Tag zusammen!

Habe seit eben irgendeinen Mist auf dem Rechner!

Obwohl ich schon den neuesten Spybot S&D, sowie Adaware drüberlaufen ließ (und die beiden auch was gefunden bzw. entfernt haben), liegt da immer noch was im Argen!

Könnte bitte jemand bei der Durchsicht des logfiles behilflich sein?

Vielen Dank!


Gruß,

scyllo


Logfile of HijackThis v1.98.2
Scan saved at 18:24:26, on 10.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\Programme\Virenschutz\AVKService.exe
C:\Programme\Virenschutz\AVKWCtl.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MPFSERVICE.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\ASUS\Probe\AsusProb.exe
C:\Programme\Analog Devices\SoundMAX\SMTray.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\PROGRA~1\GEMEIN~1\aol\AOLPRI~1\AOLSP Scheduler.exe
C:\Programme\Gemeinsame Dateien\G DATA\AVKMail\AVKPOP.EXE
C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\AOL 9.0\aoltray.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Dokumente und Einstellungen\Markus\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Markus\LOKALE~1\Temp\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Markus\LOKALE~1\Temp\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = file://C:\Programme\WinSweep\ws.js
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {2B914BBC-BBB5-4557-B27B-86EE68640444} - C:\WINDOWS\system32\pfjh.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &WINSWEEP Toolbar - {E915E62E-41DA-40D0-8106-3438B4D24394} - C:\Programme\WinSweep\SurfBar.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Smapp] C:\Programme\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [AOL Spyware Protection] "C:\PROGRA~1\GEMEIN~1\aol\AOLPRI~1\AOLSP Scheduler.exe"
O4 - HKLM\..\Run: [AVK Mail Checker] "C:\Programme\Gemeinsame Dateien\G DATA\AVKMail\AVKPOP.EXE"
O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0\aoltray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\googletoolbar.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\googletoolbar.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\googletoolbar.dll/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\googletoolbar.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {4A3CF76B-EC7A-405D-A67D-8DC6B52AB35B} (QDiagAOLCCUpdateObj Class) - http://aolcc.aol.de/computercheckup/qdiagcc.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1100393111578
O16 - DPF: {99B6E512-3893-4155-9964-8EB8E06099CB} (WebSpyWareKiller Class) - http://download.zonelabs.com/bin/pro...tor/WebSWK.cab
O18 - Filter: text/html - {7FDB71A8-8714-4EB8-A445-BB041315AFCF} - C:\WINDOWS\system32\pfjh.dll
O18 - Filter: text/plain - {7FDB71A8-8714-4EB8-A445-BB041315AFCF} - C:\WINDOWS\system32\pfjh.dll

@scyllo
gebe HJT bitte einen eigenen ordner
lasse diese datei C:\WINDOWS\system32\pfjh.dll
hier online überprüfen
poste das ergebnis
wechsle dann in den abgesicherten modus und fixe mit HJT
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Markus\LOKALE~1\Temp\sp.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\Markus\LOKALE~1\Temp\sp.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {2B914BBC-BBB5-4557-B27B-86EE68640444} - C:\WINDOWS\system32\pfjh.dll
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O18 - Filter: text/html - {7FDB71A8-8714-4EB8-A445-BB041315AFCF} - C:\WINDOWS\system32\pfjh.dll
O18 - Filter: text/plain - {7FDB71A8-8714-4EB8-A445-BB041315AFCF} - C:\WINDOWS\system32\pfjh.dll
lösche danach manuell
C:\WINDOWS\system32\pfjh.dll
neu booten, dann ein neues HJT logfile posten
chaosman

Hi chaosman!

Vielen Dank für die Hilfe! Habe allerdings noch Fragen:

Was meinst Du damit, dass ich HijackThis einen "eigenen Ordner" geben soll?
Und reichen Deine Tipps bezüglich Fixing im abgesicherten Modus aus? Wie groß ist die Gefahr, dass ich etwas shreddere?

Danke und Gruß,

scyllo


Die genannte dll-Datei habe ich überprüft:


Service load: 0% 100%


File: pfjh.dll


Status:

POSSIBLY INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database) (Note: this file was only classified as malware by scanners known to generate more false positives than the average scanner. Do not consider these results definately accurate. Also, because of this, results of this scan will not be recorded in the database.)

Packers detected: None


AntiVir
No viruses found (0.18 seconds taken)

Avast
Win32:Startpage-006 (1.51 seconds taken)

BitDefender
No viruses found (0.72 seconds taken)

ClamAV
Trojan.Startpage-134 (0.38 seconds taken)

Dr.Web
No viruses found (0.54 seconds taken)

F-Prot Antivirus
No viruses found (0.07 seconds taken)

Kaspersky Anti-Virus
No viruses found (0.65 seconds taken)

mks_vir
No viruses found (0.22 seconds taken)

NOD32
No viruses found (0.37 seconds taken)

Norman Virus Control
No viruses found (0.13 seconds taken)

Die Statistics und Service Statistics brauchst Du doch nicht, oder?

@ scyllo

sende die Datei "pfjh.dll" bitte passwortgeschützt (mit Angabe des Passworts in der Mail) an partytime-germany.ice@web.de, mit Hinweis auf diesen Thread und dem Kennwort "pfjh.dll". Diese Mail-Adresse gehört *Christian*, einem Boardmitglied, der unbekannte Dateien einer Prüfung unterziehen kann.

Zitat von scyllo

Was meinst Du damit, dass ich HijackThis einen "eigenen Ordner" geben soll?

Auf Deinem System befindet sich das Programm Hijack This hier: C:\Dokumente und Einstellungen\Markus\Desktop\HijackThis.exe .. da sollte es aber nicht sein. Du solltest für das Programm Hijack This einen eigenen neuen Ordner unter C: erstellen, dann kannst Du es updaten.

Zitat von scyllo

Und reichen Deine Tipps bezüglich Fixing im abgesicherten Modus aus? Wie groß ist die Gefahr, dass ich etwas shreddere?

was willst Du beim fixen shreddern? Geh in den abgesicherten Modus und deaktiviere die Systemwiederherstellung, fixe mit Hijack This (Häk'chen setzen und auf Fix Checked klicken) die von chaosman angegebenen Datein.

Zitat von Shadowdance

@ scyllo

sende die Datei "pfjh.dll" bitte passwortgeschützt (mit Angabe des Passworts in der Mail) an partytime-germany.ice@web.de, mit Hinweis auf diesen Thread und dem Kennwort "pfjh.dll". Diese Mail-Adresse gehört *Christian*, einem Boardmitglied, der unbekannte Dateien einer Prüfung unterziehen kann.

Die Datei habe ich gar nicht mehr... chaosman hatte doch von manuellem Löschen gesprochen, jedoch konnte ich dies gar nicht tun, da sie nach dem Fixing im abgesicherten Modus bereits verschwunden war. Das einzige, was ich noch habe, ist eine dll (allerding mit anderer Bezeichnung) im Ordner "backup".

Zitat von Shadowdance

Auf Deinem System befindet sich das Programm Hijack This hier: C:\Dokumente und Einstellungen\Markus\Desktop\HijackThis.exe .. da sollte es aber nicht sein. Du solltest für das Programm Hijack This einen eigenen neuen Ordner unter C: erstellen, dann kannst Du es updaten.

Und wie date ich dann up? Den Ordner hab ich erstellt und HJT dort reingepflanzt.

Zitat von Shadowdance

was willst Du beim fixen shreddern? Geh in den abgesicherten Modus und deaktiviere die Systemwiederherstellung, fixe mit Hijack This (Häk'chen setzen und auf Fix Checked klicken) die von chaosman angegebenen Datein.

Noch 'ne Frage: chaosman hat bei seinen Fixing-Tipps nicht alle Einträge gewählt, in denen laut logfile das berüchtigte about:blank auftaucht. Warum nicht?

@scyllo
du scheinst die sache zu missverstehen. die datei wird durch hijackthis nicht gelöscht sondern lediglich deren registrierungseintrag.will heißen, die datei ist vielleicht nur als systemdatei markiert und für dich eben deshalb "unsichtbar"

wenn dies der fall ist musst du so vorgehen:
-klicke auf extras dann auf ordneroptionen
-dann auf ansicht
-nun mach den haken von "geschützte systemdateien ausblenden" weg
-mach einen haken bei "inhalte von systemordnern anzeigen" hin
-und selektiere schließlich noch "alle dateien und ordner anzeigen"

achja und zu about:blank... about:blank ist im normalfall eine leere internetseite (vom IE eine einstellungsmöglichkeit das er eine leere seite aufruft)
also ist about:blank nicht böse, sondern nur die trojaner die malware und soweiter..