|
Email-Worm.Win32.Warezov.nd Hi, ich war so 20 min weg vom pc und als ich wieder kam , stand da so eine Antivir meldung, dass ein virus gefunden wurde. ( WORM.Stration.HQ ). Habe die Datei auch schon bei kaspersky hochgeladen und hat den fund bestätigt ( 9eu2zyx5.pif Infiziert: Email-Worm.Win32.Warezov.nd ) Jetzt habe ich ihn mit antivir gelöscht, doch bin ich mir nicht sicher , ob er wirklich gelöscht wurde... ( besonders weile eine fehlermeldung kam , aber die datei doch verschwand ) Gibt es eineige merkmale ? Und bei dem Hijackthis logfile ist ganz unten die meldung "O23 - Service: Sicherheitscenter (wscsvc) - Unknown owner - C:\WINDOWS\C:\WINDOWS\System32\svchost.exe (file missing) " Ist das gefährlich ? Hier ein Hijackthis Logfile: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 14:32:22, on 20.10.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe C:\Programme\Trojancheck 6\tcguard.exe C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Teamspeak2_RC2\TeamSpeak.exe C:\Programme\ICQLite\ICQLite.exe C:\PROGRA~1\MOZILL~1\FIREFOX.EXE C:\Programme\BOINC\boincmgr.exe C:\Programme\BOINC\boinc.exe C:\Valve\Steam\Steam.exe C:\Programme\Winamp\winamp.exe C:\Programme\BOINC\projects\boinc.bakerlab.org_rosetta\rosetta_5.69_windows_intelx86.exe C:\Programme\AntiVir PersonalEdition Classic\avscan.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aol.de/ R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8080 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local;localhost O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [Trojancheck 6 Guard] C:\Programme\Trojancheck 6\tcguard.exe O4 - HKLM\..\Run: [ATIPTA] "C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe O16 - DPF: {0B79F48A-E8D6-11DB-9283-E25056D89593} (F-Secure Online Scanner 3.1) - http://support.f-secure.com/ols/fscax.cab O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://support.f-secure.com/ols/fscax.cab O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: ForceWare IP service (nSvcIp) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe O23 - Service: ForceWare user log service (nSvcLog) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe O23 - Service: Sicherheitscenter (wscsvc) - Unknown owner - C:\WINDOWS\C:\WINDOWS\System32\svchost.exe (file missing) -- End of file - 5191 bytes |
Hallo Zui0. Führe bitte einen eScan nach Anleitung aus meiner Signatur durch. Funktioniert dein XP-Sicherheitscenter einwandfrei inkl. Update und autom. Update? |
Das sicherheitscenter lässt sich nicht starten , aber ich mach das jetzt erst mit dem escan ;) poste das file gleich .... |
Zitat:
Gehe nach dem eScan mal bitte wie folgt vor: -Downloade cCleaner und installiere das Prog. -Wechsel in den abgesicherten Modus (F8 beim Hochfahren). -Fixe mit HJT den benannten Eintrag: * O23 - Service: Sicherheitscenter (wscsvc) - Unknown owner - C:\WINDOWS\C:\WINDOWS\System32\svchost.exe (file missing) * -Lasse gleich danach cCleaner laufen (HINWEIS: Die Registry/Probleme musst du mehrmals durchsuchen und bereinigen lassen!) -Navigiere in den Ordner " C:\WINDOWS\C:\WINDOWS\System32\ " und lösche dort die Datei " svchost.exe " Der Dateipfad der zu Löschenden Datei lautet also " C:\WINDOWS\C:\WINDOWS\System32\svchost.exe ". Was befindet sich noch in dem gefakten " C:\WINDOWS\C:\WINDOWS\ " Ordner? -Lasse cCleaner abermals laufen. -Starte den Rechner neu und erstelle ein frisches HJT log. Taucht der Eintrag immer noch auf? Lässt sich das Sicherheitscenter nun starten? |
Also ich sitze grade an einem anderen pc ... EInen Virus hat eScan schon gefunden ( leider ging das update nicht , also habe ich den schritt übersprungen )... warte noch bis der scan fertig is dann mach ich das mitm ccleaner ... edit : gefundene viren mittlerweile bei 41 :( Wie lange dauert son scan ca. bin bei ca. 60.000 durchsuchten datein. Und bei ccleaner "-Navigiere in den Ordner " C:\WINDOWS\C:\WINDOWS\System32\ " und lösche dort die Datei " svchost.exe "" du meinst C:\WINDOWS\System32\ oder ? |
ist jetzt schon fast 2 stunden am scannen , ist das normal ? |
So der scannvorgang ist abgeschlossen: Code: ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Das scannprotokoll ( 24 MB groß ) wird nicht benötigt oder ? |
Also ich habe jetzt alles bis "-Navigiere in den Ordner " C:\WINDOWS\C:\WINDOWS\System32\ " und lösche dort die Datei " svchost.exe " Der Dateipfad der zu Löschenden Datei lautet also " C:\WINDOWS\C:\WINDOWS\System32\svchost.exe ". Was befindet sich noch in dem gefakten " C:\WINDOWS\C:\WINDOWS\ " Ordner? -Lasse cCleaner abermals laufen. -Starte den Rechner neu und erstelle ein frisches HJT log. Taucht der Eintrag immer noch auf? Lässt sich das Sicherheitscenter nun starten?" gemacht. Ich kann leider keinen gefakten Windows ordner finden ... Was nun ? |
Wie kann ich denn jetzt die viren entfernen , die eScan gefunden hat ? Alle manuell oder wie ? Und die Reg EInträge auch einfach löschen oder was muss ich machen ? |
Laaangsam bitte. Du hast so viel Zeugs auf dem Rechner.. Also: Bevor ich das jetzt auseinanderpflücke guckst du dir die Dateien an die eScan anprangert. Ich halte alle für FalsePositives also Fehlmeldungen. Bei einigen die ich dir nun poste bin ich mir nicht sicher: Zitat:
Dort überprüfst du ob die Dateien auch wirklich gelöscht wurden. Starte den Rechner neu und deaktiviere die Systemwiederherstellung auf allen Laufwerken. Danach räume mit cCleaner auf ( die Registry musst du mehrmals durchsuchen und bereinigen lassen). Wenn du das erledigt hast folge bitte dieser http://www.trojaner-board.de/30411-a...-von-zlob.html. |
Hier rapport : Code: SmitFraudFix v2.240Hier ein neuer Logfile von hijackthis : Code: Logfile of Trend Micro HijackThis v2.0.2EDIT : Beim 2. durchführen von dem rapport prog da , kam die frage ob ich eine "delete_me_dummy_systems.txt"löschen will. Ich klickte ja aber es ging nicht , das prog fragte dann immer wieder. Sie befand sich glaube ich im system32 ordner... Ich musste auf n klicken um weiter zu kommen ... |
Fixe bitte folgenden HJT-Eintrag: * O23 - Service: Sicherheitscenter (wscsvc) - Unknown owner - C:\WINDOWS\C:\WINDOWS\System32\svchost.exe (file missing) * Starte den Rechner neu und erstelle ein neues HJT-log. Poste es hier und berichte welche Probleme nun noch auftreten. |
2. rapport Code: SmitFraudFix v2.240 |
Wenn ich auf Fix checked klicke arbeitet er 1 sek und dann kommt ein leeres fenster ...( siehe bild ) Kann anscheinend nicht gefixed werden ... http://img218.imageshack.us/img218/2...is21321ei6.jpg |
Ich möchte mich nicht einmischen aber. Er sollte doch die DAtei im gefakten Windows Ordner löschen. Da dieser nicht vorhanden ist versteckt er sich. Also erkläre ihm wie er versteckte Dateien Sichtbar macht Dieser post geht an undoreal |
er ist grade offline ... kannst du es mir erklähren ? :) |
Antivir update schlägt nun immer fehl ... genaue fehlermeldung : Code: Die Validierung von Engine und VDF schlug fehl.Code: 20.10.2007 23:57:25 - Installationsverzeichnis: C:\Programme\AntiVir PersonalEdition Classic\ERLEDIGT |
Hi, eine "C:\WINDOWS\C:\WINDOWS\System32\svchost.exe" gibt es nicht, spart euch die Suche. Wenn das im Hijackthis steht, ist es die Folge eines geänderten Registryeintrags für einen Standardservice von Windows. Normalerweise wird er nicht angezeigt, da Hijackthis eine Whitelist hat. regedit starten, links zu Code: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvcCode: %SystemRoot%\System32\svchost.exe -k netsvcsCode: %SystemRoot%\C:\WINDOWS\system32\svchost.exe -k netsvcsBleibt natürlich die Frage offen, wer dafür verantwortlich ist. Mir fällt ein, dass ich diese Veränderung oft im Zusammenhang mit einer Backdoor Ciadoor sehe. Das ist aber kein Schluss, dass die hier vorliegen muss. Gruß, Karl |
Genau das steht da : Code: \SystemRoot\C:\WINDOWS\System32\svchost.exe -k netsvcs |
Kannst du das Sicherheitscenter denn nun manuell wieder aktivieren oder geht das immer noch nicht? Silentrunners Logfile -Lade dir das Tool -> Silentrunners -Entpacke das Script in einen Ordner deiner Wahl -Doppelklick auf -> Silent Runners -> Option Supplementary Searches auswählen -System wird nun überprüft, nach Beendigung wird eine Log-Datei erstellt (Dein Antiviren-Scanner könnte eine Meldung wegen „bösartigem Script“ erstellen, ignoriere dieses und arbeite weiter!) -Dann öffne die Silent Runners xxx.txt mit einem Editor und kopiere den gesamten Inhalt ab und füge ihn in einen Beitrag ein. (Strg+A markieren -> Strg+C kopieren -> Strg+V einfügen) |
Also wenn ich in den systemstart gucke ( msconfig bla da ) da steht , dass das Sicherheitscenter im Autostart ist , aber beendet wurde. Ich weiß nicht wie ich es starten sollte. Ich fürhre grade noch einen Kaspersky Online Scan durch , dann mach ich das , was du vorgeschlagen hast ;) |
Zitat:
Versuche bitte den Dienst zu starten. |
Achso da hab ich es schon probiert ;) Zitat:
|
Hier ist die Log-Datei: Code: "Silent Runners.vbs", revision 52, http://www.silentrunners.org/ |
Zitat:
|
Ich denk mal der hat nicht versucht den Dienst zu starten sondern nur das reine Sicherheitscenter... |
jup, das denke ich auch :rolleyes: |
Also ich habe : Systemsteuerung --> Sicherheitscenter und "msconfig" Dienste Sicherheitscenter passiert aber nix |
Achso jetzt hab ichs : --------------------------- Dienste --------------------------- Der Dienst "Sicherheitscenter" auf "Lokaler Computer" konnte nicht gestartet werden. Fehler 123: Die Syntax für den Dateinamen, Verzeichnisnamen oder die Datenträgerbezeichnung ist falsch. --------------------------- OK --------------------------- Nun kommt die meldung : --------------------------- Dienste --------------------------- Der Dienst "Sicherheitscenter" auf "Lokaler Computer" konnte nicht gestartet werden. Fehler 2: Das System kann die angegebene Datei nicht finden. --------------------------- OK --------------------------- |
Aber muss das denn wirklich auf nen Virus oder was anderes schädliches hinweisen ? Weil ein Kollege meinte, dass er das auch schonmal gehabt hat , aber es sich irgendwie geregelt häte. |
Von selber regelt sich das nicht. Wenn Du meinst da Sicherheitscenter zu brauchen, dann solltest Du mal den "ImagePath" korrigieren. |
Also ich habe das geändert was du geschrieben hattest. Nun steht "Fehler 2: Das System kann die angegebene Datei nicht finden." wenn ich das Sicherheitscenter starten will da. Und was ist eigentlich mit diesem gefakten windows ordner ? |
Dann schau doch einfach mal auf deiner Platte nach, ob es diesen Ordner gibt. Ich sage nein. Erneut regedit starten und links wieder zu Code: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvcNun auf dem Desktop die gerade angelegte Datei (sie hat jetzt die Endung REG, wenn Du nicht noch weitere Einstellungen geändert hast) suchen. Rechtsklick drauf -> bearbeiten, jetzt soll sie in den Editor geladen sein. Alles markieren und hier rein kopieren. Füge vorher diese Zeile ein Zitat:
Zitat:
Dann in den Ordner C:\Windows\system32 schauen und feststellen ob die Dateien svchost.exe und wscsvc.dll vorhanden sind. Btw: Warezov ist ein guter Grund zum formatieren und neuinstallieren. Ein weiterer liegt darin, dass diese Manipulation meist mit einem Backdoorserver Ciadoor auftritt. Ich glaube, dass langsam weitere Gründe hinzukommen. Du könntest schon lange fertig sein. |
Ok danke euch allen. Ich habe heute Nachmittag formatier , denke was jetzt die einfachste lösung :) |
Volle Zustimmung ;) |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 06:06 Uhr. |
Copyright ©2000-2025, Trojaner-Board