|
Experte gefragt! Hallo, ich habe die Vermutung, dass ein Bekannter (Dipl. Informatiker und absolute Koryphäe) auf mein System eingedrungen ist. Leider kenne ich mich in der Tiefe (eventuell selbst programmierte Trojaner/Rootkit o.ä.) nicht mehr aus. Zu nächst habe ich meinen PC formatiert und neu eingerichtet. Das ist jetzt auch schon wieder ein paar Monate her und ich frage mich ob er es wieder "gehacked" haben könnte. Bitte um Mithilfe und wäre dafür sehr dankbar! p.s. bei einem "Hijack This" check ist mir besonders die datei "shell explorer.exe" aufgefallen. Hijack meldete einige Trojaner und Keylogger beim im kontext mit dieser Datei! Meine Logfile: HiJackFree Logfile v3.0 Scan gespeichert um 11:07:46, am 07.09.2008 Betriebssystem: Windows XP Service Pack 3 (Windows NT 5.1.2600) MSIE: Internet Explorer v 7.0 Service Pack 3 (7.0.5730.13) Aktive Prozesse: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Intel\Wireless\Bin\EvtEng.exe C:\Programme\Intel\Wireless\Bin\S24EvMon.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe C:\Programme\Lavasoft\Ad-Aware\aawservice.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\FRITZ!DSL\IGDCTRL.EXE C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe C:\WINDOWS\system32\nvsvc32.exe C:\Programme\PostgreSQL\8.3\bin\pg_ctl.exe C:\Programme\Intel\Wireless\Bin\RegSrvc.exe C:\Programme\PostgreSQL\8.3\bin\postgres.exe C:\Programme\PostgreSQL\8.3\bin\postgres.exe C:\Programme\PostgreSQL\8.3\bin\postgres.exe C:\Programme\PostgreSQL\8.3\bin\postgres.exe C:\Programme\PostgreSQL\8.3\bin\postgres.exe C:\Programme\PostgreSQL\8.3\bin\postgres.exe C:\WINDOWS\System32\alg.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe C:\Programme\Intel\Wireless\Bin\EOUWiz.exe C:\Programme\Microsoft IntelliPoint\ipoint.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\Spybot C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe C:\Programme\Skype\Phone\Skype.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe C:\Programme\FRITZ!DSL\FwebProt.exe C:\Programme\FRITZ!DSL\StCenter.exe C:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE C:\Programme\a-squared HiJackFree\a2hijackfree.exe C:\Programme\GNU\GnuPG\WinPT.exe C:\WINDOWS\Regedit.exe C:\Programme\Mozilla Firefox\firefox.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://WWW.BenQ.COM/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Links O2 - BHO: - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - O2 - BHO: - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.7\NppBho.dll O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O3 - Toolbar: Norton-Symbolleiste anzeigen - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.7\UIBHO.dll O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe" O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless O4 - HKLM\..\Run: [EOUApp] "C:\Programme\Intel\Wireless\Bin\EOUWiz.exe" O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll" O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\ipoint.exe" O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] CHDAudPropShortcut.exe O4 - HKLM\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKLM\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O7 - Regedit - Aktiv O8 - Extra Kontextmenü Eintrag: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Programme\PokerStars\main.ico O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.ico O9 - Extra "Tools" menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.ico O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\PROGRA~1\Skype\Toolbars\INTERN~1\favicon.ico O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\images\ppicon.ico O9 - Extra "Tools" menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\images\ppicon.ico O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\bt_cold_icon.ico O9 - Extra "Tools" menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\bt_cold_icon.ico O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra "Tools" menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Unbekannte Winsock LSP Datei: C:\Programme\FRITZ!DSL\sarah.dll O10 - Unbekannte Winsock LSP Datei: C:\Programme\FRITZ!DSL\sarah.dll O10 - Unbekannte Winsock LSP Datei: C:\Programme\FRITZ!DSL\sarah.dll O10 - Unbekannte Winsock LSP Datei: C:\Programme\FRITZ!DSL\sarah.dll O14 - IERESET.INF: START_PAGE_URL=http://WWW.BenQ.COM/ O14 - IERESET.INF: SEARCH_PAGE_URL="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch" O14 - IERESET.INF: MS_START_PAGE_URL="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome" O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1220275101921 O20 - Winlogon Notify: dimsntfy - C:\WINDOWS\ O21 - ShellServiceObjectDelayLoad: PostBootReminder - O21 - ShellServiceObjectDelayLoad: CDBurn - O21 - ShellServiceObjectDelayLoad: WebCheck - O21 - ShellServiceObjectDelayLoad: SysTray - O22 - SharedTaskScheduler: Browseui preloader - O22 - SharedTaskScheduler: Component Categories cache daemon - C:\WINDOWS\system32\browseui.dll O23 - Dienst: Lavasoft Ad-Aware Service - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe O23 - Dienst: Warndienst - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Gatewaydienst auf Anwendungsebene - C:\WINDOWS\System32\alg.exe O23 - Dienst: AntiVir PersonalEdition Classic Planer - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Dienst: AntiVir PersonalEdition Classic Guard - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Dienst: Anwendungsverwaltung - C:\WINDOWS\system32\svchost.exe O23 - Dienst: ASP.NET State Service - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe O23 - Dienst: Windows Audio - C:\WINDOWS\System32\svchost.exe O23 - Dienst: AVM IGD CTRL Service - C:\Programme\FRITZ!DSL\IGDCTRL.EXE O23 - Dienst: Intelligenter Hintergrundübertragungsdienst - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Computerbrowser - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Bluetooth Service - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe O23 - Dienst: Symantec Event Manager - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Dienst: Symantec Settings Manager - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Dienst: Indexdienst - C:\WINDOWS\system32\cisvc.exe O23 - Dienst: Ablagemappe - C:\WINDOWS\system32\clipsrv.exe O23 - Dienst: .NET Runtime Optimization Service v2.0.50727_X86 - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe O23 - Dienst: Symantec Lic NetConnect service - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Dienst: COM Host - C:\Programme\Gemeinsame Dateien\Symantec Shared\VAScanner\comHost.exe O23 - Dienst: COM+-Systemanwendung - C:\WINDOWS\system32\dllhost.exe O23 - Dienst: Kryptografiedienste - C:\WINDOWS\system32\svchost.exe O23 - Dienst: DCOM-Server-Prozessstart - C:\WINDOWS\system32\svchost O23 - Dienst: AVM FRITZ!web Routing Service - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe O23 - Dienst: DHCP-Client - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Verwaltungsdienst für die Verwaltung logischer Datenträger - C:\WINDOWS\System32\dmadmin.exe O23 - Dienst: Verwaltung logischer Datenträger - C:\WINDOWS\System32\svchost.exe O23 - Dienst: DNS-Client - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Automatische Konfiguration (verkabelt) - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Extensible Authentication-Protokolldienst - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Fehlerberichterstattungsdienst - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Ereignisprotokoll - C:\WINDOWS\system32\services.exe O23 - Dienst: COM+-Ereignissystem - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Intel(R) PROSet/Wireless Event Log - C:\Programme\Intel\Wireless\Bin\EvtEng.exe O23 - Dienst: Kompatibilität für schnelle Benutzerumschaltung - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Windows Presentation Foundation Font Cache 3.0.0.0 - C:\WINDOWS\Microsoft.Net\Framework\v3.0\WPF\PresentationFontCache.exe O23 - Dienst: Hilfe und Support - C:\WINDOWS\System32\svchost.exe O23 - Dienst: HID Input Service - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Integritätsschlüssel- und Zertifikatverwaltungsdienst - C:\WINDOWS\System32\svchost.exe O23 - Dienst: HTTP-SSL - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Windows CardSpace - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe O23 - Dienst: IMAPI-CD-Brenn-COM-Dienste - C:\WINDOWS\system32\imapi.exe O23 - Dienst: Server - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Arbeitsstationsdienst - C:\WINDOWS\system32\svchost.exe O23 - Dienst: LiveUpdate - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE O23 - Dienst: LiveUpdate Notice Service Ex - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Dienst: LiveUpdate Notice Service - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe O23 - Dienst: TCP/IP-NetBIOS-Hilfsprogramm - C:\WINDOWS\system32\svchost.exe O23 - Dienst: MEMSWEEP2 - C:\WINDOWS\system32\1.tmp O23 - Dienst: Nachrichtendienst - C:\WINDOWS\system32\svchost.exe O23 - Dienst: NetMeeting-Remotedesktop-Freigabe - C:\WINDOWS\system32\mnmsrvc.exe O23 - Dienst: Distributed Transaction Coordinator - C:\WINDOWS\system32\msdtc.exe O23 - Dienst: Windows Installer - C:\WINDOWS\system32\msiexec.exe O23 - Dienst: Netzwerk-DDE-Dienst - C:\WINDOWS\system32\netdde.exe O23 - Dienst: Netzwerk-DDE-Serverdienst - C:\WINDOWS\system32\netdde.exe O23 - Dienst: Anmeldedienst - C:\WINDOWS\system32\lsass.exe O23 - Dienst: Netzwerkverbindungen - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Net.Tcp Port Sharing Service - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe O23 - Dienst: NLA (Network Location Awareness) - C:\WINDOWS\system32\svchost.exe O23 - Dienst: NT-LM-Sicherheitsdienst - C:\WINDOWS\system32\lsass.exe O23 - Dienst: Wechselmedien - C:\WINDOWS\system32\svchost.exe O23 - Dienst: NVIDIA Display Driver Service - C:\WINDOWS\system32\nvsvc32.exe O23 - Dienst: PostgreSQL Database Server 8.3 - C:\Programme\PostgreSQL\8.3\bin\pg_ctl.exe O23 - Dienst: Plug & Play - C:\WINDOWS\system32\services.exe O23 - Dienst: IPSEC-Dienste - C:\WINDOWS\system32\lsass.exe O23 - Dienst: Geschützter Speicher - C:\WINDOWS\system32\lsass.exe O23 - Dienst: Verwaltung für automatische RAS-Verbindung - C:\WINDOWS\system32\svchost.exe O23 - Dienst: RAS-Verbindungsverwaltung - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Sitzungs-Manager für Remotedesktophilfe - C:\WINDOWS\system32\sessmgr.exe O23 - Dienst: Intel(R) PROSet/Wireless Registry Service - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe O23 - Dienst: Routing und RAS - C:\WINDOWS\system32\svchost.exe O23 - Dienst: RPC-Locator - C:\WINDOWS\system32\locator.exe O23 - Dienst: Remoteprozeduraufruf (RPC) - C:\WINDOWS\system32\svchost O23 - Dienst: QoS-RSVP - C:\WINDOWS\system32\rsvp.exe O23 - Dienst: Intel(R) PROSet/Wireless Service - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe O23 - Dienst: Sicherheitskontenverwaltung - C:\WINDOWS\system32\lsass.exe O23 - Dienst: Smartcard - C:\WINDOWS\System32\SCardSvr.exe O23 - Dienst: Taskplaner - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Sekundäre Anmeldung - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Systemereignisbenachrichtigung - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Windows-Firewall/Gemeinsame Nutzung der Internetverbindung - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Shellhardwareerkennung - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Druckwarteschlange - C:\WINDOWS\system32\spoolsv.exe O23 - Dienst: Systemwiederherstellungsdienst - C:\WINDOWS\system32\svchost.exe O23 - Dienst: SSDP-Suchdienst - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Windows-Bilderfassung (WIA) - C:\WINDOWS\system32\svchost.exe O23 - Dienst: MS Software Shadow Copy Provider - C:\WINDOWS\system32\dllhost.exe O23 - Dienst: Symantec Core LC - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe O23 - Dienst: Leistungsdatenprotokolle und Warnungen - C:\WINDOWS\system32\smlogsvc.exe O23 - Dienst: Telefonie - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Terminaldienste - C:\WINDOWS\System32\svchost O23 - Dienst: Designs - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Überwachung verteilter Verknüpfungen (Client) - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Universeller Plug & Play-Gerätehost - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Unterbrechungsfreie Stromversorgung - C:\WINDOWS\System32\ups.exe O23 - Dienst: Volumeschattenkopie - C:\WINDOWS\System32\vssvc.exe O23 - Dienst: Windows-Zeitgeber - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Webclient - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Windows-Verwaltungsinstrumentation - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Dienst für Seriennummern der tragbaren Medien - C:\WINDOWS\System32\svchost.exe O23 - Dienst: WMI-Leistungsadapter - C:\WINDOWS\system32\wbem\wmiapsrv.exe O23 - Dienst: Sicherheitscenter - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Automatische Updates - C:\WINDOWS\system32\svchost.exe O23 - Dienst: Konfigurationsfreie drahtlose Verbindung - C:\WINDOWS\System32\svchost.exe O23 - Dienst: Netzwerkversorgungsdienst - C:\WINDOWS\System32\svchost.exe |
Habe gerade mit dem Sophos Anti Rootkit mein System gescannt und folgendes entdeckt: Area: Windows registry Description: Hidden registry key Location: \HKEY_USERS\S-1-5-21-1343024091-1085031214-725345543-1005 Removable: No Notes: (no more detail available) ich weiß nicht ob das hier rein gehört, aber vielleicht hilft es bei der Auswertung. Danke. edit: habe diesen Eintrag in der registry gesucht, aber nicht gefunden!?? |
es wäre wirklich sehr nett, wenn jemand mal über meine Logfile schauen würde. Danke:party::party: |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 19:50 Uhr. |
Copyright ©2000-2025, Trojaner-Board