Hiho!
Ich hoffe Ihr könnt mir bitte helfen. Ich post schon das zweite Mal. Ich habe ein Problem mit einem Trojaner der sich mit about:blank in meine Startseite des IE reinsetzt. Sämtliche Tools und Porgramme haben nicht geholfen. Da mein Log zu lang ist, habe ich Ihn in 2 unterteilt. Wäre nett wenn einer eine Lösung parat haben würde...


Logfile of HijackThis v1.99.0
Scan saved at 15:57:13, on 30.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\WINDOWS\system32\CTsvcCDA.exe
E:\Security\Norton Internet Security\Norton AntiVirus\navapsvc.exe
E:\Security\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
E:\System\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
E:\System\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
C:\WINDOWS\system32\CTHELPER.EXE
E:\System\Logitech\Cordless Desktop\iTouch\iTouch.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
E:\System\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\WINDOWS\system32\hphmon05.exe
C:\WINDOWS\system32\MMTray.exe
C:\WINDOWS\system32\MMTray2k.exe
C:\WINDOWS\system32\MMTrayLSI.exe
C:\WINDOWS\system32\qttask.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
E:\Netzwerk Tools\NetLimiter\NetLimiter.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\ACD Systems\DE\DevDetect.exe
C:\WINDOWS\system32\ctfmon.exe
E:\System\Creative\MediaSource\GO\CTCMSGo.exe
E:\System\Creative\MediaSource\RemoteControl\RCMan.EXE
C:\Programme\MSN Messenger\MsnMsgr.Exe
E:\games\counte~1.6\valve\steam\steam.exe
E:\Games\Logitech\Profiler\lwemon.exe
E:\Security\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
E:\System\Logitech\SetPoint\KEM.exe
C:\Programme\Silicon Image\SiISATARaid\SATARaid.exe
E:\System\Logitech\SetPoint\KHALMNPR.EXE
E:\System\Creative\MEDIAS~1\CTCMS.EXE
E:\System\Creative\MediaSource\Detector\CTDetect.exe
E:\Filesharing\eMule\emule.exe
C:\WINDOWS\system32\WISPTIS.EXE
E:\Internet\Neuer Ordner\firefox.exe
D:\Programme (zur Installation oder Brennen)\Security\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\Security\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - E:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - E:\Security\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - E:\Security\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - E:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [PRONoMgr.exe] C:\Programme\Intel\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [CTSysVol] E:\System\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] E:\System\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Programme\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [zBrowser Launcher] E:\System\Logitech\Cordless Desktop\iTouch\iTouch.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [HPHUPD05] E:\System\Hewlett-Packard\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe
O4 - HKLM\..\Run: [HP Software Update] "E:\System\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\system32\hphmon05.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [MMTray] MMTray.exe
O4 - HKLM\..\Run: [MMTray2K] MMTray2k.exe
O4 - HKLM\..\Run: [MMTrayLSI] MMTrayLSI.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NetLimiter] E:\Netzwerk Tools\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [Device Detector] "C:\Programme\Gemeinsame Dateien\ACD Systems\DE\DevDetect.exe" -autorun
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Creative MediaSource Go] E:\System\Creative\MediaSource\GO\CTCMSGo.exe /SCB
O4 - HKCU\..\Run: [RemoteCenter] E:\System\Creative\MediaSource\RemoteControl\RCMan.EXE
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Steam] "e:\games\counte~1.6\valve\steam\steam.exe" -silent
O4 - HKCU\..\Run: [Start WingMan Profiler] "E:\Games\Logitech\Profiler\lwemon.exe" /noui
O4 - HKCU\..\Run: [SpybotSD TeaTimer] E:\Security\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: Einstellungen.lnk = E:\System\Logitech\SetPoint\KEM.exe
O4 - Global Startup: SATARaid.lnk = ?
O4 - Global Startup: SpySubtract.lnk = E:\Security\SpySubtract\SpySub.exe

O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://E:\MICROS~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\MICROS~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\Messenger & Aimer\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\Messenger & Aimer\ICQLite\ICQLite.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - E:\MESSEN~1\MESSEN~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - E:\MESSEN~1\MESSEN~1\Yahoo!\MESSEN~1\YPager.exe
O16 - DPF: {0D6709DD-4ED8-40CA-B459-2757AEEF7BEE} (Dldrv2 Control) - http://download.gigabyte.com.tw/object/Dldrv.ocx
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1104266145375
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/Ms...Downloader.cab
O16 - DPF: {FFCEABDA-C04E-7F4A-E9B6-DFA72B2F49FB} - http://213.200.210.10/dl/101/DE14_100.exe


Nun der zweite Teil...

Greetz EXMO

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: InCD Helper - Unknown - E:\Brennsoftware & Tools\Ahead\InCD\InCDsrv.exe (file missing)
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - E:\Security\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Intel NCS NetService - Intel(R) Corporation - C:\Programme\Intel\NCS\Sync\NetSvc.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SAVScan - Symantec Corporation - E:\Security\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe


Freu mich auf baldige Hilfe :aplaus: :aplaus: :aplaus:


Greetz

EXMO

Hallo,

als 1. Massnahme den Wulst an unnötigen Programmen im Auto Start entfernen (O4 Einträge).

Danach solltest wie beschrieben eScan anwenden ->
Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Hi Cidre!
Erstmal Danke für Deine schnelle Antwort. Zum Autostart folgendes: Ich habe dort eigentlich nur die allerwichtigsten Anwendungen drin. Unter anderem mein SATA Controller. Hab aber ein Programm noch entfernt. Nun zu meinem Log:

Sun Jan 30 16:31:32 2005 => File C:\WINDOWS\winini32.exe infected by "Trojan-Downloader.Win32.Agent.hz" Virus. Action Taken: No Action Taken.
Sun Jan 30 16:33:13 2005 => Total Disinfected Files: 0
Sun Jan 30 16:36:51 2005 => File C:\WINDOWS\winini32.exe infected by "Trojan-Downloader.Win32.Agent.hz" Virus. Action Taken: No Action Taken.
Sun Jan 30 16:38:01 2005 => Total Disinfected Files: 0

Bin ich ja mal gespannt....

@EXMO78
poste doch mal dies
________________________________________
Öffne C:\bases\mwav.log
Am Ende folgendes suchen und hier rein kopieren:
Zitat:
Total Files Scanned:
Total Virus(es) Found:
Total Disinfected Files:
Total Files Renamed:
Total Deleted Files:
Total Errors:
Time Elapsed:
Virus Database Date:
Virus Database Count:
chaosman

Gern....

Sun Jan 30 16:38:01 2005 => ***** Scanning complete. *****

Sun Jan 30 16:38:01 2005 => Total Files Scanned: 3508
Sun Jan 30 16:38:01 2005 => Total Virus(es) Found: 1
Sun Jan 30 16:38:01 2005 => Total Disinfected Files: 0
Sun Jan 30 16:38:01 2005 => Total Files Renamed: 0
Sun Jan 30 16:38:01 2005 => Total Deleted Files: 0
Sun Jan 30 16:38:01 2005 => Total Errors: 0
Sun Jan 30 16:38:01 2005 => Time Elapsed: 00:02:42
Sun Jan 30 16:38:01 2005 => Virus Database Date: 2005/01/28
Sun Jan 30 16:38:01 2005 => Virus Database Count: 117012

Sun Jan 30 16:38:01 2005 => Scan Completed.

eScan wurde falsch ausgeführt! 3508 Files sind einfach zu wenig.
=> Führe eScan erneut aus und halte dich genau an die Anleitung ("all local drives" muss aktiviert sein!)

So, hab den ausführlich scan durchführen lassen... Sorry, dass ich mich beim ersten Mal vertan habe...

Sun Jan 30 16:31:32 2005 => File C:\WINDOWS\winini32.exe infected by "Trojan-Downloader.Win32.Agent.hz" Virus. Action Taken: No Action Taken.
Sun Jan 30 16:36:51 2005 => File C:\WINDOWS\winini32.exe infected by "Trojan-Downloader.Win32.Agent.hz" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:09:05 2005 => File C:\WINDOWS\winini32.exe infected by "Trojan-Downloader.Win32.Agent.hz" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:13:27 2005 => File C:\Dokumente und Einstellungen\EXMO78\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\file\Dummy.class-50ce8e10-679db3a4.class infected by "Trojan.Java.ClassLoader.Dummy.d" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:13:27 2005 => File C:\Dokumente und Einstellungen\EXMO78\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\file\Dummy.class-654a834c-57b9b19a.class infected by "Trojan.Java.Nocheat" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:13:28 2005 => File C:\Dokumente und Einstellungen\EXMO78\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\file\ok.class-4bf5325e-7999ac84.class infected by "Trojan.Java.Nocheat" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:13:30 2005 => File C:\Dokumente und Einstellungen\EXMO78\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\Counters.jar-41fe890d-2cbcda0d.zip infected by "TrojanDownloader.Win32.Small.xt" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:13:30 2005 => File C:\Dokumente und Einstellungen\EXMO78\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\loaderadv164.jar-1254b013-1888bb65.zip infected by "TrojanDownloader.Java.OpenStream.c" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:13:30 2005 => File C:\Dokumente und Einstellungen\EXMO78\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\loaderadv410.jar-311e32e8-66bbd653.zip infected by "TrojanDownloader.Java.OpenStream.c" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:21:52 2005 => File C:\Programme\PPC Advertor\ppc.dll infected by "Trojan.Win32.StartPage.se" Virus. Action Taken: No Action Taken.
Sun Jan 30 17:31:52 2005 => File C:\WINDOWS\winini32.exe infected by "Trojan-Downloader.Win32.Agent.hz" Virus. Action Taken: No Action Taken.

Sun Jan 30 17:31:49 2005 => File C:\WINDOWS\twain_32\stdsc\unreg.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Ich hoffe Ihr könnt damit was anfangen...

Greetz

EXMO

@EXMO78

File C:\WINDOWS\winini32.exe infected by Trojan-Downloader.Win32.Agent.hz" Virus. Action Taken: No Action Taken.

http://www.sophos.com/virusinfo/anal...bspsymebh.html
Ein aktiver Trojaner ist schon zu viel.
Du musst dein System neu aufsetzten.

Sorry aber es muss doch auch noch ne andere Möglichkeit geben... Ich streube mich dagegen mein System wieder neu aufzusetzen. Das bedeutet drei Tage Arbeit (geh ja auch noch arbeiten). Also wäre ich mehr als glücklich wenn sich auch noch ein andere Weg sich realisieren lässt.

Greetz

EXMO

Rene-gad hat sicherlich recht, wenn er sagt, dass formatieren die sicherste Methode ist. In deinem Fall können wir das aber wahrscheinlich noch bereinigen:

fixe im abgesicherten Modus mit HijackThis:

O16 - DPF: {0D6709DD-4ED8-40CA-B459-2757AEEF7BEE} (Dldrv2 Control) - http://download.gigabyte.com.tw/object/Dldrv.ocx (außer es ist dir bekannt)

O16 - DPF: {FFCEABDA-C04E-7F4A-E9B6-DFA72B2F49FB} - http://213.200.210.10/dl/101/DE14_100.exe


Leere deinen Java Cache.
Lösche deine Temp und Temoprary Internet Files mit www.clearprog.de
Lösche die restlichen Dateien manuell.


btw: mach mal das, was Cidre schoon gepostet hat und nimm mal ein paar Autostart-Einträge raus (entweder mit HjT oder Ausführen-> "msconfig"). Dein System muss doch extrem ausgebremmst werden....

Erneut mit eScan scannen und neues Logfile posten.

E:\Filesharing\eMule\emule.exe

Das passt überhaupt nicht, wenn du dein System sauber halten willst!