|
Hi, seit ein paar tagen erscheit bei mir ein seltsamer eintrag in trojancheck: WTì[] ([] soll ein quadrat sein). ich kann aber mit gängigen methoden (win.ini, autoexec, registry usw.) nix finden. weiss jemand rat ?? hier noch mein hijackthis-logfile: Logfile of HijackThis v1.97.7 Scan saved at 10:29:30, on 06.05.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\System32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\PROGRA~1\mcafee.com\agent\mcupdate.exe C:\PROGRA~1\mcafee.com\agent\McAgent.exe C:\Programme\ZoneAlarm\zapro.exe C:\Programme\Norton SystemWorks\Norton CleanSweep\csinsmnt.exe C:\Programme\Acrobat 6.0\Distillr\acrotray.exe C:\WINDOWS\System32\ZoneLabs\vsmon.exe C:\WINDOWS\System32\ZoneLabs\MINILOG.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\System32\drivers\CDAC11BA.EXE C:\Programme\FastTrak\FtrakSvc.exe c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe c:\progra~1\mcafee.com\vso\mcvsescn.exe C:\PROGRA~1\NORTON~2\SPEEDD~1\nopdb.exe c:\PROGRA~1\mcafee.com\vso\mcshield.exe C:\WINDOWS\system32\ntvdm.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\WINDOWS\System32\svchost.exe C:\Programme\Trojancheck 6\tc6.exe L:\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///g:/start2.htm R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://pac.uni-karlsruhe.de/ R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = atsv-bierjunge:3128 O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\mcupdate.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\McAgent.exe O4 - Startup: PowerReg Scheduler.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Programme\ZoneAlarm\zapro.exe O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: CleanSweep Smart Sweep-Internet Sweep.lnk = C:\Programme\Norton SystemWorks\Norton CleanSweep\csinsmnt.exe O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Acrobat 6.0\Distillr\acrotray.exe O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM) O9 - Extra button: ICQ Pro (HKLM) O9 - Extra 'Tools' menuitem: ICQ (HKLM) O9 - Extra button: Yahoo! Messenger (HKLM) O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM) O10 - Broken Internet access because of LSP provider 'lsp.dll' missing O12 - Plugin for .csm: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .csml: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .cub: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .cube: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .de/ch/11/aac/vorlesung/kap_5/kap5_11/grafik/i2: C:\Programme\Internet Explorer\PLUGINS\npchime.dll O12 - Plugin for .de/ch/11/aac/vorlesung/kap_5/kap5_9/kap59_2/grafik/caf2_1: C:\Programme\Internet Explorer\PLUGINS\npchime.dll O12 - Plugin for .dx: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .emb: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .embl: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .gau: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .jdx: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .mol: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .mop: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .pdb: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .rxn: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .scr: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .skc: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .spt: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .tgf: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .xyz: C:\Programme\Internet Explorer\Plugins\npchime.dll O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://download.yahoo.com/dl/installs/yinst0309.cab O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/...eInstaller.exe O16 - DPF: {6CB5E471-C305-11D3-99A8-000086395495} - http://toolbar.google.com/data/de/de.../GoogleNav.cab O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.2) - O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...109.4055555556 O16 - DPF: {CAFEEFAC-0014-0000-0000-ABCDEFFEDCBA} (Java Runtime Environment 1.4.0) - O16 - DPF: {CAFEEFAC-0014-0001-0002-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_02) - O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{3612682E-30FA-4253-BD65-6E2FE88E1788}: NameServer = 129.13.64.5,129.13.96.2 O17 - HKLM\System\CS1\Services\Tcpip\..\{3612682E-30FA-4253-BD65-6E2FE88E1788}: NameServer = 129.13.64.5,129.13.96.2 vielen dank! |
</font><blockquote>Zitat:</font><hr />Original erstellt von Viperman: 1) Hi, seit ein paar tagen erscheit bei mir ein seltsamer eintrag in trojancheck: WTì[] ([] soll ein quadrat sein). 2) R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///g:/start2.htm R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = atsv-bierjunge:3128 3) C:\Programme\FastTrak\FtrakSvc.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE 4) O10 - Broken Internet access because of LSP provider 'lsp.dll' missing </font>[/QUOTE]Hi, @1) dann poste doch mal hier den trojancheck-report @2) Sind die Einträge so von Dir erstellt/gewünscht ? @3) brauchst du Fasttrack ? auch die 2 anderen Startups sollten deaktiviert werden 4) mit SPYBOT oder LSPFIX bereinigen Die IP's am SChlus, gehören die zu deinem Provider ? ;) |
thx schonmal ! @1) weiss leider nicht wie ich eine grafik hier einfügen kann :( (kann dir das log aber gern mailen) @2) ist erwünscht. @3) fasttrack ist auch erwünscht, die beiden anderen einträge gefixt. @4) wie kriege ich das hin mit spybot oder lspfix ? kenne mich da net so aus. ja, die IPs gehören zum provider cu Viperman |
Installieren, updaten und alles bereinigen lassen, was angezeigt wird: Tutorial -> http://www.safer-networking.org/index.php?page=tutorial den TC-Report gibt's auch in TEXTform (oder wird das Quadrat/Sonderzeichen da nicht angezeigt ?); s. Programm-Hilfe Bilder: auf (d)eine Homepage laden, und hier im Board verlinken -> http://www.trojaner-board.de/forum/u...bb.php?ubb=faq |
kriege das leider net hin mit dem textfile. und weiss auch keine hp wo ich die screenshots hochladen könnte. meine mail-adr: abexe@gmx.de ich maile dir dann die entspr. files. spybot S&D hat leider auch nix gefunden. danke, Viperman |
</font><blockquote>Zitat:</font><hr />Original erstellt von Viperman: kriege das leider net hin mit dem textfile. </font>[/QUOTE]Hab das grad mal getestet, standardmäßig geht wohl nur html. Ne txt-Datei gibt es nur als html-Quelltext... :( Du könntest allerdings aus dem html-Quelltext die entsprechenden Passagen rauskopieren und hier posten. |
so, hier nun mein TC-logfile: Trojancheck 6 Report Hauptschlüssel(Rootkey)SchlüsselWertInhalt HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run MCUpdateExeC:\PROGRA~1\mcafee.com\agent\mcupdate.exe HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run MCAgentExec:\PROGRA~1\mcafee.com\agent\McAgent.exe HKEY_CURRENT_USERSoftware\Microsoft\Windows\CurrentVersion\Run ctfmon.exeC:\WINDOWS\System32\ctfmon.exe HKEY_CURRENT_USERSoftware\Microsoft\Windows\CurrentVersion\Run NvMediaCenterRUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit HKEY_CURRENT_USERSoftware\Microsoft\Windows\CurrentVersion\Run seticlientF:\seti\SETI@home.exe -min HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run NvCplDaemonRUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run nwiznwiz.exe /install HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run ATIPTAC:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run KernelFaultCheck%systemroot%\system32\dumprep 0 -k HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run AVGCtrlC:\Programme\AVPersonal\AVGNT.EXE /min HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run VSOCheckTask"c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run VirusScan Online"c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe" HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run MCAgentExec:\PROGRA~1\mcafee.com\agent\mcagent.exe HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run MCUpdateExeC:\PROGRA~1\mcafee.com\agent\mcupdate.exe HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run McRegWizC:\PROGRA~1\mcafee.com\agent\mcregwiz.exe /autorun HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run Nokia Tray ApplicationC:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclTray.exe Hauptschlüssel(Rootkey)SchlüsselWertInhalt HKEY_CLASSES_ROOT\exefile\shell\open\command "%1" %* HKEY_CLASSES_ROOT\comfile\shell\open\command "%1" %* HKEY_CLASSES_ROOT\batfile\shell\open\command "%1" %* HKEY_CLASSES_ROOT\htafile\Shell\open\Command C:\WINDOWS\System32\mshta.exe "%1" %* HKEY_CLASSES_ROOT\piffile\shell\open\command "%1" %* Hauptschlüssel(Rootkey)SchlüsselWertInhalt HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95} StubPathC:\WINDOWS\INF\unregmp2.exe /ShowWMP HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\>{26923b43-4d38-484f-9b9e-de460746276c} StubPath%systemroot%\system32\shmgrate.exe OCInstallUserConfigIE HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS StubPathRunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\>{881dd1c5-3dcf-431b-b061-f3f88e8be88a} StubPath%systemroot%\system32\shmgrate.exe OCInstallUserConfigOE HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} StubPath HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{22d6f312-b0f6-11d0-94ab-0080c74c7e95} StubPath HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED} StubPath%SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C} StubPath"%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{44BBA842-CC51-11CF-AAFA-00AA00B6015B} StubPathrundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{5945c046-1e7d-11d1-bc44-00c04fd912be} StubPathrundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.Install.PerUser HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{6BF52A52-394A-11d3-B153-00C04F79FAA6} StubPathrundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\wmp.inf,PerUserStub HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{73FA19D0-2D75-11D2-995D-00C04F98BBC9} StubPath HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{7790769C-0471-11d2-AF11-00C04FA35D02} StubPath"%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{89820200-ECBD-11cf-8B85-00AA005B4340} StubPathregsvr32.exe /s /n /i:U shell32.dll HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{89820200-ECBD-11cf-8B85-00AA005B4383} StubPath%SystemRoot%\System32\ie4uinit.exe HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{9EF0045A-CDD9-438e-95E6-02B9AFEC8E11} StubPath%SystemRoot%\System32\updcrl.exe -e -u %SystemRoot%\System32\verisignpub1.crl Registry - Virtuelle Gerätetreiber (VxD) Hauptschlüssel(Rootkey)SchlüsselWertInhalt HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\JAVASUP StaticVxDJAVASUP.VXD HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VGARTD StaticVxDvgartd.vxd Registry - ICQ Net Hauptschlüssel(Rootkey)SchlüsselWertInhalt Autostart - Standardeinträge PfadDateinameLink zu C:\Dokumente und Einstellungen\Ben Reiser\Startmenü\Programme\Autostart\desktop.ini desktop.ini C:\Dokumente und Einstellungen\Ben Reiser\Startmenü\Programme\Autostart\PowerReg Scheduler.exe PowerReg Scheduler.exe C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini desktop.ini C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\ZoneAlarm Pro.lnk C:\Programme\ZoneAlarm\zapro.exe C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Gamma Loader.exe.lnk C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\CleanSweep Smart Sweep-Internet Sweep.lnk C:\Programme\Norton SystemWorks\Norton CleanSweep\csinsmNT.exe C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Acrobat Assistant.lnk C:\Programme\Acrobat 6.0\Distillr\acrotray.exe DateinameWertInhalt C:\WINDOWS\win.iniload C:\WINDOWS\system.inishell Explorer.exe </table> Batch und Text Dateien DateinameInhalt c:\msdos.sysKein Inhalt c:\autoexec.batKein Inhalt c:\config.sysKein Inhalt C:\WINDOWS\wininit.ini[rename]NUL=C:\DOKUME~1\name\LOKALE~1\Temp\DivSetup.exe EXPLORER.EXE in C:\ vielen dank schonmal |
die letzten 5 Eintraege bei Trojan-check sind übrigens: WTì, [System Process], \??\C:\windows\system32\winlogon.exe, \systemroot\system32\smss.exe, \systemroot\system32\smss.exe diese einträge sind mir einerseits wg der seltsamen zeichen aufgefallen, andererseits steht in prozessinfo für diese einträge absolut nix. |
Etwas unübersichtlich die ganze Geschichte... </font><blockquote>Zitat:</font><hr />Original erstellt von Viperman: die letzten 5 Eintraege bei Trojan-check sind übrigens: WTì, [System Process], \??\C:\windows\system32\winlogon.exe, \systemroot\system32\smss.exe, \systemroot\system32\smss.exe</font>[/QUOTE]Sieht bei mir ähnlich aus, nur das es bei mir nicht "WTi" sondern einfach "System" heißt... |
und das is ein trojaner ?? und wenn ja, was hast du dagegen getan ?? |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 15:42 Uhr. |
Copyright ©2000-2025, Trojaner-Board