| |  SDFix ändert die falschen Einträge in meinen Servicen
 Hi all, es scheint so als hätte ich nen kleinen virus am pc...
und zwar, ich hatte ungefair so ähnlich wie
http://www.trojaner-board.de/50537-blauer-hintergrund-und-meldung-warning-spyware-detected-your-computer.html
den virus mit "blauer bildschirm blablabla", ich habe sofort im taskmanager die prozesse die ich nicht kannte beendet, und erstmal im abgesicherten modus hochgefahren.
dort hab ich dann im msconfig die unbekannten autostarts entfernt,
im autostart ordner geschaut ob etwas drin ist - dem war nicht so,
in den geplanten task geschaut - war au nix,
und schließlich die dienste durchgeschaut - au nix...
sodelle, also konnte ich normal hochfahren ohne ein "virus" laufen zu haben.
jetzt waren noch die registry einträge geändert worden vom "virus" wesshalb ich den desktop hintergrund nicht ändern konnte und den super tollen bildschirmschoner aka fake bluescreen... das übliche halt.
also hab ich mit sdfix besorgt und mal schön durchlaufen lassen.
danach, ging (auf den ersten blick) alles wieder.
wenn ich genauer hinschaute dann kann ich jetzt mit meinem netzwerkpc mehr auf meinen zugreifen.
im SDFix-log steht: Zitat: SDFix: Version 1.218
Run by S***** on 19.08.2008 at 21:53
Microsoft Windows XP [Version 5.1.2600]
Running From: C:\SDFix
Checking Services :
Restoring Default Security Values
Restoring Default Hosts File
Restoring Default Desktop Wallpaper
Restoring Default ScreenSaver value
Restoring Missing Security Center Service
Restoring Missing SharedAccess Service
Rebooting
Checking Files :
Trojan Files Found:
C:\WINDOWS\system32\lphc962j0ev5v.exe - Deleted
C:\WINDOWS\SYSTEM32\PHC962~1.BMP - Deleted
C:\WINDOWS\system32\blphc962j0ev5v.scr - Deleted
C:\DOKUME~1\Sascha\LOKALE~1\Temp\.tt9.tmp - Deleted
C:\DOKUME~1\Sascha\LOKALE~1\Temp\.ttC.tmp - Deleted
C:\WINDOWS\system32\a.exe - Deleted
C:\WINDOWS\system32\admdll.dll - Deleted
Folder C:\Dokumente und Einstellungen\Sascha\Anwendungsdaten\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#w*w.redtube.com - Removed
Removing Temp Files
ADS Check :
Final Check :
catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-19 21:58:07
Windows 5.1.2600 Service Pack 2 NTFS
scanning hidden processes ...
scanning hidden services & system hive ...
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:2df9c43f
"s2"=dword:110480d0
"h0"=dword:00000002
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04]
"p0"="C:\Programme\Alcohol Soft\Alcohol 120\"
"h0"=dword:00000001
"ujdew"=hex:a2,17,68,3e,6a,60,1c,85,1c,50,9e,c7,81,69,67,27,c0,7d,d9,fe,13,..
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Programme\DAEMON Tools Lite\"
"h0"=dword:00000000
"khjeh"=hex:f6,f4,1f,ae,27,bc,f3,88,c4,32,12,1e,83,96,4b,5e,b6,78,63,71,fd,..
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,f7,1b,5d,81,ac,d4,6a,87,4b,41,bf,47,69,75,bf,43,e9,..
"khjeh"=hex:8d,2b,2a,93,34,3b,0a,1e,8a,a9,dc,04,49,32,14,37,6b,ad,61,01,7a,..
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:43,db,29,22,41,5f,8d,5f,04,40,62,e2,79,77,10,ca,0c,b3,89,fc,02,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04]
"p0"="C:\Programme\Alcohol Soft\Alcohol 120\"
"h0"=dword:00000001
"ujdew"=hex:a2,17,68,3e,6a,60,1c,85,1c,50,9e,c7,81,69,67,27,c0,7d,d9,fe,13,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Programme\DAEMON Tools Lite\"
"h0"=dword:00000000
"khjeh"=hex:f6,f4,1f,ae,27,bc,f3,88,c4,32,12,1e,83,96,4b,5e,b6,78,63,71,fd,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,f7,1b,5d,81,ac,d4,6a,87,4b,41,bf,47,69,75,bf,43,e9,..
"khjeh"=hex:8d,2b,2a,93,34,3b,0a,1e,8a,a9,dc,04,49,32,14,37,6b,ad,61,01,7a,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:43,db,29,22,41,5f,8d,5f,04,40,62,e2,79,77,10,ca,0c,b3,89,fc,02,..
scanning hidden registry entries ...
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:00000095
"TracesSuccessful"=dword:00000003
scanning hidden files ...
scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0
Remaining Services :
Authorized Application Key Export:
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
Remaining Files :
File Backups: - C:\SDFix\backups\backups.zip
Files with Hidden Attributes :
Thu 27 Mar 2008 24 ..SH. --- "C:\WINDOWS\SB6BED993.tmp"
Fri 28 Mar 2008 88 ..SHR --- "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ADBC368447.sys"
Mon 18 Aug 2008 4,182 A.SH. --- "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\KGyGaAvL.sys"
Tue 19 Aug 2008 165,232 A..H. --- "C:\Dokumente und Einstellungen\Sascha\Anwendungsdaten\Microsoft\Virtual PC\VPCKeyboard.dll"
Sat 24 May 2008 1,714 ...HR --- "C:\Dokumente und Einstellungen\Sascha\Anwendungsdaten\SecuROM\UserData\securom_v7_01.bak"
Finished!
|
ich vermute mal einfach der hat mir meine schönen dienste zerschossen.
denn ich habe nun in meinen diensten 2 neue einträge zum einen ein "Security Center" und ein "Windows Firewall/Internet Connection Sharing (ICS)
ihr merkt schon diese dienste sind beide english und wenn man sieht öffnet kommt:
Konfigurations-Manager: Die angegebene Gerätezugriffsnummer netspricht keinem vorhandenen Gerät.
das war jetzt erstmal viel text, aber ich denke so könnt ihr euch am besten in mein problem hineinversetzen.
fals ihr noch irgendwelche materialien braucht, logs, screens oder desktopvideos dann sagt bescheid
vielen vielen dank schonmal 
grüße 2five
(ps: japp ich war auf redtube :P ja und *g* next time wenn ich surfen will mach ich das über nen virtualpc...)
|
19.08.2008, 22:51
Baum-Darstellung