Hallo zusammen..
sitze an dem rechner eines bekannten,
habe mitlerweile ne menge von dieser Spielwiese entfernt, aber um sicher zu sein wär es klasse wenn ihr noch einmal drüberschauen könntet.
Dank im vorraus

die aktuallisierung des systems folgt nach säuberung

Logfile of HijackThis v1.99.1
Scan saved at 12:17:19, on 16.12.2005
Platform: Windows 2003 SP1 (WinNT 5.02.3790)
MSIE: Internet Explorer v6.00 SP1 (6.00.3790.1830)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programme\Symantec AntiVirus\DefWatch.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\system32\CBA\pds.exe
C:\WINDOWS\System32\ismserv.exe
C:\Programme\No-IP\DUC20.exe
C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
C:\WINDOWS\system32\ntfrs.exe
C:\WINDOWS\system32\oocinst.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\System32\snmp.exe
C:\Programme\Symantec AntiVirus\Rtvscan.exe
C:\Programme\RealVNC\VNC4\WinVNC4.exe
E:\SUS\wusync\WUSyncSvc.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\system32\ams_ii\iao.exe
C:\WINDOWS\system32\cba\xfr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Cobian Backup 6\cobui.exe
C:\Program Files\Ctqdng\Fxmp.exe
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\PROGRA~1\SYMANT~1\VPTray.exe
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\Programme\No-IP\DUC20.exe
C:\WINDOWS\scanfile.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\cidaemon.exe
c:\windows\system32\inetsrv\w3wp.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Dokumente und Einstellungen\+++\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [cssvrsub] "C:\Programme\Competent Software\CheckSystem Pro 4.0\cssvrsub.exe" -startup
O4 - HKLM\..\Run: [Cobian Backup Interface 6] "C:\Programme\Cobian Backup 6\cobui.exe" -service
O4 - HKLM\..\Run: [Ildqhk] C:\Program Files\Ctqdng\Fxmp.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - Startup: No-IP DUC.lnk = C:\Programme\No-IP\DUC20.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Scanner File Utility.lnk = C:\Programme\Kyocera Mita\FileUtility\fileexec.exe
O16 - DPF: {D30CA0FD-1CA0-11D4-AC78-006008A9A8BC} (WebBasedClientInstall Class) - file://*:\Install\Applikationen\Norton\Tools\WebInst\webinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = ****
O17 - HKLM\Software\..\Telephony: DomainName = *****
O17 - HKLM\System\CCS\Services\Tcpip\..\{AD303427-EFCA-48E5-A021-C65D194AD72D}: NameServer = +++.+++.+++.+++,+++.++.+++.++
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ******
O20 - Winlogon Notify: dimsntfy - C:\WINDOWS\SYSTEM32\dimsntfy.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O23 - Service: AllSync Scheduler Service (AllSyncService) - Michael Thummerer Software Design - E:\AllSync\AllSync.exe
O23 - Service: Cobian Backup 6 service (CobBackup6) - Luis Cobian - C:\Programme\Cobian Backup 6\cbs.exe
O23 - Service: CheckSystem Service (CspSrv) - Timo Kosiol - Softwareconsulting - C:\Programme\Competent Software\CheckSystem Pro 4.0\CspSrv.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Programme\Symantec AntiVirus\DefWatch.exe
O23 - Service: Intel Alert Handler - Intel® Corporation - C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
O23 - Service: Intel Alert Originator - Intel® Corporation - C:\WINDOWS\system32\ams_ii\iao.exe
O23 - Service: Intel File Transfer - Intel® Corporation - C:\WINDOWS\system32\cba\xfr.exe
O23 - Service: Intel PDS - Intel® Corporation - C:\WINDOWS\system32\CBA\pds.exe
O23 - Service: NoIPDUCService - Vitalwerks LLC - C:\Programme\No-IP\DUC20.exe
O23 - Service: Symantec System Center Discovery-Dienst (NSCTOP) - Symantec Corporation - C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
O23 - Service: O&O ComponentInstaller Agent - O&O Software GmbH - C:\WINDOWS\system32\oocinst.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Programme\Symantec AntiVirus\Rtvscan.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Programme\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

Hi,

> C:\Program Files\Ctqdng\Fxmp.exe
> C:\WINDOWS\scanfile.exe

Diese Dateien bitte bei Jotti prüfen lassen und das Ergebnis hier posten.

Zitat von cosinus

Hi,

> C:\Program Files\Ctqdng\Fxmp.exe
> C:\WINDOWS\scanfile.exe

Diese Dateien bitte bei Jotti prüfen lassen und das Ergebnis hier posten.

hi, ein nachtrag..
also bei dem befallenen rechner handelt es sich um eine laptop, habe ihn nicht am netz, das ist mir was zu heikel denn ich fürchte das was da drauf läuft ist nicht ganz ohne..
die gerade von mir gepostete log ist die nachdem ich den rechner, meiner meinung nach, bereinigt hatte, im abgesicherten modus
diese beiden dateien, welche ich prüfen lassen soll ,sind witziger weise nicht zu finden
der ordner C:\Program Files\Ctqdng\ wo die datei Fxmp.exe drin sein soll ist garnicht da..
und die scanfile.exe finde ich auch net..
ich poste dann hier noch mal die log nachdem ich den rechner neu gestartet habe:

Logfile of HijackThis v1.99.1
Scan saved at 12:21:14, on 22.12.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ipnz.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\CtrlVol.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Browser MOUSE\mouse32a.exe
C:\Programme\PFU\ScanSnap!\CardMinder\CardLauncher.exe
C:\Programme\ScanSoft\OmniPagePro11.0\opware32.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\javajq.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Adobe\Acrobat 7.0\Acrobat\acrobat_sl.exe
C:\Programme\PFU\ScanSnap!\Driver\PfuSsMon.exe
C:\Programme\PFU\ScanSnap!\CardMinder\bcd_file\SbCRecE.exe
C:\daten\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=53142
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://lookfor.cc/sp.php?pin=53142
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://lookfor.cc?pin=53142
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://lookfor.cc?pin=53142
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://lookfor.cc/sp.php?pin=53142
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=53142
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://lookfor.cc/sp.php?pin=53142
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://lookfor.cc?pin=53142
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ksdog.dll/sp.html#53142%everything4find.com
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\vktov.dll
O2 - BHO: Class - {AC2D8F55-4AC6-20AE-E0C0-B85403479114} - C:\WINDOWS\addyk.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Class - {BCEB5FA0-2605-5E87-B49D-E1DE122F1C5C} - C:\WINDOWS\system32\apidn.dll
O2 - BHO: Class - {D49792CC-8DC7-3486-5C0A-ED97D10E10D8} - C:\WINDOWS\system32\ippl32.dll
O2 - BHO: Class - {F002AC88-197D-52CF-C9AD-794EE679E071} - C:\WINDOWS\winmu32.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\vktov.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Program Files\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Programme\Browser MOUSE\mouse32a.exe
O4 - HKLM\..\Run: [CardMinder] C:\Programme\PFU\ScanSnap!\CardMinder\CardLauncher.exe
O4 - HKLM\..\Run: [Pdfquickview] C:\Programme\PFU\ScanSnap!\PDF Thumbnail View\pdfquickview.exe
O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPagePro11.0\opware32.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [javajq.exe] C:\WINDOWS\javajq.exe
O4 - HKLM\..\Run: [NAVNet] "C:\WINDOWS\System32\dgprpsetup.exe" /m
O4 - HKLM\..\Run: [dmuwn.exe] C:\WINDOWS\System32\dmuwn.exe
O4 - HKLM\..\RunOnce: [ipnz.exe] C:\WINDOWS\system32\ipnz.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = ?
O4 - Global Startup: ScanSnap! Monitor.lnk = ?
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O10 - Broken Internet access because of LSP provider 'bmnet.dll' missing
O17 - HKLM\System\CCS\Services\Tcpip\..\{4C3C2376-8F16-44C6-AD34-92AF7D9B3A04}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{600DA58F-9A34-40DA-BFB4-31B579CFB530}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{8870DE97-AA5E-4AF4-9D86-03A11C2E99E0}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{99890689-30A4-480C-A562-17F69ACC13A4}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{B01E92E9-4788-46F3-B16F-12967790A4D1}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{D5C0B2DF-5028-42AA-9790-38C394A9A53D}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{EEC741F0-C4F5-4D80-98B9-E76D932C98EE}: NameServer = 85.255.113.122,85.255.112.65
O17 - HKLM\System\CS1\Services\Tcpip\..\{4C3C2376-8F16-44C6-AD34-92AF7D9B3A04}: NameServer = 85.255.113.122,85.255.112.65
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Network Security Service (NSS) ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\mfcqu.exe (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE

die gesamten einträge unter R1 und R0 hatte ich eigentlich gelöscht,
auch war 020 und der erste 023 eigentlich gefixt
bin ein wenig ratlos
ich hatte ja schon mit so eins zwei spyware-/trojanern zu tun, aber der is nich schlecht

Zitat von JimSelf

hi, ein nachtrag..
also bei dem befallenen rechner handelt es sich um eine laptop, habe ihn nicht am netz, das ist mir was zu heikel denn ich fürchte das was da drauf läuft ist nicht ganz ohne..

Sehr löblich! Befallene Rechner trennt man sofort vom Netz

diese beiden dateien, welche ich prüfen lassen soll ,sind witziger weise nicht zu finden

Hast Du auch eingestellt, dass alle Dateien angezeigt werden, also die versteckten UND die geschützten Systemdateien?

Zitat von cosinus

Hast Du auch eingestellt, dass alle Dateien angezeigt werden, also die versteckten UND die geschützten Systemdateien?

habe alles auf zeigen..
auch wenn ich als admin angemeldet bin sehe ich diese nicht

aber bei dem zweiten log tauchen die ja auch nicht mehr auf

Zitat von JimSelf

habe alles auf zeigen..
auch wenn ich als admin angemeldet bin sehe ich diese nicht

aber bei dem zweiten log tauchen die ja auch nicht mehr auf

Scan Dein System mal mit dem Rootkit Revealer und poste das Log.