Hallo,

ich habe Probleme. Scheinbar unregelmäßig wird die AntiVir Guard (der "Live"-Virenschutz von AntiVir) deaktiviert. Habe gelesen, dass es mit Trojanern zu tun haben könnte. Bin deswegen auf das Forum hier gestoßen. Habe HJT geladen und den Logfile erstellt. Kann man da was erkennen? Bin für jede Hilfe dankbar - Gruß Haderlump2000

<Beginn Logfile>

Logfile of HijackThis v1.99.1
Scan saved at 20:45:51, on 10.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Canon\Memory Card Utility\PIXMA iP6000D\PDUiP6000DMemCrdMgr.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Programme\Logitech\iTouch\iTouch.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Picasa2\PicasaMediaDetector.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Canon\Memory Card Utility\PIXMA iP6000D\PDUiP6000DMon.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Canon\Memory Card Utility\PIXMA iP6000D\PDUiP6000DTskbr.exe
C:\Programme\Java\jre1.5.0_05\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Daten\Downloads\AutoDialUp\AutoDialUp.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\install\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Programme\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [PDUiP6000DMon] C:\Programme\Canon\Memory Card Utility\PIXMA iP6000D\PDUiP6000DMon.exe
O4 - HKLM\..\Run: [PDUiP6000DTskbr] C:\Programme\Canon\Memory Card Utility\PIXMA iP6000D\PDUiP6000DTskbr.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_05\bin\jusched.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [AutoDialRun] "C:\Daten\Downloads\AutoDialUp\AutoDialUp.exe"
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {EFCDF005-B274-4B8F-A767-C4010395C5ED} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {EFCDF005-B274-4B8F-A767-C4010395C5ED} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1130258321376
O17 - HKLM\System\CCS\Services\Tcpip\..\{FEB12BE2-C53A-4AAA-BEEA-ECB199C78795}: NameServer = 213.168.112.60 81.173.194.68
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Canon PIXMA iP6000D Memory Card Manager (PDUiP6000DMemCrdMgr) - CANON INC. - C:\Programme\Canon\Memory Card Utility\PIXMA iP6000D\PDUiP6000DMemCrdMgr.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

Hallo,
ich schieb´ das nochmal nach oben, nicht, weil ich mich vordrängeln möchte, sondern weil meine Frage mittlerweile auf Seite zwei gerutscht ist und ich Angst habe, dass sie untergeht.

Nochmal die Frage: ist jemand da draußen, der den Logfile kurz analysieren möchte??

Vielen Dank!

Haderlump2000

hallo,

führe bitte mal einen Escan durch.
les dir aber bitte vorher die anleitung in ruhe durch.
halte dich danach punktgenau an die anleitung und teile zum schluss das ergebniss der find.bat hier mit.

Hallo Hoerni,
danke für Deinen Einsatz - hier also das Ergebnis.

- eScan geladen
- entpackt, gestartet
- läuft ca. 1,5h
- grosses Logfile, abgesucht nach "infected" oder "tagged"

Fundstellen zu "infected":

Wed Jan 11 23:02:44 2006 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Wed Jan 11 23:02:44 2006 => Scanning File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR
Wed Jan 11 23:02:44 2006 => File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR infected by "Trojan-PSW.Win32.Agent.bu" Virus! Action Taken: No Action Taken.

Wed Jan 11 23:02:44 2006 => Scanning File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR00
Wed Jan 11 23:02:44 2006 => File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR00 infected by "Trojan-PSW.Win32.Agent.bu" Virus! Action Taken: No Action Taken.

Wed Jan 11 23:02:44 2006 => Scanning File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR01
Wed Jan 11 23:02:44 2006 => File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR01 infected by "Trojan-PSW.Win32.Agent.bu" Virus! Action Taken: No Action Taken.

Wed Jan 11 23:02:44 2006 => Scanning File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR02
Wed Jan 11 23:02:44 2006 => File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR02 infected by "Trojan-PSW.Win32.Agent.bu" Virus! Action Taken: No Action Taken.

Wed Jan 11 23:02:44 2006 => Scanning File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR03
Wed Jan 11 23:02:44 2006 => File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR03 infected by "Trojan-PSW.Win32.Agent.bu" Virus! Action Taken: No Action Taken.

Wed Jan 11 23:02:44 2006 => Scanning File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR04
Wed Jan 11 23:02:44 2006 => File C:\Programme\AVPersonal\INFECTED\ibm00001.VIR04 infected by "Trojan-PSW.Win32.Agent.bu" Virus! Action Taken: No Action Taken.

Ich vermute mal, dass dort vom Antiviren-Programm AVPersonal abgelegte, abgefangenen Viren / Trojander (ibm00001) liegen... Die könnte man doch z.B. löschen.




OK - zu "tagged" gibt es keine Fundstellen, allerdings blieb das Programm mit einer Virenmeldung -> hier hängen; ich musste während des Scans mit OK bestätigen:


Wed Jan 11 22:33:46 2006 => ***** Scanning Registry and File system for Adware/Spyware *****
Wed Jan 11 22:33:46 2006 => Loading Spyware Signatures from new External Database (Size: 146571).
Wed Jan 11 22:33:47 2006 => Indexed Spyware Databases Successfully Created...

Wed Jan 11 22:33:50 2006 => Offending Folder found: C:\Dokumente und Einstellungen\All Users\Dokumente\monolith productions\fear\save
Wed Jan 11 22:34:05 2006 => Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.

Da hat der doch offensichtlich was gefunden; kann man da was tun?


Und dann gibt es noch -> diese Stellen hier:

Wed Jan 11 22:34:07 2006 => ***** Scanning Registry for errors created because of Adware/Spyware *****
Wed Jan 11 22:34:07 2006 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Gemeinsame Dateien\InstallShield\engine\6\Intel 32\ctor.dll". Action Taken: No Action Taken.

Wed Jan 11 22:34:07 2006 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Gemeinsame Dateien\InstallShield\Professional\RunTime\09\01\Intel32\ctor.dll". Action Taken: No Action Taken.

Wed Jan 11 22:34:08 2006 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Gemeinsame Dateien\InstallShield\Professional\RunTime\10\01\Intel32\ctor.dll". Action Taken: No Action Taken.

Wed Jan 11 22:34:08 2006 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Gemeinsame Dateien\InstallShield\Professional\RunTime\0701\Intel32\ctor.dll". Action Taken: No Action Taken.

Wed Jan 11 22:34:10 2006 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Gemeinsame Dateien\InstallShield\Professional\RunTime\11\00\Intel32\ctor.dll". Action Taken: No Action Taken.

Wed Jan 11 22:34:17 2006 => Entry "HKCR\.sdp" refers to invalid object "soffice.StarStorageDocument.5". Action Taken: No Action Taken.

Wed Jan 11 22:34:17 2006 => Entry "HKCR\Adobe.workflow.files\shell\open\command" refers to invalid object ""C:\Programme\Gemeinsame Dateien\Adobe\WorkFlow\AdobeWorkGroupHelper.exe "%1""". Action Taken: No Action Taken.

Wed Jan 11 22:34:17 2006 => Entry "HKCR\ComPlusMetaData.MsCorHost" refers to invalid object "{727CDF4F-3BA0-11D3-8738-00C04F79ED0D}". Action Taken: No Action Taken.

Wed Jan 11 22:34:17 2006 => Entry "HKCR\ComPlusMetaData.MsCorHost.2" refers to invalid object "{727CDF4F-3BA0-11D3-8738-00C04F79ED0D}". Action Taken: No Action Taken.

Wed Jan 11 22:34:17 2006 => Entry "HKCR\Connection Manager Profile\shell\open\command" refers to invalid object "C:\WINDOWS\system32\CMMGR32.EXE "%1"". Action Taken: No Action Taken.

Wed Jan 11 22:34:18 2006 => Entry "HKCR\msbackupfile\shell\open\command" refers to invalid object "%SystemRoot%\system32\ntbackup.exe". Action Taken: No Action Taken.

Wed Jan 11 22:34:18 2006 => Entry "HKCR\SymWriter.pdb" refers to invalid object "{520DC67A-752E-11D3-8D56-00C04F680B2B}". Action Taken: No Action Taken.

Wed Jan 11 22:34:18 2006 => Entry "HKCR\System.HTMLEditor.2" refers to invalid object "{0F49AA8E-32D0-43D6-2A47-F090C61426D6}". Action Taken: No Action Taken.





Alles andere ist / war unauffällig. Hat der Scan jetzt was gefunden? Und was würdest Du vorschlagen? Vielen Dank für eine Antwort.

Gruß Haderlump2000

Hallo Haderlump,
mit deiner Annahme zu deinem Antivirenproggi liegst du richtig,lösche den Inhalt des Infectet-Ordners.Dann Spybot aufrufen und in der Kopfzeile den "erweiterter Modus" einstellen,links suchst du dir "Recident" und klickst drauf.Auf der folgenden Seite machst du beide Haken raus.(Nach Abschluß der Reinigung können die Haken wieder rein,Immunisieren nicht vergessen)
Über Google suchst du dir von den Originalseiten Ewido Security Suite,AdAware SE Personal,Regseeker,Clear Prog 1.4.1. final
Alle installieren und Ewido,Adaware und Spybot SD updaten.Systemwiederherstellung ausschalten auf allen Laufwerken.Kiste aus,neu starten in den abgesicherten Modus und Ewido,Adaware und Spybot SD laufenlassen und löschen was gefunden wird.Kiste aus neu booten in den Normalmodus,Systemwiederherstellung anschalten,Regseeker aufrufen ,Sprache einstellen und "Registrierung säubern" klicken,so oft bis nix mehr zu löschen ist.Achte darauf das links unten die Sicherung angehakt ist.Zum Schluß Clear Prog mit allen Haken an,laufen lassen,den Müll löschen.Alle Proggis kannst du behalten ,mußt allerdings bei Ewido den Wächter ausschalten,der verträgt sich u.U. nicht mit deinem Antivirenproggi.Ist aber als "Zwischendurchscanner" gut zu gebrauchen ,wenn er geupdatet wird vorher.
Dann zeigst du neuen EScan vor.
Irrlicht

Hallo Irrlicht,

vielen Dank Ich werde alles so ausführen und werde mich mit neuem Logfile wieder melden.

Gruß vom Lump