Guten Tag,

ich habe vor ca 10 Tagen meinen Rechner neu aufgesetzt(XP+Sp2+extras) und nun das! Habe mit escan gescannt, und das logfile angehängt . Kann mir jemand helfen?

danke hortsti

Servus, horst9911!
So wie von Dir gepostet ist der Inhalt nicht sehr übersichtlich!
Poste das ganze doch bitte so wie in Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=17492 beschrieben hier im board (und nicht als Dateianhang). Ein aktuelles HJT-Logfile http://www.trojaner-board.de/showthread.php?t=17493 wäre ebenfalls interessant.
stupormundi

hallo stupormundi,

leider klappte die oben angegebene methode nicht - datei wurde nicht erstellt - ich weiß auch nicht ob der prozeß gestartet wurde.
ich poste nun nach dem erneuten scan ein "aufgeräumte kopie" aus dem scan.

mfg horsti

ok hab nun mehr zeit, also:

Object "searchexe Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "bearshare Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.

Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.


Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\DOKUME~1\Admin\LOKALE~1\Temp\enableirsocketutil.exe". Action Taken: No Action Taken.


Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\C-Major" refers to invalid object "C:\Programme\SigmaTel\C-Major Audio\C-Major". Action Taken: No Action Taken.


Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\HijackThis.exe" refers to invalid object "C:\DOKUME~1\Admin\LOKALE~1\Temp\Rar$EX00.293\hijackthis.exe". Action Taken: No Action Taken.


Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\setup.exe" refers to invalid object "C:\Programme\ATI Technologies\ATI Control Panel\setup.exe". Action Taken: No Action Taken.


Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\yourapp.Exe" refers to invalid object "C:\Programme\ASUS\WINFLASH\yourapp.Exe". Action Taken: No Action Taken.


Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Folders" refers to invalid object "D:\Programme\Adobe\Acrobat 6.0\TempIccProfiles\". Action Taken: No Action Taken.


Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Folders" refers to invalid object "D:\Programme\Adobe\Acrobat 6.0\TempIccProfiles\Non-Recommended\". Action Taken: No Action Taken.


Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".3gp". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".aba". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".bak". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".dxf". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".FH9". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".lic". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".mp4". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".PFB". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".ROM". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".tab". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".tbk". Action Taken: No Action Taken.

Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".VIR". Action Taken: No Action Taken.


Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" refers to invalid object "Mozilla Firefox (1.0PR)". Action Taken: No Action Taken.


Entry "HKCR\TypeLib\{2D258370-8E0F-426B-A13B-C43BEAF15D3E}" refers to invalid object "C:\DOKUME~1\Admin\LOKALE~1\Temp\VBE\RefEdit.exd". Action Taken: No Action Taken.

Entry "HKCR\TypeLib\{9562F32C-3B00-430C-A000-345A7DC13A62}" refers to invalid object "C:\DOKUME~1\Admin\LOKALE~1\Temp\VBE\MSForms.exd". Action Taken: No Action Taken.

Entry "HKCR\.awf" refers to invalid object "Adobe.WorkFlow.Files". Action Taken: No Action Taken.

Entry "HKCR\.pcb" refers to invalid object "PCBFile". Action Taken: No Action Taken.

Entry "HKCR\.psb" refers to invalid object "Photoshop.PSBFile". Action Taken: No Action Taken.

Entry "HKCR\AcroAccess.Microsoft.3" refers to invalid object "{83F49956-868A-D56D-83A6-3D4A57091203}". Action Taken: No Action Taken.

Entry "HKCR\Adobe.Illustrator.dwg" refers to invalid object "{C0ED15F0-61BB-11d3-B6CA-00C04F6A0D06}". Action Taken: No Action Taken.

Entry "HKCR\Adobe.Illustrator.dxf" refers to invalid object "{C0ED15F0-61BB-11d3-B6CA-00C04F6A0D06}". Action Taken: No Action Taken.

Entry "HKCR\Adobe.Illustrator.pict" refers to invalid object "{C0ED15F0-61BB-11d3-B6CA-00C04F6A0D06}". Action Taken: No Action Taken.

Entry "HKCR\Alg.AlgSetup" refers to invalid object "{27D0BCCC-344D-4287-AF37-0C72C161C14C}". Action Taken: No Action Taken.

Entry "HKCR\Alg.AlgSetup.1" refers to invalid object "{27D0BCCC-344D-4287-AF37-0C72C161C14C}". Action Taken: No Action Taken.

Entry "HKCR\APHandler.Handler" refers to invalid object "{C16F618E-0B1A-426B-9216-1F588AE91F60}". Action Taken: No Action Taken.

Entry "HKCR\APHandler.Handler.1" refers to invalid object "{C16F618E-0B1A-426B-9216-1F588AE91F60}". Action Taken: No Action Taken.

Entry "HKCR\BDATuner.Microsoft" refers to invalid object "{7CB547B0-AA09-B542-8349-82380F4C0ED2}". Action Taken: No Action Taken.

Entry "HKCR\COMSVCS.CddbSegment.1" refers to invalid object "{5918B5AF-1364-F340-C949-2C88B4E53132}". Action Taken: No Action Taken.

Entry "HKCR\MailFileAtt" refers to invalid object "{00020D05-0000-0000-C000-000000000046}". Action Taken: No Action Taken.

Entry "HKCR\mapifvbx.object" refers to invalid object "{41116C00-8B90-101B-96CD-00AA003B14FC}". Action Taken: No Action Taken.

Entry "HKCR\mapifvbx.object.1" refers to invalid object "{41116C00-8B90-101B-96CD-00AA003B14FC}". Action Taken: No Action Taken.

Entry "HKCR\Plenoptic.Plenoptic" refers to invalid object "{607C27E9-AB27-11d3-A116-A0EA50C10801}". Action Taken: No Action Taken.

Entry "HKCR\Plenoptic.Plenoptic.1" refers to invalid object "{607C27E9-AB27-11d3-A116-A0EA50C10801}". Action Taken: No Action Taken.

Entry "HKCR\ppifile\shell\open\command" refers to invalid object "%SystemRoot%\System32\msppcnfg.exe /Config %1". Action Taken: No Action Taken.

Entry "HKCR\RTCCore.RTCClient" refers to invalid object "{7a42ea29-a2b7-40c4-b091-f6f024aa89be}". Action Taken: No Action Taken.

Entry "HKCR\RTCCore.RTCClient.1" refers to invalid object "{7a42ea29-a2b7-40c4-b091-f6f024aa89be}". Action Taken: No Action Taken.

Entry "HKCR\RTCIMSP.RTCIMService" refers to invalid object "{83D4679F-B6D7-11D2-BF36-00C04FB90A03}". Action Taken: No Action Taken.

Entry "HKCR\RTCIMSP.RTCIMService.1" refers to invalid object "{83D4679F-B6D7-11D2-BF36-00C04FB90A03}". Action Taken: No Action Taken.

Entry "HKCR\WMPPublsihCntr.WMPPublsihCntr" refers to invalid object "{939438A9-CF0F-44d8-9140-599736F0D3A2}". Action Taken: No Action Taken.

Entry "HKCR\WMPPublsihCntr.WMPPublsihCntr.1" refers to invalid object "{939438A9-CF0F-44d8-9140-599736F0D3A2}". Action Taken: No Action Taken.


File D:\Programme\The bat\MAIL\...\Trash\MESSAGES.TBB infected by "Email-Worm.Win32.NetSky.y" Virus! Action Taken: No Action Taken.


sorry, aber das ist das einzige, was ich im moment von der kiste an infos kriege.
hat jemand vielleicht noch nen tip für ein anders tool zum scannen, das ich einfacher posten kann?

horsti

Also, ich habe noch weitere infos - von hijacksthis.log und vlist.log:

1.

Logfile of HijackThis v1.99.1
Scan saved at 17:16:02, on 27.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programme\AntiVir 6\AVGUARD.EXE
D:\Programme\AntiVir 6\AVWUPSRV.EXE
D:\Programme\Kerio\Personal Firewall\persfw.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ATK0100\HControl.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\Programme\Maxtor\OneTouch\utils\Onetouch.exe
C:\Programme\ASUS\Power4 Gear\BatteryLife.exe
D:\Programme\AntiVir 6\AVGNT.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\system32\WISPTIS.EXE
D:\Programme\WinRAR 3.0\WinRAR.exe
C:\Dokumente und Einstellungen\Admin\Eigene Dateien\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [MaxtorOneTouch] D:\Programme\Maxtor\OneTouch\utils\Onetouch.exe
O4 - HKLM\..\Run: [Power_Gear] C:\Programme\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] D:\Programme\AntiVir 6\AVGNT.EXE /min
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - Global Startup: Acrobat Assistant.lnk = D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Programme\AntiVir 6\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Programme\AntiVir 6\AVWUPSRV.EXE
O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - D:\Programme\Kerio\Personal Firewall\persfw.exe



und 2. vlist.log

[0x00000098] 27/10/2005 17:09:09:578 :WARNING!!! CoCreateInstance Function Failed...Trying to Register kavvlg.dll...returning 80040154
[0x00000098] 27/10/2005 17:09:09:578 :ERROR!!! Unable to Register kavvlg.dll DLL
[0x00000098] 27/10/2005 17:09:09:578 :ERROR!!! CoCreateInstance Fails. Error code = 80040154
[0x00000098] 27/10/2005 17:09:09:578 :ERROR!!! GetVirusList Fails..returns 80040154


bitte - kann mir jemand helfen -

danke horsti

Hallo und Hilfe,

bitte hilf mir doch jemand, der die Logfils auswerten kann! ich bin überfordert, und die kiste wird langsamer und langsamer!

hier nochmal das Hijacklog:

Danke der horsti

Logfile of HijackThis v1.99.1
Scan saved at 17:16:02, on 27.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programme\AntiVir 6\AVGUARD.EXE
D:\Programme\AntiVir 6\AVWUPSRV.EXE
D:\Programme\Kerio\Personal Firewall\persfw.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ATK0100\HControl.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\Programme\Maxtor\OneTouch\utils\Onetouch.exe
C:\Programme\ASUS\Power4 Gear\BatteryLife.exe
D:\Programme\AntiVir 6\AVGNT.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\system32\WISPTIS.EXE
D:\Programme\WinRAR 3.0\WinRAR.exe
C:\Dokumente und Einstellungen\Admin\Eigene Dateien\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [MaxtorOneTouch] D:\Programme\Maxtor\OneTouch\utils\Onetouch.exe
O4 - HKLM\..\Run: [Power_Gear] C:\Programme\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] D:\Programme\AntiVir 6\AVGNT.EXE /min
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - Global Startup: Acrobat Assistant.lnk = D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Programme\AntiVir 6\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Programme\AntiVir 6\AVWUPSRV.EXE
O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - D:\Programme\Kerio\Personal Firewall\persfw.exe

ein Email wurm treibt sich bei dir rum : netsky.y Dafür gibts Entfernungstool
When U kannst du mit einem Tool von Addaware entfernen.Findest du auf der Startseite von Addaware.Ansonsten sind viel tote Keys dabei.Regseeker laden und die Registry säubern.Clear Prog 1.4.1. final laden und alles löschen lassen. Die Links dazu habe ich jetzt nicht zur Hand.Google hilft dir aber weiter.
Irrlicht

ok vielen dank erstma,.

aber irgendwie... findet escan immer bearshare - (habe naber keine share softw) und searchexe - fixtools fixen nicht / andere scanner zeigen nix an. :headbang:

Die beiden "Exen" brauchst du wenn du weiter Musik/Filme über Filesharingsysteme nutzen(klauen ?)willst.Ist halt auch immer Risiko dabei.Denn du weißt nicht was in dem File ist das du dir runterziehst.Namen sind da nämlich Schall und Rauch.Die beiden Exe`n wirst du in deinem bevorzugten Downloadordner finden.Also in "eigene Dateien/ du hast aber auch bei XP eine Suchfunktion,wenn du da die Exe`n eingibst sollte XP eigentlich wissen wo die sind.
Irrlicht