Trojaner-Board - hijack logfile - BRAUCHE PROFIS !!!

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - hijack logfile - BRAUCHE PROFIS !!! (https://www.trojaner-board.de/19347-hijack-logfile-brauche-profis.html)

hijack logfile - BRAUCHE PROFIS !!!

hallo allesamt !
bin zu unerfahren, bzw. unwissend, um mir selbst ein bild machen zu können. komme ich um eine neuaufsetzung herum (selbst wenn es sehr aufwendig ist) oder muss ich in den sauren apfel beißen ?

Code:

Logfile of HijackThis v1.99.1

Scan saved at 13:31:28, on 28.06.2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
 

Running processes:

C:\WINDOWS.1\System32\smss.exe

C:\WINDOWS.1\system32\winlogon.exe

C:\WINDOWS.1\system32\services.exe

C:\WINDOWS.1\system32\lsass.exe

C:\WINDOWS.1\system32\svchost.exe

C:\WINDOWS.1\System32\svchost.exe

C:\WINDOWS.1\system32\spoolsv.exe

C:\Programme\AVPersonal\AVGUARD.EXE

C:\Programme\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS.1\System32\nvsvc32.exe

C:\Programme\Tiny Personal Firewall\persfw.exe

C:\WINDOWS.1\Explorer.EXE

C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe

C:\Programme\Microsoft IntelliPoint\point32.exe

C:\Programme\Java\jre1.5.0\bin\jusched.exe

C:\WINDOWS.1\System32\RUNDLL32.EXE

C:\WINDOWS.1\System32\CTHELPER.EXE

C:\Programme\AVPersonal\AVGNT.EXE

C:\WINDOWS.1\System32\ctfmon.exe

C:\WINDOWS.1\System32\rundll32.exe

C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe

C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe

C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE

C:\WINDOWS.1\System32\wuauclt.exe

C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\tonchkml32.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Downloads\hijackthis_199\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web.de/

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS.1\System32\msdxm.ocx

O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0\bin\jusched.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS.1\system32\NeroCheck.exe

O4 - HKLM\..\Run: [EPSON Stylus C64 Series] C:\WINDOWS.1\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C64 Series" /O6 "USB001" /M "Stylus C64"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS.1\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS.1\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE

O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS.1\UpdReg.EXE

O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe

O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS.1\System32\ctfmon.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{6393A0A9-0F27-4CEF-91A6-1DC2292A281D}: NameServer = 217.237.151.33 217.237.149.225

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS.1\System32\nvsvc32.exe

O23 - Service: Tiny Personal Firewall (PersFw) - Tiny Software - C:\Programme\Tiny Personal Firewall\persfw.exe

vielen dank im voraus,
gruß buff

Hi buff

welches Problem hast du eigentlich, dein Logfile sieht imho sauber aus

hallo gigamail, du siehst mich ziemlich überrascht...

das problem war:

antivir hatte einen trojaner gemeldet (TR/LowZones.BR); in der datei "mssdit.exe". dazu kam noch folgendes:

Spyware (smrtshpr.dll - SmartShopper)
Adware (weatherontray.exe)
Backdoor.IRC.RPCBot
W32/Rbot-AER

alles auf meinem system gefunden. die kombination von spyware, adware u. würmern veranlasste einige mir zur neuformatierung zu raten (..."dein rechner ist in fremder hand !").
da ich dachte dass es eh nicht schlimmer werden kann, habe ich mich durch etliche foren gelesen um mit den dort genannten hilfsprogrammen zu versuchen dem ganzen doch so noch irgendwie herr zu werden.
wenn es denn geklappt hat - na super !
werde das ganze mit argusaugen beobachten, so ganz ruhig schlafen kann ich immer noch nicht...
aber vielleicht bin ich ja nochmal mit einem blauen auge davongekommen !?

danke dennoch für die bereitschaft zur hilfe,
gruß buff

Da du ja jetzt erst mit richtigen Infos rüberkommst, bekommt das einen anderen Geschmack. Also es besagt erst mal nicht wenn im Logfile nichts gefunden wird, damit dann auch auf der Platte nichts ist. Da du wie du ja schreibst schon einige sachen gelöscht hast (vielleicht auch gefixt) kann man nur den Stand beurteilen und der ist im Log sauber.
Du kannst aber auch mal einen eScann machen um zu sehen ob noch was vorhanden ist
Anleitung und Download
lese mal über Kompromittierung

hallo gigamail

würde dir ja gerne die log-file posten die ich nach deinem rat mit escan erstellt habe (denn da wird so einiges gefunden !!!). geht aber nicht, jedenfalls nicht mit copy & paste aus der mwav.log (10,3 MB).
würde mich nicht wundern wenn ich in meiner immer mehr wachsenden verzweiflung wieder irgendeinen dämlichen fehler begehe, aber vielleicht kannst du mir ja nochmal weiterhelfen. würde dich gerne einen blick darauf werfen lassen...

danke u. sorry für´s nerven,

gruß buff

Demzufolge entnehme ich, daß die Find.bat nicht funktioniert hat, oder?

morgen cidre,

absolut richtig, da tut sich nix !
habe ich ´ne alternative möglichkeit euch die log-file zukommen zu lassen ?

gruß buff

Hallo buff,

diese Vorgehensweise wird auch in der "Anleitung" beschrieben:

Zitat:

Alternativ:
Öffne die 'mwav.log' im Ordner 'C:\Bases_X' -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

dartus

danke dartus,

hatte den bases_x ordner nicht gefunden (wer suchet der findet).
dann sieht es jetzt also folgendermaßen aus:

Code:

Tue Jun 28 19:52:39 2005 => System found infected with Alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken.

Tue Jun 28 19:52:59 2005 => System found infected with WindUpdate Spyware/Adware (ide21201.vxd)! Action taken: No Action Taken.

Tue Jun 28 19:54:02 2005 => File C:\Dokumente und Einstellungen\administrator\Desktop\Bootdisk.exe tagged as not-a-virus:Tool.DOS.Restart. No Action Taken.

Tue Jun 28 19:55:21 2005 => File C:\Dokumente und Einstellungen\All Users.WINDOWS.1\Anwendungsdaten\T-Online_ZusatzSoftware\MediaMaker\MediaMaker.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 19:58:43 2005 => File C:\Dokumente und Einstellungen\seWolf\Anwendungsdaten\Mozilla\Firefox\Profiles\gfze1f1r.seWolf\Cache\70B06226d01 tagged as "not-a-virus:AdWare.WinAD.af". Action Taken: No Action Taken.

Tue Jun 28 19:58:45 2005 => File C:\Dokumente und Einstellungen\seWolf\Anwendungsdaten\Mozilla\Firefox\Profiles\gfze1f1r.seWolf\Cache\792B95BAd01 tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:03:39 2005 => File C:\Downloads\protect tools\aawsepersonal.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:08:29 2005 => File C:\Programme\GameSpy Arcade\ArcadeInstallFull202-google.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:08:58 2005 => File C:\Programme\GameSpy Arcade\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:12:37 2005 => File C:\Programme\Lavasoft\Ad-aware 6\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:13:33 2005 => File C:\Programme\MUSIK\SoundForge\UEX_FORG.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:13:33 2005 => File C:\Programme\MUSIK\SoundForge\UIN_FORG.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:13:33 2005 => File C:\Programme\MUSIK\SoundForge\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:54:30 2005 => File C:\Programme\T-Online\Copas\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:55:41 2005 => File C:\Programme\T-Online Fotoservice\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:56:27 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP3\A0000023.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:56:52 2005 => File C:\System Volume 

Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000100.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:56:53 2005 => File C:\System Volume 

Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000117.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:56:54 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000118.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:56:58 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000154.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:56:59 2005 => File C:\System Volume 

Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000155.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:57:00 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000166.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:57:01 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000168.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:57:04 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000193.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:57:05 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000196.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:57:05 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000196.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:57:05 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000199.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:57:06 2005 => File C:\System Volume Information\_restore{21D67BD6-C54F-4CCF-B45F-D134C30DDF83}\RP4\A0000203.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 20:57:08 2005 => File C:\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 21:04:06 2005 => File C:\WINDOWS.1\system32\.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus! Action Taken: No Action Taken.

Tue Jun 28 21:04:14 2005 => File C:\WINDOWS.1\system32\c.bat infected by "Trojan.BAT.Zapchast" Virus! Action Taken: No Action Taken.

Tue Jun 28 21:07:39 2005 => File C:\WINDOWS.1\system32\H@tKeysH@@k.DLL tagged as not-a-virus:CrackTool.Win32.HotHook.dll. No Action Taken.

Tue Jun 28 21:07:54 2005 => File C:\WINDOWS.1\system32\KILLAPPS.EXE tagged as not-a-virus:Tool.Win32.KillApp.b. No Action Taken.

Tue Jun 28 21:07:59 2005 => File C:\WINDOWS.1\system32\Macromed\Shockwave 10\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 21:08:01 2005 => File C:\WINDOWS.1\system32\Macromed\Shockwave 8\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Jun 28 21:10:06 2005 => File C:\WINDOWS.1\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

hoffe ich habe es so aufgelistet dass iht was damit anfangen könnt !?

danke, gruß buff

Lade Dir Spybot-S&D und
Ad-Aware und update beide Programme.

deaktiviere die Systemwiderherstellung und boote danach in den abgesicherten Modus und lösche von Hand :

C:\WINDOWS.1\system32\.pif
C:\WINDOWS.1\system32\c.bat
C:\WINDOWS.1\system32\H@tKeysH@@k.DLL

suche auf deinem system nach folgender Datei und wenn vorhanden auch löschen

winitr32.exe

scann jetzt nacheinander mit den beiden Programmen und lösche die Funde
Danach neu booten Systemwiederherstellung wieder aktivieren

Hundert prozentige Sicherheit hast du trotzdem nur, wenn du dein System neu aufsetzt

hallo gigamail !

werde deinen rat schritt für schritt befolgen und beobachten wie mein system die nächsten tage reagiert...
sollte ich dennoch ein ungutes gefühl haben ist es eben zeit für ein neuaufsetzen. sicher ist sicher !

vielen dank für die mühe, einen schönen tag noch,

gruß buff