|
Log-Analyse und Auswertung: TDSServ and PWS-Agnet auf dem Lappen. Rettung möglich?Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
17.02.2009, 00:13 | #1 |
| TDSServ and PWS-Agnet auf dem Lappen. Rettung möglich? Guten Abend an das gesamte Forum. Melde mich als Neuling und natürlich nicht ohne Grund. Mein Laptop (IBM R50P) hat seit einiger zeit einen weg. Es fing damit an, dass ich während online-Sessions ungewollt Audiosnippets zu hören bekam, die mit keiner Website in Verbindung standen. Mein derzeitiges AV-Programm CA Antivirus fand nix. Google brachte mir keine eindeutigen Infos, nach denen ich Maßnahmen hätte ergreifen können. Dafür wurde ich einige Tage später beim Klick auf Googles Ergebnisse, auf falsche Websites umgeleitet. Der Scan mit AVG free brachte dann etwas zu Tage - leider nicht mehr identifizierbar, da die Stromzufuhr sich AKTIV um die Füße eines unschuldigen Besuchers wickelte und der Laptop während des Scanvorgangs einen Hüpfer von seinem Tischchen machte. Zum Glück war es wirklich nur ein Tischchen und dank IBMs Festplattenschutz verschwand der blautote Bildschirm nach aus- und wieder einschalten. Scan wiederholt – kein Ergebnis. Updates nicht mehr möglich. Deinstallation von AVG Free. Scan mit Ad-Aware AE free bringt kein Ergebnis. Jedoch ließ die Performance nach, Rechenprozesse schienen zu „stottern“ (Lautsprache: brrt brrt brrrrrrrrrrrrrrrrt, brrt brrt brrrrrrrrrrrrrrrrt, brrt brrt brrrrrrrrrrrrrrrrt, …), was ich zunächst dem Sturz zuschrieb. Ebenso beschädigte Dateien. Regelmäßige Scans brachten außer tracking Cookies und vor kurzem einmal einen Trojaner (generic, genaue Bezeichnung weiß ich nicht mehr) nichts auffälliges zu Tage. Dem Trojaner konnte ich, wenn ich mich richtig erinnere, mit Avast beikommen. Aus Zeitmangel konnte ich mich bis heute nicht weiter mit dem Problem auseinandersetzen. Allerdings ist die Performance merklich weiter abgesackt, arbeiten wird anstrengend. Muss ich neu installieren oder kann ich das mit Eurer Hilfe in den Griff bekommen? 3 Partitionen 1Windows 2Programme 3Daten Rest virtuelle und reelle Laufwerke 2 Benutzerkonten 1Admin 2eingeschränkt Allerdings nicht immer strikt mit eingeschränkt gesurft… Downloads etc aber eigentlich immer von diesem Konto. Ich habe in den letzten 2 Tagen diverse Durchläufe mit unterschiedlichen AV-Progs gemacht, wundert euch also nicht über die Zahl der gleichzeitig installierten AVs. Ich danke Euch schon jetzt für die Hilfe und hoffentlich auch den Lerneffekt. Allerdings ist Zeit immer knapp… Die Uhrzeit des Posts lässt es erahnen. Wenn eine Neuinstallation wesentlich unaufwendiger ist, dann will ich niemandes Zeit verschwenden. Protokoll folgt: AVG free lässt sich nicht installieren. PC Tools Spyware doctor fand: RogueAnti Spyware 1 infections Trojan PWS Agent 1 infections Trojan TDSServ 56 infections Adware Incredifind 1 infections (löschen nicht möglich, da trial) SUPERAntiSpyware fand: Adware Trackin Cookie Rootkit.TDSServ Quarantäne. Kann ich getrost entfernen oder? Ad-Aware free AE fand daraufhin nichts mehr. Avast Trial auch nicht. CCleaner ausgeführt 114 Regitry Einträge gefixt Im Anschluss Malwarebytes' Anti-Malware 1.34 – Logfile Und darauf folgend HJT Logfile sowie HJT Liste installierter Software Code:
ATTFilter Malwarebytes' Anti-Malware 1.34 Datenbank Version: 1764 Windows 5.1.2600 Service Pack 2 16.02.2009 01:25:58 mbam-log-2009-02-16 (01-25-58).txt Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|G:\|H:\|) Durchsuchte Objekte: 144320 Laufzeit: 2 hour(s), 26 minute(s), 13 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 5 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 11 Infizierte Dateien: 1 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\rhcjc1j0eeag (Rogue.AntivirusXP2008) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\Control Panel\Desktop\wallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\Control Panel\Desktop\originalwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\Control Panel\Desktop\convertedwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> Quarantined and deleted successfully. Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\Autorun (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\Autorun\HKCU (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\Autorun\HKCU\RunOnce (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\Autorun\HKLM (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\Autorun\HKLM\RunOnce (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\Autorun\StartMenuAllUsers (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\Autorun\StartMenuCurrentUser (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\BrowserObjects (Rogue.Multiple) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\***\Anwendungsdaten\rhcjc1j0eeag\Quarantine\Packages (Rogue.Multiple) -> Quarantined and deleted successfully. Infizierte Dateien: C:\WINDOWS\system32\drmgs.sys (Rootkit.Agent) -> Quarantined and deleted successfully. Code:
ATTFilter Logfile of HijackThis v1.99.1 Scan saved at 23:31:50, on 16.02.2009 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\ibmpmsvc.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Intel\Wireless\Bin\EvtEng.exe C:\Programme\Intel\Wireless\Bin\S24EvMon.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe D:\Avast4\aswUpdSv.exe C:\Programme\Lavasoft\Ad-Aware\AAWService.exe D:\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\acs.exe D:\IBM\Bluetooth Software\bin\btwdins.exe D:\Nero\Nero8\Nero BackItUp\NBService.exe C:\Programme\Intel\Wireless\Bin\RegSrvc.exe D:\Alias\ImageStudio3.0\bin\renderqueue.exe D:\Spyware Doctor\pctsAuxs.exe D:\Spyware Doctor\pctsSvc.exe C:\Programme\Analog Devices\SoundMAX\SMAgent.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\TPHDEXLG.exe C:\WINDOWS\system32\wdfmgr.exe D:\Avast4\ashMaiSv.exe C:\WINDOWS\system32\wbem\unsecapp.exe D:\Avast4\ashWebSv.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\AGRSMMSG.exe C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe C:\Programme\Analog Devices\SoundMAX\Smax4.exe D:\IBM\EZEEject\EzEjMnAp.Exe C:\WINDOWS\system32\RunDll32.exe C:\WINDOWS\system32\TpShocks.exe D:\QuickTime\qttask.exe C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe D:\Avast4\ashDisp.exe D:\Spyware Doctor\pctsTray.exe C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe D:\DAEMON Tools Lite\daemon.exe D:\Eraser\eraser.exe D:\Spybot - S&D\TeaTimer.exe D:\SUPERAntiSpyware\SUPERAntiSpyware.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe C:\Programme\Lenovo\PkgMgr\HOTKEY_1\TpScrex.exe D:\Mozilla Firefox\firefox.exe D:\Microsoft Office\OFFICE11\WINWORD.EXE D:\Malwarebytes' Anti-Malware\mbam.exe C:\WINDOWS\system32\NOTEPAD.EXE D:\hijackthis\HijackThis.exe O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe\Adobe Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file) O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\SPYBOT~1\SDHelper.dll O2 - BHO: (no name) - {A057A204-BACC-4D26-9990-79A187E2698E} - (no file) O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: (no name) - {A057A204-BACC-4D26-9990-79A187E2698E} - (no file) O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [frymxins] "C:\Programme\ATI Technologies\Fire GL 3D Studio Max\atiimxgl" O4 - HKLM\..\Run: [EZEJMNAP] D:\IBM\EZEEject\EzEjMnAp.Exe O4 - HKLM\..\Run: [BMMGAG] RunDll32 d:\ibm\POWERM~1\pwrmonit.dll,StartPwrMonitor O4 - HKLM\..\Run: [BMMLREF] d:\ibm\PowerManagement\BMMLREF.EXE O4 - HKLM\..\Run: [BMMMONWND] rundll32.exe d:\ibm\POWERM~1\BatInfEx.dll,BMMAutonomicMonitor O4 - HKLM\..\Run: [BLOG] rundll32.exe d:\ibm\POWERM~1\BatLogEx.DLL,StartBattLog O4 - HKLM\..\Run: [TpShocks] TpShocks.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe O4 - HKLM\..\Run: [QuickTime Task] "D:\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe O4 - HKLM\..\Run: [avast!] D:\Avast4\ashDisp.exe O4 - HKLM\..\Run: [ISTray] "D:\Spyware Doctor\pctsTray.exe" O4 - HKLM\..\Run: [Ad-Watch] C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\DAEMON Tools Lite\daemon.exe" -autorun O4 - HKCU\..\Run: [Eraser] D:\Eraser\eraser.exe -hide O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Spybot - S&D\TeaTimer.exe O4 - HKCU\..\Run: [SUPERAntiSpyware] D:\SUPERAntiSpyware\SUPERAntiSpyware.exe O4 - Global Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: BTTray.lnk = ? O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: In Adobe PDF konvertieren - res://D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://D:\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - D:\IBM\Bluetooth Software\btsendto_ie.htm O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - D:\IBM\Bluetooth Software\btsendto_ie.htm O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\SPYBOT~1\SDHelper.dll O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - (no file) O20 - Winlogon Notify: !SASWinLogon - D:\SUPERAntiSpyware\SASWINLO.dll O23 - Service: Atheros Configuration Service (acs) - Atheros - C:\WINDOWS\system32\acs.exe O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Wireless Service - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\Avast4\aswUpdSv.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: avast! Antivirus - ALWIL Software - D:\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - D:\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - D:\Avast4\ashWebSv.exe" /service (file missing) O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - D:\IBM\Bluetooth Software\bin\btwdins.exe O23 - Service: EvtEng - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINDOWS\system32\ibmpmsvc.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - D:\Nero\Nero8\Nero BackItUp\NBService.exe O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe O23 - Service: RegSrvc - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe O23 - Service: Alias ImageStudio Render Queue (renderqueue) - Unknown owner - D:\Alias\ImageStudio3.0\bin\renderqueue.exe O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - D:\Spyware Doctor\pctsAuxs.exe O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - D:\Spyware Doctor\pctsSvc.exe O23 - Service: solewxte Service (solewxte) - Unknown owner - C:\WINDOWS\system32\solewxte.exe (file missing) O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINDOWS\System32\TPHDEXLG.exe Code:
ATTFilter HJT uninstall_txt 7-Zip 4.42 ACDSee 6.0 PowerPack Ad-Aware Ad-Aware Adobe Bridge 1.0 Adobe Common File Installer Adobe Creative Suite 2 Adobe Flash Player 10 Plugin Adobe Flash Player ActiveX Adobe Help Center 1.0 Adobe Premiere Pro Adobe Stock Photos 1.0 Adobe SVG Viewer 3.0 Agere Systems AC'97 Modem Alias DirectConnect 2.0 Alias ImageStudio 3.0 ANIO Service ANIWZCS2 Service ATI - Dienstprogramm zur Deinstallation der Software ATI Control Panel |
Themen zu TDSServ and PWS-Agnet auf dem Lappen. Rettung möglich? |
ad-aware, ad-watch, antivirus, autorun, avast!, avg free, bho, bildschirm, desktop, entfernen, eraser, festplatte, firefox, flash player, google, gservice, hijack.wallpaper, hijackthis, internet, internet explorer, konvertieren, lenovo, malwarebytes' anti-malware, maßnahme, mozilla, nicht möglich, pdf-datei, problem, registrierungsschlüssel, rogue.antivirusxp, rogue.multiple, rootkit.agent, rundll, scan, security, spyware, stromzufuhr, system, trojaner, updates, wickel, windows xp |