Irgendwas ist Faul bei mir....
 

Hallo,

beim Aufruf einiger Webseiten wurde ich automatisch auf andere unsinnige Seiten weitergeleitet und konnte die eingegebene URL nicht erreichen.

Habe dann heute mittels Hijackthis festgestellt, dass ich eine web\related.htm auf dem Rechner hatte und hier gelesen, dass ich diese entfernen sollte. Dies habe ich gemacht und das Problem war weg.

Inzwischen habe ich den Rechner mehrfach neu gestartet und habe auf einmal das gleiche Problem wieder. IE 6 leitet mich weiter, Firebird sagt, dass er die Domain nicht findet.

Zudem hatte ich das Problem, dass ich nach beenden der Internet-Verbindung die Anfrage bekam, dass eine Applikation eine bestimmte IP-Adresse ansteuer möchte (212.227.126.10 oder 213.165.65.30 oder 66.102.9.104). Nachdem ich die msfw.exe aus dem Ausführen im Autostart ausgeschlossen habe, tritt diese Meldung aber nicht mehr auf. Vielleicht gibt's ja einen Zusammenhang.

Hier mein Hijackthis-Log:

Logfile of HijackThis v1.99.0
Scan saved at 20:16:43, on 09.01.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Launch Manager\QtZgAcer.EXE
C:\Programme\Acer\Notebook Manager\almxptray.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Winamp\Winampa.exe
C:\Programme\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
C:\Programme\ASUS\WLAN Card Utilities\Center.exe
C:\WINDOWS\system32\ASWLSVC.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\ashampoo\Ashampoo UnInstaller 2002-2003\UIWatcher.exe
C:\Programme\Ulead Systems\Ulead PhotoImpact 5\ABMTSR.EXE
C:\Programme\Adobe\Adobe Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\WinSweep\WinSweep.Exe
C:\Programme\WinSweep\WSMonitor.exe
D:\Dokumente\Downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.acer.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = file://C:\Programme\WinSweep\ws.js
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6GFFB3} - C:\Programme\Adobe\Adobe Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206DGFF2484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445GFF61910} - C:\Programme\Adobe\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Radio - {8E718888-423F-11D2-876E-00FGD9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2CFBC93} - C:\Programme\Adobe\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &WINSWEEP Toolbar - {E915E62E-41DA-40D0-8106-3438FGE4394} - C:\Programme\WinSweep\SurfBar.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\Programme\Launch Manager\QtZgAcer.EXE
O4 - HKLM\..\Run: [AcerNotebookManager] C:\Programme\Acer\Notebook Manager\almxptray.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [AdobeVersionCue] C:\Programme\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
O4 - HKLM\..\Run: [Control Center] C:\Programme\ASUS\WLAN Card Utilities\Center.exe
O4 - HKLM\..\Run: [Windows Firewall Manager] REM msfw.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\RunServices: [Windows Firewall Manager] msfw.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [UIWatcher] C:\Programme\ashampoo\Ashampoo UnInstaller 2002-2003\UIWatcher.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Album Fast Start.lnk = C:\Programme\Ulead Systems\Ulead PhotoImpact 5\ABMTSR.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Adobe Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: Edit with &XML Spy - C:\Programme\Altova\XML Spy Suite\spy.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O17 - HKLM\System\CCS\Services\Tcpip\..\{91306127-EE82-4B48-87DC-A73B0613F0B1}: NameServer = 195.50.140.252 145.253.2.81
O17 - HKLM\System\CCS\Services\Tcpip\..\{9535E9D3-994D-4530-8F23-51E427BB3CB0}: NameServer = 11.1.0.138
O17 - HKLM\System\CCS\Services\Tcpip\..\{EBFFF715-382A-40A9-AF5E-6C14341D3667}: NameServer = 192.165.1.1
O23 - Service: Adobe LM Service - Unknown -
O23 - Service: ASWLSVC - Unknown - C:\WINDOWS\system32\ASWLSVC.exe
O23 - Service: avast! iAVS4 Control Service - Unknown - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: EPSON Printer Status Agent2 - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Hat irgendjemand eine Idee wo das Problem/ die Probleme stecken?

Dank und Gruss

Hallo,

fixe mit HiJackThis diese Einträge:

O4 - HKLM\..\Run: [Windows Firewall Manager] REM msfw.exe
O4 - HKLM\..\RunServices: [Windows Firewall Manager] msfw.exe
O23 - Service: Adobe LM Service - Unknown -
O23 - Service: ASWLSVC - Unknown - C:\WINDOWS\system32\ASWLSVC.exe

Überprüfe mal folgende Dateien bei http://virusscan.jotti.org/de
und poste das Ergebnis:
msfw.exe
C:\WINDOWS\system32\ASWLSVC.exe

Hallo,

danke für die schnelle Antwort. Der Link funktioniert leider nicht und bei voranstellen eines www. komme ich auf ein Forum, das den Betrieb eingestellt hat.

Kannst du evtl. diese Seite aufrufen? -> http://www.kaspersky.com/de/scanforvirus

Nach dem fixem mit Hijackthis ist die msfw.exe von meinem System verschwunden.

Auf den Online-Virenscanner bin ich jetzt doch noch gekommen (war vielleicht busy?):

C:\WINDOWS\system32\ASWLSVC.exe war okay, also kein Virus gefunden.

Hast im Windows-Explorer folgende Einstellungen vorgenommen?
Im Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Versteckte Dateien und Ordner-> "alle Dateien und Ordner anzeigen" aktivieren
+
Im Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Dateien und Ordner-> "Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren

Das erste hatte ich aktiviert. Die geschützten System-Dateien lasse ich mir jetzt auch anzeigen, das habe ich deaktiviert.

Auch nach einem Neustart kann ich die msfw.exe nicht mehr finden und habe aber das Problem weiterhin.

Mach mal bitte folgendes:
Scanne dein System mit eScan im abgesicherten Modus (Anleitung genau befolgen!)
und poste was gefunden wird . Am einfachsten machst du das so:
Direkt nach dem Scan, den Inhalt des Fensters "Virus Log Information" kopieren (Strg+A alles markieren; Strg+C kopieren)
und dann in einer Textdatei abspeichern (z.B. mit Wordpad o.ä.). Dazu den Inhalt mit Strg+V in das
Textverarbeitungsprogramm einfügen und das Dokument dann abspeichern. Nach dem Neustart kannst du die Infos aus der Datei
dann einfach ins Forum kopieren.
Ich hab bei der msfw.exe nämlich einen bösen Verdacht...

@ Haui45

Dein Verdacht wird sich bestätigen -> W32 Rbot, aber du hast es ja schon erkannt und ich soeben auch.;)

@Cidre
ich will nur sicher gehen :)

und wir wissen ja alle was das heißt wenn ein rbot (allgemein ein backdoor) auf dem system ist?
-ja richtig. neuinstallation!
beachte auch dass damit eine weiterer befall verhindert werden kann

Verstehe zwar nicht so ganz welcher genaue Befund erwartet wird, aber hier das Ergebnis der ESCAN-Jury. Und um ein komplettes Bild zugeben füge ich hinten noch die Scan-Errors an.

Gescant habe ich die Ordner, die Standardmässig vorgegeben sind und das gesamte Laufwerk C: (das andere ist ein reines Datenlaufwerk).

Bestätigt das Euren Verdacht?


Sun Jan 09 23:28:56 2005 => ***** Scanning complete. *****
Sun Jan 09 23:28:56 2005 => Total Files Scanned: 73016
Sun Jan 09 23:28:56 2005 => Total Virus(es) Found: 0
Sun Jan 09 23:28:56 2005 => Total Disinfected Files: 0
Sun Jan 09 23:28:56 2005 => Total Files Renamed: 0
Sun Jan 09 23:28:56 2005 => Total Deleted Files: 0
Sun Jan 09 23:28:56 2005 => Total Errors: 30
Sun Jan 09 23:28:56 2005 => Time Elapsed: 01:06:25
Sun Jan 09 23:28:56 2005 => Virus Database Date: 2005/01/07
Sun Jan 09 23:28:56 2005 => Virus Database Count: 114833

Sun Jan 09 23:28:56 2005 => Scan Completed.

Folgende Errors sind aufgetreten:

Sun Jan 09 22:22:42 2005 => ERROR!!! Invalid Entry {42071714-76d4-11d1-8b24-00a0c9068ff3} = deskpan.dll. Removing it.

Sun Jan 09 22:47:54 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\AlexaRelated.zip is Not Scanned
Sun Jan 09 22:47:54 2005 => C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\AlexaRelated.zip not Scanned. Possibly password protected...
Sun Jan 09 22:47:54 2005 => Scanning File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit.zip
Sun Jan 09 22:47:54 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit.zip is Not Scanned
Sun Jan 09 22:47:54 2005 => C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit.zip not Scanned. Possibly password protected...
Sun Jan 09 22:47:54 2005 => Scanning File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit1.zip
Sun Jan 09 22:47:54 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit1.zip is Not Scanned
Sun Jan 09 22:47:54 2005 => C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit1.zip not Scanned. Possibly password protected...
Sun Jan 09 22:47:54 2005 => Scanning File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit2.zip
Sun Jan 09 22:47:54 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit2.zip is Not Scanned
Sun Jan 09 22:47:54 2005 => C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit2.zip not Scanned. Possibly password protected...
Sun Jan 09 22:47:54 2005 => Scanning File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit3.zip
Sun Jan 09 22:47:54 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit3.zip is Not Scanned
Sun Jan 09 22:47:54 2005 => C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit3.zip not Scanned. Possibly password protected...
Sun Jan 09 22:47:54 2005 => Scanning File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit4.zip
Sun Jan 09 22:47:54 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit4.zip is Not Scanned
Sun Jan 09 22:47:54 2005 => C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit4.zip not Scanned. Possibly password protected...

UND AB HIER KOMMEN NOCH VIELE GLEICHE MELDUNGEN FÜR DEN SPYBOT, DIE ICH ABER WEGEN DER LÄNGE AUSLASSE.... IST IMMER DIE GLEICHE MELDUNG FÜR ÄHNLICHE DATEIEN IM GLEICHEN PFAD.


Sun Jan 09 22:47:55 2005 => Scanning File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit19.zip
Sun Jan 09 22:47:55 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit19.zip is Not Scanned
Sun Jan 09 22:47:55 2005 => C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit19.zip not Scanned. Possibly password protected...

un Jan 09 22:48:10 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\«Ó¡¦: Scanning Failure!!!
Sun Jan 09 22:48:10 2005 => ERROR!!! ScanFile fails for C:\Dokumente und Einstellungen\All Users\«Ó¡¦
Sun Jan 09 22:48:10 2005 => Scanning File C:\Dokumente und Einstellungen\All Users\Î++µ
Sun Jan 09 22:48:10 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Î++µ: Scanning Failure!!!
Sun Jan 09 22:48:10 2005 => ERROR!!! ScanFile fails for C:\Dokumente und Einstellungen\All Users\Î++µ

Sun Jan 09 22:48:11 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\¦++- +¡©Ú: Scanning Failure!!!
Sun Jan 09 22:48:11 2005 => ERROR!!! ScanFile fails for C:\Dokumente und Einstellungen\All Users\¦++- +¡©Ú

Sun Jan 09 23:28:50 2005 => Result: ERROR!!! File C:\pagefile.sys: Scanning Failure!!!
Sun Jan 09 23:28:50 2005 => ERROR!!! ScanFile fails for C:\pagefile.sys