Hallo, ich habe das folgende Problem:
Habe mir wohl gestern etwas eingefangen, plötzlich tauchten Verknüpfungen und nicht schließbare Browserfenster auf dem Desktop auf. Antivir fand auch mehrere Sachen, u.a. irgendwas mit trojan***.*** (leider hab ich das nicht genau aufgeschrieben).
Das schien sich auch entfernen zu lassen, aber die ganze Zeit meldet Antivir einen Fund von Heur/Malware in C:\Dokumente und Einstellungen\...\2974968.exe (wobei die Nr. bei jeder Meldung wechselt). Ich kann diese Dinger dann nur in die Quarantäne stecken, traue mich aber nicht mehr online mit dem Rechner. Ich hab nicht wirklich Ahnung von der Materie, also wäre ich euch sehr dankbar, wenn ihr mal über dieses HJT-Log drüberschaut und mir sagt, ob alles hoffnungslos ist, oder ob noch was zu retten ist. Vielen Dank im Voraus!
Heikman

Logfile of HijackThis v1.99.1
Scan saved at 12:57:58, on 26.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\SafeNet Sentinel\Sentinel Protection Server\WinNT\spnsrvnt.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\D-Tools\daemon.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\avp.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Dokumente und Einstellungen\***\Desktop\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://de.yahoo.com/fsc/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://de.yahoo.com/fsc/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://red.clientapps.yahoo.com/customize/fuji/defaults/su/*h**p://www.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.t-online.de/service/redir/tosw4_start.htm
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAShCut.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\retadpu2000352.exe 61A847B5BBF72810329B385577FB01F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310
O4 - HKLM\..\Run: [ShareSearcher] c:\wsusupd.exe
O4 - HKLM\..\Run: [avp] C:\WINDOWS\avp.exe
O4 - HKLM\..\Run: [WinAntiVirus Pro 2007] C:\Programme\WinAntiVirus Pro 2007\WinAv.exe /min
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Windows update loader] C:\Windows\xpupdate.exe
O4 - HKCU\..\Run: [Bier] "C:\DOKUME~1\***\ANWEND~1\TSKS~1\chkdsk.exe" -vt yazb
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: @c:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @c:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{8C43D2DD-8E01-4CA2-AABE-E87B9D6F3CE7}: NameServer = 192.168.0.1
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ArcGIS License Manager - Unknown owner - C:\PROGRA~1\ESRI\License\arcgis9x\lmgrd.exe (file missing)
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - The Firebird Project - C:\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sentinel Protection Server (SentinelProtectionServer) - SafeNet, Inc - C:\Programme\Gemeinsame Dateien\SafeNet Sentinel\Sentinel Protection Server\WinNT\spnsrvnt.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Hallo und im Trojaner-Board!



Dateien Online überprüfen lassen:

* Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
(lass auch die versteckten Dateien anzeigen!)

C:\WINDOWS\retadpu2000352.exe
c:\wsusupd.exe
C:\Windows\xpupdate.exe
C:\DOKUME~1\***\ANWEND~1\TSKS~1\chkdsk.exe

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
* Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)


Filelist

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp


Gruß
Sunny

Hallo Sunny, vielen Dank für die schnelle Antworte!
D.h. ich kann bedenkenlos online gehen, mit dem Rechner?
(Im Moment sitze ich am Notebook nebendran, weil ich den anderen vom Netzwerk getrennt habe).
gruß

Zitat von heikman

Hallo Sunny, vielen Dank für die schnelle Antworte!
D.h. ich kann bedenkenlos online gehen, mit dem Rechner?
(Im Moment sitze ich am Notebook nebendran, weil ich den anderen vom Netzwerk getrennt habe).
gruß

Also online gehen würde ich mit diesem Gerät normalerweise nicht mehr, da, so wie es undoreal auch schon schrieb, das System sehr stark infiziert bzw. eigentlich nicht mehr zu bereinigen ist.

Reintheoretisch empfehle ich dir eine Neuinstallation des Betriebssystems, da du ja selbst auch auf Sicherheit deines Rechners bedacht bist, und vorsorglich nicht mehr online gehst.

Hallo Leute,
Problem: Wenn ich Software (wie z.B. TheCleaner) installieren will, verschwindet einfach willkürlich das Installations-Menü... ich hab eben nur durch Schnelligkeit geschafft, das Prog zu installieren. Jetzt läuft grad der Cleaner über das System. Hoffe das funzt, undoreal

Mal ne generelle Frage, wie sieht das in so nem Fall mit Datensicherung aus? Kann ich meine MP3s bedenkenlos auf ne externe HD retten??? System neuaufziehen ist zwar ärgerlich, aber nich so schlimm wie Fotos und MP3s zu verlieren?
Und nochmals vielen Dank Leute, bin echt froh, dass ihr so gut Bescheid wisst.
grüße

Hoffe das funzt, undoreal

Ich auch. Aber wenn nicht haben Sunny und ich bestimmt noch was in petto... mein alt. Post ist schon fertig.. ^^ mal sehen..

mp3s und fotos können zwar theoretisch infiziert werden aber das Risiko dafür liegt bei einem Trojaner nicht so hoch. Scanne sie am Besten mit eScan bevor du sie auf einen neuen Rechner packen möchtest..

mfg

Hallo. Dein I-Net Explorer braucht dringend ein Update!

Ich würde dich gerne mal als Testperson benutzen wenn es dich nicht stört. Wenn es nicht klappt habe ich den alternativ Post schon vorbereitet..

Probiere bitte mal die Infizierung durch TheCleaner zu beseitigen.. Poste den Bericht des Reinemachers und ein frisches HJT Log. (Es sei den TheCleaner findet nichts )

PS: Oh Mist, da war jemand schneller... Hi Sunny!

Wir haben es mit Troj/Enclag-A zu tun.. [ c:\wsusupd.exe ]



Gruß

Undoreal