HiJackThisLog-File nach Bereinigung
 

Hallo!
Hab versucht, den Computer meiner Schwester zu "heilen". Es wurde insbesondere bei HiJackThis so einiges an "unbekannten Prozessen" angezeigt. Nach Studium von virusscan.jotti.org für eine letzte verbliebende Datei wurde u.a. ein Trojaner angezeigt, den ich schreckhaft sofort über "Fix it" gelöscht habe.
Bin leider nicht so versiert in diesen Dingen. Augenscheinlich sieht im LogFile alles "ok" aus, wollte aber nochmal sichergehen, da ich beim "Surfen" durchs Forum schon auf allerlei abenteuerliche Sachen gestossen bin.
Spybot habe ich bereits laufen lassen, da ist alles ok.
Avira Antivir auch, kein Virus zu finden. Allerdings ist das kleine "Schirmchen" unten rechts nicht zu sehen, der Guard scheint aber bei Öffnen des Programms im Hintergrund zu laufen.
Ich poste mal den Log:

Logfile of HijackThis v1.99.1
Scan saved at 21:19:40, on 21.01.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\brss01a.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
C:\Programme\Brother\ControlCenter2\brctrcen.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Brother\Brmfcmon\BrMfcWnd.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Status Monitor.lnk = C:\Programme\Brother\Brmfcmon\BrMfcWnd.exe
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


Danke im Voraus:)

Kann mir irgendjemand helfen:confused:?
Wäre wirklich nett....oder fehlen noch Angaben?

Hi,

super, Du hast alle Spuren getilgt, verrätst nicht, was ursprünglich da gewesen ist und nun sollen wir ein Statement zu diesem Log abgeben. Hier ist es:

In dem Log ist nichts nachteiliges zu erkennen außer dass veraltete Versionen von Adobe und Java installiert sind, die Sicherheitsmängel haben. Die deinstallieren und durch die aktuellen ersetzen.

Und ja, es gibt eine Menge "abenteuerliche" Sachen, die man nie in einem Hijackthis sehen wird.

Gruß, Karl

Wenn ich es noch wüßte, hätte ich schon "verraten", was ursprünglich da gewesen ist. Wie bereits erwähnt, hab ich da überhastet gelöscht. Den Schuh zieh ich mir auch gerne an. Bin leider nicht so bewandert in diesen Dingen, hab mich aber natürlich, wie von diesem Board gefordert, bei google etc. informiert, hab das ganze von HiJackthis prüfen lassen, dann überhastet gelöscht und mich nun ans Forum gewandt. War diese Reihenfolge verkehrt? Und nein, natürlich "soll" hier keiner ein Statement abgeben. Hatte nur Angst, dass meine Anfrage nach einer Woche und mittlerweile auf Seite 5 im Forum schlicht und ergreifend untergeht. Deshalb meine nassforsche Nachfrage.

Deshalb auch Danke für die Antwort.

Grüße

Boju1848

Vielleicht nicht ganz verkehrt, aber zumindest in der Ausführung ungeschickt. Es ist eben besser, die Situation im Anfangszustand zu präsentieren und wenn man vor dem Besuch eines Forums bereits was unternimmt, sollte man wenigstens alle Logs abspeichern und sich alle Aktionen notieren.

Du kannst aber auf alle Fälle noch (falls noch nicht geschehen), einen Kaspersky Onlinescan machen. Sicherlich eine gute Ergänzung zu Antivir. Bei Antivir sind übrigens die alten Scanberichte gespeichert. Kontrollcenter öffnen, Reiter Berichte, auf die mit den Funden einen Doppelklick und dort im Fenster dann wieder "Bericht".

Hab jetzt nochmal in den Berichten nachgeschaut. AntiVir hatte folgende Viren gefunden. Hilft das weiter?


In der Datei 'C:\Dokumente und
Einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\mzb2p2od.default\Cache\44C0007Cd01'
wurde ein Virus oder unerwünschtes Programm 'SWF/Dldr.Gida.A' [SWF/Dldr.Gida.A] gefunden.
Ausgeführte Aktion: Datei löschen

In der Datei 'C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\plugtmp-227\statsa.php'
wurde ein Virus oder unerwünschtes Programm 'SWF/Dldr.Gida.A' [SWF/Dldr.Gida.A] gefunden.
Ausgeführte Aktion: Datei löschen

Browsercache, das ist unvermeidlich, dass da mal was schädliches landet. Entscheidend ist dann, wie sicher das System ist. Ist es sicher, bleibt es ohne Folgen. firfox Menü Extras -> Private Daten löschen: Dort kannst Du auch den Cache löschen. Oder Du benutzt z.B. den CCleaner, da muss allerdings der Browser geschlossen sein, damit er den Cache löschen kann.

CCCleaner hab ich jetzt durchlaufen lassen, da war doch schon ne Menge Datenmüll da (ca. 300 MB). Hab das alles mal runtergeworfen. Kann ich jetzt relativ sicher sein, dass die Platte nun "sauber" ist?
Oder gibt es noch weitere Möglichkeiten des "Befalls" mit irgendwelchem bösen Zeugs und entsprechende Programme, die genau dies aufdecken?
AntiVir zeigt nichts an, Sbybot hab ich auch durchlaufen lassen, zuletzt CCCleaner....

Danke für die prompte Antwort!

Es gibt große Mengen weitere Tests und Analysen, mit denen man das Restrisiko weiter senken kann. Sie aber alle komplett zu fahren, bist Du schnell an dem Punkt, dass eine Neuinstallation schneller ist. Ganz zu schweigen von der Zeit, die man dann hier verbringt, die mehr oder weniger kryptischen Einträge der Logs zu studieren. Vielleicht noch ein paar einfache Rootkitscans:

Einige Scans auf Dateien, Prozesse und Registryeinträge, die vor den meisten anderen Scannern versteckt werden (durch ein sogenanntes Rootkit). Während dieser Scans soll(en):

• alle anderen Scanner gegen Viren, Spyware, usw deaktiviert sein
• keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen)
• nichts am Rechner getan werden
• nach jedem Scan der Rechner neu gestartet werden

RootkitRevealer scannen lassen

• Lade RootkitRevealer runter und entpacke das Archiv in einen eigenen Ordner, z.B. C:\programme\rootkitrevealer.
• Starte in diesem Ordner RootkitRevealer.exe. Alle anderen Programme schließen.
• Starte durch Klick auf "Scan".
• Wenn der Scan fertig ist das Logfile mit File -> Save abspeichern.

Blacklight scannen lassen

• Lade F-Secure Blacklight in einen neuen Ordner C:\programme\blacklight.
• Starte in diesem Ordner fsbl.exe und schließe alle anderen Programme.
• Klicke "I accept the agreement", "next", "Scan".
• wenn der Scan zuende ist, wähle "Close".
• Der Bericht ist fsbl-XXX.log im Blacklight Verzeichnis, anstelle der XXX stehen Zahlen, die Datum und Uhrzeit enthalten. Den Inhalt dieser Datei bitte posten.

Danke nochmal vielmals. Werde die Programme dann mal bei dem PC meiner Schwester durchlaufen lassen.
Habe nun ein neues Problem: Der PC meiner Freundin läuft so gut wie gar nicht mehr, der Updater für Norton AntiVirus funktioniert seit dem 29.10.07 (Datum des letzten Virenupdates) nicht mehr.
Hier das HiJackLogfile:

Logfile of HijackThis v1.99.1
Scan saved at 19:08:33, on 30.01.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16544)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Web.de\adminsvc.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\Programme\AMD\PowerNow!\GemServ.exe
C:\Programme\AMD\PowerNow!\gemback.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\S3hotkey.exe
C:\WINDOWS\system32\S3tray2.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\Trust\250S Series\lwbwheel.exe
C:\Programme\NewSoft\Presto! PVR\Monitor.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Microsoft Office\Office\FINDFAST.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Owner\Desktop\hjt.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.5\NppBho.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Show Norton Toolbar - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.5\UIBHO.dll
O4 - HKLM\..\Run: [S3hotkey] S3hotkey.exe
O4 - HKLM\..\Run: [S3TRAY2] S3tray2.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programme\Trust\250S Series\lwbwheel.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ChangeFilterMerit] C:\Programme\NewSoft\Presto! PVR\ChangeFilterMerit.exe
O4 - HKLM\..\Run: [Presto! PVR Monitor] C:\Programme\NewSoft\Presto! PVR\Monitor.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Programme\Norton Internet Security\osCheck.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [FlashPlayerUpdate] C:\Programme\Mozilla Firefox\plugins\NPSWF32_FlashUtil.exe -p
O4 - Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: WEB.DE Browser Update (AdminSVC) - hablamax - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Web.de\adminsvc.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h cltCommon (file missing)
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\VAScanner\comHost.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
O23 - Service: AMD PowerNow! (tm) Technology Service (GemServ) - Advanced Micro Devices - C:\Programme\AMD\PowerNow!\GemServ.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - C:\Programme\Norton Internet Security\isPwdSvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: LiveUpdate Notice Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PifEng.dll (file missing)
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\AppCore\AppSvc32.exe

Bin absolut ratlos, da bei der Logfileauswertung keine Bedrohung etc. angezeigt wird.
Komme ich hier irgendwie noch um eine Formatierung rum?

Also ein anderes System gehört in einen eigenen Thread, sonst ist das Chaos hier vorprogrammiert.

Ich habe schon mit einer Menge System zu tun gehabt, auf denen Norton nicht mehr updaten wollte. Zum einen muss man denen öfter mal Geld hinterherschmeissen. Aber selbst, wenn das regelmäßig gemacht wird, kommt das Update Problem öfter vor.

Einfache Lösung: Schmeiss den Schrott runter und installiere was ordentliches.

Gut, werde ihn dann mal runterwerfen und antivir oder so durchlaufen lassen.
Soll ich das Logfile in einem neuen Thread nochmal posten?

Wenn es Funde gibt, sonst sehe ich erstmal keinen Bedarf.

Achtung: Norton ist ziemlich klebirg und Antivir hat ofdt PRobleme, wenn noch reste von Norton im System sind. Je nach installierter Version sollte Norton durch einen dieser beiden entfernt werden:
Symantec
Symantec

So hab Norton deinstalliert, AntiVir Classic installiert, der Rechner läuft gefühlt etwas schneller.
Problem: Bei der Installation von AntiVir wurden zwei Fehlermeldungen angezeigt, dass die Installation nicht richtig durchgeführt werden konnte. Ein Warnsignal?
Der anschließende Virusscan blieb ohne Ergebnis (lediglich 2 Warnungen).
Was sollte ich als nächstes tun? Hab das ganze im nicht abgesicherten Modus überprüft. Soll ich selbiges nochmal im abgesicherten machen?

Welche Meldungen bei der Installation? Bei den Warnungen während des Scans vermute ich mal, dass es darum geht, dass c:\pagefile.sys und c:\hiberfil.sys nicht gescant werden können. Die sind normal, beide Dateien hat das Betriebssystem exklusiv geöffnet und lässt niemanden reinschauen. Wenn es andere sein sollten, dann mitteilen.

Ein Scan im abgeischerten Modus macht Sinn. Vorher in die Konfiguration gehen, links oben "Expertenmodus" anhaken um auch alles einstellen zu können, danahc bei Scanner -> Suche -> Heurisitk die Optionen auf Maximum setzen. Erhöht zwar leicht das Risiko eines Fehlalarms, aber die sehr gute Heuristik ist es wert. Eventuelle Funde dann aber nicht löschen lassen, sondern in die Quarantäne schieben. Scanbericht posten.

Scanbericht:



AntiVir PersonalEdition Classic
Erstellungsdatum der Reportdatei: Freitag, 1. Februar 2008 19:42

Es wird nach 1087915 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Benutzername: Administrator
Computername: TANJA

Versionsinformationen:
BUILD.DAT : 270 15603 Bytes 19.09.2007 13:29:00
AVSCAN.EXE : 7.0.6.1 290856 Bytes 23.08.2007 13:16:26
AVSCAN.DLL : 7.0.6.0 57384 Bytes 14.08.2007 15:48:30
LUKE.DLL : 7.0.5.3 147496 Bytes 14.08.2007 15:32:44
LUKERES.DLL : 7.0.6.0 10792 Bytes 14.08.2007 15:49:06
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 14:27:16
ANTIVIR1.VDF : 7.0.1.95 3367424 Bytes 14.12.2007 12:46:26
ANTIVIR2.VDF : 7.0.2.49 1339904 Bytes 25.01.2008 12:46:26
ANTIVIR3.VDF : 7.0.2.80 239104 Bytes 01.02.2008 12:46:26
AVEWIN32.DLL : 7.6.0.61 3240448 Bytes 01.02.2008 12:46:26
AVWINLL.DLL : 1.0.0.7 14376 Bytes 26.02.2007 10:36:24
AVPREF.DLL : 7.0.2.2 25640 Bytes 18.07.2007 07:16:52
AVREP.DLL : 7.0.0.1 155688 Bytes 16.04.2007 13:16:24
AVPACK32.DLL : 7.6.0.3 360488 Bytes 01.02.2008 12:46:26
AVREG.DLL : 7.0.1.6 30760 Bytes 18.07.2007 07:17:04
AVARKT.DLL : 1.0.0.20 278568 Bytes 28.08.2007 12:26:30
AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18.07.2007 07:10:16
NETNT.DLL : 7.0.0.0 7720 Bytes 08.03.2007 11:09:04
RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07.08.2007 12:37:52
RCTEXT.DLL : 7.0.62.0 90152 Bytes 21.08.2007 12:50:30
SQLITE3.DLL : 3.3.17.1 339968 Bytes 23.07.2007 09:37:22

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\programme\avira\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: aus
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: D:,
Durchsuche Speicher..............: ein
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Intelligente Dateiauswahl
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch

Beginn des Suchlaufs: Freitag, 1. Februar 2008 19:42

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '11' Prozesse mit '11' Modulen durchsucht

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[HINWEIS] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '31' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'D:\' <RECOVERY>


Ende des Suchlaufs: Freitag, 1. Februar 2008 21:01
Benötigte Zeit: 1:18:48 min

Der Suchlauf wurde vollständig durchgeführt.

3376 Verzeichnisse wurden überprüft
352535 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
352535 Dateien ohne Befall
6130 Archive wurden durchsucht
1 Warnungen
1 Hinweise



Hab danach noch versucht, ZoneAlarm zu installieren. Auch hier hat die Installation eigentlich geklappt, allerdings ist hier ebenfalls die Meldung gekommen, dass "die Installation abgebrochen werden musste":confused:

Irgendwie seltsam. Hab das gefühl, dass da immer noch irgendwas auf der Platte ist, was da nix verloren hat....

Aber laufen und funktionieren tut Zonealarm? Zu den Fehlermeldungen der Installationen, die dann aber am Ende doch funktioniert haben, fällt mir derzeit nichts ein. Wenn am Ende aber eine funktionierende Installation dabei herauskommt, ist das erstmal die Hauptsache.

Beruht dein Gefühl nur auf diesen Fehlermeldungen? Wenn es noch andere Gründe gibt, müsstest Du mir die mal mitteilen. ansonsten fällt mir gerade nur noch ein, dass wir noch ein paar Rootkitscans machen können:

Einige Scans auf Dateien, Prozesse und Registryeinträge, die vor den meisten anderen Scannern versteckt werden (durch ein sogenanntes Rootkit). Während dieser Scans soll(en):

• alle anderen Scanner gegen Viren, Spyware, usw deaktiviert sein
• keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen)
• nichts am Rechner getan werden
• nach jedem Scan der Rechner neu gestartet werden

Gmer scannen lassen

• Lade dir Gmer von dieser Seite runter und entpacke es auf deinen Desktop.
• Starte gmer.exe. Alle anderen Programme sollen geschlossen sein.
• Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
• Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.
• Füge das Log aus der Zwischenablage in deine Antwort hier ein.

Catchme scannen lassen

• Lade dir Catchme runter auf deinen Desktop.
• Starte Catchme.exe. Alle anderen Programme sollen geschlossen sein. Mit "Scan" starten.
• Falls nach dem Ende des Scans im Fenster Dateien stehen, dann klicke auf "Zip" damit eine Kopie dieser Dateien erzeugt wird. Die Dateien werden dabei nicht entfernt.
• Das Log ist in catchme.log, füge es vollständig in deine Antwort ein.

RootkitRevealer scannen lassen

• Lade RootkitRevealer runter und entpacke das Archiv in einen eigenen Ordner, z.B. C:\programme\rootkitrevealer.
• Starte in diesem Ordner RootkitRevealer.exe. Alle anderen Programme schließen.
• Starte durch Klick auf "Scan".
• Wenn der Scan fertig ist das Logfile mit File -> Save abspeichern.

Blacklight scannen lassen

• Lade F-Secure Blacklight in einen neuen Ordner C:\programme\blacklight.
• Starte in diesem Ordner fsbl.exe und schließe alle anderen Programme.
• Klicke "I accept the agreement", "next", "Scan".
• wenn der Scan zuende ist, wähle "Close".
• Der Bericht ist fsbl-XXX.log im Blacklight Verzeichnis, anstelle der XXX stehen Zahlen, die Datum und Uhrzeit enthalten. Den Inhalt dieser Datei bitte posten.

Scanner wieder einschalten, bevor Du ins Netz gehst!

Nun alle Logs posten.

So, um nicht noch mehr Verwirrung zu stiften, poste ich in diesen Thread nur noch Logfiles etc., die mit dem PC meiner Schwester (auf dem definitiv s. u. ein Virus war) zu tun haben, für den anderen PC werde ich einen eigenen Thread eröffnen. Sorry wegen der Unübersichtlichkeit, ich gelobe Besserung.

Erstmal das HiJackLogfile:

Logfile of HijackThis v1.99.1
Scan saved at 10:25:19, on 04.02.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
C:\Programme\Brother\ControlCenter2\brctrcen.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Brother\Brmfcmon\BrMfcWnd.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\bibimaus\Desktop\hjt.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Status Monitor.lnk = C:\Programme\Brother\Brmfcmon\BrMfcWnd.exe
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: LORF - Sysinternals - www.sysinternals.com - C:\DOKUME~1\bibimaus\LOKALE~1\Temp\LORF.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


Dann das Ergebnis des Rootkit Revealers:

HKU\S-1-5-21-1644491937-2052111302-725345543-1003\RemoteAccess\InternetProfile 14.01.2008 18:02 5 bytes Data mismatch between Windows API and raw hive data.
HKLM\SECURITY\Policy\Secrets\SAC* 23.09.2005 12:56 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 23.09.2005 12:56 0 bytes Key name contains embedded nulls (*)
C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\DJ Tiesto Magik Coll 04.05.2007 12:01 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\DJ Tiesto Magik Coll 04.05.2007 12:01 13.01 MB Hidden from Windows API.
C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\VA_-_Mayday-New_Euph 10.05.2007 11:51 1.31 MB Hidden from Windows API.
C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\www.torrent.to...Bos 29.06.2007 10:11 5.60 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\www.torrent.to...Der 29.04.2007 21:39 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\www.torrent.to...Der 29.04.2007 21:39 14.31 MB Hidden from Windows API.

Und zu guter Letzt Blacklight:

02/04/08 10:04:10 [Info]: BlackLight Engine 1.0.67 initialized
02/04/08 10:04:10 [Info]: OS: 5.1 build 2600 (Service Pack 2)
02/04/08 10:04:10 [Note]: 7019 4
02/04/08 10:04:10 [Note]: 7005 0
02/04/08 10:04:17 [Note]: 7006 0
02/04/08 10:04:17 [Note]: 7011 1204
02/04/08 10:04:17 [Note]: 7026 0
02/04/08 10:04:17 [Note]: 7026 0
02/04/08 10:04:23 [Note]: FSRAW library version 1.7.1024
02/04/08 10:17:44 [Note]: 7007 0


So, ich hoffe, jemand kann damit was anfangen

mfg

Boju1848

Auch unauffällig.

Die Javaversion auf deinem Rechner ist veraltet. Die muss aktualisiert werden. Dazu in Systemsteuerung -> Software alle alten Versionen deinstallieren, von http://www.trojaner-board.de/105213-java-update-einstellungen.html]Java Update[/URL] die aktuelle "Java Runtime Environment (JRE) 6u4" runterladen und installieren.

Gibt es denn Anzeichen dafür, dass auf dem System was nicht stimmt? Dann würde ich gerne noch die Berichte von Gmer und Catchme sehen.

Also zuerst einmal der Scan mit Gmer:

GMER 1.0.14.14116 - http://www.gmer.net
Rootkit scan 2008-02-04 18:56:01
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.14 ----

SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwConnectPort [0xFA4DB040]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateFile [0xFA4D7930]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateKey [0xFA4E2A80]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreatePort [0xFA4DB510]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateProcess [0xFA4E1870]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateProcessEx [0xFA4E1AA0]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateSection [0xFA4E4FD0]
SSDT FB15F4F4 ZwCreateThread
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateWaitablePort [0xFA4DB600]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwDeleteFile [0xFA4D7F20]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwDeleteKey [0xFA4E36E0]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwDeleteValueKey [0xFA4E3440]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwDuplicateObject [0xFA4E1580]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwLoadKey [0xFA4E38B0]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwOpenFile [0xFA4D7D70]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwOpenProcess [0xFA4E1350]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwOpenThread [0xFA4E1150]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwRenameKey [0xFA4E4250]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwReplaceKey [0xFA4E3CB0]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwRequestWaitReplyPort [0xFA4DAC00]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwRestoreKey [0xFA4E4080]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwSecureConnectPort [0xFA4DB220]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwSetInformationFile [0xFA4D8120]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwSetValueKey [0xFA4E3140]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwTerminateProcess [0xFA4E1CD0]
SSDT FB15F4EA ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.14 ----

.text ntoskrnl.exe!_abnormal_termination + 104 804E2760 12 Bytes [ 10, B5, 4D, FA, 70, 18, 4E, ... ]
? srescan.sys Das System kann die angegebene Datei nicht finden. !

Fortsetzung:

---- Kernel IAT/EAT - GMER 1.0.14 ----

IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRegisterProtocol] [FA4DFCA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisOpenAdapter] [FA4E01C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisCloseAdapter] [FA4E0320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisDeregisterProtocol] [FA4DFE10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisDeregisterProtocol] [FA4DFE10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRegisterProtocol] [FA4DFCA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisOpenAdapter] [FA4E01C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisCloseAdapter] [FA4E0320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRegisterProtocol] [FA4DFCA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisCloseAdapter] [FA4E0320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisOpenAdapter] [FA4E01C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisDeregisterProtocol] [FA4DFE10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisCloseAdapter] [FA4E0320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisOpenAdapter] [FA4E01C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRegisterProtocol] [FA4DFCA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisDeregisterProtocol] [FA4DFE10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRegisterProtocol] [FA4DFCA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisOpenAdapter] [FA4E01C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisCloseAdapter] [FA4E0320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\drivers\afd.sys[ntoskrnl.exe!IoCreateFile] [FA4ED330] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\irda.sys[NDIS.SYS!NdisOpenAdapter] [FA4E01C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\irda.sys[NDIS.SYS!NdisRegisterProtocol] [FA4DFCA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\irda.sys[NDIS.SYS!NdisCloseAdapter] [FA4E0320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\irda.sys[NDIS.SYS!NdisDeregisterProtocol] [FA4DFE10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisRegisterProtocol] [FA4DFCA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisDeregisterProtocol] [FA4DFE10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisCloseAdapter] [FA4E0320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisOpenAdapter] [FA4E01C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtOpenFile] [FA4D8670] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtSetInformationFile] [FA4D85C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!IoCreateFile] [FA4D8770] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtCreateFile] [FA4D82D0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

---- Devices - GMER 1.0.14 ----

Device \Driver\Tcpip \Device\Ip vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \Driver\Tcpip \Device\Tcp vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \Driver\Tcpip \Device\Udp vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \Driver\Tcpip \Device\RawIp vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \Driver\Tcpip \Device\IPMULTICAST vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

---- Files - GMER 1.0.14 ----

File C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\DJ Tiesto Magik Collection 1-7\Magik 1 - First Flight 0 bytes
File C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\DJ Tiesto Magik Collection 1-7\Magik 1 - First Flight\01. Magik 1 - First Flight - [sunday Club - Healing Dream].mp3 13639815 bytes
File C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\VA_-_Mayday-New_Euphoria-3CD-2007-MOD\000_va_-_mayday-new_euphoria-3cd-2007-cover.jpg 1370554 bytes
File C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\www.torrent.to...Boston.Legal.S02E22.Treuegarantie.GERMAN.DUBBED.WS.DVDRiP.XviD-SOF\sof-boston.legal.s02e22.treuegarantie.(2004).xvid.nfo 5734 bytes
File C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\www.torrent.to...Der.Teufel.traegt.Prada.DVDRiP.AC3.Dubbed.German.XviD-ECS\CD1 0 bytes
File C:\Dokumente und Einstellungen\***\Eigene Dateien\www.torrent.to...Gilmore.Girls.S06E10.Geldsegen.German.Dubbed.DVDRiP.FS.XviD-Troopa\www.torrent.to...Dr.House.S02E22.Ein.Problem.ist.nur.das.Leben.German.Dubbed.WS.DVDRiP.XviD-ITG\www.torrent.to...Der.Teufel.traegt.Prada.DVDRiP.AC3.Dubbed.German.XviD-ECS\CD1\ecs-prada_dvdrip_xvid_cd1.r00 15000000 bytes

---- EOF - GMER 1.0.14 ----


Und bei Catchme gab es nix zu zippen...

Heißt das, dass augenscheinlich alles ok ist bei dem Rechner?

Werde dann jetzt mal Java aktualisieren....

Auch das ist unauffällig, so unauffällig es sein kann, wenn sich Zonealarm breit gemcht hat. Im Rahmen der Möglichekiten einer Onlineuntersuchung denke ich, dass der Rechner ok ist.

Ok danke, dann hoffe ich mal, dass der PC nun rundläuft...
für den PC meiner Freundin habe ich einen neuen Thread aufgemacht....:

http://www.trojaner-board.de/49146-bitte-um-auswertung-ob-noch-spuren-eines-trojaners.html


Klasse Forum im übrigen:o