| |
| |||||||
Log-Analyse und Auswertung: Critical System Warning ! 2 avp.exeWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
20.03.2008, 01:21
| #1 |
| |  Critical System Warning ! 2 avp.exe Also ich habe 2 Probleme, kann sein dass sie zusammenhängen 1.: Mein PC ist absolut ausgelastet wegen einer avp.exe, im taskmanager finde ich 2 dieser Prozesse, der eine saugt den ganzen Speicher ,der andre erscheint harmlos.... Was kann ich tun? 2.: Immer wieder öffnet sich ein Fenster Mit Crtical System Warning etc, natürlich fake spyware, weiß aber net wie ich das abwürgen kann Hier der Logfile: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 01:21:27, on 20.03.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Unable to get Internet Explorer version! Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\acs.exe C:\Programme\AD-Aware\aawservice.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe C:\WINDOWS\system32\nvsvc32.exe C:\Programme\CyberLink\Shared Files\RichVideo.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\RTHDCPL.EXE C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe C:\Programme\NetProject\scm.exe C:\Programme\D-Link\AirPlus G\AirGCFG.exe C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe C:\Programme\Java\jre1.6.0_03\bin\jusched.exe C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe D:\Dies und das\Unlocker\UnlockerAssistant.exe C:\Programme\CyberLink\PowerDVD\PDVDServ.exe C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe C:\Programme\Stardock\ObjectDock\ObjectDock.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosAVRC.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\tosOBEX.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\tosBtProc.exe C:\Programme\Mozilla Firefox\firefox.exe D:\Spiele\Metin\Metin2_PoWeR.exe D:\Spiele\Metin\Metin2 PoWeR.exe D:\Chat\Chat\Miranda IM\miranda32.exe C:\Programme\NetProject\scit.exe C:\Hijackthis\HiJackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = ICQ.com Suche R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Chat\ICQToolbar\toolbaru.dll O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: e404 helper - {0D574C9F-71F9-4F3C-BA6D-CF9C0E1E3EE8} - C:\Programme\Helper\1205883169.dll O2 - BHO: (no name) - {6860A44B-5D3E-433D-A7B5-D517F810D0E7} - C:\Programme\NetProject\sbmdl.dll (file missing) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll O2 - BHO: XBTP02634 - {F97DA966-F09D-4cab-BF29-75A0026986EA} - (no file) O3 - Toolbar: (no name) - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - (no file) O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Chat\ICQToolbar\toolbaru.dll O3 - Toolbar: Internet Service - {DB9FBA9D-AB1B-4CC6-9745-F3B549D64E40} - C:\Programme\NetProject\wamdl.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe" O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Programme\D-Link\AirPlus G\AirGCFG.exe O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe" O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\wlangui.exe O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [UnlockerAssistant] "D:\Dies und das\Unlocker\UnlockerAssistant.exe" O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" O4 - HKLM\..\Policies\Explorer\Run: [some] C:\Programme\NetProject\scit.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: Stardock ObjectDock.lnk = C:\Programme\Stardock\ObjectDock\ObjectDock.exe O4 - Global Startup: Bluetooth Manager.lnk = ? O8 - Extra context menu item: &ICQ Toolbar Search - res://D:\Chat\ICQToolbar\toolbaru.dll/SEARCH.HTML O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll O17 - HKLM\System\CCS\Services\Tcpip\..\{CD3A4237-7C97-40D5-8F22-FE868BF486F5}: NameServer = 192.168.1.2 O20 - AppInit_DLLs: cdmovirt.dlle1.dllmmsstat.dll diagisr.dll O20 - Winlogon Notify: mmsmgr - C:\WINDOWS\ O20 - Winlogon Notify: nethesen - C:\WINDOWS\ O20 - Winlogon Notify: odfwbc21 - C:\WINDOWS\System32\odfwbc21.dll (file missing) O20 - Winlogon Notify: odfwbc22 - C:\WINDOWS\System32\odfwbc22.dll (file missing) O20 - Winlogon Notify: udfmgr - C:\WINDOWS\ O22 - SharedTaskScheduler: hyperproduction - {9d19a1a9-3cdf-4f15-a5ca-ea3905febded} - C:\WINDOWS\system32\wcscqa.dll O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\AD-Aware\aawservice.exe O23 - Service: LevelOne Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe O23 - Service: AVM WLAN Connection Service - Unknown owner - C:\Programme\avmwlanstick\WlanNetService.exe (file missing) O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe -- End of file - 7586 bytes Ich hoffe wirklich, dass ihr mir bei den Problemen helfen könnt. Dankeschön schonmal im Vorraus greetz Simon |
|
20.03.2008, 07:25
| #2 |
  | Critical System Warning ! 2 avp.exe Hi,
__________________netproject... und ein Wurm: Worm.Warezov.Gen, Spyware Remove Folge den Anweisungen auf folgender Page: SmitFraudFix Und Poste die C:\rapport.txt sowie ein neues HJ-Log; Führe danach noch ein ComboFix durch: Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop. Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter. Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird. Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen. chris
__________________ |
|
20.03.2008, 13:32
| #3 |
| | Critical System Warning ! 2 avp.exe So, hier die Rapport.txt:
__________________SmitFraudFix v2.305 Scan done at 13:27:35,46, 20.03.2008 Run from C:\Programme\SmitFraudFIx\SmitfraudFix OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT The filesystem type is NTFS Fix run in safe mode »»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] "{9d19a1a9-3cdf-4f15-a5ca-ea3905febded}"="hyperproduction" [HKEY_CLASSES_ROOT\CLSID\{9d19a1a9-3cdf-4f15-a5ca-ea3905febded}\InProcServer32] @="C:\WINDOWS\system32\wcscqa.dll" [HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{9d19a1a9-3cdf-4f15-a5ca-ea3905febded}\InProcServer32] @="C:\WINDOWS\system32\wcscqa.dll" »»»»»»»»»»»»»»»»»»»»»»»» Killing process »»»»»»»»»»»»»»»»»»»»»»»» hosts 127.0.0.1 localhost »»»»»»»»»»»»»»»»»»»»»»»» VACFix VACFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix S!Ri's WS2Fix: LSP not Found. »»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix GenericRenosFix by S!Ri C:\WINDOWS\system32\wcscqa.dll -> Hoax.Win32.Renos.gen.o C:\WINDOWS\system32\wcscqa.dll -> Deleted »»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files C:\DOKUME~1\ALLUSE~1\STARTM~1\Online Security Guide.url Deleted C:\DOKUME~1\ALLUSE~1\STARTM~1\Security Troubleshooting.url Deleted C:\DOKUME~1\Simon\FAVORI~1\Online Security Test.url Deleted C:\Programme\Helper\ Deleted C:\Programme\NetProject\ Deleted »»»»»»»»»»»»»»»»»»»»»»»» IEDFix IEDFix Credits: Malware Analysis & Diagnostic Code: S!Ri »»»»»»»»»»»»»»»»»»»»»»»» DNS HKLM\SYSTEM\CCS\Services\Tcpip\..\{17295A77-8938-4782-95C6-9611401471C3}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CCS\Services\Tcpip\..\{C92D8B4B-34E5-4CB1-AA82-EF4F0CC0C8B6}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CCS\Services\Tcpip\..\{CD3A4237-7C97-40D5-8F22-FE868BF486F5}: NameServer=192.168.1.2 HKLM\SYSTEM\CCS\Services\Tcpip\..\{D8BD508D-1FE4-4065-98BA-723FFC43803C}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CS1\Services\Tcpip\..\{17295A77-8938-4782-95C6-9611401471C3}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CS1\Services\Tcpip\..\{C92D8B4B-34E5-4CB1-AA82-EF4F0CC0C8B6}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CS1\Services\Tcpip\..\{CD3A4237-7C97-40D5-8F22-FE868BF486F5}: NameServer=192.168.1.2 HKLM\SYSTEM\CS1\Services\Tcpip\..\{D8BD508D-1FE4-4065-98BA-723FFC43803C}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CS2\Services\Tcpip\..\{17295A77-8938-4782-95C6-9611401471C3}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CS2\Services\Tcpip\..\{C92D8B4B-34E5-4CB1-AA82-EF4F0CC0C8B6}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CS2\Services\Tcpip\..\{CD3A4237-7C97-40D5-8F22-FE868BF486F5}: NameServer=192.168.1.2 HKLM\SYSTEM\CS2\Services\Tcpip\..\{D8BD508D-1FE4-4065-98BA-723FFC43803C}: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1 HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1 »»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files »»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System !!!Attention, following keys are not inevitably infected!!! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "System"="" »»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning Registry Cleaning done. »»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix !!!Attention, following keys are not inevitably infected!!! SrchSTS.exe by S!Ri Search SharedTaskScheduler's .dll »»»»»»»»»»»»»»»»»»»»»»»» End Und der neue HijackThis log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 13:35:03, on 20.03.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Unable to get Internet Explorer version! Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\acs.exe C:\Programme\AD-Aware\aawservice.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe C:\WINDOWS\system32\nvsvc32.exe C:\Programme\CyberLink\Shared Files\RichVideo.exe C:\WINDOWS\Explorer.EXE C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe C:\WINDOWS\RTHDCPL.EXE C:\Programme\D-Link\AirPlus G\AirGCFG.exe C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe C:\Programme\Java\jre1.6.0_03\bin\jusched.exe C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe D:\Dies und das\Unlocker\UnlockerAssistant.exe C:\Programme\CyberLink\PowerDVD\PDVDServ.exe C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe C:\Programme\Stardock\ObjectDock\ObjectDock.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosAVRC.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\tosOBEX.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\tosBtProc.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Hijackthis\HiJackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Chat\ICQToolbar\toolbaru.dll O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll O2 - BHO: XBTP02634 - {F97DA966-F09D-4cab-BF29-75A0026986EA} - (no file) O3 - Toolbar: (no name) - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - (no file) O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Chat\ICQToolbar\toolbaru.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Programme\D-Link\AirPlus G\AirGCFG.exe O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe" O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\wlangui.exe O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [UnlockerAssistant] "D:\Dies und das\Unlocker\UnlockerAssistant.exe" O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe" O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: Stardock ObjectDock.lnk = C:\Programme\Stardock\ObjectDock\ObjectDock.exe O4 - Global Startup: Bluetooth Manager.lnk = ? O8 - Extra context menu item: &ICQ Toolbar Search - res://D:\Chat\ICQToolbar\toolbaru.dll/SEARCH.HTML O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} - O17 - HKLM\System\CCS\Services\Tcpip\..\{CD3A4237-7C97-40D5-8F22-FE868BF486F5}: NameServer = 192.168.1.2 O20 - AppInit_DLLs: cdmovirt.dlle1.dllmmsstat.dll diagisr.dll O20 - Winlogon Notify: mmsmgr - C:\WINDOWS\ O20 - Winlogon Notify: nethesen - C:\WINDOWS\ O20 - Winlogon Notify: odfwbc21 - C:\WINDOWS\System32\odfwbc21.dll (file missing) O20 - Winlogon Notify: odfwbc22 - C:\WINDOWS\System32\odfwbc22.dll (file missing) O20 - Winlogon Notify: udfmgr - C:\WINDOWS\ O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\AD-Aware\aawservice.exe O23 - Service: LevelOne Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe O23 - Service: AVM WLAN Connection Service - Unknown owner - C:\Programme\avmwlanstick\WlanNetService.exe (file missing) O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe -- End of file - 6721 bytes werde mir jetzt combofix ziehen und scannen danke für die hilfe so weit schonmal Edit: Hier der Log: ComboFix 08-03-18.1 - Simon 2008-03-20 13:41:51.1 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.1602 [GMT 1:00] ausgeführt von:: C:\Dokumente und Einstellungen\Simon\Desktop\ComboFix.exe * Neuer Wiederherstellungspunkt wurde erstellt WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !! . (((((((((((((((((((((((((((((((((((( Weitere Löschungen )))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\system32\mhl.exe C:\WINDOWS\system32\mklvcv.gfx C:\WINDOWS\system32\skp32.exe . ((((((((((((((((((((((( Dateien erstellt von 2008-02-20 bis 2008-03-20 )))))))))))))))))))))))))))))) . 2008-03-20 13:37 . 2008-03-20 13:37 <DIR> d-------- C:\Programme\Combofix 2008-03-20 13:19 . 2008-03-20 13:26 <DIR> d-------- C:\Programme\SmitFraudFIx 2008-03-20 02:19 . 2008-03-20 02:19 <DIR> d-------- C:\Programme\Yahoo! 2008-03-20 02:18 . 2008-03-20 02:19 <DIR> d-------- C:\Programme\CCLeaner 2008-03-20 00:38 . 2008-03-20 00:39 <DIR> d-------- C:\Hijackthis 2008-03-19 02:47 . 2008-03-19 02:47 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lavasoft 2008-03-19 02:45 . 2008-03-19 02:47 <DIR> d-------- C:\Programme\AD-Aware 2008-03-13 14:21 . 2008-03-13 14:21 <DIR> d-------- C:\Dokumente und Einstellungen\Simon\Anwendungsdaten\CyberLink 2008-03-13 14:21 . 2008-03-13 14:21 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CyberLink 2008-03-13 14:19 . 2008-03-13 14:19 <DIR> d-------- C:\Programme\CyberLink 2008-03-13 13:46 . 2008-03-13 14:18 <DIR> d-------- C:\Programme\PowerDvd 2008-02-23 13:04 . 2008-02-25 15:13 <DIR> d-------- C:\Dokumente und Einstellungen\Simon\Anwendungsdaten\skypePM 2008-02-23 13:04 . 2008-02-23 13:04 32 --a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat 2008-02-23 13:00 . 2008-02-25 15:14 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype 2008-02-23 12:47 . 2008-02-24 14:06 <DIR> d-------- C:\Dokumente und Einstellungen\Simon\Anwendungsdaten\teamspeak2 2008-02-23 12:47 . 2008-02-23 12:47 34,064 --a------ C:\WINDOWS\system32\lhacm.acm . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-03-20 12:50 12,906,016 --sha-w C:\WINDOWS\system32\drivers\fidbox.dat 2008-03-20 12:49 750,880 --sha-w C:\WINDOWS\system32\drivers\fidbox2.dat 2008-03-20 12:30 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab 2008-03-20 12:27 3,204 ----a-w C:\WINDOWS\system32\tmp.reg 2008-03-20 01:32 72,128 --sha-w C:\WINDOWS\system32\drivers\fidbox2.idx 2008-03-20 01:32 175,832 --sha-w C:\WINDOWS\system32\drivers\fidbox.idx 2008-03-19 01:47 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard 2008-03-18 23:37 --------- d---a-w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP 2008-03-15 16:16 82,432 ----a-w C:\WINDOWS\system32\IEDFix.exe 2008-03-14 08:09 86,528 ----a-w C:\WINDOWS\system32\VACFix.exe 2008-03-13 13:20 --------- d--h--w C:\Programme\InstallShield Installation Information 2008-03-03 19:48 --------- d-----w C:\Programme\Java 2008-02-26 18:46 --------- d-----w C:\Dokumente und Einstellungen\Simon\Anwendungsdaten\uTorrent 2008-02-14 13:15 --------- d-----w C:\Programme\Bluetooth 2008-02-13 14:49 --------- d-----w C:\Dokumente und Einstellungen\Simon\Anwendungsdaten\mIRC 2008-01-31 17:05 91,700 ----a-w C:\WINDOWS\system32\drivers\klin.dat 2008-01-24 13:21 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe 2008-01-11 20:24 43,520 ----a-w C:\WINDOWS\system32\CmdLineExt03.dll . ------- Sigcheck ------- 2004-11-11 13:00 359040 09eb23a4567bdd56d9580a059e616e23 C:\WINDOWS\system32\drivers\tcpip.sys . (((((((((((((((((((((((((((( Autostart Punkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt. [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" [2005-11-24 14:38 94208] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-10-22 12:22 7700480] "nwiz"="nwiz.exe" [2006-10-22 12:22 1622016 C:\WINDOWS\system32\nwiz.exe] "SkyTel"="SkyTel.EXE" [2006-05-16 11:04 2879488 C:\WINDOWS\SkyTel.exe] "RTHDCPL"="RTHDCPL.EXE" [2006-06-28 07:54 16248320 C:\WINDOWS\RTHDCPL.exe] "Alcmtr"="ALCMTR.EXE" [2005-05-03 11:43 69632 C:\WINDOWS\Alcmtr.exe] "D-Link AirPlus G"="C:\Programme\D-Link\AirPlus G\AirGCFG.exe" [2005-07-22 09:42 1519616] "ANIWZCS2Service"="C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe" [2004-12-16 16:49 49152] "SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11 132496] "NWEReboot"="" [] "NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 09:50 155648] "AVMWlanClient"="C:\Programme\avmwlanstick\wlangui.exe" [ ] "Adobe Photo Downloader"="C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 11:45 63712] "Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-10-10 19:51 39792] "UnlockerAssistant"="D:\Dies und das\Unlocker\UnlockerAssistant.exe" [2006-09-07 18:19 15872] "RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2007-01-08 22:26 68640] "LanguageShortcut"="C:\Programme\CyberLink\PowerDVD\Language\Language.exe" [2007-01-08 22:17 52256] "AVP"="C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe" [2007-06-20 12:04 218376] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-11-11 13:00 15360] C:\Dokumente und Einstellungen\Simon\Startmen\Programme\Autostart\ Stardock ObjectDock.lnk - C:\Programme\Stardock\ObjectDock\ObjectDock.exe [2007-07-08 16:29:36 3450608] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system] "disableregistrytools"= 0 (0x0) [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\mmsmgr] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nethesen] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\odfwbc21] C:\WINDOWS\System32\odfwbc21.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\odfwbc22] C:\WINDOWS\System32\odfwbc22.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\udfmgr] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"= cdmovirt.dlle1.dllmmsstat.dll diagisr.dll [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-] "MSMSGS"="C:\Programme\Messenger\msmsgs.exe" /background [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-] "ANIWZCS2Service"=C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe "MimBoot"=C:\PROGRA~1\MUSICM~1\MUSICM~1\mimboot.exe "Gainward"=C:\WINDOWS\TBPanel.exe /A "NvMediaCenter"=RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit "UnlockerAssistant"="D:\Dies und das\Unlocker\UnlockerAssistant.exe" -H [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "FirewallDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus] "DisableMonitoring"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) "DisableNotifications"= 1 (0x1) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "C:\\Chat\\Miranda IM\\miranda32.exe"= "C:\\Programme\\SmartFTP Client\\SmartFTP.exe"= "C:\\Programme\\uTorrent\\utorrent.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings] "AllowRedirect"= 0 (0x0) R2 TOSHIBA Bluetooth Service;TOSHIBA Bluetooth Service;C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe [2007-02-25 21:55] R2 UxTuneUp;TuneUp Designerweiterung;C:\WINDOWS\System32\svchost.exe [2004-11-11 13:00] R3 klim5;Kaspersky Anti-Virus NDIS Filter;C:\WINDOWS\system32\DRIVERS\klim5.sys [2007-04-04 13:58] S3 AR5523;LevelOne WNC-0302USB 108Mbps Wireless USB Adapter Service;C:\WINDOWS\system32\DRIVERS\ar5523.sys [2005-02-24 21:38] S3 ATHFMWDL;LevelOne WNC-0302USB 108Mbps Wireless USB Adapter driver;C:\WINDOWS\system32\Drivers\ATHFMWDL.sys [2005-02-24 21:42] S3 FWLANUSB;AVM FRITZ!WLAN;C:\WINDOWS\system32\DRIVERS\fwlanusb.sys [2006-04-06 00:00] S3 mdxgthkn;mdxgthkn;C:\DOKUME~1\Simon\LOKALE~1\Temp\mdxgthkn.sys [] HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs UxTuneUp [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{fca6e141-7104-11dc-bfd8-00195b8062ce}] \Shell\AutoRun\command - H:\pushinst.exe . Inhalt des "geplante Tasks" Ordners "2007-08-17 15:15:00 C:\WINDOWS\Tasks\1-Klick-Wartung.job" - C:\Programme\TuneUp Utilities 2007\SystemOptimizer.exe . ************************************************************************** catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-03-20 13:50:09 Windows 5.1.2600 Service Pack 2 NTFS Scanne versteckte Prozesse... Scanne versteckte Autostart Einträge... Scanne versteckte Dateien... Scan erfolgreich abgeschlossen versteckte Dateien: 0 ************************************************************************** . Zeit der Fertigstellung: 2008-03-20 13:51:18 ComboFix-quarantined-files.txt 2008-03-20 12:51:14 Geändert von _-Simon-_ (20.03.2008 um 13:51 Uhr) |
|
20.03.2008, 14:53
| #4 | ||
| | Critical System Warning ! 2 avp.exe Hi, noch einiges in den einzelnen Logs zu finden: Bitte folgende Files prüfen: Zitat:
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen (oder gleich die Datei mit korrektem Pfad einkopieren) --> Doppelklick auf die zu prüfende Datei --> klick auf "Send"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> kopieren - einfügen Poste die Ergebnisse mit Filename... Alle Sicherheitseinstellungen sind Disabled: [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "FirewallDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 etc. Also: Avenger The Avenger Input script manually (anhaken) kopiere in: View/edit script Zitat:
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten Scanne mit Dr. Web: Anleitung: DrWeb.Cureit Aber bitte den Download von hier nutzen Dr.Web CureIt! findet und beseitigt chris Chris
__________________  Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden  ) |
|
20.03.2008, 20:36
| #5 |
| | Critical System Warning ! 2 avp.exe Hier erst mal Avenger : Logfile of The Avenger Version 2.0, (c) by Swandog46 Swandog46's Public Anti-Malware Tools Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! Error: file "C:\WINDOWS\System32\odfwbc21.dll" not found! Deletion of file "C:\WINDOWS\System32\odfwbc21.dll" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: file "C:\WINDOWS\System32\odfwbc22.dll" not found! Deletion of file "C:\WINDOWS\System32\odfwbc22.dll" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Registry value "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs" replaced with dummy successfully. Registry key "HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nethesen" deleted successfully. Registry key "HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\odfwbc21" deleted successfully. Registry key "HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\odfwbc22" deleted successfully. Registry key "HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\udfmgr" deleted successfully. Completed script processing. ******************* Finished! Terminate. Die odfwb21 bzw odfwb22.dll existiernen nicht mehr dafür gibt es odfwbc22.u00 und odfwbc21.u00 Seltsamerweise finde ich die bei VirusChief zu prüfenden Dateien nicht, weder manuell noch mit der Suchfunktion. Ein Scan mit Prevx CSI ergab: C:\WINDOWS\system32\swreg.exe InMem: 0 Det [BP] MD5: 01D95A1F8CF13D07CC564AABB36BCC0B PX5: F583C28B008EFEE4785C023A5217460062E7F95F Malware Group: Generic.Malware das war die einzigste infektion Ziehe mir grade Dr, Web ergebnisse kommen rein Edit: Dr,Web findet nix |
|
| Themen zu Critical System Warning ! 2 avp.exe |
| ad-aware, adobe, appinit_dlls, ausgelastet, avp.exe, bho, ctfmon.exe, downloader, excel, explorer, firefox, helfen, hijack, hijackthis, hkus\s-1-5-18, immer wieder, internet, internet explorer, kaspersky, locker, logfile, metin2, mozilla, mozilla firefox, photoshop, prozesse, rundll, software, spyware, stick, system, system warning, taskmanager, urlsearchhook, windows, windows xp |
Linear-Darstellung
