Der Aufruf der Excel10.dll ist nicht mehr da, aber u.U. könnte die Datei selbst noch vorhanden sein. Aber das sollte sich ja herausfinden lassen... ;)

Und die NPUPano.dll kann ich auch nicht zuordnen. Müsste sich ja um ein Plugin handeln...

http://www.merijn.org/htlogtutorial.html sagt dazu folgendes:
Most of the time these are safe. Only OnFlow adds a plugin here that you don't want (.ofb)
OnFlow findet sich als Spyware im Web...

Hallo

O12 - Plugin for .UVR: %programfiles%\Internet Explorer\Plugins\NPUPano.dll
----------------------------------------------

UVR = Ulead Cool 360 Anzeigeprogramm File

Gruß Joachim

Moin JP,

wieder etwas dazu gelernt.
Danke! [img]graemlins/daumenhoch.gif[/img]

DerBilk

</font><blockquote>Zitat:</font><hr />Original erstellt von mmk:
Anmerkungen zum Log:

Zu löschen sind bei geschlossenem IE folgende Einträge (links von diesen jeweils ein Häkchen setzen, dann "Fix checked" wählen):

</font>[/QUOTE]Hier das nächste Protokoll:

Logfile of HijackThis v1.97.7
Scan saved at 18:33:14, on 23.01.2004
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\LEXBCES.EXE
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\LEXPPS.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\cisvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\Explorer.EXE
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\WINNT\System32\RunDll32.exe
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Programme\Fellowes\MediaFACE 4.0\SetHook.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\DeTeWe\OpenCom 30\Capictrl.exe
C:\WINNT\SYSTEM32\ICON.EXE
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
C:\Programme\RVS\WCOM\SYSTEM\ccui.exe
C:\Programme\RVS\WCOM\SYSTEM\ccsrv.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ebay.de/
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [PMXInit] C:\WINNT\System32\pmxinit.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [PrinTray] C:\WINNT\System32\spool\DRIVERS\W32X86\3\printray.exe
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [MediaFace Integration] C:\Programme\Fellowes\MediaFACE 4.0\SetHook.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Ad-aware] "C:\Programme\Lavasoft\Ad-aware 6\Ad-aware.exe" +c
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [YAW starten] "C:\Programme\YAW 3.5\yawguard.exe"
O4 - HKCU\..\Run: [ArchiCrypt Stealth] C:\Programme\ArchiCrypt Stealth\ACStealth.exe -HIDE
O4 - HKCU\..\RunOnce: [CommCenter] C:\Programme\RVS\WCOM\SYSTEM\ccui.exe
O4 - Global Startup: CAPIControl.lnk = C:\Programme\DeTeWe\OpenCom 30\Capictrl.exe
O4 - Global Startup: PocketCam 3Mega Monitor.lnk = C:\WINNT\SYSTEM32\ICON.EXE
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Real.com (HKLM)
O12 - Plugin for .UVR: %programfiles%\Internet Explorer\Plugins\NPUPano.dll
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com...43/yacscom.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://housecall.trendmicro-europe.c...ll/Xscan53.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://64.146.72.210:8111/AxisCamControl.cab
O16 - DPF: {A031D222-B496-11D2-9CC8-00105A10AAF6} (WONWebLauncher Class) - http://195.219.21.134/tools/Flipside...herControl.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab

Moin Florian,

vom 'Sicherheitsstandpunkt' aus, sieht das Log jetzt imho sauber aus (Ich hoffe, ich habe nicht wieder etwas an den Augen... ;) )

Bei den Run-Einträgen steht für meinen Geschmack ein bisschen viel. Du, bzw. der Benutzer des Rechners kann beispielsweise hier http://www.sysinfo.org/startuplist.php überprüfen, welche Starteinträge wofür verantworlich ist und dann entscheiden, ob sie wirklich benötigt werden. Auf der verlinkten Seite einfach den Prozessnamen, also z. B. mobsync.exe in das Eingabefeld schreiben (kopieren) und auf Search klicken...
Mir ist zwar kein 'kritischer' Eintrag aufgefallen, aber zu viele Prozesse im Hintergrund machen ein System schnell unnötig langsam.

Das System ist aber immer noch auf dem Pachtlevel Win2000, SP2. Aktuell ist SP4. Das sollte schnellstens aktualisiert werden...
Und bitte auch daran denken, für das Surfen einen Benutzer ohne Admin-Rechte anzulegen.

tschööö, DerBilk

BTW: Vom CWShredder gibt es heute schon wieder eine aktualisierte Version (v 1.46.4)!

Ok, super, vielen Dank für die tollen Tips!
Werde bei Gelegenheit den Rechner patchen und berichten, wenn die Besitzer wieder was merkwürdiges fest stellen ;.)
Danke nochmal, Florian