Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Vista Upload und Antivir keine Verbindung zum Internet (https://www.trojaner-board.de/65206-vista-upload-antivir-keine-verbindung-internet.html)

Doppelherz 25.11.2008 23:11
Vista Upload und Antivir keine Verbindung zum Internet
 
Hi Leute,
mein Vista PC hat seit Tagen kein Vista Update oder Antivir Update gemacht.
Diese Bilder kommen dann bei dem Windows Upload:

http://xplus.kilu.de/Forum/marcels%20unfug/update01.jpg
Das Update weiß, dass es ein Update machen muss. Ich klicke auf Updates installieren.

http://xplus.kilu.de/Forum/marcels%20unfug/update02.jpg
Ich bin froh, dass Vista auch erkennt wie groß die Datei ist und warte auf den Startschuss des downloads.

http://xplus.kilu.de/Forum/marcels%20unfug/update03.jpg
Panik, es färbt sich rot und sagt, dass es nicht installiert werden konnte. Der Fehler unten Links heißt bei vielen Foren, dass eine Firewall es daran hindert, aber ich habe alle Firewalls schon deaktiviert für diesen Moment. Also auf Vorgang wiederholen klicken.

http://xplus.kilu.de/Forum/marcels%20unfug/update04.jpg
Lustig! Der sagt mir, dass der schon was installiert. Nur tut er es nicht.

Denn diese Prozdeur macht er seit einer Woche. Wenn ich morgens anfange, sagt der mir sogar abends noch, dass er ein Update installiert.
Aber nun gut, es ist nicht das einzige Problem.

Weiter mit dem Defender:

http://xplus.kilu.de/Forum/marcels%2...defender06.jpg
Der Defender will ein Update. Alles klar. ( Nebenbei, es ist nicht das selbe wie beim Windows Update, denn das Windows Update handelt von der Verbesserung vom Media Center )

http://xplus.kilu.de/Forum/marcels%2...defender07.jpg
Tada! Auch das will er nicht.

Und alle schlechten Dinge sind anscheiend auch drei, habe ich heute herausgefunden, dass mein AntiVir auch nicht mehr updaten will:

http://xplus.kilu.de/Forum/marcels%2.../antivir05.jpg
antivir startet ab 30 sekunden Uploader mit den relevanten anwendungen und 7 Sekunden später erscheint diese Meldung.



Und nun? An der Firewall kann es wirklich nicht liegen. Windows Firewall ist deaktiviert, die Vista FireWall Control ebenfalls, der Router ( FritzBox ) hat keine Berechtigung Sachen zu sperren, also freie Bahn. Es muss etwas hartes fieses kleines sein, oder?

Hijacklogfile:
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:45:07, on 25.11.2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v8.00 (8.00.6001.17184)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\VistaFirewallControl\VistaFirewallControl.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Search Settings\SearchSettings.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\uTorrent\uTorrent.exe
C:\Program Files\ICQ6\ICQ.exe
C:\Windows\ehome\ehtray.exe
C:\Users\XXX\AppData\Local\Google\Update\GoogleUpdate.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Rapidshare Downloader\RSD.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Last.fm\LastFM.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\conime.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Users\XXX\Desktop\spykrams\aaw2008_11n.exe
C:\Windows\System32\msiexec.exe
C:\Windows\system32\MsiExec.exe
C:\Users\XXX\Desktop\spykrams\HiJackThis.exe
C:\Windows\system32\MsiExec.exe
C:\Windows\system32\SearchFilterHost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://doppelherz.lima-city.de/startseite_brainstock.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\Search Settings\kb127\SearchSettings.dll
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O2 - BHO: XMLDP Class - {72A128E0-2240-40c8-9E92-5387D64F839E} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\4.1.805.4472\swg.dll
O2 - BHO: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\Search Settings\kb127\SearchSettings.dll
O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Program Files\Veoh Networks\Veoh\Plugins\reg\VeohToolbar.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [VistaFirewallControl] C:\Program Files\VistaFirewallControl\VistaFirewallControl.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SearchSettings] C:\Program Files\Search Settings\SearchSettings.exe
O4 - HKLM\..\Run: [TrayServer] C:\Program Files\MAGIX\Video_deluxe_2008_PLUS\TrayServer.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\Apple\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe"
O4 - HKCU\..\Run: [ICQ] "C:\Program Files\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [Google Update] "C:\Users\XXX\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~2\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A5F79CA7-A5FB-4EEA-8811-82C65BDC4CA0}: NameServer = 85.255.112.142;85.255.112.221
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O22 - SharedTaskScheduler: Deskscapes - {EC654325-1273-C2A9-2B7C-45D29BCE68FB} - C:\PROGRA~2\Stardock\OBJECT~1\DESKSC~1\deskscapes.dll
O22 - SharedTaskScheduler: Stardock Vista ControlPanel Extension - {EC654325-1273-C2A9-2B7C-45D29BCE68FD} - C:\PROGRA~2\Stardock\OBJECT~1\DESKSC~1\DesktopControlPanel.dll
O22 - SharedTaskScheduler: StardockDreamController - {EC654325-1273-C2A9-2B7C-45D29BCE68FF} - C:\PROGRA~2\Stardock\OBJECT~1\DESKSC~1\DreamControl.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Program Files\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: AVM IGD CTRL Service (IGDCTRL) - AVM Berlin - C:\Program Files\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe
O23 - Service: UPnPService - Magix AG - C:\Program Files\Common Files\MAGIX Shared\UPnPService\UPnPService.exe
O23 - Service: VistaFirewallService - Sphinx Software - C:\Program Files\VistaFirewallControl\VistaFirewallService.exe
O23 - Service: Windows Tribute Service - Unknown owner - C:\Windows\system32\kdoxp.exe (file missing)

--
End of file - 9321 bytes
Ich habe auch einen Silent Runners Logfile, doch der ist Meterlang.
Malewarebytes habe ich eben 2 einhalb stunden durchlaufen lassen und er fand 10 objekte, doch ich habe es erstmal gestoppt, weil ich nun ins bett will.
Morgen lasse ich es nochmal durchlaufen und was habt ihr dann für Tipps? Was soll ich tun? Panik habe ich langsam schon.

Danke im vorraus.

Argus 26.11.2008 00:46
Wenn im Log von Malewarebytes sowas wie TDSS.... steht hast du ein Rootkit drauf

cosinus 26.11.2008 00:50
Zitat:
Zitat von Argus (Beitrag 394907)
Wenn im Log von Malewarebytes sowas wie TDSS.... steht hast du ein Rootkit drauf
Und Du meinst ein ONU kann mit dieser Mitteilung was anfangen? :confused:

Argus 26.11.2008 01:05
Nein,kann er nicht,ist auch nur Info
Wenn er Heute wieder scannt sind die TDSS Einträge vielleicht nicht mehr da

Zitat:
doch ich habe es erstmal gestoppt

Doppelherz 26.11.2008 19:59
Dies kam bei Malwarebytes heraus:

Code:
Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1423
Windows 6.0.6001 Service Pack 1

26.11.2008 19:57:10
mbam-log-2008-11-26 (19-57-10).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 306629
Laufzeit: 2 hour(s), 55 minute(s), 56 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 3
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 4
Infizierte Verzeichnisse: 1
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{72a128e0-2240-40c8-9e92-5387d64f839e} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Tribute Service (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SaveNow (Adware.WhenUSave) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_CLASSES_ROOT\regfile\shell\open\command\ (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{a5f79ca7-a5fb-4eea-8811-82c65bdc4ca0}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.142;85.255.112.221 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{a5f79ca7-a5fb-4eea-8811-82c65bdc4ca0}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.142;85.255.112.221 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{a5f79ca7-a5fb-4eea-8811-82c65bdc4ca0}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.142;85.255.112.221 -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\resycled (Trojan.DNSChanger) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\Users\XXX\Downloads\Keygen.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Silent sharK 26.11.2008 20:22
Zitat:
C:\Users\XXX\Downloads\Keygen.exe (Trojan.Agent)
Damit hast du dir dein System kompromittiert. Herzlichen Glückwunsch :kloppen:

Doppelherz 26.11.2008 23:23
Sch*** und nun?

Wenigstens muss ich sagen, dass Malwarebytes nach dem Neustart es wieder möglich gemacht hat, dass Antivir wieder funktioniert.

Ich habe nun nochmal Ad-Aware durchlaufen lassen, und auch da fanden sich ganze Mengen an. Ich habe die meisten dann gelöscht, doch da gab es welche, die sich nicht löschen lassen wollten.

http://img237.imageshack.us/img237/5...objekteby3.jpg

http://img360.imageshack.us/img360/6...eobjektzr9.jpg

Und nun? Kann die nicht löschen, in keine Quarantäne oder in die Ausschlussliste setzen. Hilfe. :confused:

Argus 26.11.2008 23:42
Download HostsXpert 4
Mach eine Verknüpfung zum Desktop
Klicke nur! “Restore MSHosts file”

Poste nochmal ein log von Hijack This

Doppelherz 04.12.2008 02:14
Hi, danke erstmal für den Tip mit hostsXpert, aber was genau macht es?
Und ich habe die letzten Tage abwechselnd antivir, ad aware und malwarebytes durchlaufen lassen. Antivir konnte wieder updaten und auch windows tuts jetzt wieder. soll ich es nun erstmal so lassen oder gibts da ne absicherung die ich machen sollte?


Alle Zeitangaben in WEZ +1. Es ist jetzt 17:25 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131