TrojanSPM/LX und WinAntiVirus Pop-Ups
 

Hallo Support-Team,

mich quälen seit nunmehr 2 Wochen nervige pop-upps im internet-explorer, wo mitunter Winantivirus und co. mir sagen, dass ich einen TrojanSPM/LX auf dem System habe und nur mit dieser Software beseitigen kann. Diese Popups gehen einher mit einer deutlichen Verlangsamung des Rechners. Ich habe bereits Spywarequake.com mit smitfraudexe und zahlreichen virenscannern wieder vom system geschmissen, jedoch bleiben diese pop-upps und das deutlich längere Antwortzeitverhalten. Wäre klasse, wenn Ihr mir weiterhelfen könntet, da aus den bisherigen Einträgen keine Lösung funzt. Besten Dank!

Logfile of HijackThis v1.99.1
Scan saved at 21:20:48, on 10.07.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\ibmpmsvc.exe
C:\WINNT\system32\S24EvMon.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\hidserv.exe
C:\Programme\Trend Micro\OfficeScan Client\ntrtscan.exe
C:\Programme\Tiny Personal Firewall\persfw.exe
C:\WINNT\System32\QCONSVC.EXE
C:\WINNT\system32\RegSrvc.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\Programme\CheckPoint\SecuRemote\bin\SR_WatchDog.exe
C:\WINNT\system32\stisvc.exe
C:\Programme\Trend Micro\OfficeScan Client\ofcdog.exe
C:\Programme\HanseNet\Alice\app\TangoService.exe
C:\Programme\Trend Micro\OfficeScan Client\tmlisten.exe
C:\WINNT\system32\TpKmpSVC.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\Programme\CheckPoint\SecuRemote\bin\SR_Service.exe
C:\WINNT\Explorer.EXE
C:\Programme\CheckPoint\SecuRemote\bin\SR_GUI.exe
C:\WINNT\system32\RunDll32.exe
C:\Programme\Trend Micro\OfficeScan Client\pccntmon.exe
C:\WINNT\system32\tp4mon.exe
C:\WINNT\system32\PRPCUI.exe
C:\Programme\ThinkPad\ConnectUtilities\QCTRAY.EXE
C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE
C:\Programme\Java\j2re1.4.2_08\bin\jusched.exe
C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe
C:\WINNT\system32\internat.exe
C:\PROGRA~1\HanseNet\Alice\app\TangoManager.exe
C:\Programme\ThinkPad\PkgMgr\HOTKEY\TPONSCR.exe
C:\Programme\ThinkPad\PkgMgr\HOTKEY_1\TpScrex.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Microsoft Office\Office\WINWORD.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\msiexec.exe
D:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper
O4 - HKLM\..\Run: [TpShocks] TpShocks.exe
O4 - HKLM\..\Run: [BMMGAG] RunDll32 C:\PROGRA~1\ThinkPad\UTILIT~1\pwrmonit.dll,StartPwrMonitor
O4 - HKLM\..\Run: [BMMMONWND] rundll32.exe C:\PROGRA~1\ThinkPad\UTILIT~1\BatInfEx.dll,BMMAutonomicMonitor
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Programme\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [TrackPointSrv] tp4mon.exe
O4 - HKLM\..\Run: [PRPCMonitor] PRPCUI.exe
O4 - HKLM\..\Run: [QCTRAY] C:\Programme\ThinkPad\ConnectUtilities\QCTRAY.EXE
O4 - HKLM\..\Run: [QCWLICON] C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_08\bin\jusched.exe
O4 - HKLM\..\Run: [TangoManager] C:\PROGRA~1\HanseNet\Alice\app\TANGOM~1.EXE
O4 - HKLM\..\Run: [BMMLREF] C:\Programme\ThinkPad\Utilities\BMMLREF.EXE
O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe
O4 - HKLM\..\Run: [UC_Start] C:\IBMTools\Updater\ucstartup.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O11 - Options group: [JAVA_IBM] Java (IBM)
O12 - Plugin for .mid: C:\Programme\Internet Explorer\PLUGINS\npqtplugin2.dll
O12 - Plugin for .wav: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O16 - DPF: {74CD40EA-EF77-4BAD-808A-B5982DA73F20} - http://yax-download.yazzle.net/YazzleActiveX.cab?refid=1123
O16 - DPF: {CAFEEFAC-0013-0001-0001-ABCDEFFEDCBA} (Java Plug-in 1.3.1_01) -
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = profi-ag.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{5858B5E1-455B-47D2-ABA0-DC89CFED3528}: NameServer = 213.191.74.11 213.191.92.82
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = profi-ag.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = profi-ag.local
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe (file missing)
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINNT\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Programme\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: Tiny Personal Firewall (PersFw) - Tiny Software - C:\Programme\Tiny Personal Firewall\persfw.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\spool\DRIVERS\W32X86\3\HPZipm12.exe
O23 - Service: QCONSVC - IBM Corp. - C:\WINNT\System32\QCONSVC.EXE
O23 - Service: RegSrvc - Intel Corporation - C:\WINNT\system32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINNT\system32\S24EvMon.exe
O23 - Service: Check Point SecuRemote Service (SR_Service) - Check Point Software Technologies - C:\Programme\CheckPoint\SecuRemote\bin\SR_Service.exe
O23 - Service: Check Point SecuRemote WatchDog (SR_WatchDog) - Check Point Software Technologies - C:\Programme\CheckPoint\SecuRemote\bin\SR_WatchDog.exe
O23 - Service: Tango Service (TangoService) - Unknown owner - C:\Programme\HanseNet\Alice\app\TangoService.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Unknown owner - C:\Programme\Trend Micro\OfficeScan Client\tmlisten.exe
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINNT\system32\TpKmpSVC.exe

Hallo,
da habe ich gleichmal drei Fragen:

1.) Wie kommt dein Nick zu stande?
2.) Ist das ein Firmenrechner?
3.) Bist du Admin an diesem Rechner?



Grüße Wildone

Hallo,

ja das ist ein Firmenrechner, den ich darüber hinaus privat nutze, ja ich hab admin-rechte auf dem laptop, bin aber gerade als nutzer angemeldet, nickname zufällig aus meinem namen (anfangsbuchstaben) gebastelt.

Hallo,
ich hatte nach dem Nick gefragt weil mir da so rassistische Begriffe wie Nigga überhaupt nicht gefallen.
Und Firmenrechner bekommen bei uns leider keinen Support was sowohl aus Schutz der Computerdienstleister so ist (da wollen wir keine kostenlose Konkurrenz sein), als auch als Schutz von deiner Seite vor uns, da Firmenrechner besonderen Schutz genießen sollten und wir hier Amateure sind.

Also gehe entweder zu dem Admin in der Firma oder setze das System neu auf, die Infektion die du hast legt einen solchen Schritt durchaus nahe.


Grüße Wildone

Hallo, vielen Dank für die Info. Dann werde ich diese Vorgehensweise berücksichtigen. Könnt Ihr mir vielleicht trotzdem einen Diagnose-tipp geben was das für eine Infektion ist und ob diese nur mit einer Neuaufsetzung des Systems realisierbar ist. MfG und Besten Dank!

Hallo,
also Zlob (Spywarequake) hat wohl noch Purityscan (Die Bezeichnungen der AVs sind nicht einheitlich) nachgeladen, und was da unter anderem auf dem System los ist erfährst du z.B. hier.

Gerade da wohl auch Kundendaten auf dem PC sind sollte das Grund genug sein das System mal neu zu machen. Und das auf einem Firmen PC keine unseriösen Dateien (Videocodecs, Cracks usw.) etwas zu suchen haben muss ich wohl nicht näher erläutern.


Grüße Wildone