Hallo Board-Experten!

Vor ner Sekunde ist bei mir fogendes Problem aufgetaucht. Meine Commodo Firewall hat mir folgende Meldung ausgespuckt als ich ins Netz wollte:

Matroska_Pack_Full_v1.1.2.exe has loaded c:\windows\system32\dinput.dll into the Parent application c:\windows\explorer.exe using a global hook which could be used by keyloggers to steal private information.

Ich hab den prozess dann natürlich nicht zugelassen und das Pack gelöscht. Die dinput.dll existiert unter system32 aber ist angeblich seit August 2004 nicht verändert worden.

Kennt ihr dieses Codec Pack und sind Probleme damit bekannt? Bekannter hat mir ne .mkv Datei geschickt deswegen hab ich den Schrott runtergeladen. Besteht jetzt Handlungsbedarf oder kann ich alles so lassen wie es ist?

Ärger mich gerade grün und blau, dass ich nicht einfach gesagt habe er soll ein gängiges Format nehmen. Ach ja, der Download lief über die Seite der FAZ und normalerweise sollten die doch nichts verlinkt haben was mit Keyloggern zu tun hat, oder?

VG und Danke schonmal!

samiel

EDIT: Habe gerade die input.dll nochmal überprüft und der Letzte Zugriff wird mit heute vor ner halben Stunde angegeben, wobei ich definitiv nichts derartiges veranlasst habe.

Zitat von samiel

Kennt ihr dieses Codec Pack und sind Probleme damit bekannt? Bekannter hat mir ne .mkv Datei geschickt deswegen hab ich den Schrott runtergeladen. Besteht jetzt Handlungsbedarf oder kann ich alles so lassen wie es ist?

Moin,

ich selbst kenne dieses Codec-Pack nicht, aber trotzdem gibt es immer wieder Probleme mit solchen.
Poste mal bitte ein Hijacklog, Anleitung dazu in meiner Signatur verlinkt.

Ärger mich gerade grün und blau, dass ich nicht einfach gesagt habe er soll ein gängiges Format nehmen. Ach ja, der Download lief über die Seite der FAZ und normalerweise sollten die doch nichts verlinkt haben was mit Keyloggern zu tun hat, oder?

Es könnte sich dabei auch um eine "false-positiv" (Fehlalarm) Meldung handeln. Alles weitere sehen wir dann aus dem Hijacklog.

Gruß
Sunny

samiel

EDIT: Habe gerade die input.dll nochmal überprüft und der Letzte Zugriff wird mit heute vor ner halben Stunde angegeben, wobei ich definitiv nichts derartiges veranlasst habe.[/QUOTE]

Hallo Sunny!

Ich hab mal ein bißchen über dieses Matroska Pack auf Google nachgelesen und da überschlagen sie sich mit Lob für das neue Format...wobei das ja nicht viel heissen muss.

Gestört hat mich an der Meldung vor allem, dass die Aktion von dem .exe File ausging, dass ich runtergeladen hatte. Die Installation des Packs hat anscheinend keine Plagegeister mit sich gebracht. Hab meine Hijack Log Auswertung auch schon mit nem 2 Wochen alten verglichen, bei dem noch nichts zu erkennen war und mir fällt nichts negatives auf. Vielleicht siehst du ja noch was.

Danke für die Antwort!

Logfile of HijackThis v1.99.1
Scan saved at 14:37:48, on 22.10.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\Programme\ITE\Smart Guardian\ITESmart.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Programme\Comodo\Personal Firewall\CPF.exe
C:\Programme\Comodo\LaunchPad\CLPTray.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\SEC\MagicTune3.6_Client_pivot\GammaTray.exe
C:\Programme\SEC\Natural Color\NaturalColorLoad.exe
C:\Programme\Avast4\aswUpdSv.exe
C:\WINDOWS\ATKKBService.exe
C:\Programme\Avast4\ashServ.exe
C:\Programme\Comodo\Personal Firewall\cmdagent.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Avast4\ashMaiSv.exe
C:\Programme\Avast4\ashWebSv.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\ArcorOnline\Arcor.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Sebastian\Eigene Dateien\Tools\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [SmartGuardian] C:\Programme\ITE\Smart Guardian\ITESmart.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Comodo Personal Firewall] C:\Programme\Comodo\Personal Firewall\CPF.exe sysrestart
O4 - HKLM\..\Run: [Comodo Launch Pad Tray] "C:\Programme\Comodo\LaunchPad\CLPTray.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Color Calibration.lnk = ?
O4 - Global Startup: MagicTune3.6.lnk = ?
O4 - Global Startup: NaturalColorLoad.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - E:\Games\PartyPoker\PartyPokerNet\RunPF.exe
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - E:\Games\PartyPoker\PartyPokerNet\RunPF.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: www.musicload.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{0A32F80C-97A3-468A-B9F4-07143592DBFF}: NameServer = 195.50.140.250 195.50.140.114
O17 - HKLM\System\CS1\Services\Tcpip\..\{0A32F80C-97A3-468A-B9F4-07143592DBFF}: NameServer = 195.50.140.250 195.50.140.114
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Avast4\aswUpdSv.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Programme\Comodo\Personal Firewall\cmdagent.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Anm.: Browser ist nicht IE sondern Firefox...keine Ahnung wieso HijackThis das so anzeigt.

VG

samiel

Also dein Logfile sieht okay aus. Du solltest allerdings darauf achten, dass Du sämtlich benutzte Software aktuell hälst, z.B. Java:

C:\Programme\Java\jre1.5.0_06\bin\ssv.dll

Aktuell ist z.Z. Version 1.5.0_09! Download hier, was Du brauchst ist das Java Runtime Environment (JRE) 5.0 Update 9.