|
Neuer Hijacker? Hilfe!! Liste der Anhänge anzeigen (Anzahl: 1) Wie immer, wenn ich mir schon was einfange, dann vom feinsten. Frisch durch die neu entdeckte WMF-Lücke reingeflutscht. Addaware, Spybot, eScan, AntiVir, BHODaemon, Trend... alles schon gehabt und NIX GEFUNDEN! Die Links von Suchmaschinen werden zu 60% umgeleitet auf h**p://85.255.117.78/click.php?...usw. von wo ich auf irgendwelchen komischen Seiten lande. Der Internet Explorer ist des Öfteren bei Suchmaschinen 99% CPU-ausgelastet und Outlook braucht ne Ewigkeit zum starten. Keine suspekten Prozesse am Laufen, keine BHO-s, keine Starteinträge oder neue Dienste vorhanden. MS-Patches sind jetzt auch da (ha-ha, ich weiss: zu spät), hat aber nicht viel gebracht. Wie werd ich den Dreck los? Im Anhang ist ein Screenshot und hier der HijackThis-Log: C:\Windows\system32\csrss.exe C:\Windows\system32\winlogon.exe C:\Windows\system32\services.exe C:\Windows\system32\lsass.exe C:\Windows\system32\svchost.exe C:\Windows\system32\svchost.exe C:\Windows\System32\svchost.exe C:\Windows\system32\svchost.exe C:\Windows\system32\svchost.exe C:\Windows\system32\LEXBCES.EXE C:\Windows\system32\LEXPPS.EXE C:\Windows\system32\spoolsv.exe C:\Windows\Explorer.EXE C:\Windows\system32\svchost.exe C:\Windows\system32\RunDll32.exe C:\Programme\Maus(Typhoon)\mouse32a.exe C:\Programme\cFosSpeed\cFos_Speed.exe C:\Programme\eScan\eScanWin.EXE C:\Programme\eScan\kavss.exe C:\Windows\regedit.com C:\Programme\Internet Explorer\IEXPLORE.EXE C:\WINDOWS\explorer.exe C:\Programme\eMule.de\emule.exe C:\Programme\Internet Explorer\IEXPLORE.EXE D:\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/ R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Alice IE O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Programme\Maus(Typhoon)\mouse32a.exe O4 - HKLM\..\Run: [MailScan Dispatcher] "C:\Programme\eScan\LAUNCH.EXE" O4 - HKLM\..\Run: [cFosSpeed] C:\Programme\cFosSpeed\cFos_Speed.exe O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1121443217714 O23 - Service: cFosSpeed System Service (cFosSpeedS) - Unknown owner - C:\Programme\cFosSpeed\spd.exe O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\Windows\system32\LEXBCES.EXE |
Hallo, scanne mal dein system mit F-Secure Blacklight und poste das Log (wird nach dem Scan als Textdatei im selben Pfad erzeugt). |
ok, sieht so aus: 01/10/06 18:49:17 [Info]: BlackLight Engine 1.0.30 initialized 01/10/06 18:49:17 [Info]: OS: 5.1 build 2600 (Service Pack 2) 01/10/06 18:49:17 [Note]: 7019 4 01/10/06 18:49:17 [Note]: 7005 0 01/10/06 18:49:21 [Note]: 7006 0 01/10/06 18:49:21 [Note]: 7011 384 01/10/06 18:49:21 [Note]: FSRAW library version 1.7.1014 01/10/06 18:49:42 [Info]: Hidden file: C:\WINDOWS\system32\wbem\wbemtest.exe 01/10/06 18:49:42 [Note]: 10002 1 01/10/06 18:49:44 [Info]: Hidden file: C:\WINDOWS\system32\howiper.exe 01/10/06 18:49:44 [Note]: 10002 1 01/10/06 18:49:45 [Info]: Hidden file: C:\WINDOWS\system32\sphlp32.exe 01/10/06 18:49:45 [Note]: 10002 1 01/10/06 18:49:45 [Info]: Hidden file: C:\WINDOWS\system32\favset.exe 01/10/06 18:49:45 [Note]: 10002 1 01/10/06 18:49:47 [Info]: Hidden file: C:\WINDOWS\system32\pppcgm.exe 01/10/06 18:49:47 [Note]: 10002 1 01/10/06 18:49:47 [Info]: Hidden file: C:\WINDOWS\system32\dmwbz.exe 01/10/06 18:49:47 [Note]: 7002 32 01/10/06 18:49:47 [Note]: 7003 1 01/10/06 18:49:47 [Note]: 10002 1 01/10/06 18:49:49 [Info]: Hidden file: C:\WINDOWS\system32\csdgv.exe 01/10/06 18:49:49 [Note]: 7002 32 01/10/06 18:49:49 [Note]: 7003 1 01/10/06 18:49:49 [Note]: 10002 1 01/10/06 18:50:51 [Note]: 7007 0 |
Hallo, da haben wir es doch schon, das es allerdings ohne die üblichen O17 Einträge daher kommt ist neu. Bei Rootkitbefall empfehle ich grundsätzlich das System neu aufzusetzen, diese mal immer schön aktuell halten. Wie du allgemein dabei vorgehen solltest erfährst du hier. Grüße Wildone |
Danke für die schnelle Antwort. Mit format-c habe ich mich schon fast abgefunden, allerdings brauche ich noch ein wenig verständnis: Sind all die Sachen, die Backlight gefunden hat Trojaner oder was? Falls es keine Möglichkeit gibt die zu entfernen - ist es machbar sich dagegen zu sichern? Nochmal vielen Dank MfG: Tom |
Nachtrag: in der Annahme Windows hätte das nicht nötig, habe ich all die Einträge mit Blacklight umbenannt. Daraufhin tauchten einige suspekte Prozesse nach Neustart auf, die ich gekillt und aus dem Autostart genommen habe. Das Problem ist damit auch beseitigt, habe auch keine versteckten Dateien mehr, trotzdem spüre ich da so einen unerklärlichen Drang dazu alles zu formatieren... |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 16:51 Uhr. |
Copyright ©2000-2025, Trojaner-Board