hallo
ich habe ein problem. mein zonealarm hat mir angezeigt dass LSA Shell (export version ) versucht hat zuzugreifen. hab des natürlich blockiert.
etz hab ich im internet nachgelesen dass es sich warscheinlich um nen trojaner handelt. könnt ihr euch bitte mal meine logfile anschaun?

danke im vorraus blood-soul


Logfile of HijackThis v1.99.1
Scan saved at 15:45:15, on 18.07.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Zone Alarm\zlclient.exe
D:\Programme\ICQLite\ICQLite.exe
D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\HP\Digital Imaging\bin\hpotdd01.exe
C:\Programme\AVPersonal\AVWIN.EXE
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Download C\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Alarm\zlclient.exe
O4 - HKLM\..\Run: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O8 - Extra context menu item: &ICQ Toolbar Search -
_____________
Anm.
Aktive Links editiert!
Beachte zukünftig die Hinweise dieser Anleitung: HiJackThis.


LG Cidre
S-Mod TB

mein zonealarm hat mir angezeigt dass LSA Shell (export version ) versucht hat zuzugreifen.

Vermutlich lautet die Meldung eher: *** versucht auf die LSA Shell zuzugreifen.

Ein mit Sasser, Mytob, unzähligen Bots oder Co. infiziert Rechner will die Malware natürlich weiterverbreiten und scannt deshalb dein System, ob die LSASS-Sicherheitslücke auch bei dir ausnutzbar ist. Wurde diese nicht mittels Patch (MS04-011) geschlossen, installiert die Malware sich.

Kein Grund zur Besorgnis...

Wenn dein System voll gepatcht ist und danach sieht es aus, dann kannst du Meldung deiner PFW getrost ignorieren, denn irgendwie muß sie ihre sinnlose Daseinsberechtigung ja untermauern.

Ok, dann werd ich diese meldung (en) einfach mal ganz zurückhalten betrachten ^^

danke für deine hilfe


mfg blood-soul