Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: von Schädling befallen?

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 04.08.2009, 20:02   #1
distortion
 
von Schädling befallen? - Standard

von Schädling befallen?



Hallo liebe Leute,

vermute mal ich bewirte einen Schädling,allerdings ist die ganze Sache etwas eigenartig.
Manchmal, etwa alle paar Stunden(immer dann wenn ich nicht am PC sitze) ertönt der Warnton von Antivir XP aus dem Rechner. Dann renne ich schnell zum PC, die Virenwarnung wird angezeigt aber sie verschwindet automatisch jedes mal so schnell, dass ich nicht lesen kann worum es geht.

Habe mit nur nem halben Auge aufgefangen, dass es sich jedes mal um eine infizierte Datei mit .dll Endung im Verzeichnis "System Volume Information" handelt.

Ein Virenscan über die gesamten Bootsektoren / Platten / Sytemverzeichnis zeigt kein Ergebnis - kein Schädling.

Rechnerkunfiguration:

Win XP SP2
Kerio Personal Firewall
Motorola DSL Router
Spybot
Avira Antivir 9 (kostenlose Version)

Kann jemand was zu diesem merkwürdigem Verhalten sagen ?

hier die logfile:

Zitat:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:57:44, on 04.08.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
I:\Spybot - Search & Destroy\TeaTimer.exe
I:\CDBurnerXP\NMSAccessU.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
I:\Kerio\SbPFLnch.exe
I:\Kerio\SbPFSvc.exe
C:\WINDOWS\system32\svchost.exe
I:\Kerio\SbPFCl.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
I:\QIP8080\qip.exe
I:\Firefox\firefox.exe
I:\Trend Micro\HijackThis\HijackThis.exe

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: D - {354F7AC6-83E5-3FAD-8919-2D0A6ACA14C0} - C:\WINDOWS\system32\xwr85664.dll (file missing)
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - I:\BitComet\tools\BitCometBHO_1.3.1.15.dll
O2 - BHO: WebSpeechBHO Class - {83A30C59-3A50-49E6-9DAF-4923C4EA3C23} - C:\Programme\Gemeinsame Dateien\WebSpeech.4.0\LgxIEBar.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [EPSON Stylus C66 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE /P23 "EPSON Stylus C66 Series" /O6 "USB005" /M "Stylus C66"
O4 - HKLM\..\Run: [CmPCIaudio] RunDll32 cmicnfg3.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [SpybotSD TeaTimer] I:\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Alles mit BitComet herunterladen - res://I:\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Alle &Videos mit BitComet herunterladen - res://I:\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: Mit BitComet herunter&laden - res://I:\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://I:\OFFICE~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://I:\OFFICE~2\Office12\EXCEL.EXE/3000
O9 - Extra button: WebSpeech - {1CE4DE72-7FCC-4eb8-8F66-AE6A56A0A54D} - C:\Programme\Gemeinsame Dateien\WebSpeech.4.0\LgxIEBar.dll
O9 - Extra 'Tools' menuitem: Seite/Markierung vorlesen (WebSpeech) - {1CE4DE72-7FCC-4eb8-8F66-AE6A56A0A54D} - C:\Programme\Gemeinsame Dateien\WebSpeech.4.0\LgxIEBar.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - I:\OFFICE~2\Office12\REFIEBAR.DLL
O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://I:\BitComet\tools\BitCometBHO_1.3.1.15.dll/206 (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - I:\ICQ6\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - I:\ICQ6\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NMSAccessU - Unknown owner - I:\CDBurnerXP\NMSAccessU.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SbPF.Launcher - Sunbelt Software, Inc. - I:\Kerio\SbPFLnch.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software, Inc. - I:\Kerio\SbPFSvc.exe

--
End of file - 5822 bytes
LG distortion

Alt 05.08.2009, 23:51   #2
kira
/// Helfer-Team
 
von Schädling befallen? - Standard

von Schädling befallen?



Hallo und Herzlich Willkommen!

- Die Anweisungen bitte gründlich lesen und immer streng einhalten, da ich die Reihenfolge nach bestimmten Kriterien vorbereitet habe:

1.
ich brauche mehr `Übersicht` bzw Daten über einen längeren Zeitraum - dazu bitte Versteckte - und Systemdateien sichtbar machen::
→ Klicke unter Start auf Arbeitsplatz.
→ Klicke im Menü Extras auf Ordneroptionen.
→ Dateien und Ordner/Erweiterungen bei bekannten Dateitypen ausblenden → Haken entfernen
→ Geschützte und Systemdateien ausblenden → Haken entfernen
→ Versteckte Dateien und Ordner/Alle Dateien und Ordner anzeigen → Haken setzen.
→ Bei "Geschützte Systemdateien ausblenden" darf kein Häkchen sein und "Alle Dateien und Ordner anzeigen" muss aktiviert sein.

2.
Für XP und Win2000 (ansonsten auslassen)
→ lade Dir das filelist.zip auf deinen Desktop herunter
→ entpacke die Zip-Datei auf deinen Desktop
→ starte nun mit einem Doppelklick auf die Datei "filelist.bat" - Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
→ kopiere aus die erzeugten Logfile alle 7 Verzeichnisse ("C\...") usw - aber nur die Einträge der letzten 6 Monate - hier in deinem Thread
** vor jedem Eintrag steht ein Datum, also Einträge, die älter als 6 Monate sind bitte herauslöschen!

3.
Ich würde gerne noch all deine installierten Programme sehen:
Lade dir das Tool CCleaner herunter
installieren ("Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ unter Options settings-> "german" einstellen
dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

4.
- Falls noch die Datei existiert, kann sein Avira in Quarantäne verschoben hat? Einfach mal nachsehen
→ besuche die Seite von virustotal und die Dateien aus Codebox bitte prüfen lassen - inklusive Dateigröße und Name, MD5 und SHA1 auch mitkopieren:
Code:
ATTFilter
C:\WINDOWS\system32\xwr85664.dll 
         
→ Klicke auf "Durchsuchen"
→ Suche die Datei auf deinem Rechner→ Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
→ "Senden der Datei" und Warte, bis der Scandurchlauf aller Virenscanner beendet ist
→ das Ergebnis wie Du es bekommst da reinkoperen (inklusive Dateigröße und Name, MD5 und SHA1):

Damit dein Thread übersichtlicher und schön lesbar bleibt, am besten nutze den Code-Tags für deinen Post:
→ vor dein log schreibst du:[code]
hier kommt dein logfile rein
→ dahinter:[/code]


gruß
Coverflow
__________________


Antwort

Themen zu von Schädling befallen?
adobe, antivir, antivir guard, bho, cdburnerxp, desktop, dsl, excel, explorer, firefox, hijack, hijackthis, hkus\s-1-5-18, infizierte, infizierte datei, internet, internet explorer, logfile, rundll, scan, schädling, server, software, system, usb, warnung, windows, windows xp



Ähnliche Themen: von Schädling befallen?


  1. Evtl Schädling auf PC
    Plagegeister aller Art und deren Bekämpfung - 18.06.2014 (18)
  2. Unbekannter Schädling
    Plagegeister aller Art und deren Bekämpfung - 09.08.2013 (23)
  3. Schädling via E-Mail in Online-Speicher geladen und geöffnet. Online-Speicher auch befallen?
    Plagegeister aller Art und deren Bekämpfung - 14.07.2013 (5)
  4. Schädling auf SSD / komplett löschen - neuaufsetzen von Win7 ohne erfolg / MBR NICHT befallen
    Plagegeister aller Art und deren Bekämpfung - 04.04.2013 (1)
  5. Tastatur-Schädling
    Plagegeister aller Art und deren Bekämpfung - 26.04.2011 (1)
  6. unbekannter schädling
    Plagegeister aller Art und deren Bekämpfung - 18.08.2009 (30)
  7. hartnäckiger Schädling
    Plagegeister aller Art und deren Bekämpfung - 22.06.2009 (1)
  8. Hilfe schädling
    Plagegeister aller Art und deren Bekämpfung - 22.03.2009 (2)
  9. Spam-Schädling
    Plagegeister aller Art und deren Bekämpfung - 13.01.2009 (1)
  10. Toolbar-Schädling?!
    Log-Analyse und Auswertung - 18.12.2008 (0)
  11. Unbekannter Schädling?
    Plagegeister aller Art und deren Bekämpfung - 02.12.2008 (6)
  12. evt. Schädling
    Mülltonne - 28.10.2007 (1)
  13. Schädling eingefangen?
    Log-Analyse und Auswertung - 24.09.2007 (3)
  14. Verdacht auf Schädling
    Log-Analyse und Auswertung - 29.08.2007 (1)
  15. Unbekannter Schädling
    Plagegeister aller Art und deren Bekämpfung - 24.04.2005 (7)
  16. Internetrauswurf -Schädling??-
    Plagegeister aller Art und deren Bekämpfung - 08.03.2005 (11)
  17. Schädling oder nicht Schädling ?!?
    Plagegeister aller Art und deren Bekämpfung - 07.05.2004 (0)

Zum Thema von Schädling befallen? - Hallo liebe Leute, vermute mal ich bewirte einen Schädling,allerdings ist die ganze Sache etwas eigenartig. Manchmal, etwa alle paar Stunden(immer dann wenn ich nicht am PC sitze) ertönt der Warnton - von Schädling befallen?...
Archiv
Du betrachtest: von Schädling befallen? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.