| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: mstask.exe oder MSTask.exeWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
01.08.2005, 11:57
| #1 |
 |  mstask.exe oder MSTask.exe Moin, habe bei einem Windows2000 Client einige Ungeziefer gefixt. Jetzt meldet HijackThis noch folgendes wobei ich mir unsicher bin, ob das i. o. ist: Code:
ATTFilter C:\WINNT\system32\MSTask.exe
 Logfile: Code:
ATTFilter Logfile of HijackThis v1.99.1 Scan saved at 12:07:04, on 1.8.2005 Platform: Windows 2000 SP4 (WinNT 5.00.2195) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINNT\System32\smss.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\services.exe C:\WINNT\system32\lsass.exe C:\WINNT\system32\svchost.exe C:\WINNT\system32\spoolsv.exe C:\Programme\Canon\VDC\AuVdc.exe C:\WINNT\system32\svchost.exe C:\Programme\Network Associates\Common Framework\FrameworkService.exe C:\Programme\Network Associates\VirusScan\Mcshield.exe C:\Programme\Network Associates\VirusScan\VsTskMgr.exe C:\WINNT\system32\regsvc.exe C:\WINNT\system32\MSTask.exe C:\WINNT\System32\WBEM\WinMgmt.exe C:\WINNT\system32\svchost.exe C:\WINNT\Explorer.EXE C:\Programme\Network Associates\VirusScan\SHSTAT.EXE C:\WINNT\System32\hkcmd.exe C:\WINNT\System32\USBMonit.exe C:\Programme\WinZip\WZQKPICK.EXE C:\antispy\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com* O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE O4 - HKLM\..\Run: [HotKeysCmds] C:\WINNT\System32\hkcmd.exe O4 - HKLM\..\Run: [Gene USB Monitor] C:\WINNT\System32\USBMonit.exe O4 - HKLM\..\RunOnce: [Panda_cleaner_41898] C:\WINNT\system32\ActiveScan\pavdr.exe 41898 O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1122884824234 O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = straeussl.local O17 - HKLM\System\CCS\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = straeussl.local O17 - HKLM\System\CS1\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11 O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = straeussl.local O17 - HKLM\System\CS2\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11 O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINNT\system32\xplugin.dll O23 - Service: Canon NetSpot Suite Service - CANON INC. - C:\Programme\Canon\VDC\AuVdc.exe O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe Code:
ATTFilter R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*
|
|
01.08.2005, 12:49
| #2 |
   | mstask.exe oder MSTask.exe Hallo fly007
__________________die Datei sollte harmlos sein, um es genau zu wissen beende den Prozess im Taskmanager und lasse mal die Datei hier scannen und teile das Ergebnis mit, für die Aktion solltest du deinen Virenscanner deaktivieren führe das folgende Tool aus http://www.trojaner-info.de/anleitun...out_blank.html --> boote in den abgesicherter Modus , deaktiviere die Systemwiederherstellung , und fixe dann mit Hijack This (Häk'chen setzen und auf Fix Checked klicken ) Anleitung folgende Einträge: wenn das nicht deine Startseite ist R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http: //4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http: //4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http: //4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http: //4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http: //4-counter.com/?a=2&b=alexxp R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com* auf jeden fall fixen: O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11 O17 - HKLM\System\CS1\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11 O17 - HKLM\System\CS2\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11 O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINNT\system32\xplugin.dll von Hande löschen: C:\WINNT\system32\xplugin.dll C:\WINNT\system32\winproc32.exe neu booten neuse HJT posten
__________________ |
|
01.08.2005, 14:00
| #3 |
| | mstask.exe oder MSTask.exe Hallo Gigamail, danke für die ausführliche Antwort.
__________________Jetzt bin ich den Trojaner los, jedoch habe ich im Windows ein Problem, da der Desktop - Hintergrund ganz Schwarz ist mit Schrift: Warning Your Computer might be infected with spyware or adware!! Und ich kann den Desktop Hintergrund nicht ändern, weil ich kein Reiter mit Hintergrundbild mehr habe. Ich habe mit einem anderen Win2k System verglichen, da fehlen im Desktop/Eigenschaften 3 Reiter (Hintergrundbild, Web und Darstellung)? Wie kann ich das wiederherstellen? Aktuelle HijackThis Logfile: Code:
ATTFilter Logfile of HijackThis v1.99.1 Scan saved at 14:21:18, on 1.8.2005 Platform: Windows 2000 SP4 (WinNT 5.00.2195) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINNT\System32\smss.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\services.exe C:\WINNT\system32\lsass.exe C:\WINNT\system32\svchost.exe C:\WINNT\system32\spoolsv.exe C:\Programme\Canon\VDC\AuVdc.exe C:\WINNT\system32\svchost.exe C:\Programme\Network Associates\Common Framework\FrameworkService.exe C:\Programme\Network Associates\VirusScan\Mcshield.exe C:\Programme\Network Associates\VirusScan\VsTskMgr.exe C:\WINNT\system32\regsvc.exe C:\WINNT\system32\MSTask.exe C:\WINNT\System32\WBEM\WinMgmt.exe C:\WINNT\system32\svchost.exe C:\WINNT\Explorer.EXE C:\Programme\Network Associates\VirusScan\SHSTAT.EXE C:\WINNT\System32\hkcmd.exe C:\WINNT\System32\USBMonit.exe C:\Programme\WinZip\WZQKPICK.EXE C:\antispy\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com* O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE O4 - HKLM\..\Run: [HotKeysCmds] C:\WINNT\System32\hkcmd.exe O4 - HKLM\..\Run: [Gene USB Monitor] C:\WINNT\System32\USBMonit.exe O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1122884824234 O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab O23 - Service: Canon NetSpot Suite Service - CANON INC. - C:\Programme\Canon\VDC\AuVdc.exe O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe |
|
01.08.2005, 14:40
| #4 |
| | mstask.exe oder MSTask.exe schau mal hier der Eintrag sollte doch auch mit gefixt werden und die Datei im abgesicherten Modus gelöscht werden O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe sonnst sieht das Log sauber aus, du solltest aber noch einen eScan durchführen (siehe meine Signatur) halte dich an die Anleitung |
|
01.08.2005, 15:32
| #5 |
| | mstask.exe oder MSTask.exe Danke für deine Hilfe!  Folgender Eintrag habe ich nicht im Abgesicherten Modus gefunden, aber im Windows erfolgreich gefixt. O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe |
|
| Themen zu mstask.exe oder MSTask.exe |
| acrobat, adobe, bho, bla, button, canon, confused, datei, excel, explorer, folge, hijack, hijackthis, internet, internet explorer, mcafee, microsoft, monitor, programme, prozess, software, start, system, system32, taskmanager, virusscan, warum, windows, windows internet |
Linear-Darstellung
