Mein Hijackthis-Log für die Profis...
 

Hallo folks!
Hier das Log meines Systems mit der Bitte an alle Experten, dieses zu beurteilen und mir Empfehlungen zu geben, wie mit diversen "ungebetenen Gästen" verfahren werden muß...

Vielen Dank, KHK


Logfile of HijackThis v1.99.1
Scan saved at 22:14:11, on 10.03.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WIN2000\System32\smss.exe
C:\WIN2000\system32\csrss.exe
C:\WIN2000\system32\winlogon.exe
C:\WIN2000\system32\services.exe
C:\WIN2000\system32\lsass.exe
C:\WIN2000\system32\svchost.exe
C:\WIN2000\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\WIN2000\System32\svchost.exe
C:\Tools\Kerio Firewall\Personal Firewall 4\kpf4ss.exe
C:\tools\Norton AntiVirus\navapsvc.exe
C:\tools\NORTON~1\NORTON~1\NPROTECT.EXE
C:\Tools\Kerio Firewall\Personal Firewall 4\kpf4gui.exe
C:\WIN2000\system32\nvsvc32.exe
C:\WIN2000\system32\regsvc.exe
C:\WIN2000\system32\MSTask.exe
C:\tools\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WIN2000\System32\WBEM\WinMgmt.exe
C:\WIN2000\Explorer.EXE
C:\Tools\Kerio Firewall\Personal Firewall 4\kpf4gui.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SymTray.exe
C:\tools\NORTON~2\navapw32.exe
C:\Tools\ZEITGE~1\Zeitgeist.exe
C:\Programme\USB Media\shwicon.exe
C:\WIN2000\system32\dla\tfswctrl.exe
C:\Tools\Spybot - Search & Destroy\TeaTimer.exe
C:\tools\Free Download Manager\fdm.exe
C:\Tools\SECRETMAKER\secretmaker.exe
C:\Tools\ClickOff\Clickoff.exe
C:\WIN2000\SOUNDMAN.EXE
C:\tools\Office\OFFICE11\OUTLOOK.EXE
C:\Tools\Starter\Starter.exe
C:\TOOLS\MOZILL~1\FIREFOX.EXE
C:\Tools\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = Diesen Eintrag löschen
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\tools\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WIN2000\system32\dla\tfswshx.dll
O2 - BHO: IeHelper Class - {A491D208-B353-490F-B81A-A8A3DC97042D} - C:\WIN2000\system32\smiehlp.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\tools\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WIN2000\System32\msdxm.ocx
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\tools\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WIN2000\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WIN2000\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WIN2000\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SymTray - Norton SystemWorks] C:\Programme\Gemeinsame Dateien\Symantec Shared\Symtray.exe SetReg
O4 - HKLM\..\Run: [NAV Agent] C:\tools\NORTON~2\navapw32.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\tools\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [Zeitgeist] C:\Tools\ZEITGE~1\Zeitgeist.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [ShowIcon_Vosonic_USB Media Device Driver v1.19r003] "C:\Programme\USB Media\shwicon.exe" -t"Vosonic\USB Media Device Driver v1.19r003"
O4 - HKLM\..\Run: [UpdateManager] "C:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [dla] C:\WIN2000\system32\dla\tfswctrl.exe
O4 - HKLM\..\RunOnce: [SymTray - Norton SystemWorks] C:\Programme\Gemeinsame Dateien\Symantec Shared\Symtrdr.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Tools\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WIN2000\system32\NVMCTRAY.DLL,NvTaskbarInit
O4 - Startup: ClickOff.lnk = C:\Tools\ClickOff\Clickoff.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WIN2000\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: SECRETMAKER.lnk = C:\Tools\SECRETMAKER\secretmaker.exe
O8 - Extra context menu item: Alles mit FDM herunterladen - file://C:\tools\Free Download Manager\dlall.htm
O8 - Extra context menu item: Auswahl mit FDM herunterladen - file://C:\tools\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Mit FDM herunterladen - file://C:\tools\Free Download Manager\dllink.htm
O8 - Extra context menu item: Webseiten mit FDM herunterladen - file://C:\tools\Free Download Manager\dlpage.htm
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\tools\Office\OFFICE11\REFIEBAR.DLL
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-17.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} (IP-Uploader Control) - http://asp06.photoprintit.de/microsi...eUploader3.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3C150DFD-99B8-4C43-9EC1-3C9F763F1C0C}: NameServer = 195.70.224.45 213.90.38.3
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WIN2000\System32\dmadmin.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Tools\Kerio Firewall\Personal Firewall 4\kpf4ss.exe
O23 - Service: Event Log Watch (LogWatch) - Unknown owner - C:\WIN2000\LogWatNT.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\tools\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\tools\NORTON~1\NORTON~1\NPROTECT.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WIN2000\system32\nvsvc32.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\tools\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

Hallo,

dein IE wurde also zweckentfremdet.

Führe zunächst dies aus:
Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Hallo Cidre und Community!

Vielen Dank für Deine rasche Rückmeldung. Habe mein System nach Deinen Vorgaben überprüft, einen 2 maligen Test laufen lassen und die entsprechenden Einträge hier gepostet.

Was bedeutet Deine Bemerkung "...dein IE wurde also zweckentfremdet...."?

Ich bitte Dich nochmals, die Logs zu überprüfen und mir eine Empfehlung abzugeben. Interresant ist für mich, das Norton Antivieruns trotz ständig aktuallisierter Virendefinition auf diese Einträge nicht anspricht!? Kannst du dazu was sagen?

Vielen Dank und Liebe Grüsse
KHK


Sun Mar 13 08:30:21 2005 => File C:\Program Files\Admanager Controller\AdManComm.dll infected by "not-a-virus:AdWare.WinAD.r" Virus. Action Taken: No Action Taken.

Sun Mar 13 08:44:28 2005 => File C:\Software\DVD_Audio_Video_Mp3\gozilla.exe infected by "not-a-virus:AdWare.Aureate" Virus. Action Taken: No Action Taken.

Sun Mar 13 08:45:52 2005 => File C:\Software\DVD_Audio_Video_Mp3\Radlight\RadLight 3 R 5.1.exe infected by "not-a-virus:AdWare.SaveNow.av" Virus. Action Taken: No Action Taken.

Sun Mar 13 08:51:25 2005 => File C:\Software\Internet - Online\GetRight\GetRight v4.5d.exe infected by "not-a-virus:AdWare.Gator.1050" Virus. Action Taken: No Action Taken.

Sun Mar 13 08:51:56 2005 => File C:\Software\Internet - Online\Gozilla\GOZILLA.EXE infected by "not-a-virus:AdWare.Aureate" Virus. Action Taken: No Action Taken.

Sun Mar 13 09:06:33 2005 => File C:\Temp\sahagent.exe infected by "not-a-virus:AdWare.Sahat.h" Virus. Action Taken: No Action Taken.

Sun Mar 13 09:06:33 2005 => File C:\Temp\SAHPackage.exe infected by "not-a-virus:AdWare.Sahat.h" Virus. Action Taken: No Action Taken.

Sat Mar 12 06:42:10 2005 => File C:\Dokumente und Einstellungen\KHK1\Anwendungsdaten\Ahead\Nero BackItUp\Info Files\20051302_200015_Sicherung KHK\D\MODELL~1\Software\WINRAIL\WR3D10.EXE.nco tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Sat Mar 12 06:42:11 2005 => File C:\Dokumente und Einstellungen\KHK1\Anwendungsdaten\Ahead\Nero BackItUp\Info Files\20051302_200015_Sicherung KHK\D\MODELL~1\Software\WINRAIL\WR50SW.EXE.nco tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Sat Mar 12 06:42:10 2005 => File C:\Dokumente und Einstellungen\KHK1\Anwendungsdaten\Ahead\Nero BackItUp\Info Files\20051302_200015_Sicherung KHK\D\MODELL~1\Software\WINRAIL\WR3D10.EXE.nco tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Sat Mar 12 06:42:11 2005 => File C:\Dokumente und Einstellungen\KHK1\Anwendungsdaten\Ahead\Nero BackItUp\Info Files\20051302_200015_Sicherung KHK\D\MODELL~1\Software\WINRAIL\WR50UPD.EXE.nco tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Sat Mar 12 06:48:54 2005 => File C:\Downloads from Internet\DTM2\Race_Driver_2_Cheats_unlocker.rar tagged as not-a-virus:Cracker.Game.HotHook. No Action Taken.

Sat Mar 12 06:48:54 2005 => File C:\Downloads from Internet\DTM2\Race_Driver_2_Cheats_unlocker.zip tagged as not-a-virus:Cracker.Game.HotHook. No Action Taken.

Sat Mar 12 20:08:54 2005 => File C:\Dokumente und Einstellungen\KHK1\Anwendungsdaten\Ahead\Nero BackItUp\Info Files\20051302_200015_Sicherung KHK\D\MODELL~1\Software\WINRAIL\WR3D10.EXE.nco tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Sat Mar 12 20:08:54 2005 => File C:\Dokumente und Einstellungen\KHK1\Anwendungsdaten\Ahead\Nero BackItUp\Info Files\20051302_200015_Sicherung KHK\D\MODELL~1\Software\WINRAIL\WR50SW.EXE.nco tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Sat Mar 12 20:08:54 2005 => File C:\Dokumente und Einstellungen\KHK1\Anwendungsdaten\Ahead\Nero BackItUp\Info Files\20051302_200015_Sicherung KHK\D\MODELL~1\Software\WINRAIL\WR50UPD.EXE.nco tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Meine Annahme begründet sich auf diese Einträge in deinem HJT Log-File:
Einträge fixen und die Datei C:\WIN2000\system32\smiehlp.dl manuell entfernen.
Wenn du mal Zeit hast und du dich durch die einzelnen Threads hier im Forum quälst, dann wirst du mit erschrecken feststellen, dass die Mehrheit der hier Anfragenden NAV und eine 'Desktop Firewall' verwendet, aber die Systeme völlig durchseucht sind.
Dieser Umstand spricht trotz aktuellen Signaturen nicht gerade für NAV. Abgesehen vom Support, wird ebenso nachgesagt, dass es sehr ressourcenfressend ist.
Hier kannst du dir mal einige Vergleichstest anschauen.

Aber nu wieder Back to Topic;):
Deinstalliere GoZilla und GetRight, denn beide beinhalten Spyware.
Leere den Ordner C:\Temp und lösche diesen Ordner C:\Program Files\Admanager Controller.

Les dir danach die Links, siehe Signatur, unter 'Lesenswerte Lektüre...' durch und handle danach.;)

Hallo Cidre,
vielen Dank für Deine Hilfe :) . Konnte mein System fixen und habe mittlerweile NAV den Rücken gekehrt und bin auf eine andere Antivirensoftware umgestiegen.

Gruß KHK

Für welches AV Programm hast du dich entschieden, wenn man fragen darf?

Halte dir vor Augen, dass ein AV Programm nur eine Ergänzung zu einem bestehenden Sicherheitskonzept ist. Ebenso sollte es in Punkto Sicherheit nicht von Dir überbewertet werden.

Hallo Cidre,
verwende im Moment eine Trialversion Kaspersky Anti-Virus Personal 5.0. Zusätzlich habe ich schon seit längerem die Kerio Personal Firewall 4.0 laufen und verwende regelmässig Spybot - Search & Destroy 1.3 und Ad-Aware SE.

Wenn du schon ein Sicherheitskonzept ansprichst: Was kann ich noch zur Verbesserung meines Schutzes tun? Gibt es Empfehlungen über weitere Software?

Danke KHK

@khk
Pflichtlektüre: http://faq.underflow.de/