| |
| |||||||
Log-Analyse und Auswertung: Meine HijackThis Logfile...bitte einmal nachsehen!Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
08.05.2005, 15:10
| #1 |
| |  Meine HijackThis Logfile...bitte einmal nachsehen! Hallo! Hab gestern von AntiVir diese Meldungen bekommen: 07.05.2005,15:13:31 [WARNUNG] Ist das Trojanische Pferd TR/Drop.Agent.CP! C:\PROGRAMME\QUICKTIME\QTTASK.EXE [INFO] Die Datei wurde in das Quarantäneverzeichnis verschoben! 08.05.2005,00:02:30 [WARNUNG] Ist das Trojanische Pferd TR/Drop.Agent.CP! C:\SYSTEM VOLUME INFORMATION\_RESTORE{89387A9B-5437-44A1-87A4-2A9DF478DDCA}\RP188\A0021587.EXE [INFO] Die Datei wurde in das Quarantäneverzeichnis verschoben! Hab mich zwar schon umgesehen, wie ich das lösen könnte, aber eine richtige Lösung habe ich noch nicht erhalten können. Wegen der zweiten Meldung hab ich gelesen, dass man bei den Systemwiederherstellungsoptionen irgendwas auf 0% setzen müsste, hab aber die Option nicht gefunden. Deshalb hier mal die Logfile: Logfile of HijackThis v1.99.1 Scan saved at 16:01:14, on 08.05.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Java\jre1.5.0_02\bin\jusched.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\Programme\FRITZ!DSL\Awatch.exe C:\Programme\AVPersonal\AVGNT.EXE C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE C:\Programme\AGFEO\ISDN Guard\agfguard.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\pctspk.exe C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe C:\Programme\Teledat\WCOM\SYSTEM\RVSINST.EXE C:\WINDOWS\System32\svchost.exe C:\Programme\Teledat\WCOM\SYSTEM\RVSCC.EXE C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe C:\PROGRA~1\1&1INT~1\PROFI-~1\ProfiDialer.exe C:\Dokumente und Einstellungen\S.P.\Eigene Dateien\Shit\Sicherheits Progs\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [AWatch] C:\Programme\FRITZ!DSL\Awatch.exe O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE" O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: ISDN Guard.lnk = C:\Programme\AGFEO\ISDN Guard\agfguard.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-18.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1103564869296 O16 - DPF: {EF58E341-49C3-4156-A3C4-5FFCA7C1EAB7} (EURAS_Portal.Gateway) - http://www.euras.com/euras/activex2/euras.CAB O17 - HKLM\System\CCS\Services\Tcpip\..\{9599F65E-5788-449F-8E2C-6CC34196A582}: NameServer = 192.168.122.252,192.168.122.253 O17 - HKLM\System\CCS\Services\Tcpip\..\{AC2624B7-1C06-4D24-90E7-1CA4927B3633}: NameServer = 217.237.149.161 217.237.151.225 O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe O23 - Service: RVS CommCenter (RvsCC) - Unknown owner - C:\Programme\Teledat\WCOM\SYSTEM\RVSCC.EXE O23 - Service: RvscomSv - RVS Datentechnik GmbH, München - C:\Programme\Teledat\WCOM\SYSTEM\RVSCOMSV.EXE O23 - Service: RVS Installer (RVSINST) - RVS Datentechnik GmbH, München - C:\Programme\Teledat\WCOM\SYSTEM\RVSINST.EXE |
|
08.05.2005, 15:13
| #2 |
   | Meine HijackThis Logfile...bitte einmal nachsehen! ja.. so wies aussieht ist ein trojaner in die systemwiederherstellung gelangt. also gehe so vor:
__________________-rechtsklick arbeitsplatz, eigenschaften -systemwiederherstellung, systemwiederherstellung auf allen laufwerken deaktivieren haken hin -neustarten, haken weg machen damit du auch wirklich sicher bist: -lade dir escan runter und gehe genau nach dieser Anleitung vor -gehe wieder in den normalen modus -öffne die datei mwav.log,klicke auf bearbeiten dann auf suchen -gebe infected ein -suche weiter,markiere die treffer und kopiere sie ins forum |
|
08.05.2005, 18:42
| #3 |
| | Meine HijackThis Logfile...bitte einmal nachsehen! Puuh...hat mit dem eScan über 2 Stunden gedauert, aber das isses Wert! Hier:
__________________Funde für "infected" Sun May 08 17:26:12 2005 => File C:\DOKUME~1\S.~1\LOKALE~1\TEMPOR~1\Content.IE5\87ZVM0T9\wow[1].htm infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken. Sun May 08 18:04:41 2005 => File C:\Dokumente und Einstellungen\S.P.\Lokale Einstellungen\Temporary Internet Files\Content.IE5\87ZVM0T9\wow[1].htm infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken. Sun May 08 18:22:29 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.* Sun May 08 18:22:29 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\A0021587.EXE.VIR Sun May 08 18:22:29 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\QTTASK.EXE.VIR Sun May 08 19:22:56 2005 => Total Disinfected Files: 0 Funde für "tagged" Sun May 08 17:45:25 2005 => File C:\Dokumente und Einstellungen\S.P.\Desktop\Media\Media\Stuff & Linkz\TMPG.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken. Sun May 08 17:49:20 2005 => File C:\Dokumente und Einstellungen\S.P.\Eigene Dateien\mirc616.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken. Sun May 08 18:16:42 2005 => File C:\Program Files\mIRC\mirc.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken. Statistiken: Sun May 08 19:22:56 2005 => Total Virus(es) Found: 5 Sun May 08 19:22:56 2005 => Total Errors: 17 Sun May 08 19:22:56 2005 => Time Elapsed: 02:08:42 Sun May 08 19:22:56 2005 => Total Objects Scanned: 73305 Sun May 08 17:11:58 2005 => Virus Database Date: 2005/05/08 Sun May 08 19:22:56 2005 => Virus Database Date: 2005/05/08 Sun May 08 19:24:07 2005 => Virus Database Date: 2005/05/08 |
|
| Themen zu Meine HijackThis Logfile...bitte einmal nachsehen! |
| adobe, adobe reader, antivir, antivir update, avg, bho, dll, dsl, einstellungen, excel, explorer, firewall, hijack, hijackthis, icqtoolbar, internet, internet explorer, logfile, microsoft, nvcpl.dll, nvidia, programme, quara, rundll, software, system, urlsearchhook, warnung, windows, windows messenger, windows xp |
Linear-Darstellung
