Trojaner-Board - System32 Prozesse bei Windows Start

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - System32 Prozesse bei Windows Start (https://www.trojaner-board.de/71181-system32-prozesse-windows-start.html)

System32 Prozesse bei Windows Start

Guten Abend!

Ich habe seit mehreren Wochen den Verdacht das sich ein (oder mehrere) Viren auf meinem Pc befinden ich kenne mich mit diesen Dingen nicht sehr gut aus und habe auch schon einiges probiert (spybot, anti vir, Hitman etc.). Nun habe ich ein Hijackthis File erstellt und möchte euch bitten mir dieses auszuwerten und zu erklären falls ein Virus gefunden wird wie man diesen löscht ich verstehe das mit dem abgesicherten Modus nicht! Nunja hier das File:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:43:41, on 18.03.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0013)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Google\Update\GoogleUpdate.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Java\jre6\bin\jusched.exe

C:\Programme\FreePDF_XP\fpassist.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Programme\SoftMaker Office 2006\Smash.exe

C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

C:\Programme\Messenger\msmsgs.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\Programme\DAEMON Tools Lite\daemon.exe

C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\WINDOWS\system32\PnkBstrB.exe

C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

C:\Programme\DisplayFusion\DisplayFusion.exe

C:\Programme\NETGEAR\WG111T Konfigurationsprogramm\wlan111t.exe

C:\WINDOWS\System32\wbem\wmiapsrv.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Hitman Pro\hitmanpro2.exe

C:\WINDOWS\system32\taskmgr.exe

C:\Programme\Lavasoft\Ad-Aware SE Personal\Ad-Aware.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Hijackthis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.freemov2avi.com/search/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = 192.168.100.22

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\RunOnce: [SpybotDeletingA5970] command.com /c del "C:\Programme\MyWebSearch\bar\History\search3"

O4 - HKLM\..\RunOnce: [SpybotDeletingC8130] cmd.exe /c del "C:\Programme\MyWebSearch\bar\History\search3"

O4 - HKLM\..\RunOnce: [SpybotDeletingA1884] command.com /c del "C:\Programme\MyWebSearch\bar\Settings\settings.dat"

O4 - HKLM\..\RunOnce: [SpybotDeletingC4317] cmd.exe /c del "C:\Programme\MyWebSearch\bar\Settings\settings.dat"

O4 - HKLM\..\RunOnce: [SpybotDeletingA1375] command.com /c del "C:\Programme\MyWebSearch\bar\Settings\s_pid.dat"

O4 - HKLM\..\RunOnce: [SpybotDeletingC9939] cmd.exe /c del "C:\Programme\MyWebSearch\bar\Settings\s_pid.dat"

O4 - HKLM\..\RunOnce: [SpybotDeletingA1749] command.com /c del "C:\Programme\MyWebSearch\bar\Settings\setting2.htm"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [Smash] "C:\Programme\SoftMaker Office 2006\Smash.exe"

O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programme\DAEMON Tools Lite\daemon.exe" -autorun

O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Programme\Alcohol Soft\Alcohol 120\axcmd.exe" /automount

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [DisplayFusion] C:\Programme\DisplayFusion\DisplayFusion.exe

O4 - HKCU\..\RunOnce: [SpybotDeletingB1559] command.com /c del "C:\Programme\MyWebSearch\bar\Settings\setting2.htm"

O4 - HKCU\..\RunOnce: [SpybotDeletingD4339] cmd.exe /c del "C:\Programme\MyWebSearch\bar\Settings\setting2.htm"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: NETGEAR WG111T Smart Wizard.lnk = ?

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Google Update Service (gupdate1c991dda97ea3fe) (gupdate1c991dda97ea3fe) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe

O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
 

--

End of file - 8776 bytes

Ich hoffe ihr könnt mir weiterhelfen :)

Hallo und :hallo:

klicke auf "Für alle Neuen" in meiner Signatur, lies alles aufmerksam und arbeite die Liste unter Punkt 2 ab.

ciao, andreas

Code:

Malwarebytes' Anti-Malware 1.34

Datenbank Version: 1870

Windows 5.1.2600 Service Pack 3
 

19.03.2009 18:23:56

mbam-log-2009-03-19 (18-23-56).txt
 

Scan-Methode: Vollständiger Scan (C:\|)

Durchsuchte Objekte: 182100

Laufzeit: 1 hour(s), 24 minute(s), 39 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 11

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 3

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{07b18ea9-a523-4961-b6bb-170de4475cca} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{07b18eab-a523-4961-b6bb-170de4475cca} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{00a6faf1-072e-44cf-8957-5838f569a31d} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{59c7fc09-1c83-4648-b3e6-003d2bbc7481} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{68af847f-6e91-45dd-9b68-d6a12c30e5d7} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9170b96c-28d4-4626-8358-27e6caeef907} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{d1a71fa0-ff48-48dd-9b6d-7a13a3e42127} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{ddb1968e-ead6-40fd-8dae-ff14757f60c7} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{f138d901-86f0-4383-99b6-9cdd406036da} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\RunDll32Policy\f3ScrCtr.dll (Adware.MyWay) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\WMPlayer\Schemes\f3pss (Adware.MyWebSearch) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

Das ist der malware dingens /\
Hier von Hijackthis uninstall \/

Code:

Ad-Aware SE Personal

Adobe Acrobat and Reader 8.1.2 Security Update 1 (KB403742)

Adobe Flash Player 10 Plugin

Adobe Flash Player 9 ActiveX

Adobe Reader 8.1.2 - Deutsch

AnyDVD

Apple Software Update

Assassin's Creed

Audiograbber 1.83 SE 

AutoIt v3.3.0.0

Avira AntiVir Personal - Free Antivirus

Camtasia Studio 4

Camtasia Studio 6

CCleaner (remove only)

Counter-Strike Source Final 07102004

DisplayFusion

DVDFab (Platinum/Gold/HD Decrypter) (Option: Mobile) 5.2.3.2

Express Burn

Express Rip Uninstall

FlatOut2

Free Fire Screensaver

Free MOV 2 AVI 

Free Video Converter

FreePDF XP (Remove only)

Frets On Fire

GIMP 2.6.4

Google Earth

Google Update Helper

Google Updater

GPL Ghostscript 8.63

GUILD WARS

GuildWars Visions v1.08

GW Team Builder 1.1.3

Hamachi 1.0.3.0

High Definition Audio Driver Package - KB888111

HijackThis 2.0.2

Hitman Pro

HyperCam 2

ICQ6.5

iLead Video Converter 3.3.5

Java(TM) 6 Update 10

Java(TM) 6 Update 7

KRISTAL Audio Engine

Malwarebytes' Anti-Malware

Marvell Miniport Driver

Microsoft .NET Framework 2.0 Service Pack 1

Microsoft .NET Framework 2.0 Service Pack 1 Language Pack - DEU

Microsoft .NET Framework 3.0 Service Pack 1

Microsoft .NET Framework 3.0 Service Pack 1 Language Pack - DEU

Microsoft .NET Framework 3.5

Microsoft .NET Framework 3.5

Microsoft .NET Framework 3.5 Language Pack - deu

Microsoft .NET Framework 3.5 Language Pack - DEU

Microsoft Compression Client Pack 1.0 for Windows XP

Microsoft Internationalized Domain Names Mitigation APIs

Microsoft National Language Support Downlevel APIs

Microsoft Office Small Business Edition 2003

Microsoft Office XP Small Business

Microsoft User-Mode Driver Framework Feature Pack 1.0

Microsoft Visual C++ 2005 Redistributable

Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17

MovieConverter

Mozilla Firefox (3.0.7)

MPEG4E VFW - H.264/MPEG-4 AVC codec (remove only)

Nero 7 Premium

NETGEAR WG111T Konfigurationsprogramm

Norton Security Scan

NVIDIA Drivers

NVIDIA PhysX

OpenOffice.org 3.0

Picasa 2

Pivot Stickfigure Animator

PunkBuster Services

QIP Infium 2.0.9024 RC4

QuickTime

Realtek High Definition Audio Driver

RecordPad Sound Recorder Uninstall

RedMon - Redirection Port Monitor

Registry Mechanic 8.0

Runes of Magic

Sicherheitsupdate für Windows XP (KB923789)

Sicherheitsupdate für Windows XP (KB950759)

Sicherheitsupdate für Windows XP (KB950760)

Sicherheitsupdate für Windows XP (KB950762)

Sicherheitsupdate für Windows XP (KB951376-v2)

Sicherheitsupdate für Windows XP (KB951698)

Sicherheitsupdate für Windows XP (KB951748)

SoftMaker Office 2006 (C:\Programme\SoftMaker Office 2006)

SprayR 1.0 RC7

Spybot - Search & Destroy

Spyware Doctor 6.0

Switch Sound File Converter

TeamSpeak 2 RC2

TrackMania Nations ESWC 1.7.9

TubeBox!

TuxGuitar

UltraMon

Uninstall 1.0.0.1

Unreal Tournament 3

VLC media player 0.9.4

WavePad Sound Editor

WinAVI Video Converter

Windows Internet Explorer 7

Windows Media Format 11 runtime

Windows Media Format 11 runtime

Windows Media Player 11

Windows Media Player 11

Windows Media Player Firefox Plugin

Windows XP Service Pack 3

WinRAR

Xilisoft MOV Converter

XML Paper Specification Shared Components Language Pack 1.0

Ich hoffe nun das mir jemand sagen kann ob was mit meinem system nicht stimmt habe alles in Punkt 2 beschriebene getan!

PS: :schmoll: man sieht wieviel ahnung ich habe Danke für den hinweis jetzt ist sie komplett

Die Liste der installierten Software ist nicht vollständig.

ciao, andreas

1.) Deinstalliere:

AdAware
Adobe Acrobat and Reader 8.1.2 Security Update 1 (KB403742)
Adobe Flash Player 10 Plugin
Adobe Flash Player 9 ActiveX
Adobe Reader 8.1.2 - Deutsch
Apple Software Update
Google Update Helper
Google Updater
Hitman Pro
Java(TM) 6 Update 7
Java(TM) 6 Update 10
Spybot - Search & Destroy
Spyware Doctor 6.0
Uninstall 1.0.0.1
VLC media player 0.9.4

und einen von den beiden:

Camtasia Studio 4
Camtasia Studio 6

2.) Installiere (Toolbars immer abwählen, Haken weg):

Adobe Reader oder besser FoxIt Reader
Download der Java-Software von Sun Microsystems
Adobe Flash Player
VideoLAN - Download from mirror oder besser KM Player

3.) Scanner laufenlassen und Log posten: http://www.trojaner-board.de/51871-a...tispyware.html

ciao, andreas