malware oder virus (k.a.)
 

hallo, bin mir sicher, dass jemand zugriff auf meinen computer hat, denn ich hatte öfter den laptop beim arzt und habe vorher vergessen die internetverbindung zu deaktivieren so dass mein laptop immer wieder versucht hat dort eine verbindung herzustellen. so muss derjenige an meine daten gekommen sein. habe letzt auch gmerscan und hijackthis ausgeführt und adaware. beim gmerscan waren drei sachen, welche gerade am arbeiten waren, obwohl ich weder online war, noch irgendetwas gemacht habe. mit hijackthis kann ich wenig anfangen, ebenso mit adaware.

hier erst einmal der logfile von hijackthis

Scan saved at 09:28:59, on 01.12.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\avmwlanstick\WlanNetService.exe
C:\Programme\Norton 360\AddOns\Norton AddOn Pack\Engine\3.7.0.23\ccProxy.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Norton 360\Engine\3.5.2.11\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Programme\Trend Micro\RUBotted\TMRUBotted.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\TUProgSt.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\Norton 360\Engine\3.5.2.11\ccSvcHst.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Trend Micro\RUBotted\TMRUBottedTray.exe
C:\Programme\avmwlanstick\wlangui.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe
C:\Programme\Messenger\msmsgs.exe
C:\PROGRA~1\ICQ6.5\ICQ.exe
C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
O2 - BHO: Symantec NCO BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Programme\Norton 360\Engine\3.5.2.11\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\Programme\Norton 360\Engine\3.5.2.11\IPSBHO.DLL
O3 - Toolbar: Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Programme\Norton 360\Engine\3.5.2.11\coIEPlg.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [TMRUBottedTray] "C:\Programme\Trend Micro\RUBotted\TMRUBottedTray.exe"
O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\wlangui.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ICQ] "C:\PROGRA~1\ICQ6.5\ICQ.exe" silent
O4 - HKCU\..\Run: [Google Update] "C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Google Sidewiki... - res://C:\Programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html
O9 - Extra button: Launch Cooliris - {3437D640-C91A-458f-89F5-B9095EA4C28B} - C:\Programme\PicLensIE\cooliris.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262F} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/3.0.0.4/srl_bin/sysreqlab_nvd.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1256185864500
O16 - DPF: {73ECB3AA-4717-450C-A2AB-D00DAD9EE203} (GMNRev Class) - http://h20270.www2.hp.com/ediags/gmn2/install/HPProductDetection2.cab
O16 - DPF: {A9F8D9EC-3D0A-4A60-BD82-FBD64BAD370D} (DDRevision Class) - http://h20264.www2.hp.com/ediags/dd/install/HPDriverDiagnosticsxp2k.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O18 - Protocol: symres - {AA1061FE-6C41-421F-9344-69640C9732AB} - C:\Programme\Norton 360\Engine\3.5.2.11\coIEPlg.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Norton 360\AddOns\Norton AddOn Pack\Engine\3.7.0.23\ccProxy.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Norton 360 (N360) - Symantec Corporation - C:\Programme\Norton 360\Engine\3.5.2.11\ccSvcHst.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Trend Micro RUBotted Service (RUBotted) - Trend Micro Inc. - C:\Programme\Trend Micro\RUBotted\TMRUBotted.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

--
End of file - 6694 bytes

und das gmerscanergebnis

GMER 1.0.15.15252 - http://www.gmer.net
Rootkit scan 2009-11-25 18:07:10
Windows 5.1.2600 Service Pack 3
Running: p4xbqxjj.exe; Driver: C:\DOKUME~1\***\LOKALE~1\Temp\ffrdypod.sys


---- System - GMER 1.0.15 ----

SSDT 89BCE890 ZwAlertResumeThread
SSDT 89BCC890 ZwAlertThread
SSDT 88F2C420 ZwAllocateVirtualMemory
SSDT 89BDF050 ZwAssignProcessToJobObject
SSDT 8A57F860 ZwConnectPort
SSDT \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS (Symantec Event Library/Symantec Corporation) ZwCreateKey [0xB4C23130]
SSDT 88F59478 ZwCreateMutant
SSDT 88F2D998 ZwCreateSymbolicLinkObject
SSDT 89061A60 ZwCreateThread
SSDT 89B99050 ZwDebugActiveProcess
SSDT \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS (Symantec Event Library/Symantec Corporation) ZwDeleteKey [0xB4C233B0]
SSDT \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS (Symantec Event Library/Symantec Corporation) ZwDeleteValueKey [0xB4C23910]
SSDT 88F2A4D0 ZwDuplicateObject
SSDT 88F60AB0 ZwFreeVirtualMemory
SSDT 89BA4890 ZwImpersonateAnonymousToken
SSDT 89BE7890 ZwImpersonateThread
SSDT 8A006E38 ZwLoadDriver
SSDT 88F74C88 ZwMapViewOfSection
SSDT 89BC9890 ZwOpenEvent
SSDT 88FC8B80 ZwOpenProcess
SSDT 89BE30C0 ZwOpenProcessToken
SSDT 89BF5650 ZwOpenSection
SSDT 88F564B8 ZwOpenThread
SSDT 88F14AA8 ZwProtectVirtualMemory
SSDT 89BE9158 ZwResumeThread
SSDT 89BC8918 ZwSetContextThread
SSDT 88F5F930 ZwSetInformationProcess
SSDT 89005050 ZwSetSystemInformation
SSDT \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS (Symantec Event Library/Symantec Corporation) ZwSetValueKey [0xB4C23B60]
SSDT 89C02310 ZwSuspendProcess
SSDT 89BF9890 ZwSuspendThread
SSDT 89BE60B8 ZwTerminateProcess
SSDT 89BF8890 ZwTerminateThread
SSDT 89BE40C0 ZwUnmapViewOfSection
SSDT 88F60B80 ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.15 ----

.text TUKERNEL.EXE!ZwYieldExecution + A6 804E48E0 8 Bytes CALL 48DED2A1
? SYMEFA.SYS Das System kann die angegebene Datei nicht finden. !
.text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xB668F360, 0x3CEED5, 0xE8000020]
.text C:\WINDOWS\system32\DRIVERS\atksgt.sys section is writeable [0xB2F29300, 0x3ACC8, 0xE8000020]
.text C:\WINDOWS\system32\DRIVERS\lirsgt.sys section is writeable [0xF774F300, 0x1B7E, 0xE8000020]
? C:\DOKUME~1\***\LOKALE~1\Temp\mbr.sys Das System kann die angegebene Datei nicht finden. !

---- Devices - GMER 1.0.15 ----

AttachedDevice \Driver\Tcpip \Device\Ip SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice \Driver\Tcpip \Device\Tcp SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice \Driver\Tcpip \Device\Udp SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice \Driver\Tcpip \Device\RawIp SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

---- EOF - GMER 1.0.15 ----
gruß solitudo

Hallo und :hallo:

Was ist denn jetzt konkretes Problem bei dem Gerät? Meldungen über Schädlinge? Das HJT-Log ist unauffällig!
Falls jmd. an Deine Daten rangekommen ist und die kopiert hat, wirst Du das nicht rückgängig machen können ;)

Danke fürs Willkommen heissen.
Mein Problem ist, dass immer wieder kopierte Dateien auftauchen z.B. ist mit einem Mal der Ordner vom System 32 kopiert und diese Kopie dann woanders abgelegt. Auch ist mein Bildschirm relativ lange Schwarz, bis er Windows hochfährt. Hier hatte jemand mal etwas von bootsektorenviren geschrieben woraufhin ihm empfohlen wurde gmer durchzuführen. Ich habe dies dann auch mal gemacht. Dabei ist herausgekommen, dass drei Sachen weiterarbeiten würden, obwohl ich nichts angefasst habe. Leider kenn ich mich nicht ganz so gut aus mit den ganzen scanergebnissen. Bevor ich zu viel lösche, lass ich lieber die Finger von. Nur möchte ich vermeiden, dass jemand meine Dateien benutzt. Deshalb meine Anfrage u.a.
Desweiteren gibt es einen anonymous, welcher bei mir auf den Rechner guckt.
Ich habe versucht eine ip rauszubekommen. War Mal die Telekom und anderes Mal angeblich jemand aus Australien.

Gruß solitudo

Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!! )

Wichtig für Benutzer mit Windows Vista und Windows 7: Bitte alle Tools per Rechtsklick => Als Admin ausführen!

Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

http://www.file-upload.net/download-2053674/info-kopie.txt.html

http://www.file-upload.net/download-2053676/rsit-logfile.txt.html

Danke schon einmal im Voraus.

Gruß solitudo

Wo ist denn das MalwareBytes Logfile?

Sorry, bin etwas durcheinandergekommen mit den logfiles.

Hoffe, das ist er;
http://www.file-upload.net/download-2055578/info-kopie.txt.html

Habe heute festgestellt, dass ich auf einige Ordner keinen Zugriff habe. Ausserdem habe ich gerade eine Systemwiederherstellung machen müssen, weil ich kurz vorher im abgesicherten Modus war und danach, als ich wieder in den Normalmodus durch Neustart wechseln wollte, einige Treiber weg waren zB. der Treiber meiner Grafikkarte.

Gruß solitudo

Was soll das heißen auf einige Ordner? Wenn Du das erwähnst, warum nennst Die diese Ordner denn nicht auch gleich?

- System Volumen Information

- alles, was Video CD Movie ist (zB. im Ordner f50e164eb0a45f4f0900667cd27d ist so eine Datei. Ist ohne Dateityp bzw. -endung)

Der REest war nur im gesicherten Modus von windows nicht zu öffnen.

Gruß solitudo

In System Volume Information kommst Du normalweise nicht rein. Standardmäßig jedenfalls nicht, das ist ok. Da sind Dateien für die Systemwiederherstellung drin.
Mit dem anderen Ordner kann ich nichts anfangen. Und was hat das mit "CD Movie" zu tun wenn die Datei keine Endung hat? Wie willst Du ohne die Dateiendung richtig einschätzen, welcher Dateityp das ist :confused:

Sorry, ich kann damit auch nichts anfangen, leider. Windows empfiehlt mir für die Öffnung derartiger Programme Nero Essentials. Jedoch meckert Nero, dass es die Datei nicht öffnen kann, weil sie entweder beschädigt ist oder Nero das Format nicht unterstützt.

Dann lösch den Ordnder. Sieht aus, als wenn der im Zuge einer Installation temporär angelegt aber nicht gelöscht wurde.

Das Logfile von Malwarebytes fehlt immer noch.

Solch Video CD Movie Datei ist unter anderem auch unter Profil und dann unter NT-user. Soll ich den auch versuchen zu löschen?

Malware-logfile:
http://www.file-upload.net/download-2062552/mbam-log-2009-12-07--14-59-34-


Gruss solitudo

Ja, löschen. Der Link zum MBAM-Log ist fehlerhaft!

Malwarebytes' Anti-Malware 1.41
Datenbank Version: 3284
Windows 5.1.2600 Service Pack 3

07.12.2009 14:59:34
mbam-log-2009-12-07 (14-59-34).txt

Scan-Methode: Vollständiger Scan (C:\|E:\|)
Durchsuchte Objekte: 149780
Laufzeit: 21 minute(s), 31 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)


Gruß solitudo