Trojaner-Board - mstask.exe oder MSTask.exe

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - mstask.exe oder MSTask.exe (https://www.trojaner-board.de/20373-mstask-exe-mstask-exe.html)

mstask.exe oder MSTask.exe

Moin,

habe bei einem Windows2000 Client einige Ungeziefer gefixt. Jetzt meldet Hijackthis noch folgendes wobei ich mir unsicher bin, ob das i. o. ist:

Code:

C:\WINNT\system32\MSTask.exe

Wenn ich im Taskmanager nachsehe, sehe ich nur einen Prozess mstask.exe laufen? Warum schreibt Hijackthis die ersten 3 Buchstaben groß? Wenn ich im C:\Winnt\system32 nachsehe, sehe ich nur eine Datei mit mstask.exe :confused:

Logfile:

Code:

Logfile of HijackThis v1.99.1

Scan saved at 12:07:04, on 1.8.2005

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
 

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\Programme\Canon\VDC\AuVdc.exe

C:\WINNT\system32\svchost.exe

C:\Programme\Network Associates\Common Framework\FrameworkService.exe

C:\Programme\Network Associates\VirusScan\Mcshield.exe

C:\Programme\Network Associates\VirusScan\VsTskMgr.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\Explorer.EXE

C:\Programme\Network Associates\VirusScan\SHSTAT.EXE

C:\WINNT\System32\hkcmd.exe

C:\WINNT\System32\USBMonit.exe

C:\Programme\WinZip\WZQKPICK.EXE

C:\antispy\HijackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINNT\System32\hkcmd.exe

O4 - HKLM\..\Run: [Gene USB Monitor] C:\WINNT\System32\USBMonit.exe

O4 - HKLM\..\RunOnce: [Panda_cleaner_41898] C:\WINNT\system32\ActiveScan\pavdr.exe  41898

O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1122884824234

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = straeussl.local

O17 - HKLM\System\CCS\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = straeussl.local

O17 - HKLM\System\CS1\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = straeussl.local

O17 - HKLM\System\CS2\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11

O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINNT\system32\xplugin.dll

O23 - Service: Canon NetSpot Suite Service - CANON INC. - C:\Programme\Canon\VDC\AuVdc.exe

O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe

Folgendes werde ich noch fixen:

Code:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://4-counter.com/?a=2&b=alexxp

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*

Hallo fly007

die Datei sollte harmlos sein, um es genau zu wissen beende den Prozess im Taskmanager und lasse mal die Datei hier scannen und teile das Ergebnis mit,
für die Aktion solltest du deinen Virenscanner deaktivieren

führe das folgende Tool aus http://www.trojaner-info.de/anleitun...out_blank.html

--> boote in den abgesicherter Modus , deaktiviere die
Systemwiederherstellung , und fixe dann mit Hijack This (Häk'chen setzen und auf Fix Checked klicken ) Anleitung
folgende Einträge:
wenn das nicht deine Startseite ist

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http: //4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http: //4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http: //4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http: //4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http: //4-counter.com/?a=2&b=alexxp
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*

auf jeden fall fixen:

O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11
O17 - HKLM\System\CS1\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11
O17 - HKLM\System\CS2\Services\Tcpip\..\{013734A5-FB66-40A4-B3A2-1EC12970ECFE}: NameServer = 10.45.94.11
O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINNT\system32\xplugin.dll

von Hande löschen:

C:\WINNT\system32\xplugin.dll
C:\WINNT\system32\winproc32.exe

neu booten neuse HJT posten

Hallo Gigamail, danke für die ausführliche Antwort.

Jetzt bin ich den Trojaner los, jedoch habe ich im Windows ein Problem, da der Desktop - Hintergrund ganz Schwarz ist mit Schrift: Warning Your Computer might be infected with spyware or adware!!

Und ich kann den Desktop Hintergrund nicht ändern, weil ich kein Reiter mit Hintergrundbild mehr habe. Ich habe mit einem anderen Win2k System verglichen, da fehlen im Desktop/Eigenschaften 3 Reiter (Hintergrundbild, Web und Darstellung)? Wie kann ich das wiederherstellen?

Aktuelle Hijackthis Logfile:

Code:

Logfile of HijackThis v1.99.1

Scan saved at 14:21:18, on 1.8.2005

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
 

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\Programme\Canon\VDC\AuVdc.exe

C:\WINNT\system32\svchost.exe

C:\Programme\Network Associates\Common Framework\FrameworkService.exe

C:\Programme\Network Associates\VirusScan\Mcshield.exe

C:\Programme\Network Associates\VirusScan\VsTskMgr.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\Explorer.EXE

C:\Programme\Network Associates\VirusScan\SHSTAT.EXE

C:\WINNT\System32\hkcmd.exe

C:\WINNT\System32\USBMonit.exe

C:\Programme\WinZip\WZQKPICK.EXE

C:\antispy\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINNT\System32\hkcmd.exe

O4 - HKLM\..\Run: [Gene USB Monitor] C:\WINNT\System32\USBMonit.exe

O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1122884824234

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O23 - Service: Canon NetSpot Suite Service - CANON INC. - C:\Programme\Canon\VDC\AuVdc.exe

O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe

schau mal hier

der Eintrag sollte doch auch mit gefixt werden und die Datei im abgesicherten Modus gelöscht werden
O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe
sonnst sieht das Log sauber aus, du solltest aber noch einen eScan durchführen (siehe meine Signatur) halte dich an die Anleitung

Danke für deine Hilfe! :knuddel: Folgender Eintrag habe ich nicht im Abgesicherten Modus gefunden, aber im Windows erfolgreich gefixt.
O4 - HKCU\..\Run: [Windows Internet Protocol] C:\WINNT\system32\winproc32.exe