| |
| |||||||
Log-Analyse und Auswertung: hilfe, ich dachte mein system wäre sauber...Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
15.02.2005, 22:08
| #1 |
 |  hilfe, ich dachte mein system wäre sauber... mein virenprogramm hat mich ja bereits gewarnt, aber nach allem was ich so gesehen hab trau ich mich nich das einfach so zu löschen. ihr wisst doch auf was man achten muss und wie man das zeug am besten los wird. hier wär mal meine HijackThis log Logfile of HijackThis v1.99.0 Scan saved at 21:57:40, on 15.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Programme\AlienGUIse\wbload.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\Microsoft Hardware\Keyboard\type32.exe C:\Programme\QuickTime\qttask.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe C:\WINDOWS\system32\CTsvcCDA.EXE C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe C:\Programme\Miranda IM\miranda32.exe C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE C:\WINDOWS\system32\nvsvc32.exe C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe C:\PROGRA~1\NORTON~2\SPEEDD~1\nopdb.exe C:\WINDOWS\system32\wdfmgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\WINDOWS\System32\alg.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Teamspeak2_RC2\TeamSpeak.exe C:\PROGRA~1\MOZILL~2\THUNDE~1.EXE C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe C:\Programme\WinRAR\WinRAR.exe C:\DOKUME~1\Besitzer\LOKALE~1\Temp\Rar$EX00.109\HijackThis.exe O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll O2 - BHO: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - (no file) O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe O4 - HKLM\..\Run: [IntelliType] "C:\Programme\Microsoft Hardware\Keyboard\type32.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [switp] C:\WINDOWS\switpa.exe O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s O4 - HKLM\..\Run: [KAV50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0 -chkss O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Network Proxy - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Kaspersky Anti-Virus Service - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~2\SPEEDD~1\nopdb.exe O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe O23 - Service: TuneUp WinStyler Theme Service - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe |
|
17.02.2005, 07:34
| #2 |
| | hilfe, ich dachte mein system wäre sauber... also irgendwie spinnt der kasten jetzt immer mehr...
__________________hab irgendeine datei auf der platte, wenn ich im windows-explorer den ordner in der die datei ist öffne, sehe ich für ein paar sekunden den inhalt, dann verschwindet der komplette inhalt und die explorer.exe verursacht 100% auslastung. auch wenn ich die explorer.exe dann neustarte gehts wieder ein weilchen aber das kommt dann öfter.... hilft nur ein kompletter reboot und den ordner nicht anschauen hat das irgendwas mit den "bösen" dateien zutun die hjt gefunden hat und falls ja, wie bekomm ich die weg? trau mich nich das einfach so zu löschen |
|
17.02.2005, 09:07
| #3 |
   | hilfe, ich dachte mein system wäre sauber... http://www.trojaner-board.de/42731-escan-anleitung.html
__________________Wie beschrieben updaten und anwenden, gefundene Schädlinge (in mwav.log nach "infected" suchen) hier posten. |
|
17.02.2005, 16:33
| #4 |
| | hilfe, ich dachte mein system wäre sauber... hm, escan hat nur das hier gefunden File C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Downloads\11589.exe infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken. komischerweise ist das zwar sogar der ordner (also downloads) der die probleme macht, aber die datei hab ich schon länger drauf |
|
17.02.2005, 16:45
| #5 |
| | hilfe, ich dachte mein system wäre sauber... Im abgesicherten Modus löschen und fertig. cacatoa
__________________ Der Mensch sollte eine Hundeseele haben |
|
17.02.2005, 16:46
| #6 |
| | hilfe, ich dachte mein system wäre sauber... Stop!! Hab erst jetzt gesehen, daß MK dein Logfile noch nicht bearbeitet hat. Es ist noch mehr zu tun. Warte mal. cacatoa
__________________ --> hilfe, ich dachte mein system wäre sauber... |
|
17.02.2005, 16:54
| #7 | |
| | hilfe, ich dachte mein system wäre sauber... Wenn ich mich ganz kurz einmischen darf: Ich glaube nicht, dass du eScan korrekt ausgeführt hast: => Poste bitte folgendes aus der mwav.log (steht ganz am Ende): Zitat:
|
|
17.02.2005, 16:59
| #8 |
| | hilfe, ich dachte mein system wäre sauber... Als erstes lade Dir LSPFix runter. Dann unter software New.Net deinstallieren. Dann mit HJT im abgesicherten Modus folgendes fixen: O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll O2 - BHO: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - (no file) O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net O10 - Hijacked Internet access by New.Net Dann kann es sein, daß Du keine Internetverbindung mehr hast, deshalb im Anschluß LSPFix laufen lasen und evtl. vorhandene New.Net Einträge nach rechts ziehen und auf "remove"gehen. Dann bitte folgende Datei: C:\WINDOWS\switpa.exe bei Jotti online scannen lassen und über das 10-zeilige Ergebnis berichten. cacatoa
__________________ Der Mensch sollte eine Hundeseele haben |
|
17.02.2005, 17:31
| #9 | |
| | hilfe, ich dachte mein system wäre sauber... also, ihr hattet recht, der war noch nicht fertig. blieb nur kurz mal stehen da dachte ich er hätte es schon vollendet. nun mal die infizierten dateien Thu Feb 17 16:29:39 2005 => File C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Downloads\11589.exe infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\22FD727F.exe infected by "Trojan-Dropper.Win32.Delf.z" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\23001C7C.exe infected by "Trojan-Dropper.Win32.Delf.z" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\251A53F3 infected by "Trojan-Spy.Win32.Briss.j" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\5E296E86 infected by "Trojan-Spy.Win32.Briss.e" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\5E2C1883 infected by "Trojan-Spy.Win32.Briss.j" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\68E75C9D infected by "Trojan-Spy.Win32.Briss.j" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\733D54D2 infected by "Trojan-Spy.Win32.Briss.j" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:34 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\78D2751A infected by "Email-Worm.Win32.Sober.j" Virus. Action Taken: No Action Taken. Thu Feb 17 16:57:34 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\7F4D45F9 infected by "Email-Worm.Win32.Sober.j" Virus. Action Taken: No Action Taken. Thu Feb 17 16:58:40 2005 => File C:\Programme\themexp\Themexp.org File\NNEZTA388.exe infected by "not-a-virus:AdWare.NewDotNet" Virus. Action Taken: No Action Taken. Thu Feb 17 16:58:40 2005 => File C:\Programme\themexp\Themexp.org File\TBEZA127Q.exe infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken. Thu Feb 17 17:01:58 2005 => File C:\System Volume Information\_restore{D1F56ED9-961A-4F3D-9087-66D48F7AA87C}\RP1\A0000029.dll infected by "not-a-virus:AdWare.NewDotNet" Virus. Action Taken: No Action Taken. Thu Feb 17 17:22:41 2005 => ***** Scanning complete. ***** Thu Feb 17 17:22:41 2005 => Total Files Scanned: 45286 Thu Feb 17 17:22:41 2005 => Total Virus(es) Found: 15 Thu Feb 17 17:22:41 2005 => Total Disinfected Files: 0 Thu Feb 17 17:22:41 2005 => Total Files Renamed: 0 Thu Feb 17 17:22:41 2005 => Total Deleted Files: 0 Thu Feb 17 17:22:41 2005 => Total Errors: 9 Thu Feb 17 17:22:41 2005 => Time Elapsed: 01:02:27 Thu Feb 17 17:22:42 2005 => Virus Database Date: 2005/02/14 Thu Feb 17 17:22:42 2005 => Virus Database Count: 118236 Thu Feb 17 17:22:42 2005 => Scan Completed. so, und nun fix ich erstmal die sachen die du aufgezählt hast EDIT: Zitat:
Geändert von Operations (17.02.2005 um 18:00 Uhr) |
|
17.02.2005, 18:52
| #10 |
| | hilfe, ich dachte mein system wäre sauber... Die Datei ist da! Arbeitsplatz, Extras, Ordneroptionen, Ansicht, hier Haken weg bei: geschützte Systemdateien ausblenden, Haken hin bei: Inhalte von Systemordnern anzeigen und bei: Alle Dateien und Ordner anzeigen Weitermachen wie bereits geschrieben. cacatoa
__________________ Der Mensch sollte eine Hundeseele haben |
|
17.02.2005, 18:52
| #11 |
| | hilfe, ich dachte mein system wäre sauber... Und natürlich den Quarantäne-Ordner von Norton leeren!
__________________ Der Mensch sollte eine Hundeseele haben |
|
17.02.2005, 19:00
| #12 |
| | hilfe, ich dachte mein system wäre sauber... ordner ist leer, aber ich hab (find) die datei wirklich nicht. es werden alle dateien angezeigt, aber die switpa.exe is nich zu finden |
|
17.02.2005, 19:02
| #13 |
| | hilfe, ich dachte mein system wäre sauber... Es kann auch sein, dass die Datei nicht mehr vorhanden ist. |
|
17.02.2005, 19:03
| #14 |
| | hilfe, ich dachte mein system wäre sauber... ist das dann gut oder schlecht? ^^ |
|
17.02.2005, 19:04
| #15 |
| | hilfe, ich dachte mein system wäre sauber... Kommmt darauf an, um was es sich handelte  |
|
| Themen zu hilfe, ich dachte mein system wäre sauber... |
| adobe, adobe reader, antivirus, besitzer, bho, computer, drivers, excel, explorer, firefox, hijack, hijackthis, internet, internet explorer, internet security, kaspersky, monitor, mozilla, mozilla firefox, nvcpl.dll, programm, rundll, security, security center, settings manager, software, sun java, symantec, system, teamspeak, temp, tuneup utilities, windows, windows xp |
Linear-Darstellung
