Ich bitte um die Hilfe beim Auswerten von diesem HijackThis Log-File.
Ich habe vor kurzem mehrere Trojaner mit Antivier entdeckt und weiß nicht wie schlimm diese sind oder was ich tun soll um diese zu entfernen und mein System wieder in Ordnung zu bringen. Die Schädlinge hatte ich in zunächst mal in Quarantäne verschoben.

C:\System Volume Information\_restore{4060FAC5-3C28-4FC4-98DE-18691CF17528}\RP49\A0028096.exe (Win32:Trojan-gen)

C:\Neuer Ordner (2)\777.htm (Malware-gen)

D:\System Volume Information\_restore{4060FAC5-3C28-4FC4-98DE-18691CF17528}\RP49\A0028097.dll (Malware-gen)

D:\Programme\owcstp16.dll (Malware-gen)

Die Datei 'D:\System Volume Information\_restore{4060FAC5-3C28-4FC4-98DE-18691CF17528}\RP49\A0028055.exe' enthielt einen Virus oder unerwünschtes Programm 'TR/Agent.344064.F' [trojan].

Die Datei 'C:\System Volume Information\_restore{4060FAC5-3C28-4FC4-98DE-18691CF17528}\RP49\A0028054.exe'
enthielt einen Virus oder unerwünschtes Programm 'TR/Agent.344064.F' [trojan].

Die Datei 'C:\System Volume Information\_restore{4060FAC5-3C28-4FC4-98DE-18691CF17528}\RP49\A0028053.exe'
enthielt einen Virus oder unerwünschtes Programm 'BDS/Bot.21154.1' [backdoor].

Die Datei 'C:\System Volume Information\_restore{4060FAC5-3C28-4FC4-98DE-18691CF17528}\RP49\A0028052.exe'
enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.ULPM.Gen' [trojan].


Hier das HijackThis Log-File:

Logfile of HijackThis v1.99.1
Scan saved at 22:13:14, on 08.09.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~2\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\CDBurnerXP\NMSAccessU.exe
C:\Programme\SiteAdvisor\6172\SAService.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\Programme\Alwil Software\Avast4\ashSimpl.exe
C:\Programme\Alwil Software\Avast4\ashChest.exe
C:\Programme\Mozilla Firefox\firefox.exe
D:\Programme\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8118;https=127.0.0.1:8118
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box;<local>;*.local
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [StartCCC] C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programme\Gemeinsame Dateien\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~2\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PeerGuardian] C:\Programme\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O10 - Unknown file in Winsock LSP: c:\programme\bonjour\mdnsnsp.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{0A7FA151-C6FF-483E-8448-DFDEEFFDDE06}: NameServer = 192.168.122.252,192.168.122.253
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Programme\CDBurnerXP\NMSAccessU.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
O23 - Service: sgbx_device - Sagem - C:\WINDOWS\system32\sgbxcoms.exe
O23 - Service: SiteAdvisor-Dienst (SiteAdvisor Service) - Unknown owner - C:\Programme\SiteAdvisor\6172\SAService.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

Bitte um eure Hilfe, da ich mich nicht so gut auskenne.

Mfg

Hi,

du hast 2 Antivirenprogramme installiert! Bitte deinstalliere eines der beiden Programme, da sie sich sonst gegenseitig behindern.

Mach bitte einen Onlinscan:

Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

Erstelle bitte ein Log mit RSIT. Es werden 2 Dateien erstellt (log.txt und info.txt). Poste den Inhalt beider Dateien hier.

lg myrtille

Danke für deine schnelle Antwort.

Hier das Logfile von ActiveScan:



;***************************************************************************************************************************************************** ******************************
ANALYSIS: 2008-09-09 16:13:23
PROTECTIONS: 1
MALWARE: 3
SUSPECTS: 3
;***************************************************************************************************************************************************** ******************************
PROTECTIONS
Description Version Active Updated
;===================================================================================================================================================== ==============================
Avira AntiVir PersonalEdition 8.0.1.27 Yes Yes
;===================================================================================================================================================== ==============================
MALWARE
Id Description Type Active Severity Disinfectable Disinfected Location
;===================================================================================================================================================== ==============================
00168113 Cookie/fe.lea.lycos TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Xzati.ARTI\Cookies\xzati@fe.lea.lycos[1].txt
00168113 Cookie/fe.lea.lycos TrackingCookie No 0 Yes No D:\Dokumente und Einstellungen\Xzati\Anwendungsdaten\Mozilla\Firefox\Profiles\rmopoun7.default\cookies.txt[fe.lea.lycos.de/]
00262020 Cookie/Atwola TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Xzati.ARTI\Cookies\xzati@atwola[1].txt
03204890 Generic Trojan Virus/Trojan No 0 Yes No C:\Alkohol\Keygen.exe
;===================================================================================================================================================== ==============================
SUSPECTS
Sent Location >
;===================================================================================================================================================== ==============================
No C:\Dokumente und Einstellungen\Xzati.ARTI\Desktop\aswclnr211.exe >
No C:\RECYCLER\S-1-5-21-2000478354-1390067357-839522115-1003\Dc1.exe >
No C:\System Volume Information\_restore{3734060E-EA3B-4D87-9204-30E09C70D80D}\RP16\A0002398.dll >
;===================================================================================================================================================== ==============================
VULNERABILITIES
Id Severity Description >

;===================================================================================================================================================== ==============================
184380 medium ms08-002 >
184379 medium ms08-001 >
182048 high ms07-069 >
182046 high ms07-067 >
182043 high ms07-064 >
179553 high ms07-061 >
176382 high ms07-057 >
176383 high ms07-058 >
170911 high ms07-050 >
170907 high ms07-046 >
170906 high ms07-045 >
170904 high ms07-043 >
164915 high ms07-035 >
164913 high ms07-033 >
164911 high ms07-031 >
160623 high ms07-027 >
157262 high ms07-022 >
157261 high ms07-021 >
157260 high ms07-020 >
157259 high ms07-019 >
156477 high ms07-017 >
150253 high ms07-016 >
150249 high ms07-013 >
150248 high ms07-012 >
150247 high ms07-011 >
150243 high ms07-008 >

C:\Alkohol\Keygen.exe

Da dürfte ja klar sein, wo du dir das eingefangen hast. Ich empfehle dir ein Neuaufsetzen und in Zukunft die Finger von derartigem zu lassen.

150242 high ms07-007 >
150241 medium ms07-006 >
141034 high ms06-076 >
141033 medium ms06-075 >
141030 high ms06-072 >
137571 high ms06-070 >
137568 high ms06-067 >
133387 medium ms06-065 >
133386 medium ms06-064 >
133385 medium ms06-063 >
133379 high ms06-057 >
131654 high ms06-055 >
129977 medium ms06-053 >
129976 medium ms06-052 >
126093 high ms06-051 >
126092 medium ms06-050 >
126087 high ms06-046 >
126086 medium ms06-045 >
126083 high ms06-042 >
126082 high ms06-041 >
126081 high ms06-040 >
123421 high ms06-036 >
123420 high ms06-035 >
120825 medium ms06-032 >
120823 medium ms06-030 >
120818 high ms06-025 >
120815 high ms06-022 >
120814 high ms06-021 >
117384 medium ms06-018 >
114666 high ms06-015 >
114664 high ms06-013 >
108744 medium ms06-008 >
108743 medium ms06-007 >
108742 medium ms06-006 >
104567 high ms06-002 >
104237 high ms06-001 >
96574 high ms05-053 >
93395 high ms05-051 >
93394 high ms05-050 >
93454 medium ms05-049 >
;===================================================================================================================================================== ==============================

hm ok ... soll ich die Schädlinge jetzt erstmal in Quarantäne lassen oder löschen.

Vielen Dank für deine Hilfe.

Soll ich den RSIT Log noch posten?

Mfg

Und tut mir leid für die vielen Doppelposts wusste nicht wie ich alles aufeinmal auf die Schnelle hier rein bringen soll.

Nee, wenn du neuaufsetzt ist das egal.

Die Vielfachposts sind normal und vollkommen in Ordnung solang sie durch die Zeichenbeschränkung pro Post verursacht werden.

Ok vielen Dank.

Noch eine Frage:

Wenn ich alle meine Daten auf eine externe Festplatte tue, kann es doch sein, dass die ganzen Viren auch mitkommen oder?

Wie soll ich das am besten anstellen?

Hi,

lies dir die anleitung zum Neuaufsetzen durch. Dort steht eigentlich alles drin. Dateien die nicht ausführbar sind, sollten eigentlich nicht infiziert sein.

Alles was ausführbar ist (exe, com, scr, inf) könnte infiziert sein.

Lade dir also von einem sauberen Rechner die ServicePacks, Firefox und den Installer deines AVs und der Firewall herunter und ändere all deine Passwörter.

Formatiere dann deinen Rechner und installiere die ServicePacks, Firefox und dein AV sowie Firewall BEVOR du online gehst.

lg myrtille

Ok, alles klar dankeschön.

Kannst du mir irgendeine Firewall empfehlen oder soll ich die von Windows benutzen, die sollte doch eigentlich ausreichend sein oder?

Achja und weißt du vielleicht ob ich mir Sorgen machen muss, dass mein Rechner vielleicht in irgendeiner Weise ausspioniert wurde, also meine Daten wie z.B. Passwörter etc.?

lg

Ich würd auf jedenfall die Passwörter ändern und einen Blick auf deine Konten/Accounts haben in nächster Zeit.

Nach einem Passwortwechsel sollte der Einbrecher jedoch nicht mehr in deine Konten gelangen können.

lg myrtille

ok alles klar.
Vielen Danke für deine schnelle Hilfe!
Ich hoffe zwar, dass ich zukünftlich nicht mehr mit solchen Problemen konfrontiert werde aber wenn dann weiß jetzt wenigstens wo mir schnell geholfen werden kann.



lg

Wenn ihr die Finger von Keygens, Cracks und Co lasst, solltet ihr so bald nicht wieder Probleme kriegen.

Und denk dran: Nur ein Antivirenprogramm benutzen: Avast oder Antivir. Zusätzliche Sicherheit bieten zb Antispywareprogramme wie SUPERAntiSpyware oder Malwarebytes.

lg myrtille

Ja das wird uns eine Lehre sein.

Ich hatte Antivir und habe dann avast installiert um mit diesem nochmal zu scannen. Das es nicht so ratsam ist zwei Antiviren Programme auf dem Rechner zu haben, da diese sich gegenseitig behindern war mir schon bewusst.

lg .. und nochmals danke