IE Hijack und Rhino?? HIIILFE BITTE!!!

naldo · 10.05.2006, 14:58

Hallo ich habe ein Problem.

Ich habe eine Nachricht bekommen, dass ein sogenannter Browser Hijack an meinem PC stattgefunden hatte.

Dieser Hijack zeigt sich so, dass er die Einstellung der Internet Explorers ändert.

Daraufhin habe ich mit F-Secure ein Viren und Spyware Scan gemacht und 3 Viren gefunden.

2 konnte ich löschen, nur eines leider nicht. In den Informationen von F-Secure stand, dass dass es sich um ein Rhino handele. Nun bekomme ich ständig Nachrichten, dass ich Viren auf dem PC habe und Software downloaden soll...Außerdem waren Links zu AntiSpyWare Tools auf meinem Desktop.

Das dritte Virus, sprich den Rhino, habe ich dann manuell gelöscht. Er war unter C:Windows/system32 gespeichert. Aber trotzdem bekomme ich immer wieder Nachrichten, dass ich Viren habe und Tools laden muss.

Kann mir bitte irgendjemand helfen, ich habe keine Ahnung was ich dagegen tun kann.

Ein neuer Virenscan hat nichts mehr gefunden, weil ich die Datei mit dem Rhino ja gelöscht habe...

Vielen Dank für Tipps

naldo · 10.05.2006, 15:18

Habe auch mal ein Logfile erstellt...hab aber leider keine Ahnung was und vorallem wie ich dieses Programm nutzen kann. Brauche dringend Hilfe...

Logfile of HijackThis v1.99.1
Scan saved at 16:08:00, on 10.05.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
C:\Programme\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
C:\Programme\F-Secure Internet Security\Anti-Virus\FSGK32.EXE
C:\Programme\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
C:\Programme\F-Secure Internet Security\Common\FSMA32.EXE
C:\Programme\F-Secure Internet Security\Anti-Virus\fssm32.exe
C:\Programme\F-Secure Internet Security\Common\FSMB32.EXE
C:\Programme\F-Secure Internet Security\Common\FCH32.EXE
C:\Programme\F-Secure Internet Security\Common\FAMEH32.EXE
C:\Programme\F-Secure Internet Security\Anti-Virus\fsqh.exe
C:\Programme\F-Secure Internet Security\Anti-Virus\fsrw.exe
C:\Programme\F-Secure Internet Security\FWES\Program\fsdfwd.exe
C:\Programme\F-Secure Internet Security\FSPC\fspc.exe
C:\Programme\F-Secure Internet Security\Anti-Virus\fsav32.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\atmclk.exe
C:\WINDOWS\system32\dcomcfg.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\F-Secure Internet Security\Common\FSM32.EXE
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\F-Secure Internet Security\backweb\4476822\Program\fspex.exe
C:\PROGRA~1\F-SECU~1\ANTI-S~1\fsaw.exe
C:\Programme\F-Secure Internet Security\FSGUI\fsguidll.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\F-Secure Internet Security\FSGUI\fsavgui.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\MAX MUSTER\LOKALE~1\Temp\Rar$EX01.235\HijackThis.exe

O2 - BHO: Nothing - {b0398eca-0bcd-4645-8261-5e9dc70248d0} - C:\WINDOWS\system32\hp2423.tmp
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Programme\F-Secure Internet Security\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Programme\F-Secure Internet Security\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Programme\F-Secure Internet Security\FSGUI\FSSW.EXE" /reboot
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: ATI CATALYST-Infobereich.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: F-Secure 2006.lnk = C:\Programme\F-Secure Internet Security\backweb\4476822\Program\fspex.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Dieses Popup &blockieren - C:\Programme\F-Secure Internet Security\Anti-Spyware\blockpopups.htm
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra button: Webfilter - {200DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programme\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Programme\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra 'Tools' menuitem: Webfilter - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Programme\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: IE-Schutzschild - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programme\F-Secure Internet Security\Anti-Spyware\ieshield.dll
O9 - Extra 'Tools' menuitem: IE-Schutzschild... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programme\F-Secure Internet Security\Anti-Spyware\ieshield.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1146576914628
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: F-Secure 2006 (BackWeb Plug-in - 4476822) - F-Secure Internet Security 2005 - C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Programme\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
O23 - Service: fsbwsys - F-Secure Corp. - C:\Programme\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Programme\F-Secure Internet Security\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure HTTP Server (fshttps) - F-Secure Corporation - C:\Programme\F-Secure Internet Security\FSPC\fshttps\fshttps.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Programme\F-Secure Internet Security\Common\FSMA32.EXE

**Sunny** · 10.05.2006, 15:28

Lass mal diese Datei bei Virustotal überprüfen:

C:\WINDOWS\system32\hp2423.tmp

und poste danach hier das Ergebnis...

Gruß
Daniel

naldo · 10.05.2006, 16:05

edit________

naldo · 10.05.2006, 16:41

File "hp2423.tmp" received on 05.10.2006 at 17:40:11 (CET) is being scanned by VirusTotal in this moment. Results will be shown as they're generated.

Antivirus Version Update Result
AntiVir 6.34.1.27 05.10.2006 TR/Zlob.K.2
Avast 4.6.695.0 05.10.2006 no virus found
AVG 386 05.09.2006 no virus found
BitDefender 7.2 05.10.2006 no virus found
CAT-QuickHeal 8.00 05.09.2006 no virus found
ClamAV devel-20060426 05.10.2006 Trojan.Downloader.Zlob-436
DrWeb 4.33 05.10.2006 no virus found
eTrust-InoculateIT 23.72.4 05.10.2006 no virus found
eTrust-Vet 12.4.2203 05.10.2006 no virus found
Ewido 3.5 05.10.2006 no virus found
Fortinet 2.76.0.0 05.10.2006 no virus found
F-Prot 3.16c 05.09.2006 no virus found
Ikarus 0.2.65.0 05.10.2006 no virus found
Kaspersky 4.0.2.24 05.10.2006 Trojan-Downloader.Win32.Zlob.ny
McAfee 4758 05.09.2006 no virus found
Microsoft 1.1372 05.10.2006 no virus found
NOD32v2 1.1529 05.10.2006 no virus found
Norman 5.90.17 05.10.2006 no virus found

Aditional Information
File size: 30208 bytes
MD5: 08eeabb8580362e54c107c4f121c2d78
SHA1: 0ccc2e28df5535036b58fa5af58b0f9ddb66428f
VirusTotal is a free service offered by Hispasec Sistemas. There are no guarantees about the availability and continuity of this service. Although the detection rate afforded by the use of multiple antivirus engines is far superior to that offered by just one product, these results DO NOT guarantee the harmlessness of a file. Currently, there is not any solution that offers a 100% effectiveness rate for detecting viruses and malware.

So was nun?? Da ist ein Virus drinn? Oder... Was soll ich jetzt tun?

**Sunny** · 10.05.2006, 16:44

warum hast du jetzt alles editiert?

Was ist mit der Auswertung? Wenn "Virustotal" nicht auf die "Datei" zugreifen kann, versuch mal die Firewall zu deaktivieren. Sofern du eine hast...

**Sunny** · 10.05.2006, 16:53

lade dir die KILLBOX starte in den abgesicherten Modus, suche mit der killbox die Datei: C:\WINDOWS\system32\hp2423.tmp -->delete (sollte das nicht funktionieren, mach einen Haken bei: delete on reboot-->NEUSTART)

danach mit HijackThis folgende Zeile fixen:

O2 - BHO: Nothing - {b0398eca-0bcd-4645-8261-5e9dc70248d0} - C:\WINDOWS\system32\hp2423.tmp

Und ein neues Hijack LOG posten!

Gruß
Daniel

naldo · 10.05.2006, 18:00

Hab die Datei mit Killbox gelöscht wie beschrieben...aber wenn ich HijackThis mache ist bei 02... eine neue Datei, diese heißt jetzt hpB045.tmp und dort ist der selbe Virus drinn...

Soll ich den jetzt trotzdem löschen?

Wildone · 10.05.2006, 18:18

Hallo,
sorry wenn ich mich kurz einmische, aber so wird das nichts werden. Lösche mal deine Temp Dateien mit Cleanup! und poste die vier Logfiles der Datfind.bat, aber nur die Dateien der letzten vier Wochen abkopieren. Wir haben es hier mit einer sogenannten Smitfraud (alias Zlob) Verseuchung zu tun.

Grüße Wildone

naldo · 10.05.2006, 18:21

Hier nochmal die neue HijackThis Liste. Die Datei mit dem Virus ändert sich jedesmal wenn ich sie mit Killbox lösche...

Logfile of HijackThis v1.99.1
Scan saved at 19:05:48, on 10.05.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
C:\Programme\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
C:\Programme\F-Secure Internet Security\Anti-Virus\FSGK32.EXE
C:\Programme\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
C:\Programme\F-Secure Internet Security\Common\FSMA32.EXE
C:\Programme\F-Secure Internet Security\Anti-Virus\fssm32.exe
C:\Programme\F-Secure Internet Security\Common\FSMB32.EXE
C:\Programme\F-Secure Internet Security\Common\FCH32.EXE
C:\Programme\F-Secure Internet Security\backweb\4476822\Program\fspex.exe
C:\Programme\F-Secure Internet Security\Common\FAMEH32.EXE
C:\Programme\F-Secure Internet Security\Anti-Virus\fsqh.exe
C:\Programme\F-Secure Internet Security\Anti-Virus\fsrw.exe
C:\Programme\F-Secure Internet Security\FSPC\fspc.exe
C:\Programme\F-Secure Internet Security\FWES\Program\fsdfwd.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\F-Secure Internet Security\Anti-Virus\fsav32.exe
C:\WINDOWS\system32\atmclk.exe
C:\WINDOWS\system32\dcomcfg.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\F-Secure Internet Security\Common\FSM32.EXE
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\F-SECU~1\ANTI-S~1\fsaw.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\F-Secure Internet Security\FSGUI\fsguidll.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\explorer.exe
C:\Dokumente und Einstellungen\Jan-Henrik\Desktop\HiJack\HijackThis.exe

O2 - BHO: (no name) - {b0398eca-0bcd-4645-8261-5e9dc70248d0} - C:\WINDOWS\system32\hpB045.tmp
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Programme\F-Secure Internet Security\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Programme\F-Secure Internet Security\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Programme\F-Secure Internet Security\FSGUI\FSSW.EXE" /reboot
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: ATI CATALYST-Infobereich.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: F-Secure 2006.lnk = C:\Programme\F-Secure Internet Security\backweb\4476822\Program\fspex.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Dieses Popup &blockieren - C:\Programme\F-Secure Internet Security\Anti-Spyware\blockpopups.htm
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra button: Webfilter - {200DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programme\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Programme\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra 'Tools' menuitem: Webfilter - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Programme\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: IE-Schutzschild - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programme\F-Secure Internet Security\Anti-Spyware\ieshield.dll
O9 - Extra 'Tools' menuitem: IE-Schutzschild... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programme\F-Secure Internet Security\Anti-Spyware\ieshield.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1146576914628
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: F-Secure 2006 (BackWeb Plug-in - 4476822) - F-Secure Internet Security 2005 - C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Programme\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
O23 - Service: fsbwsys - F-Secure Corp. - C:\Programme\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Programme\F-Secure Internet Security\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure HTTP Server (fshttps) - F-Secure Corporation - C:\Programme\F-Secure Internet Security\FSPC\fshttps\fshttps.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Programme\F-Secure Internet Security\Common\FSMA32.EXE

naldo · 10.05.2006, 18:29

@Wildone Clean Up hab ich ausgeführt...

Nun die Logfiles:

10.05.2006 19:11 1.293.423 CBA2D.dmp
10.05.2006 19:11 18.116 b485_appcompat.txt
10.05.2006 19:08 4.093 jusched.log
10.05.2006 18:58 16.384 Perflib_Perfdata_eb8.dat
10.05.2006 18:58 16.384 Perflib_Perfdata_d64.dat
10.05.2006 18:56 16.384 ~DF7974.tmp
10.05.2006 18:41 16.384 ~DF275A.tmp
10.05.2006 18:41 16.384 ~DFE747.tmp
10.05.2006 18:00 16.384 ~DFC895.tmp
10.05.2006 18:00 16.384 ~DFC873.tmp
10.05.2006 18:00 16.384 ~DFC851.tmp
10.05.2006 18:00 16.384 ~DFC82F.tmp
10.05.2006 15:18 16.384 ~DFDF54.tmp
10.05.2006 15:18 16.384 ~DF891B.tmp
10.05.2006 13:16 0 w5j5A.tmp
08.05.2006 17:09 16.384 ~DF8F0D.tmp
08.05.2006 17:09 16.384 ~DF5207.tmp
08.05.2006 16:29 285.080 Office 2000 Premium Setup(0002)_MsiExec.txt
08.05.2006 16:25 29.876 offcln9.log
08.05.2006 16:25 1.754 Office 2000 Premium Setup(0002).txt
08.05.2006 15:12 16.384 ~DFAA00.tmp
08.05.2006 15:12 16.384 ~DF97AD.tmp
08.05.2006 08:23 0 o2iA.tmp
08.05.2006 08:23 0 z9w9.tmp
08.05.2006 06:50 16.384 Perflib_Perfdata_e04.dat
08.05.2006 06:50 16.384 ~DF4C5E.tmp
08.05.2006 06:50 16.384 Perflib_Perfdata_d3c.dat
08.05.2006 06:50 512 ~DF7961.tmp
08.05.2006 06:50 16.384 ~DF77AF.tmp
07.05.2006 19:05 1.624 java_install_reg.log
07.05.2006 18:47 0 pne27D.tmp
07.05.2006 18:39 0 kv327C.tmp
07.05.2006 18:35 0 2jq27B.tmp
07.05.2006 18:31 0 639278.tmp
07.05.2006 18:28 0 owo277.tmp
07.05.2006 18:25 0 xjl276.tmp
05.05.2006 14:18 0 kra78.tmp
05.05.2006 14:12 0 67y77.tmp
04.05.2006 19:18 4.515 ICQ299.tmp
04.05.2006 19:18 13.097 ICQ29A.tmp
04.05.2006 19:17 13.672 ICQ298.tmp
04.05.2006 19:17 4.649 ICQ297.tmp
04.05.2006 14:11 119.296 366f5e.mst
03.05.2006 19:23 16.384 ~DFE026.tmp
03.05.2006 19:23 16.384 ~DFD13C.tmp
03.05.2006 17:51 16.539 ICQFA.tmp
03.05.2006 17:51 5.616 ICQF9.tmp
03.05.2006 13:11 16.384 ~DF3800.tmp
03.05.2006 13:11 16.384 ~DF73C.tmp
03.05.2006 08:28 939 jupdate1.5.0.xml
02.05.2006 20:27 604.311 gtb60A.tmp.cab
02.05.2006 20:27 0 gtb60A.tmp
02.05.2006 20:22 23.568 java_install.log
02.05.2006 20:15 955 jinstall.cfg
02.05.2006 18:05 71.600 BWInstall.log
02.05.2006 18:05 26.371 BWDump.log
02.05.2006 15:53 3.608 netfxupdate.log
02.05.2006 15:52 10.982 netfxsl.log
02.05.2006 15:52 7.734 ASPNETSetup.log
02.05.2006 15:06 73.276 ~e5.0001
02.05.2006 12:26 16.384 Perflib_Perfdata_690.dat
02.05.2006 12:23 2.256 dotNetFx.log
02.05.2006 12:23 4.355.622 netfx.log

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2CAA-C5B8

Verzeichnis von C:\WINDOWS

10.05.2006 18:57 0 0.log
10.05.2006 18:57 857.754 WindowsUpdate.log
10.05.2006 18:57 2.048 bootstat.dat
10.05.2006 18:55 299.052 ntbtlog.txt
10.05.2006 18:54 6.934 SchedLgU.Txt
10.05.2006 13:38 6.438 WGA.log
10.05.2006 13:38 867.006 setupapi.log
10.05.2006 08:23 20.602 ocmsn.log
10.05.2006 08:23 86.298 ntdtcsetup.log
10.05.2006 08:23 1.374 imsins.log
10.05.2006 08:23 61.131 iis6.log
10.05.2006 08:23 143.071 comsetup.log
10.05.2006 08:23 158.313 tsoc.log
10.05.2006 08:23 11.641 KB913580.log
10.05.2006 08:23 197.664 ocgen.log
10.05.2006 08:23 20.513 msgsocm.log
10.05.2006 08:23 399.719 FaxSetup.log
10.05.2006 08:23 15.301 updspapi.log
10.05.2006 00:24 50 wiaservc.log
10.05.2006 00:24 216 wiadebug.log
09.05.2006 17:12 25 cdplayer.ini
08.05.2006 17:08 30.806 spupdsvc.log
08.05.2006 16:57 16.010 KB911565.log
08.05.2006 16:57 44.994 wmsetup.log
08.05.2006 16:29 403 ODBC.INI
07.05.2006 22:37 378 wmsetup10.log
07.05.2006 22:36 503 win.ini
07.05.2006 22:36 316.640 WMSysPr9.prx
07.05.2006 18:22 6.304 mozver.dat
05.05.2006 13:48 335 nsreg.dat
03.05.2006 19:05 1.355 imsins.BAK
03.05.2006 19:05 32.919 KB899587.log
03.05.2006 19:05 32.042 KB896422.log
03.05.2006 19:05 31.836 KB885835.log
03.05.2006 19:05 30.839 KB885836.log
03.05.2006 19:05 31.662 KB885250.log
03.05.2006 19:05 31.719 KB911927.log
03.05.2006 19:05 31.213 KB901017.log
03.05.2006 19:05 31.533 KB899591.log
03.05.2006 19:05 31.724 KB896424.log
03.05.2006 19:04 31.338 KB893756.log
03.05.2006 19:04 31.188 KB911562.log
03.05.2006 19:04 28.639 KB896423.log
03.05.2006 19:04 30.938 KB900485.log
03.05.2006 19:04 29.196 KB873339.log
03.05.2006 19:04 29.261 KB888113.log
03.05.2006 19:04 29.805 KB887742.log
03.05.2006 19:04 29.204 KB887472.log
03.05.2006 19:04 30.218 KB896358.log
03.05.2006 19:04 24.629 KB910437.log
03.05.2006 19:03 22.117 KB911564.log
03.05.2006 19:03 28.731 KB891781.log
03.05.2006 19:03 32.354 KB912812.log
03.05.2006 19:03 29.975 KB902400.log
03.05.2006 19:02 21.886 KB890046.log
03.05.2006 19:02 21.615 KB905414.log
03.05.2006 19:02 20.859 KB901214.log
03.05.2006 19:02 19.488 KB888302.log
03.05.2006 19:02 21.189 KB900725.log
03.05.2006 19:02 18.873 KB912919.log
03.05.2006 19:02 13.054 KB886185.log
03.05.2006 19:01 18.055 KB904706.log
03.05.2006 19:01 18.586 KB908531.log
03.05.2006 19:01 18.150 KB905749.log
03.05.2006 19:01 16.942 KB896428.log
03.05.2006 19:01 17.445 KB911567.log
03.05.2006 19:00 17.561 KB894391.log
03.05.2006 19:00 15.325 KB908519.log
03.05.2006 19:00 11.588 KB913446.log
03.05.2006 19:00 20.972 KB890859.log
03.05.2006 13:05 7.011 KB893803v2.log
03.05.2006 13:05 6.848 KB898461.log
02.05.2006 19:34 10.629 fsiuupd.log
02.05.2006 19:22 0 fsiugeneric.log
02.05.2006 18:07 8.385.376 FSISU.log
02.05.2006 18:07 309.522 RunSetup.log
02.05.2006 18:07 3.436.189 FSSFM.log
02.05.2006 18:07 1.277.322 FSSETUP.log
02.05.2006 18:07 155.128 FSPROD.log
02.05.2006 18:07 20.313 FSPCINST.LOG
02.05.2006 18:07 7.980 FSAVCSIN.LOG
02.05.2006 18:07 14.445 HELPINST.LOG
02.05.2006 18:07 21.615 FSASWSIN.log
02.05.2006 18:07 5.866 FSSYSUPD.LOG
02.05.2006 18:07 17.757 fsmainst.log
02.05.2006 18:07 5.789 FSSCINST.log
02.05.2006 18:07 3.566 fsavunin.log
02.05.2006 18:07 296.076 FSSSINST.log
02.05.2006 18:07 13.600 FSASWINS.LOG
02.05.2006 18:07 9.398 FSGUIINS.LOG
02.05.2006 18:07 17.749 fwesinst.log
02.05.2006 18:07 2.032 fsdginst.log
02.05.2006 18:07 43.707 fstnbins.LOG
02.05.2006 18:07 12.107 fsrif.log
02.05.2006 18:07 11.045 fwinst.log
02.05.2006 18:07 35.870 FSAVINST.LOG
02.05.2006 18:07 2.185 DAASINST.LOG
02.05.2006 18:06 127.938 FSDEPH.log
02.05.2006 18:06 12.922 FSSGSUP.LOG
02.05.2006 18:06 3.542 fsbwinst.log
02.05.2006 18:06 428.117 fssgpex.LOG
02.05.2006 18:06 2.438 FSPRODRM.LOG
02.05.2006 18:05 118.842 bwUnin-6.3.2.116-4476822L.exe
02.05.2006 18:03 727 Q-Klez.log
02.05.2006 17:24 360 DtcInstall.log
02.05.2006 17:24 1.165 OEWABLog.txt
02.05.2006 17:23 719.593 setuplog.txt
02.05.2006 16:44 422.237 svcpack.log
02.05.2006 16:42 200 cmsetacl.log
02.05.2006 16:42 1.330 sessmgr.setup.log
02.05.2006 15:54 2.880 COM+.log
02.05.2006 15:54 29.978 xpsp1hfm.log
02.05.2006 15:54 39.623 KB835732.log
02.05.2006 15:53 36.896 Q810833.log
02.05.2006 15:53 27.398 KB834707-IE6-20040929.115007.log
02.05.2006 15:51 23.215 KB828741.log
02.05.2006 15:51 13.421 Q329834.log
02.05.2006 15:51 20.544 KB823559.log
02.05.2006 15:51 20.132 Q817606.log
02.05.2006 15:50 19.556 Q815021.log
02.05.2006 15:50 18.914 Q329441.log
02.05.2006 15:49 15.704 Q810577.log
02.05.2006 15:49 12.693 Q811630.log
02.05.2006 15:49 9.170 Q329170.log
02.05.2006 15:48 1.627 Q329115.log
02.05.2006 15:48 1.265 Q329390.log
02.05.2006 15:48 961 Q323255.log
02.05.2006 15:48 650 Q329048.log
02.05.2006 15:38 6.221 KB842773.log
02.05.2006 15:38 173.750 setupact.log
02.05.2006 14:36 286 nsw.log
02.05.2006 14:04 954 Windows Update.log
02.05.2006 12:57 0 Sti_Trace.log
02.05.2006 12:55 1.348 regopt.log
02.05.2006 12:55 231 system.ini
02.05.2006 12:54 0 setuperr.log
02.05.2006 12:26 75.851 DirectX.log
02.05.2006 12:16 715 Q312370.log
02.05.2006 12:14 2.605 Ascd_tmp.ini
02.05.2006 12:11 8.192 REGLOCS.OLD
02.05.2006 12:08 0 control.ini
02.05.2006 12:08 299.552 WMSysPrx.prx
02.05.2006 12:08 4.161 ODBCINST.INI
02.05.2006 12:07 749 WindowsShell.Manifest
02.05.2006 12:06 37 vbaddin.ini
02.05.2006 12:06 36 vb.ini

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2CAA-C5B8

Verzeichnis von C:\

10.05.2006 19:29 0 sys.txt
10.05.2006 19:28 9.326 system.txt
10.05.2006 19:26 4.092 systemtemp.txt
10.05.2006 19:25 90.082 system32.txt
10.05.2006 18:57 1.207.959.552 pagefile.sys
02.05.2006 16:42 211 boot.ini
02.05.2006 16:38 47.564 NTDETECT.COM
02.05.2006 16:38 251.184 ntldr
02.05.2006 12:08 0 IO.SYS
02.05.2006 12:08 0 CONFIG.SYS
02.05.2006 12:08 0 AUTOEXEC.BAT
02.05.2006 12:08 0 MSDOS.SYS
23.08.2001 14:00 4.952 bootfont.bin
13 Datei(en) 1.208.366.963 Bytes
0 Verzeichnis(se), 88.354.799.616 Bytes frei

Wildone · 10.05.2006, 18:34

Hallo,
das wichtigste Logfile fehlt, ist zu finden unter C:\system32.txt.

Grüße Wildone

naldo · 10.05.2006, 18:48

Danke für deine Hilfe...

Verzeichnis von C:\WINDOWS\system32

10.05.2006 19:38 5.004 stdole3.tlb
10.05.2006 18:58 6.144 simpole.tlb
10.05.2006 18:58 30.208 hpB045.tmp
10.05.2006 18:58 29.709 ldAF2B.tmp
10.05.2006 18:57 2.422 wpa.dbl
10.05.2006 13:18 48.640 dcomcfg.exe
10.05.2006 13:18 9.992 atmclk.exe
10.05.2006 13:18 4.286 ot.ico
10.05.2006 13:18 4.286 ts.ico
10.05.2006 13:11 38.413 regperf.exe
09.05.2006 17:11 176.167 rmoc3260.dll
09.05.2006 17:11 5.632 pndx5032.dll
09.05.2006 17:11 6.656 pndx5016.dll
09.05.2006 17:11 278.528 pncrt.dll
08.05.2006 17:08 110.192 FNTCACHE.DAT
07.05.2006 22:36 16.832 amcompat.tlb
07.05.2006 22:36 23.392 nscompat.tlb
04.05.2006 06:30 380.486 perfh009.dat
04.05.2006 06:30 391.330 perfh007.dat
04.05.2006 06:30 52.900 perfc009.dat
04.05.2006 06:30 63.778 perfc007.dat
04.05.2006 06:30 897.954 PerfStringBackup.INI
04.05.2006 06:26 5.818.784 MRT.exe
02.05.2006 20:23 7.006 jupdate-1.5.0_06-b05.log
02.05.2006 18:07 1.155.072 winsflt.dll
02.05.2006 17:23 90 spupdwxp.log
02.05.2006 15:34 2.400 wpa.bak
02.05.2006 13:04 0 h323log.txt
02.05.2006 12:13 25.065 wmpscheme.xml
02.05.2006 12:10 261 $winnt$.inf
02.05.2006 12:08 2.951 CONFIG.NT
02.05.2006 12:08 488 WindowsLogon.manifest
02.05.2006 12:08 488 logonui.exe.manifest
02.05.2006 12:07 749 sapi.cpl.manifest
02.05.2006 12:07 749 ncpa.cpl.manifest
02.05.2006 12:07 749 cdplayer.exe.manifest
02.05.2006 12:07 749 wuaucpl.cpl.manifest
02.05.2006 12:07 749 nwc.cpl.manifest
02.05.2006 12:06 21.740 emptyregdb.dat

Wildone · 10.05.2006, 18:59

Hallo,
besorge dir killbox und lösche folgende Dateien damit on reboot:

C:\WINDOWS\system32\stdole3.tlb
C:\WINDOWS\system32\simpole.tlb
C:\WINDOWS\system32\hpB045.tmp
C:\WINDOWS\system32\ldAF2B.tmp
C:\WINDOWS\system32\dcomcfg.exe
C:\WINDOWS\system32\atmclk.exe
C:\WINDOWS\system32\ot.ico
C:\WINDOWS\system32\ts.ico
C:\WINDOWS\system32\regperf.exe

P.S. kannst du dich noch erinnern was du genau gestern um 17:11 gemacht, oder installiert hast? ev. einen angeblichen Videocodec?

Grüße Wildone

naldo · 10.05.2006, 19:01

Es war ein Video Codec, aber das war eigentlich heut gegen 14 Uhr...

Vielen Dank für deine Hilfe

10.05.2006, 15:28	#3
Sunny Administrator > Competence Manager	IE Hijack und Rhino?? HIIILFE BITTE!!! Lass mal diese Datei bei Virustotal überprüfen: C:\WINDOWS\system32\hp2423.tmp und poste danach hier das Ergebnis... Gruß Daniel __________________ __________________

10.05.2006, 16:44	#6
Sunny Administrator > Competence Manager	IE Hijack und Rhino?? HIIILFE BITTE!!! warum hast du jetzt alles editiert? Was ist mit der Auswertung? Wenn "Virustotal" nicht auf die "Datei" zugreifen kann, versuch mal die Firewall zu deaktivieren. Sofern du eine hast... __________________ --> IE Hijack und Rhino?? HIIILFE BITTE!!!

IE Hijack und Rhino?? HIIILFE BITTE!!!

Log-Analyse und Auswertung: IE Hijack und Rhino?? HIIILFE BITTE!!!