Guten Abend,

seid ca 2 Wochen updatet mein AntiVir nicht mehr. Ich habe zuerst vermutet, dass es am Updateserver liegt und sich das Problem von alleine löst. Jetzt hab ich mal recherchiert im Inet und gesehen, dass das auch an Viren u.ä. liegen könnte. Darauf hin hab ich ein manuelles Update durchgeführt und ein Scan im abgesicherten Modus mit aggresiven Einstellungen gemacht, er hat auch ca 8 verdächtige Datein gefunden und diese konnten gelöscht werden. Das Problem war aber immer noch nicht behoben, also hab ich zum wiederholten mal Antivir deinstalliert und neu draufgemacht (der Grund warum ich die logdatei vom Scan mit dem Mailwarefund nicht mehr habe ). Problem bestand immer noch, hab also mbam installiert... keine Funde. GMER hab ich auch laufen lassen wollen, aber das ist wärend des Scans mit einem bluescreen abgestürzt (habe XP Servicepack 3).

Ich habe mal den Hijack log angefügt, eventuell weiss noch jemand rat?

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:52:50, on 09.09.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\WiFi\bin\S24EvMon.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Sicherheit\Avira\AntiVir Desktop\sched.exe
C:\Programme\Sicherheit\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Intel\WiFi\bin\ZCfgSvc.exe
C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\iFrmewrk.exe
C:\Programme\Sicherheit\ZoneAlarm\zlclient.exe
C:\Programme\Sicherheit\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Tools\Office\Rainlendar2\Rainlendar2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Tools\DAEMON Tools Lite\daemon.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Logitech\SetPoint\SetPoint.exe
C:\Programme\Internet\VPN Client\cvpnd.exe
C:\Programme\Internet\sipgate X-Lite\sipgateXLite.exe
C:\Programme\Tools\Office\OpenOffice.org\OpenOffice.org 3\program\soffice.exe
C:\Programme\Intel\WiFi\bin\EvtEng.exe
C:\Programme\Tools\Office\OpenOffice.org\OpenOffice.org 3\program\soffice.bin
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Tools\Office\CDBurnerXP\NMSAccessU.exe
C:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\wbem\unsecapp.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Internet\Thunderbird\thunderbird.exe
C:\Programme\Internet\Miranda IM\miranda32.exe
C:\Programme\Internet\Firefox\firefox.exe
C:\PROGRA~1\Internet\FREEDO~1\fdm.exe
C:\Programme\Tools\TotalCommander\TOTALCMD.EXE
c:\Programme\Sicherheit\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://w*w.musiclivesonline.com/trackers/unicodefonts.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll
O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Internet\Free Download Manager\iefdm2.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\WiFi\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\iFrmewrk.exe" /tf Intel Wireless Tray
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\***\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [avgnt] "C:\Programme\***\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [Rainlendar2] C:\Programme\***\Office\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programme\***\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Programme\***\Office\OpenOffice.org\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe
O4 - Global Startup: sipgate X-Lite.lnk = C:\Programme\***\sipgate X-Lite\sipgateXLite.exe
O8 - Extra context menu item: Alles mit FDM herunterladen - file://C:\Programme\***\Free Download Manager\dlall.htm
O8 - Extra context menu item: Auswahl mit FDM herunterladen - file://C:\Programme\***\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Datei mit FDM herunterladen - file://C:\Programme\***\Free Download Manager\dllink.htm
O8 - Extra context menu item: Videos mit FDM herunterladen - file://C:\Programme\***\Free Download Manager\dlfvideo.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\***\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\***\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\***\VPN Client\cvpnd.exe
O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel(R) Corporation - C:\Programme\Intel\WiFi\bin\EvtEng.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTServ.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Programme\***\Office\CDBurnerXP\NMSAccessU.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel(R) Corporation - C:\Programme\Gemeinsame Dateien\Intel\WirelessCommon\RegSrvc.exe
O23 - Service: Intel® PROSet/Wireless WiFi Service (S24EventMonitor) - Intel(R) Corporation - C:\Programme\Intel\WiFi\bin\S24EvMon.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 8431 bytes
         

Schöne Grüße
Max

Hallo und

Das Logfile sieht unauffällig aus. Ich würde da eher auf ZoneAlarm als Problemherd einstufen, hatten wir letzens auch hier so einen Fall, die Dinger aktualisieren sich tw. selbständig und wirbeln alles durcheinander.

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

ZoneAlarm bzw. "Firewalls" von Drittanbietern kann ich nicht weiterempfehlen. Sie bieten keinen echten Mehrwert an Sicherheit, erhöhen aber die Komplexität des Systems, ich würde Dir daher empfehlen es zu deinstallieren und nur die Windows-Firewall zu verwenden, die reicht aus und erhöht nicht die Komplexität des Systems, denn sie ist integraler Bestandteil des IP-Stacks in Windows.

Hallo cosinus,

danke für das herzliche Willkommen und die schnelle Antwort :-)

Ich habe Zonealarm nicht um Angriffe von außen zu blocken, sondern eher um das typische "nach-Hause-telefonieren" einiger Programme zu unterbinden.

Ich habe mich lange nicht mehr mit der Windowsfirewall beschäftigt, ich weiss nur, damals als die eingeführt wurde, hat sie nur Probleme gemacht. Ich werde mir das ganze aber auf dein Rat hin nochmal angucken.

Wie siehst du das Problem mit GMER?

Viele Grüße
Max

Das "Nach-Hause-Telefonieren" lässt sich nicht zuverlässig unterbinden. Ein Schmelm wer Böses dabei denkt: ZoneAlarm selbst war es mal vor einiger Zeit, was "nach Hause telefoniert" hat!!
IdR sind diese Geschichte einfach Suchen nach Updates der Programme. Kannst Du bei jedem Tool eigentlich deaktivieren, läufst aber dann Gefahr, Updates zu verpassen.
Sollte das bei einem Programm nicht funktionieren, wäre es vllt mal an der Zeit, dieses zu entsorgen.

Ja da hast du recht, ich benutze sehr viel freeware, was sicher nicht immer optimal ist.

Ich würde gerne nochmal auf GMER zurückkommen. Meinst du, dass das ein Fehler von GMER ist bzw von System, oder auf noch unendeckte Schändlinge hinweist?

VG
Max

Ich glaube das ist einfach ein Bug von GMER. Wäre nicht der erste Anti-Rootkit-Tool, das auf manchen Kisten abstürzt. Du könntest auch mal F-Secure's Blacklight probieren.

Hab F-Secure mal durchlaufen lassen - nichts gefunden. Ich denke, das das System sauber ist.

Danke für die Hilfe

Viele Grüße
Max

Dein Logfile war auch nicht auffällig.

Setz das am besten noch mit der Windows-Firewall um, ZoneAlarm rausschmeißen.

Außerdem bitte Updates prüfen, kritisch sind immer welche für Windows, Java und dem AdobeReader:


Windows-/Internet Explorer Update
Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Es geht v.a. um den IE8, auch wenn Du ihn nicht nutzt.


Adobe Acrobat Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alte Version über Systemsteuerung => Software zu deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Starte den Rechner neu und downloade den aktuellen Acrobat-Reader herunter und installiere ihn.

Falls Dir der Adobe Acrobat Reader nicht gefällt, kannst Du alternativ auch Foxit PDF Reader installieren. Er ist "schlanker" und benutzt weniger Resourcen.


Java-Update
Deine derzeitig installierte Version von Java ist veraltet, was ebenfalls ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alten Versionen zu löschen und auf die neuste zu aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

ZA ist schon geflogen. Jetzt beschäftige ich mich damit die Windowsfirewall richtig einzurichten... die Konfigurationsmöglichkeiten scheinen ja sehr eingeschränkt zu sein.

Java update durchgeführt, danke für den Hinweis.

Foxit benutetze ich schon lange ist echt ein schönes Programm.