|
FASTLOOK.NET - Spionage von Bankdaten? Nachdem ich lange vergeblich versucht habe, die automatisch startende Website im IE (6.0.2800) zu löschen (NAV und ADAWARE reagierten nicht!), ist es mir schließlich mithilfe von HijackThis 1.89 gelungen. Nun ergibt mein LOG Folgendes: Logfile of HijackThis v1.98.0 Scan saved at 19:25:04, on 02.08.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\WINDOWS\Explorer.EXE L:\PROGRAMM\NORTON~1\GHOSTS~2.EXE C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\Programme\HHVcdV5Sys\VC5SecS.exe C:\WINDOWS\Dit.exe C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\WINDOWS\System32\RunDll32.exe C:\WINDOWS\mHotkey.exe C:\WINDOWS\CNYHKey.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\HHVcdV5Sys\VC5Play.exe L:\Programme\Norton Ghost\GhostStartTrayApp.exe C:\Programme\QuickTime\qttask.exe C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe C:\WINDOWS\winlogon.exe C:\WINDOWS\DitExp.exe C:\WINDOWS\System32\wuagrd.exe C:\WINDOWS\System32\ntsys32.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\ntsys32.exe C:\WINDOWS\System32\tbhxpxi.exe C:\Programme\T-Eumex\ISDN Guard\agfguard.exe L:\Programme\Virtual CD\System\VC5Tray.exe C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Messenger\msmsgs.exe N:\UTILITIES\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastlook.net/ F0 - system.ini: Shell= F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe, O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll O4 - HKLM\..\Run: [Dit] Dit.exe O4 - HKLM\..\Run: [PCMService] "C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe" O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [CHotkey] mHotkey.exe O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe" O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe O4 - HKLM\..\Run: [GhostStartTrayApp] L:\Programme\Norton Ghost\GhostStartTrayApp.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart O4 - HKLM\..\Run: [iexplore.exe] C:\WINDOWS\winlogon.exe O4 - HKLM\..\Run: [Microsoft Update] wuagrd.exe O4 - HKLM\..\Run: [Configuration] ntsys32.exe O4 - HKLM\..\Run: [Audiograbber] l:\programme\audiograbber\audiograbber.exe O4 - HKLM\..\RunServices: [Configuration] ntsys32.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [Microsoft Update] wuagrd.exe O4 - HKCU\..\Run: [Configuration] ntsys32.exe O4 - HKCU\..\Run: [Rlos] C:\Dokumente und Einstellungen\MichaelJansen\Anwendungsdaten\soht.exe O4 - HKCU\..\Run: [Mfixrsb] C:\WINDOWS\System32\tbhxpxi.exe O4 - HKCU\..\RunServices: [Microsoft Update] wuagrd.exe O4 - Startup: BHODemon.lnk = C:\Programme\BHODemon\BHODemon.exe O4 - Startup: Radiator.lnk = L:\Programme\Radiator\radiator.exe O4 - Startup: Registration-InstantCopy.lnk = C:\Programme\Pinnacle\Shared Files\InstantCDDVD\Pixie\RegTool.exe O4 - Global Startup: ISDN Guard.lnk = C:\Programme\T-Eumex\ISDN Guard\agfguard.exe O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra button: MedionShop - {84FAA847-1400-4400-BC93-D338EF03127B} - http://www.medionshop.de/ (file missing) (HKCU) O14 - IERESET.INF: START_PAGE_URL=http://www.microsoft.com O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{6E389B76-1702-43B0-8FFF-07046F351EFA}: NameServer = 217.237.150.225 194.25.2.129 Wie zu sehen ist: Fastlook ist wieder da!!! Was muss ich tun, um endlich frei davon zu werden? Besteht die Gefahr, dass Bankdaten ausspioniert werden??? In einem Hinweis heißt es, man solle sich VON DER SEITE SELBST ein UNISTALL herunterladen - kann ich dem trauen???? Um Hilfe bittet der sehr verunsicherte PC-Naivling Froecken |
C:\WINDOWS\System32\ntsys32.exe C:\WINDOWS\winlogon.exe C:\WINDOWS\System32\wuagrd.exe C:\WINDOWS\System32\tbhxpxi.exe Diese Dateien schick mal an: partytime-germany.ice@web.de Es handelt sich definitiv um Malware. |
Soll ich diese Dateien von meinem PC löschen? Wer ist Partytime-Germany? Zitat:
|
Das ist meine Adresse. Du hast 2 aktive Sdbot-Backdoors auf deinen System + 1 Trojaner Scapur. Durch einen aktiven Backdoor könnte dein PC so geschädigt sein, dass er bereits in fremder Hand ist. Das sichererste wäre eine Neuinstallation. Solltest du keine Neuinstallation heranziehen, dann fixe dies im abgesicherten Modus: R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastlook.net/ O4 - HKLM\..\Run: [Microsoft Update] wuagrd.exe O4 - HKLM\..\Run: [Configuration] ntsys32.exe O4 - HKLM\..\RunServices: [Configuration] ntsys32.exe O4 - HKCU\..\Run: [Microsoft Update] wuagrd.exe O4 - HKCU\..\Run: [Configuration] ntsys32.exe O4 - HKCU\..\Run: [Mfixrsb] C:\WINDOWS\System32\tbhxpxi.exe O4 - HKCU\..\RunServices: [Microsoft Update] wuagrd.exe Außerdem lösche diese Dateien: C:\WINDOWS\System32\wuagrd.exe C:\WINDOWS\System32\ntsys32.exe C:\WINDOWS\System32\ntsys32.exe C:\WINDOWS\System32\tbhxpxi.exe |
Hallo, Christian, Vielen Dank! Ich habe Deinen Rat befolgt - allerdings nicht neu installiert. Aber: Du hast für 's Löschen die gleiche Datei zweimal erwähnt - stimmt das (fett + rot). Wie kann ich jetzt wissen, ob mein PC hijacked ist? Gibt es dafür klare Hinweise/Beweise? Und wieso haben weder NAV (neueste updates) noch ADAWARE (dito) reagiert??? Ich füge nochmal ein neues LOG bei: Logfile of HijackThis v1.98.0 Scan saved at 21:43:16, on 02.08.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\WINDOWS\Explorer.EXE L:\PROGRAMM\NORTON~1\GHOSTS~2.EXE C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\Programme\HHVcdV5Sys\VC5SecS.exe C:\WINDOWS\Dit.exe C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\WINDOWS\System32\RunDll32.exe C:\WINDOWS\mHotkey.exe C:\WINDOWS\CNYHKey.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\HHVcdV5Sys\VC5Play.exe L:\Programme\Norton Ghost\GhostStartTrayApp.exe C:\Programme\QuickTime\qttask.exe C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe C:\WINDOWS\winlogon.exe C:\WINDOWS\DitExp.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\T-Eumex\ISDN Guard\agfguard.exe L:\Programme\Virtual CD\System\VC5Tray.exe C:\Programme\T-Online\T-Online_Software_5\Browser\browser.exe C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\kernel.exe C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\sc_watch.exe C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE N:\UTILITIES\HijackThis.exe C:\Programme\Messenger\msmsgs.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com F0 - system.ini: Shell= F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe, O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll O4 - HKLM\..\Run: [Dit] Dit.exe O4 - HKLM\..\Run: [PCMService] "C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe" O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [CHotkey] mHotkey.exe O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe" O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe O4 - HKLM\..\Run: [GhostStartTrayApp] L:\Programme\Norton Ghost\GhostStartTrayApp.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart O4 - HKLM\..\Run: [iexplore.exe] C:\WINDOWS\winlogon.exe O4 - HKLM\..\Run: [Audiograbber] l:\programme\audiograbber\audiograbber.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [Rlos] C:\Dokumente und Einstellungen\MichaelJansen\Anwendungsdaten\soht.exe O4 - Startup: BHODemon.lnk = C:\Programme\BHODemon\BHODemon.exe O4 - Startup: Radiator.lnk = L:\Programme\Radiator\radiator.exe O4 - Startup: Registration-InstantCopy.lnk = C:\Programme\Pinnacle\Shared Files\InstantCDDVD\Pixie\RegTool.exe O4 - Global Startup: ISDN Guard.lnk = C:\Programme\T-Eumex\ISDN Guard\agfguard.exe O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra button: MedionShop - {84FAA847-1400-4400-BC93-D338EF03127B} - http://www.medionshop.de/ (file missing) (HKCU) O14 - IERESET.INF: START_PAGE_URL=http://www.microsoft.com O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{6E389B76-1702-43B0-8FFF-07046F351EFA}: NameServer = 217.237.150.225 194.25.2.129 Herzlichen Dank Froecken Zitat:
|
Nein, die Datei ist natürlich nur einmal vorhanden. So, einen Trojaner hatte ich zur Überprüfung weitergeleitet. Die Datei wird noch von keinem Virenscanner erkannt. Wann Symantec die Datei erkennen wird ist fraglich - man kann keine Dateien zu Symantec zwecks Erkennung einschicken. Jedenfalls musst du diese Datei noch löschen: C:\WINDOWS\winlogon.exe Und dies fixen: O4 - HKLM\..\Run: [iexplore.exe] C:\WINDOWS\winlogon.exe Hmm ... C:\Dokumente und Einstellungen\MichaelJansen\Anwendungsdaten\soht.exe überprüfe die Datei mal hier: http://www.kaspersky.com/de/scanforvirus |
Herzlichen Dank!Anscheinend (Stand: Gestern Nacht) hat's jetzt funktioniert! Ich hab gleich nochmal mit NAV gescannt (ohne Ergebnis, wie bisher) und danach das neueste Patch für den IE6 installiert. Allerdings bin ich doch noch sehr misstrauisch und überlege, mit einem weiteren Scanner zu prüfen - Escan? GHast Du vielleicht Empfehlungen, wie ich mich besser schützen kann? Zuvor, auf meinen alten Systemen (ATARI, dann Win95, WIN98) war das Trojaner/Viren-Problem eher marginal: Wenig und dann schnell erkannt und beseitigt. Das scheint beim neuen Windows anders zu sein ... Gruß Froecken Zitat:
|
Naja, Norton AntiVirus ist nicht der beste AntiVirus-Scanner. Empfehlenswerter wären G-Data oder Kaspersky: http://www.gdata.de/trade/productview/366/3/ http://www.kaspersky.de Auch nicht schlecht sind Bitdefender und F-Secure. Du solltest außerdem immer die neusten Updates und Patches von www.windowsupate.com herunterladen. Außerdem unnötige Dienste abschalten: http://www.dingens.org/ Auch wichtig: Einen sicherern Browser als den IE verwenden. www.firefox-browser.de ist schnell, kostenlos und sicher. Weitere Tipps: http://www.trojaner-info.de/report_pcsicherheit.shtml Du solltest dir aber auch im Klaren darüber sein, dass du nicht sicherstellen kannst, welchen Schaden der Backdoor angerichtet hat (Passwörter ausgespäth usw.). Ein aktiver Backdoor ist das offene Tor um in deinen PC einzudringen. Nochmals: Das sicherste und vernünftigste: Neuinstallation und dann die oben genannten Punkte beachten. |
Zitat:
|
Laut E-Mail-Support nicht. Wenn du eine Adresse hast - nur her damit. :crazy: |
Du must Vertragspartner von Symantec sein. Variante 1.) Du besitzt NAV, dort gibt es integriert eine Upload-Funktion Variante 2.) Du bist Vertragshändler (Vertriebspartner oder OEM-Partner) und da gab/gibt? es eine mir im Moment unbekannte Mailadresse. |
Ja, das mit dem Upload ist mir bekannt. Aber erstens werde ich mir bestimmt nicht NAV installieren und zweistens erst Recht kein Vertragspartner werden. ;) Also kann ein normal sterblicher keine Samples via E-Mail einschicken. Schade ... allein in diesem Log gab es 4 Schädlinge die Norton nicht erkennt. |
Tja, und warum räts Du froecken nicht dazu sie einzusenden und behauptest (angeblich) wider besseren Wissens, dass man verdächtige Dateien nicht zu Symantec senden könnte? man kann und froecken könnte! Ob die Firmenpolitik gut ist keine öffentliche Einsendeadresse zu haben, weiß ich allerdings auch nicht. Symantec spart sich so zumindest sicher zigtausende von Spammails irgendwelcher (schon fast "religiöser") Symantec-Hasser mit irgendeinem dummen Anhang. Aber veilleicht hat "Gelb" tatsächlich die Größe darauf verzichten zu können. |
Symantec ist selbst schuld, wenn sie keine Samples via E-Mail annehmen. Leisten können sie es sich zumindest nicht - auch diese 3 Schädlinge wurden von jedem AV-Scanner (Ausnahme: Trendmicro+AntiVir alle, Sophos verpasste einen) erkannt. Das Uploaden ist zu umständlich - dann haben sie die Erkennung halt nicht. :nixda: :p |
Hi, Ich habe auch soein problem mit fastlook u.s.w aber ich weiss nicht was ich machen soll und die exe dateien die hier bei euch stehen habe ich nixhtr :( ausser winlogon im win dir :I ich habe auch mal soeine log file hier geposted und es wäre nett wen mir einer dabei auch mal helfen könnte. danke leutz Code: Logfile of HijackThis v1.98.2 |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 06:44 Uhr. |
Copyright ©2000-2024, Trojaner-Board