mein logfile mit sichtbaren problemen bitte prüfen. danke

[kill-o-zap]

Logfile of HijackThis v1.99.1
Scan saved at 20:14:38, on 22.02.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\0190WA~1\w0svc.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\PROGRA~1\0190WA~1\WARN0190.EXE
C:\programme\powerstrip\pstrip.exe
C:\Programme\NVIDIA Corporation\NvMixer\NvMixerTray.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Dokumente und Einstellungen\ALEX\Desktop\etmin.exe
C:\Programme\Oleco\_oleco.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programme\The All-Seeing Eye\eye.exe
C:\Dokumente und Einstellungen\ALEX\Desktop\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://clearsurfing.net/srch.php?qq=%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Name - {797F9C9D-3E9A-47EA-80E5-E8D8032796D5} - C:\WINDOWS\System32\mscex.dll
O2 - BHO: 0190/0900 Warner Browser Helper - {D2F63D33-C571-41E9-9525-A17CA1804D3B} - C:\PROGRA~1\0190WA~1\whelper1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: FreshBar - {06ABAA2D-34AB-4902-A326-409BD9B9A7A5} - C:\WINDOWS\System32\iecustom32.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~1\WARN0190.EXE
O4 - HKLM\..\Run: [PowerStrip] c:\programme\powerstrip\pstrip.exe
O4 - HKLM\..\Run: [NvMixerTray] C:\Programme\NVIDIA Corporation\NvMixer\NvMixerTray.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1105016778890
O17 - HKLM\System\CCS\Services\Tcpip\..\{7BC4B902-DB59-40B5-B4F0-D03F9B14A620}: NameServer = 62.104.191.241 62.104.196.134
O23 - Service: 0190/0900 Warner Überwachungsdienst (0190_0900_Warner_MonitorService) - Mirko Böer - C:\PROGRA~1\0190WA~1\w0svc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

bei protecus kann/ will man mir net helfen. bin uaf mozilla umgestiegen, aber die probleme scheinen sich auch da bemerkbar zu machen... kann zum teil keine seiten mehr aufrufen. angeblich nich findbar... so zum beispiel google und web.de

die üblichen hilfen wie search and destroy, adaware, stinger und antivir haben mir noch keine abhilfe schaffen können... danke für die hilfe....

[Speedy]

hi,

bei protecus kann/ will man mir net helfen.

ok du bist ehrlich, kannst auch sagen warum ?

Platform: Windows XP XXX (WinNT X.XX.XXXX)
MSIE: Internet Explorer v6.00 XXX (X.XX.XXXX.XXXX)

windows-update durchführen, entweder direkt von hier, oder cd bestellen bei Microsoft oder einer heft-cd

start->systemsteuerung->software->programme ändern oder entfernen-> nachsehen, ob hier ein,oder mehrere programme installiert sind, die nicht absichtlich von dir installiert wurden, deinstallieren -> name der programme hier posten! kann ein programm nicht deinstalliert werden, ein grund, es ist in verwendung, mit dem taskmanager beenden und dann deinstallieren.


egal wo die roten einträge stehen, mit Jotti onlinescan überprüfen, wird sie als schadsoftware erkannt, fixen(löschen), sonst bleibt sie unberührt.

deaktiviere die systemwiederherstellung,wechsle in den abgesicherter modus von winxp und fixe mit HijackThis die nachfolgenden einträge, (rot nur wenn malware!)

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://clearsurfing.net/srch.php?qq=%s
O2 - BHO: Name - {797F9C9D-3E9A-47EA-80E5-E8D8032796D5} - C:\WINDOWS\System32\mscex.dll
O3 - Toolbar: FreshBar - {06ABAA2D-34AB-4902-A326-409BD9B9A7A5} - C:\WINDOWS\System32\iecustom32.dll
O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab

HijackThis-> config -> misc tools --> delete a file on reboot, wähle die zu löschende datei, die frage zum neustart mit nein beantworten, wieder delete a file on reboot wählen, nächste datei auswählen usw., bis du die letzte dateie ausgewählt hast, nun antwortest du auf die frage zum neustart mit JA

C:\Dokumente und Einstellungen\ALEX\Desktop\etmin.exe
c:\ex.cab
c:\eied_s7.cab
C:\WINDOWS\System32\iecustom32.dll
C:\WINDOWS\System32\mscex.dll

neustart, neues logfile erstellen und hier posten

[kill-o-zap]

ok, ich mach mich mal an die arbeit, danke für die schnelle antwort.

 ok du bist ehrlich, kannst auch sagen warum ?

nun, nach ca. 100 views und kein reply bin ich bei protecus weiterhin ohne hilfe. will ja niemanden etwas unterstellen, vielleicht waren die helfer grad anderweitig beschäftigt. hab ja meine hilfe hier erhalten, deshalb: who cares..

ich poste neues log später. danke

[Speedy]

hi, hatten sabina und raman keine zeit, da habe ich auch schon lange nicht mehr reingeschaut.

[kill-o-zap]

O2 - BHO: Name - {797F9C9D-3E9A-47EA-80E5-E8D8032796D5} - C:\WINDOWS\System32\mscex.dll

Kaspersky Anti-Virus
Trojan-Downloader.Win32.Murlo.c (3.05 seconds taken)

C:\WINDOWS\System32\iecustom32.dll

AntiVir
No viruses found (0.82 seconds taken)
Avast
No viruses found (3.01 seconds taken)
AVG Antivirus
Startpage.14.AX (0.87 seconds taken)
BitDefender
Trojan.StartPage.SL (0.88 seconds taken)
ClamAV
No viruses found (0.58 seconds taken)
Dr.Web
Trojan.StartPage.447 (0.86 seconds taken)
F-Prot Antivirus
No viruses found (0.73 seconds taken)
Fortinet
No viruses found (0.40 seconds taken)
Kaspersky Anti-Virus
No viruses found (0.98 seconds taken)
mks_vir
Trojan.Startpage.F22.A2 (0.22 seconds taken)
NOD32
Win32/StartPage.SL (0.46 seconds taken)
Norman Virus Control
No viruses found (0.19 seconds taken)


etmin.exe ist ein minimizer für das onlinegame enemy territory, weil das game kein alt/tab unterstützt. somit ok.


so, das war der erste schritt. onlinescan mit jotti, ich fixe mal...

[kill-o-zap]

hab mit dem security task manager noch was gefunden und mit jotti gescant:

soll ich auch fixen?

windows\system32\dxconf.exe

AntiVir
No viruses found (0.37 seconds taken)
Avast
No viruses found (1.50 seconds taken)
AVG Antivirus
No viruses found (1.23 seconds taken)
BitDefender
No viruses found (1.34 seconds taken)
ClamAV
No viruses found (0.59 seconds taken)
Dr.Web
Trojan.Click.239 (0.87 seconds taken)
F-Prot Antivirus
No viruses found (0.09 seconds taken)
Fortinet
No viruses found (0.45 seconds taken)
Kaspersky Anti-Virus
not-a-virus:AdWare.FindSpy.a (0.99 seconds taken)
mks_vir
No viruses found (0.23 seconds taken)
NOD32
No viruses found (0.48 seconds taken)
Norman Virus Control
No viruses found (0.94 seconds taken)


windows\system32\connmie.exe

AntiVir
No viruses found (0.57 seconds taken)
Avast
No viruses found (1.50 seconds taken)
AVG Antivirus
No viruses found (0.93 seconds taken)
BitDefender
No viruses found (1.08 seconds taken)
ClamAV
No viruses found (1.22 seconds taken)
Dr.Web
not a virus Adware.FindSpy (3.54 seconds taken)
F-Prot Antivirus
No viruses found (0.30 seconds taken)
Fortinet
No viruses found (1.75 seconds taken)
Kaspersky Anti-Virus
not-a-virus:AdWare.FindSpy.a (5.12 seconds taken)
mks_vir
Trojan.Downloader.Sapox (1.24 seconds taken)
NOD32
No viruses found (2.50 seconds taken)
Norman Virus Control
No viruses found (1.69 seconds taken)

klingt ja echt nett..

[kill-o-zap]

also, connmie.exe ist auf jedenfall wat böses:

in der datei enthaltener text laut security task manager:

This program cannot be run in DOS mode.
7_cruntime error o
ugh spacflo.
5pgram Jm6Ka//09O
runtime error 
TLOSS error
DOMAIN error
abnormal program termination
Microsoft Visual C
Runtime Error
program name unknown
Control Panel\International\Geo
Ctrol Pel\I
----------------
CoInitialize
RegCloseKey
ExitProcess
GetProcAddress
LoadLibraryA
.text2At
Disp6che
mACloseKey
egQuyVal0
AddrLoIs 
ByoWideCha
InfoM
TWIdbTickCou
SleepS
bCteEv
mpiAEh
\Geo
er.nethowN
***dpok
scan.php
.spyware.org/
8gtfSLa
arzw
_ ux
uokqd
.data
.text
TranslateMessage
GetMessageA
DispatchMessageA
CoInitialize
CoCreateInstance
RegCreateKeyExA
RegCloseKey
RegQueryValueExA
GetStringTypeW
WideCharToMultiByte
LoadLibraryA
GetProcAddress
GetModuleFileNameA
GetStdHandle
WriteFile
IsBadCodePtr
IsBadWritePtr
IsBadReadPtr
SetUnhandledExceptionFilter
GetCurrentProcess
TerminateProcess
RtlUnwind
MultiByteToWideChar
GetCPInfo
CreateThread
GetTickCount
GetCurrentThreadId
LCMapStringA
LCMapStringW
GetStringTypeA
Sleep
CreateEventA
GetLastError
ExitProcess
lstrcmpiA
Free***
Nation
http//ww.***andpoker.net/show.php
http//ww.allspyware.org/scan.php
csmu
tP8csmu,9xv
MessageBoxA
GetActiveWindow
GetLastActivePopup
Program 
 Runtime Library
 floating point not loaded
 not enough space for arguments
 not enough space for environment
 not enough space for thread data
 unexpected multithread lock error
 unexpected heap error
 unable to open console device
 not enough space for _onexit/atexit table
 pure virtual function call
 not enough space for stdio initialization
 not enough space for lowio initialization
 unable to initialize heap
_ ux
uokqd
essageBoxA
oGetLa2AvePv
umot
8argus
nmultha/lock
eX1sodesc
purvirtu3c/
wi8aon76HBstd5
lizheap77no
 Kablto iniVao

hi, hatten sabina und raman keine zeit, da habe ich auch schon lange nicht mehr reingeschaut.

ich hatte das gefühl, dass sabina bei anderen antworten konnte. vielleicht war meine fragestellung auch nich konkret genug, oder das thema anderswo schon behandelt worden und wurde deswegen ignoriert... keine ahnung

[Speedy]

hi, ich erwarte eine rückmeldung, wenn du meine vorschläge zur gänze abgearbeitet hast, danach können wir über eine weitere vorgangsweise nachdenken.
und wenn du 2000 trojaner drauf hast, die derzeit nicht aktiv sind, dann sind sie mir derzeit auch egal, es geht nun in erster linie um das von dir vorgebrachte problem zu beheben. alles klar! die anderen wollen auch hilfe!

[kill-o-zap]

sorry, wollte nicht nerven oder aufdringlich werden, war nur etwas euphorisch, dass ich endlich mein system sauber kriege....

also:

-windows updates kommen diese woche incl. sp2

-im abgesicherten modus konnten die files nicht gefunden werden, aber im normal modus schon, wurden gefixt...

-damit kann ich nix anfangen... nicht gefunden...
c:\ex.cab
c:\eied_s7.cab

-neues logfile

Logfile of HijackThis v1.99.1
Scan saved at 22:47:46, on 23.02.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\0190WA~1\w0svc.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\PROGRA~1\0190WA~1\WARN0190.EXE
C:\programme\powerstrip\pstrip.exe
C:\Programme\NVIDIA Corporation\NvMixer\NvMixerTray.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Dokumente und Einstellungen\ALEX\Desktop\hijackthis\HijackThis.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Oleco\_oleco.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: 0190/0900 Warner Browser Helper - {D2F63D33-C571-41E9-9525-A17CA1804D3B} - C:\PROGRA~1\0190WA~1\whelper1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~1\WARN0190.EXE
O4 - HKLM\..\Run: [PowerStrip] c:\programme\powerstrip\pstrip.exe
O4 - HKLM\..\Run: [NvMixerTray] C:\Programme\NVIDIA Corporation\NvMixer\NvMixerTray.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105016778890
O23 - Service: 0190/0900 Warner Überwachungsdienst (0190_0900_Warner_MonitorService) - Mirko Böer - C:\PROGRA~1\0190WA~1\w0svc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

besser jetzt?

danke
alex

[Speedy]

hi, so meine ich das ja gar nicht, aber stell dir einmal vor, jemand erkundigt sich bei dir nach dem weg, du erklärst es ihm, und siehst, wie er bei der erst besten gelegenheit genau die andere richtung einschlägt, kurz darauf steht er wieder vor dir und erkundigt sich neuerlich nach dem weg

du hast mit panda gescannt, ok, noch welche probleme?

wenn nein, einen weitere überprüfung des systems kann nicht schaden
führe einen scan mit escan (meine beschreibung) durch
1) lege diesen ordner c:\bases an
2) download von escan in diesen ordner
3) entpacke das *zip file mwav.zip hier in diesem ordner
wenn der pfad nicht genau so angegeben wird, funktioniert der scanner/updater nicht!
4) doppelklick auf die datei kavupd.exe, das update wird gestartet und der ordner C:\downloads installiert.
5) wechsle in den abgesicherten modus von windows
6) öffne nun den explorer, gehe zum ordner c:\bases und starte die datei mwavscan.exe, schließe den explorer.
7) überprüfe die einstellungen, unter scan option-->memory, startup folders, registry, system folders und services sowie drive (auswahl) und scan all files sollte aktiviert sein, dann den button *SCAN/CLEAN* drücken.
8) wenn der scan beendet ist (dauert ca. 1 Stunde), wechselst du zurück in den normalen modus.
9) nun öffnest du mit dem editor, die mwav.txt oder mwav.log und wählst unter bearbeiten -> suchen, hier gibst du infected ein



jene zeile in der infected steht, markieren, und hier einfügen, weitersuchen usw.
und ganz unten steht die zusammenfassung, diese auch hier posten

Wed Oct 06 03:19:24 2004 => Total Number of Files Scanned: 54651
Wed Oct 06 03:19:24 2004 => Total Number of Virus(es) Found: 0
Wed Oct 06 03:19:24 2004 => Total Number of Disinfected Files: 0
Wed Oct 06 03:19:24 2004 => Total Number of Files Renamed: 0
Wed Oct 06 03:19:24 2004 => Total Number of Deleted Files: 0
Wed Oct 06 03:19:24 2004 => Total Number of Errors: 0
Wed Oct 06 03:19:24 2004 => Time Elapsed: 01:13:32
Wed Oct 06 03:19:24 2004 => Virus Database Date: 2004/10/05
Wed Oct 06 03:19:24 2004 => Virus Database Count: 105164

Wed Oct 06 03:19:24 2004 => Scan Completed.