Navlogon?
 

Hallo,

ich habe seit kurzem das Problem, dass mein explorer beim herunterfahren oft hängenbleibt, ich dann erst "jetzt beenden" klicken muss...
habe dann mal alles gescannt und folgendes im HJT für fraglich befunden: O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll
Google liefert leider nichts - auch sonst nichts gefunden

hier das log:
Logfile of HijackThis v1.99.1
Scan saved at 15:46:27, on 22.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINDOWS\system32\cba\pds.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
C:\Programme\WinPortrait\wpctrl.exe
C:\Programme\Gigabyte\Gigabyte Windows Utility Manager\ET4\et4Tray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\WinPortrait\floater.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\DOKUME~1\mb\LOKALE~1\Temp\Temporäres Verzeichnis 6 für hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [vptray] C:\Programme\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
O4 - HKLM\..\Run: [PivotSoftware] "C:\Programme\WinPortrait\wpctrl.exe"
O4 - HKLM\..\Run: [EasyTuneIV] C:\Programme\Gigabyte\Gigabyte Windows Utility Manager\ET4\et4Tray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O15 - Trusted Zone: http://*.windowsupdate.microsoft.com
O15 - Trusted Zone: http://*.windowsupdate.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = seven2one.de
O17 - HKLM\Software\..\Telephony: DomainName = seven2one.de
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = seven2one.de
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - Service: Intel File Transfer - Intel® Corporation - C:\WINDOWS\system32\cba\xfr.exe
O23 - Service: Intel PDS - Intel® Corporation - C:\WINDOWS\system32\cba\pds.exe
O23 - Service: MESAP4 DataLink Service (dl_test) (M4DataLinkService) - Seven2one GmbH - C:\Programme\Mesap4\M4DataLinkService.exe
O23 - Service: MESAP4 Schedule Agent (M4SchedAgent) - Seven2one GmbH - C:\Programme\Mesap4\M4ScheduleAgent.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
O23 - Service: Symantec System Center Discovery-Dienst (NSCTOP) - Symantec Corporation - C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
O23 - Service: OracleOraHome9ClientCache - Unknown owner - D:\oracle\ora9204\BIN\ONRSD.EXE

hab das log schon online überrpüfen lassen, nur der navlogon ist komisch

danke und gruß mirko

Überprüfe die Datei mal online bei http://virusscan.jotti.org/de/ und poste das Ergebnis.

hatte ich ja schon gemacht, vergessen mit reinzukopieren:

Auslastung:
0% 100%
Datei: NavLogon.dll
Status:
EVENTUELL INFIZIERT/MALWARE (Es ist verdächtig, dass die Sandbox-Emulation lange dauerte und/oder die Datei gepackt war. Normalerweise sind Programme nicht gepackt und zwingen die Sandbox nicht zu einer langwierigen Emulation. Beachten Sie, dass kein Scanner eine Warnung gegeben hat, d.h. die Datei kann sehr wohl harmlos sein. Wir raten allerdings zur Vorsicht.) (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.)
Entdeckte Packprogramme:
-

AntiVir
Keine Viren gefunden (1.58 Sekunden)
Avast
Keine Viren gefunden (3.01 Sekunden)
AVG Antivirus
Keine Viren gefunden (0.49 Sekunden)
BitDefender
Keine Viren gefunden (0.77 Sekunden)
ClamAV
Keine Viren gefunden (1.24 Sekunden)
Dr.Web
Keine Viren gefunden (1.85 Sekunden)
F-Prot Antivirus
Keine Viren gefunden (0.17 Sekunden)
Fortinet
Keine Viren gefunden (0.87 Sekunden)
Kaspersky Anti-Virus
Keine Viren gefunden (2.11 Sekunden)
mks_vir
Keine Viren gefunden (0.45 Sekunden)
NOD32
Keine Viren gefunden (0.93 Sekunden)
Norman Virus Control
Keine Viren gefunden (0.54 Sekunden)

Bei der Datei handelt es sich definitiv um Malware. Damit wir wissen um welche Art, solltest du die Datei zur weiteren Analyse bei www.malwareupload.com hochladen und das Ergebnis abwarten. Ich rate dir, den befallenen Rechner, falls möglich, vom Netz zu trennen. Du kannst die Datei jedoch zusätzlich noch bei www.virustotal.com (ist sowas ähnliches wie "jotti") überprüfen lassen.

scheisse...

malwareupload:
Eine Datei mit diesem Namen existiert bereits. Eventuell haben Sie diese Datei bereits hochgeladen.
Verdächtige Dateien hochladen

virustotal:
This is a report processed by VirusTotal on 03/22/2005 at 16:05:35 (CET) after scanning the file "NavLogon.dll" file.

Antivirus Version Update Result
AntiVir 6.30.0.7 03.22.2005 no virus found
AVG 718 03.21.2005 no virus found
BitDefender 7.0 03.22.2005 no virus found
ClamAV devel-20050307 03.22.2005 no virus found
DrWeb 4.32b 03.22.2005 no virus found
eTrust-Iris 7.1.194.0 03.22.2005 no virus found
eTrust-Vet 11.7.0.0 03.22.2005 no virus found
Fortinet 2.51 03.20.2005 no virus found
F-Prot 3.16a 03.22.2005 no virus found
Ikarus 2.32 03.21.2005 no virus found
Kaspersky 4.0.2.24 03.22.2005 no virus found
McAfee 4451 03.21.2005 no virus found
NOD32v2 1.1031 03.21.2005 no virus found
Norman 5.70.10 03.21.2005 no virus found
Panda 8.02.00 03.21.2005 no virus found
Sybari 7.5.1314 03.22.2005 no virus found
Symantec 8.0 03.21.2005 no virus found

soll ich das nun mit hjt fixen?

Schick die Datei bitte gepackt und mit Passwort versehen an partytime-germany.ice@web.de mit Verweis auf diesen Thread. Die Datei hatten wir imho schon öfters hier, nur hat sich von den betroffenen Personen keine mehr gemeldet :(

Kannst du schon fixen, nur ist das im Moment eigentlich keine Lösung...

mail ist raus.
wo hab ich die eigentlich hingeschickt?
was passiert jetzt?

Danke und Gruß mirko

Du hast es an *Christian* (ein User des Boards) geschickt. Er ist auch am Projekt "malwareupload.com" beteiligt -> http://www.trojaner-board.de/showthread.php?t=14472

ok danke...

ich warte jetzt also ab, bis ich antwort erhalte.
dann gibts neue signaturen und dann kann ich fixen?

hast du in meinem log noch weiter auffällige sachen gefunden?

gruß Mirko

Sorry für die späte Antwort.

Die Datei gehört zu Norton und ist clean.

Danke für die Info, hab ich mich wohl getäuscht.