Heute ist mir was ganz komisches passiert: ich war online war am chaten und aufainmal ist mein Laptop ganz langsam geworden und dann aufeinmal hat wer im chat für mich mitgeschreiben, ich hab ihn ausgemacht und dachte gut dann ist er weg aber dann hat er meine ordner namen geändert, hat system-lautsprecher angemacht usw.

nun weis ich net weiter und hab hier mal gelesen und hab nun mal nen hijacktis erstellt und ich hoffe ich bekomme von EUCH schnell Hilfe und sag JETZT schonmal DANKE

Logfile of HijackThis v1.99.1
Scan saved at 23:24:02, on 11.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\install.exe
C:\Programme\Apoint2K\Apoint.exe
C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\Apoint2K\Apntex.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Hardcopy\hardcopy.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\Programme\iPod\bin\iPodService.exe
C:\DOKUME~1\MRRELA~1\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe
C:\WINDOWS\system32\ntbackup.exe
C:\WINDOWS\System32\rsmsink.exe
C:\WINDOWS\System32\vssvc.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\System32\rsvp.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = ICQ.com Suche
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Global Acer.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Live Search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Live Search
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = Global Acer.com
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Hardcopy.LNK = C:\Programme\Hardcopy\hardcopy.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Share in Hello - {B13B4423-2647-4cfc-A4B3-C7D56CB83487} - C:\Programme\Hello\PicasaCapture.dll
O9 - Extra 'Tools' menuitem: Share in H&ello - {B13B4423-2647-4cfc-A4B3-C7D56CB83487} - C:\Programme\Hello\PicasaCapture.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1164052705837
O17 - HKLM\System\CCS\Services\Tcpip\..\{19761BDB-3968-4778-8578-B974D293B596}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{19761BDB-3968-4778-8578-B974D293B596}: NameServer = 192.168.1.1
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

Hallo und im Trojaner Board!

Ich glaube zwar noch nicht so ganz daran das "jemand" deinen Rechner unter Kontrolle hat, denn ein Router ist bei dir ja auch schon im Spiel was einem Hacker die Sache schon schwerer macht, aber nachschauen wollen wir trotzdem ob sich da was auf dem System befindet.



Dateien Online überprüfen lassen:

* Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
(lass auch die versteckten Dateien anzeigen!)

c:\windows\system32\install.exe

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
* Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.



Filelist

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp


MWAV (eScan) - Free Antivirus

-Lies dir folgende Anleitung genau durch und arbeite sie ab
-> Anleitung eScan
Wichtig: Poste im Anschluss das Ergebnis mit Hilfe der *find.bat'.


Gruß
Sunny

Hier meine Auswertungen:

Virtustotal:
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.8.9.2 2007.08.10 -
AntiVir 7.4.0.60 2007.08.10 -
Authentium 4.93.8 2007.08.11 -
Avast 4.7.1029.0 2007.08.11 -
AVG 7.5.0.476 2007.08.11 -
BitDefender 7.2 2007.08.11 MemScan:Backdoor.VB.VA
CAT-QuickHeal 9.00 2007.08.11 -
ClamAV 0.91 2007.08.11 -
DrWeb 4.33 2007.08.11 -
eSafe 7.0.15.0 2007.08.10 -
eTrust-Vet 31.1.5050 2007.08.11 -
Ewido 4.0 2007.08.11 -
FileAdvisor 1 2007.08.12 -
Fortinet 2.91.0.0 2007.08.11 -
F-Prot 4.3.2.48 2007.08.10 -
F-Secure 6.70.13030.0 2007.08.11 -
Ikarus T3.1.1.12 2007.08.11 MemScanBackdoor.VB.EV
Kaspersky 4.0.2.24 2007.08.12 -
McAfee 5095 2007.08.10 -
Microsoft 1.2704 2007.08.11 -
NOD32v2 2451 2007.08.11 -
Norman 5.80.02 2007.08.10 -
Panda 9.0.0.4 2007.08.11 -
Prevx1 V2 2007.08.12 -
Rising 19.35.51.00 2007.08.11 -
Sophos 4.19.0 2007.08.01 -
Sunbelt 2.2.907.0 2007.08.11 VIPRE.Suspicious
Symantec 10 2007.08.11 -
TheHacker 6.1.7.167 2007.08.11 -
VBA32 3.12.2.2 2007.08.11 -
VirusBuster 4.3.26:9 2007.08.11 -
Webwasher-Gateway 6.0.1 2007.08.11 Win32.Malware.gen (suspicious)

Filelist:
11.08.2007 21:55 1.039.716.352 hiberfil.sys
11.08.2007 21:55 1.560.281.088 pagefile.sys
10.08.2007 12:10 1.565.784 2cam4u.com.Broadcaster.Setup.v.0.0.1.5.exe
25.07.2007 23:36 48.289.320 MapSource_6124.exe
25.07.2007 22:59 4.310.568 WebUpdater_241.exe
24.07.2007 22:08 13.954.552 MobileMasterInst.exe
06.07.2007 01:17 30.938 drwtsn32.log

C:\WINDOWS\system32
11.08.2007 21:57 1.158 wpa.dbl
11.08.2007 21:55 124.688 mswinsck.ocx
11.08.2007 18:43 40.960 lamastuff.svr
11.08.2007 18:19 43.530 pstorage.shark
11.08.2007 18:05 57.344 firefox.shark
11.08.2007 18:02 52.237 jpg.dll
11.08.2007 18:02 53.760 zlib.dll
11.08.2007 11:19 5.214 jupdate-1.6.0_02-b06.log
06.08.2007 23:59 3.002 CONFIG.NT
06.08.2007 23:56 120.544 FNTCACHE.DAT
28.07.2007 00:07 783.224 aswBoot.exe
27.07.2007 23:57 95.608 AVASTSS.scr
12.07.2007 02:22 139.264 javaws.exe
12.07.2007 02:22 69.632 javacpl.cpl
12.07.2007 01:22 135.168 javaw.exe
12.07.2007 01:22 135.168 java.exe
10.07.2007 23:57 4.254 jupdate-1.6.0_01-b06.log

C:\WINDOWS\Prefetch
12.08.2007 00:19 12.240 CMD.EXE-087B4001.pf
12.08.2007 00:17 23.838 VERCLSID.EXE-3667BD89.pf
11.08.2007 23:48 67.658 MSNMSGR.EXE-091111D0.pf
11.08.2007 23:45 51.064 LOGONUI.EXE-0AF22957.pf
11.08.2007 23:44 147.508 SSMYPICS.SCR-01C62024.pf
11.08.2007 23:36 64.764 FIREFOX.EXE-1D57670A.pf
11.08.2007 23:27 90.716 WINWORD.EXE-3395695A.pf
11.08.2007 23:26 88.030 OUTLOOK.EXE-14C4968A.pf
11.08.2007 23:20 16.154 SNDVOL32.EXE-383480B7.pf
11.08.2007 23:20 11.528 RSVP.EXE-04E70CF3.pf
11.08.2007 23:18 27.688 ASHCHEST.EXE-057D57A0.pf
11.08.2007 23:10 15.460 RUNDLL32.EXE-451FC2C0.pf
11.08.2007 22:49 18.894 CONTROL.EXE-013DBFB5.pf
11.08.2007 22:38 74.966 EXCEL.EXE-0DC93B7A.pf
11.08.2007 22:24 64.738 WMPLAYER.EXE-09969332.pf
11.08.2007 22:23 59.420 ASHSIMPL.EXE-007287FE.pf
11.08.2007 22:23 65.368 ASHAVAST.EXE-0274A551.pf
11.08.2007 22:14 25.594 SETUP.OVR-10EB9DE2.pf
11.08.2007 22:14 87.350 AVAST.SETUP-2B043760.pf
11.08.2007 21:59 34.752 MSMSGS.EXE-32066BA5.pf
11.08.2007 21:58 17.964 RUNDLL32.EXE-2ED4B2CF.pf
11.08.2007 21:58 12.840 RUNDLL32.EXE-1430BFAA.pf
11.08.2007 21:58 63.702 CONF.EXE-20072972.pf
11.08.2007 21:58 13.378 RUNDLL32.EXE-268BFF96.pf
11.08.2007 21:57 40.254 WGATRAY.EXE-0ED38BED.pf
11.08.2007 21:57 34.234 WMIPRVSE.EXE-28F301A9.pf
11.08.2007 21:57 54.476 IPODSERVICE.EXE-233792DA.pf
11.08.2007 21:57 32.848 WUAUCLT.EXE-399A8E72.pf
11.08.2007 21:56 15.656 ALG.EXE-0F138680.pf
11.08.2007 21:56 23.088 ASHWEBSV.EXE-091EF0CF.pf
11.08.2007 21:56 45.206 ASHMAISV.EXE-24E25810.pf
11.08.2007 21:56 72.910 IMAPI.EXE-0BF740A4.pf
11.08.2007 21:56 100.210 ICQLITE.EXE-2AEFACA7.pf
11.08.2007 21:56 11.914 HARDCOPY.EXE-2D1D984E.pf
11.08.2007 21:56 15.140 FXSSVC.EXE-3B8F7819.pf
11.08.2007 21:56 14.062 CTFMON.EXE-0E17969B.pf
11.08.2007 21:56 11.464 ITUNESHELPER.EXE-08906EB7.pf
11.08.2007 21:56 4.000 PASTISVC.EXE-1683FB81.pf
11.08.2007 21:56 11.992 FPASSIST.EXE-18368AA2.pf
11.08.2007 21:56 19.202 QTAET2S.EXE-39643E0C.pf
11.08.2007 21:56 9.664 APPLEMOBILEDEVICESERVICE.EXE-0B00542D.pf
11.08.2007 21:56 21.750 ASHDISP.EXE-335ABDA1.pf
11.08.2007 21:56 8.426 APNTEX.EXE-2E1C35C0.pf
11.08.2007 21:56 17.842 APOINT.EXE-2260E054.pf
11.08.2007 21:55 4.934 ALAUNCH.EXE-2E2BAF3E.pf
11.08.2007 21:55 43.634 SPOOLSV.EXE-282F76A7.pf
11.08.2007 21:55 49.310 INSTALL.EXE-1DCAF20B.pf
11.08.2007 21:55 13.850 REGSVR32.EXE-25EEFE2F.pf
11.08.2007 21:55 41.582 ASHSERV.EXE-02822F81.pf
11.08.2007 21:55 8.130 ASWUPDSV.EXE-0036B759.pf
11.08.2007 21:55 44.780 SVCHOST.EXE-3530F672.pf
11.08.2007 21:48 20.646 TASKMGR.EXE-20256C55.pf
11.08.2007 21:48 87.760 JAVAW.EXE-037D6A47.pf
11.08.2007 21:38 73.554 ITUNES.EXE-15E88941.pf
11.08.2007 21:27 1.102.536 NTOSBOOT-B00DFAAD.pf
11.08.2007 19:33 96.272 MSIEXEC.EXE-2F8A8CAE.pf
11.08.2007 19:24 14.142 SPYBOTSD14.EXE-06622CA5.pf
11.08.2007 19:24 21.338 IS-7B194.TMP-04A9E70C.pf
11.08.2007 19:22 17.748 RUNDLL32.EXE-19FDF0CF.pf
11.08.2007 19:11 19.900 RUNDLL32.EXE-311943EE.pf
11.08.2007 19:11 24.484 RUNDLL32.EXE-28CA90D1.pf
11.08.2007 19:09 23.724 RUNDLL32.EXE-47DBD4DB.pf
11.08.2007 19:09 20.032 RUNDLL32.EXE-23F69974.pf
11.08.2007 18:56 20.022 RUNDLL32.EXE-327ED30F.pf
11.08.2007 18:55 13.282 RUNDLL32.EXE-3D97474F.pf
11.08.2007 18:55 10.072 WSCNTFY.EXE-1B24F5EB.pf
11.08.2007 18:55 9.968 JUSCHED.EXE-20EE5D4A.pf
11.08.2007 18:54 8.112 QTTASK.EXE-2D7EEF34.pf
11.08.2007 18:54 6.534 NEROCHECK.EXE-1BD71082.pf
11.08.2007 18:54 20.194 LSASS.EXE-20DB6D1B.pf
11.08.2007 18:40 13.306 FIREFOX.SHARK.EXE-023F1660.pf
11.08.2007 18:40 14.796 FIREPASSWORD.EXE-20C9FE90.pf
11.08.2007 18:37 14.810 _IU14D2N.TMP-22DB03A4.pf
11.08.2007 18:37 18.730 UNINS000.EXE-09E3CFD7.pf
11.08.2007 18:37 27.346 ASHLOGV.EXE-087E43E0.pf
11.08.2007 18:35 45.998 RUNDLL32.EXE-13404D23.pf
11.08.2007 18:32 85.722 EXPLORER.EXE-082F38A9.pf
11.08.2007 18:32 13.924 USERINIT.EXE-30B18140.pf
11.08.2007 18:32 12.912 SERVICES.EXE-2F433351.pf
11.08.2007 18:19 9.604 PSTORAGE.SHARK.EXE-20D9B880.pf
11.08.2007 18:08 92.058 HELLO.EXE-1AC64F37.pf
11.08.2007 18:01 16.856 RUNDLL32.EXE-441C5FB9.pf
11.08.2007 18:01 16.856 RUNDLL32.EXE-457FA284.pf
11.08.2007 18:01 45.870 DSC_000032.SCR-11734415.pf
11.08.2007 18:01 16.136 RUNDLL32.EXE-12EB71BD.pf
11.08.2007 17:58 26.256 RUNDLL32.EXE-16BF54DB.pf
11.08.2007 17:58 22.594 RUNDLL32.EXE-3B22C3F4.pf
11.08.2007 13:33 13.330 DFRGFAT.EXE-03D95883.pf
11.08.2007 13:33 16.178 DEFRAG.EXE-273F131E.pf
11.08.2007 13:32 361.728 Layout.ini
11.08.2007 12:08 17.102 RUNDLL32.EXE-12B0B387.pf
11.08.2007 12:02 16.856 RUNDLL32.EXE-45EF389F.pf
11.08.2007 11:58 16.856 RUNDLL32.EXE-14582A61.pf
11.08.2007 11:54 16.856 RUNDLL32.EXE-4950982D.pf
11.08.2007 11:52 22.968 RUNDLL32.EXE-3993C8D3.pf
11.08.2007 11:49 16.856 RUNDLL32.EXE-140604E1.pf
11.08.2007 11:46 23.570 RUNDLL32.EXE-1BCD797A.pf
11.08.2007 11:42 16.856 RUNDLL32.EXE-40F27A52.pf
11.08.2007 11:42 22.926 RUNDLL32.EXE-1720C2B3.pf
11.08.2007 11:41 23.642 RUNDLL32.EXE-324CF20A.pf
11.08.2007 11:38 16.568 RUNDLL32.EXE-313B11DA.pf
11.08.2007 11:37 16.856 RUNDLL32.EXE-2A7301C2.pf
11.08.2007 11:34 16.856 RUNDLL32.EXE-4780417C.pf
11.08.2007 11:31 16.568 RUNDLL32.EXE-47F0B20F.pf
11.08.2007 11:30 16.856 RUNDLL32.EXE-153FB250.pf
11.08.2007 11:28 16.856 RUNDLL32.EXE-2118C6E7.pf
11.08.2007 11:25 16.856 RUNDLL32.EXE-3BA72CE5.pf
11.08.2007 11:23 16.856 RUNDLL32.EXE-364C1659.pf
11.08.2007 11:20 16.856 RUNDLL32.EXE-2673DD73.pf
11.08.2007 11:18 34.480 PATCHJRE.EXE-20AA67A5.pf
11.08.2007 11:18 7.384 JAVA.EXE-1980726E.pf
11.08.2007 11:18 5.814 LAUNCHER.EXE-2D15694C.pf
11.08.2007 11:18 69.942 UNPACK200.EXE-087E38E4.pf
11.08.2007 11:18 159.310 ZIPPER.EXE-267AD91C.pf
11.08.2007 11:18 16.856 RUNDLL32.EXE-3D8865B1.pf
11.08.2007 11:12 16.856 RUNDLL32.EXE-4B7F65CB.pf
11.08.2007 11:10 22.336 RUNDLL32.EXE-2E208E57.pf
11.08.2007 11:07 16.856 RUNDLL32.EXE-4ABE0306.pf
11.08.2007 11:06 22.194 JRE-6U2-WINDOWS-I586-P-IFTW_7-1A8A15AE.pf
11.08.2007 11:04 22.980 RUNDLL32.EXE-499C858A.pf
11.08.2007 11:04 29.784 JUCHECK.EXE-22809EFC.pf
11.08.2007 11:04 7.516 JAVA.EXE-10C79773.pf
11.08.2007 01:54 16.856 RUNDLL32.EXE-18DBE2B2.pf
11.08.2007 01:53 21.784 RUNDLL32.EXE-40CB590A.pf
11.08.2007 01:47 17.210 RUNDLL32.EXE-229BC8CB.pf
11.08.2007 01:46 16.856 RUNDLL32.EXE-25D9E5D7.pf
11.08.2007 01:44 22.106 RUNDLL32.EXE-47ACDEAA.pf
11.08.2007 01:42 16.856 RUNDLL32.EXE-4CEAFDA0.pf
11.08.2007 01:41 16.856 RUNDLL32.EXE-16B582AC.pf
11.08.2007 01:40 22.616 RUNDLL32.EXE-4A82088C.pf

Verzeichnis von C:\WINDOWS
11.08.2007 22:49 53.389 setupapi.log
11.08.2007 21:56 0 0.log
11.08.2007 21:56 4.528 ModemLog_Conexant Soft 56K Modem.txt
11.08.2007 21:56 54.156 QTFont.qfn
11.08.2007 21:56 159 wiadebug.log
11.08.2007 21:55 2.048 bootstat.dat
11.08.2007 20:32 1.272.273 WindowsUpdate.log
11.08.2007 20:31 50 wiaservc.log
11.08.2007 20:31 32.612 SchedLgU.Txt
11.08.2007 18:00 323.684 __baby_baby_baby____color_by_whorer_movie.jpg
10.08.2007 10:49 116 NeroDigital.ini
10.08.2007 10:43 63.477 wmsetup.log
24.07.2007 22:21 41 pos.ini
24.07.2007 21:25 1.141.264 DPINST.LOG
24.07.2007 21:03 1.409 QTFont.for

Verzeichnis von C:\WINDOWS\tasks
11.08.2007 21:55 6 SA.DAT
11.08.2007 19:33 404 1-Klick-Wartung.job
20.05.2007 13:29 342 FRU Task #Hewlett-Packard#hp psc 2100
18.08.2001 20:00 65 desktop.ini

Verzeichnis von C:\WINDOWS\temp
11.08.2007 23:45 255 WGAErrLog.txt
11.08.2007 21:57 409 WGANotify.settings
11.08.2007 21:55 16.384 Perflib_Perfdata_780.dat
11.08.2007 21:25 16.384 Perflib_Perfdata_670.dat
11.08.2007 18:54 16.384 Perflib_Perfdata_564.dat
06.08.2007 08:40 16.384 Perflib_Perfdata_794.dat
04.08.2007 15:03 16.384 Perflib_Perfdata_6e0.dat
10.07.2007 23:27 6.020 NetFxUpdate_v1.1.4322.log
09.07.2007 20:13 16.384 Perflib_Perfdata_778.dat
04.07.2007 19:45 16.384 Perflib_Perfdata_6bc.dat

C:\DOKUME~1\MRRELA~1\LOKALE~1\Temp
12.08.2007 00:19 125.061 filelist.txt
12.08.2007 00:19 37 jar_cache43635.tmp
12.08.2007 00:18 37 jar_cache43634.tmp
12.08.2007 00:18 70 jar_cache43632.tmp
12.08.2007 00:18 70 jar_cache43633.tmp
12.08.2007 00:17 634 filelist.zip
12.08.2007 00:17 70 jar_cache43631.tmp
12.08.2007 00:16 634 bwrducn2.zip
12.08.2007 00:13 70 jar_cache43630.tmp
12.08.2007 00:13 70 jar_cache43629.tmp
12.08.2007 00:11 70 jar_cache43628.tmp
12.08.2007 00:10 70 jar_cache43627.tmp
12.08.2007 00:10 70 jar_cache43626.tmp
11.08.2007 23:54 70 jar_cache43625.tmp
11.08.2007 23:50 70 jar_cache43624.tmp
11.08.2007 23:50 70 jar_cache43623.tmp
11.08.2007 23:49 70 jar_cache43622.tmp
11.08.2007 23:49 512 ~DF12F2.tmp
11.08.2007 23:49 327.680 ~DF127D.tmp
11.08.2007 23:48 327.680 ~DFF8B0.tmp
11.08.2007 23:48 512 ~DFF8C5.tmp
11.08.2007 23:48 70 jar_cache43621.tmp
11.08.2007 23:46 70 jar_cache43620.tmp
11.08.2007 23:46 70 jar_cache43616.tmp
11.08.2007 23:46 70 jar_cache43619.tmp
11.08.2007 23:46 70 jar_cache43618.tmp
11.08.2007 23:46 70 jar_cache43617.tmp
11.08.2007 23:38 70 jar_cache43610.tmp
11.08.2007 23:38 70 jar_cache43615.tmp
11.08.2007 23:38 70 jar_cache43614.tmp
11.08.2007 23:38 70 jar_cache43613.tmp
11.08.2007 23:38 70 jar_cache43612.tmp
11.08.2007 23:38 70 jar_cache43611.tmp
11.08.2007 23:37 70 jar_cache43609.tmp
11.08.2007 23:37 70 jar_cache43608.tmp
11.08.2007 23:37 70 jar_cache43607.tmp
11.08.2007 23:37 70 jar_cache43606.tmp
11.08.2007 23:37 70 jar_cache43605.tmp
11.08.2007 23:37 70 jar_cache43604.tmp
11.08.2007 23:35 70 jar_cache43600.tmp
11.08.2007 23:35 70 jar_cache43603.tmp
11.08.2007 23:35 70 jar_cache43602.tmp
11.08.2007 23:35 70 jar_cache43601.tmp
11.08.2007 23:35 70 jar_cache43599.tmp
11.08.2007 23:35 70 jar_cache43596.tmp
11.08.2007 23:35 70 jar_cache43598.tmp
11.08.2007 23:35 70 jar_cache43597.tmp
11.08.2007 23:35 70 jar_cache43595.tmp
11.08.2007 23:33 70 jar_cache43594.tmp
11.08.2007 23:33 70 jar_cache43593.tmp
11.08.2007 23:33 70 jar_cache43592.tmp
11.08.2007 23:33 70 jar_cache43591.tmp
11.08.2007 23:32 70 jar_cache43590.tmp
11.08.2007 23:32 70 jar_cache43589.tmp
11.08.2007 23:32 70 jar_cache43588.tmp
11.08.2007 23:32 70 jar_cache43587.tmp
11.08.2007 23:27 131.857 java_install_reg.log
11.08.2007 23:22 70 jar_cache48847.tmp
11.08.2007 23:22 70 jar_cache48846.tmp
11.08.2007 23:22 70 jar_cache48845.tmp
11.08.2007 23:22 70 jar_cache48844.tmp
11.08.2007 23:21 70 jar_cache48843.tmp
11.08.2007 23:21 70 jar_cache48842.tmp
11.08.2007 23:21 70 jar_cache48841.tmp
11.08.2007 23:17 70 jar_cache48840.tmp
11.08.2007 23:16 70 jar_cache48835.tmp
11.08.2007 23:16 70 jar_cache48837.tmp
11.08.2007 23:16 70 jar_cache48838.tmp
11.08.2007 23:16 70 jar_cache48839.tmp
11.08.2007 23:16 70 jar_cache48836.tmp
11.08.2007 23:08 70 jar_cache48834.tmp
11.08.2007 23:05 70 jar_cache48833.tmp
11.08.2007 23:04 70 jar_cache48828.tmp
11.08.2007 23:04 70 jar_cache48831.tmp
11.08.2007 23:04 70 jar_cache48832.tmp
11.08.2007 23:04 70 jar_cache48829.tmp
11.08.2007 23:04 70 jar_cache48830.tmp
11.08.2007 23:03 70 jar_cache48826.tmp
11.08.2007 23:03 70 jar_cache48827.tmp
11.08.2007 23:03 70 jar_cache48825.tmp
11.08.2007 23:01 70 jar_cache48824.tmp
11.08.2007 23:01 70 jar_cache48823.tmp
11.08.2007 22:54 70 jar_cache48822.tmp
11.08.2007 22:53 70 jar_cache48820.tmp
11.08.2007 22:53 70 jar_cache48821.tmp
11.08.2007 22:51 70 jar_cache48818.tmp
11.08.2007 22:51 70 jar_cache48819.tmp
11.08.2007 22:50 70 jar_cache48817.tmp
11.08.2007 22:50 70 jar_cache48816.tmp
11.08.2007 22:30 70 jar_cache48815.tmp
11.08.2007 22:25 70 jar_cache48814.tmp
11.08.2007 22:25 70 jar_cache48813.tmp
11.08.2007 22:13 70 jar_cache48811.tmp
11.08.2007 22:13 70 jar_cache48812.tmp
11.08.2007 22:04 70 jar_cache48810.tmp
11.08.2007 22:04 70 jar_cache48809.tmp
11.08.2007 21:55 16.384 ~DFF0AB.tmp
11.08.2007 21:50 70 jar_cache772.tmp
11.08.2007 21:50 70 jar_cache769.tmp
11.08.2007 21:50 70 jar_cache770.tmp
11.08.2007 21:43 70 jar_cache771.tmp
11.08.2007 21:40 70 jar_cache767.tmp
11.08.2007 21:40 70 jar_cache768.tmp
11.08.2007 21:39 70 jar_cache764.tmp
11.08.2007 21:39 70 jar_cache766.tmp
11.08.2007 21:39 33 jar_cache762.tmp
11.08.2007 21:39 70 jar_cache765.tmp
11.08.2007 21:39 70 jar_cache763.tmp
11.08.2007 20:31 70 jar_cache3537.tmp
11.08.2007 20:24 70 jar_cache3535.tmp
11.08.2007 20:24 70 jar_cache3536.tmp
11.08.2007 20:24 70 jar_cache3534.tmp
11.08.2007 20:11 70 jar_cache3533.tmp
11.08.2007 20:02 70 jar_cache3531.tmp
11.08.2007 20:02 70 jar_cache3532.tmp
11.08.2007 19:42 70 jar_cache42993.tmp
11.08.2007 19:42 70 jar_cache42994.tmp
11.08.2007 19:30 70 jar_cache42989.tmp
11.08.2007 19:30 70 jar_cache42990.tmp
11.08.2007 19:29 33 jar_cache42991.tmp
11.08.2007 19:29 33 jar_cache42992.tmp
11.08.2007 19:28 70 jar_cache42988.tmp
11.08.2007 19:24 70 jar_cache42987.tmp
11.08.2007 19:18 40 jar_cache64657.tmp
11.08.2007 19:18 40 jar_cache64658.tmp
11.08.2007 19:17 70 jar_cache64655.tmp
11.08.2007 19:17 40 jar_cache64656.tmp
11.08.2007 19:17 70 jar_cache64653.tmp
11.08.2007 19:17 70 jar_cache64652.tmp
11.08.2007 19:17 70 jar_cache64654.tmp
11.08.2007 19:14 70 jar_cache63616.tmp
11.08.2007 19:13 70 jar_cache63615.tmp
11.08.2007 19:03 70 jar_cache63614.tmp
11.08.2007 18:59 162.131 jusched.log
11.08.2007 18:46 70 jar_cache59260.tmp
11.08.2007 18:39 70 jar_cache41492.tmp
11.08.2007 18:27 70 jar_cache57897.tmp
11.08.2007 18:22 70 jar_cache3618.tmp
11.08.2007 18:15 70 jar_cache49209.tmp
11.08.2007 18:15 70 jar_cache49208.tmp
11.08.2007 18:15 70 jar_cache49210.tmp
11.08.2007 18:02 70 jar_cache49207.tmp
11.08.2007 14:13 70 jar_cache31870.tmp
11.08.2007 14:04 70 jar_cache31869.tmp
11.08.2007 13:53 70 jar_cache31866.tmp
11.08.2007 13:53 70 jar_cache31868.tmp
11.08.2007 13:53 70 jar_cache31864.tmp
11.08.2007 13:52 70 jar_cache31867.tmp
11.08.2007 13:52 70 jar_cache31865.tmp
11.08.2007 13:13 70 jar_cache31863.tmp
11.08.2007 13:07 70 jar_cache31854.tmp
11.08.2007 13:07 70 jar_cache31860.tmp
11.08.2007 13:07 70 jar_cache31853.tmp
11.08.2007 13:07 70 jar_cache31852.tmp
11.08.2007 13:07 70 jar_cache31851.tmp
11.08.2007 13:07 70 jar_cache31862.tmp
11.08.2007 12:54 70 jar_cache31861.tmp
11.08.2007 12:51 0 16l47.tmp


MWAV kommt später da ja ein Neustart notwendig ist...

Ich hoff Ihr könnt helfen

Ich glaube nicht das Jemand dein System kontroliert!!
Aber mir sind 2 einträge aufgefallen die komisch sind!!

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Global Acer.com

und

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = Global Acer.com

Die solltest du besser mal mit HijackThis Fixen !

Und dann noch das ein install.exe in system32 das ist der eintrag im Logfile:
C:\WINDOWS\system32\install.exe
wenn du nicht weißt was das ist würde ich nachdenken ^^

Mach bitte noch folgende Tests mit deinem System, da schon ein Backdoor-Programm gefunden wurde, müssen wir noch weiter suchen:


tcpview

1. Das Programm tcpview herunterladen und auf dem Desktop entpacken.
2. Im Ordner tcpview die Datei tcpview.exe starten.
3. Oben links auf das Diskettensymbol klicken und das Logfile abspeichern.
4. Den Inhalt der Logdatei posten.





F-Secure Blacklight – Rootkitscanner:

* Scanne dein System mit F-Secure Blacklight
* Poste im Anschluss das Ergebnis des Reportes in dem du alles abkopierst und hier in einen Beitrag einfügst. (die Datei sollte auf C: angelegt werden.)



Silentrunners Logfile

-Lade dir das Tool -> Silentrunners
-Entpacke das Script in einen Ordner deiner Wahl
-Doppelklick auf -> Silent Runners -> Option Supplementary Searches auswählen
-System wird nun überprüft, nach Beendigung wird eine Log-Datei erstellt
(Dein Antiviren-Scanner könnte eine Meldung wegen „bösartigem Script“
erstellen, ignoriere dieses und arbeite weiter!)
-Dann öffne die Silent Runners xxx.txt mit einem Editor und kopiere den gesamten Inhalt ab und füge ihn in einen Beitrag ein.
(Strg+A markieren -> Strg+C kopieren -> Strg+V einfügen)


Gruß
Sunny

tcpview:
ALG.EXE:388 TCP HOME:1026 HOME:0 LISTENING
AppleMobileDeviceService.exe:1536 TCP HOME:27015 localhost:1032 ESTABLISHED
AppleMobileDeviceService.exe:1536 TCP HOME:27015 HOME:0 LISTENING
ashMaiSv.exe:144 TCP HOME:12143 HOME:0 LISTENING
ashMaiSv.exe:144 TCP HOME:12110 HOME:0 LISTENING
ashMaiSv.exe:144 TCP HOME:12025 HOME:0 LISTENING
ashMaiSv.exe:144 TCP HOME:12119 HOME:0 LISTENING
ashWebSv.exe:204 TCP HOME:12080 localhost:1618 ESTABLISHED
ashWebSv.exe:204 TCP HOME:12080 HOME:0 LISTENING
ashWebSv.exe:204 TCP home:1619 rn-in-f147.google.com:http ESTABLISHED
FIREFOX.EXE:3844 TCP HOME:1082 localhost:1081 ESTABLISHED
FIREFOX.EXE:3844 TCP HOME:1081 localhost:1082 ESTABLISHED
FIREFOX.EXE:3844 TCP HOME:1072 localhost:1073 ESTABLISHED
FIREFOX.EXE:3844 TCP HOME:1073 localhost:1072 ESTABLISHED
FIREFOX.EXE:3844 TCP HOME:1618 localhost:12080 ESTABLISHED
ICQLite.exe:3536 TCP HOME:1033 localhost:1112 ESTABLISHED
ICQLite.exe:3536 TCP home:1042 fg-in-f91.google.com:https ESTABLISHED
ICQLite.exe:3536 TCP HOME:1104 localhost:1033 ESTABLISHED
ICQLite.exe:3536 TCP HOME:1112 localhost:1033 ESTABLISHED
ICQLite.exe:3536 TCP HOME:1033 localhost:1104 ESTABLISHED
ICQLite.exe:3536 TCP HOME:1105 localhost:1033 ESTABLISHED
ICQLite.exe:3536 TCP HOME:1033 localhost:1105 ESTABLISHED
ICQLite.exe:3536 TCP HOME:1033 HOME:0 LISTENING
ICQLite.exe:3536 UDP HOME:1034 *:*
iTunesHelper.exe:2432 TCP HOME:1032 localhost:27015 ESTABLISHED
LSASS.EXE:672 UDP HOME:isakmp *:*
LSASS.EXE:672 UDP HOME:4500 *:*
MSNMSGR.EXE:3912 TCP home:1135 by2msg1104204.phx.gbl:1863 ESTABLISHED
MSNMSGR.EXE:3912 UDP HOME:1093 *:*
MSNMSGR.EXE:3912 UDP home:10259 *:*
MSNMSGR.EXE:3912 UDP home:discard *:*
MSNMSGR.EXE:3912 UDP HOME:1132 *:*
MSNMSGR.EXE:3912 UDP home:52714 *:*
MSNMSGR.EXE:3912 UDP HOME:1461 *:*
MSNMSGR.EXE:3912 TCP home:1615 by1msg3082305.mixer.edge.messenger.live.com:1863 ESTABLISHED
MSNMSGR.EXE:3912 UDP home:63943 *:*
MSNMSGR.EXE:3912 TCP home:1630 207.68.178.153:http ESTABLISHED
MSNMSGR.EXE:3912 TCP home:1631 by1msg3082305.mixer.edge.messenger.live.com:1863 ESTABLISHED
SVCHOST.EXE:1112 UDP home:1900 *:*
SVCHOST.EXE:1112 UDP HOME:1900 *:*
SVCHOST.EXE:908 TCP HOME:epmap HOME:0 LISTENING
SVCHOST.EXE:944 UDP HOME:ntp *:*
SVCHOST.EXE:944 UDP home:ntp *:*
SVCHOST.EXE:996 UDP HOME:1035 *:*
SVCHOST.EXE:996 UDP HOME:1028 *:*
SVCHOST.EXE:996 UDP HOME:1269 *:*
System:4 TCP HOME:microsoft-ds HOME:0 LISTENING
System:4 TCP home:netbios-ssn HOME:0 LISTENING
System:4 UDP home:netbios-ns *:*
System:4 UDP home:netbios-dgm *:*
System:4 UDP HOME:microsoft-ds *:*

F-Secure Blacklight – Rootkitscanner:
08/12/07 11:51:01 [Info]: BlackLight Engine 1.0.64 initialized
08/12/07 11:51:01 [Info]: OS: 5.1 build 2600 (Service Pack 2)
08/12/07 11:51:01 [Note]: 7019 4
08/12/07 11:51:01 [Note]: 7005 0
08/12/07 11:51:08 [Note]: 7006 0
08/12/07 11:51:08 [Note]: 7011 572
08/12/07 11:51:09 [Note]: 7026 0
08/12/07 11:51:09 [Note]: 7026 0
08/12/07 11:51:12 [Note]: FSRAW library version 1.7.1022
08/12/07 11:52:42 [Note]: 2000 1012
08/12/07 12:25:55 [Note]: 7007 0

Silentrunners Logfile:
"Silent Runners.vbs", revision 52, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"CTFMON.EXE" = "C:\WINDOWS\system32\ctfmon.exe" [MS]

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\ {++}
"ICQ Lite" = "C:\Programme\ICQLite\ICQLite.exe -trayboot" ["ICQ Ltd."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"LaunchApp" = "Alaunch" ["Acer Inc."]
"Apoint" = "C:\Programme\Apoint2K\Apoint.exe" ["Alps Electric Co., Ltd."]
"LManager" = "C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE" ["Dritek System Inc."]
"avast!" = "C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" ["ALWIL Software"]
"FreePDF Assistant" = "C:\Programme\FreePDF_XP\fpassist.exe" [null data]
"(Default)" = "(empty string)" [file not found]
"iTunesHelper" = ""C:\Programme\iTunes\iTunesHelper.exe"" ["Apple Inc."]

HKLM\Software\Microsoft\Active Setup\Installed Components\
{DB808B83-C748-C0AF-A490-BB2F3900CABE}\(Default) = "inst"
\StubPath = "C:\WINDOWS\system32\install.exe" [null data]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)
-> {HKLM...CLSID} = "AcroIEHlprObj Class"
\InProcServer32\(Default) = "C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx" [empty string]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided)
-> {HKLM...CLSID} = "SSVHelper Class"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.6.0_02\bin\ssv.dll" ["Sun Microsystems, Inc."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
-> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{73B24247-042E-4EF5-ADC2-42F62E6FD654}" = "ICQ Lite Shell Extension"
-> {HKLM...CLSID} = "MCLiteShellExt Class"
\InProcServer32\(Default) = "C:\Programme\ICQLite\ICQLiteShell.dll" [empty string]
"{FC9FB64A-1EB2-4CCF-AF5E-1A497A9B5C2D}" = "Messenger Sharing Folders"
-> {HKLM...CLSID} = "Meine freigegebenen Ordner"
\InProcServer32\(Default) = "C:\Programme\MSN Messenger\fsshext.8.1.0178.00.dll" [MS]
"{B327765E-D724-4347-8B16-78AE18552FC3}" = "NeroDigitalIconHandler"
-> {HKLM...CLSID} = "NeroDigitalIconHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll" ["Nero AG"]
"{7F1CF152-04F8-453A-B34C-E609530A9DC8}" = "NeroDigitalPropSheetHandler"
-> {HKLM...CLSID} = "NeroDigitalPropSheetHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll" ["Nero AG"]
"{472083B0-C522-11CF-8763-00608CC02F24}" = "avast"
-> {HKLM...CLSID} = "avast"
\InProcServer32\(Default) = "C:\Programme\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
"{00020D75-0000-0000-C000-000000000046}" = "Microsoft Office Outlook Desktop Icon Handler"
-> {HKLM...CLSID} = "Microsoft Office Outlook"
\InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\OFFICE11\MLSHEXT.DLL" [MS]
"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Office Outlook Custom Icon Handler"
-> {HKLM...CLSID} = "Outlook-Dateisymbolerweiterung"
\InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\OFFICE11\OLKFSTUB.DLL" [MS]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Microsoft Office\OFFICE11\msohev.dll" [MS]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]
"{A5110426-177D-4e08-AB3F-785F10B4439C}" = "Sony Ericsson Datei-Manager"
-> {HKLM...CLSID} = "Sony Ericsson Datei-Manager"
\InProcServer32\(Default) = "C:\Programme\Sony Ericsson\Mobile2\File Manager\fmgrgui.dll" ["Sony Ericsson Mobile Communications AB"]
"{B9E1D2CB-CCFF-4AA6-9579-D7A4754030EF}" = "iTunes"
-> {HKLM...CLSID} = "iTunes"
\InProcServer32\(Default) = "C:\Programme\iTunes\iTunesMiniPlayer.dll" ["Apple Inc."]
"{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}" = "TuneUp Shredder Shell Extension"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\PROGRA~1\TUNEUP~1\SDShelEx-win32.dll" ["TuneUp Software GmbH"]
"{44440D00-FF19-4AFC-B765-9A0970567D97}" = "TuneUp Theme Extension"
-> {HKLM...CLSID} = "TuneUp Theme Extension"
\InProcServer32\(Default) = "C:\WINDOWS\System32\uxtuneup.dll" ["TuneUp Software GmbH"]

HKLM\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\
"WPDShServiceObj" = "{AAA288BA-9A4C-45B0-95D7-94D524869DB5}"
-> {HKLM...CLSID} = "WPDShServiceObj Class"
\InProcServer32\(Default) = "C:\WINDOWS\system32\WPDShServiceObj.dll" [MS]

HKLM\Software\Classes\PROTOCOLS\Filter\
<<!>> text/xml\CLSID = "{807553E5-5146-11D5-A672-00B0D022E945}"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL" [MS]

HKLM\Software\Classes\Folder\shellex\ColumnHandlers\
{7D4D6379-F301-4311-BEBA-E26EB0561882}\(Default) = "NeroDigitalExt.NeroDigitalColumnHandler"
-> {HKLM...CLSID} = "NeroDigitalColumnHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll" ["Nero AG"]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
avast\(Default) = "{472083B0-C522-11CF-8763-00608CC02F24}"
-> {HKLM...CLSID} = "avast"
\InProcServer32\(Default) = "C:\Programme\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
ICQLiteMenu\(Default) = "{73B24247-042E-4EF5-ADC2-42F62E6FD654}"
-> {HKLM...CLSID} = "MCLiteShellExt Class"
\InProcServer32\(Default) = "C:\Programme\ICQLite\ICQLiteShell.dll" [empty string]
TuneUp Shredder Shell Extension\(Default) = "{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\PROGRA~1\TUNEUP~1\SDShelEx-win32.dll" ["TuneUp Software GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
ICQLiteMenu\(Default) = "{73B24247-042E-4EF5-ADC2-42F62E6FD654}"
-> {HKLM...CLSID} = "MCLiteShellExt Class"
\InProcServer32\(Default) = "C:\Programme\ICQLite\ICQLiteShell.dll" [empty string]
TuneUp Shredder Shell Extension\(Default) = "{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\PROGRA~1\TUNEUP~1\SDShelEx-win32.dll" ["TuneUp Software GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
avast\(Default) = "{472083B0-C522-11CF-8763-00608CC02F24}"
-> {HKLM...CLSID} = "avast"
\InProcServer32\(Default) = "C:\Programme\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]


Default executables:
--------------------

<<!>> HKLM\Software\Classes\scrfile\shell\open\command\(Default) = ""%1" /S "%3"" [file not found]


Group Policies {policy setting}:
--------------------------------

Note: detected settings may not have any effect.

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\

"NoActiveDesktop" = (REG_DWORD) hex:0x00000001
{Disable Active Desktop}

"ClearRecentDocsOnExit" = (REG_DWORD) hex:0x00000001
{unrecognized setting}

HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) hex:0x00000001
{Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) hex:0x00000001
{Devices: Allow undock without having to log on}


Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:
HKCU\Software\Microsoft\Internet Explorer\Desktop\General\
"Wallpaper" = "D:\Eigene Dateien\wallpaper.bmp"

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:
HKCU\Control Panel\Desktop\
"Wallpaper" = "D:\Eigene Dateien\wallpaper.bmp"


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\ssmypics.scr" [MS]


Startup items in "mrrelaxed" & "All Users" startup folders:
-----------------------------------------------------------

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart
"Hardcopy" -> shortcut to: "C:\Programme\Hardcopy\hardcopy.exe" ["sw4you, Siegfried Weckmann"]


Enabled Scheduled Tasks:
------------------------

"FRU Task #Hewlett-Packard#hp psc 2100 series#1167481690" -> launches: "C:\Programme\Hewlett-Packard\Digital Imaging\Bin\hpqfrucl.exe -I "#Hewlett-Packard#hp psc 2100 series#1167481690"" [empty string]
"1-Klick-Wartung" -> launches: "C:\Programme\TuneUp Utilities 2007\SystemOptimizer.exe /schedulestart" ["TuneUp Software GmbH"]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 17
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\
"{855F3B16-6D32-4FE6-8A56-BBB695989046}"
-> {HKLM...CLSID} = "ICQ Toolbar"
\InProcServer32\(Default) = "C:\Programme\ICQToolbar\toolbaru.dll" ["ICQ Inc."]

HKLM\Software\Microsoft\Internet Explorer\Toolbar\
"{855F3B16-6D32-4FE6-8A56-BBB695989046}" = (no title provided)
-> {HKLM...CLSID} = "ICQ Toolbar"
\InProcServer32\(Default) = "C:\Programme\ICQToolbar\toolbaru.dll" ["ICQ Inc."]

Explorer Bars

HKLM\Software\Microsoft\Internet Explorer\Explorer Bars\

HKLM\Software\Classes\CLSID\{FF059E31-CC5A-4E2E-BF3B-96E929D65503}\(Default) = "&Recherchieren"
Implemented Categories\{00021493-0000-0000-C000-000000000046}\ [vertical bar]
InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL" [MS]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Sun Java Konsole"
"CLSIDExtension" = "{CAFEEFAC-0016-0000-0002-ABCDEFFEDCBC}"
-> {HKCU...CLSID} = "Java Plug-in 1.6.0_02"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.6.0_02\bin\ssv.dll" ["Sun Microsystems, Inc."]
-> {HKLM...CLSID} = "Java Plug-in 1.6.0_02"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.6.0_02\bin\npjpi160_02.dll" ["Sun Microsystems, Inc."]

{92780B25-18CC-41C8-B9BE-3C9C571A8263}\
"ButtonText" = "Recherchieren"

{B13B4423-2647-4CFC-A4B3-C7D56CB83487}\
"ButtonText" = "Share in Hello"
"MenuText" = "Share in H&ello"
"CLSIDExtension" = "{B13B4423-2647-4cfc-A4B3-C7D56CB83487}"
-> {HKLM...CLSID} = "IECmdExecute Class"
\InProcServer32\(Default) = "C:\Programme\Hello\PicasaCapture.dll" ["Picasa, Inc."]

{B863453A-26C3-4E1F-A54D-A2CD196348E9}\
"ButtonText" = "ICQ Lite"
"MenuText" = "ICQ Lite"
"Exec" = "C:\Programme\ICQLite\ICQLite.exe" ["ICQ Ltd."]

{E2E2DD38-D088-4134-82B7-F2BA38496583}\
"MenuText" = "@xpsp3res.dll,-20001"
"Exec" = "%windir%\Network Diagnostic\xpnetdiag.exe" [MS]

{FB5F1910-F110-11D2-BB9E-00C04F795683}\
"ButtonText" = "Messenger"
"MenuText" = "Windows Messenger"
"Exec" = "C:\Programme\Messenger\msmsgs.exe" [MS]


Miscellaneous IE Hijack Points
------------------------------

HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks\
<<H>> "{855F3B16-6D32-4fe6-8A56-BBB695989046}" = (no title provided)
-> {HKLM...CLSID} = "ICQ Toolbar"
\InProcServer32\(Default) = "C:\Programme\ICQToolbar\toolbaru.dll" ["ICQ Inc."]

HKLM\Software\Microsoft\Internet Explorer\AboutURLs\
<<H>> "TuneUp" = "file://C|/Dokumente und Einstellungen/All Users/Anwendungsdaten/TuneUp Software/Common/base.css" [file not found]


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

Apple Mobile Device, Apple Mobile Device, ""C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe"" ["Apple, Inc."]
avast! Antivirus, avast! Antivirus, ""C:\Programme\Alwil Software\Avast4\ashServ.exe"" ["ALWIL Software"]
avast! iAVS4 Control Service, aswUpdSv, ""C:\Programme\Alwil Software\Avast4\aswUpdSv.exe"" ["ALWIL Software"]
avast! Mail Scanner, avast! Mail Scanner, ""C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service" ["ALWIL Software"]
avast! Web Scanner, avast! Web Scanner, ""C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service" ["ALWIL Software"]
iPod-Dienst, iPod Service, "C:\Programme\iPod\bin\iPodService.exe" ["Apple Inc."]
STI Simulator, STI Simulator, "C:\WINDOWS\System32\PAStiSvc.exe" [null data]
TuneUp Designerweiterung, UxTuneUp, "C:\WINDOWS\System32\svchost.exe -k netsvcs" {"C:\WINDOWS\System32\uxtuneup.dll" ["TuneUp Software GmbH"]}


Print Monitors:
---------------

HKLM\System\CurrentControlSet\Control\Print\Monitors\
hpzlnt07\Driver = "hpzlnt07.dll" ["HP"]
Microsoft Document Imaging Writer Monitor\Driver = "mdimon.dll" [MS]
Microsoft Shared Fax Monitor\Driver = "FXSMON.DLL" [MS]
Redirected Port\Driver = "redmonnt.dll" [null data]


---------- (launch time: 2007-08-12 12:15:30)
<<!>>: Suspicious data at a malware launch point.
<<H>>: Suspicious data at a browser hijack point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
took 81 seconds.
---------- (total run time: 202 seconds)

Hi,

etwas Aufmerksamkeit verdienen diese Einträge in der Filelist:

C:\WINDOWS\system32
11.08.2007 21:55 124.688 mswinsck.ocx
11.08.2007 18:43 40.960 lamastuff.svr
11.08.2007 18:19 43.530 pstorage.shark
11.08.2007 18:05 57.344 firefox.shark
11.08.2007 18:02 52.237 jpg.dll
11.08.2007 18:02 53.760 zlib.dll

C:\WINDOWS\Prefetch
11.08.2007 18:40 13.306 FIREFOX.SHARK.EXE-023F1660.pf
11.08.2007 18:40 14.796 FIREPASSWORD.EXE-20C9FE90.pf
11.08.2007 18:19 9.604 PSTORAGE.SHARK.EXE-20D9B880.pf

mswinsck.ocx dürfte eine saubere Microsoft-Datei sein, aber von der Backdoor abgelegt (so ein Exemplar hatte ich neulich hier, das diese Datei in den Resourcen mitbrachte). jpg.dll und zlib.dll sehr wahrscheinlich auch sauber aber ebenfalls von der Malware mitgebracht. lamastuff.svr großes Fragezeichen, aber verdammt auffällig. Der Rest sieht danach aus, dass versucht wurde, alle auf den System abgespeicherten Passwörter und Zugangsdaten abzugreifen, FIREPASSWORD.EXE ist ein bekanntes Programm in Firefox gespeicherte Passwörter zu ermitteln, "PSTORAGE" könnte für "Protected Storage" stehen, ein Windowsdienst:

Bietet geschützten Speicherplatz für private Daten, wie z. B. private Schlüssel, um Zugriff durch nicht autorisierte Dienste, Prozesse oder Benutzer zu unterbinden.

Umgehendes Ändern aller Passwörter und Zugangsdaten von einem sauberen Computer aus ist erforderlich. CD-Keys lassen sich dummerweise nicht ändern.

Typischer Starteintrag für Backdoorserver wie Shark, Bifrose, usw:

HKLM\Software\Microsoft\Active Setup\Installed Components\
{DB808B83-C748-C0AF-A490-BB2F3900CABE}\(Default) = "inst"
\StubPath = "C:\WINDOWS\system32\install.exe" [null data]

deluxe24: Du liegst leider daneben, dieser Computer hat mit Sicherheit eine Fernsteuerung durch einen Backdoor erhalten. Die Fakten sind eindeutig, wenn Du was anderes behauptest, dann frage ich mich: warum.

Wieso eine Acer-Seite als Startseite ein Problem sein sollte, verstehe ich nicht.

Gruß, Karl

Vielen Vielen Dank für eure Antworten!!!!


Nun aber noch ein paar Fragen:

Muss ich irgendwelche Einträge löschen bzw. XP neuinstallieren?
Was muss ich beachten daß das mir nicht mehr passieren wird?
Was kann der jenige alles gemacht haben?


Vielen Dank

Zitat von Mrrelaxed

Muss ich irgendwelche Einträge löschen bzw. XP neuinstallieren?

Das Problem bei einer solchen Infizierung, man kann die schädliche Software löschen, aber damit ist es nicht getan.
Dieser Schädling kann dein System soweit verändern, das immer ein Restrisiko bleibt.

Daher die Neuinstallation, Anleitung wie es gemacht wird, und vor allem eine anschliessende Absicherung sind hier in einem LINK zusammen gefasst:

http://www.trojaner-board.de/12154-a...sicherung.html

Was muss ich beachten daß das mir nicht mehr passieren wird?

Sichere dein System gut ab, nicht nur durch Firewall und andere Schutzsoftware, sondern du musst auch einen Teil dazu beitragen.
Dies steht aber alles in der Anleitung!

Was kann der jenige alles gemacht haben?

Einiges, z.B. Passwörter klauen (für eBay, Online-Banking), er hat (illegale!) Daten auf deinem System abgelegt usw.

Ändere auf jeden Fall nach der Neuinstallation alle Passwörter!
Sollten noch Fragen sein, einfach nochmal hier melden.

Gruß
SUnny

lamastuff.svr großes Fragezeichen, aber verdammt auffällig.

gehört ebenfalls zu sharK, ist ein plugin.

have fun,
Heike

btw: auch sharK fliegt nicht auf den PC, soll mal ne Zeit, oder immer noch, bei p2p sehr verbreitet gewesen sein.

DANKE DANKE nochmal....

aber noch eine Frage:
Gibt es eine Software die anzeigt das jemand auf meinem Rechner ist???

Zitat von Mrrelaxed

Gibt es eine Software die anzeigt das jemand auf meinem Rechner ist???

Ein klares Nein : Jede Software kann manipuliert werden. Aus dem Grund darf man keiner Software zu 100% vertrauen.