Hallo zusammen,
es geht um den Pc eines Bekannten: Bei ihm ging das Internet nicht mehr, weil Ar**r irgendwas mit den Zugangsdaten verbockt hatte. Er als Pc-Leihe hat mich gefragt ob ich das wieder richten könnte.
Ich also hin zu ihm, und erstmal festgestellt, dass sämtliche Treiber fehlten, und kein einziges Programm aufm Rechner war. (Naja erst ist Leihe und will damit nur ins Internet, das ging auch so immer). Hab erstmal alles nötige installiert neue Verbindung erstellt und Firefox draufgemacht.
Getestet, neu hochgefahren, ihn testen lassen, alles top.
Nach dem Wochenende sagter mir, dass es wieder nicht geht, was mich schon verwundert hat.
Was mich noch viel mehr verwundert hat, als ich den Rechner hochgefahren hab, waren die neue Verbindung und Firefox komplett weg, so als ob nie was drauf gewesen wär.
Dann nochmal alles von vorne, anschließend Adaware gestartet und erstmal nen Haufen Müll gefunden. Beim zweiten mal wars ok.
Dann noch HijackThis gestartet und logfile gespeichert (s.u.)
Morgen werde ich hören, ob wieder alles weg ist oder nicht.

Jetzt bräucht ich nur noch die Auswertung vom logfile, um irgendeinen Befall auszuschließen
Mich interessiert besonders Eintrag O17, der scheint nicht ganz sauber zu sein.

Logfile of HijackThis v1.99.1
Scan saved at 19:31:15, on 16.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe
C:\Programme\Lexmark X1100 Series\lxbkbmon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
C:\DOKUME~1\ROSENB~2\LOKALE~1\Temp\Temporäres Verzeichnis 5 für hijackthis_199.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe"
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{9C356017-2569-4D56-BA85-5E911111D7C4}: NameServer = 195.50.140.178 195.50.140.114
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

017 ist der DNS-Eintrag für Arcor.

(Kannst du mit whois leicht selbst überprüfen..., http://www.buha.info/files/user/html/id_Tools_whois_for_win32.html )

Fehler im Log konnte ich nicht entdecken, ich habs aber auch nur der automatischen Auswertung zum Fraß vorgeworfen.

Evtl. wäre es sinnvoll, für diesen User einen eingeschränkten Account anzulegen?

Gruß
Yopie