|
Log-Analyse und Auswertung: winlogin.exe = trojaner???Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
28.01.2007, 23:33 | #1 |
| winlogin.exe = trojaner??? hi ich habe da ein kleines problem und wäre froh wenn ihr mir helfen könntet. wenn ich meinen pc starte dann versucht winlogin.exe aufs internet zuzugreifen. Ziel_ip 0.0.0.0 wenn ich das verweigere kommt folgende fehlermeldung: Run-time error `10061`: Connection is forcefully rejected unten in der taskleiste wird die fehlermeldung nur als x angezeigt. was auch merkwürdig ist ist dass icq keinen autostart mehr macht??? kann es da einen zusammenhang geben? naja hier dann mal der hijackthis.log Logfile of HijackThis v1.99.1 Scan saved at 23:17:54, on 28.01.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\winlogin.exe C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\system32\rundll32.exe C:\valve\steam\steam.exe C:\Programme\NETGEAR\WPN311\wlancfg5.exe C:\WINDOWS\system32\acs.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\system32\cisvc.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\System32\dmadmin.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\Lavasoft\Ad-Aware SE Personal\Ad-Aware.exe C:\WINDOWS\Explorer.EXE C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\iTunes\iTunes.exe C:\Programme\iPod\bin\iPodService.exe C:\WINDOWS\system32\cidaemon.exe C:\Dokumente und Einstellungen\The Gamer\Desktop\hijackthis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe O4 - HKLM\..\Run: [] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [Windows Update] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\Run: [msconfig] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\Run: [Update Checker] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\Run: [AntiVir] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\Run: [ICQ Lite] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunServices: [Windows Update] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunServices: [msconfig] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunServices: [Update Checker] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunServices: [AntiVir] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunServices: [] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunServices: [icq lite] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunOnce: [Windows Update] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunOnce: [msconfig] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunOnce: [icq lite] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunOnce: [Update Checker] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunOnce: [AntiVir] C:\WINDOWS\system32\winlogin.exe O4 - HKLM\..\RunOnce: [] C:\WINDOWS\system32\winlogin.exe O4 - HKCU\..\Run: [Steam] "c:\valve\steam\steam.exe" -silent O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: NETGEAR WPN311 Smart Wizard.lnk = C:\Programme\NETGEAR\WPN311\wlancfg5.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: MWAgent - Unknown owner - C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWASER.EXE (file missing) O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - Unknown owner - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe (file missing) O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe habe bereits ad-aware, spybot und anti vir durchlaufen lassen die alle aber nichts gefunden haben. wäre toll wenn ihr mir helfen könntet mfg |
29.01.2007, 05:55 | #2 | |
| winlogin.exe = trojaner??? mOIn auch
__________________Zitat:
C:\WINDOWS\system32\winlogin.exe (nicht verwechseln mit ...system32\winlogon.exe <- Systemdatei) hier Virustotal oder hier Jotti überprüfen (kann bisschen dauern), poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben, auch wenn nichts gefunden wurde. MFG |
29.01.2007, 14:15 | #3 |
| winlogin.exe = trojaner??? hi
__________________und danke erstmal für die schnelle antwort leider kann ich die datei nicht scannen lassen, weil sie nicht im system32 ordner und auch sonst nirgendwo auf dem pc zu finden ist :/ habe aber mal die registry durchgeschaut und da gibt es 35 einträge die auf die winlogin.exe verweisen. unter anderem mein anti viren programm kann ich die datei irgendwie anders noch finden ??? Programm??? soll ich die registry einträge löschen ??? mfg |
29.01.2007, 15:16 | #4 |
/// Helfer-Team | winlogin.exe = trojaner??? Du hast Dir einen IRC-Backdoortrojaner und Netzwerkwurm eingefangen. W32/Agobot-IX - Wurm - Sophos Bedrohungsanalyse Folge dem Link.
__________________ LG Der Felix Keine Hilfe per PN und E-Mail |
29.01.2007, 15:45 | #5 |
| winlogin.exe = trojaner??? ok dann werd ich wohl mal formatieren eine frage noch dazu: meine festplatte ist unterteilt in c und d . reicht es nur die c platte zu formatieren da ich ich dort windows installiert habe und auch sonst die c platte benutze? auf der d platte hab ich wichtige dokumente und treiber für meinen pc wenn ich mal formatieren muss. mfg |
29.01.2007, 19:32 | #6 |
| winlogin.exe = trojaner??? sry für den doppelpost aber ein freund hat mir avast empfohlen da er ein ähnliches problem hatte. es hat auch zwei sachen gefunden auch die winlogin.exe und konnte die auch löschen. das eine was der virus: win32:Trojan-gen und: win32:VB_BLW[Trj] (winlogin.exe) tut mir leid für die dumme frage aber kann man eine backdoor wieder schließen ohne zu formatieren??? habe darüber leider noch nichts gefunden. ich habe nochmal einen hijackthis.log fals es nun besser aussieht. Logfile of HijackThis v1.99.1 Scan saved at 19:14:33, on 29.01.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\rundll32.exe C:\Programme\NETGEAR\WPN311\wlancfg5.exe C:\WINDOWS\system32\acs.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Alwil Software\Avast4\aswUpdSv.exe C:\Programme\Alwil Software\Avast4\ashServ.exe C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe C:\WINDOWS\system32\cisvc.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\dmadmin.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\Alwil Software\Avast4\ashMaiSv.exe C:\Programme\Alwil Software\Avast4\ashWebSv.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\iPod\bin\iPodService.exe C:\WINDOWS\system32\cidaemon.exe C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\TuneUp Utilities 2007\Integrator.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\Explorer.EXE C:\Dokumente und Einstellungen\The Gamer\Desktop\hijackthis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKCU\..\Run: [Steam] "c:\valve\steam\steam.exe" -silent O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: NETGEAR WPN311 Smart Wizard.lnk = C:\Programme\NETGEAR\WPN311\wlancfg5.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: MWAgent - Unknown owner - C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWASER.EXE (file missing) O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - Unknown owner - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe (file missing) O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe wäre nett wenn ihr mir weiter helfen könnt. mfg |
29.01.2007, 20:06 | #7 |
| winlogin.exe = trojaner??? tut mir leid für die dumme frage aber kann man eine backdoor wieder schließen ohne zu formatieren??? habe darüber leider noch nichts gefunden. ...sorry, aber genau in dem Link von felix1 stand ALLES zu diesem Thema ! Ich schreibe dies als Non-Profi und ex-Betroffener, quasi als zweifelnder Thomas oder als Paulus nach Saulus: Bereinigen hilft nichts, wenn Dein System einmal komprommitiert war. Glaube es mir, sonst rufst Du hier schneller wieder an als es Dir lieb ist. Auch wenn es hart ist, aber Neuaufsetzen ist die einzige sichere Massnahme, um die "Netzhygiene" zu bewahren. LG joeyblack ___________________________________________________ Wer eine Frage stellt verpflichtet sich, der Antwort zuzuhören Geändert von joeyblack (29.01.2007 um 20:09 Uhr) Grund: Meine Tippfehler und ich: ein ewiges Paar |
29.01.2007, 22:27 | #8 |
/// Helfer-Team | winlogin.exe = trojaner??? @the only one Wielange willst Du Dich noch lese- und beratungsresistent durch das Board trollen? http://www.trojaner-board.de/34659-w...lorer-exe.html Mir jedem Befall wird der Befall schlimmer. Setze neu auf, ansonsten wird hier keiner mehr bereit sein, Dir auch nur irgendwie zu helfen.
__________________ LG Der Felix Keine Hilfe per PN und E-Mail |
29.01.2007, 23:10 | #9 |
| winlogin.exe = trojaner??? @felix1 sry aber ich kenne mich eben nicht so gut mit pc aus. den link den du mir gegeben hast habe ich aber aufmerksam gelesen. ich konnte mir nur einfach nicht vorstellen das wenn man einen backdoor befall hat diesen nicht mehr rückgängig machen kann auch wenn man die vermeintlichen viren dafür gelöscht hat. aber deinen kommentar das ich mich beratungresistent durch das board tolle verstehe ich nicht ganz und dabei den verweis auf meinen ersten beitrag in diesem forum? das mit jedem befall der befall schlimmer wird glaub ich dir, jedoch ist das erst mein 2. befall und den letzte habe ich eigentlich komplet gelöscht. @joeyblack genau so eine aussage wollt ich hören @alle 3 ich bedanke mich bei euch dafür das ihr mir weitergeholfen habt, bin jetzt um einiges schlauer geworden ich werde meinen pc dann auch morgen formatieren und somit kann der tread hier geschlossen werden. mfg |
29.01.2007, 23:27 | #10 | |||
/// Helfer-Team | winlogin.exe = trojaner???Zitat:
Zitat:
Zitat:
Dann hat es ja doch etwas gebracht
__________________ LG Der Felix Keine Hilfe per PN und E-Mail |
Themen zu winlogin.exe = trojaner??? |
ad-aware, antivir, antivirus, antivirus scan, avira, bho, computer, desktop, error, excel, firefox, helfen, helper, hijack, internet, internet explorer, mozilla, mozilla firefox, netgear, problem, rundll, software, symantec, system, trojaner, trojaner?, tuneup utilities, windows, windows xp |