Hallo,

hatte vor kurzem ziemliche Probleme mit meinem Rechner (Dialer, Trojaner, Spyer und sonstiges) Fragt mich bloß nicht woher, keine Ahnung. Habe mich mit Hijack this, Adware, und Spyboot so durch gewurschtelt. Bin mir aber nicht sicher ob alles soweit runter ist. Habe anscheind eine Reg. zuviel gefixt, mein Rechner fragt jetzt beim rauffahren nach C:/windows/system32/msoffice.exe. Wie bekomm ich dass denn wieder. Anbei mal meine aktuelle Logfile, kann mir jemand sagen ob etwas "misteriös" oder vielleicht sogar etwas fehlt. Und kann ich mir wiederum sicher sein, dass mein Computer "sicher" ist. Traue mich nämlich z. Zt. noch nicht wieder an Internet-Banking ran.

Logfile of HijackThis v1.99.1
Scan saved at 17:27:47, on 15.04.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Kerio\ServerFirewall\srvfw.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\ATK0100\Hcontrol.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\SAMSUNG\Keydefin\KeyDefin.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\COMMON~1\uwwk\uwwkm.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\DSLMON.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\PROGRA~1\COMMON~1\uwwk\uwwka.exe
C:\WINDOWS\system32\ntvdm.exe
C:\T-Online\Browser\Browser.exe
C:\WINDOWS\system32\taskmgr.exe
C:\T-ONLINE\BSW4\ToDuCAlC.EXE
C:\DOKUME~1\DANIEL~1\LOKALE~1\Temp\Temporäres Verzeichnis 4 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R3 - Default URLSearchHook is missing
F3 - REG:win.ini: run=C:\WINDOWS\system32\msoffice.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [SAMSUNG Keydefin] C:\Programme\SAMSUNG\Keydefin\KeyDefin.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [5Qo7prek] C:\WINDOWS\xuetbqqv.exe
O4 - HKLM\..\Run: [Stop-Sign_Install_Recovery] C:\DOKUME~1\DANIEL~1\LOKALE~1\Temp\ss_stopsign.exe -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [uwwk] C:\PROGRA~1\COMMON~1\uwwk\uwwkm.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\DSLMON.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{07EB3E5C-D0F7-4C73-B3B7-77DE10F5BD4B}: NameServer = 217.237.151.225 217.237.150.225
O17 - HKLM\System\CS1\Services\Tcpip\..\{07EB3E5C-D0F7-4C73-B3B7-77DE10F5BD4B}: NameServer = 217.237.151.225 217.237.150.225
O18 - Protocol: haufereader - {39198710-62F7-42CD-9458-069843FA5D32} - C:\Programme\Haufe\HaufeReader\HRInstmon.dll
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file)
O20 - Winlogon Notify: Sebring - C:\WINDOWS\System32\LgNotify.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Kerio ServerFirewall (KerioServerFirewall) - Kerio Technologies - C:\Programme\Kerio\ServerFirewall\srvfw.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe

Wie lautet die genaue Fehlermeldung bzgl. msoffice.exe?

Mindestens folgendes

O4 - HKLM\..\Run: [5Qo7prek] C:\WINDOWS\xuetbqqv.exe

solltest Du noch fixen. Deutet imho auf einen Backdoor hin, der mal aktiv war. Wenn dem so ist, solltest Du formatieren und neu aufsetzen.

"Dialer, Trojaner, Spyer und sonstiges" installiert sich nicht von alleine, sondern entweder durch Anwenderhand oder unsichere Programme wie z.B. einen (veralteten) Internet Explorer. Der T-Online-Browser ist ein IE. Ein Browserwechsel ist also anzuraten.

Gruß
Yopie

Ersteinmal vielen Dank für die Hilfe.

So! Jetzt oute ich mich wohl total als Laie, aber nun ja. Wie genau ist das gemeint mit formatieren und neu aufsetzen? Bedeutet das umgangsprachlich soviel wie das system komplett löschen und neu aufspielen? Was passiert den dann mit meine Programmen und Daten? Ich habe auch schon eine Systemwiederherstellung versucht, aber irgendwie funkioniert das nicht, obwohl im System etwas von Prüfpunkten steht, einmal von Windows und von Spyboot.

Die Fehlermeldungen (2 x beim Systemstart) reiche ich gleich nach muss noch mal hochfahren.

Bezüglich dem wie ? (Dialer, Trojaner, Spyer und sonstiges) Wird wohl letztendlich doch irgendwie meine Schuld gewesen sein!!!

Habe auch Mozilla, funktioniert auch! Das Problem ist alle anderen Browser auch!!!

Das letztendliche Resultat lautet also, wenn ich es richtig deute, ich kann mir nicht 100 % sicher sein, dass nicht doch irgendwo in meinem System ein bösartiges Programm "schlummert" und das dieses nur durch das formatieren des Programms zu beheben ist. Toll und wie mach ich das genau. Haben keine Windows CD. Dass war nämlich auf meinem Laptop schon vorinstalliert.

Schon im voraus VIELEN DANK

Hier die 2 Fehlermeldungen

1. c:/windows/system32/msoffice.exe konnte nicht gefunden werden, stellen Sie sicher dass Sie den Namen korrekt eingegeben haben und wiederholen Sie den Vorgang. Klicken Sie auf Start und anschließend auf suchen, um die Datei zu suchen.

2. Die in der Regestrierung angengebene Regestrierung c:/windows/system32/msoffice.exe konnte nicht geladen oder gestartet werden. Stellen Sie sicher, dass die Datei vorhanden ist oder entfernen Sie den Eintrag mit Bezug auf diese Datei aus der Regestrierung.

Hallo Rotterdamer,

führe zunächst folgendes aus, um mehr Licht ins Dunkel zu bringen:
Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases_X -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Wie genau ist das gemeint mit formatieren und neu aufsetzen? Bedeutet das umgangsprachlich soviel wie das system komplett löschen und neu aufspielen?

JA, das ist richtig. Eine Anleitung findest du in meiner Signatur.

Was passiert den dann mit meine Programmen und Daten?

Die Programme und deine Daten werden 'fast' unwiderruflich gelöscht, sofern sie auf der Systempartition liegen.

Haben keine Windows CD. Dass war nämlich auf meinem Laptop schon vorinstalliert.

Ausnahme wie in deinem Fall: Du verwendest eine Recovery CD, dann werden alle Partitionen in den Urzustand, wie beim Kauf, zurück versetzt. Du musst also alle deine Daten/Dateien auf CD/DVD sichern.

c:/windows/system32/msoffice.exe konnte nicht gefunden werden

Fixe diesen Eintrag (Haken setzen und auf Fix Checked klicken) und die Fehlermeldung wird zukünftig nicht mehr erscheinen:
F3 - REG:win.ini: run=C:\WINDOWS\system32\msoffice.exe

Hallo.

habe gerade eine Schreck bekommen ESCAN hat 199 böse Einträge. Hier ein kleiner Ausschnitt:

4AA4-840C-0C563876F0AB}\RP135\A0013796.exe infected by "Trojan-Downloader.Win32.Dyfuca.du" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:30:25 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013797.ini
Sat Apr 16 19:30:25 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013798.lnk
Sat Apr 16 19:30:25 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013799.lnk
Sat Apr 16 19:30:25 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013800.new
Sat Apr 16 19:30:26 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013801.exe
Sat Apr 16 19:30:26 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013801.exe infected by "Trojan-Downloader.Win32.IstBar.ij" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:30:26 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013802.exe
Sat Apr 16 19:30:27 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013802.exe infected by "Trojan-Clicker.Win32.Agent.bn" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:30:27 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013803.dll
Sat Apr 16 19:30:27 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013803.dll infected by "Trojan-Downloader.Win32.Druser.b" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:30:27 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013804.exe
Sat Apr 16 19:30:27 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP135\A0013804.exe infected by "not-a-virus:AdWare.ToolBar.ISearch.d" Virus. Action Taken: No Action Taken

Sat Apr 16 18:57:11 2005 => File C:\WINDOWS\system32\drivers\delprot.sys infected by "Trojan.Win32.Delprot.a" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:29:27 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013336.exe infected by "Trojan-Downloader.Win32.TSUpdate.f" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:29:27 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013337.exe
Sat Apr 16 19:29:27 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013337.exe infected by "Trojan-Downloader.Win32.Dyfuca.du" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:29:27 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013338.ini
Sat Apr 16 19:29:27 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013339.lnk
Sat Apr 16 19:29:27 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013340.lnk
Sat Apr 16 19:29:27 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013341.new
Sat Apr 16 19:29:28 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013342.exe
Sat Apr 16 19:29:28 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013342.exe infected by "Trojan-Downloader.Win32.IstBar.ij" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:29:28 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013343.exe
Sat Apr 16 19:29:28 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013343.exe infected by "Trojan-Clicker.Win32.Agent.bn" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:29:28 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013344.dll
Sat Apr 16 19:29:29 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013344.dll infected by "Trojan-Downloader.Win32.Druser.b" Virus. Action Taken: No Action Taken.

Sat Apr 16 19:29:29 2005 => Scanning File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013345.exe
Sat Apr 16 19:29:29 2005 => File C:\System Volume Information\_restore{8D724808-CFA6-4AA4-840C-0C563876F0AB}\RP130\A0013345.exe infected by "not-a-virus:AdWare.ToolBar.ISearch.d" Virus. Action Taken: No Action Taken.


Die Einträge sehen in etwa alle so aus. Sag Bitte bescheid wenn du alle einträge benötigst, könnte dann allerdings etwas dauern.

Wäre unheimlich nett wenn Du mir ganz genau und detailliert schildern könntest was ich jetzt tun soll.

Danke schon im vorraus.