|
Kann Trusted Zone Eintrag nicht 'Fix checken' Hallo, ich kann die Einträge O15 - Trusted Zone: http://*.63.219.181.7 O15 - Trusted Zone: *.frame.crazywinnings.comO15 nicht löschen (siehe Log File) Darüber hinaus kann ich mit Regedit nicht mehr in der Registry suchen (Fehlermeldung: Der Vorgang erad konnte nicht ...) Dazu kommen noch diverse Popups, die mich zum download von spyware ermuntern. Alles in Allem ist es sehr sehr nervig Hat jemand einen Tip für mich ob es hier irgend einen Zusammenhang gibt? Logfile of HijackThis v1.98.2 Scan saved at 23:09:08, on 30.11.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\TGTSoft\StyleXP\StyleXPService.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe d:\Programme\AVPersonal\AVGUARD.EXE D:\Programme\Apache Group 2.0\Apache2\bin\Apache.exe d:\Programme\AVPersonal\AVWUPSRV.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe D:\Programme\MySQL Server 4.1\bin\mysqld-nt.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\tcpsvcs.exe C:\WINDOWS\System32\wdfmgr.exe C:\Programme\HHVcdV5Sys\VC5SecS.exe C:\WINDOWS\System32\inetsrv\inetinfo.exe D:\Programme\Apache Group 2.0\Apache2\bin\Apache.exe C:\WINDOWS\Explorer.EXE C:\Programme\HHVcdV5Sys\VC5Play.exe D:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe D:\Programme\AVPersonal\AVGNT.EXE C:\Programme\TGTSoft\StyleXP\StyleXP.exe C:\WINDOWS\System32\rundll32.exe D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe D:\Programme\Apache Group 2.0\Apache2\bin\ApacheMonitor.exe D:\Programme\TurboNote\tbnote.exe D:\Programme\Zone Labs\ZoneAlarm\zapro.exe D:\Programme\Virtual CD v5\System\VC5Tray.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE C:\WINDOWS\System32\rsn.exe C:\WINDOWS\System32\getdns.exe D:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe D:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe D:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE E:\Install\AntiVir\Trojans\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.de/ R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.t-online.de/service/redir/tosw4_start.htm O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe O4 - HKLM\..\Run: [ToADiMon.exe] D:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart O4 - HKLM\..\Run: [AVGCtrl] d:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide O4 - Global Startup: Acrobat Assistant.lnk = D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe O4 - Global Startup: Monitor Apache Servers.lnk = D:\Programme\Apache Group 2.0\Apache2\bin\ApacheMonitor.exe O4 - Global Startup: TurboNote.lnk = D:\Programme\TurboNote\tbnote.exe O4 - Global Startup: ZoneAlarm Pro.lnk = D:\Programme\Zone Labs\ZoneAlarm\zapro.exe O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\GoogleToolbar2.dll/cmsimilar.html O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html O15 - Trusted Zone: http://*.63.219.181.7 O15 - Trusted Zone: *.frame.crazywinnings.com O17 - HKLM\System\CCS\Services\Tcpip\..\{9AF55A46-9269-4D32-B878-C241E129E619}: NameServer = 217.237.150.97 217.237.149.161 |
@gunslinger wechsle in den abgesicherten modus und fixe O15 - Trusted Zone: http://*.63.219.181.7 O15 - Trusted Zone: *.frame.crazywinnings.com danach manuell löschen C:\WINDOWS\System32\rsn.exe C:\WINDOWS\System32\getdns.exe neu starten, danach ein neues HJT logflile posten chaosman |
Vielleicht hilft dir dieses Posting von Lutz weiter -> http://www.trojaner-board.de/showpos...37&postcount=7 |
Hallo chaosman, auch wenn ich in den abgesicherten Modus wechsle, gelingt es mir nicht die Einträge 'zu fixen'. So oft ich es auch versuche, so oft erscheinen sie beim nächsten Scan. Darüber hinaus kann ich auch die Dateien rns.exe und getdns.exe nicht finden. So langsam wirds ätzend da sich numehr auch die Startseite verstellt. Hallo Haui45, ich hab den Beitrag gelesen, kann aber nicht ganz folgen. Ich bilde mir ein, zumindest über Grundkenntnisse am PC zu verfügen, aber die beschriebenen Maßnahmen sind mir nicht einsichtig. Wenn ich bedenke das es sich bei den Programmieren solcher nervenden Software nur um ein paar Idioten handelt wird mir Angst und Bange was die Jungs von Microsoft und Co noch alles mit uns anstellen können. TO PUT IT IN A NUTSHELL : HEEEEEEEEEEEELP |
Zitat:
C:\WINDOWS\System32\getdns.exe) manuell http://www.trojaner-board.de/42731-escan-anleitung.html . Anschliessend die vertrauenswürdigen Sites entfernen: IE -> Extras -> Internetoptionen -> Sicherheit -> Vertrauenswürdige Sites -> Sites -> Seite markieren und entfernen Zitat:
|
Hi Cidre, ich hab die Explorereinstellungen natürlich vor dem Neustart im SafeMode umgestellt. Nur genützt hat es nichts. Ich versuchs jetzt mal mit escan. P. S. Ich kann auch nicht mehr in der Registry suchen (mit regedit). Das Programm bricht mit einem angeblichen read error ab. |
Hallo gunslinger, versuchen wir das ganze Schrittweise: Lade Dir hier http://www.thespykiller.co.uk/files/ms4hd.zip (direkter DownloadLink!) das Tool Ms4Hd_look herunter und entpacke es in einen eigenen Ordner. Anschließend starte die Datei runme.bat aus diesem neu erstellten Ordner. Du erhälst eine Datei namens look.log. Bitte poste hier den Inhalt dieser Datei. Danach sehen wir weiter. |
Hallo Lutz, danke für die angebotene Hilfe! Anbei die Datei look.log An Ms4Hd_look by IMM (v0.001) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd (key has 4 subkeys and 0 value entries - last modified 18:22(UTC) 30/11/2004) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\Files (key has 0 subkeys and 31 value entries - last modified 18:22(UTC) 30/11/2004) [taskrun.exe] = "è" (REG_SZ) (0 bytes) [trayinfo.exe] = "è" (REG_SZ) (0 bytes) [subsys.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) [smlogvcc.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [rsvxp.exe] = "è" (REG_SZ) (0 bytes) [rsn.exe] = "è" (REG_SZ) (0 bytes) [rexecs.exe] = "è" (REG_SZ) (0 bytes) [resrvc32.exe] = "è" (REG_SZ) (0 bytes) [rcip.exe] = "è" (REG_SZ) (0 bytes) [proxyconf.exe] = "è" (REG_SZ) (0 bytes) [powerconf.exe] = "è" (REG_SZ) (0 bytes) [pingnet.exe] = "è" (REG_SZ) (0 bytes) [dnsping.exe] = "è" (REG_SZ) (0 bytes) [odcfg.exe] = "è" (REG_SZ) (0 bytes) [netstart.exe] = "è" (REG_SZ) (0 bytes) [netdns.exe] = "è" (REG_SZ) (0 bytes) [getdns.exe] = "è" (REG_SZ) (0 bytes) [msswchxp.exe] = "è" (REG_SZ) (0 bytes) [msng.exe] = "è" (REG_SZ) (0 bytes) [msinfo.exe] = "è" (REG_SZ) (0 bytes) [netssl.exe] = "è" (REG_SZ) (0 bytes) [netdetect.exe] = "è" (REG_SZ) (0 bytes) [sfcver.exe] = "è" (REG_SZ) (0 bytes) [netcfg.dll] = "è" (REG_SZ) (0 bytes) [odbcfg32.dll] = "è" (REG_SZ) (0 bytes) [p2pserv.dll] = "è" (REG_SZ) (0 bytes) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) [syspack.dll] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\Processes (key has 0 subkeys and 27 value entries - last modified 18:22(UTC) 30/11/2004) [taskrun.exe] = "è" (REG_SZ) (0 bytes) [trayinfo.exe] = "è" (REG_SZ) (0 bytes) [subsys.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) [smlogvcc.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [rsvxp.exe] = "è" (REG_SZ) (0 bytes) [rsn.exe] = "è" (REG_SZ) (0 bytes) [rexecs.exe] = "è" (REG_SZ) (0 bytes) [resrvc32.exe] = "è" (REG_SZ) (0 bytes) [rcip.exe] = "è" (REG_SZ) (0 bytes) [proxyconf.exe] = "è" (REG_SZ) (0 bytes) [powerconf.exe] = "è" (REG_SZ) (0 bytes) [pingnet.exe] = "è" (REG_SZ) (0 bytes) [dnsping.exe] = "è" (REG_SZ) (0 bytes) [odcfg.exe] = "è" (REG_SZ) (0 bytes) [netstart.exe] = "è" (REG_SZ) (0 bytes) [netdns.exe] = "è" (REG_SZ) (0 bytes) [getdns.exe] = "è" (REG_SZ) (0 bytes) [msswchxp.exe] = "è" (REG_SZ) (0 bytes) [msng.exe] = "è" (REG_SZ) (0 bytes) [msinfo.exe] = "è" (REG_SZ) (0 bytes) [netssl.exe] = "è" (REG_SZ) (0 bytes) [netdetect.exe] = "è" (REG_SZ) (0 bytes) [sfcver.exe] = "è" (REG_SZ) (0 bytes) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\RegKeys (key has 0 subkeys and 8 value entries - last modified 18:22(UTC) 30/11/2004) [{98DBBF16-CA43-4c33-BE80-99E6694468A4}] = "è" (REG_SZ) (0 bytes) [{E9590744-812B-46C3-96EB-33212855927D}] = "è" (REG_SZ) (0 bytes) [Files] = "è" (REG_SZ) (0 bytes) [Ms4Hd] = "è" (REG_SZ) (0 bytes) [Processes] = "è" (REG_SZ) (0 bytes) [RegKeys] = "è" (REG_SZ) (0 bytes) [RegValues] = "è" (REG_SZ) (0 bytes) [Vendor] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\RegValues (key has 0 subkeys and 4 value entries - last modified 18:22(UTC) 30/11/2004) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) |
Liste der Anhänge anzeigen (Anzahl: 1) Ja, so stell ich mir eine saubere Infektion vor. ;) Sorry, ist nicht böse oder ironische gemeint! Ich schreib das nur, weil ich ein paar Fälle gesehen habe, wo das nicht so eindeutig war... Dann wollen wir mal weiter: Lade Dir hier das Tool Killbox herunter -> http://download.broadbandmedic.com/KillBox.exe (direkter DownloadLink!) und speichere es am Besten direkt auf dem Desktop (damit du es schnell wieder findest). Anschließend lade die Registry-Datei Removems4hd.reg herunter -> http://www.thespykiller.co.uk/files/Removems4hd.reg (ebenfalls direkter Download-Link!) und speichere sie auch am Besten auf dem Desktop. Starte dann die Datei KillBox.exe und wähle die Option 'Delete on Reboot' aus (s. angehangene Grafik). Bei 'Full Path of File to Delete' trägst Du nacheinander die lt. Log bei Dir gefundenen Dateien incl. kompletten Pfad ein (also z.b. C:\WINDOWS\system32\taskrun.exe). Danach klickst Du auf das weiße Kreuz im roten Kreis und bestätigst die erste Abfrage mit JA. Die zweite Frage, ob das System jetzt neu gestartet (rebootet) werden soll, verneinst Du solange, bist Du alle Dateien aus deinem Log auf diese Weise zum löschen eingetragen hast. Nach der letzten Datei bestätigst Du dann die Reboot-Abfrage mit JA. Nach dem anschließenden Neustart führe mit einem Doppelklick die vorhin heruntergeladene Registry-Datei aus (Internet-Explorer und ggf. Outlook dürfen dabei nicht geöffnet sein!). Anschließend dürftest Du in den Favoriten des IE einige unerwünschte Seiten finden, die Du nun löschen kannst. Starte den Rechner bitte ein weiteres mal neu. Führe Ms4Hd_look und HijackThis noch einmal aus und poste die beiden Logs hier noch einmal... Viel Erfolg! Ich möchte allgemein noch einmal darauf hinweisen, dass das Ausführen der Killbox gefährlich sein kann, wenn man sich bei den zu löschenden Dateien vertippt und so u. U. eine wichtige Systemdatei löscht! |
Hallo Lutz, ich habe zwischenzeitlich einen escan durchgeführt und mir auch die KillBox und die Registry Removems.reg besorgt. Meine derzeitge look.log habe ich angefügt. Jetzt aber zum aber: Welche Dateien sollen denn gelöscht werden (z.B. kann ich taskrun.exe nirgends finden). Vielen Dank im Voraus für deine Geduld. Gruß gunslinger An Ms4Hd_look by IMM (v0.001) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd (key has 4 subkeys and 0 value entries - last modified 18:22(UTC) 30/11/2004) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\Files (key has 0 subkeys and 31 value entries - last modified 18:22(UTC) 30/11/2004) [taskrun.exe] = "è" (REG_SZ) (0 bytes) [trayinfo.exe] = "è" (REG_SZ) (0 bytes) [subsys.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) [smlogvcc.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [rsvxp.exe] = "è" (REG_SZ) (0 bytes) [rsn.exe] = "è" (REG_SZ) (0 bytes) [rexecs.exe] = "è" (REG_SZ) (0 bytes) [resrvc32.exe] = "è" (REG_SZ) (0 bytes) [rcip.exe] = "è" (REG_SZ) (0 bytes) [proxyconf.exe] = "è" (REG_SZ) (0 bytes) [powerconf.exe] = "è" (REG_SZ) (0 bytes) [pingnet.exe] = "è" (REG_SZ) (0 bytes) [dnsping.exe] = "è" (REG_SZ) (0 bytes) [odcfg.exe] = "è" (REG_SZ) (0 bytes) [netstart.exe] = "è" (REG_SZ) (0 bytes) [netdns.exe] = "è" (REG_SZ) (0 bytes) [getdns.exe] = "è" (REG_SZ) (0 bytes) [msswchxp.exe] = "è" (REG_SZ) (0 bytes) [msng.exe] = "è" (REG_SZ) (0 bytes) [msinfo.exe] = "è" (REG_SZ) (0 bytes) [netssl.exe] = "è" (REG_SZ) (0 bytes) [netdetect.exe] = "è" (REG_SZ) (0 bytes) [sfcver.exe] = "è" (REG_SZ) (0 bytes) [netcfg.dll] = "è" (REG_SZ) (0 bytes) [odbcfg32.dll] = "è" (REG_SZ) (0 bytes) [p2pserv.dll] = "è" (REG_SZ) (0 bytes) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) [syspack.dll] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\Processes (key has 0 subkeys and 27 value entries - last modified 18:22(UTC) 30/11/2004) [taskrun.exe] = "è" (REG_SZ) (0 bytes) [trayinfo.exe] = "è" (REG_SZ) (0 bytes) [subsys.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) [smlogvcc.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [rsvxp.exe] = "è" (REG_SZ) (0 bytes) [rsn.exe] = "è" (REG_SZ) (0 bytes) [rexecs.exe] = "è" (REG_SZ) (0 bytes) [resrvc32.exe] = "è" (REG_SZ) (0 bytes) [rcip.exe] = "è" (REG_SZ) (0 bytes) [proxyconf.exe] = "è" (REG_SZ) (0 bytes) [powerconf.exe] = "è" (REG_SZ) (0 bytes) [pingnet.exe] = "è" (REG_SZ) (0 bytes) [dnsping.exe] = "è" (REG_SZ) (0 bytes) [odcfg.exe] = "è" (REG_SZ) (0 bytes) [netstart.exe] = "è" (REG_SZ) (0 bytes) [netdns.exe] = "è" (REG_SZ) (0 bytes) [getdns.exe] = "è" (REG_SZ) (0 bytes) [msswchxp.exe] = "è" (REG_SZ) (0 bytes) [msng.exe] = "è" (REG_SZ) (0 bytes) [msinfo.exe] = "è" (REG_SZ) (0 bytes) [netssl.exe] = "è" (REG_SZ) (0 bytes) [netdetect.exe] = "è" (REG_SZ) (0 bytes) [sfcver.exe] = "è" (REG_SZ) (0 bytes) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\RegKeys (key has 0 subkeys and 8 value entries - last modified 18:22(UTC) 30/11/2004) [{98DBBF16-CA43-4c33-BE80-99E6694468A4}] = "è" (REG_SZ) (0 bytes) [{E9590744-812B-46C3-96EB-33212855927D}] = "è" (REG_SZ) (0 bytes) [Files] = "è" (REG_SZ) (0 bytes) [Ms4Hd] = "è" (REG_SZ) (0 bytes) [Processes] = "è" (REG_SZ) (0 bytes) [RegKeys] = "è" (REG_SZ) (0 bytes) [RegValues] = "è" (REG_SZ) (0 bytes) [Vendor] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\RegValues (key has 0 subkeys and 4 value entries - last modified 18:22(UTC) 30/11/2004) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) |
Zitat:
Also als erstes: C:\Windows\System32\taskrun.exe dann C:\Windows\System32\trayinfo.exe usw... |
Hallo Lutz, hab ich gemacht, danach sieht das Log so aus: (irgendwie hat sich nichts getan) Vielleicht noch eine Frage. Ich habe eine Antivirenprogramm namens AntiVir welches ich regelmäßig auf den neuesten Stand bringe und mit dem ich einmal die Woche meine Platten überprüfe. Warum findet dieses Programm nicht die gleichen Dateien die eScan aufspürt? Gruß gunslinger An Ms4Hd_look by IMM (v0.001) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd (key has 4 subkeys and 0 value entries - last modified 18:22(UTC) 30/11/2004) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\Files (key has 0 subkeys and 31 value entries - last modified 18:22(UTC) 30/11/2004) [taskrun.exe] = "è" (REG_SZ) (0 bytes) [trayinfo.exe] = "è" (REG_SZ) (0 bytes) [subsys.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) [smlogvcc.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [rsvxp.exe] = "è" (REG_SZ) (0 bytes) [rsn.exe] = "è" (REG_SZ) (0 bytes) [rexecs.exe] = "è" (REG_SZ) (0 bytes) [resrvc32.exe] = "è" (REG_SZ) (0 bytes) [rcip.exe] = "è" (REG_SZ) (0 bytes) [proxyconf.exe] = "è" (REG_SZ) (0 bytes) [powerconf.exe] = "è" (REG_SZ) (0 bytes) [pingnet.exe] = "è" (REG_SZ) (0 bytes) [dnsping.exe] = "è" (REG_SZ) (0 bytes) [odcfg.exe] = "è" (REG_SZ) (0 bytes) [netstart.exe] = "è" (REG_SZ) (0 bytes) [netdns.exe] = "è" (REG_SZ) (0 bytes) [getdns.exe] = "è" (REG_SZ) (0 bytes) [msswchxp.exe] = "è" (REG_SZ) (0 bytes) [msng.exe] = "è" (REG_SZ) (0 bytes) [msinfo.exe] = "è" (REG_SZ) (0 bytes) [netssl.exe] = "è" (REG_SZ) (0 bytes) [netdetect.exe] = "è" (REG_SZ) (0 bytes) [sfcver.exe] = "è" (REG_SZ) (0 bytes) [netcfg.dll] = "è" (REG_SZ) (0 bytes) [odbcfg32.dll] = "è" (REG_SZ) (0 bytes) [p2pserv.dll] = "è" (REG_SZ) (0 bytes) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) [syspack.dll] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\Processes (key has 0 subkeys and 27 value entries - last modified 18:22(UTC) 30/11/2004) [taskrun.exe] = "è" (REG_SZ) (0 bytes) [trayinfo.exe] = "è" (REG_SZ) (0 bytes) [subsys.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) [smlogvcc.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [rsvxp.exe] = "è" (REG_SZ) (0 bytes) [rsn.exe] = "è" (REG_SZ) (0 bytes) [rexecs.exe] = "è" (REG_SZ) (0 bytes) [resrvc32.exe] = "è" (REG_SZ) (0 bytes) [rcip.exe] = "è" (REG_SZ) (0 bytes) [proxyconf.exe] = "è" (REG_SZ) (0 bytes) [powerconf.exe] = "è" (REG_SZ) (0 bytes) [pingnet.exe] = "è" (REG_SZ) (0 bytes) [dnsping.exe] = "è" (REG_SZ) (0 bytes) [odcfg.exe] = "è" (REG_SZ) (0 bytes) [netstart.exe] = "è" (REG_SZ) (0 bytes) [netdns.exe] = "è" (REG_SZ) (0 bytes) [getdns.exe] = "è" (REG_SZ) (0 bytes) [msswchxp.exe] = "è" (REG_SZ) (0 bytes) [msng.exe] = "è" (REG_SZ) (0 bytes) [msinfo.exe] = "è" (REG_SZ) (0 bytes) [netssl.exe] = "è" (REG_SZ) (0 bytes) [netdetect.exe] = "è" (REG_SZ) (0 bytes) [sfcver.exe] = "è" (REG_SZ) (0 bytes) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\RegKeys (key has 0 subkeys and 8 value entries - last modified 18:22(UTC) 30/11/2004) [{98DBBF16-CA43-4c33-BE80-99E6694468A4}] = "è" (REG_SZ) (0 bytes) [{E9590744-812B-46C3-96EB-33212855927D}] = "è" (REG_SZ) (0 bytes) [Files] = "è" (REG_SZ) (0 bytes) [Ms4Hd] = "è" (REG_SZ) (0 bytes) [Processes] = "è" (REG_SZ) (0 bytes) [RegKeys] = "è" (REG_SZ) (0 bytes) [RegValues] = "è" (REG_SZ) (0 bytes) [Vendor] = "è" (REG_SZ) (0 bytes) ---------------------------------------- Handle OK. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\RegValues (key has 0 subkeys and 4 value entries - last modified 18:22(UTC) 30/11/2004) [clfmon.exe] = "è" (REG_SZ) (0 bytes) [netssh.exe] = "è" (REG_SZ) (0 bytes) [sessngr.exe] = "è" (REG_SZ) (0 bytes) [spoolsvc.exe] = "è" (REG_SZ) (0 bytes) |
Hallo, versuchen wir es noch einmal mit einem anderen Tool! Lade rem.zip herunter http://forums.skads.org/index.php?showtopic=80 (dort im 1. Posting von Baskar unter Attached File(s)!). Entpacke es im Verzeichnis C:\WINDOWS\System32\ (es ist wichtig, dass es in diesem Verzeichnis ist!) und starte den Rechner im abgesicherten Modus. Anschließend starte die Datei rem.bat. Starte den Rechner anschließend im normalen Modus neu. Es sollte jetzt direkt unter C:\ eine Datei namens log.txt zu finden sein. Poste bitte den Inhalt hier. Außerdem brauchen wir dann das aktuelle Log von HijackThis. zusätzlich zur log.txt gibt es unter C:\ die Dateien bad.reg und bad.zip. Bitte diese Dateien zunächst nicht 'anpacken'. Viel Erfolg! Danke an raman für den Tipp! :daumenhoc Ohne ihn wäre ich an dieser Stelle ziemlich aufgeschmissen! <Edit> Ich habe den Link geändert, da nur an der jetzigen Fundstelle gewährleistet ist, dass immer die aktuelle Version von rem.zip heruntergeladen wird. Die gestern bei mir geparkte Version steht ab sofort nicht mehr zur Verfügung! </Edit> |
Nun denn: Hier der inhalt der Datei log.txt Microsoft Windows XP [Version 5.1.2600] C:\WINDOWS\system32 "Files found" --------------------------------------------------------------------- Zipping files............ --------------------------------------------------------- deleting files........ --------------------------------------------------------- "Files Not Deleted" --------------------------------------------------------------------- Checking for version 2 files.......... Files Found ------------------------------------------------------------ Zipping files............ --------------------------------------------------------- deleting files........ --------------------------------------------------------- Files Not deleted ------------------------------------------------------------ Merging registry entries ----------------------------------------------------------------- The Registry Entries Found... ----------------------------------------------------------------- Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Ms4Hd] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Ms4Hd\Files] "taskrun.exe"="" "trayinfo.exe"="" "subsys.exe"="" "spoolsvc.exe"="" "smlogvcc.exe"="" "sessngr.exe"="" "rsvxp.exe"="" "rsn.exe"="" "rexecs.exe"="" "resrvc32.exe"="" "rcip.exe"="" "proxyconf.exe"="" "powerconf.exe"="" "pingnet.exe"="" "dnsping.exe"="" "odcfg.exe"="" "netstart.exe"="" "netdns.exe"="" "getdns.exe"="" "msswchxp.exe"="" "msng.exe"="" "msinfo.exe"="" "netssl.exe"="" "netdetect.exe"="" "sfcver.exe"="" "netcfg.dll"="" "odbcfg32.dll"="" "p2pserv.dll"="" "clfmon.exe"="" "netssh.exe"="" "syspack.dll"="" [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Ms4Hd\Processes] "taskrun.exe"="" "trayinfo.exe"="" "subsys.exe"="" "spoolsvc.exe"="" "smlogvcc.exe"="" "sessngr.exe"="" "rsvxp.exe"="" "rsn.exe"="" "rexecs.exe"="" "resrvc32.exe"="" "rcip.exe"="" "proxyconf.exe"="" "powerconf.exe"="" "pingnet.exe"="" "dnsping.exe"="" "odcfg.exe"="" "netstart.exe"="" "netdns.exe"="" "getdns.exe"="" "msswchxp.exe"="" "msng.exe"="" "msinfo.exe"="" "netssl.exe"="" "netdetect.exe"="" "sfcver.exe"="" "clfmon.exe"="" "netssh.exe"="" [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Ms4Hd\RegKeys] "{98DBBF16-CA43-4c33-BE80-99E6694468A4}"="" "{E9590744-812B-46C3-96EB-33212855927D}"="" "Files"="" "Ms4Hd"="" "Processes"="" "RegKeys"="" "RegValues"="" "Vendor"="" [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Ms4Hd\RegValues] "clfmon.exe"="" "netssh.exe"="" "sessngr.exe"="" "spoolsvc.exe"="" ----------------------------------------------------------------- Done und hier das LogFile von HijackTHis Logfile of HijackThis v1.98.2 Scan saved at 20:36:59, on 05.12.2004 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\TGTSoft\StyleXP\StyleXPService.exe C:\WINDOWS\system32\spoolsv.exe d:\Programme\AVPersonal\AVGUARD.EXE D:\Programme\Apache Group 2.0\Apache2\bin\Apache.exe d:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\System32\cisvc.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe D:\Programme\MySQL Server 4.1\bin\mysqld-nt.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\tcpsvcs.exe C:\Programme\HHVcdV5Sys\VC5SecS.exe C:\WINDOWS\System32\inetsrv\inetinfo.exe D:\Programme\Apache Group 2.0\Apache2\bin\Apache.exe C:\WINDOWS\system32\wuauclt.exe C:\WINDOWS\Explorer.EXE C:\Programme\HHVcdV5Sys\VC5Play.exe D:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe D:\Programme\AVPersonal\AVGNT.EXE C:\Programme\TGTSoft\StyleXP\StyleXP.exe D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe D:\Programme\Apache Group 2.0\Apache2\bin\ApacheMonitor.exe D:\Programme\TurboNote\tbnote.exe D:\Programme\Zone Labs\ZoneAlarm\zapro.exe C:\WINDOWS\system32\rundll32.exe D:\Programme\Virtual CD v5\System\VC5Tray.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe D:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe D:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe D:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE D:\Programme\emule\emule.exe C:\WINDOWS\system32\notepad.exe E:\Install\AntiVir\Trojans\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://msaps.dll/search.html R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://msaps.dll/search.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.de/ R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.t-online.de/service/redir/tosw4_start.htm R3 - URLSearchHook: MailTo Class - {FDE3577A-6254-181C-4E11-339E4F746BD3} - C:\WINDOWS\System32\wins32t.dll (file missing) O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe O4 - HKLM\..\Run: [ToADiMon.exe] D:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto O4 - HKLM\..\Run: [AVGCtrl] d:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide O4 - Global Startup: Acrobat Assistant.lnk = D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe O4 - Global Startup: Monitor Apache Servers.lnk = D:\Programme\Apache Group 2.0\Apache2\bin\ApacheMonitor.exe O4 - Global Startup: TurboNote.lnk = D:\Programme\TurboNote\tbnote.exe O4 - Global Startup: ZoneAlarm Pro.lnk = D:\Programme\Zone Labs\ZoneAlarm\zapro.exe O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\GoogleToolbar2.dll/cmsimilar.html O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1101937891437 O17 - HKLM\System\CCS\Services\Tcpip\..\{9AF55A46-9269-4D32-B878-C241E129E619}: NameServer = 217.237.150.97 217.237.149.161 Gruß gunslinger |
Fix nun bitte noch das: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://msaps.dll/search.html R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://msaps.dll/search.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.de/ R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.t-online.de/service/redir/tosw4_start.htm R3 - URLSearchHook: MailTo Class - {FDE3577A-6254-181C-4E11-339E4F746BD3} - C:\WINDOWS\System32\wins32t.dll (file missing) O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto Vergebe eine neue Startseite und schaue, ob wieder alles (einigermassen) wirder so laeuft wie vorher. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 10:22 Uhr. |
Copyright ©2000-2025, Trojaner-Board