Logfile of HijackThis v1.99.1
Scan saved at 14:36:16, on 01.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\avmwlanstick\WlanNetService.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Lexmark X5100 Series\lxbabmgr.exe
C:\Programme\Lexmark X5100 Series\lxbabmon.exe
C:\Programme\avmwlanstick\FRITZWLANMini.exe
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\FreePDF_XP\fpassist.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Wisterer HX\WistererHX.exe
C:\Programme\phonostar\ps_timer.exe
C:\WINDOWS\system32\ScrUpd.exe
C:\Programme\FRITZ!DSL\FwebProt.exe
C:\Programme\FRITZ!DSL\StCenter.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
D:\Others\INTERNET\Spy-Abwehr\HijackThis.exe
C:\Programme\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box;192.168.178.1
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Norton Internet Security 2006 - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton Internet Security 2006 - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Lexmark X5100 Series] "C:\Programme\Lexmark X5100 Series\lxbabmgr.exe"
O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\FRITZWLANMini.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [DXM6Patch_981116] C:\WINDOWS\p_981116.exe /Q:A
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [YeppStudioAgent] C:\Programme\Samsung\SamsungMediaStudio4.1\SamsungMediaStudioAgent.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WistererHX] "C:\Programme\Wisterer HX\WistererHX.exe" /minimize
O4 - HKCU\..\Run: [PhonostarTimer] C:\Programme\phonostar\ps_timer.exe
O4 - HKCU\..\Run: [ScrUpd.exe] C:\WINDOWS\system32\ScrUpd.exe
O4 - Startup: FRITZ!DSL Protect.lnk = C:\Programme\FRITZ!DSL\FwebProt.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {88D969C0-F192-11D4-A65F-0040963251E5} (XML DOM Document 4.0) - http://cm4all08.kundenserver.de/app/static/activex/msxml4.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8815884-8CFF-4EF3-AE80-67AD7703D5E3}: NameServer = 192.168.178.1,195.20.224.234
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Internet Security Password Validation (ccISPwdSvc) - Symantec Corporation - C:\Programme\Norton Internet Security\ccPwdSvc.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Norton Internet Security\comHost.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PifEng.dll (file missing)
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

Tschuldigung, dass ich nur die Logfile postete und erst mal nichts dazu schrieb.

Diese Scrupd.exe wird vielerorts als Anzeichen für W32.Opaserv angesehen.

Die restlichen Anzeichen hatte ich aber nicht. Und das Tool zum Entfernen hat auch nix gefunden.

Vielleicht kann jemand mal über die Logfile schauen? Vielen Dank im voraus... :-)

Lasse die Datei mal auf VirusTotal - Free Online Virus and Malware Scan auswerten und poste das Ergebnis!
Mache anschliessend einen eScan!
Mfg

Danke schon mal.....


virustotal sagt 15 %

escan hat folgende Sachen als infected gefunden:
File C:\DOKUME~1\Holger\LOKALE~1\Temp\a2e\AV2E.exe infected by "NULL.Corrupted" Virus! Action Taken: No Action Taken.

File C:\DOKUME~1\Holger\LOKALE~1\Temp\a2e\AudioVideoExe.exe infected by "NULL.Corrupted" Virus! Action Taken: No Action Taken.

System found infected with medload Browser Hijacker (C:\WINDOWS\system32\objsafe.tlb)! Action taken: No Action Taken.

Mon Oct 01 18:46:44 2007 => Offending file found: C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\microsoft\office\zuletzt verwendet\internet.lnk
Mon Oct 01 18:46:44 2007 => System found infected with ezula Spyware/Adware (internet.lnk)! Action taken: No Action Taken.

Mon Oct 01 18:46:41 2007 => Offending file found: C:\WINDOWS\system32\objsafe.tlb
Mon Oct 01 18:46:41 2007 => System found infected with roings Spyware/Adware (objsafe.tlb)! Action taken: No Action Taken.

Mon Oct 01 18:46:36 2007 => System found infected with maxsearch Adware ({c4069e3a-68f1-403e-b40e-20066696354b})! Action taken: No Action Taken.
Mon Oct 01 18:46:37 2007 => System found infected with maxsearch Adware ({c4069e3a-68f1-403e-b40e-20066696354b})! Action taken: No Action Taken.
Mon Oct 01 18:46:37 2007 => System found infected with maxsearch Adware ({c4069e3a-68f1-403e-b40e-20066696354b})! Action taken: No Action Taken.



Kann ich die Dateien einfach löschen? (wie hier beschrieben: http://www.trojaner-board.de/24192-e...en-ab-7-x.html

Und was löche ich bei dem maxsearch?

Könnte mir jemand bitte eine Einschätzung geben, ob es erforderlich ist, mein System neu aufzusetzen oder ob es eher harmlose Infektionen sind? *hoff*

Moin

Kann ich die Dateien einfach löschen?

Besser nicht, wir wollen erst wissen um was es sich handelt

virustotal sagt 15 %

hm mit dem Ergebnis kann wirklich keiner was anfangen, lass die Datei nochmal durchlaufen und poste das gesamte Ergebnis mit der Angabe der Größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben.
Neu aufsetzen kannst dann immernoch

MFG

So, da ich auf der Arbeit war, kann ich erst jetzt posten. Hier sind die Daten:

Datei ScrUpd.exe empfangen 2007.10.02 18:20:49 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 5/32 (15.63%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.10.3.0 2007.10.02 -
AntiVir 7.6.0.18 2007.10.02 -
Authentium 4.93.8 2007.10.02 -
Avast 4.7.1043.0 2007.10.02 -
AVG 7.5.0.488 2007.10.02 -
BitDefender 7.2 2007.10.02 -
CAT-QuickHeal 9.00 2007.10.02 (Suspicious) - DNAScan
ClamAV 0.91.2 2007.10.02 -
DrWeb 4.44.0.09170 2007.10.02 -
eSafe 7.0.15.0 2007.10.01 suspicious Trojan/Worm
eTrust-Vet 31.2.5179 2007.10.02 -
Ewido 4.0 2007.10.02 -
FileAdvisor 1 2007.10.02 -
Fortinet 3.11.0.0 2007.10.02 -
F-Prot 4.3.2.48 2007.10.01 -
F-Secure 6.70.13030.0 2007.10.02 -
Ikarus T3.1.1.12 2007.10.02 -
Kaspersky 7.0.0.125 2007.10.02 -
McAfee 5132 2007.10.02 -
Microsoft 1.2803 2007.10.02 -
NOD32v2 2566 2007.10.02 -
Norman 5.80.02 2007.10.02 -
Panda 9.0.0.4 2007.10.02 -
Prevx1 V2 2007.10.02 Heuristic: Suspicious File With Code Injection Technology
Rising 19.43.10.00 2007.10.02 -
Sophos 4.22.0 2007.10.02 -
Sunbelt 2.2.907.0 2007.10.02 VIPRE.Suspicious
Symantec 10 2007.10.02 -
TheHacker 6.2.6.075 2007.10.01 -
VBA32 3.12.2.4 2007.10.02 -
VirusBuster 4.3.26:9 2007.10.01 -
Webwasher-Gateway 6.0.1 2007.10.02 Win32.Malware.gen!80 (suspicious)
weitere Informationen
File size: 158208 bytes
MD5: 7e9bb97d9dddd55647c12c1b156d5ec1
SHA1: ac837fc7c2100bff5f277a56695c3ed528042338
packers: UPX
packers: UPX
packers: UPX
Prevx info: Prevx
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.

So, ein Zwischenergbnis meiner Bemühungen:

Diese Infektionen habe ich einfach mal mit Killbox gelöscht:
File C:\DOKUME~1\Holger\LOKALE~1\Temp\a2e\AV2E.exe infected by "NULL.Corrupted" Virus! Action Taken: No Action Taken.
File C:\DOKUME~1\Holger\LOKALE~1\Temp\a2e\AudioVideoExe .exe infected by "NULL.Corrupted" Virus! Action Taken: No Action Taken.
System found infected with medload Browser Hijacker (C:\WINDOWS\system32\objsafe.tlb)! Action taken: No Action Taken.
System found infected with medload Browser Hijacker (C:\WINDOWS\system32\objsafe.tlb)! Action taken: No Action Taken.
Mon Oct 01 18:46:44 2007 => Offending file found: C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\microsoft\off ice\zuletzt verwendet\internet.lnk
Mon Oct 01 18:46:44 2007 => System found infected with ezula Spyware/Adware (internet.lnk)! Action taken: No Action Taken.
Mon Oct 01 18:46:41 2007 => Offending file found: C:\WINDOWS\system32\objsafe.tlb
Mon Oct 01 18:46:41 2007 => System found infected with roings Spyware/Adware (objsafe.tlb)! Action taken: No Action Taken.


Die vom HijackThis bemängelte Datei scrupd.exe soll ja ein Zeichen für den Worm32.Opaserv sein. Ich hatte zwei Tools laufen lassen, die speziell den Opaserv beseitigen sollen (Symantec und Resolve). Die haben aber beide nichts gefunden. Da habe ich sie erst mal mit msconfig aus dem Systemstart genommen. Da noch alles funktionierte, habe ich den Eintrag mit CCleaner rausgeworfen. Bis jetzt ist die Datei nicht wieder aufgetaucht, obwohl sie laut Beschreibungen vom Opaserv nachgeladen werden soll.

Fehlt nur noch der maxsearch. Da bin ich noch am Suchen, wie ich den loswerde.

Übrigens habe ich mir von einem EDV-Spezialisten einen Prozess-Explorer besorgt, mit dem ich die laufenden Prozesse beobachten kann.

Bin ich zu blauäugig oder ist es tatsächlich nicht so schlimm, wie ich dachte? Ich mache erst mal noch einen Escan....

Ich weiss, man soll nicht mehrfach hintereinander posten. Ich bitte vielmals um Verzeihung.

Hier nun die neuen Ergebnisse des Escan und hijackthis:

Logfile of HijackThis v1.99.1

[edit]
bitte editiere zukünftig deine links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

danke
GUA
[/edit]

Dein Hijackthis-Log sieht sauber aus...
Mache noch folgendes und dann ist das wohl gegessen:
-Lösche den Inhalt des Ordners C:\!Killbox\*
-Leere die Quarantäne von Ashampoo AntiSpyWare
-Bereinige dein Sys mit CCleaner

Mfg

bitte editiere zukünftig deine links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

danke

Tschuldigung, ich hatte meinen Namen wegedititert; hab wohl was übersehen....

Dein Hijackthis-Log sieht sauber aus...
Mache noch folgendes und dann ist das wohl gegessen:
-Lösche den Inhalt des Ordners C:\!Killbox\*
-Leere die Quarantäne von Ashampoo AntiSpyWare
-Bereinige dein Sys mit CCleaner

Mfg

Danke, ist jetzt erledigt...