Trojaner-Board - GVU-Trojaner auch im abgesicherten Modus / WinXP

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - GVU-Trojaner auch im abgesicherten Modus / WinXP (https://www.trojaner-board.de/131715-gvu-trojaner-abgesicherten-modus-winxp.html)

Dann müssen wir nochmal mit FSS kontrollieren:

Scan mit Farbar's Service Scanner

Downloade dir bitte Farbar's Service Scanner
Starte das Tool mit Doppelklick auf die FSS.exe

Gehe sicher, dass folgende Optionen angehakt sind.
Internet Services

Windows Firewall

System Restore

Security Center/Action Center

Windows Update

Windows Defender

Other Services

Klicke auf Scan.

Wenn das Tool fertig ist, wird es eine FSS.txt in dem Verzeichnis erstellen, wo das Tool gelaufen ist.

Poste bitte den Inhalt hier.

hier der Log:

Code:

Farbar Service Scanner Version: 20-02-2013

Ran by Schwein88 (administrator) on 03-03-2013 at 22:38:41

Running from "C:\Dokumente und Einstellungen\Schwein88\Desktop"

Microsoft Windows XP Service Pack 3 (X86)

Boot Mode: Normal

****************************************************************
 

Internet Services:

============
 

Connection Status:

==============

Localhost is accessible.

There is no connection to network.

Attempt to access Google IP returned error. Google IP is unreachable

Attempt to access Google.com returned error: Other errors

Attempt to access Yahoo IP returned error. Yahoo IP is unreachable

Attempt to access Yahoo.com returned error: Other errors
 
 

Windows Firewall:

=============
 

Firewall Disabled Policy: 

==================

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]

"EnableFirewall"=DWORD:0
 
 

System Restore:

============
 

System Restore Disabled Policy: 

========================
 
 

Security Center:

============
 

Windows Update:

============
 

Windows Autoupdate Disabled Policy: 

============================
 
 

File Check:

========

C:\WINDOWS\system32\dhcpcsvc.dll

[2006-09-18 12:34] - [2008-04-14 07:52] - 0127488 ____A (Microsoft Corporation) C29A1C9B75BA38FA37F8C44405DEC360
 

C:\WINDOWS\system32\Drivers\afd.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\netbt.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\tcpip.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\ipsec.sys => MD5 is legit

C:\WINDOWS\system32\dnsrslvr.dll

[2004-08-03 23:57] - [2008-04-14 07:52] - 0045568 ____A (Microsoft Corporation) 8C9ED3B2834AAE63081AB2DA831C6FE9
 

C:\WINDOWS\system32\ipnathlp.dll

[2004-08-03 23:57] - [2008-04-14 07:52] - 0334336 ____A (Microsoft Corporation) CAD058D5F8B889A87CA3EB3CF624DCEF
 

C:\WINDOWS\system32\netman.dll

[2006-09-18 12:35] - [2008-04-14 07:52] - 0198144 ____A (Microsoft Corporation) E6D88F1F6745BF00B57E7855A2AB696C
 

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2007-08-19 16:48] - [2008-04-14 07:52] - 0145408 ____A (Microsoft Corporation) 6F3F3973D97714CC5F906A19FE883729
 

C:\WINDOWS\system32\srsvc.dll

[2007-08-19 16:50] - [2008-04-14 07:52] - 0171520 ____A (Microsoft Corporation) FE77A85495065F3AD59C5C65B6C54182
 

C:\WINDOWS\system32\Drivers\sr.sys

[2007-08-19 16:50] - [2008-04-14 07:32] - 0073472 ____A (Microsoft Corporation) 50FA898F8C032796D3B1B9951BB5A90F
 

C:\WINDOWS\system32\wscsvc.dll

[2004-08-03 23:57] - [2008-04-14 07:52] - 0080896 ____A (Microsoft Corporation) 300B3E84FAF1A5C1F791C159BA28035D
 

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2007-08-19 16:48] - [2008-04-14 07:52] - 0145408 ____A (Microsoft Corporation) 6F3F3973D97714CC5F906A19FE883729
 

C:\WINDOWS\system32\wuauserv.dll

[2007-08-19 16:50] - [2008-04-14 07:52] - 0006656 ____A (Microsoft Corporation) 7B4FE05202AA6BF9F4DFD0E6A0D8A085
 

C:\WINDOWS\system32\qmgr.dll

[2007-08-19 16:50] - [2008-04-14 07:52] - 0409088 ____A (Microsoft Corporation) D6F603772A789BB3228F310D650B8BD1
 

C:\WINDOWS\system32\es.dll

[2006-09-18 12:34] - [2008-04-14 07:52] - 0246272 ____A (Microsoft Corporation) 0F3EDAEE1EF97CF3DB2BE23A7289B78C
 

C:\WINDOWS\system32\cryptsvc.dll

[2004-08-03 23:57] - [2008-04-14 07:52] - 0062464 ____A (Microsoft Corporation) 611F824E5C703A5A899F84C5F1699E4D
 

C:\WINDOWS\system32\svchost.exe

[2004-08-03 23:58] - [2008-04-14 07:53] - 0014336 ____A (Microsoft Corporation) 4FBC75B74479C7A6F829E0CA19DF3366
 

C:\WINDOWS\system32\rpcss.dll

[2006-09-18 12:35] - [2008-04-14 07:52] - 0399360 ____A (Microsoft Corporation) E970C2296916BF4A2F958680016FE312
 

C:\WINDOWS\system32\services.exe

[2004-08-03 23:58] - [2008-04-14 07:53] - 0109056 ____A (Microsoft Corporation) 4BB6A83640F1D1792AD21CE767B621C6
 
 

Extra List:

=======

aswTdi(268435456) Gpc(4) IPSec(6) irda(3) NetBT(7) PSched(8) Tcpip(5) 

0x09000000060000000100000002000000030000000400000005000000000000100700000008000000

IpSec Tag value is correct.
 

**** End of log ****

Ich hab da so ein Verdacht, das evt. Avast Schuld an Allem ist.
Seit ich Avast wieder angeschalten habe, reagiert auch Alles extrem langsam.

Ja das passiert manchmal in seltenen Fällen, dass sich der Virenschutz nicht mit dem System verträgt.

Deinstalliere mal ob es das Problem behebt.

Hab mal Avast deinstalliert und bin nach dem Neustart des Rechners direkt auf die Seite von Avast gegangen und dann war auch wieder Schluß mit der Verbindung.:heulen:

Na dann ist es das wohl eher nicht.

Downloade dir bitte Farbar's MiniToolBox auf deinen Desktop und starte das Tool

Setze einen Haken bei folgenden Einträgen

Flush DNS
Report IE Proxy Settings
Reset IE Proxy Settings
Report FF Proxy Settings
Reset IE Proxy Settings
List content of Hosts
List IP configuration
List Winsock Entries
List last 10 Event Viewer log

Klicke Go und poste den Inhalt der Result.txt.

Wir machen dann Dienstag weiter.

hier der Log:

Code:

MiniToolBox by Farbar  Version:01-03-2013

Ran by Schwein88 (administrator) on 03-03-2013 at 23:07:21

Running from "C:\Dokumente und Einstellungen\Schwein88\Desktop"

Microsoft Windows XP Service Pack 3 (X86)

Boot Mode: Normal

***************************************************************************
 

========================= Flush DNS: ===================================
 
 

Windows-IP-Konfiguration
 
 
 

Der DNS-Auflösungscache wurde geleert.
 
 

========================= IE Proxy Settings: ============================== 
 

Proxy is not enabled.

No Proxy Server is set.
 

"Reset IE Proxy Settings": IE Proxy Settings were reset.

========================= Hosts content: =================================
 

127.0.0.1       localhost
 

========================= IP Configuration: ================================
 

SiS 900-Based PCI Fast Ethernet Adapter = LAN-Verbindung (Connected)
 
 

# ---------------------------------- 

# Schnittstellen-IP-Konfiguration

# ---------------------------------- 

pushd interface ip
 
 

# Schnittstellen-IP-Konfiguration fr ""LAN-Verbindung""
 

set address name="LAN-Verbindung" source=dhcp 

set dns name="LAN-Verbindung" source=dhcp register=PRIMARY

set wins name="LAN-Verbindung" source=dhcp
 
 

popd

# Ende der Schnittstellen-IP-Konfiguration
 
 
 
 

Windows-IP-Konfiguration
 
 
 

        Hostname. . . . . . . . . . . . . : schweinebacke
 

        Primäres DNS-Suffix . . . . . . . : 
 

        Knotentyp . . . . . . . . . . . . : Unbekannt
 

        IP-Routing aktiviert. . . . . . . : Nein
 

        WINS-Proxy aktiviert. . . . . . . : Nein
 
 
 

Ethernetadapter LAN-Verbindung:
 
 
 

        Verbindungsspezifisches DNS-Suffix: 
 

        Beschreibung. . . . . . . . . . . : SiS 900-Based PCI Fast Ethernet Adapter
 

        Physikalische Adresse . . . . . . : 00-19-66-95-0E-4D
 

        DHCP aktiviert. . . . . . . . . . : Ja
 

        Autokonfiguration aktiviert . . . : Ja
 

        IP-Adresse (Autokonfig.). . . . . : 169.254.224.89
 

        Subnetzmaske. . . . . . . . . . . : 255.255.0.0
 

        Standardgateway . . . . . . . . . : 
 

Server:  UnKnown

Address:  127.0.0.1
 

Ping-Anforderung konnte Host "google.com" nicht finden. šberprfen Sie den Namen, und versuchen Sie es erneut.
 

Server:  UnKnown

Address:  127.0.0.1
 

Ping-Anforderung konnte Host "yahoo.com" nicht finden. šberprfen Sie den Namen, und versuchen Sie es erneut.
 
 
 

Ping wird ausgefhrt fr 127.0.0.1 mit 32 Bytes Daten:
 
 
 

Antwort von 127.0.0.1: Bytes=32 Zeit<1ms TTL=128
 

Antwort von 127.0.0.1: Bytes=32 Zeit<1ms TTL=128
 
 
 

Ping-Statistik fr 127.0.0.1:
 

    Pakete: Gesendet = 2, Empfangen = 2, Verloren = 0 (0% Verlust),
 

Ca. Zeitangaben in Millisek.:
 

    Minimum = 0ms, Maximum = 0ms, Mittelwert = 0ms
 

===========================================================================

Schnittstellenliste

0x1 ........................... MS TCP Loopback interface

0x2 ...00 19 66 95 0e 4d ...... SiS 900-basierte PCI-Fast Ethernet-Adapter - Paketplaner-Miniport

===========================================================================

===========================================================================

Aktive Routen:

     Netzwerkziel    Netzwerkmaske          Gateway   Schnittstelle  Anzahl

        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1          1

      169.254.0.0      255.255.0.0   169.254.224.89  169.254.224.89          20

   169.254.224.89  255.255.255.255        127.0.0.1       127.0.0.1          20

  169.254.255.255  255.255.255.255   169.254.224.89  169.254.224.89          20

        224.0.0.0        240.0.0.0   169.254.224.89  169.254.224.89          20

  255.255.255.255  255.255.255.255   169.254.224.89  169.254.224.89          1

===========================================================================

St„ndige Routen:

  Keine

========================= Winsock entries =====================================
 

Catalog5 01 C:\Windows\System32\mswsock.dll [247296] (Microsoft Corporation)

Catalog5 02 C:\Windows\System32\winrnr.dll [16896] (Microsoft Corporation)

Catalog5 03 C:\Windows\System32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 01 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 02 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 03 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 04 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 05 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 06 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 07 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 08 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 09 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 10 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 11 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 12 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 13 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 14 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 15 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 16 C:\Windows\system32\mswsock.dll [247296] (Microsoft Corporation)

Catalog9 17 C:\Windows\system32\rsvpsp.dll [92672] (Microsoft Corporation)

Catalog9 18 C:\Windows\system32\rsvpsp.dll [92672] (Microsoft Corporation)
 

========================= Event log errors: ===============================
 

Application errors:

==================

Error: (03/02/2013 11:40:45 PM) (Source: crypt32) (User: )

Description: Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt> ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte nicht verarbeitet werden.

.
 

Error: (03/02/2013 08:40:14 PM) (Source: crypt32) (User: )

Description: Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt> ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte nicht verarbeitet werden.

.
 

Error: (02/28/2013 05:41:27 PM) (Source: Application Error) (User: )

Description: Fehlgeschlagene Anwendung iexplore.exe, Version 6.0.2900.2180, fehlgeschlagenes Modul mshtml.dll, Version 6.0.2900.2963, Fehleradresse 0x0007afa8.

Das medienspezifische Ereignis für [iexplore.exe!ws!] wird verarbeitet.
 

Error: (02/27/2013 04:11:03 PM) (Source: Application Error) (User: )

Description: Fehlgeschlagene Anwendung iexplore.exe, Version 6.0.2900.2180, fehlgeschlagenes Modul mshtml.dll, Version 6.0.2900.2963, Fehleradresse 0x0009d28a.

Das medienspezifische Ereignis für [iexplore.exe!ws!] wird verarbeitet.
 

Error: (09/15/2012 07:54:04 PM) (Source: WmiAdapter) (User: VORDEFINIERT)

Description: Dienst konnte nicht geöffnet werden.
 

Error: (07/02/2012 09:24:02 AM) (Source: crypt32) (User: )

Description: Die Extrahierung der Drittanbieterstammlisten aus der automatischen Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab> ist fehlgeschlagen mit dem Fehler: Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.

.
 

Error: (07/02/2012 09:24:02 AM) (Source: crypt32) (User: )

Description: Die Extrahierung der Drittanbieterstammlisten aus der automatischen Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab> ist fehlgeschlagen mit dem Fehler: Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.

.
 
 

System errors:

=============

Error: (03/03/2013 10:36:52 PM) (Source: 0) (User: )

Description: \Device\Harddisk0\D
 

Error: (03/03/2013 10:36:50 PM) (Source: 0) (User: )

Description: \Device\Harddisk0\D
 

Error: (03/03/2013 10:36:08 PM) (Source: 0) (User: )

Description: \Device\Harddisk0\D
 

Error: (03/03/2013 08:55:23 PM) (Source: Service Control Manager) (User: )

Description: Dienst "NMSAccessU" wurde unerwartet beendet. Dies ist bereits 1 Mal passiert.
 

Error: (03/03/2013 06:49:11 PM) (Source: 0) (User: )

Description: \Device\Harddisk0\D
 

Error: (03/03/2013 06:49:11 PM) (Source: 0) (User: )

Description: \Device\Ide\IdePort0
 

Error: (03/03/2013 06:49:06 PM) (Source: 0) (User: )

Description: \Device\Harddisk0\D
 

Error: (03/03/2013 06:48:50 PM) (Source: 0) (User: )

Description: \Device\Harddisk0\D
 

Error: (03/03/2013 06:35:32 PM) (Source: 0) (User: )

Description: \Device\Harddisk0\D
 

Error: (03/03/2013 06:35:32 PM) (Source: 0) (User: )

Description: \Device\Harddisk0\D
 
 

Microsoft Office Sessions:

=========================

Error: (03/02/2013 11:40:45 PM) (Source: crypt32)(User: )

Description: hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txtDer Servername oder die Serveradresse konnte nicht verarbeitet werden.
 

Error: (03/02/2013 08:40:14 PM) (Source: crypt32)(User: )

Description: hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txtDer Servername oder die Serveradresse konnte nicht verarbeitet werden.
 

Error: (02/28/2013 05:41:27 PM) (Source: Application Error)(User: )

Description: iexplore.exe6.0.2900.2180mshtml.dll6.0.2900.29630007afa8
 

Error: (02/27/2013 04:11:03 PM) (Source: Application Error)(User: )

Description: iexplore.exe6.0.2900.2180mshtml.dll6.0.2900.29630009d28a
 

Error: (09/15/2012 07:54:04 PM) (Source: WmiAdapter)(User: VORDEFINIERT)

Description: 
 

Error: (07/02/2012 09:24:02 AM) (Source: crypt32)(User: )

Description: hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cabEin erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.
 

Error: (07/02/2012 09:24:02 AM) (Source: crypt32)(User: )

Description: hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cabEin erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.
 
 

**** End of log ****

Danke und einen schöne freien Tag.
Bis Dienstag :Boogie:

Hm sieht nicht kritisch aus. Als IP bekommst du eine Fehleradresse. Normaleweise passiert das, wenn die Verbindung physikalisch nicht korrekt ist. Ist also das Kabel okay? Leuchten die LEDs am Router und an der Netzwerkkarte?

Hi,
ich habe 4 Kabel ausprobiert und auch durchgemessen. Alle Kabel sind OK und bei Allen das selbe Problem. Ich habe auch eine andere Netzwerkarte ausprobiert. Leider ohne Erfolg. Das Modem habe ich auch resetet... ebenfalls ohne Erfolg. Mit meinem Rechner kann ich ganz normal surfen (also kann es nicht am Modem liegen).

Hm sehr mysteriös. Eine Sache können wir noch probieren. Dann müßte ich das Handtuch werfen.

Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!)Scan mit MBAR
Downloade dir bitte

Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

Starte bitte die mbar.exe.
Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
Klicke auf den CleanUp Button und erlaube den Neustart.
Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
Nach dem Neustart starte die mbar.exe erneut.
Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

Schritt 2:
Danach führe bitte die fixdamage im gleichen Verzeichnis aus.

hier der Log:

Code:

Malwarebytes Anti-Rootkit BETA 1.01.0.1021

www.malwarebytes.org
 

Database version: v2013.03.05.12
 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

Schwein88 :: SCHWEINEBACKE [administrator]
 

05.03.2013 21:29:07

mbar-log-2013-03-05 (21-29-07).txt
 

Scan type: Quick scan

Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P

Scan options disabled: 

Objects scanned: 25296

Time elapsed: 8 minute(s), 55 second(s)
 

Memory Processes Detected: 0

(No malicious items detected)
 

Memory Modules Detected: 0

(No malicious items detected)
 

Registry Keys Detected: 0

(No malicious items detected)
 

Registry Values Detected: 0

(No malicious items detected)
 

Registry Data Items Detected: 0

(No malicious items detected)
 

Folders Detected: 0

(No malicious items detected)
 

Files Detected: 0

(No malicious items detected)
 

(end)

CleanUp Button gab es keinen (nur Zurück und Exit). Ich nehm mal an, weil der Scan nichts gefunden hat.

Genau und was passiert mit der fixdamage?

Da gab er mir eine Warnung, die ich dann mit "y" bestätigen musste.
Dann hat er kurz gearbeitet und ich durfte mit einer Taste das ganze beenden. Mehr war nicht.

Keine Änderung mit dem Netzwerkproblem nach einem Reboot?

Nein, leider kein Änderung/Besserung:heulen:

Dann müssen wir leider so weiter machen: :/

Lesestoff:
So geht es weiter:
Wir haben jetzt deinen Rechner bereinigt. Da dein Problem aber so nicht gelöst worden ist möchte ich dich gerne an unsere Kollegen weiterreichen.

Bitte öffne ein neues Thema in diesem Unterforum: Alles rund um Windows
Beschreibe dein noch verbleibendes Problem so genau wie möglich.
Teile dem Helfer dort mit, dass wir deinen Rechner bereits nach Malware überprüft haben, am besten unter Angabe eines Links zu diesem Thema hier.

Wenn du keine weiteren Fragen hast, wäre für mich das Thema an der Stelle beendet.