FASTLOOK.NET - Spionage von Bankdaten?

froecken · 02.08.2004, 18:29

Nachdem ich lange vergeblich versucht habe, die automatisch startende Website im IE (6.0.2800) zu löschen (NAV und ADAWARE reagierten nicht!), ist es mir schließlich mithilfe von HijackThis 1.89 gelungen.
Nun ergibt mein LOG Folgendes:

Logfile of HijackThis v1.98.0
Scan saved at 19:25:04, on 02.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
L:\PROGRAMM\NORTON~1\GHOSTS~2.EXE
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\HHVcdV5Sys\VC5SecS.exe
C:\WINDOWS\Dit.exe
C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\HHVcdV5Sys\VC5Play.exe
L:\Programme\Norton Ghost\GhostStartTrayApp.exe
C:\Programme\QuickTime\qttask.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe
C:\WINDOWS\winlogon.exe
C:\WINDOWS\DitExp.exe
C:\WINDOWS\System32\wuagrd.exe
C:\WINDOWS\System32\ntsys32.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\ntsys32.exe
C:\WINDOWS\System32\tbhxpxi.exe
C:\Programme\T-Eumex\ISDN Guard\agfguard.exe
L:\Programme\Virtual CD\System\VC5Tray.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Messenger\msmsgs.exe
N:\UTILITIES\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastlook.net/
F0 - system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe
O4 - HKLM\..\Run: [GhostStartTrayApp] L:\Programme\Norton Ghost\GhostStartTrayApp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [iexplore.exe] C:\WINDOWS\winlogon.exe
O4 - HKLM\..\Run: [Microsoft Update] wuagrd.exe
O4 - HKLM\..\Run: [Configuration] ntsys32.exe
O4 - HKLM\..\Run: [Audiograbber] l:\programme\audiograbber\audiograbber.exe
O4 - HKLM\..\RunServices: [Configuration] ntsys32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Microsoft Update] wuagrd.exe
O4 - HKCU\..\Run: [Configuration] ntsys32.exe
O4 - HKCU\..\Run: [Rlos] C:\Dokumente und Einstellungen\MichaelJansen\Anwendungsdaten\soht.exe
O4 - HKCU\..\Run: [Mfixrsb] C:\WINDOWS\System32\tbhxpxi.exe
O4 - HKCU\..\RunServices: [Microsoft Update] wuagrd.exe
O4 - Startup: BHODemon.lnk = C:\Programme\BHODemon\BHODemon.exe
O4 - Startup: Radiator.lnk = L:\Programme\Radiator\radiator.exe
O4 - Startup: Registration-InstantCopy.lnk = C:\Programme\Pinnacle\Shared Files\InstantCDDVD\Pixie\RegTool.exe
O4 - Global Startup: ISDN Guard.lnk = C:\Programme\T-Eumex\ISDN Guard\agfguard.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra button: MedionShop - {84FAA847-1400-4400-BC93-D338EF03127B} - http://www.medionshop.de/ (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.microsoft.com
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6E389B76-1702-43B0-8FFF-07046F351EFA}: NameServer = 217.237.150.225 194.25.2.129

Wie zu sehen ist: Fastlook ist wieder da!!!
Was muss ich tun, um endlich frei davon zu werden?
Besteht die Gefahr, dass Bankdaten ausspioniert werden???
In einem Hinweis heißt es, man solle sich VON DER SEITE SELBST ein UNISTALL herunterladen - kann ich dem trauen????

Um Hilfe bittet der sehr verunsicherte PC-Naivling
Froecken

02.08.2004, 18:59

C:\WINDOWS\System32\ntsys32.exe
C:\WINDOWS\winlogon.exe
C:\WINDOWS\System32\wuagrd.exe
C:\WINDOWS\System32\tbhxpxi.exe

Diese Dateien schick mal an: partytime-germany.ice@web.de
Es handelt sich definitiv um Malware.

froecken · 02.08.2004, 19:24

Soll ich diese Dateien von meinem PC löschen?
Wer ist Partytime-Germany?

Zitat:

Zitat von *Christian*

C:\WINDOWS\System32\ntsys32.exe
C:\WINDOWS\winlogon.exe
C:\WINDOWS\System32\wuagrd.exe
C:\WINDOWS\System32\tbhxpxi.exe

Diese Dateien schick mal an: partytime-germany.ice@web.de
Es handelt sich definitiv um Malware.

02.08.2004, 19:59

Das ist meine Adresse.

Du hast 2 aktive Sdbot-Backdoors auf deinen System + 1 Trojaner Scapur.
Durch einen aktiven Backdoor könnte dein PC so geschädigt sein, dass er bereits in fremder Hand ist. Das sichererste wäre eine Neuinstallation.

Solltest du keine Neuinstallation heranziehen, dann fixe dies im abgesicherten Modus:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastlook.net/
O4 - HKLM\..\Run: [Microsoft Update] wuagrd.exe
O4 - HKLM\..\Run: [Configuration] ntsys32.exe
O4 - HKLM\..\RunServices: [Configuration] ntsys32.exe
O4 - HKCU\..\Run: [Microsoft Update] wuagrd.exe
O4 - HKCU\..\Run: [Configuration] ntsys32.exe
O4 - HKCU\..\Run: [Mfixrsb] C:\WINDOWS\System32\tbhxpxi.exe
O4 - HKCU\..\RunServices: [Microsoft Update] wuagrd.exe

Außerdem lösche diese Dateien:
C:\WINDOWS\System32\wuagrd.exe
C:\WINDOWS\System32\ntsys32.exe
C:\WINDOWS\System32\ntsys32.exe
C:\WINDOWS\System32\tbhxpxi.exe

froecken · 02.08.2004, 20:47

Hallo, Christian,

Vielen Dank!
Ich habe Deinen Rat befolgt - allerdings nicht neu installiert.
Aber: Du hast für 's Löschen die gleiche Datei zweimal erwähnt - stimmt das (fett + rot).
Wie kann ich jetzt wissen, ob mein PC hijacked ist?
Gibt es dafür klare Hinweise/Beweise? Und wieso haben weder NAV (neueste updates) noch ADAWARE (dito) reagiert???

Ich füge nochmal ein neues LOG bei:
Logfile of HijackThis v1.98.0
Scan saved at 21:43:16, on 02.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
L:\PROGRAMM\NORTON~1\GHOSTS~2.EXE
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\HHVcdV5Sys\VC5SecS.exe
C:\WINDOWS\Dit.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\HHVcdV5Sys\VC5Play.exe
L:\Programme\Norton Ghost\GhostStartTrayApp.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe
C:\WINDOWS\winlogon.exe
C:\WINDOWS\DitExp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\T-Eumex\ISDN Guard\agfguard.exe
L:\Programme\Virtual CD\System\VC5Tray.exe
C:\Programme\T-Online\T-Online_Software_5\Browser\browser.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\kernel.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
N:\UTILITIES\HijackThis.exe
C:\Programme\Messenger\msmsgs.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com
F0 - system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe
O4 - HKLM\..\Run: [GhostStartTrayApp] L:\Programme\Norton Ghost\GhostStartTrayApp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [iexplore.exe] C:\WINDOWS\winlogon.exe
O4 - HKLM\..\Run: [Audiograbber] l:\programme\audiograbber\audiograbber.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Rlos] C:\Dokumente und Einstellungen\MichaelJansen\Anwendungsdaten\soht.exe
O4 - Startup: BHODemon.lnk = C:\Programme\BHODemon\BHODemon.exe
O4 - Startup: Radiator.lnk = L:\Programme\Radiator\radiator.exe
O4 - Startup: Registration-InstantCopy.lnk = C:\Programme\Pinnacle\Shared Files\InstantCDDVD\Pixie\RegTool.exe
O4 - Global Startup: ISDN Guard.lnk = C:\Programme\T-Eumex\ISDN Guard\agfguard.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra button: MedionShop - {84FAA847-1400-4400-BC93-D338EF03127B} - http://www.medionshop.de/ (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.microsoft.com
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6E389B76-1702-43B0-8FFF-07046F351EFA}: NameServer = 217.237.150.225 194.25.2.129

Herzlichen Dank

Froecken

Zitat:

Zitat von *Christian*

Das ist meine Adresse.

Du hast 2 aktive Sdbot-Backdoors auf deinen System + 1 Trojaner Scapur.
Durch einen aktiven Backdoor könnte dein PC so geschädigt sein, dass er bereits in fremder Hand ist. Das sichererste wäre eine Neuinstallation.

Solltest du keine Neuinstallation heranziehen, dann fixe dies im abgesicherten Modus:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastlook.net/
O4 - HKLM\..\Run: [Microsoft Update] wuagrd.exe
O4 - HKLM\..\Run: [Configuration] ntsys32.exe
O4 - HKLM\..\RunServices: [Configuration] ntsys32.exe
O4 - HKCU\..\Run: [Microsoft Update] wuagrd.exe
O4 - HKCU\..\Run: [Configuration] ntsys32.exe
O4 - HKCU\..\Run: [Mfixrsb] C:\WINDOWS\System32\tbhxpxi.exe
O4 - HKCU\..\RunServices: [Microsoft Update] wuagrd.exe

Außerdem lösche diese Dateien:
C:\WINDOWS\System32\wuagrd.exe
C:\WINDOWS\System32\ntsys32.exe
C:\WINDOWS\System32\ntsys32.exe
C:\WINDOWS\System32\tbhxpxi.exe

02.08.2004, 22:04

Nein, die Datei ist natürlich nur einmal vorhanden.
So, einen Trojaner hatte ich zur Überprüfung weitergeleitet.
Die Datei wird noch von keinem Virenscanner erkannt.
Wann Symantec die Datei erkennen wird ist fraglich - man kann keine Dateien zu Symantec zwecks Erkennung einschicken.

Jedenfalls musst du diese Datei noch löschen:
C:\WINDOWS\winlogon.exe

Und dies fixen:
O4 - HKLM\..\Run: [iexplore.exe] C:\WINDOWS\winlogon.exe

Hmm ... C:\Dokumente und Einstellungen\MichaelJansen\Anwendungsdaten\soht.exe überprüfe die Datei mal hier: http://www.kaspersky.com/de/scanforvirus

froecken · 03.08.2004, 09:03

Herzlichen Dank!Anscheinend (Stand: Gestern Nacht) hat's jetzt funktioniert! Ich hab gleich nochmal mit NAV gescannt (ohne Ergebnis, wie bisher) und danach das neueste Patch für den IE6 installiert. Allerdings bin ich doch noch sehr misstrauisch und überlege, mit einem weiteren Scanner zu prüfen - Escan? GHast Du vielleicht Empfehlungen, wie ich mich besser schützen kann? Zuvor, auf meinen alten Systemen (ATARI, dann Win95, WIN98) war das Trojaner/Viren-Problem eher marginal: Wenig und dann schnell erkannt und beseitigt. Das scheint beim neuen Windows anders zu sein ...

Gruß
Froecken

Zitat:

Zitat von *Christian*

Nein, die Datei ist natürlich nur einmal vorhanden.
So, einen Trojaner hatte ich zur Überprüfung weitergeleitet.
Die Datei wird noch von keinem Virenscanner erkannt.
Wann Symantec die Datei erkennen wird ist fraglich - man kann keine Dateien zu Symantec zwecks Erkennung einschicken.

Jedenfalls musst du diese Datei noch löschen:
C:\WINDOWS\winlogon.exe

Und dies fixen:
O4 - HKLM\..\Run: [iexplore.exe] C:\WINDOWS\winlogon.exe

Hmm ... C:\Dokumente und Einstellungen\MichaelJansen\Anwendungsdaten\soht.exe überprüfe die Datei mal hier: http://www.kaspersky.com/de/scanforvirus

03.08.2004, 15:23

Naja, Norton AntiVirus ist nicht der beste AntiVirus-Scanner.
Empfehlenswerter wären G-Data oder Kaspersky:
http://www.gdata.de/trade/productview/366/3/
http://www.kaspersky.de

Auch nicht schlecht sind Bitdefender und F-Secure.

Du solltest außerdem immer die neusten Updates und Patches von
www.windowsupate.com herunterladen.
Außerdem unnötige Dienste abschalten: http://www.dingens.org/

Auch wichtig: Einen sicherern Browser als den IE verwenden.
www.firefox-browser.de ist schnell, kostenlos und sicher.

Weitere Tipps:
http://www.trojaner-info.de/report_pcsicherheit.shtml

Du solltest dir aber auch im Klaren darüber sein, dass du nicht sicherstellen kannst, welchen Schaden der Backdoor angerichtet hat (Passwörter ausgespäth usw.). Ein aktiver Backdoor ist das offene Tor um in deinen PC einzudringen. Nochmals: Das sicherste und vernünftigste: Neuinstallation und dann die oben genannten Punkte beachten.

Shadow · 03.08.2004, 15:55

Zitat:

Zitat von *Christian*

...man kann keine Dateien zu Symantec zwecks Erkennung einschicken....

Natürlich kann man

03.08.2004, 16:07

Laut E-Mail-Support nicht.
Wenn du eine Adresse hast - nur her damit.

Shadow · 03.08.2004, 16:19

Du must Vertragspartner von Symantec sein.

Variante 1.) Du besitzt NAV, dort gibt es integriert eine Upload-Funktion
Variante 2.) Du bist Vertragshändler (Vertriebspartner oder OEM-Partner) und da gab/gibt? es eine mir im Moment unbekannte Mailadresse.

03.08.2004, 16:56

Ja, das mit dem Upload ist mir bekannt.

Aber erstens werde ich mir bestimmt nicht NAV installieren und zweistens
erst Recht kein Vertragspartner werden.

Also kann ein normal sterblicher keine Samples via E-Mail einschicken.
Schade ... allein in diesem Log gab es 4 Schädlinge die Norton nicht erkennt.

Shadow · 03.08.2004, 17:36

Tja, und warum räts Du froecken nicht dazu sie einzusenden und behauptest (angeblich) wider besseren Wissens, dass man verdächtige Dateien nicht zu Symantec senden könnte? man kann und froecken könnte!

Ob die Firmenpolitik gut ist keine öffentliche Einsendeadresse zu haben, weiß ich allerdings auch nicht. Symantec spart sich so zumindest sicher zigtausende von Spammails irgendwelcher (schon fast "religiöser") Symantec-Hasser mit irgendeinem dummen Anhang. Aber veilleicht hat "Gelb" tatsächlich die Größe darauf verzichten zu können.

03.08.2004, 19:19

Symantec ist selbst schuld, wenn sie keine Samples via E-Mail annehmen.
Leisten können sie es sich zumindest nicht - auch diese 3 Schädlinge wurden von jedem AV-Scanner (Ausnahme: Trendmicro+AntiVir alle, Sophos verpasste einen) erkannt.

Das Uploaden ist zu umständlich - dann haben sie die Erkennung halt nicht.

tronic · 11.08.2004, 00:34

Hi,

Ich habe auch soein problem mit fastlook u.s.w aber ich weiss nicht was ich machen soll und die exe dateien die hier bei euch stehen habe ich nixhtr

ausser winlogon im win dir :I

ich habe auch mal soeine log file hier geposted und es wäre nett wen mir einer dabei auch mal helfen könnte.

danke leutz

Code:

ATTFilter

Logfile of HijackThis v1.98.2
Scan saved at 16:28:17, on 10.08.2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Internet Call Director\ICD.EXE
C:\WINDOWS\winlogon.exe
C:\Programme\Winamp\winamp.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\^^\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.fastlook.net/sb.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastlook.net/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.fastlook.net/sb.php
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 211.29.206.187:1080
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [iexplore.exe] C:\WINDOWS\winlogon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: Internet Call Director.LNK = C:\Programme\Internet Call Director\ICD.EXE
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Download with NetPumper - C:\Programme\NetPumper\AddUrl.htm
O8 - Extra context menu item: LimeShop Preferences - file://C:\Programme\LimeShop\System\Temp\limeshop_script0.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {9BFC2253-B9D9-477E-9488-CA450232620D} (BinAg1 Class) - https://merlin.telus.net/wizlet/Qual...lowActiveX.CAB
O16 - DPF: {FB48C7B0-EB66-4BE6-A1C5-9DDF3C37249A} (MCSendMessageHandler Class) - http://xtraz.icq.com/xtraz/activex/MISBH.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{8C596F03-0B4F-4D8D-8F9E-E7AF5388B04B}: NameServer = 204.174.64.1 204.174.65.1

02.08.2004, 18:59	#2
Christian Gast	FASTLOOK.NET - Spionage von Bankdaten? C:\WINDOWS\System32\ntsys32.exe C:\WINDOWS\winlogon.exe C:\WINDOWS\System32\wuagrd.exe C:\WINDOWS\System32\tbhxpxi.exe Diese Dateien schick mal an: partytime-germany.ice@web.de Es handelt sich definitiv um Malware. __________________

03.08.2004, 16:07	#10
Christian Gast	FASTLOOK.NET - Spionage von Bankdaten? Laut E-Mail-Support nicht. Wenn du eine Adresse hast - nur her damit.

03.08.2004, 16:56	#12
Christian Gast	FASTLOOK.NET - Spionage von Bankdaten? Ja, das mit dem Upload ist mir bekannt. Aber erstens werde ich mir bestimmt nicht NAV installieren und zweistens erst Recht kein Vertragspartner werden. Also kann ein normal sterblicher keine Samples via E-Mail einschicken. Schade ... allein in diesem Log gab es 4 Schädlinge die Norton nicht erkennt.

03.08.2004, 19:19	#14
Christian Gast	FASTLOOK.NET - Spionage von Bankdaten? Symantec ist selbst schuld, wenn sie keine Samples via E-Mail annehmen. Leisten können sie es sich zumindest nicht - auch diese 3 Schädlinge wurden von jedem AV-Scanner (Ausnahme: Trendmicro+AntiVir alle, Sophos verpasste einen) erkannt. Das Uploaden ist zu umständlich - dann haben sie die Erkennung halt nicht.

FASTLOOK.NET - Spionage von Bankdaten?

Log-Analyse und Auswertung: FASTLOOK.NET - Spionage von Bankdaten?