Hallo!

Letzte Woche konnte ich nicht mehr auf die Seite meiner Bank, sobald ich das Fenster öffnete, schloss sich dieses nach ca. 2-3 Sekunden und ich war komplett aus dem Internet raus.

Auf Anraten der Bank lud ich mir den Firefox 2. runter, damit konnte ich dann wieder auf meine Bank-Seite. Kurz danach updatete ich den neuen Firefox 3. und danach gingen die Probleme los. Mein Rechner stürzt so 10-15mal am Tag ab, die Bankseite geht gar nicht mehr, mein System will ständig Dateien überprüfen.

Meine Speicherkapazität verringerte sich dramatisch, zuerst hatte ich noch 1,2 Gigabyte frei (hab eine sehr kleine Festplatte mit gerade mal 8GB), das System lief einwandfrei. Nach dem Runterladen des Firefox verblieben gerade mal 800 MB, dies blieb auch so nach dem Deinstallieren. Dann hab ich den CCleaner drüberlaufen lassen, brachte kaum was an MB. Gestern hatte ich dann noch 700 MB, heute nur noch 600 MB.

Ich hab den AntiVir geupdatet und drüberlaufen lassen, den Symantec Online Scanner, den Hijackthis, nichts gefunden. Dann hab ich den Malwarebytes runtergeladen und der hat 2 Trojaner gefunden.

Hier mal die Logfiles:

Malwarebytes' Anti-Malware 1.18
Datenbank Version: 886

20:08:53 24.06.2008
mbam-log-6-24-2008 (20-08-53).txt

Scan Art: Komplett Scan (C:\|D:\|)
Objekte gescannt: 60617
Scan Dauer: 28 minute(s), 45 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\......\Anwendungsdaten\Desktopicon\eBayShortcuts.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\AUTOEXEC.BAT (Trojan.Agent) -> Quarantined and deleted successfully.




WindowsScan

Die 30 neuesten Dateien im Ordner Windows:

***** ***** ***** ***** *****
***** Scanning C:\WINDOWS *****
***** ***** ***** ***** *****

24.06.2008 setupact.log 17 32:60
24.06.2008 setuperr.log 17 32:0
24.06.2008 setupapi.log 17 27:649
24.06.2008 WindowsUpdate.log 16 30:1.077.758
24.06.2008 wiadebug.log 16 26:157
24.06.2008 bootstat.dat 16 25:2.048
24.06.2008 wiaservc.log 16 24:50
23.06.2008 pi2000.ini 22 49:4.588
21.06.2008 system.ini 11 09:227
21.06.2008 win.ini 11 09:748
13.06.2008 nsreg.dat 08 59:0
15.04.2007 tm.ini 23 31:3.196
15.04.2007 tdf.dii 23 25:118
23.08.2006 winamp.ini 12 51:192
10.04.2006 sversion.ini 01 58:0
22.05.2005 WMSysPr9.prx 16 27:316.640
26.03.2005 OpPrintServer.INI 17 23:0
02.06.2004 movexe.exe 22 01:6.688
17.05.2004 user.rdb 10 25:4.096
03.01.2004 ODBC.INI 17 38:403
03.01.2004 vbaddin.ini 17 38:59
08.12.2003 tsc.ptn 23 55:342.678
08.12.2003 VPTNFILE.696 23 55:7.399.966
08.12.2003 LPT$VPN.696 23 55:7.399.966
12.08.2003 TSC.ini 15 14:882
12.08.2003 tsc.exe 14 32:438.436
12.08.2003 HCExtOutput.dll 14 32:71.749


Die 50 neuesten Dateien im Ordner Windows\system32:

***** ***** ***** ***** *****
***** Scanning C:\WINDOWS\system32 *****
***** ***** ***** ***** *****

24.06.2008 wpa.dbl 08 51:2.262
30.03.2008 FNTCACHE.DAT 13 20:167.504
16.04.2007 wups.dll 22 47:33.624
16.04.2007 wuapi.dll.mui 22 47:30.040
16.04.2007 wuaucpl.cpl.mui 22 47:30.040
16.04.2007 wuaueng.dll 22 45:1.710.936
16.04.2007 wuapi.dll 22 45:549.720
16.04.2007 wucltui.dll 22 45:325.976
16.04.2007 wuaucpl.cpl 22 45:216.408
16.04.2007 cdm.dll 22 45:92.504
16.04.2007 wups2.dll 22 45:43.352
16.04.2007 wuaueng.dll.mui 22 45:20.824
16.04.2007 wuauclt.exe 22 45:53.080
16.04.2007 wucltui.dll.mui 22 44:34.136
16.04.2007 wuweb.dll 22 43:203.096
13.06.2006 avsda.dll 13 55:57.384
10.04.2006 LegitCheckControl.DLL 13 00:555.824
01.03.2006 msdtcprx.dll 21 44:368.640
01.03.2006 mtxclu.dll 21 44:64.512
01.03.2006 msdtcuiu.dll 21 44:150.528
01.03.2006 mtxoci.dll 21 44:83.456
01.03.2006 msdtctm.dll 21 44:974.336
01.03.2006 xolehlp.dll 21 44:11.776
13.10.2005 spmsg.dll 01 11:15.584
04.10.2005 nscompat.tlb 21 06:23.392
04.10.2005 amcompat.tlb 21 06:16.832
08.09.2005 MRT.exe 21 36:2.006.368
18.07.2005 mfc71u.dll 08 05:1.047.552
04.05.2005 msisip.dll 14 45:15.360
04.05.2005 msimsg.dll 14 45:884.736
04.05.2005 msihnd.dll 14 45:271.360
04.05.2005 msiexec.exe 14 45:78.848
04.05.2005 msi.dll 14 45:2.890.240
02.05.2005 roboex32.dll 12 04:1.044.480
02.05.2005 inetwh32.dll 12 04:49.152
01.03.2005 unicows.dll 11 27:245.408
31.01.2005 mapisvc.inf 15 00:12
28.01.2005 wmerror.dll 15 23:228.352
28.01.2005 asferror.dll 15 23:9.216
28.01.2005 wmpshell.dll 15 23:86.016
28.01.2005 wmploc.dll 15 23:3.407.872
28.01.2005 Audiodev.dll 15 23:486.400
28.01.2005 MSWMDM.dll 15 23:316.416
28.01.2005 wmvcore.dll 13 32:2.370.296
28.01.2005 wmvdmod.dll 13 32:895.736
28.01.2005 wmsdmod.dll 13 32:774.904
28.01.2005 wmvadvd.dll 13 32:1.218.808


***** ***** ***** ***** *****
***** Scanning C:\WINDOWS\system32\drivers\etc\hosts *****
***** ***** ***** ***** *****

***** ***** ***** ***** *****
***** Scanning Processe *****
***** ***** ***** ***** *****


Abbildname PID Sitzungsname Sitz.-Nr. Speichernutzung
========================= ===== ================ ========== ===============
System Idle Process 0 Console 0 20 K
System 4 Console 0 36 K
SMSS.EXE 420 Console 0 48 K
CSRSS.EXE 484 Console 0 1.948 K
WINLOGON.EXE 508 Console 0 1.004 K
SERVICES.EXE 552 Console 0 1.228 K
LSASS.EXE 564 Console 0 1.236 K
SVCHOST.EXE 724 Console 0 1.520 K
SVCHOST.EXE 776 Console 0 5.632 K
SVCHOST.EXE 860 Console 0 724 K
SVCHOST.EXE 880 Console 0 228 K
SPOOLSV.EXE 1068 Console 0 1.124 K
avgnt.exe 1472 Console 0 1.020 K
alg.exe 1532 Console 0 100 K
sched.exe 1556 Console 0 64 K
SpeedMgr.exe 1572 Console 0 740 K
avguard.exe 1584 Console 0 7.036 K
GoogleUpdaterService.exe 1612 Console 0 84 K
SVCHOST.EXE 1684 Console 0 68 K
GoogleToolbarNotifier.exe 1784 Console 0 1.444 K
wdfmgr.exe 1800 Console 0 52 K
TSMSvc.exe 760 Console 0 700 K
UnlockerAssistant.exe 1704 Console 0 160 K
EXPLORER.EXE 1700 Console 0 8.252 K
iexplore.exe 1808 Console 0 22.900 K
WINWORD.EXE 620 Console 0 28.024 K
AgentSvr.exe 2044 Console 0 320 K
cmd.exe 568 Console 0 1.548 K
tasklist.exe 900 Console 0 3.100 K
wmiprvse.exe 676 Console 0 3.796 K



Microsoft Windows XP [Version 5.1.2600]

Hijackthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:20:41, on 24.06.2008
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\T-DSL SpeedManager\TSMSvc.exe
C:\Programme\Unlocker\UnlockerAssistant.exe
C:\WINDOWS\explorer.exe
C:\Dokumente und Einstellungen\Astrid Linke.ASTRID-EA3271I7\Desktop\Internet Explorer\iexplore.exe
C:\Programme\Microsoft Office\Office\WINWORD.EXE
C:\WINDOWS\msagent\AgentSvr.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.t-online.de/]Nachrichten - Service - Shopping bei t-online.de
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=ftp-proxy.t-online.de:80;http=www-proxy.t-online.de:80;https=www-proxy.t-online.de:80
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar4.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O3 - Toolbar: (no name) - {CC90CDA0-74A0-45b4-80EF-D89CA8C249B8} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar4.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - h**p://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {26CBF141-7D0F-46E1-AA06-718958B6E4D2} - h**p://download.ebay.com/turbo_lister/DE/install.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) -h**p://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - h**p://ppupdates.ca.com/downloads/scanner/axscanner.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - h**p://tools.ebayimg.com/eps/wl/activex/eBay_Enhanced_Picture_Control_v1-0-3-36.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1185444919372
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) -h**p://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - h**p://static.ak.schuelervz.net/photouploader/ImageUploader4.cab
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: T-DSL SpeedManager (TSMService) - T-Systems Business Services - C:\Programme\T-DSL SpeedManager\TSMSvc.exe

--
End of file - 5677 bytes




***** Ende des Scans 24.06.2008 um 20:13:48,63 ***



Kann mir jemand sagen, ob sich da noch etwas verdächtiges bei befindet?? Und was ich gegen den Speicherverlust unternehmen kann?????Was mit den Abstürzen ist?

Viele Grüße, Lisette

Hallo Lisette
Hast du das HJT-Log nach dem Malwarebytes Scan angefertigt oder vorher?
Könntest mal den F-Secure anwenden.
Ansonsten müssten wir uns mal überlegen, wie wir auf deiner Festplatte Platz schaffen können um das SP2+3 aufzuspielen.

Hi Blow-in,
den HJT hab ich nach dem MWB Scan drüberlaufen lassen. Aber ich hatte vorher schon einen Scan gemacht und analysieren lassen, da war alles unbedenklich.

Wie gesagt, ich hatte 1,2 GB frei, jetzt noch 600 MB, wo sind die MBs hin? Wie komme ich da wieder dran?

Ich hab hier noch eine neue 60 oder 80 GB Festplatte (mal raussuchen muss), die mein PC aber nicht akzeptiert, weil sie zu groß ist. Wenn ich wüßte, wie ich die *umstecken* kann, dann würde ich diese nehmen, formatieren, XP neu draufspielen und meine Daten von der alten Platte rüberziehen. Dafür müßte ich aber auch sicher sein, daß die alte clean ist, damit ich mir keine *Seuche* mit rüberhole.

Dann hätte ich auch Platz für die anderen SP's.

LG Lisette

Hallo Lisette
Wenn wir den SP2 draufbekommen, dann erkennt XP auch die größere Festplatte. Du kannst sie ja dann erst mal als 2. einbauen.
Dann wende noch mal den CCleaner entsprechend der Anleitung von @sunny an.

Welche Anleitung meinst du? Ich hab gestern gesucht, aber nichts gefunden, oder falsch gesucht.

Und ich vermute, daß bei mir die Daten nicht richtig gelöscht werden. Gestern habe ich den Inhalt des Ordners Temp in den Papierkorb verschoben, da hatten sich über 700MB Daten angesammelt. Nachdem heute das System problemlos startete, habe ich den Papierkorb gelöscht. Aber die 700 MB freier Speicher werden nicht angezeigt. Ich stehe weiterhin bei ca. 650 MB Restkapazität. Das kann doch nicht sein!

Und ich bekam gestern die Meldung, daß ich meinen Adobe Reader dringend updaten muss, es gäbe ein neues Sicherheitspatch, sehr wichtig. Als ich versuchte, den Adobe zu updaten, bekam ich die Meldung, daß mir in der Version 6.0 - der ursprünglichen - eine Datei fehle und daß ich deshalb nicht updaten könne. Ich wollte dann den Adobe mit sämtlichen Updates deinstallieren und dann die neueste Version runterladen, damit ich nicht so einen Updatesalat auf dem PC hab. Nur mit dem Unlocker konnte ich den Reader deinstallieren und löschen, mit dem CCleaner hab ich dann einige Restbröckchen aus der Registry löschen lassen.

Die freigewordene Speicherkapazität wird auch nicht angezeigt. Da komme ich nicht mehr mit!

Was mache ich denn nun?

LG Lisette

Hallo Lisette
Wenn du hier im Forum auf Anleitungen, FAQs & Links gehst, dann steht ja dort eine Überschrift Anleitung CCleaner. dort gehst du rein und hast die Anleitung.
Das mit dem Papierkorb verstehe ich jetzt zwar nicht aber gehst du dort auch auf Papierkorb leeren?
Aber das macht auch der CCleaner.
Die Registry musst du mehrmals nach Fehlern durchsuchen lassen, bis keine mehr gefunden werden.

Hallo Blow-in,
achso, die Anleitung, ja die hab ich gelesen und so auch den CCleaner durchlaufen lassen, bis keine Fehler mehr gefunden wurden. Den Papierkorb hab ich ganz normal geleert, aber die gelöschten MB werden nicht als freier Speicher angezeigt. Bei der Deinstallation von Firefox, vom Adobe Reader und von 700 MB aus Temp müsste viel zusammen gekommen sein, was einfach nicht angezeigt wird. Frei sind nur so um 650 MB. Was mir ein Rätsel ist.

LG Lisette

Wir können ertmal noch eines versuchen. Suche die Datei Pagefile.sys und schau dir seine Größe an. Das die Auslagerungsdatei von Windows und wird von Windows selbst verwaltet. Ihre Größe richtet sich nach dem vorhandenen freien Speicherplatz auf der Systempartition.
Bei der Suche musst du die Ansichtseistellungen im Explorer ändern, so dass du alles siehst. Also auch Systemdateien.

Also, ich hab mal nachgesehen, ich hab für alle Laufwerke eine Größe von 381 MB eingestellt, für c: selber keine Auslagerungsdatei. Dort wird die Größe des restlichen Speichers mit 1055 MB angegeben. Wo finde ich denn die pagefile.sys? Habe mit Suchen danach gesucht, nichts gefunden. In der Registry mit ausführen - regedit - suchen fand sich eine Datei, unter Arbeitsplatz nicht, als ich probeweise die Größe der Auslagerungsdatei verstellte, wurde ich gefragt, ob ich die vorhandene Datei überschreiben möchte.

Gruß Lisette

Also ich denke mal, wenn du auf Start und Suchen gehst und dort erweiter einstellst, nach Systemdateien und Systemordner durchsuchen müsstest du sie finden. Hier wird dann auch die Größe angezeigt.

Hab auf erweitert geändert, suchen lassen, nichts gefunden. das kann doch nicht sein!