Hallo,

ich bin neu hier und auch allgemein mit Computern nicht im professionellen Umgang vertraut.
Ich habe einige Hinweise gelesen und mir nun auch dieses "HiJackThis" heruntergeladen.

Ich habe auch wie empfohlen Spybot und AntiVir im abgesicherten Modus laufen lassen. Keine Funde.

Dennoch habe ich immer noch, wie seit mehreren Tagen unverändert, beim Systemstart die Meldung über einen Fund.
AntiVir kann das Problem scheinbar trotzdem nicht lösen.

Kann mir da bitte jemand sagen, wie ich das Ding wieder loswerde? Danke


anbei mein Logfile und ein Bild:



Zitat:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:47:14, on 24.12.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\msco rsvw.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://goo***.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=****7
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=5***6
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=5***6
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69***
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NVIDIA nTune] "C:\Programme\NVIDIA Corporation\nTune\nTuneCmd.exe" clear
O4 - HKCU\..\Run: [IECheck] C:\WINDOWS\IECheck.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/microsof...te.cab?*34****
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsof...b?122*****5734
O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - h**p://icq.oberon-media.com/Gameshel...onGameHost.cab
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

Hallo und

1. ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

2. Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

3. Avira mit diesen Einstellungen laufen lassen und anschliessend das Log posten:
http://www.trojaner-board.de/54192-a...tellungen.html

Frohe Weihnachten, andreas

Hallo,

danke für die Antwort. Ich habe bereits alles wie von Ihnen erklärt durchgeführt.

Anbei der Link zu den Logfiles:

File-Upload.net - Logfiles.zip

Hallo,

Allgemein sagt man "du" im Internet

Aber zu aller erst solltest du Combofix durchlaufen lassen.

LG

Jeder Arbeitsschritt wurde wie beschrieben ausgeführt.

Gruß

Nur um sicher zu gehen:

Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

Seit wann hast du Probleme?
Seit wann kommen die Meldungen von Avira?

ciao, andreas

Zitat von john.doe

Nur um sicher zu gehen:

Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

Seit wann hast du Probleme?
Seit wann kommen die Meldungen von Avira?

ciao, andreas

Ich misch mich mal ein.
Ich hatte ein ähnliches Problem!
Bei mir waren "c:\windows\system32\c_617039.nls ... 49.nls... 69.nls...19.nls ." befallen.
Ich konnte nichts löschen und im abgesicherten Modus habe ich nie etwas gefunden.
Hier mal der Link: http://www.trojaner-board.de/64683-v...2-antivir.html
Vllt. hat "john.doe", ja die gleiche, oder ähnliche Vorahnung. ->Rootkit?!

Um hier kein Missverständnis aufkommen zu lassen. Auch wenn es den Anschein erweckt, dass ich hier zu säubern versuche. Das ist bei einem Backdoor ausgeschlossen. Erst Recht bei so einem fiesen Teil, wie dem Silent Banker.

Ich hatte gehofft, dass Avira zugeschlagen hat, bevor er aktiviert wurde. Das ComboFix-Log zeigt:

"aux1"= c_929180.nls
"wave2"= c_929180.nls
"mixer1"= c_929180.nls
"midi2"= c_929180.nls
"mixer2"= c_929180.nls
"midi1"= c_929180.nls
"wave1"= c_929180.nls
"aux2"= c_929180.nls
         

Was jetzt noch interessiert ist, wie er ihn bekommen hat, denn hier schlagen in letzter Zeit sehr viele mit dem auf. Bei Backdoor gilt:
http://www.trojaner-board.de/67012-r...tml#post400407
Auch wenn das einige nicht wahrhaben wollen:
http://www.trojaner-board.de/67012-r...tml#post400442
So gibt es nur eine Möglichkeit:
http://www.trojaner-board.de/67012-r...tml#post400448

ciao, andreas

Oh ja, in der letzten Zeit sind extrem viele Rootkiter unterwegs, auch in meinem Freundeskreis.
Da hilft nur noch platt machen und neu aufspielen.
Seit dem Silent Banker bin ich nur noch paranoid

Hallo John,

danke für deine Hilfe erst mal.

Ich habe deine Malware-Tools vom letzten Post noch nciht ausgeführt, weil ich von AntiVir keine Meldung beim Systemstart mehr bekomme.
Ist das Problem jetzt behoben?

Ich hatte Antivir schon vor dem Befall installiert als meinen Virenprüfer.
Fehler hatte ich wie gesagt... seit ca. 3 Tagen vor meinem Post.

Muss ich mein System jetzt immer noch neu aufsetzen? Wäre wieder mal sehr Zeitaufwändig :-(

Ist das Problem jetzt behoben?

Liest du eigentlich, was ich schreibe?

Hast du auch nur auf einen einzigen Link geklickt, der hier zu sehen ist?

Welche Programme liefen denn vor 3 Tagen:

21.12.2008  23:06            71.238 MSIMN.EXE-0B61806C.pf
21.12.2008  22:38            63.366 ACRORD32.EXE-2525A870.pf
21.12.2008  18:34            13.088 NFSCSAVEEDITOR.EXE-247BC7D6.pf
21.12.2008  18:33            31.326 WINRAR.EXE-3588DFE8.pf
21.12.2008  18:17            24.816 CHNFSMTRN.EXE-1D042D1A.pf
21.12.2008  03:13            38.902 I_VIEW32.EXE-0B6C3BA4.pf
21.12.2008  01:19            55.056 HL.EXE-1767DC6B.pf
         

Fangen wir hinten an:

• Half-Life unverdächtig.
• IrfanView unverdächtig.
• Irgendein Trainer zum Cheaten, wäre ein Ansatzpunkt.
• Winrar? Hat da jemand mit dem:

09.10.2008  17:09    <DIR>          Azureus
         

etwas heruntergeladen, entpackt und dann eine Minute später gestartet?

21.12.2008  18:34            13.088 NFSCSAVEEDITOR.EXE-247BC7D6.pf
         

Der schreit doch geradezu: Ich bin ein Trojaner.

Weil die Symptome verschwunden sind, denkst du, du bist kuriert?

Wäre wieder mal sehr Zeitaufwändig :-(

Dir ist nicht zu helfen, andreas

Lass bloß die Finger von Savegame-Editoren.
Bei Call of Duty5 zb. ist der Savegame-Editor mit einem Keylogger versehen...
Da bringt dir das sekündlich einen hohen Rang, aber auf dauer nur Ärger.

Hallo,

ja, ich habe es gelesen. Aber zugegeben nur die Hälfte verstanden, ich bin nicht so mit Computern versiert...
Ja, das sollte ich in gewissen Maße, denn ich benutze ja einen. Das ist mir klar.
Aber ich denke nicht, dass ein Maurer bescheid weiss, wie man Hüte macht...


Das heisst, ich sollte mich in Zukunft davor hüten, etwas herunterzuladen mit Azureus?

Den Savegame-Editor habe ich nicht mal selbst heruntergeladen... ich sollte meinen Freund wohl auch benachrichtigen...
Wenn der Savegame-Editor gelöscht ist, und Azureus ebenso, sollte mein Problem behoben sein?
oder MUSS ich in jedem Fall mein System neu aufsetzen?
Dass man es in den meisten Fällen muss, habe ich so weit verstanden.
Nur in dem Fall, in dem nichts mehr kommt, hatte ich gedacht, ich muss nicht neu aufsetzen?

Ich habe NFS, Azureus und den Editor gelöscht.

Falls ich neu Aufsetzen MUSS, kann ich meine anderen Partitionen behalten, sprich alle bis auf C: ?