Entry "HKCR\SymWriter.pdb" verweist auf das ungültige Objekt "{520DC67A-752E-11D3-8D56-00C04F680B2B}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:09 2006 => Entry "HKCR\WMSServer.Server" verweist auf das ungültige Objekt "{845FB959-4279-11D2-BF23-00805FBE84A6}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Sun Aug 13 15:39:09 2006 => Entry "HKCR\WMSServer.Server.9" verweist auf das ungültige Objekt "{845FB959-4279-11D2-BF23-00805FBE84A6}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.



Sun Aug 13 16:29:57 2006 => Gescannte Dateien: 83536
Sun Aug 13 16:29:57 2006 => Gefundene Viren: 13
Sun Aug 13 16:29:57 2006 => Anzahl der desinfizierten Dateien: 0
Sun Aug 13 16:29:57 2006 => Umbenannte Dateien: 0
Sun Aug 13 16:29:57 2006 => Anzahl der gelöschten Dateien: 0
Sun Aug 13 16:29:57 2006 => Anzahl Fehler: 160
Sun Aug 13 16:29:57 2006 => Dauer des Scans bisher: 00:52:08
Sun Aug 13 16:29:57 2006 => Virus-Datenbank Datum: 8/12/2006
Sun Aug 13 16:29:57 2006 => Virus-Datenbank Zähler: 214288

Sun Aug 13 16:29:57 2006 => Scan vollständig.


Was soll ich nun tun???
Lg,

Thomas

Find.zip Datei hab ich im Ordner leider keine gefunden? Was mach ich falsch?
Die angegebenen Inffekte kommen mir auch nicht ungewöhlich vor?


Ich mache auch immer die Sicherheitsupdates von Windows. Habe allerdings kein SP2 oben.
Lg

@thomas_19760
Gehst du mit ADMIN-Rechten in das Internet
und arbeitest mit Windows XP SP1 !?
Also ich würde raten, neu aufzusetzen, oder?
Was meint die Community?

Windows XP SP1 ist inzwischen für die Malware und -programmierer
wie der Honigtopf für den Bären.

PP

hallo,

ich nehme an das ich das tue?!?! wie merk ich das? bin ein laie
habe SP1, ja!