Firefox im Taskmanager, obwohl nicht geöffnet!

cosinus · 14.12.2009, 21:28

Die Conmine ist anscheinend okay, kein Fund und diese Herstellerangaben:

Code:

ATTFilter

publisher....: Microsoft Corporation
copyright....: (c) Microsoft Corporation. All rights reserved.
product......: Microsoft_ Windows_ Operating System
description..: Console IME
original name: CONIME.EXE
internal name: Console
file version.: 6.0.6002.18005 (lh_sp2rtm.090410-1830)

Die Logs schau ich mir gleich an.

cosinus · 14.12.2009, 21:47

Code:

ATTFilter

app=c:\program files\uusee\uuseeplayer.exe

Was ist das für ein Player? Kennst/Nutzt Du den?

Code:

ATTFilter

app=c:\users\bönek\desktop\u96.exe

Was ist sowas aufm Desktop?

Duffman · 14.12.2009, 21:52

Code:

ATTFilter

app=c:\program files\uusee\uuseeplayer.exe

Ja den Player kenn ich, aber nutz ich nicht mehr. Ich dachte ich hätte ihn schon deinstalliert. Aber den hatte ich schon bevor dieses Problem auftauchte.

Code:

ATTFilter

app=c:\users\bönek\desktop\u96.exe

Das war oder ist UltraSurf: UltraSurf - Download - COMPUTER BILD

cosinus · 14.12.2009, 22:06

Okay, mehr hatte ich da nicht anzumerken. Wie ist es denn nun um den Rechner bestellt? Ist der FF immer noch "unaufgefordert" offen?

Zur Kontrolle: Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte oder poste Namen und Pfade.

Duffman · 14.12.2009, 22:27

Ich habe den PC mit PrevXCSI überprüft und er findet folgendes:
Pic-Upload.de - Kostenlos Bilder & Fotos hochladen

Ich weiß aber nicht, ob dass was mit dem Problem zu tun hat.

Ne der Firefox ist nicht mehr unaufgefordert offen. Aber da du heute Nachmittag sagtest, dass das neue Malware ist, bin ich nun doch etwas skeptisch geworden. Wurde das Problem denn jetzt durch den Avenger behoben? Antivir und Spybot S&D finden nichts!

cosinus · 14.12.2009, 22:33

Scheint ein Spiel zu sein. hast Du mal "Jewel Quest Solitaire" gespielt? Von einem Acer-Laptop eines Kollegen weiß ich, dass Acer da ne ganze menge Müll mit raufinstalliert

Ich würde Dir gern noch Combofix aufgeben, dass Tool ist aber leider z.Z. wegen Problemen down.
Meld Dich einfach nochmal, wenn wieder Probleme sind.

Duffman · 14.12.2009, 22:39

Ne hab ich nie gespielt, ist aber ganz sicher Müll!

Also kann ich dann weiter nichts unternehmen?! Neuinstallation nicht nötig (auch nicht unter Aspekten der Sicherheit)? Aber es lässt sich ja de facto nichts finden...

Dennoch

Duffman · 14.12.2009, 23:10

Eine Sache versteh ich jedoch nicht: Warum ist folgender Code

Code:

ATTFilter

O4 - HKCU\..\Run: [HKCU] C:\Users\Bönek\AppData\Roaming\sys32\svhost.exe

immernoch im HJT-Log vorhanden, obwohl er doch von Avenger gelöscht wurde und finden kann ich ihn auch nicht?

cosinus · 14.12.2009, 23:53

Das ist noch der verwaiste Registry-Eintrag. Der ist unwirksam, da die Datei weg ist.
Du kannst den Eintrag mit HijackThis fixen. Mach danach einen Neustart und poste frische Logfiles mit RSIT.

Duffman · 15.12.2009, 10:28

Ich kann den verwaisten Registry-Eintrag nur noch im HiJack-Log finden, nicht aber im eigentlichen Programm:

Pic-Upload.de - Kostenlos Bilder & Fotos hochladen

Zum Vergleich der akutelle Log:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:43:43, on 14.12.2009
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18865)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\System32\rundll32.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\PLFSetI.exe
C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSLoader.exe
C:\Program Files\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Program Files\Acer Arcade Deluxe\Acer Arcade Deluxe\Kernel\CLML\CLMLSvc.exe
C:\Program Files\Razer\Diamondback\razerhid.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\ehome\ehmsas.exe
C:\Users\BNEK~1\AppData\Local\Temp\RtkBtMnt.exe
C:\Program Files\Razer\Diamondback\razertra.exe
C:\Program Files\Razer\Diamondback\razerofa.exe
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
C:\Program Files\Common Files\AOL\1218900205\ee\aolsoftware.exe
C:\Program Files\AOL 9.0 VRa\waol.exe
C:\Program Files\AOL 9.0 VRa\shellmon.exe
C:\Program Files\Common Files\AOL\Topspeed\3.0\aoltpsd3.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\PROGRA~1\COMMON~1\Nokia\MPLATF~1\NOKIAM~1.EXE
C:\Program Files\Malwarebytes\mbam.exe
C:\Users\Bönek\Desktop\RSIT.exe
C:\Program Files\Trend Micro\HijackThis\Bönek.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.intl.acer.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.intl.acer.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: (no name) -  - (no file)
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\ActiveToolBand.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDStoolbar.dll
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [PLFSetI] C:\Windows\PLFSetI.exe
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSloader.exe
O4 - HKLM\..\Run: [ePower_DMC] C:\Program Files\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [CLMLServer] "C:\Program Files\Acer Arcade Deluxe\Acer Arcade Deluxe\Kernel\CLML\CLMLSvc.exe"
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Program Files\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [Diamondback] C:\Program Files\Razer\Diamondback\razerhid.exe
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ISUSPM Startup] C:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [HKCU] C:\Users\Bönek\AppData\Roaming\sys32\svhost.exe
O4 - HKCU\..\Run: [AOL Fast Start] "C:\Program Files\AOL 9.0 VRa\AOL.EXE" -b
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Quick-Launching Area - {10954C80-4F0F-11d3-B17C-00C0DFE39736} - C:\Program Files\Acer\Acer Bio Protection\PwdBank.exe
O9 - Extra 'Tools' menuitem: Quick-Launching Area - {10954C80-4F0F-11d3-B17C-00C0DFE39736} - C:\Program Files\Acer\Acer Bio Protection\PwdBank.exe
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe
O13 - Gopher Prefix: 
O16 - DPF: {C1FDEE68-98D5-4F42-A4DD-D0BECF5077EB} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/eBay_Enhanced_Picture_Control_v1-0-29-0.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/flashplayer/current/swflash.cab
O20 - Winlogon Notify: AWinNotifyVitaKey MC3000 - C:\Program Files\Acer\Acer Bio Protection\WinNotify.dll
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - AOL LLC - C:\Program Files\Common Files\AOL\ACS\AOLAcsd.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
O23 - Service: CLHNService - Unknown owner - C:\Program Files\Acer Arcade Deluxe\HomeMedia\Kernel\DMP\CLHNService.exe
O23 - Service: eDataSecurity Service - Egis Incorporated - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel(R) Corporation - C:\Program Files\Intel\WiFi\bin\EvtEng.exe
O23 - Service: Google Update Service (gupdate1c98c805e078ff9) (gupdate1c98c805e078ff9) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iGroupTec Service (IGBASVC) - Unknown owner - C:\Program Files\Acer\Acer Bio Protection\BASVC.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe
O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel(R) Corporation - C:\Program Files\Common Files\Intel\WirelessCommon\RegSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\Cyberlink\Shared files\RichVideo.exe
O23 - Service: Raw Socket Service (RS_Service) - Acer Incorporated - C:\Program Files\Acer\Acer VCM\RS_Service.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Nokia\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe

--
End of file - 10939 bytes

cosinus · 15.12.2009, 10:44

Öffne mal regedit und navigiere zum besagten Schlüssel. Lösch ihn.

Duffman · 15.12.2009, 13:50

In dem Unterschlüssel von Run lassen sich nur 5 Schlüssel finden, und zwar AOL Fast Start, ehTray.exe, ISUSPM Startup, Sidebar, sowie Standard. Dort ist der svhost.exe Schlüssel auch nicht mehr vorhanden!

Der Wert für Standard ist nicht gesetzt.

cosinus · 15.12.2009, 14:17

Du warst in diesem Schlüssel?

Code:

ATTFilter

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Dann sollte eigentlich rechts der böse Eintrag "HKCU" sein. Alternativ kannst Du die Reg auch mal nach sys32 oder svhost absuchen.

Mach mal bitte sicherheitshalber: GMER - Anleitung

Duffman · 15.12.2009, 16:23

Ich hab Reg nach svhost.exe durchsucht und die Datei wurde in folgendem Schlüssel gefunden:
Pic-Upload.de - Kostenlos Bilder & Fotos hochladen.

GMER Scanning mach ich jetzt!

cosinus · 15.12.2009, 16:26

Wirds nur da gefunden? Wenn ja links den ganzen Schlüssel löschen! (der mit 3255c21... anfängt)

14.12.2009, 21:47	#17
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Firefox im Taskmanager, obwohl nicht geöffnet! Code: ATTFilter app=c:\program files\uusee\uuseeplayer.exe Was ist das für ein Player? Kennst/Nutzt Du den? Code: ATTFilter app=c:\users\bönek\desktop\u96.exe Was ist sowas aufm Desktop? __________________ __________________

14.12.2009, 22:06	#19
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Firefox im Taskmanager, obwohl nicht geöffnet! Okay, mehr hatte ich da nicht anzumerken. Wie ist es denn nun um den Rechner bestellt? Ist der FF immer noch "unaufgefordert" offen? Zur Kontrolle: Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte oder poste Namen und Pfade. __________________ Logfiles bitte immer in CODE-Tags posten

14.12.2009, 23:53	#24
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Firefox im Taskmanager, obwohl nicht geöffnet! Das ist noch der verwaiste Registry-Eintrag. Der ist unwirksam, da die Datei weg ist. Du kannst den Eintrag mit HijackThis fixen. Mach danach einen Neustart und poste frische Logfiles mit RSIT. __________________ Logfiles bitte immer in CODE-Tags posten

15.12.2009, 10:44	#26
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Firefox im Taskmanager, obwohl nicht geöffnet! Öffne mal regedit und navigiere zum besagten Schlüssel. Lösch ihn. __________________ Logfiles bitte immer in CODE-Tags posten

15.12.2009, 16:26	#30
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Firefox im Taskmanager, obwohl nicht geöffnet! Wirds nur da gefunden? Wenn ja links den ganzen Schlüssel löschen! (der mit 3255c21... anfängt) __________________ Logfiles bitte immer in CODE-Tags posten

Firefox im Taskmanager, obwohl nicht geöffnet!

Log-Analyse und Auswertung: Firefox im Taskmanager, obwohl nicht geöffnet!