Trojaner-Board - Könnte bitte mal jemand nach schauen...

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Könnte bitte mal jemand nach schauen... (https://www.trojaner-board.de/25968-koennte-bitte-mal-jemand-schauen.html)

Könnte bitte mal jemand nach schauen...

hallo leutz,

könntet ihr bitte einmal meine logfiles nachschauen, ich meine irgendetwas läuft hier bei mir unrund, und ich habe selbst nicht allzu viel plan davon. danke schonmal im voraus.

Logfile of HijackThis v1.99.1
Scan saved at 23:32:16, on 17.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\S3hotkey.exe
C:\WINDOWS\system32\VTTimer.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\D-Link\Air USB Utility\AirCFG.exe
C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\NMain.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\NORTON~1\NORTON~1\navw32.exe
C:\DOKUME~1\CHAOST~1\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [S3hotkey] S3hotkey.exe
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [D-Link Air USB Utility] C:\Programme\D-Link\Air USB Utility\AirCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1137443340941
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

lg
gollum

Hallo Gollum19,

das Programm "Hijackthis" nicht in einem "Temp"-Ordner entpackern, erstelle bitte dafür einen eigenen Ordner, z.B C:\Programme\Hijackthis\").

Diesen Eintrag bitte mit Hijackthis fixen:
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)

Adobe ist mittlerweile in einer weitaus neueren Version vorhanden.

Ansonsten ist in Deinem Logfile nichts auffälliges zu erkennen.
Kannst Du das "Unrundlaufen" genauer beschreiben?

dartus

dartus

Zitat:

Zitat von dartus

Adobe ist mittlerweile in einer weitaus neueren Version vorhanden.

Man kann der AcrobatReader auch getrost in die Tonne treten und zB den Foxit Reader nehmen.

@MightyMarc,

beschreibe bitte die Vorteile bitte, da ich sehr interessiert bin.

dartus

Zitat:

Zitat von dartus

@MightyMarc,

beschreibe bitte die Vorteile bitte, da ich sehr interessiert bin.

Ich könnte schwören, dass ich in Deiner Frage einen leicht ironischen Unterton wahrgenommen habe...

* 1,3 MB anstatt > 22 MB
* kein Installation
* schnell, ressourcensparend

Das sind so meine Eindrücke.

hallo,

@dartus

werd das dann doch gleich mal ändern, und gleich noch ne blöde frage hinterher, wie fixe ich denn hijackthis mit dem code? hab sowas ehrlich gesagt noch nie gemacht :(
das problem ist, ich hatte vor einigen tagen einen trojaner an bord,er ließ sich nicht löschen und ich hab dann mein system neu aufgespielt, jetzt habe ich das problem das im i-net stellenweise einfach das browserfenster zusammen klappt ohne fehlermeldung, hab die neue version mozilla firefox drauf.
Sind eigentlich gravierende unterschiede ob man den hijackthis in c oder in einem anderen bereich laufen hat???

@mightymarc

schau mir dann doch gleich mal den foxitreader an. danke schonmal :)

lg
gollum

Hallo Gollum19,

1. Frage:
Scan mit Hijackthis, Häkchen vor Eintrag und auf Fix checked klicken
2. Frage:
Gegenfrage hast Du Deine Partitionen bzw. die Systempartition vor der Neuinstallation formatiert?
3. Frage:
Hijackthis sollte man auf der Systempartition, wie auch immer sie heisst "C" oder "I" speichern und laufen lassen.

@MightyMarc,

thx, werd ich mir mal anschauen. Ironisch war das nicht gemeint. :daumenhoc

dartus

hallo dartus,

also, ich habe hijackthis jetzt in c,habe allerdings dort kein häkchen welches ich anmachen kann für fix checked :confused:
ich habe alles neu formatiert und partitionen erstellt, habe für "c" wo das system drauf läuft 5 gigs genommen, was aus meinen erfahrungen her problemlos reichen sollte, nach den windows updates sagte er mir heute auf einmal, es wäre kein plat mehr auf "c", habe dann die partition aufgeräumt, war aber nichts mehr aufzuräumen,also trotzdem kein platz :headbang:

häng aber jetzt mal den logfile an den ich von "c" mit hijackthis gemacht habe.

Logfile of HijackThis v1.99.1
Scan saved at 23:30:26, on 18.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\S3hotkey.exe
C:\WINDOWS\system32\VTTimer.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\D-Link\Air USB Utility\AirCFG.exe
C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\DOKUME~1\CHAOST~1\LOKALE~1\Temp\Temporäres Verzeichnis 3 für hijackthis.zip\HijackThis.exe

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [S3hotkey] S3hotkey.exe
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [D-Link Air USB Utility] C:\Programme\D-Link\Air USB Utility\AirCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1137443340941
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

ich hoffe du kannst irgendwas erkennen und mir weiterhelfen :)

lg
Gollum

Gleich vorne weg: das analysieren des Logs soll Dartus machen. Ich hab davon keine Ahnung.

Zitat:

Zitat von Gollum19

...habe allerdings dort kein häkchen welches ich anmachen kann für fix checked

Das Häkchen setzt Du bei dem von Dartus genannten Eintrag

O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)

und klickst unten links auf "fixed checked.

Zitat:

ich habe alles neu formatiert und partitionen erstellt, habe für "c" wo das system drauf läuft 5 gigs genommen, was aus meinen erfahrungen her problemlos reichen sollte, nach den windows updates sagte er mir heute auf einmal, es wäre kein plat mehr auf "c", habe dann die partition aufgeräumt, war aber nichts mehr aufzuräumen,also trotzdem kein platz

Einen Platzfresser eliminieren:

Auslagerungsdatei auf eine andere Partition legen

* Arbeitsplatz -> rechter Mausklick -> Eigenschaften - Erweitert -> Systemleistung -> Erweitert -> Virtueller Arbeitsspeicher -> Ändern

-> Laufwerk C: anwählen -> keine Auslagerungsdatei -> "Festlegen" klicken
-> anderes Laufwerk anwählen (wenn vom Platz her möglich das nächste) -> Benutzerdefinierte Größe -> Min Größe 1500 u. Max Größe 1500 eintragen -> Festlegen klicken

"Übernehmen" klicken.

Änderung erfolgt erst nach Neustart.

Zitat:

Das Ganze macht nur Sinn, wenn eine zweite Festplatte vorhanden ist. Man will ja dadurch eine Verschnellerung des Systems erreichen..
Das erreicht man aber nur , wenn man den Zugriff auf die Systemplatte unterbindet und die Auslagerungsdatei auf eine andere Platte schiebt.
Hat man nur eine HD ist es ziemlich egal, auf welcher Partition die Auslagerungsdatei liegt.Der Schreib/LeseKopf einer Festplatte unterliegt der Physik.Er kann zur Sekunde x nurOrt y annehmen und nicht Ort y und z.
Komme jetzt keiner mit Heisenberg Gags-das ist einfach normale physik oder Mechanik!

@ Cronos

Mir ging es nicht darum, die Zugriffe auf die Auslagerungsdatei zu beschleunigen, sondern seine Systempartition von einem Platzfresser zu befreien (der OT klagte über eine volle Systempartition - 5 GB) und das hilft es schon, das pagefile umzusiedeln.

Zitat:

Zitat von MightyMarc

Einen Platzfresser eliminieren:
Auslagerungsdatei auf eine andere Partition legen

Edit:

Schlag mich wenn ich daneben liege, aber laut Heisenberg ist die Bestimmung des Aufenhaltorts ohne gleichzeitige Bestimmung des Impulses ohne Unschärfe möglich.

Naja, ob man dadurch den Performance Grad erreicht, den man haben will?
Keine Strategie und keine Führung?
Lass uns mal tricksen.:blabla:

LG

cronos

completely OT

Ich rieche eine gewaltige Fragmentierung. Volle Systempartition, variable Größe des Pagefiles...:balla:

Zitat:

Schlag mich wenn ich daneben liege, aber laut Heisenberg ist die Bestimmung des Aufenhaltorts ohne gleichzeitige Bestimmung des Impulses ohne Unschärfe möglich.

Die Wellennatur der Materie hat nichts mit unserem Board zu tun.Aber aus dieser folgt die Unbestimmtheit von im Impuls und Ortsmessung(Bezug=Wellennatur).
Und da es da keine trivialen Antworten gibt, stoppen wir das hier!

@cronos und MightyMarc,

ist schon klasse mit welchen Wortspielereien ihr ein Logfile auswertet.;)

dartus

hihi

[Heinz Sielmann] Das Dartus ist oft in der Nacht anzutreffen.Es entzieht sich dabei seinem Weibchen und seinen erwachsenen Kindern. Bisher konnte noch nicht geklärt werden warum Dartus von gelber Farbe angezogen wird.[/Heinz Sielmann]

*kopfkratz

da fällt mir bei Heinz Sielmann nur der "Trojaner/Steinlaus" ein.

dartus

@ dartus
Die gute alte steinlaus ;)

evtl. momentan nicht so angebracht-aber witzig wars

aber nun back to to

Zitat:

Zitat von dartus

@cronos und MightyMarc,

ist schon klasse mit welchen Wortspielereien ihr ein Logfile auswertet.;)

dartus

Du wirst doch nicht allen Ernstes wollen, dass ich ein Log auswerte :confused:
Erstens fehlt mir das Knoff-Hoff dafür (ok, im Windowsforum schwafel ich auch viel, aber da kann imho ned soviel kaputt gehen) und zweitens ..ach ja ... hmmm...keine Ahnung, hab's vergessen.

Hallo Ihrs,

zu eurer vorherigen diskussion kann ich leider nichts beitragen ;) allerdings habe ich zuerst versucht meine "c" zu fragmentieren, hat nichts gebracht, dann hab ich halt mein system neu aufgespielt, die partitionen soweit weggelassen (hab nur noch eine kleine für downloads aus dem netz) und jetzt läuft er mehr schlecht als recht, ab und an ein wenig ruppelig, das schiebe ich aber auf die systemauslastung durch verschiedene programme :D
danke trotzdem für eure hilfe und die guten ratschläge, wenn nochmal was sein sollte meld ich mich wieder ;)

lg
gollum