Tach Zusammen !

Ich habe hier einige Probleme und fürchte, dass sich mein PehZeh etwas massiv unangenehmes eingefangen hat :

- Weder SpyBot noch Malwarebytes Anti-Malware 1.3.8 lassen sich starten.
- Google-Links werden umgeleitet - vorzugsweise nach eBay *stöhn*
- PopUp-Werbung taucht auf (irgendwelche affiliates), was aber mittlerweile durch einen PopUp-Blocker für Firefox verhindert wird.

Die automatische Auswertung meines HighjackThis-Logs hat ein paar Verweise auf russische Seiten ergeben, was ich aber bereits nach Anleitung gefixt habe.

Sophos und Avira finden nichts, A2Free ebenfalls nicht.

Ich bin mittlerweile mit meinem - zugegeben wenig umfangreichem - Latein am Ende und hoffe hier auf eure Hilfe.

Hier das aktuelle HJT-Logfile :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:41:48, on 19.06.2009
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\a-squared Free\a2service.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Nero\Nero 7\InCD\InCDsrv.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
c:\Programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe
c:\Programme\Sophos\AutoUpdate\ALsvc.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programme\Analog Devices\SoundMAX\SMTray.exe
C:\Programme\Analog Devices\SoundMAX\DrvLsnr.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Sophos\AutoUpdate\ALMon.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\PROGRA~1\MICROS~2\OFFICE11\OUTLOOK.EXE
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programme\Trend Micro\HijackThis\pruefung.com.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://fritz.box/
O1 - Hosts: ::1 localhost
O2 - BHO: Sophos Web Content Scanner - {39EA7695-B3F2-4C44-A4BC-297ADA8FD235} - c:\Programme\Sophos\Sophos Anti-Virus\SophosBHO.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [Smapp] C:\Programme\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [DrvLsnr] C:\Programme\Analog Devices\SoundMAX\DrvLsnr.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Programme\Sophos\AutoUpdate\ALMon.exe
O8 - Extra context menu item: &NeoTrace It! - C:\PROGRA~1\NEOTRA~2\NTXcontext.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Sothink SWF Catcher - C:\Programme\Gemeinsame Dateien\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Programme\Gemeinsame Dateien\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra 'Tools' menuitem: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Programme\Gemeinsame Dateien\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: NeoTrace It! - {9885224C-1217-4c5f-83C2-00002E6CEF2B} - C:\PROGRA~1\NEOTRA~2\NTXtoolbar.htm (HKCU)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.de/scan_de/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1244668369951
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bul-online.de/scan/Msie/bitdefender.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O20 - AppInit_DLLs: c:\PROGRA~1\Sophos\SOPHOS~2\SOPHOS~1.DLL
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programme\a-squared Free\a2service.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Sophos Anti-Virus Statusreporter (SAVAdminService) - Sophos Plc - c:\Programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe
O23 - Service: Sophos Anti-Virus (SAVService) - Sophos Plc - c:\Programme\Sophos\Sophos Anti-Virus\SavService.exe
O23 - Service: Sophos AutoUpdate Service - Sophos Plc - c:\Programme\Sophos\AutoUpdate\ALsvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

--
End of file - 6953 bytes
         

Vorab schon mal vielen lieben Dank !

Gruß

Matthias

Hallo

Die automatische Auswertung meines HighjackThis-Logs hat ein paar Verweise auf russische Seiten ergeben, was ich aber bereits nach Anleitung gefixt habe.

eine Umleitung wundert mich hier überhaupt nicht

Ich habe hier einige Probleme und fürchte, dass sich mein PehZeh etwas massiv unangenehmes eingefangen hat :

- Weder SpyBot noch Malwarebytes Anti-Malware 1.3.8 lassen sich starten.
- Google-Links werden umgeleitet - vorzugsweise nach eBay *stöhn*
- PopUp-Werbung taucht auf (irgendwelche affiliates), was aber mittlerweile durch einen PopUp-Blocker für Firefox verhindert wird.

Bei derart massiven Problemen sowie deinem ungepflegtem System

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

macht eine Bereinigung mal überhaupt keinen Sinn mehr.
Folge dieser Anleitung zur Neuinstallation des Betriebssystems.

Wenn du Daten sichern möchtest verzichte auf ausführbare Dateien (exe, bat, scr usw.) sowie auf Dateien aus unseriösen Quellen wie P2P.
Ändere auch nach der Neuinstallation alle deine Pass- und Kennwörter.
Gehe nicht eher Online, bevor nicht das Servicepack 3 installiert ist, suche dann zuerst die Updateseite von Microsoft auf und installiere alle verfügbaren Patches/Updates.

MFG

Hallo,

vielen Dank erstmal für die Antwort.

Zum ungepflegten System :

1. Den IE verwende ich überhaupt nicht; ich surfe lediglich mit Firefox, Opera und Safari.

2. Den Composter hier habe ich gebraucht mit XP-Professional Lizenz gekauft und irgendwann bei einem Update-Versuch mal festgestellt, dass lt. Microsoft die Lizenz nicht mit der aufgespielten XP-Version übereinstimmt.

Leider ist der Händler mittlerweile Pleite ...

Der MS-Support meinte, dass ich mir die passende CD zur Lizenz bzw. der Seriennummer besorgen sollte, ansonsten hätte ich Pech

Habe ich aber leider noch nicht, so dass eine Neuinstallation für mich z.Zt. nicht in Frage kommt.

Noch jemand Vorschläge ?

Gruß

Matthias

Hallo

Habe ich aber leider noch nicht, so dass eine Neuinstallation für mich z.Zt. nicht in Frage kommt.

Dann würde ich den Rechner nur noch Offline betreiben, um nicht noch dich und andere Internetnutzer mit der versifften Kiste zu gefährden.

Noch jemand Vorschläge ?

Ich glaube nicht, dass da noch viel kommt.
Man könnte die Kiste mit unverhältnismäßigem Aufwand zwar versuchen zu bereinigen, aber durch die fehlenden Servicepacks und Folgeupdates bist du in kürzester Zeit wieder infiziert.

MFG

Herzlichen Dank !

Immer gut zu wissen, dass es Leute gibt bei denen alles bestens läuft, die obendrein auch noch richtig Ahnung haben und nebenbei in ihrer allgefälligen Güte die selbe Perfektion bei ihren Mitmenschen als grundsätzlich voraussetzen.

Vielleicht ist ja doch jemand so nett und hilft mir mit "unverhältnismäßigem Aufwand" die "versiffte Kiste" wieder zu bereinigen.

Gruß

Matthias

Ich denke auch nicht, dass sich hier irgendwer die Mühe macht, so ein Steinzeitsystem zu bereinigen und das dann alle paar Tage oder Wochen erneut zu machen, weil dein System dann wieder Infiziert ist.

Soweit ich es weiß, schickt einen Microsoft auch eine CD zu, wenn man eine reguläre Lizenz besitzt.

Ohne SP3 und IE7 oder besser noch IE8 bringt es nichts und du solltest ihn wirklich nur noch Offline betreiben.

Also kann ich nochdigger nur zustimmen.

mfg, Kaos

Hallo Kaos,

Zitat von Kaos

Soweit ich es weiß, schickt einen Microsoft auch eine CD zu, wenn man eine reguläre Lizenz besitzt.

In der Tat ... machen die, wenn man sich erfolgreich gegen die telefonischen Abfangjäger durchgesetzt hat die einen zunächst überaus hartnäckig auf den zuständigen Händler verweisen ...

Dann muss man den License Key mit allem Flitz und Feuerstein im Original (!) einsenden, dann "wird das sorgfältig geprüft" - nach Anfrage zur Dauer der Prüfung wurde geantwortet : "Das sehen se dann !" - und für den unglaublichen Discountpreis von nur 36,- Flocken plus Versandkosten bekommt man tatsächlich eine neue CD ...

Wenn man also den versicherten Versand - Einschreiben taugt ja nicht da nur bis 25,- Euro versichert - und die Versandkosten für die Rücksendung hinzurechnet ist man locker bei knapp 50,- Teuronen ... ... eher steige ich auf Linux um als das ich bei dem Wucher-Verein irgendwas neues kaufe !

Aber das hat sich jetzt eh erledigt; ich habe jetzt in ihBäh eine unregistrierte XP Prof mit CD und Key für 30,- Flocken vom Händler ersteigert.

Ohne SP3 und IE7 oder besser noch IE8 bringt es nichts und du solltest ihn wirklich nur noch Offline betreiben.

Wozu brauche ich den IE ?
Den verwende ich doch gar nicht ...

Gruß

Matthias

*reinspring*

Wozu brauche ich den IE ?
Den verwende ich doch gar nicht ..

Der IE sollte immer aktuell sein, auch wenn man ihn nicht verwendet.
Viren nutzen ihn gerne und auch Windowsupdates laufen dort rüber.

Zu den Rest und zu dein benehmen sag ich mal nichts

*rausspring*

Hallo Shadow,

Zitat von Shadow09

Der IE sollte immer aktuell sein, auch wenn man ihn nicht verwendet. Viren nutzen ihn gerne und auch Windowsupdates laufen dort rüber.

OK ... das leuchtet ein, Danke !

Zu den Rest und zu dein benehmen sag ich mal nichts

Eine Aussage zu meinem Benehmen steht Dir auch kaum zu.

Aber zumindest leide ich nicht an sozialer Legasthenie.

Gruß

Matthias

an deiner stelle würde ich auch neumachen, da man a bei soviel befall auch nach vermeindlichem löschen nciht sicher sein kann, dass alles weg ist, b deine daten aufspioniert werden können und es c einfach mal extrem lange dauert die verantwortlichen teile zu finden und dann ncoh zu löschen ....

einfach ne externe platte nehmen, wichtige sachen rüberschieben, dann die anleitung zur Neuinstallation befolgen, nach der Neuinstallation die updates machen und gleich ein antivirenprog draufspielen und anschließen die externe auf virenchecken, falls du automatisch etwas mit draufgezogen hast!

ich hatte gestern auch ein problem, meine explorer.exe war permanent kontant auf 50%, bis man das problem gefunden hatte waren 6h rum. es war eine beschädigte videodatei auf meinem desktop ....

ein Neuaufsetzen dauert eine stunde + programme installieren ....

hallo enrick, ich habe ein ähnliches Problem, ich denke der thread könnte für dich auch interessant sein.

PS: dein verhalten hier ist total unverhältnismäßig. du kannst dich freuen dass dir überhaupt jemand geholfen hat. du solltest dir im klaren sein, dass man dir hier freiwillig hilft, and alle Helfer ihre wertvolle freizeit opfern! also zolle dem etwas mehr respekt!

Nabend Zusammen ...

so, ein kleines Update :

Problem gelöst !

An anderer Stelle hat man sich tatsächlich die Mühe gemacht, mir ein wenig Hilfe zu gewähren; des Rätsels Lösung nennt sich GMER; mit Hilfe dieses Tools habe ich das Rootkit auf meinem Rechner gefunden und beseitigt, so dass ich auch wieder mit AdAware und SpybotSD arbeiten und den Rest ausputzen konnte - und das ganz ohne "format:c"

Und mit der mittlerweile eingetroffenen neuen XP-Lizenz und dem SP2 Update bin ich zumindest wieder halbwegs up to date.

@Mr.Icetea
Ich freue mich über jede tatsächliche (!) Hilfe, und wenn´s auch nur ein "Tut mir Leid, aber da kann ich dir nicht helfen" ist.
Ansonsten halte ich es nicht unbedingt für ein Privileg, in einem Forum Hilfe zu erhalten.
In meinem Fachbereich empfinde ich es sogar als eine Selbstverständlichkeit, anderen Leuten zu helfen - sowohl in meiner beruflichen Tätigkeit als auch ehrenamtlich in diversen Foren, wo ich ebenfalls etliche Stunden meiner wertvollen Freizeit "opfere".

Dem ursprünglichen Gedanken zolle ich grundsätzlich Respekt - Personen aber nur dann, wenn diese sich den Respekt auch verdient haben.
Mich interessieren nicht die Darstellung sondern die taten einer Person.

Und wenn sich fachliche Kompetenz mit einem gerüttelt Maß Arroganz paart, erweckt dieses Verhalten höchstens mein Mitleid.

Und in diesem Fall sind Krawallschachtel und Shadow die Einzigen, welchen ich Respekt zolle.

Gruß

Matthias

Hallo

An anderer Stelle hat man sich tatsächlich die Mühe gemacht, mir ein wenig Hilfe zu gewähren; des Rätsels Lösung nennt sich GMER; mit Hilfe dieses Tools habe ich das Rootkit auf meinem Rechner gefunden und beseitigt, so dass ich auch wieder mit AdAware und SpybotSD arbeiten und den Rest ausputzen konnte - und das ganz ohne "format:c"

es ging mir mehr um die Aussicht, dass du auf längere Sicht keine Servicepacks bzw. Updates einspielst also eine erneute Infektion innerhalb weniger Minuten stattfinden kann (aktuell z.B. Kido).
Darum die Empfehlung des Offlinebetriebes, das war kein blöder Scherz...

Ansonsten halte ich es nicht unbedingt für ein Privileg, in einem Forum Hilfe zu erhalten.

Und mit der mittlerweile eingetroffenen neuen XP-Lizenz und dem SP2 Update bin ich zumindest wieder halbwegs up to date.

Warum nicht gleich SP3?

Und wenn sich fachliche Kompetenz mit einem gerüttelt Maß Arroganz paart, erweckt dieses Verhalten höchstens mein Mitleid.

Arroganz?
Ich denke dir hat nur meine MEINUNG nicht gepasst
Ich verstehe, dass es nicht leicht fällt ein komplett installiertes System ohne Sicherung zu plätten, aber ich halte bei einem Befall mit Rootkits und Backdoors eine Neuinstallation für die einzig sichere Variante.

Prost

Hallo,

es ging mir mehr um die Aussicht, dass du auf längere Sicht keine Servicepacks bzw. Updates einspielst also eine erneute Infektion innerhalb weniger Minuten stattfinden kann (aktuell z.B. Kido).

Von "auf längere Sicht" war niemals die Rede !

Warum nicht gleich SP3?

Weil ich solche Stunts nur dann drehe wenn ich definitiv genügend Zeit habe, mich notfalls einen halben Tag ausschließlich mit dem Computer zu beschäftigen.
Das ist zur Zeit leider nicht der Fall.

Arroganz?
Ich denke dir hat nur meine MEINUNG nicht gepasst.

Das hat mit Deiner Meinung absolut nichts zu tun sondern mit der Art und Weise, wie Du Deine Meinung rüberbringst.

Wenn ich in einem der von mir unterstützten Foren einen Hilferuf aus der Kategorie "Baumarkt besucht, Baby-Meerschweinchen gesehen, Mama und Papa genervt, Meerschweinchen gekauft, keine Ahnung von nix, Problem aufgetaucht" erhalte, könnte ich mich auch kopfschüttelnd zurücklehnen und auf "mach erst mal nen Grundkurs in Kleintierhaltung" plädieren und eine literarische Heularie in Bezug auf die ach so unbedarften Spontankäufer anstimmen.

Statt dessen kommt von mir auch nach dem siebentausendfünfhundertzweiundsechzigsten Mal zunächst die Frage nach konkreten Hintergründen und darauf bezogen dann die höfliche aber bestimmte Erklärung, weshalb man wann, was und warum nicht macht und wie´s besser funktioniert.

Alles andere ist keine Hilfe sondern dient lediglich zur Erhöhung des Beitragszählers.

Ich verstehe, dass es nicht leicht fällt ein komplett installiertes System ohne Sicherung zu plätten, aber ich halte bei einem Befall mit Rootkits und Backdoors eine Neuinstallation für die einzig sichere Variante.

Das wäre dann wohl die Problematik des selektiven Lesens ...

Meine Sicherungen mache ich täglich, somit wäre es auch kaum ein Problem gewesen, das System neu aufzusetzen - vom Zeitfaktor mal abgesehen.
Allerdings wäre das zum Zeitpunkt meiner Bitte um Hilfe völlig vergeblich gewesen, denn :

Was hätte mir ein "frisches" System gebracht, wenn ich mit einem laut Microsoft falschen License-Key ohnehin kein Update auf SP2 erhalten hätte und somit wieder auf SP1 rumgegurkt wäre ?

Den Rechner plätten kann jeder - mir ging´s um kurzfristige und vor allem schnelle Hilfe.

Gruß

Matthias

Hallo Enrik,

ich habe genau das gleiche Problem. Kannst Du mir sagen, welchen Eintrag in GMER ich löschen/deaktiveren muss?

Vielen lieben Dank schon mal im Voraus.