| |
| |||||||
Log-Analyse und Auswertung: Hilfe!!! Bin ich infiziert? ;)Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
| |
19.01.2006, 20:18
| #1 |
 |  Hilfe!!! Bin ich infiziert? ;) Hallo zusammen! Hab ein ernsthaft nerviges Prob! Kein Plan. Erst hatte ich Internetexplorer, dann opera. Beim IE war es so, dass irgendwelche Sexseiten in meiner Addressleiste waren und so weiter. Tja und ich war da nie drauf - mein Freund behauptete, er auch nicht. Also hab ich recherchiert und war im Glauben, dass ich den vermeindlichen Virus eleminiert hätte. Schön und gut. Opera drauf gemacht und erstmal Ruhe. Nur habe ich jetzt entdeckt, dass gestern über Opera Pornobilder auf meinem PC abgesspeichert wurden. Ansonsten waren allerdings KEINE Pornoseiten in meiner Addressleiste. Kann das durch einen Virus kommen? (Also hatte über die Suchfunktion in Windows nachgesehen, welche Dateien am 18.1. neu erstellt wurden und hatte da dann lauter Bilder mit Namen wie z.B. "opr01AF9" etc. - Sexbilder.) Bitte hilft mir! Werde noch wahnsinnig....seufz.... Ach ja, kann ein Virus eigentlich auch eine Verknüpfung auf das Cd-ROM-Laufwer, auf eine spezielle CD erstellen, wobei die CD nicht im Laufwerk war (zumindest zu dem Zeitpunkt, als die Verknüpfung erstellt wurde, irgendwann vor Monaten war die CD mal drin.)??? Hier mein Scan von hijackthis: Logfile of HijackThis v1.99.1 Scan saved at 20:16:58, on 19.01.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\SYSTEM32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\SYSTEM32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Programme\Alwil Software\Avast4\aswUpdSv.exe C:\Programme\Alwil Software\Avast4\ashServ.exe C:\Programme\Alwil Software\Avast4\ashMaiSv.exe C:\Programme\Alwil Software\Avast4\ashWebSv.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Programme\Spybot - Search & Destroy\TeaTimer.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Dokumente und Einstellungen\Max Power\Eigene Dateien\Studium Nadine\hijackthis\HijackThis.exe O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [dmgqa.exe] C:\WINDOWS\system32\dmgqa.exe O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe" O4 - HKCU\..\Run: [desktop] C:\WINDOWS\system32\idemlog.exe O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{97B51A9E-08CE-4504-AC8D-0E306753F76B}: NameServer = 85.255.114.5 85.255.112.112 O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) Was meint ihr dazu???  Schonmal danke für eure Antworten! Viele Grüße Monchichu |
|
19.01.2006, 21:57
| #2 | |
  | Hilfe!!! Bin ich infiziert? ;) Hallo,
__________________überprüfe zunächst die folgenden Dateien online auf http://virusscan.jotti.org/de und poste das Ergebnis. Zitat:
Es schaut aber nicht allzu gut aus... |
|
20.01.2006, 00:54
| #3 | |
| | Hilfe!!! Bin ich infiziert? ;) Hallo Haui!
__________________Danke erstmal, dass du mir geantwortet hast!  Also, habe alles so gemacht, wie du gesagt hast. Allerdings kann ich die beiden Dateien Zitat:
Was die Scans angeht, hat alles soweit geklappt. Hier die Logfiles: "Silent Runners.vbs", revision 43, http://www.silentrunners.org/ Operating System: Windows XP SP2 Output limited to non-default values, except where indicated by "{++}" Startup items buried in registry: --------------------------------- HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++} "NBJ" = ""C:\Programme\Ahead\Nero BackItUp\NBJ.exe"" ["Ahead Software AG"] "desktop" = "C:\WINDOWS\system32\idemlog.exe" [file not found] "SpybotSD TeaTimer" = "C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" ["Safer Networking Limited"] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++} "avast!" = "C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [null data] "dmgqa.exe" = "C:\WINDOWS\system32\dmgqa.exe" [file not found] HKLM\Software\Microsoft\Active Setup\Installed Components\ >{26923b43-4d38-484f-9b9e-de460746276c}\(Default) = "Internet Explorer" \StubPath = "C:\WINDOWS\system32\shmgrate.exe OCInstallUserConfigIE" [MS] >{881dd1c5-3dcf-431b-b061-f3f88e8be88a}\(Default) = "Outlook Express" \StubPath = "C:\WINDOWS\system32\shmgrate.exe OCInstallUserConfigOE" [MS] HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\ "{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung" -> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found] "{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons" -> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" [file not found] "{640167b4-59b0-47a6-b335-a6b3c0695aea}" = "Portable Media Devices" -> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS] "{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu" -> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS] "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension" -> {CLSID}\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] "{472083B0-C522-11CF-8763-00608CC02F24}" = "avast" -> {CLSID}\InProcServer32\(Default) = "C:\Programme\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"] HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\ INFECTION WARNING! "System" = "csbdr.exe" [file not found] HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ INFECTION WARNING! AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."] HKLM\Software\Classes\*\shellex\ContextMenuHandlers\ avast\(Default) = "{472083B0-C522-11CF-8763-00608CC02F24}" -> {CLSID}\InProcServer32\(Default) = "C:\Programme\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"] WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {CLSID}\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\ WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {CLSID}\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\ avast\(Default) = "{472083B0-C522-11CF-8763-00608CC02F24}" -> {CLSID}\InProcServer32\(Default) = "C:\Programme\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"] WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {CLSID}\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] Group Policies [Description] {enabled Group Policy setting}: ------------------------------------------------------------ HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ HIJACK WARNING! "NoBandCustomize"=dword:00000001 [disables toolbar status changes in Internet Explorer|View|Toolbars] {User Configuration|Administrative Templates|Windows Components| Internet Explorer|Toolbars|Disable customizing browser toolbars} Active Desktop and Wallpaper: ----------------------------- Active Desktop is disabled at this entry: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState HKCU\Control Panel\Desktop\ "Wallpaper" = "C:\Dokumente und Einstellungen\Max Power\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp" Enabled Screen Saver: --------------------- HKCU\Control Panel\Desktop\ "SCRNSAVE.EXE" = "C:\WINDOWS\system32\logon.scr" [MS] Enabled Scheduled Tasks: ------------------------ "Norton AntiVirus - Meinen Computer prüfen - Max Power" -> launches: "C:\PROGRA~1\NORTON~1\NORTON~1\Navw32.exe /task:"C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Norton AntiVirus\Tasks\mycomp.sca"" [file not found] "Symantec NetDetect" -> launches: "C:\Programme\Symantec\LiveUpdate\NDETECT.EXE" [file not found] Winsock2 Service Provider DLLs: ------------------------------- Namespace Service Providers HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++} 000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS] 000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS] 000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS] Transport Service Providers HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++} 0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range: %SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 17 %SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05 Toolbars, Explorer Bars, Extensions: ------------------------------------ Extensions (Tools menu items, main toolbar menu buttons) HKLM\Software\Microsoft\Internet Explorer\Extensions\ {FB5F1910-F110-11D2-BB9E-00C04F795683}\ "ButtonText" = "Messenger" "MenuText" = "Windows Messenger" "Exec" = "C:\Programme\Messenger\msmsgs.exe" [MS] Running Services (Display Name, Service Name, Path {Service DLL}): ------------------------------------------------------------------ Ati HotKey Poller, Ati HotKey Poller, "C:\WINDOWS\system32\Ati2evxx.exe" ["ATI Technologies Inc."] avast! Antivirus, avast! Antivirus, ""C:\Programme\Alwil Software\Avast4\ashServ.exe"" [null data] avast! iAVS4 Control Service, aswUpdSv, ""C:\Programme\Alwil Software\Avast4\aswUpdSv.exe"" [null data] avast! Mail Scanner, avast! Mail Scanner, ""C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service" ["ALWIL Software"] avast! Web Scanner, avast! Web Scanner, ""C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service" ["ALWIL Software"] Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS] Print Monitors: --------------- HKLM\System\CurrentControlSet\Control\Print\Monitors\ hpzsnt08\Driver = "hpzsnt08.dll" ["HP"] ---------- + This report excludes default entries except where indicated. + To see *everywhere* the script checks and *everything* it finds, launch it from a command prompt or a shortcut with the -all parameter. + To search all directories of local fixed drives for DESKTOP.INI DLL launch points and all Registry CLSIDs for dormant Explorer Bars, use the -supp parameter or answer "No" at the first message box. ---------- (total run time: 39 seconds, including 18 seconds for message boxes) und noch von F-Secure Blacklight Beta: 01/20/06 00:32:23 [Info]: BlackLight Engine 1.0.30 initialized 01/20/06 00:32:23 [Info]: OS: 5.1 build 2600 (Service Pack 2) 01/20/06 00:32:23 [Note]: 7019 4 01/20/06 00:32:23 [Note]: 7005 0 01/20/06 00:33:30 [Note]: 7006 0 01/20/06 00:33:30 [Note]: 7011 1400 01/20/06 00:33:30 [Note]: FSRAW library version 1.7.1014 01/20/06 00:37:11 [Note]: 7007 0 Hmmm....glaube, F-Secure Blacklight hat nichts gefunden... Hoffe, du kannst damit mehr anfangen, als ich. Will, dass der Spuck endlich ein Ende hat. Ca alle drei Wochen geht das so, dass irgendwas mit Sexseiten auf meinem Rechner ist. Vielen Dank und guts Nächtle! Monchichu |
|
20.01.2006, 16:11
| #4 | ||
| | Hilfe!!! Bin ich infiziert? ;) Lade und aktualisiere eine Testversion von ewido. Noch nicht scannen. Lade dir ClearProg herunter. Starte den PC im abgesicherten Modus. Lösche die Temp-Files von Windows und vom Internet Explorer mit ClearProg. Fixe mit HijackThis: O4 - HKLM\..\Run: [dmgqa.exe] C:\WINDOWS\system32\dmgqa.exe O4 - HKCU\..\Run: [desktop] C:\WINDOWS\system32\idemlog.exe Start-> Ausführen-> "regedit" -> [Eingabetaste] -> Navigiere zu den folgenden Schlüsseln Zitat:
Zitat:
Scanne mit ewido, lass das, was er findet löschen und speichere den Report. Neustart. Poste ein neues HijackThis-Log und die ewido-Ergebnisse. Erstelle und poste außerdem ein WinPFind-Log. |
|
22.01.2006, 18:09
| #5 | ||
| | Hilfe!!! Bin ich infiziert? ;) Hallo und Dake für deine Hilfe! Habe alles gemacht, nur das mit den Schlüsseln in der Regestrierung ging nicht. Die waren nicht dort in den Ordnern?! Hier mein Report von ewido: Zitat:
Zitat:
Und hier noch mein WinPFind-Log: (nächster Eintrag) |
|
22.01.2006, 18:09
| #6 | |
| | Hilfe!!! Bin ich infiziert? ;)Zitat:
Schönen Abend! |
|
| Themen zu Hilfe!!! Bin ich infiziert? ;) |
| antivirus, avast, avast!, bin ich infiziert, danke, dateien, desktop, einstellungen, explorer, firefox, hijack, hijackthis, hilfe!!, hilfe!!!, hotkey, infiziert, infiziert?, internet explorer, messenger, mozilla, mozilla firefox, namen, neu, programme, scan, software, system, system32, virus, windows, windows xp |
Hybrid-Darstellung
