Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: services.exe öffnet dutzende TCP-Verbindungen - Hijack Log

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML.

 
Alt 29.08.2010, 15:15   #1
Diclofenac
 
services.exe öffnet dutzende TCP-Verbindungen - Hijack Log - Standard

services.exe öffnet dutzende TCP-Verbindungen - Hijack Log



Hallo,

ich hab mir irgendwas eingefangen...die Datei services.exe öffnet dutzende TCP-Verbindungen, und blockiert so das gesamte Netzwerk

Google brachte mir Hinweise auf diverse Würmer/Malware - ich hab den Rechner nun mit

- Avira
- Norton Antivirus
- Panda
- MWAV

gescannt, ohne nennenswerten Erfolg. Avira, Norton und Panda fanden überhaupt nichts. Ja, ich habe alle Dateien und Laufwerke durchsuchen lassen.

MWAV fand laut Log das folgende:


29 Aug 2010 13:16:39 - Vom Benutzer gewählte Optionen:
29 Aug 2010 13:16:39 - Speicherüberprüfung: Aktiviert
29 Aug 2010 13:16:39 - Überprüfung der Registrierungsdatenbank: Aktiviert
29 Aug 2010 13:16:39 - Überprüfung des Startordners: Aktiviert
29 Aug 2010 13:16:39 - Überprüfung des Systemordners: Aktiviert
29 Aug 2010 13:16:39 - Überprüfung der Dienste: Aktiviert
29 Aug 2010 13:16:39 - Scannen Spyware: Aktiviert
29 Aug 2010 13:16:39 - Option "Überprüfung der Laufwerke" deaktiviert
29 Aug 2010 13:16:39 - Überprüfung der Ordner: Deaktiviert
29 Aug 2010 13:16:39 - SCAN: All_Files
29 Aug 2010 13:16:39 - MWAV Mode: Scan and Clean files (for viruses, adware and spyware)


29 Aug 2010 13:16:39 - ***** Speicherdateien werden gescannt *****

29 Aug 2010 13:16:54 - ***** Dateien der Registrierungsdatenbank werden gescannt *****
29 Aug 2010 13:16:58 - ERROR(3)!!! Invalid Entry StubPath = C:\WINXP\system32\WinDir\svchost.exe (in key HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{3U54D0HK-76GN-UB16-7117-XR2M8877K84J}). Action Taken: Removing it.
29 Aug 2010 13:16:58 - ERROR(3)!!! Invalid Entry Policies = C:\WINXP\system32\WinDir\svchost.exe (in key HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run). Action Taken: Removing it.
29 Aug 2010 13:16:58 - ERROR(3)!!! Invalid Entry Policies = C:\WINXP\system32\WinDir\svchost.exe (in key HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run). Action Taken: Removing it.

29 Aug 2010 13:16:59 - ***** Startordner werden gescannt *****

29 Aug 2010 13:17:31 - ***** Dateien bezüglich Dienste werden gescannt *****
29 Aug 2010 13:17:34 - C:\WINXP\system32\Drivers\sptd.sys konnte nicht gescannt werden, da sie möglicherweise durch Passwort geschützt ist...

29 Aug 2010 13:17:35 - ***** Registrierungsdatenbank und Dateisystem werden auf Schnüffelprogramme (Spyware) und werbefinanzierte Software (Adware) geprüft *****
29 Aug 2010 13:17:36 - Signaturen der Spionageprogramme werden aus einer neuen auswärtigen Datenbank geladen [Name: C:\DOKUME~1\DRF704~1.MOR\LOKALE~1\Temp\spydb.avs, Größe: 950519]...
29 Aug 2010 13:17:36 - Indexed Spyware Databases Successfully Created...

29 Aug 2010 13:18:04 - Offending file found: C:\Dokumente und Einstellungen\Dr. Moriarty\Desktop\Virus Removal Tool1\unins000.exe
29 Aug 2010 13:18:04 - System found infected with User Account Control (Fake) Spyware/Adware (unins000.exe)! Action taken: Datei gelöscht.
29 Aug 2010 13:18:04 - Objekt "User Account Control (Fake) Spyware/Adware" im Dateisystem gefunden! Maßnahme ergriffen: Datei gelöscht.

29 Aug 2010 13:18:04 - Offending file found: C:\Dokumente und Einstellungen\Dr. Moriarty\Lokale Einstellungen\Temp\nsh45.tmp\Banner.dll
29 Aug 2010 13:18:04 - System found infected with ABetterInternet Spyware/Adware (Banner.dll)! Action taken: Datei gelöscht.
29 Aug 2010 13:18:04 - Objekt "ABetterInternet Spyware/Adware" im Dateisystem gefunden! Maßnahme ergriffen: Datei gelöscht.

29 Aug 2010 13:18:05 - Offending file found: C:\Dokumente und Einstellungen\Dr. Moriarty\Lokale Einstellungen\Temp\nsh45.tmp\InstallOptions.dll
29 Aug 2010 13:18:05 - System found infected with Uplink Adware (InstallOptions.dll)! Action taken: Datei gelöscht.
29 Aug 2010 13:18:05 - Objekt "Uplink Adware" im Dateisystem gefunden! Maßnahme ergriffen: Datei gelöscht.

29 Aug 2010 13:18:05 - Offending file found: C:\Dokumente und Einstellungen\Dr. Moriarty\Lokale Einstellungen\Temp\nsh45.tmp\KillProcDLL.dll
29 Aug 2010 13:18:05 - System found infected with Uplink Adware (KillProcDLL.dll)! Action taken: Datei gelöscht.
29 Aug 2010 13:18:05 - Objekt "Uplink Adware" im Dateisystem gefunden! Maßnahme ergriffen: Datei gelöscht.

29 Aug 2010 13:18:06 - Offending file found: C:\Dokumente und Einstellungen\Dr. Moriarty\Lokale Einstellungen\Temp\nsh45.tmp\services.dll
29 Aug 2010 13:18:06 - System found infected with AntiSpyware Pro XP Corrupted Adware/Spyware (services.dll)! Action taken: Datei gelöscht.
29 Aug 2010 13:18:06 - Objekt "AntiSpyware Pro XP Corrupted Adware/Spyware" im Dateisystem gefunden! Maßnahme ergriffen: Datei gelöscht.

29 Aug 2010 13:18:06 - Offending Registry Entry found: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network/UID
29 Aug 2010 13:18:06 - System found infected with combo Spyware/Adware (HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network/UID)! Action taken: Einträge entfernt.
29 Aug 2010 13:18:07 - Offending Registry Entry found: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
29 Aug 2010 13:18:07 - System found infected with Orifice2K.plugin Trojan (HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run)! Action taken: Einträge entfernt.
29 Aug 2010 13:18:07 - Objekt "Orifice2K.plugin Trojan" im Dateisystem gefunden! Maßnahme ergriffen: Einträge entfernt.


29 Aug 2010 13:18:07 - ***** Dateien der Registrierungsdatenbank werden gescannt *****
29 Aug 2010 13:18:07 - Clearing Temporary sub-folders as Spyware/Adware found in system...
29 Aug 2010 13:18:08 - Few files will be deleted *ONLY* on reboot...
29 Aug 2010 13:18:08 - ** Value in HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\main/Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
29 Aug 2010 13:18:08 - ** Value in HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\main/Start Page = about:blank

29 Aug 2010 13:18:08 - ***** System32-Ordner werden gescannt *****

29 Aug 2010 13:19:06 - ScanFile took 6.94 Secs [C:\Dokumente und Einstellungen\Dr. Moriarty\Lokale Einstellungen\Temp\kl-install-2010-08-20-22-46-51.log]...

29 Aug 2010 13:19:14 - ScanFile took 7.23 Secs [C:\Dokumente und Einstellungen\Dr. Moriarty\Lokale Einstellungen\Temp\Microsoft .NET Framework 2.0-KB979909_20100828_105133984-Msi0.txt]...


29 Aug 2010 13:19:21 - *****Auf bestimmte ITW-Viren wird geprüft *****

29 Aug 2010 13:19:21 - ***** Scannen abgeschlossen *****

29 Aug 2010 13:19:21 - Zahl der gescannten Objekte: 67981
29 Aug 2010 13:19:21 - Zahl der kritischen Objekte: 6
29 Aug 2010 13:19:21 - Zahl der desinfizierten Objekte: 0
29 Aug 2010 13:19:21 - Zahl der umbenannten Objekte: 0
29 Aug 2010 13:19:21 - Zahl der gelöschten Objekte: 6
29 Aug 2010 13:19:21 - Gesamtzahl der Fehler: 3
29 Aug 2010 13:19:21 - Zeit verstrichen: 00:02:41
29 Aug 2010 13:19:21 - Virendatenbankdatum: 29 Aug 2010
29 Aug 2010 13:19:21 - Virendatenbankzähler: 6290554

29 Aug 2010 13:19:21 - Scannen abgeschlossen.

Nun ein Hijackthis, hier kommt das Resultat:
HiJackthis Logfile:
Code:
ATTFilter
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 16:09:56, on 29.08.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
 
Running processes:
C:\WINXP\System32\smss.exe
C:\WINXP\system32\winlogon.exe
C:\WINXP\system32\services.exe
C:\WINXP\system32\lsass.exe
C:\WINXP\system32\Ati2evxx.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINXP\system32\Ati2evxx.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\Programme\Java\jre6\bin\jqs.exe
d:\ElsaWin\bin\LcSvrAdm.exe
d:\ElsaWin\bin\LcSvrDba.exe
d:\ElsaWin\bin\LcSvrHis.exe
d:\ElsaWin\bin\LcSvrPas.exe
d:\ElsaWin\bin\LcSvrSaz.exe
d:\ElsaWin\bin\VSgate.exe
C:\WINXP\Explorer.EXE
C:\WINXP\RTHDCPL.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Programme\DYMO\DYMO Label Software\DLSService.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINXP\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
d:\ElsaWin\bin\LcSvrAuf.exe
C:\Programme\OpenOffice.org 3\program\soffice.exe
C:\Programme\OpenOffice.org 3\program\soffice.bin
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\DOKUME~1\DRF704~1.MOR\LOKALE~1\Temp\mexe.com
C:\WINXP\System32\svchost.exe
C:\WINXP\System32\svchost.exe
c:\programme\avira\antivir desktop\avscan.exe
C:\WINXP\system32\dllhost.exe
C:\WINXP\system32\dllhost.exe
C:\WINXP\System32\vssvc.exe
C:\Programme\Trend Micro\HiJackThis\HiJackThis.exe
 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [DLSService] "C:\Programme\DYMO\DYMO Label Software\DLSService.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINXP\system32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: msnmsngr.ink.lnk = C:\Dokumente und Einstellungen\Dr. Moriarty\Lokale Einstellungen\Temp\DokterWatson.exe
O4 - Startup: OpenOffice.org 3.2.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe
O8 - Extra context menu item: Free YouTube to Mp3 Converter - C:\Dokumente und Einstellungen\Dr. Moriarty\Anwendungsdaten\DVDVideoSoftIEHelpers\youtubetomp3.htm
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O18 - Protocol: vw-wi - {0F3C833F-FB28-40EA-8CB9-6A55B996C3F6} - d:\ElsaWin\bin\wiProt.dll
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINXP\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINXP\system32\browseui.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINXP\system32\Ati2evxx.exe
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: ELSA Administration Service (LcSvrAdm) - Volkswagen AG - d:\ElsaWin\bin\LcSvrAdm.exe
O23 - Service: ELSA Auftragsverwaltungs Service (LcSvrAuf) - Volkswagen AG - d:\ElsaWin\bin\LcSvrAuf.exe
O23 - Service: ELSA DBA Server (LcSvrDba) - Volkswagen AG - d:\ElsaWin\bin\LcSvrDba.exe
O23 - Service: ELSA Historie Server (LcSvrHis) - Volkswagen AG - d:\ElsaWin\bin\LcSvrHis.exe
O23 - Service: ELSA PASS Server (LcSvrPAS) - Volkswagen AG - d:\ElsaWin\bin\LcSvrPas.exe
O23 - Service: ELSA APOSpro Server (LcSvrSaz) - Volkswagen AG - d:\ElsaWin\bin\LcSvrSaz.exe
O23 - Service: ELSA Vaudis Service (VSGate) - Volkswagen AG - d:\ElsaWin\bin\VSgate.exe
 
--
End of file - 6893 bytes
         
--- --- ---

Die Onlineauswertung zeigte mir spontan nichts wirklich eindeutiges, den Ordner C:\Windows gibts bei mir nicht, er heißt tatsächlich C:\WINXP.


Hat jemand eine Idee, wie ich diesen Plagegeist loswerde?

Internetnutzung ist faktisch unmöglich, nach 30sek. ist das Netzwerk vollkommen überlastet

Soeben lief "eScan" fertig durch, ebenfalls 0 Ergebnisse

 

Themen zu services.exe öffnet dutzende TCP-Verbindungen - Hijack Log
adobe, adware, antispyware, antivir guard, bho, blockiert, components, converter, dateisystem, desktop, einstellungen, error, fehler, hijack, hijackthis, internet explorer, maßnahme, mp3, netzwerk, plug-in, registrierungsdatenbank, registry, server, services.exe, software, sptd.sys, spyware, svchost.exe, trojan, windows, windows xp




Ähnliche Themen: services.exe öffnet dutzende TCP-Verbindungen - Hijack Log


  1. Dutzende Werbe pop-ups im Browser
    Plagegeister aller Art und deren Bekämpfung - 02.01.2015 (11)
  2. Alter laptop Windows vista sp2 32bit: (vermutlich)virus blockt Windows services und einige Internet verbindungen
    Log-Analyse und Auswertung - 04.11.2014 (3)
  3. Täglich dutzende Spam-Mails (Mailer-Daemon etc.), jetzt Account gesperrt, 40 Infizierungen auf PC
    Plagegeister aller Art und deren Bekämpfung - 14.05.2014 (17)
  4. Auswertung HIJACK - IE Öffnet Werbung beim Surfen
    Log-Analyse und Auswertung - 09.10.2013 (11)
  5. immer wieder Trojaner, Browser öffnet Werbung, Generic Host Process for W32 Services-Fehlermeldung
    Plagegeister aller Art und deren Bekämpfung - 19.01.2011 (7)
  6. Firefox öffnet automatisch Tabs / Generic Host Process for W32 Services Fehlermeldung
    Plagegeister aller Art und deren Bekämpfung - 02.10.2010 (19)
  7. Internet Explorer öffnet sich selbstständig - HiJack-Log
    Log-Analyse und Auswertung - 17.06.2010 (8)
  8. HiJack Log überprüfen? IE öffnet selbstständig
    Mülltonne - 29.04.2010 (16)
  9. Firefox öffnet Werbung (HiJack keine Ergebnisse)
    Log-Analyse und Auswertung - 04.02.2010 (19)
  10. Services.exe - Prozess offnet Verbindungen zum Port 80 und Port 25, Trojan?
    Log-Analyse und Auswertung - 27.12.2009 (6)
  11. Tab öffnet sich + Spreader (HiJack Log)
    Log-Analyse und Auswertung - 27.09.2009 (3)
  12. PC öffnet Programme sehr langsam - Bitte um HiJack-Log Auswertung
    Log-Analyse und Auswertung - 08.02.2009 (12)
  13. HiJack-Problem... die falsche Internetseite öffnet sich
    Log-Analyse und Auswertung - 07.07.2008 (7)
  14. Services.Exe macht Smtp Verbindungen auf und legt alles lahm.
    Log-Analyse und Auswertung - 14.12.2007 (3)
  15. Firefox öffnet eigenständig, services.exe hat verursacht hohe Auslastung
    Log-Analyse und Auswertung - 16.10.2007 (1)
  16. rechner öffnet beim booten verbindungen, alle ports, hijack this und firewall-log enc
    Log-Analyse und Auswertung - 01.10.2006 (13)
  17. Kein Programm öffnet mehr!!! + Hijack LOG
    Log-Analyse und Auswertung - 14.09.2006 (5)

Zum Thema services.exe öffnet dutzende TCP-Verbindungen - Hijack Log - Hallo, ich hab mir irgendwas eingefangen...die Datei services.exe öffnet dutzende TCP-Verbindungen, und blockiert so das gesamte Netzwerk Google brachte mir Hinweise auf diverse Würmer/Malware - ich hab den Rechner nun - services.exe öffnet dutzende TCP-Verbindungen - Hijack Log...
Archiv
Du betrachtest: services.exe öffnet dutzende TCP-Verbindungen - Hijack Log auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.