|
"Herr Dr. bin ich wirklich CLEAN ???" Hallo, Hatte mir ein ganzes "Trojanergestüt" eingefangen, hurra! (FraudLo.sxm, bravia, und diverse andere + rootkit Verdacht) Hab artig gelesen , gescannt gelogged und gecleant, aber mit dem Rootkit bin ich mir überhaupt nicht sicher. Würde mich freuen, wenn es an einem so schönen, stürmischen Tag auch meine letzten Zweifel verweht. Danke sehr .... Anbei die aktuellen Logs von Hijackthis und GMER (RSIT_log.txt ist auch da, nur zu lang für den thread) -------------------------------- Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 14:06:20, on 04.09.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\Program Files\Synaptics\SynTP\SynTPEnh.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Program Files\SPAMfighter\SFAgent.exe C:\Program Files\Hewlett-Packard\HP ProtectTools Security Manager\PTHOSTTR.EXE C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe C:\Program Files\Hewlett-Packard\IAM\bin\asghost.exe C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Program Files\Intel\Intel Matrix Storage Manager\iaantmon.exe C:\Program Files\Common Files\InterVideo\RegMgr\iviRegMgr.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\oodag.exe C:\Program Files\SPAMfighter\sfus.exe C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\Program Files\Trend Micro\HijackThis\HijackThis.exe C:\WINDOWS\system32\NOTEPAD.EXE R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file) O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [SPAMfighter Agent] "C:\Program Files\SPAMfighter\SFAgent.exe" update delay 60 O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /nodetect O4 - HKLM\..\Run: [PTHOSTTR] C:\Program Files\Hewlett-Packard\HP ProtectTools Security Manager\PTHOSTTR.EXE /Start O4 - HKLM\..\Run: [CognizanceTS] rundll32.exe C:\PROGRA~1\HEWLET~1\IAM\Bin\ASTSVCC.dll,RegisterModule O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [ISUSPM] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -scheduler O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE') O4 - HKUS\S-1-5-19\..\Run: [rundll32.exe] rundll32.exe "C:\Documents and Settings\LocalService\Application Data\Macromedia\Common\c9e8800a1.dll"" (User 'LOCAL SERVICE') O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'LOCAL SERVICE') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE') O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'NETWORK SERVICE') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user') O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Senden an &Bluetooth - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing) O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing) O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O20 - AppInit_DLLs: APSHook.dll O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll O20 - Winlogon Notify: OneCard - C:\Program Files\Hewlett-Packard\IAM\Bin\ASWLNPkg.dll O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMon) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\iaantmon.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: IviRegMgr - InterVideo - C:\Program Files\Common Files\InterVideo\RegMgr\iviRegMgr.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe O23 - Service: SLPMONX - ProdEx Technologies - C:\WINDOWS\system32\slpservice.exe O23 - Service: SPAMfighter Update Service - SPAMfighter ApS - C:\Program Files\SPAMfighter\sfus.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe O23 - Service: V2i Protector - PowerQuest Corporation - C:\Program Files\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe -- End of file - 7215 bytes ------------------- GMER 1.0.15.15077 [9t7hupob.exe] - http://www.gmer.net Rootkit scan 2009-09-04 14:57:47 Windows 5.1.2600 Service Pack 3 ---- System - GMER 1.0.15 ---- SSDT F7ABC5B4 ZwCreateThread SSDT F7ABC5A0 ZwOpenProcess SSDT F7ABC5A5 ZwOpenThread SSDT \??\C:\Program Files\SUPERAntiSpyware\SASKUTIL.sys (SASKUTIL.SYS/SUPERAdBlocker.com and SUPERAntiSpyware.com) ZwTerminateProcess [0xEC5DF0B0] SSDT F7ABC5AA ZwWriteVirtualMemory ---- Kernel code sections - GMER 1.0.15 ---- .text ntkrnlpa.exe!ZwCallbackReturn + 2FC8 80504864 2 Bytes [B0, F0] {MOV AL, 0xf0} ---- Devices - GMER 1.0.15 ---- AttachedDevice \FileSystem\Ntfs \Ntfs PQV2i.sys (StorageCraft Volume Snap-Shot/StorageCraft) AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.) AttachedDevice \Driver\Ftdisk \Device\HarddiskVolume1 PQV2i.sys (StorageCraft Volume Snap-Shot/StorageCraft) AttachedDevice \Driver\Ftdisk \Device\HarddiskVolume2 PQV2i.sys (StorageCraft Volume Snap-Shot/StorageCraft) AttachedDevice \Driver\Ftdisk \Device\HarddiskVolume3 PQV2i.sys (StorageCraft Volume Snap-Shot/StorageCraft) AttachedDevice \FileSystem\Fastfat \Fat PQV2i.sys (StorageCraft Volume Snap-Shot/StorageCraft) ---- Registry - GMER 1.0.15 ---- Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL@Installed 1 Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI@Installed 1 Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI@NoChange 1 Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS@Installed 1 Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\System Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\System@OODEFRAG08.00.00.01WORKSTATION B98A417FB6313E4867227C2C1609040E4F476586CB8574E7544E8DCE41F0947CD9208C433821A7CC770E0E714B66C276C8F6705F845CF2BAC62EF5FC7CFD75E02F49FE68908FF9DD839F5B 04A0D28051113C285C639A37570B02BED64B94F91DB6B1333DF67ECED2A2385F8E331806E6F6D088A20E6A5B114A7487217B662C328E1C084581C7417A8BCCDBF084CFA06F6AFD5311104E FA2FFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CA6A0AC4980AC79339DB7CE019D40AA5CBA7FD869164D67945D 575E7D6A3B98085DB11CE95D2EA9CEACA8B8726462ADF4FC10C4C3EBDAA4CF050DE3AD36A4636FFA5AC7F3885967FA9EAD09AB79ACB8F94F619872D6BAE8F8BCF93FF5153A13F19B75A8BF D670740774EA04E6F6791112F9793479346370FD7A8E0A426094D978D0EF95E41F843667772185B9BC43EC3C1F0F12078FD45F8B58157F04EA5770FB4FCB2B2D217D958197A7A7EA135404 6C056DEF82D8DE6241956EA05C6FF911E96F1D4A99FB99003065E8CEF722D0168896F350846128A733988F2EA187457BA3AE0E16DDB766E34017631E91FA2BE2EC6316F8DA612A61E96700 B0DFB458F47D2DDBF5DFBCC938F30629FE9B0F2E31679EDBF408F432C5E02EDB73545B28C2C1B157193C57F87401B0DF9EAE34F3CA3B9D5F12409BE3100 ---- EOF - GMER 1.0.15 ---- |
Hallo und Herzlich Willkommen! :) - Beschreibe, welche Versuche du unternommen hast, um das Problem zu lösen (schon vorhandene Log auch posten) - Die Anweisungen bitte gründlich lesen und immer streng einhalten, da ich die Reihenfolge nach bestimmten Kriterien vorbereitet habe: 1. ich brauche mehr `Übersicht` bzw Daten über einen längeren Zeitraum - dazu bitte Versteckte - und Systemdateien sichtbar machen:: → Klicke unter Start auf Arbeitsplatz. → Klicke im Menü Extras auf Ordneroptionen. → Dateien und Ordner/Erweiterungen bei bekannten Dateitypen ausblenden → Haken entfernen → Geschützte und Systemdateien ausblenden → Haken entfernen → Versteckte Dateien und Ordner/Alle Dateien und Ordner anzeigen → Haken setzen. → Bei "Geschützte Systemdateien ausblenden" darf kein Häkchen sein und "Alle Dateien und Ordner anzeigen" muss aktiviert sein. 2. Für XP und Win2000 (ansonsten auslassen) → lade Dir das filelist.zip auf deinen Desktop herunter → entpacke die Zip-Datei auf deinen Desktop → starte nun mit einem Doppelklick auf die Datei "filelist.bat" - Dein Editor (Textverarbeitungsprogramm) wird sich öffnen → kopiere aus die erzeugten Logfile alle 7 Verzeichnisse ("C\...") usw - aber nur die Einträge der letzten 6 Monate - hier in deinem Thread ** vor jedem Eintrag steht ein Datum, also Einträge, die älter als 6 Monate sind bitte herauslöschen! 3. Ich würde gerne noch all deine installierten Programme sehen: Lade dir das Tool ccleaner herunter installieren ("Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ unter Options settings-> "german" einstellen dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..." wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein 4.
Zitat:
Coverflow |
Hier die Daten Hallo hier kommen die Daten : Code: ----- Root ----------------------------- regsearch Code: Windows Registry Editor Version 5.00Code: ACDSee 7.0 PowerPack |
hi 1 Sichere zuerst mal Deine Registry: *ERUNT*/Registry sicherungs Tool 2. - Editor zu öffnen: "Start → ausführen → notepad (reinschreiben) → OK - den Text aus dieser Code-Box markieren → kopieren→ in den Editor einfügen - Das Dokument als "regfix.reg" - inklusive den Gäsefüßchen - `Speichern unter` auf deinem Desktop speichern. - befinden sich dann auf deinem Desktop als regfix.reg - regfix.reg mit Doppelklick starten - Frage mit JA beantworten, damit folgende Registryschlüssel werden geändert: Code: Windows Registry Editor Version 5.003. poste erneut: Trend Micro HijackThis-Logfile |
regfix done HJT logfile neu Hallo nochmals Dank für die Hilfe aktueller HJT logfile anbei Code: Logfile of Trend Micro HijackThis v2.0.2 |
1. - den Quarantäne Ordner überall leeren - Antivirus bzw Anti-Spy-Programm usw - Entferne Gmer 2. alle Anwendungen schließen → Ordner für temporäre Dateien bitte leeren **Lösche nur den Inhalt der Ordner, nicht die Ordner selbst! - Dateien, die noch in Benutzung sind,nicht löschbar.
3. reinige dein System mit Ccleaner:
4.
5. Windows und die installierten Programme auf den neuesten Stand zu halten,sind Garanten für eine erhöhte Sicherheit! Adobe Reader: sehe nach, ob neuere Versionen vorhanden sind 6. Den kompletten Rechner zu überprüfen (Systemprüfung ohne Säuberung) mit Kaspersky Online - Scanner - wähle "My Computer" aus: im Internet Explorer: - "Extras→ Internetoptionen→ Sicherheit": - alles auf Standardstufe stellen - Active X erlauben - speichere die Ergebnis als *.txt Datei und poste das Logfile des Scans |
Hallo, Punkt 1-6 erledigt. Punkt 2 macht CleanUp! seit Jahren erfolgreich. Punkt 3 jetzt dazu und regelmäßig Punkt 4 wieder neu Installiert: SASpW kein Fund, Punkt 5 die kritischen uopdates laufen automatisch, der sensible Rest immer tagesaktuell. Adaobe (reader) war jahrelang Version 4.0 nun habe ich mich zur 7.0 durchringen können. Writer ist und bleibt 3.1 aus den 90ern. ( wie ist der Reader sicherheitsrevevant ? (ver-)steckt in fremden pdf s auch so großer Mist?) Ich wehre mich ansich gegen immer sperrigere progs. Es ist wie mit den Autos, die immer grüßer und schwerer werden ohne dabei wirklich mehr Performance zu bieten- will ich ansich nicht . Es sei denn aus Sicherheitsgründen, denn werde ich updaten.. ! Punkt 6 Kasperski fand noch 3 dateien im Bunker E für Multimedia Programme. Lagen da aber nur herum ( Altlasten). Alles gelöscht und neu gescannt. Nun zeigt auch Kasperski keinen Befund mehr . Ich hatte das Procedere für die Reports nicht mehr im Kopf, daher hatte ich nichts gepeichert. Wenn diese für eine abschließende Bewertung allerdings entscheidend sind, werde ich die Progs wd intallierenen und die 2 Scanns wiederholen und die Reports posten. Hab mitbekommen, daß die Malware fast immer durch eigene Blödheit auf den Rechner kommt. Habe daher alle Keygens, etc aus früherer Zeit ausgelagert. PWe weden jetzt alle erneuert. Die HBCI Cards auch Was muß ich sonst noch spezielles tun um sauber zu bleiben ?? Bitte kurze Info, Danke sehr mfg Luko |
Zitat:
Viren bekommt man nur "geschenkt", wenn man :
Zitat:
- Mache folgendes: 1. Erstelle einen neuen Wiederherstellungspunkt: 2. Öffne den Arbeitsplatz und klicke deine Systemplatte ( C: ) rechts an. 3. Gehe im Kontext auf "Eigenschaften" 4. Klicke auf "Bereinigen" 5. Klicke im Register "Weitere Optionen" bei "Systemwiederherstellung" auf "Bereinigen" 6. Bestätige 2x mit "OK" Ändere deine Passworte und Zugangsdaten! - von einem sauberen System aus Tipps & Lesestoff: Zitat:
ich wünsche Dir alles Gute:) |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 09:44 Uhr. |
Copyright ©2000-2025, Trojaner-Board