|
Post von HiJackThis Hallo. meine Freundin war im Internet unterwegs und ist irgendwie auf Searchmiracle gestossen... am nächsten Tag bootete ich den PC und ich hatte eine neue Toolbar und ein immer wiederkehrendes Pop-Up... Habs schon mit Adware und Spy_boot versucht... hat nicht so richtig funktioniert. Hab s auch schon von HiJackThis automatic analysieren lassen, nur vertrauen tue ich dem Ergebnis nicht ganz... Bitte um Hilfe Logfile of HijackThis v1.98.2 Scan saved at 15:40:48, on 18.10.2004 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\Programme\Kazaa Lite K++\KazaaLite.kpp C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Dokumente und Einstellungen\Bill Gates\Anwendungsdaten\teob.exe C:\WINDOWS\system32\w?wexec.exe C:\Programme\EMule\emule.exe C:\Programme\Ulead Systems\Ulead PhotoImpact 5\ABMTSR.EXE C:\Programme\FinePixViewer\QuickDCF.exe C:\Programme\UltimateZip\uzqkst.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE C:\Programme\Norton AntiVirus\SAVScan.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\X-Pro\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.univie.ac.at/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE O4 - HKLM\..\Run: [KAZAA] "C:\Programme\Kazaa Lite K++\kpp.exe" "C:\Programme\Kazaa Lite K++\KazaaLite.kpp" /SYSTRAY O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKLM\..\Run: [Sys29] C:\windows\system32\winjlv32.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Rutl] C:\Dokumente und Einstellungen\Bill Gates\Anwendungsdaten\teob.exe O4 - HKCU\..\Run: [Rghbu] C:\WINDOWS\system32\w?wexec.exe O4 - HKCU\..\Run: [eMuleAutoStart] C:\Programme\EMule\emule.exe -AutoStart O4 - Startup: UltimateZip Quick Start.lnk = C:\Programme\UltimateZip\uzqkst.exe O4 - Global Startup: Album Fast Start.lnk = C:\Programme\Ulead Systems\Ulead PhotoImpact 5\ABMTSR.EXE O4 - Global Startup: Exif Launcher.lnk = ? O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O9 - Extra button: ATI TV - {44226DFF-747E-4edc-B30C-78752E50CD0C} - C:\Programme\ATI Multimedia\TV\EXPLBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_fi...5350d6e5b6c6a9 O16 - DPF: {771A1334-6B08-4A6B-AEDC-CF994BA2CEBE} (Installer Class) - http://www.ysbweb.com/ist/softwares/...sb_regular.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{2AB5BD31-6C9F-49BB-9D7C-C78C58FAFA1F}: NameServer = 195.34.133.10,195.34.133.11 Nach welcher Reihenfolge soll ich die Spyware-finder kontollieren lassen? Danke für eine Antwort |
Hallo strupp78, Scanne mit dem online-scan von Kaspersky folgende Dateien: C:\Dokumente und Einstellungen\Bill Gates\Anwendungsdaten\teob.exe C:\WINDOWS\system32\w?wexec.exe Teile uns das Ergebnis der Überprüfung mit und sende diese Dateien an partytime-germany.ice@web.de, mit Verweis auf diesen Thread. Boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe dann mit Hijack This (Häk'chen setzen und fix checked klicken): C:\Programme\FinePixViewer\QuickDCF.exe O4 - HKLM\..\Run: [KAZAA] "C:\Programme\Kazaa Lite K++\kpp.exe" "C:\Programme\Kazaa Lite K++\KazaaLite.kpp" /SYSTRAY O4 - HKLM\..\Run: [Sys29] C:\windows\system32\winjlv32.exe O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_f... 350d6e5b6c6a9 wenn Du diese Einträge nicht kennst/brauchst, bitte ebenfalls fixen: R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.univie.ac.at/ O4 - HKCU\..\Run: [Rutl] C:\Dokumente und Einstellungen\Bill Gates\Anwendungsdaten\teob.exe O4 - HKCU\..\Run: [Rghbu] C:\WINDOWS\system32\w?wexec.exe O4 - HKCU\..\Run: [eMuleAutoStart] C:\Programme\EMule\emule.exe -AutoStart Beende die Prozesse: QuickDCF.exe kpp.exe winjlv32.exe wenn Du diese Prozesse nicht kennst/brauchst, bitte ebenfalls beenden: teob.exe w?wexec.exe emule.exe Aktiviere die Systemwiederherstellung. Boote in den normalen Modus. Führe den eScan (Anleitung bitte beachten), online geupdatet, offline im abgesicherten Modus aus. Teile uns das Ergebnis des eScan mit: wieviel Viren wurden auf Deinem Rechner gefunden: "Öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." Der eScan ab Version 4.5.1 löscht keine Malware. Das muss von Hand gemacht werden. Poste ein neues Hijack This Logfile. SD |
Hallo SD danke für deine Hilfe Post von eScan Tue Oct 19 12:52:08 2004 => File C:\WINDOWS\system32\bkmsf32.dat infected by "Trojan.Win32.StartPage.nk" Virus. Action Taken: No Action Taken. Tue Oct 19 12:53:41 2004 => File C:\WINDOWS\system32\Trojaner1.exe infected by "Trojan.Win32.StartPage.nk" Virus. Action Taken: No Action Taken. Tue Oct 19 12:53:51 2004 => File C:\WINDOWS\system32\winjlv32.exe infected by "Trojan.Win32.StartPage.nk" Virus. Action Taken: No Action Taken. Tue Oct 19 12:53:51 2004 => File C:\WINDOWS\system32\winrsv32.exe infected by "Trojan.Win32.StartPage.nk" Virus. Action Taken: No Action Taken. Tue Oct 19 12:53:59 2004 => Total Files Scanned: 2691 Tue Oct 19 12:53:59 2004 => Total Virus(es) Found: 5 Tue Oct 19 12:53:59 2004 => Total Disinfected Files: 0 Tue Oct 19 12:53:59 2004 => Total Files Renamed: 0 Tue Oct 19 12:53:59 2004 => Total Deleted Files: 0 Tue Oct 19 12:53:59 2004 => Total Errors: 4 Tue Oct 19 12:53:59 2004 => Time Elapsed: 00:02:57 Tue Oct 19 12:53:59 2004 => Virus Database Date: 2004/10/18 Tue Oct 19 12:53:59 2004 => Virus Database Count: 106860 Dieser Virus scheint nur in der Virus Log-Info auf, nicht aber in mwav.log File C:\WINDOWS\Tattoo-Base[toe-10162,,].exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken. Hi JackThis Log file Logfile of HijackThis v1.98.2 Scan saved at 13:02:17, on 19.10.2004 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Ulead Systems\Ulead PhotoImpact 5\ABMTSR.EXE C:\Programme\FinePixViewer\QuickDCF.exe C:\Programme\UltimateZip\uzqkst.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE C:\Programme\Norton AntiVirus\SAVScan.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\X-Pro\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - Startup: UltimateZip Quick Start.lnk = C:\Programme\UltimateZip\uzqkst.exe O4 - Global Startup: Album Fast Start.lnk = C:\Programme\Ulead Systems\Ulead PhotoImpact 5\ABMTSR.EXE O4 - Global Startup: Exif Launcher.lnk = ? O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O9 - Extra button: ATI TV - {44226DFF-747E-4edc-B30C-78752E50CD0C} - C:\Programme\ATI Multimedia\TV\EXPLBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {771A1334-6B08-4A6B-AEDC-CF994BA2CEBE} (Installer Class) - http://www.ysbweb.com/ist/softwares/...sb_regular.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{2AB5BD31-6C9F-49BB-9D7C-C78C58FAFA1F}: NameServer = 195.34.133.10,195.34.133.11 Danke für deine Hilfe... |
Hallo strupp78, boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe dann mit Hijack This (Häkchen setzen und fix checked klicken): wenn Du diese Seite nicht kennst/brauchst, bitte auf Diskette sichern, es dürfte ein Dialer sein, dann fixen: O16 - DPF: {771A1334-6B08-4A6B-AEDC-CF994BA2CEBE} (Installer Class) - http://www.ysbweb.com/ist/softwares...ysb_regular.cab Beende folgenden Prozess: QuickDCF.exe Lösche C:\Programme\FinePixViewer\QuickDCF.exe Zitat:
"öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und in die Windows Suche übertragen -> löschen!" Eventuell Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> "Alle Dateien und Ordner anzeigen" aktivieren Boote in den normalen Modus, aktiviere die Systemwiederherstellung. Erstelle ein neues Hijack This Logfile und poste es. SD |
Hey danke SD für deine schnellen Antworten, um 05:56 Uhr... schläfst du auch manchmal... :) Post Log File Logfile of HijackThis v1.98.2 Scan saved at 12:21:34, on 21.10.2004 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\EMule\emule.exe C:\Programme\Ulead Systems\Ulead PhotoImpact 5\ABMTSR.EXE C:\Programme\UltimateZip\uzqkst.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE C:\Programme\Norton AntiVirus\SAVScan.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\X-Pro\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.univie.ac.at/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [eMuleAutoStart] C:\Programme\EMule\emule.exe -AutoStart O4 - Startup: UltimateZip Quick Start.lnk = C:\Programme\UltimateZip\uzqkst.exe O4 - Global Startup: Album Fast Start.lnk = C:\Programme\Ulead Systems\Ulead PhotoImpact 5\ABMTSR.EXE O4 - Global Startup: Exif Launcher.lnk = ? O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O9 - Extra button: ATI TV - {44226DFF-747E-4edc-B30C-78752E50CD0C} - C:\Programme\ATI Multimedia\TV\EXPLBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{2AB5BD31-6C9F-49BB-9D7C-C78C58FAFA1F}: NameServer = 195.34.133.10,195.34.133.11 Im eScan bekomme ich einer Error-Meldung: Tue Oct 19 14:01:25 2004 => ERROR!!! Invalid Entry C:\WINDOWS\System32\ImapiRox.exe in SYSTEM\CurrentControlSet\Services\ImapiService... Tue Oct 19 14:01:37 2004 => Result: ERROR!!! File C:\WINDOWS\SchedLgU.Txt: Scanning Failure! Tue Oct 19 14:01:37 2004 => Result: ERROR!!! File C:\WINDOWS\SchedLgU.Txt: Scanning Failure!!! Tue Oct 19 14:01:37 2004 => ERROR!!! ScanFile fails for C:\WINDOWS\SchedLgU.Txt Tue Oct 19 14:01:44 2004 => Result: ERROR!!! File C:\WINDOWS\WindowsUpdate.log: Scanning Failure!!! Was bedeutet dass?? Noch eine Frage... Ich habe Norton Anti Virus Pro 2004 auf dem Pc, nur lässt sich die Auto-Protect Funktion die eigentlich Standard sein sollte nicht einschalten... springt jedesmal in andere Einstellung zurück... und die E-Mail Prüfung wird als FEHLER ausgegeben... Kann das mit den vorherigen Virenbefall zusammenhängen... hast du einen Lösungsvorschlag... Danke im Voraus PS eScan war ansonsten negativ |
Hallo strupp78, dein Logfile sieht - meiner Ansicht - sauber aus, doch schau selbst: automatische Auswertung. Was ein gelbes Fragezeichen hat, kann gefixed werden, muss aber nicht. Zitat:
Hier noch ein bisschen Lektüre: - Vorbeugende Maßnahmen: www.trojaner-info.de - www.mathematik.uni-marburg.de - IE sicher konfigurieren: www.datenschutzzentrum.de. - Einschränktes Benutzerkonto: www.ntsvcfg.de. Viel Erfolg weiterhin! SD |
Danke dir nochmal für deine Hilfe... |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 03:19 Uhr. |
Copyright ©2000-2024, Trojaner-Board