Bitte um Info ob mein LOG OK ist !

mali · 29.08.2004, 12:28

Hallo zusammen,

bin ganz neu und beführte das mit meiner Kiste nicht alles in ordnung ist.

Anbei das Logfile. Würde mich sehr freuen wenn mir jemand helfen würde!

[SIZE=2]Logfile of HijackThis v1.98.2
Scan saved at 13:15:32, on 29.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\MSN Apps\Updater\01.02.0002.1001\de\msnappau.exe
C:\WINDOWS\System32\msi332.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Dokumente und Einstellungen\Deki\Anwendungsdaten\lrrp.exe
C:\Programme\System\syschk32.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\System32\rsvp.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\x\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.de/0SEDEDE/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gogle.de/
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {65DD627A-BB32-24C4-8203-6C5508DD733C} - C:\WINDOWS\System32\kijpgfq.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.02.0002.1001\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.2001.0001\de\msntb.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.2001.0001\de\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKLM\..\Run: [msnappau] "C:\Programme\MSN Apps\Updater\01.02.0002.1001\de\msnappau.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [adiras] adiras.exe
O4 - HKLM\..\Run: [WindowsRegKey%$ update] msi332.exe
O4 - HKLM\..\RunServices: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] 16winupdate32.exe
O4 - HKLM\..\RunServices: [Microsoft Update] MSlti32.exe
O4 - HKLM\..\RunServices: [WindowsRegKey%$ update] msi332.exe
O4 - HKCU\..\Run: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Iwaa] C:\Dokumente und Einstellungen\Deki\Anwendungsdaten\lrrp.exe
O4 - HKCU\..\Run: [Ahwbpxa] C:\WINDOWS\System32\dxrb.exe
O4 - HKCU\..\Run: [syschk] C:\Programme\System\syschk32.exe
O4 - HKCU\..\Run: [WindowsRegKey%$ update] msi332.exe
O4 - Startup: BackProtection.lnk = C:\Programme\BackProtection 2004\backprotection.exe
O4 - Global Startup: DSLMON.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/ger_nopop.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{338ECF4A-0E88-4D0E-B32E-D95D62707C58}: NameServer = 217.237.150.141 194.25.2.129
O17 - HKLM\System\CS1\Services\Tcpip\..\{338ECF4A-0E88-4D0E-B32E-D95D62707C58}: NameServer = 217.237.150.141 194.25.2.129
O21 - SSODL: Web Event Logger - {7ABBACFE-EEC2-9152-A9EE-416592C5C738} - C:\WINDOWS\System32\Nifdnohk.dll[/SIZE

Danke !!!!!

MountainKing · 29.08.2004, 12:51

Nein, dein Log ist leider ganz und gar nicht ok, es wimmelt vor Spyware und evtl. Schlimmerem. Befolge zunächst mal dies, schreibe uns dann, welche Schädlinge gefunden wurden und erstelle danach ein neues Log:

http://www.trojaner-board.de/42731-escan-anleitung.html

Gehst du über DSL ins Netz?

mmk · 29.08.2004, 13:22

Ohje... da sind sicher einige Backdoors und Trojaner aktiv. Letztlich wird da nur ein Neuaufsetzen des Systems wieder Vertrauenswürdigkeit herstellen können.

Aber lass einmal ein aktuelles eScan laufen und poste dann hier das eScan-Logfile von der Systemprüfung.

mali · 29.08.2004, 15:12

Hallo zusammen,

danke für die schnellen Antworten.

Als erstes Antworte ich auf die Frage und sage " Ja ich gehe über DSL ins Internet "

Ich habe escan durchgeführt und auch ein Logfile bekommen. Diese ist so lang das ich nur folgendes aufgeführt habe. Ich hoffe Ihr könnt damit etwas anfangen!

Sun Aug 29 14:33:39 2004 => **********************************************************
Sun Aug 29 14:33:39 2004 => eScan AntiVirus Toolkit Utility.
Sun Aug 29 14:33:39 2004 => Copyright © 2003-2004, MicroWorld Technologies Inc.
Sun Aug 29 14:33:39 2004 => **********************************************************
Sun Aug 29 14:33:39 2004 => Version 4.4.7
Sun Aug 29 14:33:39 2004 => Log File: C:\bases\mwav.log
Sun Aug 29 14:33:40 2004 => Latest Date of files inside MWAV: 29 Aug 2004 15:01:12.
**********************************************************
Sun Aug 29 14:35:11 2004 => eScan AntiVirus Toolkit Utility.
Sun Aug 29 14:35:11 2004 => Copyright © 2003-2004, MicroWorld Technologies Inc.
Sun Aug 29 14:35:11 2004 => **********************************************************
**********************************************************
Sun Aug 29 14:35:48 2004 => Version 4.4.7
Sun Aug 29 14:35:48 2004 => Log File: C:\bases\mwav.log
Sun Aug 29 14:35:48 2004 => Latest Date of files inside MWAV: 29 Aug 2004 15:01:12.

Sun Aug 29 14:35:52 2004 => ***** Scanning C:\Dokumente und Einstellungen\Deki\Startmenü\Programme\Autostart Folder *****
Sun Aug 29 14:35:52 2004 => Scanning Folder: C:\Dokumente und Einstellungen\Deki\Startmenü\Programme\Autostart\*.*
Sun Aug 29 14:35:53 2004 => Scanning File C:\Dokumente und Einstellungen\Deki\Startmenü\Programme\Autostart\BackProtection.lnk
Sun Aug 29 14:35:53 2004 => Scanning File C:\Dokumente und Einstellungen\Deki\Startmenü\Programme\Autostart\desktop.ini

Sun Aug 29 14:35:53 2004 => ***** Scanning C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart Folder *****
Sun Aug 29 14:35:53 2004 => Scanning Folder: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\*.*
Sun Aug 29 14:35:53 2004 => Scanning File C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
Sun Aug 29 14:35:53 2004 => Scanning File C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\DSLMON.lnk .....

.....Sun Aug 29 15:16:55 2004 => ***** Checking for specific ITW Viruses *****
Sun Aug 29 15:16:55 2004 => Checking for Welchia Virus...
Sun Aug 29 15:16:55 2004 => Checking for LovGate Virus...
Sun Aug 29 15:16:55 2004 => Checking for CodeRed Virus...
Sun Aug 29 15:16:56 2004 => Checking for OpaServ Virus...
Sun Aug 29 15:16:56 2004 => Checking for Sobig.e Virus...
Sun Aug 29 15:16:56 2004 => Checking for Winupie Virus...
Sun Aug 29 15:16:56 2004 => Checking for Swen Virus...
Sun Aug 29 15:16:56 2004 => Checking for JS.Fortnight Virus...
Sun Aug 29 15:16:56 2004 => Checking for Novarg Virus...
Sun Aug 29 15:16:56 2004 => Checking for Pagabot Virus...
Sun Aug 29 15:16:56 2004 => Checking for Parite.b Virus...
Sun Aug 29 15:16:56 2004 => Checking for Parite.a Virus...

Sun Aug 29 15:16:56 2004 => ***** Scanning complete. *****

Sun Aug 29 15:16:56 2004 => Total Number of Files Scanned: 44832
Sun Aug 29 15:16:56 2004 => Total Number of Virus(es) Found: 145
Sun Aug 29 15:16:56 2004 => Total Number of Disinfected Files: 2
Sun Aug 29 15:16:56 2004 => Total Number of Files Renamed: 69
Sun Aug 29 15:16:56 2004 => Total Number of Deleted Files: 73
Sun Aug 29 15:16:56 2004 => Total Number of Errors: 5
Sun Aug 29 15:16:56 2004 => Time Elapsed: 00:41:06
Sun Aug 29 15:16:56 2004 => Virus Database Date: 2004/08/29
Sun Aug 29 15:16:56 2004 => Virus Database Count: 102355

Sun Aug 29 15:16:56 2004 => Scan Completed.

__________________________________________________________

Logfile of HijackThis v1.98.2
Scan saved at 15:40:37, on 29.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\MSN Apps\Updater\01.02.0002.1001\de\msnappau.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\System\syschk32.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\System32\rsvp.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\x\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.de/0SEDEDE/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gogle.de/
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {65DD627A-BB32-24C4-8203-6C5508DD733C} - C:\WINDOWS\System32\kijpgfq.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.02.0002.1001\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.2001.0001\de\msntb.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.2001.0001\de\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [msnappau] "C:\Programme\MSN Apps\Updater\01.02.0002.1001\de\msnappau.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [WindowsRegKey%$ update] msi332.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] 16winupdate32.exe
O4 - HKLM\..\RunServices: [WindowsRegKey%$ update] msi332.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Ahwbpxa] C:\WINDOWS\System32\dxrb.exe
O4 - HKCU\..\Run: [syschk] C:\Programme\System\syschk32.exe
O4 - Startup: BackProtection.lnk = C:\Programme\BackProtection 2004\backprotection.exe
O4 - Global Startup: DSLMON.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/ger_nopop.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{338ECF4A-0E88-4D0E-B32E-D95D62707C58}: NameServer = 217.237.150.141 194.25.2.129
O17 - HKLM\System\CS1\Services\Tcpip\..\{338ECF4A-0E88-4D0E-B32E-D95D62707C58}: NameServer = 217.237.150.141 194.25.2.129
O21 - SSODL: Web Event Logger - {7ABBACFE-EEC2-9152-A9EE-416592C5C738} - C:\WINDOWS\System32\Nifdnohk.dll

Danke !!!!

Lucky · 29.08.2004, 15:24

Nein, ich habe beim überfliegen einige Vireneinträge gesehen.

- björn

Rene-gad · 29.08.2004, 15:26

Hallo

Zitat:

Sun Aug 29 15:16:56 2004 => Total Number of Files Scanned: 44832
Sun Aug 29 15:16:56 2004 => Total Number of Virus(es) Found: 145
Sun Aug 29 15:16:56 2004 => Total Number of Disinfected Files: 2
Sun Aug 29 15:16:56 2004 => Total Number of Files Renamed: 69
Sun Aug 29 15:16:56 2004 => Total Number of Deleted Files: 73

Machen wir eine kleine Mathe-Stunde :
145 Viruses found - 2 Viruses disinfekted- 69 Files renamed - 73 Files Deleted = 1 Virus unbehandelt und ggf. aktiv.

Zitat:

C:\Programme\System\syschk32.exe

Datei ist unbekannt, höchst wahrscheinlich - eine Malware. Mit http://www.kaspersky.com/de/remoteviruschk.html prüfen

Zitat:

C:\WINDOWS\System32\rsvp.exe

Spuren von einem Backdoor: http://www.symantec.com/avcenter/ven...r.spotcom.html

Zitat:

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
C:\WINDOWS\System32\kijpgfq.dll
O4 - HKCU\..\Run: [Ahwbpxa] C:\WINDOWS\System32\dxrb.exe
O4 - HKCU\..\Run: [syschk] C:\Programme\System\syschk32.exe
O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/ger_nopop.exe
O21 - SSODL: Web Event Logger - {7ABBACFE-EEC2-9152-A9EE-416592C5C738} - C:\WINDOWS\System32\Nifdnohk.dll

Dies deutet auf ein Haufen Malware an (ehemals) deinem Computer hin.
Bitte das System neu aufsetzen, SP2 installieren, alle Passwörter wechseln.

MountainKing · 29.08.2004, 15:27

Kannst du aus dem Lofgile die Namen der gefundenen Viren herausfiltern? Aber auch so würde ich bereits sagen, dies wäre die beste und sicherste Lösung:

1.) Neu formatieren und installieren
2.) Ein eingeschränktes Benutzerkonto anlegen, mit dem gesurft wird, NICHT mit dem Administratorkonto ins Netz gehen
3). VOR der ersten Onlineverbindung die XP-Firewall für die Verbindung aktivieren
4.) Ebenfalls VOR dem Onlinegehen unnötige Dienste deaktivieren siehe www.dingens.org
5.) Danach zuerst www.windowsupdate.com besuchen und alle Updates installieren
6.) den IE nur noch für diese Updates verwenden, ansonsten auf einen alternativen Browser wie Opera, Firefox oder Mozilla umsteigen
7.) Browser und emailprogramm (auch hier gibt es Alternativen zu Outlook wie Thunderbird, foxmail) sicher konfigurieren, keine aktiven Inhalte automatisch ausführen lassen (Java-Script, Active-X, VBS)
8.) Vorsichtig bleiben, nur wirklich als sicher bekannte mailanhänge öffnen, nur aus sicheren Quellen Programme herunterladen und vorher überprüfen, ob sie Spyware oder Adware enthalten können
9) ein Antivirenprogramm schadet auch nichts (Antivir ist kostenlos und halbwegs brauchbar), sollte aber nicht dazu verführen, sich grenzenlos darauf zu verlassen
10) Nicht gleich alle Programme, die früher installiert waren, sofort erneut aufs System lassen, sondern zuerst informieren, ob sie Spy/Adware enthalten

Wenn du trotzdem eine Reparatur versuchen willst (kann dir aber keine wirkliche Sicherheit verschaffen, dass das System sauber ist), deaktiviere die Systemwiederherstellung:

http://www.systemwiederherstellung-d...indows-xp.html

beende mit dem Taskmanager diese Prozesse (so noch vorhanden):

msnappau.exe
syschk32.exe
msi332.exe
16winupdate32.exe
dxrb.exe

und fixe bei HJT:
C:\Programme\MSN Apps\Updater\01.02.0002.1001\de\msnappau.exe
C:\Programme\System\syschk32.exe
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {65DD627A-BB32-24C4-8203-6C5508DD733C} - C:\WINDOWS\System32\kijpgfq.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.02.0002.1001\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.2001.0001\de\msntb.dll
O4 - HKLM\..\Run: [msnappau] "C:\Programme\MSN Apps\Updater\01.02.0002.1001\de\msnappau.exe"
O4 - HKLM\..\Run: [WindowsRegKey%$ update] msi332.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] 16winupdate32.exe
O4 - HKLM\..\RunServices: [WindowsRegKey%$ update] msi332.exe
O4 - HKCU\..\Run: [Ahwbpxa] C:\WINDOWS\System32\dxrb.exe
O4 - HKCU\..\Run: [syschk] C:\Programme\System\syschk32.exe
O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/ger_nopop.exe
O21 - SSODL: Web Event Logger - {7ABBACFE-EEC2-9152-A9EE-416592C5C738} - C:\WINDOWS\System32\Nifdnoh

Ist das ein vor dir installiertes Programm?

O4 - Startup: BackProtection.lnk = C:\Programme\BackProtection 2004\backprotection.exe

Wenn nicht, ebenfalls fixen. Dann neu starten und die aufgeführten dlls und exe-Dateien löschen, Systemwiederherstellung wieder aktivieren, ein neues Log anlegen.
Bessere Lösung ist wie gesagt; Punkte 1-10 abarbeiten.

Lektüre:

http://www.mathematik.uni-marburg.de...ompromise.html
http://faq.underflow.de/

Lucky · 29.08.2004, 15:29

Zitat:

Zitat von mali

C:\Programme\MSN Apps\Updater\01.02.0002.1001\de\msnappau.exe
C:\Programme\System\syschk32.exe
C:\WINDOWS\System32\rsvp.exe
C:\WINDOWS\System32\wuauclt.exe
O2 - BHO: (no name) - {65DD627A-BB32-24C4-8203-6C5508DD733C} - C:\WINDOWS\System32\kijpgfq.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.02.0002.1001\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.2001.0001\de\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.2001.0001\de\msntb.dll
O4 - HKLM\..\Run: [WindowsRegKey%$ update] msi332.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] 16winupdate32.exe
O4 - HKLM\..\RunServices: [WindowsRegKey%$ update] msi332.exe
O4 - HKCU\..\Run: [Ahwbpxa] C:\WINDOWS\System32\dxrb.exe
O4 - HKCU\..\Run: [syschk] C:\Programme\System\syschk32.exe
O4 - Startup: BackProtection.lnk = C:\Programme\BackProtection 2004\backprotection.exe
O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/ger_nopop.exe
O21 - SSODL: Web Event Logger - {7ABBACFE-EEC2-9152-A9EE-416592C5C738} - C:\WINDOWS\System32\Nifdnohk.dll

Das würde ich alles fixen und entsprechend löschen. Bei den MSN Einträgen bin ich nicht sicher, ob du die Toolbar installiert hast oder ob das auch ein Virus oder Spyware ist.?

- björn

Ohne Gewähr

Rene-gad · 29.08.2004, 15:34

@MountainKing
Ich war schneller

Zitat:

O4 - Startup: BackProtection.lnk = C:\Programme\BackProtection 2004\backprotection.exe

Dieses Programm fiel mir auch auf. Das habe ich über Google gefunden. http://www.winload.de/download/27220....2004-5.0.html
Was davon zu halten ist , weiß ich nicht

MountainKing · 29.08.2004, 15:39

Zitat:

Zitat von Rene-gad

@MountainKing
Ich war schneller

Dieses Programm fiel mir auch auf. Das habe ich über Google gefunden. http://www.winload.de/download/27220....2004-5.0.html
Was davon zu halten ist , weiß ich nicht

Ich hatte nur nach der .exe gesucht, dann ist es ja eventuell ein selbst installiertes Teil. Kenne ich auf jeden Fall auch nicht.

Shadowdance · 29.08.2004, 15:43

Hallo mali,

ich schließe mich mmk's Meinung an:

Total Number of Virus(es) Found: 145
Total Number of Disinfected Files: 2
Total Number of Files Renamed: 69
Total Number of Deleted Files: 73

Du solltest formatieren und neu aufsetzen:

Zitat:

Zitat von MountainKing

Wenn du wirklich sicher sein möchtest und dich dazu in der Lage fühlst, solltest du dies befolgen:

1.) Neu formatieren und installieren
2.) Ein eingeschränktes Benutzerkonto anlegen, mit dem gesurft wird, NICHT mit dem Administratorkonto ins Netz gehen
3). VOR der ersten Onlineverbindung die XP-Firewall für die Verbindung aktivieren
4.) Ebenfalls VOR dem Onlinegehen unnötige Dienste deaktivieren siehe www.dingens.org
5.) Danach zuerst www.windowsupdate.com besuchen und alle Updates installieren
6.) den IE nur noch für diese Updates verwenden, ansonsten auf einen alternativen Browser wie Opera oder firefox umsteigen
7.) Browser und emailprogramm (auch hier gibt es Alternativen zu Outlook wie Thunderbird, foxmail) sicher konfigurieren, keine aktiven Inhalte automatisch ausführen lassen (Active-Scripting, Active-X)
8.) Vorsichtig bleiben, nur wirklich als sicher bekannte mailanhänge öffnen, nur aus sicheren Quellen Programme herunterladen und vroher überprüfen, ob sie Spyware oder Adware enthalten
9) ein Antivirenprogramm schadet auch nichts (Antivir ist kostenlos und halbwegs brauchbar), sollte aber nicht dazu verführen, sich grenzenlos darauf zu verlassen

mit Hijack This zu fixen wären:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.de/0SEDEDE/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gogle.de/
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {65DD627A-BB32-24C4-8203-6C5508DD733C} - C:\WINDOWS\System32\kijpgfq.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.02.0002.1001\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.2001.0001\de\msntb.dll

O4 - HKLM\..\Run: [WindowsRegKey%$ update] msi332.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] 16winupdate32.exe
O4 - HKLM\..\RunServices: [WindowsRegKey%$ update] msi332.exe

O4 - HKCU\..\Run: [Ahwbpxa] C:\WINDOWS\System32\dxrb.exe
O4 - HKCU\..\Run: [syschk] C:\Programme\System\syschk32.exe
O4 - Startup: BackProtection.lnk = C:\Programme\BackProtection 2004\backprotection.exe

O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/ger_nopop.exe

O21 - SSODL: Web Event Logger - {7ABBACFE-EEC2-9152-A9EE-416592C5C738} - C:\WINDOWS\System32\Nifdnohk.dll

wenn die hier angegebene Domäne nicht zum ISP, bzw. zum Firmen-Netzwerk gehört, sollten diese Einträge mit HijackThis gefixt werden:

O17 - HKLM\System\CCS\Services\Tcpip\..\{338ECF4A-0E88-4D0E-B32E-D95D62707C58}: NameServer = 217.237.150.141 194.25.2.129
O17 - HKLM\System\CS1\Services\Tcpip\..\{338ECF4A-0E88-4D0E-B32E-D95D62707C58}: NameServer = 217.237.150.141 194.25.2.129

SD

@ all ... wahnsinn, wem man hier so alles begegnet .. ich hab Euch alle nicht gesehen .. Ihr seid einfach schneller als ich .. werde mich umtaufen in die Schnecke .. lieben Gruss

mali · 29.08.2004, 15:54

Ich danke euch nochmal für die schnellen Antworten.

Ich denke langsam an eine Neuinstallation.
Davor noch eine Frage.

Ich habe Norton Antivirus 2004.
Vor der Installation macht er ja immer einen sogenannten vorscan.
Allerdings sind es ja nicht die neusten Virendefinitionen mit den er scant.
Es gibt die Möglichkeit die neusten Virendefinitionen von Symantec downzuloaden und in einen bestimmten Ordner zu entpacken. Danach kann man das ganze brennen und ist (paar Tage) auf dem neusten Stand.

Meine Frage: Ist das so richtig und in welchen Ordner muss man die Virendefinitionen entpacken?

Oder reicht es würklich wenn man nur die XP-Firewall vor der 1. Internetverbingung aktiviert und die Dienste deaktiviert und dan Update
durchführt?

Grüße Mali

Cidre · 29.08.2004, 16:02

Zitat:

Oder reicht es würklich wenn man nur die XP-Firewall vor der 1. Internetverbingung aktiviert und die Dienste deaktiviert und dan Update

Dies ist völlig ausreichend um eine erneute Infektion nach dem Neuaufsetzen auszuschließen. Achte aber auf die Reihenfolge!

29.08.2004, 15:24	#5
Lucky /// Helfer-Team	Bitte um Info ob mein LOG OK ist ! Nein, ich habe beim überfliegen einige Vireneinträge gesehen. - björn __________________ Kein Support per PM!

Bitte um Info ob mein LOG OK ist !

Log-Analyse und Auswertung: Bitte um Info ob mein LOG OK ist !