|
Log-Analyse und Auswertung: Hilfe ich wurde ge HiJacktWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
29.03.2005, 20:21 | #1 |
| Hilfe ich wurde ge HiJackt Halli hallo ! Auf meinem Rechner hat sich leider ein Virus breit gemacht. Da sich immer ein und dieselbe Inernetseite samt diverser POP UP´s öffnet sagte man mir, dass es wohl ein sogenannter HiJack Virus sei. Diverse Virenscanner haben diesen leider nicht erkannt. Auch habe ich schon alle .exe Dateien aus der Logfile online (kaspari.de oder so) gecheckt. Anbei die Logfile. Ich hoffe Ihr könnt mir helfen. Logfile of HijackThis v1.99.1 Scan saved at 20:43:28, on 29.03.2005 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Automatic Update\AutoUpdate.exe C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe C:\Programme\ProPrinter\MainSrv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Softwin\BitDefender8\bdoesrv.exe C:\Programme\Softwin\BitDefender8\bdswitch.exe C:\WINDOWS\System32\RunDll32.exe C:\WINDOWS\System32\rundll32.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\ProPrinter\AmaPrt.exe C:\Programme\ProPrinter\AmaPrt.exe C:\Programme\ProPrinter\ComAdapt.exe C:\Programme\WinSweep\WSMonitor.exe C:\Programme\WinSweep\WSPopup.exe C:\WINDOWS\System32\wuauclt.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe C:\Programme\Softwin\BitDefender8\vsserv.exe C:\Programme\Softwin\BitDefender8\bdmcon.exe C:\Programme\Softwin\BitDefender8\bdlite.exe C:\Dokumente und Einstellungen\test\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_199.zip\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\test\LOKALE~1\Temp\se.dll/spage.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\test\LOKALE~1\Temp\se.dll/spage.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = file://C:\Programme\WinSweep\ws.js O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {3A3AA9A0-3C78-4AC0-B563-664EA2D427F1} - C:\WINDOWS\System32\ehdf.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: &WINSWEEP Toolbar - {E915E62E-41DA-40D0-8106-3438B4D24394} - C:\Programme\WinSweep\SurfBar.dll O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe O4 - HKLM\..\Run: [BDOESRV] C:\Programme\Softwin\BitDefender8\\bdoesrv.exe O4 - HKLM\..\Run: [BDNewsAgent] C:\PROGRA~1\Softwin\BITDEF~1\bdnagent.exe O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programme\Softwin\BitDefender8\\bdswitch.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\test\LOKALE~1\Temp\se.dll,DllInstall O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [WINSWEEP] C:\Programme\WinSweep\WinSweep.Exe /AUTO O4 - HKCU\..\Run: [WINSWEEP Popupblocker] C:\Programme\WinSweep\WSPopup.Exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll O15 - Trusted Zone: http://*.amadeusproweb.com O15 - Trusted Zone: http://*.amadeusvista.com O15 - Trusted Zone: http://www.portevo.de O15 - Trusted Zone: http://*.amadeusproweb.com (HKLM) O15 - Trusted Zone: http://*.amadeusvista.com (HKLM) O15 - Trusted IP range: 192.168.123.254 O16 - DPF: {051FE707-9706-11D5-A836-000102A7C938} (Amadeus Automatic Update) - http://certificates.amadeusvista.com...eATL23P120.CAB O16 - DPF: {3D518D7D-422F-4787-AC71-10BB552E897B} (Amadeus_SP2_Patcher Class) - http://amadeusvista.com/german/common/cabs/SP2Patch.CAB O16 - DPF: {74344641-0CD3-4DFB-8154-F2C08D481964} (VistaEasyInstall Class) - https://www.portevo.de/plugins/vista...asyInstall.cab O16 - DPF: {E037FC50-FE36-11D3-BEEB-00008322EEB5} (PPUpdate Class) - http://de.amadeusvista.com/startprop...PUpdateATL.CAB O16 - DPF: {E90EF4C9-1476-4C49-B926-97C7D9D30A06} (Certificates_Info Class) - http://start.certificates.amadeusvis...CCert_Info.CAB O17 - HKLM\System\CCS\Services\Tcpip\..\{F95F8ED6-5EA6-4F87-B8FF-C9A884DBF3ED}: NameServer = 212.23.128.235 O18 - Filter: text/html - {54238074-7AD6-49BF-80E6-CA152F419EE7} - C:\WINDOWS\System32\ehdf.dll O18 - Filter: text/plain - {54238074-7AD6-49BF-80E6-CA152F419EE7} - C:\WINDOWS\System32\ehdf.dll O23 - Service: Amadeus Automatic Update - Amadeus - C:\Programme\Automatic Update\AutoUpdate.exe O23 - Service: AmadeusProPrinter - Amadeus - C:\Programme\ProPrinter\MainSrv.exe O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender8\vsserv.exe O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe |
29.03.2005, 20:24 | #2 |
| Hilfe ich wurde ge HiJackt Arbeite zunächst einmal folgendes ab:
__________________http://trojaner-info.de/anleitungen/...out_blank.html Poste danach einen neuen Log.Dann sehen wir weiter. Auch sollte mal Service Pack 2 draufgespielt werden: http://www.microsoft.com/downloads/d...DisplayLang=de Danch www.windowsupdate.com besuchen
__________________ |
29.03.2005, 20:46 | #3 |
| Hilfe ich wurde ge HiJackt Nachtrag:
__________________Die 015 Einträge bekommst du folgendermaßen weg: http://www.trojaner-board.de/showpos...6&postcount=31
__________________ |
29.03.2005, 21:02 | #4 |
| Hilfe ich wurde ge HiJackt Hallo Cronos ! Danke für die Hilfe, das System funktioniert wieder. Find ich echt klasse, dass Spezialisten wie Du hier mit Rat und Tat hilfst ! Was hat das mit den 015 ern auf sich? Wozu sollte ich die löschen? |
29.03.2005, 21:06 | #5 |
| Hilfe ich wurde ge HiJackt Das sind vertrauenswürdige Sites im IE: Die du hast sind aber keine.Oder sind sie wissentlich auf deinem Rechner Bitte einen neuen Log Posten.Da war noch ein bissi was. Dein Dank sollte Raman und seeker gelten, von denen ist das Tool.
__________________ Only cronos endures |
29.03.2005, 21:11 | #6 |
| Hilfe ich wurde ge HiJackt Hi Cronos, hier die letzte LogFile. Die Adressen unter 015 sind mir bekannt. Mit denen muss ich täglich arbeiten. Großes Dank an Raman und seeker !!! Logfile of HijackThis v1.99.1 Scan saved at 22:07:34, on 29.03.2005 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe C:\Programme\Softwin\BitDefender8\bdoesrv.exe C:\Programme\Softwin\BitDefender8\bdswitch.exe C:\WINDOWS\System32\RunDll32.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\WinSweep\WSMonitor.exe C:\Programme\Automatic Update\AutoUpdate.exe C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe C:\Programme\ProPrinter\MainSrv.exe C:\Programme\ProPrinter\AmaPrt.exe C:\Programme\ProPrinter\AmaPrt.exe C:\Programme\ProPrinter\ComAdapt.exe C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe C:\Programme\Softwin\BitDefender8\vsserv.exe C:\WINDOWS\System32\wuauclt.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Dokumente und Einstellungen\test\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_199.zip\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\test\LOKALE~1\Temp\se.dll/spage.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\test\LOKALE~1\Temp\se.dll/spage.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = file://C:\Programme\WinSweep\ws.js O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: (no name) - {8BB8A681-DA3C-4230-8C01-371E77225ABA} - C:\WINDOWS\System32\ehdf.dll (file missing) O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: &WINSWEEP Toolbar - {E915E62E-41DA-40D0-8106-3438B4D24394} - C:\Programme\WinSweep\SurfBar.dll O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe O4 - HKLM\..\Run: [BDOESRV] C:\Programme\Softwin\BitDefender8\\bdoesrv.exe O4 - HKLM\..\Run: [BDNewsAgent] C:\PROGRA~1\Softwin\BITDEF~1\bdnagent.exe O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programme\Softwin\BitDefender8\\bdswitch.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [WINSWEEP] C:\Programme\WinSweep\WINSWEEP.Exe /AUTO O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll O15 - Trusted Zone: http://*.amadeusproweb.com O15 - Trusted Zone: http://*.amadeusvista.com O15 - Trusted Zone: http://www.portevo.de O15 - Trusted Zone: http://*.amadeusproweb.com (HKLM) O15 - Trusted Zone: http://*.amadeusvista.com (HKLM) O15 - Trusted IP range: 192.168.123.254 O16 - DPF: {051FE707-9706-11D5-A836-000102A7C938} (Amadeus Automatic Update) - http://certificates.amadeusvista.com...eATL23P120.CAB O16 - DPF: {3D518D7D-422F-4787-AC71-10BB552E897B} (Amadeus_SP2_Patcher Class) - http://amadeusvista.com/german/common/cabs/SP2Patch.CAB O16 - DPF: {74344641-0CD3-4DFB-8154-F2C08D481964} (VistaEasyInstall Class) - https://www.portevo.de/plugins/vista...asyInstall.cab O16 - DPF: {E037FC50-FE36-11D3-BEEB-00008322EEB5} (PPUpdate Class) - http://de.amadeusvista.com/startprop...PUpdateATL.CAB O16 - DPF: {E90EF4C9-1476-4C49-B926-97C7D9D30A06} (Certificates_Info Class) - http://start.certificates.amadeusvis...CCert_Info.CAB O17 - HKLM\System\CCS\Services\Tcpip\..\{F95F8ED6-5EA6-4F87-B8FF-C9A884DBF3ED}: NameServer = 212.23.128.235 O18 - Filter: text/html - {85E88352-89B5-4C0D-BD51-B70712FD3B35} - C:\WINDOWS\System32\ehdf.dll O18 - Filter: text/plain - {85E88352-89B5-4C0D-BD51-B70712FD3B35} - C:\WINDOWS\System32\ehdf.dll O23 - Service: Amadeus Automatic Update - Amadeus - C:\Programme\Automatic Update\AutoUpdate.exe O23 - Service: AmadeusProPrinter - Amadeus - C:\Programme\ProPrinter\MainSrv.exe O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender8\vsserv.exe O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe |
29.03.2005, 21:31 | #7 |
Administrator, a.D. | Hilfe ich wurde ge HiJackt Arbeite die Empfehlung von cronos nochmal im abgesicherten Modus ab. Ein Scan mit eScan AntiVirus und anschliessende manuelle Beseitigung der gefundenen Malware könnte imho auch nicht schaden. Ebenso diese Einträge fixen und neue Startseite vergeben: Alle R0 und R1 O2 - BHO: (no name) - {8BB8A681-DA3C-4230-8C01-371E77225ABA} - C:\WINDOWS\System32\ehdf.dll (file Alle O18 |
29.03.2005, 21:32 | #8 |
| Hilfe ich wurde ge HiJackt Dann fixxe im abgesicherten Modus bei deaktivierter Systemwiederherstellung(http://www.systemwiederherstellung-d...indows-xp.html) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\test\LOKALE~1\Temp\se.dll/spage.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\test\LOKALE~1\Temp\se.dll/spage.html O2 - BHO: (no name) - {8BB8A681-DA3C-4230-8C01-371E77225ABA} - C:\WINDOWS\System32\ehdf.dll (file missing) O18 - Filter: text/html - {85E88352-89B5-4C0D-BD51-B70712FD3B35} - C:\WINDOWS\System32\ehdf.dll O18 - Filter: text/plain - {85E88352-89B5-4C0D-BD51-B70712FD3B35} - C:\WINDOWS\System32\ehdf.dll Neu booten und Systewiederherstellung wieder aktivieren. Bitte noch System wie oben beschrieben Updaten(Service Pack2 etc.) Zur Nachkontrolle einen neuen Log posten
__________________ Only cronos endures |
Themen zu Hilfe ich wurde ge HiJackt |
adobe, adobe reader, bho, dateien, defender, dll, einstellungen, explorer, hijack, hijackthis, internet, internet explorer, logfile, messenger, microsoft, programme, rundll, scan, server, software, sun java, system, temp, virus, windows, windows xp |