Trojaner-Board - CPU-Auslastung sehr hoch, Grund nicht erkennbar

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - CPU-Auslastung sehr hoch, Grund nicht erkennbar (https://www.trojaner-board.de/70179-cpu-auslastung-sehr-hoch-grund-erkennbar.html)

Die IP-Adresse sollte legitim sein, sofern xiphox das hier etwas sagt:

Zitat:

Hostname: servercca.cca1.haw-hamburg.de
ISP: Hochschule fuer angewandte Wissenschaften
Organization: Hochschule fuer angewandte Wissenschaften
Country: Germany
State/Region: 04
City: Hamburg

Die Datei /-en -> c:\windows\TEMP\mc21.tmp sollten Überreste von SpywareDoctor sein, sofern dieses mal installiert war..

Ansonsten, so wie es Redwulf gerade mir gegenüber auch schon erwähnte, könnte es auch ein Hardwarefehler sein mit dem IRQL...

Gehen wirs nochmal an:

Kopiere bitte die nachfolgenden Einträge und sichere sie auf deinem Desktop als cfscript.txt auf deinem Desktop.

Man sollte jetzt auf dem Desktop diese Datei cfscript.txt finden.

cfscript. mit der rechten Maustaste auf das Symbol von Combofix ziehen

http://virus-protect.org/artikel/bilder/cfscript.gif

Dann erscheint ein "öffnen mit" -bestätigen - und Combofix startet neu

In C:\ComboFix.txt ist alles gespeichert, kopiere es ab und poste das Log hier.

Hier das Script:

Code:

KILLALL:
 

REGISTRY::

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{50e416b0-effe-11db-a12f-00059a3c7800}]
 

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a011e856-95fe-11dd-a475-00059a3c7800}]
 

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f0213be0-825f-11dd-a459-000e355161ad}]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]

"DAEMON Tools"=-
 

FILE::

c:\programme\TuneUp Utilities 2004\SystemOptimizer.exe

c:\windows\Tasks\1-Klick-Wartung.job

c:\programme\zango\zango.exe
 

FOLDER::

c:\programme\TuneUp Utilities 2004

c:\programme\zango

Ich hoffe das bringt jetzt was, falls nicht...ists definitiv ein Hardware Fehler

Ich drück die Daumen:daumenhoc

So, hier wäre dann nochmal das Log...

Ich möchte noch einmal meine Frage von vorhin aufgreifen, meinst Du ich könnte alle Treiber löschen und neu installieren? Und wenn ja, wie ginge ich dann genau vor? Hältst Du das für sinnvoll?

Anhang vergessen :balla:

das Log ist soweit ok. Ich meinte eigendlich Treiber die du selbst installiert hast, z.B. die Kamera. Nichts von deiner Hardware die Windows während seiner Installation selbst installiert hat. Alles was du nachträglich selbst installiert hast.

Gibt es bei dir irgendeine Veränderung am PC?

Soweit ich mich erinnere habe ich nur Kamera- und Druckertreiber installiert. Irgendwie kann ich aber auch nicht erkennen, welche Treiber notwendig sind und welche nicht. Beispiel Kamera, es handelte sich meiner Meinung nach um USB Treiber aber aus den Bezeichnungen werde ich nicht schlau.

Wie bekomme ich das jetzt raus?

Eine Möglichkeit ist die:

Gehe auf Start / Systemsteuerung / System / Hardware / Gerätemanager

Hier ist dein "kompletter" Computer gelistet.

Hier findest du all deine Hardware. Wenn du mit der rechten Maustaste auf einen der Einträge gehst, kannst du u.a. die Treiberinformation sehen, einen Treiber updaten und deinstallieren, bzw. installierte Treiber wieder herstellen falls ein neuer Treiber nicht funktioniert. Du solltest aber wissen was du tust..

Eine einfachere Lösung ist unter u.U. Systemsteuerung / Software zu finden. Hier siehst du all deine Software die installiert ist, auch Software die du vieleicht für deine Kamera oder Drucker benutzt. In einigen Fällen werden die Treiber dann mit deinstalliert. Schau dir dort an was du brauchst oder nicht. Falls du dich entschließt etwas zu deinstallieren solltest du auf jeden Fall den CCleaner wieder laufen lassen....

Falls die ganze Treibersache keine Verbesserung bringt, würde ich an deiner Stelle alle notwendigen Sachen deines PC´s mittels Backup Programmen sichern. ( Ich persönlich nutze Paragon Backup ). Lass deinen PC durch einen authorisierten Fachhändler auf Herz und Nieren prüfen.

Ich denke, das einer deiner Treiber versucht auf einen Adressbereich deines Speichers zuzugreifen der einen Defekt aufweist. Hierdurch kommt es zu dem STOP.

Wie gesagt, zur Zeit können wir nur mit Bestimmtheit sagen, dass du kein schädliches Programm auf deinem PC hast. Ein Treiber oder Hardwareproblem ist mit Sicherheit anzunehmen. Hohe Temperaturen am Laptop, Übertaktung etc können eine Ursache hierfür sein.

Experimentell kann man noch einiges über das Systemkonfigurationsprogramm versuchen, aber ich denke die Überprüfung bei einem Fachhändler wäre einfacher und nicht so Zeitaufwendig..

Fall du dies doch noch mit mir versuchen möchtest, lass es mich wissen....

Ich habe seit einigen Tagen nichts mehr von dir gehört...
Ich betrachte den Thread somit als gelöst und du wirst ein Fachunternehmen deines Vertrauens aufgesucht haben. Falls nicht und du noch weiter meine Hilfe benötigst....kurze PM bitte

Entschuldige bitte mein spätes Antworten, bin nur gerade umgezogen und heute war dann noch Abnahme....also etwas viel zu tun die letzten Tage.

Einen Fachhändler würde ich vorerst nicht so gerne aufsuchen und dementsprechend wäre mir der andere Weg lieber. Aber ich könnte auch verstehen, wenn das jetzt zu zeitintensiv ist.

Solltest Du Dir also die Zeit nehmen wollen, dann würde ich mich sehr freuen.

OK, machen wir, siehe PM

Habe eben mal etrust runtergeschmissen und Antivir installiert. Gerade kam die Melsung, dass das trojanische Pferd TR/Agent.7600.A gefunden wurde.

Ist das eine Fehlmeldung oder habe ich jetzt doch was drauf?

Ich denke du hast deine Wiederherstellung noch deaktiviert? Falls nicht, bitte nochmal deaktivieren. Stelle deine Ansicht / Ordneroptionen auch wieder auf versteckte und Systemdateien einblenden EIN

Wir müssen nochmal von vorne beginnen...
Lass nach der ganzen Aktion die wir durchgeführt haben, nochmal CCleaner laufen, hiernach nochmal MalwareBytes. Poste bitte nochmals das Logfile.
Lösche alle Funde bei Abschluß.

Gib mir dann nochmal das neueste Hijack this....

Das habe ich schonmal vorsorglich gemacht und MalwareBytes hat nichts gefunden.

Der Rechner stürzt mittlerweile doch wieder ab, allerdings ohne Bluescreen. Geht einfach aus und fährt dann wieder von alleine hoch. Alles aber nur, wenn Verbindung zum Netz vorhanden ist.

Der erwähnte Trojaner wurde jetzt von Antivir auch noch in einem anderen Ordner gefunden.

Hier das Log...

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:52:16, on 03.03.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.alice-dsl.de
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [HotkeyApp] C:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: MedionShop - {09E5F659-139F-4022-9097-02E25F93F02A} - http://www.medionshop.de/ (file missing) (HKCU)
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {EE3B3F4B-3B93-4B9D-908E-A6206A076361} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {EE3B3F4B-3B93-4B9D-908E-A6206A076361} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1092733492931
O17 - HKLM\System\CCS\Services\Tcpip\..\{A2151553-5EEB-4E04-B793-1201BD4A41D3}: NameServer = 141.22.138.2
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: haufereader - {39198710-62F7-42CD-9458-069843FA5D32} - C:\Programme\Haufe\HaufeReader\HRInstmon.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe
O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 7150 bytes

Lösche die Quarantäne von Avira erstmal...

Bin zur Zeit noch nicht zu Hause, melde mich später nochmal---