| |
| |||||||
Log-Analyse und Auswertung: Browser stockt und manchmal auch das SystemWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
09.09.2008, 18:07
| #1 |
| |  Browser stockt und manchmal auch das System Moin, ich habe seit gestern ein größeres Problem mit meinem Rechner. Auf diesem AMD Dualcore läuft Windows XP, SP3 (steht ja auch im log). Ich habe vorgestern den nvidia Treiber von der neuen Beta auf nen Omega-Treiber gewechselt, weil einige Darstellungen verschwommen waren, was sich auch gelegt hat (dies war die letzte größere Ändferung am System). Alles lief normal. Gestern gingen die Probleme los, die Browser, aber vor allem Opera 9.52 (sonst Firefox 3.01) ließen sich ganz schwer "bewegen", Tabs wechseln, Seiten aufrufen ging sehr langsam (obwohl Download-Geschwindigkeit völlig normal ist, Kabel-D [Der Seiten-Ansteuerungstest über die Konsole brachte sofort nen Seiten Aufruf]). Dann funktionieren vor allem in Opera einige Darstellungen nicht mehr korrekt oder es wird gar nicht angezeigt. Ein neuladen der Seite bringt dann die vorher angeklickte angezeigt. Auch kommt ab und zu die Fehlermeldung "This page requires AC_RunActiveContent." Opera zeigt dann nix an, aber beim Firefox geht es "normal" weiter. Auch eine flash-Neuinstallation hat nix gebracht. Und im Firefox kommt des öfteren bei stinknormalen Seiten die Meldung, dass die seite nicht gefunden worden ist. Zudem bringt das Klicken auf Googleergebnisse oftmals nicht den gewünschten Eintrag sondern man landed auf völlig komischen Seiten, die oftmals durch irgendwelche anderen "Suchmaschinen" erzeugt worden sind *** Zusätzlich zu diesem Browserproblem treten, dann noch ab und zu komplett-Blockaden des Systems auf, dann läuft gar nichts mehr und man muss rebooten oder beim Start bleibt er vor dem Windows-Logo einfach stecken. Prozesse laufen aber auch in normaler Geschwindigkeit ab, sowie Fensteraufbau etc. Virenscan, Adawaretest, registry-bereinigen, Cash leeren haben leider nix gebracht. Vielleicht findet ja jemand von Euch einen fehlerhaften Dienst oder hat sonst einen guten Tipp, der mich das Neuaufssetzen umgehen lässt. Danke Sopetran PS: Das automatisch testen des logfiles hatte mir nix erkennen lassen, außer das mit den toolbars (die werden ja immer kritisiert, wie kann ich die abstellen?). Logfile of Trend Micro HijackThis v2.0.2 [edit] Bitte editiere zukünftig deine Links, wie es dir u.a. hier angezeigt wird: http://www.trojaner-board.de/22771-a...tml#post171958 Danke.  Sunny [/edit] Geändert von Sopetran (09.09.2008 um 18:31 Uhr) |
|
10.09.2008, 03:37
| #2 |
| | Browser stockt und manchmal auch das System Hallo,
__________________also ich habe mich nach weiteren umschauen hier im Forum an den Maßnahmen im Thread "Falsche links bei google" orientiert: http://www.trojaner-board.de/58845-f...ei-google.html Nur bin ich noch im vollen Betrieb des Systems auf die ComboFix-Exe gekommen, im Überschwang, dass ich endlich etwas reinigendes runtergeladen hatte, gab's da eine Verwechslung. Da wurd kurz was von nem rootkit erzählt und der Computer neu gestartet. Das ausführen danach habe ich abgebrochen und die im obigen Thread angesprochene Reihenfolge eingehalten: Malwarybytes, gmer, catchme, rootkitreveal. Hier die Ergebnisse: Die Browser laufen auch erst einmal wieder normal. Wenn sich das jemand anschauen sollte, könnte er mir vielleicht sagen woher die entsprechenden Schädlinge gekommen sein könnten (falls es für diese nen speziellen "Brutherd gibt"). Danke Malwarebytes' Anti-Malware 1.27 Datenbank Version: 1127 Windows 5.1.2600 Service Pack 3 10.09.2008 02:28:37 mbam-log-2008-09-10 (02-28-26).txt Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|H:\|Q:\|Z:\|) Durchsuchte Objekte: 315133 Laufzeit: 3 hour(s), 22 minute(s), 2 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 2 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 5 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\tdss (Trojan.Agent) -> No action taken. Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\WINDOWS\system32\tdssadw.dll (Trojan.Agent) -> No action taken. C:\WINDOWS\system32\tdssmain.dll (Trojan.Agent) -> No action taken. C:\WINDOWS\system32\tdssinit.dll (Trojan.Agent) -> No action taken. C:\WINDOWS\system32\tdsslog.dll (Trojan.Agent) -> No action taken. C:\WINDOWS\system32\tdssservers.dat (Trojan.Agent) -> No action taken. Hier sollte eigentlich das log stehen mit den oben aufgeführten Schädlingen in Quarantäne/gelöschtem Status, dies ist also geschehen. GMER 1.0.14.14536 - http://www.gmer.net Rootkit scan 2008-09-10 03:51:28 Windows 5.1.2600 Service Pack 3 ---- System - GMER 1.0.14 ---- SSDT sptd.sys ZwCreateKey [0xBA6D10B0] SSDT BAFCABE4 ZwCreateThread SSDT sptd.sys ZwEnumerateKey [0xBA6D684E] SSDT sptd.sys ZwEnumerateValueKey [0xBA6D6BEE] SSDT sptd.sys ZwOpenKey [0xBA6D1090] SSDT BAFCABD0 ZwOpenProcess SSDT BAFCABD5 ZwOpenThread SSDT sptd.sys ZwQueryKey [0xBA6D6CC6] SSDT sptd.sys ZwQueryValueKey [0xBA6D6B46] SSDT sptd.sys ZwSetValueKey [0xBA6D6D58] SSDT BAFCABDF ZwTerminateProcess SSDT BAFCABDA ZwWriteVirtualMemory ---- Kernel code sections - GMER 1.0.14 ---- ? C:\WINDOWS\system32\drivers\sptd.sys Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird. .text USBPORT.SYS!DllUnload B96B78AC 5 Bytes JMP 8A446960 ? System32\Drivers\amjq80nv.SYS Das System kann die angegebene Datei nicht finden. ! ---- Kernel IAT/EAT - GMER 1.0.14 ---- IAT atapi.sys[HAL.dll!READ_PORT_UCHAR] [BA6D1ABA] sptd.sys IAT atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT] [BA6D1C00] sptd.sys IAT atapi.sys[HAL.dll!READ_PORT_USHORT] [BA6D1B82] sptd.sys IAT atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT] [BA6D272E] sptd.sys IAT atapi.sys[HAL.dll!WRITE_PORT_UCHAR] [BA6D2604] sptd.sys IAT \SystemRoot\System32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR] [BA6E4A9A] sptd.sys ---- Devices - GMER 1.0.14 ---- Device \FileSystem\Ntfs \Ntfs 8A68B1D8 Device \FileSystem\Fastfat \FatCdrom 8923C1D8 Device \Driver\usbohci \Device\USBPDO-0 8A4411D8 Device \Driver\usbehci \Device\USBPDO-1 8A44F628 Device \Driver\Ftdisk \Device\HarddiskVolume1 8A68D1D8 Device \Driver\Ftdisk \Device\HarddiskVolume2 8A68D1D8 Device \Driver\Cdrom \Device\CdRom0 8A4408E8 Device \Driver\Ftdisk \Device\HarddiskVolume3 8A68D1D8 Device \Driver\Cdrom \Device\CdRom1 8A4408E8 Device \Driver\Ftdisk \Device\HarddiskVolume4 8A68D1D8 Device \Driver\Cdrom \Device\CdRom2 8A4408E8 Device \Driver\Ftdisk \Device\HarddiskVolume5 8A68D1D8 Device \Driver\nvata \Device\00000076 8A68C1D8 Device \Driver\nvata \Device\00000077 8A68C1D8 Device \Driver\NetBT \Device\NetBt_Wins_Export 8928C980 Device \Driver\NetBT \Device\NetbiosSmb 8928C980 Device \Driver\00000045 \Device\0000004d sptd.sys Device \Driver\usbohci \Device\USBFDO-0 8A4411D8 Device \Driver\usbehci \Device\USBFDO-1 8A44F628 Device \Driver\nvata \Device\NvAta0 8A68C1D8 Device \FileSystem\MRxSmb \Device\LanmanDatagramReceiver 8928E980 Device \Driver\nvata \Device\NvAta1 8A68C1D8 Device \FileSystem\MRxSmb \Device\LanmanRedirector 8928E980 Device \Driver\nvata \Device\NvAta2 8A68C1D8 Device \Driver\Ftdisk \Device\FtControl 8A68D1D8 Device \Driver\NetBT \Device\NetBT_Tcpip_{AF5E4E81-A4E4-45EB-A3FF-D766A33561E5} 8928C980 Device \Driver\amjq80nv \Device\Scsi\amjq80nv1Port5Path0Target0Lun0 8A34E980 Device \Driver\amjq80nv \Device\Scsi\amjq80nv1 8A34E980 Device \FileSystem\Fastfat \Fat 8923C1D8 AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation) Device \FileSystem\Cdfs \Cdfs 8A473980 ---- Services - GMER 1.0.14 ---- Service system32\drivers\TDSSserv.sys (*** hidden *** ) [SYSTEM] TDSSserv <-- ROOTKIT !!! ---- Registry - GMER 1.0.14 ---- Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1 812594749 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2 73225451 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0 D:\DAEMON Tools (virtuelle Laufwerke)\ Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x0C 0xF3 0xFF 0x33 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x5F 0x1A 0xF5 0x32 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0x87 0x9D 0xE1 0x66 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\TDSSserv@start 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\TDSSserv@type 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\TDSSserv@imagepath \systemroot\system32\drivers\TDSSserv.sys Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4 Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0 D:\DAEMON Tools (virtuelle Laufwerke)\ Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0 Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x0C 0xF3 0xFF 0x33 ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001 Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x5F 0x1A 0xF5 0x32 ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40 Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0x87 0x9D 0xE1 0x66 ... Reg HKLM\SYSTEM\ControlSet002\Services\TDSSserv@start 1 Reg HKLM\SYSTEM\ControlSet002\Services\TDSSserv@type 1 Reg HKLM\SYSTEM\ControlSet002\Services\TDSSserv@imagepath \systemroot\system32\drivers\TDSSserv.sys Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0 D:\DAEMON Tools (virtuelle Laufwerke)\ Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x0C 0xF3 0xFF 0x33 ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x5F 0x1A 0xF5 0x32 ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0xF7 0x04 0xA6 0xC5 ... Reg HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@cd042efbbd7f7af1647644e76e06692b 0xE2 0x63 0x26 0xF1 ... Reg HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@bca643cdc5c2726b20d2ecedcc62c59b 0x71 0x3B 0x04 0x66 ... Reg HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@2c81e34222e8052573023a60d06dd016 0x25 0xDA 0xEC 0x7E ... Reg HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@2582ae41fb52324423be06337561aa48 0x86 0x8C 0x21 0x01 ... Reg HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@caaeda5fd7a9ed7697d9686d4b818472 0xCD 0x44 0xCD 0xB9 ... Reg HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@a4a1bcf2cc2b8bc3716b74b2b4522f5d 0xB0 0x18 0xED 0xA7 ... Reg HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@4d370831d2c43cd13623e232fed27b7b 0x31 0x77 0xE1 0xBA ... Reg HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@1d68fe701cdea33e477eb204b76f993d 0xAA 0x52 0xC6 0x00 ... Reg HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@1fac81b91d8e3c5aa4b0a51804d844a3 0xB2 0x46 0x9A 0xE2 ... Reg HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@f5f62a6129303efb32fbe080bb27835b 0x3D 0xCE 0xEA 0x26 ... Reg HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@fd4e2e1a3940b94dceb5a6a021f2e3c6 0xE3 0x0E 0x66 0xD5 ... Reg HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32 Reg HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@ThreadingModel Apartment Reg HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL Reg HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@8a8aec57dd6508a385616fbc86791ec2 0xFA 0xEA 0x66 0x7F ... ---- EOF - GMER 1.0.14 ---- Die zwei anderen logs kommen im nächsten Beitrag. Geändert von Sopetran (10.09.2008 um 03:42 Uhr) |
|
10.09.2008, 03:38
| #3 |
| | Browser stockt und manchmal auch das System Die logs von Catchme und rootkitreveal:
__________________catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-09-10 04:08:25 Windows 5.1.2600 Service Pack 3 NTFS scanning hidden processes ... scanning hidden services & system hive ... [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg] "s1"=dword:306f363d "s2"=dword:045d54eb "h0"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4] "p0"="D:\DAEMON Tools (virtuelle Laufwerke)\" "h0"=dword:00000000 "khjeh"=hex:0c,f3,ff,33,c0,0b,15,71,bb,80,e9,1b,5d,69,36,4d,90,bf,a7,79,a0,.. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001] "a0"=hex:20,01,00,00,15,d0,84,f4,62,98,f4,28,9d,c5,b5,d5,b3,9e,51,40,eb,.. "khjeh"=hex:5f,1a,f5,32,61,86,52,ff,d3,9f,ac,b2,0a,30,d5,1a,c2,86,3d,b9,27,.. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40] "khjeh"=hex:87,9d,e1,66,99,62,32,b0,b2,26,99,4b,55,34,cd,7c,8d,8e,57,f7,26,.. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TDSSserv] "start"=dword:00000001 "type"=dword:00000001 "imagepath"=str(2):"\systemroot\system32\drivers\TDSSserv.sys" [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4] "p0"="D:\DAEMON Tools (virtuelle Laufwerke)\" "h0"=dword:00000000 "khjeh"=hex:0c,f3,ff,33,c0,0b,15,71,bb,80,e9,1b,5d,69,36,4d,90,bf,a7,79,a0,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001] "a0"=hex:20,01,00,00,15,d0,84,f4,62,98,f4,28,9d,c5,b5,d5,b3,9e,51,40,eb,.. "khjeh"=hex:5f,1a,f5,32,61,86,52,ff,d3,9f,ac,b2,0a,30,d5,1a,c2,86,3d,b9,27,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40] "khjeh"=hex:87,9d,e1,66,99,62,32,b0,b2,26,99,4b,55,34,cd,7c,8d,8e,57,f7,26,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\TDSSserv] "start"=dword:00000001 "type"=dword:00000001 "imagepath"=str(2):"\systemroot\system32\drivers\TDSSserv.sys" [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4] "p0"="D:\DAEMON Tools (virtuelle Laufwerke)\" "h0"=dword:00000000 "khjeh"=hex:0c,f3,ff,33,c0,0b,15,71,bb,80,e9,1b,5d,69,36,4d,90,bf,a7,79,a0,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001] "a0"=hex:20,01,00,00,15,d0,84,f4,62,98,f4,28,9d,c5,b5,d5,b3,9e,51,40,eb,.. "khjeh"=hex:5f,1a,f5,32,61,86,52,ff,d3,9f,ac,b2,0a,30,d5,1a,c2,86,3d,b9,27,.. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40] "khjeh"=hex:f7,04,a6,c5,55,f4,9b,4b,d8,d7,b6,06,20,b1,a1,6f,4f,df,35,52,4b,.. scanning hidden registry entries ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 HKU\.DEFAULT\Control Panel\International 09.09.2008 22:39 0 bytes Security mismatch. HKU\.DEFAULT\Control Panel\International\Calendars 09.09.2008 22:39 0 bytes Security mismatch. HKU\.DEFAULT\Control Panel\International\Calendars\TwoDigitYearMax 09.09.2008 22:39 0 bytes Security mismatch. HKU\.DEFAULT\Control Panel\International\Geo 09.09.2008 22:39 0 bytes Security mismatch. HKU\.DEFAULT\Control Panel\international_combofixbackup 09.09.2008 22:39 0 bytes Security mismatch. HKU\.DEFAULT\Control Panel\international_combofixbackup\Calendars 09.09.2008 22:39 0 bytes Security mismatch. HKU\.DEFAULT\Control Panel\international_combofixbackup\Calendars\TwoDigitYearMax 09.09.2008 22:39 0 bytes Security mismatch. HKU\.DEFAULT\Control Panel\international_combofixbackup\Geo 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-21-823518204-179605362-839522115-1004\Control Panel\International 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-21-823518204-179605362-839522115-1004\Control Panel\International\Calendars 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-21-823518204-179605362-839522115-1004\Control Panel\International\Calendars\TwoDigitYearMax 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-21-823518204-179605362-839522115-1004\Control Panel\International\Geo 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-21-823518204-179605362-839522115-1004\Control Panel\international_combofixbackup 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-21-823518204-179605362-839522115-1004\Control Panel\international_combofixbackup\Calendars 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-21-823518204-179605362-839522115-1004\Control Panel\international_combofixbackup\Calendars\TwoDigitYearMax 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-21-823518204-179605362-839522115-1004\Control Panel\international_combofixbackup\Geo 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-18\Control Panel\International 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-18\Control Panel\International\Calendars 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-18\Control Panel\International\Calendars\TwoDigitYearMax 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-18\Control Panel\International\Geo 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-18\Control Panel\international_combofixbackup 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-18\Control Panel\international_combofixbackup\Calendars 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-18\Control Panel\international_combofixbackup\Calendars\TwoDigitYearMax 09.09.2008 22:39 0 bytes Security mismatch. HKU\S-1-5-18\Control Panel\international_combofixbackup\Geo 09.09.2008 22:39 0 bytes Security mismatch. HKLM\SECURITY\Policy\Secrets\SAC* 18.08.2007 13:28 0 bytes Key name contains embedded nulls (*) HKLM\SECURITY\Policy\Secrets\SAI* 18.08.2007 13:28 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32* 19.08.2007 20:04 0 bytes Key name contains embedded nulls (*) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesProcessed 10.09.2008 04:11 4 bytes Data mismatch between Windows API and raw hive data. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesSuccessful 10.09.2008 04:11 4 bytes Data mismatch between Windows API and raw hive data. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\LastTraceFailure 10.09.2008 04:11 4 bytes Data mismatch between Windows API and raw hive data. HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg 20.08.2007 12:18 0 bytes Access is denied. C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.dll 12.03.2008 12:49 252.00 KB Visible in Windows API, but not in MFT or directory index. C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.Wrapper.dll 12.03.2008 12:49 111.00 KB Visible in Windows API, but not in MFT or directory index. C:\WINDOWS\assembly\GAC_MSIL\IEExecRemote\2.0.0.0__b03f5f7f11d50a3a\IEExecRemote.dll 12.03.2008 12:49 8.00 KB Visible in Windows API, but not in MFT or directory index. |
|
12.09.2008, 17:05
| #4 |
| | Browser stockt und manchmal auch das System Hat niemand nen klugen Kommentar abzugeben? Hier noch einmal das "gereinigte" Hijacklogfile. Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 17:57:26, on 12.09.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16674) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe D:\Ad-Aware\aawservice.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\Explorer.EXE D:\Programme\Pinnacle\Shared Files\Programs\Remote\Remoterm.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Canon\CAL\CALMAIN.exe D:\Opera\opera.exe D:\Mozilla Firefox\firefox.exe D:\HijackThis\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.freegamesway.com/free_mahjong_planet/install.html?utm_source=FreeMahjongPlanet&utm_medium=downloadable_install O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll O4 - HKLM\..\Run: [amd_dc_opt] "C:\Programme\AMD\amd_dc_opt\amd_dc_opt.exe" O4 - HKLM\..\Run: [PMCRemote] D:\Programme\Pinnacle\Shared Files\Programs\Remote\Remoterm.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [PMCLoader] D:\Programme\Pinnacle\PMCLoader.exe -checktasks O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\MICROS~1\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: In Adobe PDF konvertieren - res://D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://D:\adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\Ad-Aware\aawservice.exe O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programme\Canon\CAL\CALMAIN.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe -- End of file - 5891 bytes |
|
| Themen zu Browser stockt und manchmal auch das System |
| aufrufe, browser, fehlermeldung, firefox, hijack, hijackthis, langsam, links, log, logfiles, micro, neue, nicht gefunden, nvidia, opera, problem, probleme, prozesse, scan, sehr langsam, seite, seiten, sp3, suchmaschine, system, toolbars, treiber, verschwommen, windows, windows xp |
Linear-Darstellung
