Bitte um Hilfe bei HJT Log-File Auswertung
 

Hallo zusammen,

ich wurde gebeten mir mal einen Rechner von einem Arbeitskollegen anzusehen weil ihm vor kurzen das Online-Banking bei drei Banken gesperrt wurde. Grund dafür war der dezente Hinweis der Banken er hätte Trojaner auf seinem PC.

Darauf hin hab ich mir den PC vorgenommen und folgende Maßnahmen ergriffen:
Antivir installiert und durchlaufen lassen -> daraufhin wurden ca. 30 viren gefunden und "gelöscht". (war noch Antivir6 am laufen)
Windows XP auf aktuellen Stand gebracht. (seit 2005 kein update vorhanden)
Antivir erneut durchlaufen lassen -> nur noch eine Virenmeldung "TR/...." hab leider eben den genauen Namen nicht zur Hand, zu meine Schande
aber ich arbeite noch an dem Ding

Jetzt hätte ich von euch gerne einen prüfenden Blick über das HJT Log-File, vielleicht sieht hier noch einer ein gravierendes Problem!
ich bin mir mit der "scsiusr4.dll" nicht so sicher, diese datei hat bei antivir sehr viel wiederstand beim löschen geleistet, und bei google wird man auch nicht wirklich schlau ob die nun freundlich oder feindlich ist

Logfile of HijackThis v1.99.1
Scan saved at 16:14:11, on 29.09.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\WinAntiVirus Pro 2006\FWSvc.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programme\Winamp\Winampa.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\HP\hpcoretech\hpcmpmgr.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\Meine Musik (Marius)\ICQLite\ICQLite.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\Nikon\NkView6\NkvMon.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\WINDOWS\system32\HPZipm12.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\HiJackThis\HijackThis.exe
C:\Programme\Adobe\Photoshop Elements 2\PhotoshopElements.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Meine Musik (Marius)\ICQToolbar\toolbaru.dll
O2 - BHO: HomepageBHO - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - C:\WINDOWS\system32\hpBE2F.tmp (file missing)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Meine Musik (Marius)\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [SpyFalcon] C:\Programme\SpyFalcon\SpyFalcon.exe /h
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [DXDllRegExe] dxdllreg.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ICQ Lite] "D:\Meine Musik (Marius)\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: NkvMon.exe.lnk = C:\Programme\Nikon\NkView6\NkvMon.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://D:\Meine Musik (Marius)\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Meine Musik (Marius)\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Meine Musik (Marius)\ICQLite\ICQLite.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{05D45A1B-A837-4DD1-9605-5595820712D0}: NameServer = 217.237.151.33 217.237.150.205
O17 - HKLM\System\CS1\Services\Tcpip\..\{05D45A1B-A837-4DD1-9605-5595820712D0}: NameServer = 217.237.151.33 217.237.150.205
O20 - AppInit_DLLs: pushow72.dll
O20 - Winlogon Notify: scsiusr4 - scsiusr4.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Firewall service (FWSvc) - WinSoftware, Ltd. - C:\Programme\WinAntiVirus Pro 2006\FWSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Hi, erstmal eines:
Ein thread reicht, editiere den anderen.
Dann:
Bei einem System, wie dem von Deinem Kumpel gibt es nur eins:
Komplett Neuaufsetzen!!
Warum?
Darum:
Du weißt nicht, was sich außer Smitfraud, der auch noch drauf ist, sonst noch in den Innereien befindet; was geändert wurde und noch geändert werden wird, welche Zugriffe von außen noch möglich sind etc., etc., etc.
Wenn Ihr sicher sein wollt, daß das System wirklich sauber ist, dann haltet Euch genauestens an die Anleitung in dem Link. Dann und nur dann ist gewährleistet, daß in dem Moment des Neuaufsetzens der Rechner o.k. ist. Wenn allerdings Dein Kumpel so wie bisher weitermacht, dann soll er die Kiste aus dem Fenster schmeißen und wieder in seine Bankfiliale zu Fuß gehen, denn es wird ihm immer wieder passieren....
Alles andere ist nur Flickwerk.
cacatoa

Zum Beispiel Troj/Haxdoor-DD hat sich auf dem Rechner verewigt.

Hallo, erstmal vielen Dank für die schnelle Antwort!

So, die letzte aktive Virenmeldung war folgende: TR/Drop.Haxd.GJ.1.A mit Antivir, diese kommt trotz löschen auch immer wieder

@cacatoa
woran hast du "Smitfraud" erkannt?

@MightyMarc
ist der Trojaner von der "scsuir4" wie in deinem link beschrieben?

da die Kiste seit fast drei Jahren läuft und sich jeder daran nach belieben austobt und sich keiner um irgendwelche "Systempflegemaßnahmen" kümmert sehe ich als Endlösung auch nur ein "neuaufsetzen" des Systems.
Bisher hat mein Flickwerk dazu geführt das er wieder online-Banking machen kann ohne das sich einer Beschwert! Das Risiko mit dem er das Macht habe ich ihm mehrmals gesagt, auch der er dringend die Kontoauszüge kontrollieren muss! vor Neuaufsetzen sträubt er sich noch, leider!

Zum Thema Neuaufsetzen vermisse ich bei eurem link noch eine Info:
Wie gehe ich mit Daten um, die erhalten bleiben sollen?
Also Datenretten trotz neuaufsetzen des systems?
ich würde eine neue Festplatte einbauen und darauf XP neuaufsetzen und dann gerne von der alten platte diverse Daten rüberziehen aber ohne den ganzen Virenschrott wieder mitzunehmen?

HI, OSMAN,
Das hier:
C:\Programme\WinAntiVirus Pro 2006\FWSvc.exe fällt in die Familie...
Mighty Marc hat genau den Troj beschrieben, der die "scsuir4" betrifft.

Außerdem sag Deinem Freund, dass es an Dummheit grenzt, mit so einem System noch herumzufuhrwerken!

Datensicherung: alle nicht ausführbaren Dateien (also keine .exe .com .bat), die er braucht, auf CD brennen (nach dem Brennen alle scannen und schauen ob virenfrei).
Gruß
cacatoa