Log überprüfen
 

Ich habe schon seit bestimmt 2 Wochen einen ver******* Trojaner, der meine Maussteuerung übernimmt und somit Programme schließen kann und Fenstergrößen verändern kann! Das macht einen richtig wütend.
Ich habe auch schon viele Scans mit verschiedenen Programmen gemacht, unter anderem auch mit e-scan (sollte man ja) f-scure, pest patrol, ad-aware... Ich habe auch schon ein paar einträge mit Hijackthis gelöscht, aber dieser Trojaner ist immernoch da! Also hier die Logs:

1. Hijackthis Log

Logfile of HijackThis v1.98.0
Scan saved at 13:39:22, on 28.07.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\Winamp\winampa.exe
D:\Programme\iTunes\iTunesHelper.exe
D:\Programme\D-Tools\daemon.exe
D:\Programme\SlySoft\CloneCD\CloneCDTray.exe
D:\Programme\PestPatrol\PPMemCheck.exe
D:\Programme\PestPatrol\PPControl.exe
D:\Programme\PestPatrol\CookiePatrol.exe
C:\Programme\The Cleaner\tca.exe
C:\Programme\The Cleaner\tcm.exe
D:\Programme\Ares\Ares.exe
D:\Programme\GetRight\getright.exe
C:\PROGRA~2\ICQ\ICQ.exe
D:\Programme\GetRight\getright.exe
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\System32\SLEE503.exe
D:\Programme\iPod\bin\iPodService.exe
C:\loeschenpresent\hijackthis_198\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [WinampAgent] D:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [iTunesHelper] D:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [CloneCDTray] "D:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [PPMemCheck] D:\Programme\PestPatrol\PPMemCheck.exe
O4 - HKLM\..\Run: [PestPatrol Control Center] D:\Programme\PestPatrol\PPControl.exe
O4 - HKLM\..\Run: [CookiePatrol] D:\Programme\PestPatrol\CookiePatrol.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~2\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [tcactive] C:\Programme\The Cleaner\tca.exe
O4 - HKLM\..\Run: [tcmonitor] C:\Programme\The Cleaner\tcm.exe
O4 - HKCU\..\Run: [ares] "D:\Programme\Ares\Ares.exe" -h
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: GetRight - Tray Icon.lnk = D:\Programme\GetRight\getright.exe
O8 - Extra context menu item: Download with GetRight - D:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - D:\Programme\GetRight\GRbrowse.htm
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~2\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~2\ICQ\ICQ.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de

2. Startup Log

StartupList report, 28.07.2004, 13:39:41
StartupList version: 1.52.2
Started from : C:\loeschenpresent\hijackthis_198\HijackThis.EXE
Detected: Windows XP (WinNT 5.01.2600)
Detected: Internet Explorer v6.00 (6.00.2600.0000)
* Using default options
==================================================

Running processes:

D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\Winamp\winampa.exe
D:\Programme\iTunes\iTunesHelper.exe
D:\Programme\D-Tools\daemon.exe
D:\Programme\SlySoft\CloneCD\CloneCDTray.exe
D:\Programme\PestPatrol\PPMemCheck.exe
D:\Programme\PestPatrol\PPControl.exe
D:\Programme\PestPatrol\CookiePatrol.exe
C:\Programme\The Cleaner\tca.exe
C:\Programme\The Cleaner\tcm.exe
D:\Programme\Ares\Ares.exe
D:\Programme\GetRight\getright.exe
C:\PROGRA~2\ICQ\ICQ.exe
D:\Programme\GetRight\getright.exe
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\System32\SLEE503.exe
D:\Programme\iPod\bin\iPodService.exe
C:\loeschenpresent\hijackthis_198\HijackThis.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Common Startup:
[D:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\Autostart]
Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
GetRight - Tray Icon.lnk = D:\Programme\GetRight\getright.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = D:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

WinampAgent = D:\Programme\Winamp\winampa.exe
iTunesHelper = D:\Programme\iTunes\iTunesHelper.exe
DAEMON Tools-1033 = "D:\Programme\D-Tools\daemon.exe" -lang 1033
CloneCDTray = "D:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
NvCplDaemon = RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
nwiz = nwiz.exe /install
PPMemCheck = D:\Programme\PestPatrol\PPMemCheck.exe
PestPatrol Control Center = D:\Programme\PestPatrol\PPControl.exe
CookiePatrol = D:\Programme\PestPatrol\CookiePatrol.exe
Mirabilis ICQ = C:\PROGRA~2\ICQ\ICQNet.exe
tcactive = C:\Programme\The Cleaner\tca.exe
tcmonitor = C:\Programme\The Cleaner\tcm.exe

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

ares = "D:\Programme\Ares\Ares.exe" -h

--------------------------------------------------

Shell & screensaver key from D:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=D:\WINDOWS\System32\logon.scr
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Browser Helper Objects:

(no name) - D:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}

--------------------------------------------------

Enumerating Download Program Files:

[Shockwave Flash Object]
InProcServer32 = D:\WINDOWS\System32\macromed\flash\Flash.ocx
CODEBASE = http://download.macromedia.com/pub/s...sh/swflash.cab

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: D:\WINDOWS\system32\SHELL32.dll
CDBurn: D:\WINDOWS\system32\SHELL32.dll
WebCheck: D:\WINDOWS\System32\webcheck.dll
SysTray: D:\WINDOWS\System32\stobject.dll

--------------------------------------------------
End of report, 4.657 bytes
Report generated in 0,110 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only
-------------------------------------------------------

Hffe ihr könnt mir helfen.

Also das HijackThis-Log sieht sauber aus.
Allerdings solltest du mal wieder www.windowsupdate.com besuchen und alle
Sicherheitsupates und Patches installieren.

Ich hab leider aus deinen Logs nicht rausgelesen um welchen Trojaner es sich dabei handelt?

PS: Hast du schonmal im abgesicherten Modus gescannt?

Im Abgesicherten Modus habe ich auch schon gescannt, aber kein Erfolg! Und das allerschlimmste ist, das ich den Pc nur bei jedem 4 Start zum Laufen bringe. Sonst hängt er sich nach 1- 2 Minuten auf und ich kann nichts mehr machen außer rebooten. Vielleicht bringt diese Info ja was.

F- Prot
 

Bringt es was, wenn ich den Pc im Dos-Modus mit F-prot scanne (hatte früher Parite.B und das war das einzige, was es wegbekommen hat)? Was hab ich sonst noch für Möglichkeiten den Trojaner wegzubekommen?

Hast du denn jemals mit einem Scanner eine verdächtige Datei gefunden oder kannst noch nachvollziehen, was du bei Hijackthis gelöscht hast? Oder sind es allein die Symptome der Maus, weswegen du an einen Trojaner glaubst? Passiert das denn auch, wenn der Rechner vom Netz getrennt ist?

Wenn du von der WinXP-CD bootest und dort dann über die Eingabeaufforderung mit F-Prot scannst, ist das durchaus einen Versuch wert. Aus den bisherigen informationen ist leider nicht zu entnehmen, was die Ursache deines Problems sein könnte. Hängt sich der PC denn auch im Abgesicherten Modus auf?

Also, bei Hijakthis habe ich nur noch die iExplorerstartEinträge von hot-searches.cc oder so gelöscht, da ich es aber schon vorher geschafft habe, das automatische überspielen der Homepage mit Pestpatrol aufzuhalten, war das kein Problem.
So wo du jetzt fragst, erinnere ich mich, dass ich vor einiger Zeit beim Scannen irgendwie 4 Dateien gelöscht haben, die ungefähr so hießen: W32.Trojandownloader.Keenval. Aber die hab ich ja nicht mehr drauf (hoffe ich)
Der Pc hängt sich auch im abgesicherten Modus ab, denn es ist ja so, dass ich min 4 Startversuche brauche um den Pc anzubekommen, wenn ich z.B. beim 2. Starversuch in den Abgesicherten Modus gehe, dann hängt er sich noch kurz bevor er die Auswahl der Benutzer anzeigt auf.
Es sind nicht nur die Symptome der Maus (die ziemlich ärgerlich sind) sonder auch das Aufhängen des Pc's. Da kann ich meine Maus nicht bewegen, die Tatstaur geht auch nicht, den Ausschaltknopf kann ich ganz vergessen, das einzige was geht, ist der Resetknopf.
Was du mit Netzt meinst, versteh ich leider nicht.
Hoffe, dass das jetzt genügend informationen sind.

Es geht im Prinzip darum, auszuschließen, dass es sich vielleicht um einen Hardwarefehler handelt. Kannst du denn von einer CD booten, ohne dass sich der Rechner aufhängt?

(mit der Start-Diskette kann ich booten)

Stimmt, ich glaube (bin mir aber nicht sicher), dass die Abstürze eher was mit der Hardwareeinstellung zu tun gehabt haben. Ich hatte vor einiger Zeit die Agp Geschwindigkeit von 1x auf 2x erhöht (laut Handbuch unterstützt dies mein Motherboard) gerade eben habe ich es wieder auf 1 x zurückgestellt und ich hoffe, dass diese Abstürze nicht mehr wiederkommen...
Aber trotzdem ist der Trojaner noch da, der meine Mausbewegung übernimmt. Und ich muss wirklich sagen, dass man ihn nicht löschen kann, denn ich hab bstimmt mit 3 verschiedenen Programmen, alle Systemprozesse und Starteinträge durchgecheckt und kam auf kein Ergebnis...
Ich glaube, das einzige, was ich machen kann ist darauf zu warten, bis ad-aware und diese ganzen Programme, die Trojaner-Definitionen soweit aktualisiert haben, dass auch mein Trojaner entfernt werden kann.

Trotzdem danke für die Hilfe!