|
Log-Analyse und Auswertung: Unbekannter ausgehender DatenverkehrWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
01.04.2007, 21:10 | #1 |
| Unbekannter ausgehender Datenverkehr Hallo, seit dem verunglückten Updaten des BitDefender vom 29.3.2007 habe ich massive Probleme mit dem Internet. Ich bin genau nach der Anleitung, die unter anderem auf "heise.de" war, vorgegangen. Grundsätzlich scheint alles wieder zu funktionieren, aber eben nur scheinbar. Zunächst kommt immer eine Fehlermeldung schon beim Hochfahren, bereits vor der Anmeldung (siehe unten). Diese Meldung kommt auch immer wieder während der Arbeit. Weiters ist eigenartig, dass der Aktivitätsmonitor von ZoneAlarm in der Systray permanent einen ausgehenden Datenverkehr anzeigt, den ich nicht zuordnen kann. Interessanterweise zeigen aber die kleinen Monitore in der Systray (Netzwerk) keinen Datenstrom an. Ich habe HijackThis durchlaufen lassen. Hier das Ergebnis: Logfile of HijackThis v1.99.1 Scan saved at 21:53:56, on 01.04.2007 Platform: Windows 2000 SP4 (WinNT 5.00.2195) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: O:\WINNT\System32\smss.exe O:\WINNT\system32\winlogon.exe O:\WINNT\system32\services.exe O:\WINNT\system32\lsass.exe O:\WINNT\system32\Ati2evxx.exe O:\WINNT\system32\svchost.exe O:\WINNT\system32\ZoneLabs\vsmon.exe O:\WINNT\system32\spoolsv.exe O:\WINNT\system32\svchost.exe O:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE O:\Programme\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe O:\WINNT\system32\regsvc.exe O:\WINNT\system32\MSTask.exe O:\Programme\Analog Devices\SoundMAX\SMAgent.exe O:\WINNT\System32\WBEM\WinMgmt.exe O:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe O:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe O:\WINNT\system32\Ati2evxx.exe O:\WINNT\Explorer.EXE O:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe O:\Programme\Analog Devices\SoundMAX\Smax4.exe E:\ASUS\AsusProb.exe O:\Programme\Logitech\iTouch\iTouch.exe O:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE E:\BITDEFENDER\bdagent.exe E:\ADOBE\ACROBAT_8PRO\Acrobat\Acrotray.exe E:\BITDEF~1\bdmcon.exe O:\WINNT\system32\wcescom32.exe E:\ZONEALARM\ZoneAlarm\zlclient.exe O:\WINNT\system32\internat.exe O:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe E:\BITDEFENDER\vsserv.exe E:\RAR\WinRAR.exe E:\FIREFOX\Mozilla Firefox\firefox.exe N:\HIJACKTHIS_\HijackThis.exe O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - O:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - O:\WINNT\system32\msdxm.ocx O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon O4 - HKLM\..\Run: [SoundMAXPnP] O:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe O4 - HKLM\..\Run: [SoundMAX] "O:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray O4 - HKLM\..\Run: [ASUS Probe] e:\ASUS\AsusProb.exe O4 - HKLM\..\Run: [zBrowser Launcher] O:\Programme\Logitech\iTouch\iTouch.exe O4 - HKLM\..\Run: [EM_EXEC] O:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE O4 - HKLM\..\Run: [BDAgent] "E:\BITDEFENDER\bdagent.exe" O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "E:\ADOBE\ACROBAT_8PRO\Acrobat\Acrotray.exe" O4 - HKLM\..\Run: [BDMCon] E:\BITDEF~1\bdmcon.exe O4 - HKLM\..\Run: [ActiveSync] O:\WINNT\system32\wcescom32.exe O4 - HKLM\..\Run: [ZoneAlarm Client] "E:\ZONEALARM\ZoneAlarm\zlclient.exe" O4 - HKCU\..\Run: [internat.exe] internat.exe O4 - HKCU\..\Run: [ActiveSync] O:\WINNT\system32\wcescom32.exe O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = E:\ADOBE\ACROBAT_8PRO\Acrobat\acrobat_sl.exe O4 - Global Startup: Adobe Reader Synchronizer.lnk = E:\ADOBE\ACROBAT_8PRO\Acrobat\AdobeCollabSync.exe O8 - Extra context menu item: An vorhandenes PDF anfügen - res://E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: In Adobe PDF konvertieren - res://E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://E:\ADOBE\ACROBAT_8PRO\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\OFFICE\OFFICE11\REFIEBAR.DLL O17 - HKLM\System\CCS\Services\Tcpip\..\{E7F48C7E-3947-4361-9D21-9D3514208D5E}: NameServer = 195.**.160.***,195.**.161.*** O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - O:\WINNT\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - O:\WINNT\system32\ati2sgag.exe O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - O:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing) O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - O:\WINNT\System32\dmadmin.exe O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - O:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - O:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing) O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - O:\Programme\Analog Devices\SoundMAX\SMAgent.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - O:\WINNT\system32\ZoneLabs\vsmon.exe O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - E:\BITDEFENDER\vsserv.exe" /service (file missing) O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - O:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing) Eine Angabe im Log-File stimmt nicht: ich verwende nicht den IE, sondern Firefox in der aktuellsten Version. Wo liegt der Hund begraben? Herzlichen Dank! mfg RemoteC |
01.04.2007, 21:22 | #2 |
/// Helfer-Team | Unbekannter ausgehender Datenverkehr Hi,
__________________der Screenshot kann die Folge des Bitdefender Problems sein, kann aber auch sein daß das folgende Problem da herumpfuscht, eventuell ist dein Scanner aus dem Verkehr gezogen worden. Code:
ATTFilter O:\WINNT\system32\wcescom32.exe O4 - HKLM\..\Run: [ActiveSync] O:\WINNT\system32\wcescom32.exe O4 - HKCU\..\Run: [ActiveSync] O:\WINNT\system32\wcescom32.exe Gruß, Karl |
02.04.2007, 07:24 | #3 |
| Unbekannter ausgehender Datenverkehr Hi Karl,
__________________nur kurz zur Vorstellung: ich bin der Vater von RemoteC, der den Beitrag gepostet hat. Zunächst danke für die Infos - werde das entsprechend durchgehen. Sollte sich der Übeltäter nicht finden, melden wir uns wieder. Liebe Grüße Alfred |
04.04.2007, 09:58 | #4 |
| Unbekannter ausgehender Datenverkehr Hallo, also, die Datei "wcescom32.exe" habe ich weg - was immer das war. Allerdings, das eigenartige Fehlerfenster beim Starten (und auch immer weider zwischendurch) kommt immer noch. Das Problem mit dem ausgehenden Datenverkehr hat sich scheinbar inzwischen auch gelöst, der neue Zonealarm hält offenbar dicht. Aber ich habe nach einem gründlichen Scanning mit den neuesten Bitdefender (angeblich wieder fehlerfrei ???) folgenden Auszug aus dem Logfile kopiert: //----------------------------------------------------------------- // // ProduktBitDefender Internet Security v10 // Produkt10.2 // // Erstellt am: 02/04/2007 21:26:39 // //----------------------------------------------------------------- Statistik Pfad : O:\ Ordner : 1433 Dateien : 72360 Geprüfte Speicher-Prozesse: 11 Archive : 638 Laufzeitkomprimierung :11462 Erkannte Viren : 1 Infizierte Dateien : 1 Infizierte Speicher-Prozesse: 0 Verdächtige Dateien : 6 Warnungen : 0 Desinfizierte Dateien : 0 Gelöschte Dateien : 1 Verschobene Dateien : 0 I/O Fehler : 25 Prüfzeit : 00:13:14 Prüfgeschwindigkeit (Dateien/Sekunde) : 91 Spyware Statistiken Geprüste Registrierungsschlüssel: 1339 Infizierte Registrierungsschlüssel: 0 Geprüfte Cookies: 0 Infizierte Cookies: 0 Infizierte Spyware-Dateien: 0 Erkannte Spyware-Prozesse: 0 Virusdefinitionen : 15321034 Scan Plug-Ins : 16 Archiv Plug-Ins : 41 Archiv Plug-Ins : 6 E-Mail Plug-Ins : 6 System Plug-Ins : 5 Zusammenfassung: O:\Dokumente und Einstellungen\DasTeam\Lokale Einstellungen\Temp\filex.exe Verdächtig BehavesLike:Trojan.StartPage O:\Dokumente und Einstellungen\DasTeam\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WHINOXYN\hp[1].exe Verdächtig BehavesLike:Trojan.StartPage O:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\05AJODUN\pdcv[1].jpg Infiziert mit: Trojan.Proxy.Agent.AJL O:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\05AJODUN\pdcv[1].jpg Gelöscht O:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\0DEFKL63\hp[1].exe Verdächtig BehavesLike:Trojan.StartPage O:\Dokumente und Einstellungen\DerChef\Lokale Einstellungen\Temp\filex.exe Verdächtig BehavesLike:Trojan.StartPage O:\Dokumente und Einstellungen\DerChef\Lokale Einstellungen\Temporary Internet Files\Content.IE5\8HIZO5UV\hp[1].exe Verdächtig BehavesLike:Trojan.StartPage O:\WINNT\Temp\filex.exe Verdächtig BehavesLike:Trojan.StartPage So, wenn ich jetzt nach den angeführten Namen im Netz suche, so sind das uralte Bekannte aus den frühen 2000-Jahren, sie werden auch offenbar erkannt. Aber ich kann diese Files weder löschen, noch verschieben, umbenennen oder sonst eine Aktion setzen. Das kann ich irgendwie nicht nachvollziehen, weil meine Rechner bis zum 29.3. (das mysteriöse Update-Datum des BD) immer mit Sicherheit "clean" waren. Wo soll ich mit der Fehlersuche anfangen? Danke für wertvolle Tipps. Alfred |
Themen zu Unbekannter ausgehender Datenverkehr |
adobe, asus, bho, bitdefender, dateien, datenverkehr, defender, desktop, eigenartig, explorer, fehlermeldung, firefox, hijack, hijackthis, hotkey, immer wieder, internet explorer, konvertieren, log-file, microsoft, mozilla, mozilla firefox, mssql, netzwerk, pdf, pdf-datei, programme, server, software, system, systray, virus, windows |