|
Firefox öffnet ungewollt Websites + Generic Host Problem Seid gegrüßt liebe Mitglieder dieses Forums! Hab seid ein paar Tagen trotz System Recovery mit ein paar Problemen zu kämpfen. Folgende Software wurde nach der Neuinstallation ua. installiert: WinFuture_WinXPsp2_UpdatePack_2.52_Juli-2010-Vollversion WindowsXP-KB835935-SP2-DEU dopdf-7 PDF Creator .. Hier nun die Probleme: 1. Sobald ich 10 min im Internet bin komt die Fehlermeldung "Generic Host Process for Win32 Services hat ein Problem festgestellt und muss beendet werden." Danach wird die Verbindung nach einiger Zeit unterbrochen und ich muss neu starten um eine neue Verbindung zu bekommen. (Das Problem bestand bereits vor der Neuinstallation) 2. Firefox öffnet ungewolllt irgendwelche Webseiten. Und manchmal, wenn ich Googleergebnisse anclicke, werde ich nicht auf die gewünschte Seite geleitet, sonder auf mir unbekanntes Terrain. 3. Explorer.exe scheint bei Anmeldung abzustürzen. Muss erst den Prozess im Taskmanager beenden und neustarten. Dann geht es! 4. Benutze eine externe USB Festplatte, die normalerweise immer am Port hing. Neuerdings kann Windows damit nicht mehr starten. Es kommt ganz kurz ein Bluescreen und danach werde ich gefragt, ob im abgesicherten Modus gestartet werden soll. Wenn die Platte ausgestöpselt ist kann ich Windows ganz normal starten. (Das Problem bestand bereits vor der Neuinstallation) hab schon mehrmals mit Antivir, CCleaner und AntiMalwareBytes gescannt, aber ohne Funde. Ich hoffe, jemand kann mir helfen. Hier mein mbam-log Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4924 Windows 5.1.2600 Service Pack 2 Internet Explorer 6.0.2900.2180 23.10.2010 14:24:01 mbam-log-2010-10-23 (14-24-01).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|) Durchsuchte Objekte: 191732 Laufzeit: 22 Minute(n), 52 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) und hier hijackthis log file: Logfile of Trend Micro HijackThis v2.0.4 Scan saved at 15:26:45, on 23.10.2010 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Intel\Wireless\Bin\EvtEng.exe C:\Programme\Intel\Wireless\Bin\S24EvMon.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir Desktop\sched.exe C:\Programme\Avira\AntiVir Desktop\avguard.exe C:\Acer\Empowering Technology\admServ.exe C:\Programme\Avira\AntiVir Desktop\avshadow.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\Programme\Intel\Wireless\Bin\RegSrvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\igfxtray.exe C:\WINDOWS\system32\hkcmd.exe C:\WINDOWS\system32\igfxpers.exe C:\WINDOWS\RTHDCPL.EXE C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\Acer\Empowering Technology\eRecovery\Monitor.exe C:\PROGRA~1\LAUNCH~1\LManager.exe C:\Programme\Avira\AntiVir Desktop\avgnt.exe C:\Acer\Empowering Technology\ePower\ePower_DMC.exe C:\Programme\QuickTime\qttask.exe C:\Programme\PDFCreator\PDFCreator.exe C:\WINDOWS\system32\igfxext.exe C:\WINDOWS\system32\igfxsrvc.exe C:\WINDOWS\system32\wbem\unsecapp.exe C:\DOKUME~1\ALEXAN~1.HEI\LOKALE~1\Temp\RtkBtMnt.exe C:\PROGRA~1\MICROS~2\Office10\OUTLOOK.EXE C:\Programme\Microsoft Office\Office10\WINWORD.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\WINDOWS\system32\rundll32.exe C:\Dokumente und Einstellungen\***\Eigene Dateien\Downloads\HiJackThis204.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://global.acer.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - (no file) O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe O4 - HKLM\..\Run: [LaunchApp] Alaunch O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [AzMixerSel] C:\Programme\Realtek\InstallShield\AzMixerSel.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKCU\..\Run: [ccleaner] "C:\Programme\CCleaner\CCleaner.exe" /AUTO O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: PDFCreator.lnk = C:\Programme\PDFCreator\PDFCreator.exe O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200 O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: AdminWorks Agent X6 (AWService) - Avocent Inc. - C:\Acer\Empowering Technology\admServ.exe O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe (file missing) O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - C:\Programme\WinPcap\rpcapd.exe (file missing) O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe -- End of file - 5969 bytes |
:hallo: Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.
Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg. Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist. Vista und Win7 User Alle Tools mit Rechtsklick "als Administrator ausführen" starten. Schritt 1 CustomScan mit OTL Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code: netsvcs
Schritt 2 Rootkit-Suche mit Gmer Was sind Rootkits? Wichtig: Bei jedem Rootkit-Scans soll/en:
Lade Dir Gmer von dieser Seite herunter (auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
Nun das Logfile in Code-Tags posten. |
kann das extra.txt nirgends finden. kann das sein? |
das otl log file ist wohl zu groß. ich bekommen immer die meldung "die seite kann nicht angezeigt werden". soll ich es dann doch anhängen? |
Ja hänge es an. |
ok, anbei.... der antivirguard hat beim scan den zugriff auf autorun.inf blockiert. danke! |
habe mir jetzt mal meinen alten desktop pc für meine alltägliche arbeit fitt gemacht, solange bis der schaden behoben ist. das system ist absolut sauber. jetzt stellt sich mir die frage ob es riskant wäre die usb-platte, die ja bisher am fehlerhaften bzw. infizierten notebook hing, anzuschließen? die virenscanner haben jedenfalls nichts gefunden. |
Wie ich sehe hast Du schon felissig selber jegliche Programme durchlaufen lassen. Dies ist gar nicht gut. Poste mir bitte: C:\ComboFix.txt Bei der Platte stelle einfach zwingend den Autorun ab wie hier beschrieben. |
hab ich jetzt nochmal nach anweisung aus einem ähnlichen thread die otl log files erstellt. und zwar nach dieser anweisung: " Doppelklick auf die OTL.exe (user von Windows 7 und Vista: Rechtsklick als Administrator ausführen) 1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output 2. Hake an "scan all users" 3. Unter "Extra Registry wähle: "Use Safelist" "LOP Check" "Purity Check" 4. Kopiere in die Textbox: netsvcs msconfig safebootminimal safebootnetwork activex drivers32 %ALLUSERSPROFILE%\Application Data\*. %ALLUSERSPROFILE%\Application Data\*.exe /s %APPDATA%\*. %APPDATA%\*.exe /s %SYSTEMDRIVE%\*.exe /md5start userinit.exe eventlog.dll scecli.dll netlogon.dll cngaudit.dll ws2ifsl.sys sceclt.dll ntelogon.dll winlogon.exe logevent.dll user32.DLL explorer.exe iaStor.sys nvstor.sys atapi.sys IdeChnDr.sys viasraid.sys AGP440.sys vaxscsi.sys nvatabus.sys viamraid.sys nvata.sys nvgts.sys iastorv.sys ViPrt.sys eNetHook.dll ahcix86.sys KR10N.sys nvstor32.sys ahcix86s.sys /md5stop %systemroot%\system32\drivers\*.sys /lockedfiles %systemroot%\System32\config\*.sav %systemroot%\*. /mp /s %systemroot%\system32\*.dll /lockedfiles CREATERESTOREPOINT 5. Klicke "Scan" 6. 2 reporte werden erstellt: OTL.Txt Extras.Txt poste beide " anbei beide logs. |
ok, combofix log kommt sofort. muss nochmal eins erstellen, da ich das alte bereits gelöscht hatte. |
masterbootsektor laut combofix infiziert. rootkit aktivitäten festgestellt! nur zur info: während der erstellung des combo fix hatte ich die usb platte drin. dann wurde nach combofix der rechner neu gestartet. die platte musste ich dann rausnehmen, sonst hätte windows nicht geladen. ist das ein problem? also combo arbeitet jetzt weiter aber ohne dass die usb platte am port hängt. |
Zitat:
|
ok, sorry. hatte mich gewundert, dass kein extras.txt dabei war. hoffe, das war jetzt nicht zu kontraproduktiv. anbei das combofix log: Combofix Logfile: Code: ComboFix 10-10-24.06 - *** 25.10.2010 21:34:24.2.2 - x86 |
Kontrolle mit MBR -t, ob Master Boot Record in Ordnung ist (MBR-Rootkit)
|
Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.1 by Gmer, hxxp://www.gmer.net Windows 5.1.2600 Disk: TOSHIBA_MK8032GAX rev.AD001A -> \Device\Ide\IdeDeviceP0T0L0-4 device: opened successfully user: MBR read successfully called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x82D10446]<< 1 ntkrnlpa!IofCallDriver[0x804EF1A0] -> \Device\Harddisk0\DR0[0x82D42030] 3 CLASSPNP[0xF86D605B] -> ntkrnlpa!IofCallDriver[0x804EF1A0] -> \Device\000000ae[0x82D1D180] 5 ACPI[0xF84CB620] -> ntkrnlpa!IofCallDriver[0x804EF1A0] -> [0x82D5CD98] \Driver\atapi[0x82D7E290] -> IRP_MJ_CREATE -> 0x82D10446 error: Read \Device\Ide\IdeDeviceP0T0L0-4 Das System kann die angegebene Datei nicht finden. kernel: MBR read successfully detected hooks: \Device\Ide\IdeDeviceP0T0L0-4 -> \??\IDE#DiskTOSHIBA_MK8032GAX_______________________AD001A__#5&181b2661&0&0.0.0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b} device not found \Driver\atapi DriverStartIo -> 0x82D10292 user & kernel MBR OK |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 18:38 Uhr. |
Copyright ©2000-2025, Trojaner-Board