Bitgrabber-Opfer
 

Hallo Leute,

beim Googeln habe ich diesen Eintrag auf Eurem Forum gesehen und wollte, da ich denselben blöden Fehler gemacht habe, um Eure Hilfe bitten.

Wie der andere User, habe ich naiverweise das Programm BitGrabber wegen eines Passworts (dass ich natürlich nie bekommen habe) installiert und wurde mit Adware zugebombt. Diese habe ich inzwischen entfernt bekommen, und habe auch hintereinander Scans mit SuperAntispyware, AVG, AntiVir und F-Secure Blacklight gemacht, möchte aber bevor ich wieder anfange den Computer für Internetbanking zu nutzen, sichergehen dass ich mir nichts Schlimmeres eingefangen habe.

Danke im Voraus :D

Hier ist mein HJT Log:

Logfile of HijackThis v1.99.1
Scan saved at 19:00:27, on 25.01.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exea
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\Drivers\WTSRV.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Programme\Java\jre1.5.0_10\bin\jusched.exe
C:\Programme\PowerISO\PWRISOVM.EXE
C:\Programme\SlySoft\CloneCD\CloneCDTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\WService.EXE
C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\PROGRA~1\MOZILL~2\THUNDE~1.EXE
C:\Programme\Trillian\trillian.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programme\Semagic\LiveJournalU.exe
C:\HIJ\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Programme\PowerISO\PWRISOVM.EXE
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [WService] WService.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Copy to Semagic - C:\Programme\Semagic\copy.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Semagic - C:\Programme\Semagic\link.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\Pacsptisvr.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\Sptisrv.exe
O23 - Service: WinTab Service (WinTabService) - Tablet Driver - C:\WINDOWS\System32\Drivers\WTSRV.EXE

Was mir erst mal auffällt ist, dass Du zwei AV-Programme verwendest. Entscheide Dich für eines.
Ansonsten folge mal den Hinweisen in dem anderen Thread.

Hi Felix,

danke für die Antwort.

Ja, ich hab AVG und Antivir, aber eins davon hab ich eigentlich immer deaktiviert - behindern die sich trotzdem gegenseitig? Wenn ja, welches sollte ich rauswerfen?

Sorry dass ich das nicht erwähnt habe: Ich hab alles gemacht, was in dem Thread stand. Fast, alles, wie ich gerade festgestellt habe. AVG Anti-Spy hatte ich übersehen. Das lief eben durch und hat nochmal einen Haufen Cookies und eine Adware gefunden, die alle als mittleres Risiko eingestuft wurden.

C:\WINDOWS\TEMP\004025~1.EXE finde ich nicht; Swizoor scheine ich nicht zu haben. Da ich mich bei HiJack Logs aber wirklich gar nicht auskenne, wollte ich nochmal auf Nummer sicher gehen, dass ich wirklich alles erwischt habe was Bitgrabber eventuell ausrichten könnte.

Das ist Deine Entscheidung. Beide sind gleich gut oder gleich schlecht. 100% Sicherheit gibt es nicht.

Dann würfel ich das mal aus oder werfe eine Münze ;)

Wie sieht's denn mit meinem Log aus, hab ich alles Gefährliche erwischt?

Hallo,

dann würfele mal...
Dein Log sieht (fast) in Ordnung aus....nur

C:\WINDOWS\system32\winlogon.exea

sieht mit dem "a" am Ende komisch aus. Such mal nach der Datei auf Deiner Festplatte. Es dürfte nur eine winlogon.exe existieren.
Anscheinend läuft keine Firewall auf Deinem System. Es ist ratsam, obwohl sich bei diesem Thema die Geister scheiden.

Ganz wichtig finde ich, dass Du Dein Java updatest. Aktuell ist JRE 1.6.0...

https://sdlc2d.sun.com/ECom/EComActi...78D150052D4B48

Alle Vorgängerversionen sollen (eine) Sicherheitslücke(n) haben!

AntiVir fliegt raus ;)

Die winlogon.exea Datei gibt es nicht, vielleicht hat sich da einfach ein Buchstabe eingeschlichen? :dummguck:

Danke für den Tip mit Java. Und eigentlich hab ich die Windows-Firewall und eine im Router, aber ich denke zur Sicherheit vielleicht doch noch zusätzlich Zonealarm ...?

Nochmal danke fürs antworten!

Hallo,

na, wenn du bisher keine weiteren Schädlingsprobleme hattest, reicht die Router- und Windows-Firewall völlig aus. Bedenke, dass ZoneAlarm recht tief ins Betriebssystem eingreift und es damit schon manche Probleme gab (u.a. bei mir...wollte ZA entfernen, nur dann bekam ich keine Verbindung ins Netz...wieder installiert....alles bestens). Du surfst anscheinend mit Firefox, was ja auch zur Sicherheit beiträgt.

Hallo

mich würden diese beiden Einträge interessieren

C:\WINDOWS\system32\WService.EXE

C:\Programme\Semagic\LiveJournalU.exe

lass sie bitte mal hier
Virustotal
oder hier
Jotti
überprüfen (kann bisschen dauern),
poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben,
auch wenn nichts gefunden wurde.

MFG