Hallo allesamt

Nach langer Zeit muss ich mich leider doch mal wieder bei euch melden, weil ich ein klein wenig Hilfe mit dem Laptop meiner Mutter bräuchte.

Der läuft nämlich extrem langsam mit öfteren Abstürzen, teilweise ohne eine hohe CPU Auslastung anzuzeigen, v.a. was Webupdates von z.B. Avira AntiVir betrifft. Außerdem wurde mir berichtet, dass manchmal der Firefox nicht geht und anscheinend selbständig Schadprogramme nachgeladen werden (Schlussfolgerung aus diversen Scanns von Antivir und Ad-Avare).

Ich selbst konnte die genannten Probleme (bis auf die Langsamkeit) selbst nicht reproduzieren und es tut mir Leid, dass ich keine genaueren Angaben machen kann, aber der Computer gehört eigentlich nicht mir sondern wurde mir erst gerade eben von meinen Eltern ohne weitere und exaktere Angaben zur Problematik zur "Reparatur" übergeben.

Kurze Rede langer Sinn: Ich habe ein HJT Logfile angefertigt, bin aber mit der Auswertung überfordert und wollte euch fragen, ob ihr mir eventuell helfen könnt. Hier das File:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:09:29, on 01.09.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Ahead\InCD\InCDsrv.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE

C:\Programme\Ahead\InCD\InCD.exe

C:\Programme\Logitech\MouseWare\system\em_exec.exe

C:\Programme\iTunes\iTunesHelper.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Gemeinsame Dateien\AccSys\AccWLSvc.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe

C:\Programme\FirefoxPreloader\FirefoxPreloader.exe

C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\cisvc.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\wanmpsvc.exe

C:\Programme\Canon\CAL\CALMAIN.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Programme\iPod\bin\iPodService.exe

C:\WINDOWS\SoftwareDistribution\Download\851ec77bad9deffe5a3e6f29ba9e9716\update\update.exe

C:\Programme\Trend Micro\HijackThis\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h++p://www.aol.de/e60/suche/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h++p://www.arcor.de

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h++p://www.arcor.de

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h++p://www.arcor.de

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h++p://www.arcor.de

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h++p://www.arcor.de

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h++p://www.arcor.de

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:search

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:search

R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = h++p://www.arcor.de

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {60BF5EE3-0105-4858-AD98-17C19F86B042} - (no file)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll

O4 - HKLM\..\Run: [wlconfig] C:\Programme\WLAN Monitor\wlconfig.exe -autostart

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE

O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [WLAN Quick-Starter] "C:\Programme\WLAN Quick-Starter\WLAN Quick-Starter.exe" -update

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Startup: OpenOffice.org 2.3.lnk.disabled

O4 - Startup: PowerReg Scheduler.exe

O4 - Global Startup: Firefox Preloader.lnk = C:\Programme\FirefoxPreloader\FirefoxPreloader.exe

O4 - Global Startup: Google Updater.lnk.disabled

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll

O9 - Extra button: AOL Instant Messenger (TM) - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.aol.de/e60/

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - 

O16 - DPF: {E5F5D008-DD2C-4D32-977D-1A0ADF03058B} (JuniperSetupSP1 Control) - h++ps://webzugang.brnet.de/dana-cached/setup/JuniperSetupSP1.cab

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: AccSys WiFi Server (AccWLSvc) - AccSys GmbH - C:\Programme\Gemeinsame Dateien\AccSys\AccWLSvc.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: AOL Connectivity Service (AOL ACS) - AOL LLC - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programme\Canon\CAL\CALMAIN.exe

O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - NetGroup - Politecnico di Torino - C:\Programme\WinPcap\rpcapd.exe

O23 - Service: SiSoftware Deployment Agent Service (SandraAgentSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite XII.SP2c\RpcAgentSrv.exe

O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe



--

End of file - 8062 bytes
         

Vielen Dank schon mal im voraus.

Hallöle Don.

Du müsstest aber wissen, dass das SP3 Pflicht für jede Hilfeleistung ist..

Deinstalliere bitte AdAware.

Überprüfe den Rechner dann mit SUPERAntiSpyware und Anti-Malware und poste die logs.

Zitat von undoreal

Hallöle Don.

Du müsstest aber wissen, dass das SP3 Pflicht für jede Hilfeleistung ist..

Oh. Meinereiner ist BNU/Linux-User, deswegen ist mir die Existenz dieses Service Packs wohl mehr oder weniger entgangen.

Soll ich's gleich installieren oder erst, nachdem wir das Problem aufgespürt haben?

Wie dem auch sei, ich verfahr mal weiter nach deiner Anleitung...

(Danke übrigens für die schnelle Hilfe. )

Das SP3 solltest du so schnell wie möglich aufspielen.

SP3 ist jetzt drauf.

SUPERAntiSpyware stürzt immer nach ca. 8 1/2 Minuten (nie genau und nicht immer am selben Punkt) ab, deshalb da kein Log.

Malwarebytes ist durchgelaufen. Hier das Logfile:

03:08:01 02.09.2008

mbam-log-09-02-2008 (03-08-01).txt



Scan-Methode: Vollständiger Scan (C:\|)

Durchsuchte Objekte: 105647

Laufzeit: 1 hour(s), 9 minute(s), 13 second(s)



Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 1

Infizierte Registrierungswerte: 1

Infizierte Dateiobjekte der Registrierung: 1

Infizierte Verzeichnisse: 3

Infizierte Dateien: 7



Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)



Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)



Infizierte Registrierungsschlüssel:

HKEY_CURRENT_USER\SOFTWARE\RegistrySmart (Rogue.RegistrySmart) -> Quarantined and deleted successfully.



Infizierte Registrierungswerte:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\c:\programme\registrysmart\ (Rogue.RegistrySmart) -> Quarantined and deleted successfully.



Infizierte Dateiobjekte der Registrierung:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System (Rootkit.DNSChanger.H) -> Data: kdrxg.exe -> Quarantined and deleted successfully.



Infizierte Verzeichnisse:

C:\Programme\RegistrySmart (Rogue.RegistrySmart) -> Quarantined and deleted successfully.

C:\Dokumente und Einstellungen\*****\Anwendungsdaten\RegistrySmart (Rogue.RegistrySmart) -> Quarantined and deleted successfully.

C:\Dokumente und Einstellungen\*****\Anwendungsdaten\RegistrySmart\Log (Rogue.RegistrySmart) -> Quarantined and deleted successfully.



Infizierte Dateien:

C:\Programme\Mozilla Firefox\components\MyComponent.dll (Spyware.Passwords) -> Quarantined and deleted successfully.

C:\Programme\Mozilla Firefox\components\MyComponent.dll1 (Spyware.Passwords) -> Quarantined and deleted successfully.

C:\Programme\Mozilla Thunderbird\.autoreg (Spyware.Passwords) -> Quarantined and deleted successfully.

C:\Programme\Mozilla Thunderbird\components\MyComponent.dll (Spyware.Passwords) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\1072.dat (Spyware.Passwords) -> Quarantined and deleted successfully.

C:\Dokumente und Einstellungen\*****\Anwendungsdaten\RegistrySmart\Log\2008 Feb 13 - 11_08_12 AM_885.log (Rogue.RegistrySmart) -> Quarantined and deleted successfully.

C:\Dokumente und Einstellungen\*****\Anwendungsdaten\RegistrySmart\Log\2008 Feb 13 - 11_08_22 AM_428.log (Rogue.RegistrySmart) -> Quarantined and deleted successfully.
         

Lasse SUPERAntiSpyware im abgesicherten Modus durchlaufen...

Und ändere von einem sauberen PC aus alle Passwörter und Zugangsaccounts.