Trojaner-Board - HTTP Zugang eigenartig gestört

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - HTTP Zugang eigenartig gestört (https://www.trojaner-board.de/22408-http-zugang-eigenartig-gestoert.html)

HTTP Zugang eigenartig gestört

Nach einer Infektion mit W32/Stanit, welche beseitigt wurde (GData AVK und AV freeware) funktioniert der Webitezugang nicht mehr. Mail, FTP, Chat, DSL-Radio Skype etc. funktionieren.

Die Lage: Sowohl mit IE6 (alles upgedatet - WinXP SP2) als auch Firefox und Opera 8-5 werden die Seiten manchmal angezeigt, meist aber kommt error 404 oder hier entsteht eine Internetpräsenz oder irgendwelchen anderen Seiten.

Also Verdacht auf Hijacker. Die gängigen Tools (von Antivir Gdada, Spypbot, Spyguard, CWShredder, Hijack, BHO Demon, Adaware, Spywaredoctor. ADS Spy etc.) haben keine Ergebnisse gezeigt. Auch LSPFix nicht.

Online Scans gehen nicht, weil die Seiten nicht aufgerufen werden konnten.

Könnte es sein, dass hier kein Hijacker, sondern ein Windows-Problem vorliegt?

Poste doch mal ein HiJackThis-Logfile hier rein. Du kannst ja, wenn du es nicht runterladen kannst, es auf einen anderen Rechner laden, das Prog brennen und bei Dir laufen lassen, dann die Ergebnisse wieder hier reinstellen.
cacatoa

Ergänzend: Es ist ein IBM Laptop.

Hier das Log-File:

Logfile of HijackThis v1.99.1
Scan saved at 19:12:19, on 03.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\ibmpmsvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
C:\Programme\AntiVirenKit 2006\AVKService.exe
C:\Programme\AntiVirenKit 2006\AVKWCtl.exe
C:\Programme\IBM\IBM Rapid Restore Ultra\rrpcsb.exe
C:\WINDOWS\System32\QCONSVC.EXE
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\TpKmpSVC.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\TpShocks.exe
C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
C:\Programme\ThinkPad\PkgMgr\HOTKEY\TPONSCR.exe
C:\Programme\ThinkPad\PkgMgr\HOTKEY_1\TpScrex.exe
C:\Programme\IBM\Messages By IBM\ibmmessages.exe
C:\IBMTOOLS\UTILS\ibmprc.exe
C:\Programme\ThinkPad\ConnectUtilities\QCTRAY.EXE
C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\D-Tools\daemon.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis1.exe
C:\Programme\Acronis\TrueImage\TrueImageMonitor.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\AntiVirenKit 2006\AVKTray\AVKTray.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\United Devices\UD.EXE
C:\Programme\United Devices\ud_7657531.exe
C:\Programme\United Devices\ud_7657531_0.dir\WCGrid_Rosetta.exe
C:\Programme\mirc\mirc.exe
C:\Programme\The Bat!\thebat.exe
C:\Programme\RhinoSoft.com\FTP Voyager\FTPVoyager.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\SpywareGuard\sgmain.exe
C:\Programme\SpywareGuard\sgbhp.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programme\Microsoft Office\Office10\EXCEL.EXE
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32Info.exe
C:\Dokumente und Einstellungen\****\Desktop\****\hijackthis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programme\SpywareGuard\dlprotect.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Ipswitch.WsftpBrowserHelper - {601ED020-FB6C-11D3-87D8-0050DA59922B} - C:\Programme\WS_FTP Pro\wsbho2K0.dll
O4 - HKLM\..\Run: [S3TRAY2] S3Tray2.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe
O4 - HKLM\..\Run: [BMMLREF] C:\Programme\ThinkPad\Utilities\BMMLREF.EXE
O4 - HKLM\..\Run: [BMMMONWND] rundll32.exe C:\PROGRA~1\ThinkPad\UTILIT~1\BatInfEx.dll,BMMAutonomicMonitor
O4 - HKLM\..\Run: [TP4EX] tp4ex.exe
O4 - HKLM\..\Run: [EZEJMNAP] C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [UC_Start] C:\Programme\IBM\Updater\\ucstartup.exe
O4 - HKLM\..\Run: [ibmmessages] C:\Programme\IBM\Messages By IBM\\ibmmessages.exe
O4 - HKLM\..\Run: [UpdateManager] "c:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [IBMPRC] C:\IBMTOOLS\UTILS\ibmprc.exe
O4 - HKLM\..\Run: [QCTRAY] C:\Programme\ThinkPad\ConnectUtilities\QCTRAY.EXE
O4 - HKLM\..\Run: [QCWLICON] C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE
O4 - HKLM\..\Run: [BMMGAG] RunDll32 C:\PROGRA~1\ThinkPad\UTILIT~1\pwrmonit.dll,StartPwrMonitor
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v1] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis1.exe
O4 - HKLM\..\Run: [Acronis True Image Monitor] C:\Programme\Acronis\TrueImage\TrueImageMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [AVKTray] "C:\Programme\AntiVirenKit 2006\AVKTray\AVKTray.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Reminder] REM C:\Programme\Microsoft Money\System\reminder.exe
O4 - HKCU\..\Run: [Quicknote] REM L:\austausch\******\Programme\Quicknote\quicknote.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ibmmessages] C:\Programme\IBM\Messages By IBM\ibmmessages.exe
O4 - HKCU\..\RunOnce: [The Bat!] C:\Programme\The Bat!\thebat.exe
O4 - Startup: BHODemon 2.0.lnk = C:\Programme\BHODemon 2\BHODemon.exe
O4 - Startup: SpywareGuard.lnk = C:\Programme\SpywareGuard\sgmain.exe
O4 - Startup: UD Agent.lnk = C:\Programme\United Devices\UD.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Digital Line Detect.lnk = ?
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [JAVA_IBM] Java (IBM)
O16 - DPF: {17492023-C23A-453E-***0-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.***microsoft.com/fwlink/?linkid=***04
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://***update.microsoft.com/windo...ab?*****745953
O16 - DPF: {B24F0664-7DDA-40B6-B38C-A4FD68DE8685} (CentraDownloaderCtl Class) - http://centra**.englishtown.com/main...Downloader.cab
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVKProxy - G DATA Software AG - C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: AVK Service (AVKService) - Unknown owner - C:\Programme\AntiVirenKit 2006\AVKService.exe
O23 - Service: AVK Wächter (AVKWCtl) - Unknown owner - C:\Programme\AntiVirenKit 2006\AVKWCtl.exe
O23 - Service: IBM Rapid Restore Ultra Service - Unknown owner - C:\Programme\IBM\IBM Rapid Restore Ultra\rrpcsb.exe
O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: IBM PSA Access Driver Control (PsaSrv) - Unknown owner - C:\WINDOWS\system32\PsaSrv.exe (file missing)
O23 - Service: QCONSVC - IBM Corp. - C:\WINDOWS\System32\QCONSVC.EXE
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Das Log ist so ganz o.k.
Bitte mal einen eScan genau nach Anleitung durchführen.
cacatoa

Danke für den Hinweis auf eScan.

Das hat dann einen Virus und 57 Hijacker gefunden, wobei er etliche wohl doppelt zählte. Da man damit keine entfernen kann (jedenfalls in der freien Version) nochmals Ad-Aware laufen lassen - hatte vergessen, die neusten Signaturen downzuloaden - der hat dann (nur?) 7 Einträge entfernt und nichts weiter gefunden. Danach war aber der Internetzugang wieder ok. Da eScan rund 13 Stunden braucht, wird es heute Nacht nochmals gestartet.

Interessant ist, daß alle anderen Tools sowie AVK von GData und Antivir nichts gefunden haben.

Der Virus ist überigens noch unklar: Es handelt sich um die Datei psasrv.exe, die zum IBM Laptop gehört und auch im richtigen Verzeichnis liegt. Wenn eScan heuristisch arbeitet, findet er natürlich auch falsch-positive. Wird aber weiter getestet.
Werde dann berichten.

Hi,
poste doch bitte mal nach dem eScan (dauert i.d.R. nur 1 Stunde), die mit der "find.bat" gefundenen Ergebnisse.
cacatoa

War viel beschäftigt, daher erst jetzt der eScan. Werde auch mal das Board durchsuchen. Adaware findet jetzt übrigens nichts! Das Problem war weg, ist jetzt aber wieder in der gleichen Form da.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Sun Oct 09 20:42:36 2005 => System found infected with redv Spyware/Adware (insthelp.dll)! Action taken: No Action Taken.
Sun Oct 09 20:42:50 2005 => System found infected with whenu.desktop toolbar Spyware/Adware (message.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with whenu.sidefinder Spyware/Adware (bottom.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with whenu.sidefinder Spyware/Adware (bottom.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with purityscan Spyware/Adware (right.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with whenu.sidefinder Spyware/Adware (top.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with purityscan Spyware/Adware (right.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with whenu.sidefinder Spyware/Adware (top.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:51 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Sun Oct 09 20:42:58 2005 => System found infected with whistlesoftware Spyware/Adware (uninstall.ini)! Action taken: No Action Taken.
Sun Oct 09 20:43:04 2005 => System found infected with redv Spyware/Adware (insthelp.dll)! Action taken: No Action Taken.
Sun Oct 09 20:43:05 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:05 2005 => System found infected with whenu.savenow Spyware/Adware (formie[1].css)! Action taken: No Action Taken.
Sun Oct 09 20:43:06 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:07 2005 => System found infected with whenu.savenow Spyware/Adware (ads[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:07 2005 => System found infected with whenu.savenow Spyware/Adware (ads[2].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:07 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:07 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:09 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:09 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:10 2005 => System found infected with whenu.savenow Spyware/Adware (ads[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:10 2005 => System found infected with whenu.savenow Spyware/Adware (ads[2].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:11 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:11 2005 => System found infected with redv Spyware/Adware (global[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:12 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:12 2005 => System found infected with whenu.savenow Spyware/Adware (show_ads[2].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:13 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:14 2005 => System found infected with whenu.savenow Spyware/Adware (ads[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:14 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:15 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:15 2005 => System found infected with whenu.savenow Spyware/Adware (ads[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:15 2005 => System found infected with whenu.savenow Spyware/Adware (ads[2].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:15 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:15 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:15 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:15 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with whenu.savenow Spyware/Adware (ads[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with whenu.savenow Spyware/Adware (ads[2].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with redv Spyware/Adware (global[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with whenu.savenow Spyware/Adware (show_ads[2].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with whenu.savenow Spyware/Adware (ads[1].htm)! Action taken: No Action Taken.
Sun Oct 09 20:43:16 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Sun Oct 09 21:14:1
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Sun Oct 09 20:44:58 2005 => File C:\Archiv\Wichtige Programme\****eloper IRC.zip tagged as not-a-virus:Client-IRC.Win32.mIRC.507. No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Statisktiken:
~~~~~~~~~~~~~~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~

Guten Morgen,
Bitte den ganzen Text mit allen Angaben posten!
cacatoa

Da waren nur noch offendings - das waren alles selbst erstellte javascripts und die chat-programme - die hab ich rausgenommen damit es nicht so lang wird.

Dann habe ich rausgefunden:

1. Bei www.lavasoft.de gibt es in der freeware-abteilung einen whenu-uninstaller.

2. Obwohl es eine neue Definitionsdatei für Adaware gibt, kann ich die nicht mit dem befallenen rechner runterladen. Kann es sein, das diese Dinge Adaware blockieren? Jedenfalls habe ich das von einem anderen Rechner runtergeladen und werde das überspielen.

Jedenfalls werde ich das mal laufen lassen und dann nochmals eScan und dann die volle liste posten.

Danke

Ich hätte noch gerne was gesehen, das so ähnlich ausschaut:

Zitat:

Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Fri Oct 07 19:36:35 2005 => Total Virus(es) Found: 24
Fri Oct 07 19:36:35 2005 => Total Errors: 686
Fri Oct 07 19:36:35 2005 => Time Elapsed: 01:26:50
Fri Oct 07 19:36:35 2005 => Total Objects Scanned: 70643
Fri Oct 07 18:08:16 2005 => Virus Database Date: 2005/09/09
Fri Oct 07 19:36:35 2005 => Virus Database Date: 2005/09/09
Fri Oct 07 20:06:22 2005 => Virus Database Date: 2005/09/09
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Außerdem mal die Regsistrierung säubern, z.B. mit RegSeeker und Spybot S&D 1.4 runterladen, updaten und im abgesicherten Modus laufen lassen.
Dann sehen wir weiter.
Tragisch sehe ich das nicht mehr.
cacatoa

Antworten:

1. Habe aus Versehen das alte Log-file gelöscht - mache nachher neuen Scan.

2. Spybot - Das Neueste: findet nichts

3. Der WhenU-Uninstaller von Lavasoft behauptet, daß es kein WhenU gibt - welchen eScan ja als vorhanden meldet.

Komischerweise geht das Surfen auf dem Rechner wieder.

Ja, eScan sagt Dir nur noch was von verwaisten Registry-Einträgen. Deshalb meinte ich , Du solltest RegSeeker verwenden.
cacatoa

Adaware: Hat auch nichts gefunden.

Hast Du Regseeker benutzt?
cacatoa

Hier nun das neue eScan.

Die gefundenen Viren in den Mailarchiven werden noch entfernt.

Den RegSeeker habe ich benutzt und über 900 verwaiste Einträge entfernt.

Was mir noch aufgefallen ist: Die Temp-Inhalte und die Temporary IE Files habe ich alle gelöscht und die tauchen immer wieder aufs Neue auf.

Danke für die Unterstüzung.

Hier nun das vollständige file:

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Tue Oct 11 00:40:42 2005 => System found infected with redv Spyware/Adware (insthelp.dll)! Action taken: No Action Taken.
Tue Oct 11 00:40:57 2005 => System found infected with whenu.desktop toolbar Spyware/Adware (message.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with whenu.sidefinder Spyware/Adware (bottom.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with whenu.sidefinder Spyware/Adware (bottom.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with purityscan Spyware/Adware (right.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with whenu.sidefinder Spyware/Adware (top.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with purityscan Spyware/Adware (right.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with whenu.sidefinder Spyware/Adware (top.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:40:58 2005 => System found infected with easysearch Spyware/Adware (index.html)! Action taken: No Action Taken.
Tue Oct 11 00:41:07 2005 => System found infected with whistlesoftware Spyware/Adware (uninstall.ini)! Action taken: No Action Taken.
Tue Oct 11 00:41:15 2005 => System found infected with redv Spyware/Adware (insthelp.dll)! Action taken: No Action Taken.
Tue Oct 11 00:41:16 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:16 2005 => System found infected with whenu.savenow Spyware/Adware (formie[1].css)! Action taken: No Action Taken.
Tue Oct 11 00:41:16 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:17 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:17 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:18 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:18 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 00:41:19 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Tue Oct 11 01:11:20 2005 => File C:\Daten\Internet\The-Bat-E-Mail\***\Gelöschte Objekte\MESSAGES.TBB infected by "Virus.MSWord.Marker.fq2" Virus! Action Taken: No Action Taken.
Tue Oct 11 01:11:23 2005 => File C:\Daten\Internet\The-Bat-E-Mail\***\Gelöschte Objekte\Schrott und Spam\MESSAGES.TBB infected by "Email-Worm.Win32.Mimail.i" Virus! Action Taken: No Action Taken.
Tue Oct 11 01:14:03 2005 => File C:\Daten\Internet\The-Bat-E-Mail\***\Inbox\*******\MESSAGES.TBB infected by "Email-Worm.Win32.Sober.i" Virus! Action Taken: No Action Taken.
Tue Oct 11 01:15:18 2005 => File C:\Daten\Internet\The-Bat-E-Mail\***\Inbox\******\MESSAGES.TBB infected by "Email-Worm.Win32.NetSky.q" Virus! Action Taken: No Action Taken.
Tue Oct 11 01:15:48 2005 => File C:\Daten\Internet\The-Bat-E-Mail\***\Inbox\Webmaster\MESSAGES.TBB infected by "Email-Worm.Win32.NetSky.b" Virus! Action Taken: No Action Taken.
Tue Oct 11 03:27:20 2005 => File C:\Dokumente und Einstellungen\***\Desktop\***Datensicherung\Thunderbird\Profiles\he2onvbz.default\Mail\Local Folders\Junk infected by "Email-Worm.Win32.Mydoom.as" Virus! Action Taken: No Action Taken.
Tue Oct 11 03:28:40 2005 => File C:\Dokumente und Einstellungen\***\Desktop\***Datensicherung\Thunderbird\Profiles\he2onvbz.default\Mail\Local Folders\Trash infected by "Email-Worm.Win32.Mydoom.as" Virus! Action Taken: No Action Taken.
Tue Oct 11 03:30:49 2005 => File C:\Dokumente und Einstellungen\***\Desktop\***Datensicherung\Thunderbird\Profiles\he2onvbz.default\Mail\pop.mail.yahoo.de\Inbox infected by "Email-Worm.Win32.Sober.p" Virus! Action Taken: No Action Taken.
Tue Oct 11 03:31:07 2005 => File C:\Dokumente und Einstellungen\***\Desktop\***Datensicherung\Thunderbird\Profiles\he2onvbz.default\Mail\pop.mail.yahoo.de\Trash infected by "Email-Worm.Win32.NetSky.q" Virus! Action Taken: No Action Taken.
Tue Oct 11 05:39:09 2005 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Tue Oct 11 00:43:02 2005 => File C:\Archiv\Wichtige Programme\gamedeveloper******* IRC***.zip tagged as not-a-virus:Client-IRC.Win32.mIRC.507. No Action Taken.
Tue Oct 11 02:30:17 2005 => File C:\Daten\webseiten\****\Altes ******* 2001\chat\gdmirc.zip tagged as not-a-virus:Client-IRC.Win32.mIRC.507. No Action Taken.
Tue Oct 11 04:52:02 2005 => File C:\Programme\mirc\backup\mirc32.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.507. No Action Taken.
Tue Oct 11 04:52:24 2005 => File C:\Programme\mirc\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.602. No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Statisktiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Tue Oct 11 00:40:42 2005 => Offending file found: C:\DOKUME~1\***\LOKALE~1\Temp\insthelp.dll
Tue Oct 11 00:40:57 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\mögliche\göttingen\message.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\bottom.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\changelog\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\example\bottom.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\example\right.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\example\top.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\images\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\right.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\top.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\trickkiste\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\wsboxmodell\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\wsbw\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\wscolors\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\wscss\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\wsdoctypeswitch\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\wslayout1\index.html
Tue Oct 11 00:40:58 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\php\css4you\wsradio\index.html
Tue Oct 11 00:41:07 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Desktop\***datensicherung\trillian\uninstall.ini
Tue Oct 11 00:41:15 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temp\insthelp.dll
Tue Oct 11 00:41:16 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temp\temporary internet files\content.ie5\qx6n416b\common[1].js
Tue Oct 11 00:41:16 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temp\temporary internet files\content.ie5\qx6n416b\formie[1].css
Tue Oct 11 00:41:16 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temporary internet files\content.ie5\0dmj8t6n\common[1].js
Tue Oct 11 00:41:17 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temporary internet files\content.ie5\37m3amnm\common[1].js
Tue Oct 11 00:41:17 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temporary internet files\content.ie5\cpmbod67\common[1].js
Tue Oct 11 00:41:18 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temporary internet files\content.ie5\e2ai1iee\common[1].js
Tue Oct 11 00:41:18 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temporary internet files\content.ie5\klq7s1mv\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temporary internet files\content.ie5\nipbu1t6\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temporary internet files\content.ie5\t0ovzu5b\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\content.ie5\0dmj8t6n\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\content.ie5\37m3amnm\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\content.ie5\cpmbod67\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\content.ie5\e2ai1iee\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\content.ie5\klq7s1mv\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\content.ie5\nipbu1t6\common[1].js
Tue Oct 11 00:41:19 2005 => Offending file found: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\content.ie5\t0ovzu5b\common[1].js
Tue Oct 11 05:39:09 2005 => Total Virus(es) Found: 50
Tue Oct 11 05:39:09 2005 => Total Errors: 71
Tue Oct 11 05:39:09 2005 => Time Elapsed: 04:52:12
Tue Oct 11 05:39:09 2005 => Total Objects Scanned: 170298
Tue Oct 11 05:39:09 2005 => Virus Database Date: 2005/10/10
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~