Trojaner-Board - Log File

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Log File (https://www.trojaner-board.de/9138-log-file.html)

Hallo,

die automatische Auswertung meines Logfile ergab, das ich ein Update meines IExplorer durchführen sollte und ggf. die DPF Einträge 016 (falls unbekannt) fixen sollte.
Dies habe ich getan, jedoch sind diese DPF Einträge nach WIN Neustart wieder da. Im abgesicherten Modus gescannt erscheinen diese Einträge nicht.
Da ich nicht weiß ob sie wirklich als böse oder gut einzustufen sind bitte ich um einen Rat.
Zum Update des IExplorer bekomme ich eine Meldung wenn ich die ca.500 kb große .exe Datei installieren möchte wie "... vorherige Neuinstallation muß beendet werden, Neustart des Rechners...Setup wird abgebrochen..."
Rechner neugestartet und wieder das Gleiche.
Hhmmm was für 'ne Neuinstallation? Hab' nichts dergleichen durchgeführt.
Fazit; Setup (SP für IExplorer6) kann ich nicht ausführen.
Benutze übrigens jetzt den Mozilla Firefox.

Logfile of HijackThis v1.98.2
Scan saved at 12:14:10, on 03.11.04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WIN95\SYSTEM\KERNEL32.DLL
C:\WIN95\SYSTEM\MSGSRV32.EXE
C:\WIN95\SYSTEM\MPREXE.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\WIN95\EXPLORER.EXE
C:\PROGRAMME\LOGITECH\MOUSEWARE\SYSTEM\EM_EXEC.EXE
C:\PROGRAMME\NORTON ANTIVIRUS\POPROXY.EXE
C:\PROGRAMME\NORTON ANTIVIRUS\NAVAPW32.EXE
C:\PROGRAMME\SPYBOT - SEARCH & DESTROY\TEATIMER.EXE
C:\WIN95\SYSTEM\RNAAPP.EXE
C:\WIN95\SYSTEM\TAPISRV.EXE
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\PROGRAMME\T-DSL SPEEDMANAGER\SPEEDMGR.EXE
C:\PROGRAMME\T-DSL SPEEDMANAGER\TSMSVC.EXE
C:\PROGRAMME\WINDOWS_TOOLS\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 66.20.28.125:8080
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\LOGITECH\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [Norton eMail Protect] C:\PROGRAMME\NORTON ANTIVIRUS\POProxy.exe
O4 - HKLM\..\Run: [NAV DefAlert] C:\PROGRA~1\NORTON~1\DEFALERT.EXE
O4 - HKLM\..\Run: [Norton Auto-Protect] C:\PROGRA~1\NORTON~1\NAVAPW32.EXE /LOADQUIET
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: ClearProg.lnk = C:\PROGRAMME\CLEARPROG\CLEARPROG.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {31564D57-0000-0010-8000-00AA00389B71} -
O16 - DPF: {3334504D-0000-0010-8000-00AA00389B71} -
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} -
O16 - DPF: {10101010-1101-1111-1111-111011101101} -
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} -
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.121.252,192.168.121.253

eScan habe ich auch ausgeführt;

Tue Nov 02 13:40:01 2004 => File C:\WIN95\nem217.dll infected by "TrojanDownloader.Win32.Dyfuca.gen" Virus. Action Taken: No Action Taken.
Tue Nov 02 13:40:03 2004 => File C:\WIN95\Aplod.exe infected by "Backdoor.Win32.Agent.bg" Virus. Action Taken: No Action Taken.
Tue Nov 02 13:40:14 2004 => File C:\WIN95\Qikvv.exe infected by "Backdoor.Win32.Agent.bg" Virus. Action Taken: No Action Taken.
Tue Nov 02 13:45:37 2004 => File C:\WIN95\SYSTEM\tksrv99.exe infected by "TrojanDownloader.Win32.Esepor.y" Virus. Action Taken: No Action Taken.
Tue Nov 02 13:52:36 2004 => File C:\WIN95\SYSTEM\tmksrvu.exe infected by "TrojanDownloader.Win32.Esepor.y" Virus. Action Taken: No Action Taken.

Ad-Aware & Spybot SD fanden je nur Gebrauchsspuren.

MfG WISH MASTER

@WISH MASTER
hier kannst du nachlesen
http://www3.ca.com/securityadvisor/v....aspx?id=39665
http://www.pestpatrol.com/pestinfo/t...n32_dyfuca.asp
2 downloader, und 1 backdoortrojaner
die downloader würde ich auf diskette sichern als beweismaterial,
du kannst dein system versuchen zu säubern, es ist aber als kommpromittiert zu betrachten
http://www.mathematik.uni-marburg.de...ompromise.html
wenn du dein system nicht neu afsetzen möchtest,
dann wechsle in den abgesicherten modus und fixe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page
O16 - DPF: {31564D57-0000-0010-8000-00AA00389B71} -
O16 - DPF: {3334504D-0000-0010-8000-00AA00389B71} -
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} -
O16 - DPF: {10101010-1101-1111-1111-111011101101} -
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D}
lasse clearprog laufen und escan.
bei escan muss du die gefunden ungute sachen manuell löschen
http://www.trojaner-board.de/showthread.php?t=8131
chaosman

Logfile of HijackThis v1.98.2
Scan saved at 14:22:33, on 04.11.04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WIN95\SYSTEM\KERNEL32.DLL
C:\WIN95\SYSTEM\MSGSRV32.EXE
C:\WIN95\SYSTEM\MPREXE.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\WIN95\EXPLORER.EXE
C:\PROGRAMME\LOGITECH\MOUSEWARE\SYSTEM\EM_EXEC.EXE
C:\PROGRAMME\NORTON ANTIVIRUS\POPROXY.EXE
C:\PROGRAMME\NORTON ANTIVIRUS\NAVAPW32.EXE
C:\PROGRAMME\SPYBOT - SEARCH & DESTROY\TEATIMER.EXE
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\WIN95\SYSTEM\RNAAPP.EXE
C:\WIN95\SYSTEM\TAPISRV.EXE
C:\PROGRAMME\WINDOWS_TOOLS\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 66.20.28.125:8080
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\LOGITECH\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [Norton eMail Protect] C:\PROGRAMME\NORTON ANTIVIRUS\POProxy.exe
O4 - HKLM\..\Run: [NAV DefAlert] C:\PROGRA~1\NORTON~1\DEFALERT.EXE
O4 - HKLM\..\Run: [Norton Auto-Protect] C:\PROGRA~1\NORTON~1\NAVAPW32.EXE /LOADQUIET
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: ClearProg.lnk = C:\PROGRAMME\CLEARPROG\CLEARPROG.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.121.252,192.168.121.253

@chaosman
So sieht mein Logfile jetzt aus.
Die DPF Einträge sind gefixt und erscheinen nach Neustart von WIN auch nicht mehr. Ebenso der von Dir genannte R0 Eintrag.

Das was eScan gefunden hat, hab' ich manuell bearbeitet...mit Erfolg.

2 Fagen dennoch.
Warum sollte man mit den diversen Hilfe Progs (eScan, Hijack This u.a.) im abgesicherten Modus arbeiten.
Im abgesicherten Modus waren nämlich die genannten DPF Einträge von Hijack This nicht zu finden.

Warum hat mein Norton Virenschutz diese "bösen Sachen" nicht gefunden???

Zum updaten des Internet Explorer6 fand' ich bisher keine Lösung. Es erscheint nach wie vor immer die schon von mir genannte Fehlermeldung.
Sollte ich diesen mal komplett deinstallieren und dann noch mal versuchen?

MfG WISH MASTER

Zitat:

Benutze übrigens jetzt den Mozilla Firefox.

gute entscheidung

Zitat:

Warum sollte man mit den diversen Hilfe Progs (eScan, Hijack This u.a.) im abgesicherten Modus arbeiten.
Im abgesicherten Modus waren nämlich die genannten DPF Einträge von Hijack This nicht zu finden.

Der abgesicherte Modus ist eine Startart von Microsoft Windows, die nur die Dienste und Prozesse lädt, die für den minimalen Betrieb von Windows notwendig sind.
Damit haben Viren-Schutzprogramme Zugriff auf Dateien und Systembereichen, die normalerweise vom Betriebssystem geschützt werden.
http://www.trojaner-board.de/63335-w...s-starten.html

Zitat:

Warum hat mein Norton Virenschutz diese "bösen Sachen" nicht gefunden???

Norton ? --> kaspersky :daumenhoc

Zitat:

Zum updaten des Internet Explorer6 fand' ich bisher keine Lösung.

eventuell auch im abgesicherten modus probieren

@Passat2002
Danke Dir für Deine Antworten.
Aaaaber...ich hatte mit eScan abgescannt im abgesicherten Modus, jedoch waren dann die DPF Einträge nicht vorhanden. Wie sollte ich die dann fixen? Das klappte nur im normalen Windows, dann waren sie zu sehen und aufgeführt.
Nun ja sie sind ja jetzt gefixt.

Den Kaspersky-Virenschutz 5.0 hab' ich mir mal direkt runtergeladen und installiert. Prüfung folgt...

Was den IE6 betrifft werd' ich das mal von Dir vorgeschlagene probieren.

Nice WE
MfG WISH MASTER

@ WISH MASTER

Zitat:

Zitat von WISH MASTER

Aaaaber...ich hatte mit eScan abgescannt im abgesicherten Modus, ...

Hast Du den eScan nach Vorschrift geladen und ausgeführt? Beachte bitte, dass der eScan ab Version 4.5.1 die gefundene Malware nicht löscht. Teile uns das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)

SD

Hallo,

ja ich hatte mich nach den Anweisungen gehalten (eScan).
Das was gefunden wurde hatte ich im ersten Posting (unten) hier reinkopiert.

Das mit dem updaten des IE Explorer6 habe ich jetzt auch geschafft.
Mit einer bat Datei Namens "Killi4.bat"
Diese hat es mir ermöglicht den Internet Explorer zu deinstallieren und dann das Setup von Microsoft für den Internet Explorer nochmals auszuführen. Mit Erfolg.
Das war leider vorher so nicht möglich.
Nun sieht es so aus;

Logfile of HijackThis v1.98.2
Scan saved at 21:32:44, on 06.11.04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WIN95\SYSTEM\KERNEL32.DLL
C:\WIN95\SYSTEM\SPOOL32.EXE
C:\WIN95\SYSTEM\MPREXE.EXE
C:\PROGRAMME\KASPERSKY LAB\KASPERSKY ANTI-VIRUS PERSONAL\KAVSVC.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISSERV.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\IAMAPP.EXE
C:\PROGRAMME\NORTON PERSONAL FIREWALL\NISUM.EXE
C:\WIN95\EXPLORER.EXE
C:\PROGRAMME\LOGITECH\MOUSEWARE\SYSTEM\EM_EXEC.EXE
C:\PROGRAMME\SPYBOT - SEARCH & DESTROY\TEATIMER.EXE
C:\WIN95\SYSTEM\RNAAPP.EXE
C:\WIN95\SYSTEM\TAPISRV.EXE
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\PROGRAMME\WINDOWS_TOOLS\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 66.20.28.125:8080
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\LOGITECH\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NAV DefAlert] C:\PROGRA~1\NORTON~1\DEFALERT.EXE
O4 - HKLM\..\RunServices: [kavsvc] C:\PROGRAMME\KASPERSKY LAB\KASPERSKY ANTI-VIRUS PERSONAL\kavsvc.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: ClearProg.lnk = C:\PROGRAMME\CLEARPROG\CLEARPROG.exe
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.121.252,192.168.121.253

MfG WISH MASTER

@ WISH MASTER,

Dein Logfile sieht sauber aus.

Hier noch ein bißchen was zum lesen und lernen:

- Vorbeugende Maßnahmen: www.trojaner-info.de
- www.mathematik.uni-marburg.de
- IE sicher konfigurieren: www.datenschutzzentrum.de
- faq.underflow.de

Beachte auch die Links in meiner Signatur.

SD

@Shadowdance
Vielen Dank für die Tipps, Hilfestellungen und der sehr guten Kommunikation hier in diesem Board!

MfG WISH MASTER