Kann mit jemand helfen? habe seit frei Tagen Problem mit einem about:blank hijacker und einem Trojaner. gleichzeitig wollen sich exe-Dateien ins Internet loggen. Habe schon mit antivir UND ecsan nach der Lektüre hier alles probiert. Weiß nicht mehr weiter. Posted desegen jetzt mein HijackThis log-file.

Hilfe

Logfile of HijackThis v1.98.2
Scan saved at 21:45:49, on 06.09.2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE
C:\WINDOWS\SYSTEM\LEXBCES.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\SYSTEM\LEXPPS.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMME\CD-WRITER PLUS\HP SIMPLE TRAX\HPCRON.EXE
C:\PROGRAMME\0190 WARNER\WARN0190.EXE
C:\WINDOWS\SYSTEM\LVCOMS.EXE
D:\LOGITECH\LOGITRAY.EXE
C:\WINDOWS\SYSTEM\QTTASK.EXE
C:\PROGRAMME\ZONE LABS\ZONEALARM\ZLCLIENT.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAMME\WINZIP\WZQKPICK.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\PROGRAMME\CD-WRITER PLUS\E-REG\REMIND32.EXE
C:\PROGRAMME\WINDOWS MEDIA COMPONENTS\ENCODER\WMENCAGT.EXE
C:\WINDOWS\SYSTEM\X3YY\LCIMDGQA.EXE
C:\WINDOWS\SYSTEM\TOOLS\WINMGMT.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
D:\LOGITECH\LOWLIGHT.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
F1 - win.ini: run=C:\WINDOWS\hpfsched.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [HP Simple Trax] C:\Programme\CD-Writer Plus\HP Simple Trax\hpcron.exe
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~1\WARN0190.EXE
O4 - HKLM\..\Run: [LVComs] C:\WINDOWS\SYSTEM\LVComS.exe
O4 - HKLM\..\Run: [LogitechGalleryRepair] D:\Logitech\ISStart.exe
O4 - HKLM\..\Run: [LogitechImageStudioTray] D:\Logitech\LogiTray.exe
O4 - HKLM\..\Run: [LexStart] lexstart.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRAMME\ZONE LABS\ZONEALARM\ZLCLIENT.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\RunServices: [TrueVector] C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE -service
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O4 - Startup: Corel Family & Friends Erinnerungsfunktionen.LNK = C:\Programme\CD-Writer Plus\Corel\cffrem.exe
O4 - Startup: Reminder-hpc40502.lnk = C:\Programme\CD-Writer Plus\E-Reg\Remind32.exe
O4 - Startup: RealDownload.lnk = C:\Programme\Real\RealDownload\REALDOWNLOAD.EXE
O4 - Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Startup: Encoder Agent.lnk = C:\Programme\Windows Media Components\Encoder\WMENCAGT.EXE
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O12 - Plugin for .de/handel/einzelhandel/branchendaten/branchendaten_einzelhandel_2003: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...tatsClient.cab
O16 - DPF: {2359626E-7524-4F87-B04E-22CD38A0C88C} (ICSScannerLight Class) - http://download.zonelabs.com/bin/free/cm/ICSCM.cab
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab

Hallo AP79,

- besuche bitte zuerst www.windowsupdate.com und lade Dir alle Patches und Updates runter. Dein IE entspricht nicht der aktuellen Version.

- bitte im abgesicherten Modus mit Hijack This fixen

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

Scanne bitte mit dem online-scan von Kaspersky folgende Dateien:

C:\PROGRAMME\CD-WRITER PLUS\E-REG\REMIND32.EXE
C:\PROGRAMME\WINDOWS MEDIA COMPONENTS\ENCODER\WMENCAGT.EXE
C:\WINDOWS\SYSTEM\X3YY\LCIMDGQA.EXE
C:\WINDOWS\RUNDLL32.EXE

Ergebnis?

Hattest Du den eScan online geupdatet und im abgesicherten Modus offline durchgeführt? Was war das Ergebnis? Wieviel Viren, welchen Namens wurden gefunden bzw. umbenannt?

Woher weisst Du, dass Du einen Trojaner auf dem System hast/hattest?

Poste dann bitte ein neues Logfile.

SD

Hallo!

Habe gerade die 4 Dateien überprüft. 3 sind ok, der Ordner 3xyy wird leider garnicht gefunden. Dort ist aber laut des Dateinamens ein Virus (Ordnername in Google gibt Aufschluss.) allerdings sagt mir Antivir immer wieder, dass ich einen heuristic, trojaner in Windows/system/Tools habe. Mein Problem: Er schreibt sich auch nach dem löschen immer wieder rein. Gleiches gilt für die beiden Einträge, die ich mit hjack this fixen sollte. Tauchen nach ner Zeit wieder auf. Warum?

Kapersky sagt zum Virus in Tolols:

winmgmt.exe - packed with PECompact
winmgmt.exe Infiziert: Backdoor.Win32.Carufax.r

Mein IExplorer wird gerade aktualisiert. Kannst Du mir weiterhelfen?

@ AP79

wie heisst der Trojaner, den AntiVir auf Deinem System feststellt?

Du hast leider meine Frage nach dem eScan nicht beantwortet. Bitte lade Dir den eScan entsprechend der Anweisung runter, erstelle einen Ordner c:\bases, entpacke den eScan da hinein, update ihn online und führe ihn dann offline, im abgesicherten Modus aus. Teile uns das Ergebnis mit: wieviel Viren wurden auf Deinem Rechner gefunden, wie heißen diese Viren, wieviele Viren wurden gelöscht, wieviele Dateien wurden umbenannt - es sieht so aus:

=>Total Number of Files Scanned:
=>Total Number of Virus(es) Found:
=>Total Number of Disinfected Files:
=>Total Number of Files Renamed:
=>Total Number of Deleted Files:
=>Total Number of Errors:
***** Scanning complete. *****
=>Virus Database Date:
=>Virus Database Count:

Der Backdoor.Win32.Carufax.r sollte damit eigentlich gelöscht werden.

Poste zusammen mit dem Ergebnis des eScan bitte ein neues Logfile.

SD