Win XP: Hijackthis-Logfile – Seite 2

Du hast dir Vundo und Dropper eingefangen!!

Ladt dir dass Programm Combofix runter und lasse es scannen, speicher am Ende den Report und poste ihn hier!!

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

 

ComboFix 08-08-14.03 - patrick 2008-08-15 15:26:39.1 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1252.1.1031.18.563 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\patrick\Desktop\ComboFix.exe
 * Neuer Wiederherstellungspunkt wurde erstellt

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\patrick\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\Antivirus 2009.lnk
C:\Dokumente und Einstellungen\patrick\Lokale Einstellungen\Temporary Internet Files\101.gif
C:\Dokumente und Einstellungen\patrick\Lokale Einstellungen\Temporary Internet Files\102.gif
C:\Dokumente und Einstellungen\patrick\Lokale Einstellungen\Temporary Internet Files\103.gif
C:\Dokumente und Einstellungen\patrick\Lokale Einstellungen\Temporary Internet Files\104.gif
C:\Dokumente und Einstellungen\patrick\Lokale Einstellungen\Temporary Internet Files\105.gif
C:\Dokumente und Einstellungen\patrick\Lokale Einstellungen\Temporary Internet Files\106.gif
C:\Programme\FBrowserAdvisor
C:\Programme\FBrowsingAdvisor
C:\Programme\FBrowsingAdvisor\IXPCOMEvents.xpt
C:\Programme\FBrowsingAdvisor\Logo.png
C:\Programme\FBrowsingAdvisor\main.db
C:\Programme\FBrowsingAdvisor\unins000.dat
C:\Programme\FBrowsingAdvisor\unins000.exe
C:\Programme\FBrowsingAdvisor\XPCOMEvents.dll
C:\WINDOWS\system32\ieupdates.exe
C:\WINDOWS\system32\WinNB55.dll
C:\WINDOWS\system32\winsrc.dll

.
(((((((((((((((((((((((   Dateien erstellt von 2008-07-15 bis 2008-08-15  ))))))))))))))))))))))))))))))
.

2008-08-15 14:57 . 2008-08-15 14:57   <DIR>   d--------   C:\Programme\Trend Micro
2008-08-15 14:43 . 2008-08-15 14:48   <DIR>   d--------   C:\Programme\Spyware Doctor
2008-08-15 14:43 . 2008-08-15 14:43   <DIR>   d--------   C:\Dokumente und Einstellungen\patrick\Anwendungsdaten\PC Tools
2008-08-15 14:43 . 2008-08-15 15:05   <DIR>   d-a------   C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-08-15 14:43 . 2008-06-10 21:22   81,288   --a------   C:\WINDOWS\system32\drivers\iksyssec.sys
2008-08-15 14:43 . 2008-06-02 15:19   66,952   --a------   C:\WINDOWS\system32\drivers\iksysflt.sys
2008-08-15 14:43 . 2008-06-02 15:19   42,376   --a------   C:\WINDOWS\system32\drivers\ikfilesec.sys
2008-08-15 14:43 . 2008-06-02 15:19   29,576   --a------   C:\WINDOWS\system32\drivers\kcom.sys
2008-08-15 11:52 . 2008-08-15 11:53   <DIR>   d--------   C:\Programme\Spybot - Search & Destroy
2008-08-15 11:52 . 2008-08-15 12:15   <DIR>   d--------   C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-08-15 11:27 . 2008-08-15 11:27   <DIR>   d--------   C:\Programme\AV9
2008-08-15 11:24 . 2008-08-15 11:24   79,364   --a------   C:\WINDOWS\system32\msxml71.dll
2008-08-15 11:18 . 2008-08-15 11:18   <DIR>   d--------   C:\Programme\ExpertTool
2008-08-15 11:18 . 2008-07-18 18:55   401,408   --a------   C:\WINDOWS\system32\winhd75.dll
2008-08-15 11:14 . 2008-08-15 11:14   <DIR>   d--------   C:\Programme\Any DVD
2008-08-14 23:03 . 2008-05-01 16:30   331,776   -----c---   C:\WINDOWS\system32\dllcache\msadce.dll
2008-08-07 21:08 . 2005-01-06 18:33   119,152   --a------   C:\WINDOWS\system32\redmon.hlp
2008-08-07 21:08 . 2005-01-06 18:33   116,224   --a------   C:\WINDOWS\system32\redmonnt.dll
2008-07-24 15:18 . 2008-07-24 15:19   43   --a------   C:\WINDOWS\gswin32.ini
2008-07-18 19:35 . 2008-07-18 19:35   <DIR>   d--------   C:\Programme\directx
2008-07-17 12:44 . 2008-07-17 12:44   <DIR>   d--------   C:\Programme\DivX

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-15 09:23   ---------   d-----w   C:\Dokumente und Einstellungen\patrick\Anwendungsdaten\Azureus
2008-08-15 09:13   34,308   ----a-w   C:\WINDOWS\system32\Chip.dll
2008-08-15 09:09   ---------   d-----w   C:\Dokumente und Einstellungen\patrick\Anwendungsdaten\LimeWire
2008-08-08 07:27   ---------   d-----w   C:\Programme\Java
2008-08-07 19:08   ---------   d-----w   C:\Programme\FreePDF_XP
2008-07-29 13:00   ---------   d-----w   C:\Programme\OpenOffice.org 2.4
2008-07-29 08:16   ---------   d-----w   C:\Dokumente und Einstellungen\patrick\Anwendungsdaten\OpenOffice.org2
2008-07-21 20:23   ---------   d-----w   C:\Programme\Photoshop
2008-07-20 11:51   ---------   d-----w   C:\Programme\BPM-Studio Profi
2008-07-18 17:34   ---------   d--h--w   C:\Programme\InstallShield Installation Information
2008-07-07 20:30   253,952   ----a-w   C:\WINDOWS\system32\es.dll
2008-07-01 17:44   ---------   d-----w   C:\Programme\MegaCAD_3D_2006
2008-06-24 16:22   74,240   ----a-w   C:\WINDOWS\system32\mscms.dll
2008-06-23 15:38   665,088   ----a-w   C:\WINDOWS\system32\wininet.dll
2008-06-21 06:28   ---------   d-----w   C:\Dokumente und Einstellungen\patrick\Anwendungsdaten\U3
2008-06-20 17:39   247,296   ----a-w   C:\WINDOWS\system32\mswsock.dll
2008-06-20 10:45   360,320   ----a-w   C:\WINDOWS\system32\drivers\tcpip.sys
2008-06-20 10:44   138,368   ----a-w   C:\WINDOWS\system32\drivers\afd.sys
2008-06-20 09:52   225,920   ----a-w   C:\WINDOWS\system32\drivers\tcpip6.sys
2008-06-17 13:59   99,648   ----a-w   C:\WINDOWS\system32\drivers\AnyDVD.sys
2008-06-11 00:04   200,704   ----a-w   C:\WINDOWS\system32\ssldivx.dll
2008-06-11 00:04   1,044,480   ----a-w   C:\WINDOWS\system32\libdivx.dll
2008-06-10 08:59   2,368   ----a-w   C:\WINDOWS\system32\STEC3.sys
.

<pre>
----a-r             5,632 2003-07-13 12:15:11  C:\Dokumente und Einstellungen\patrick\Eigene Dateien\uni unterlagen dennis\Informationtechnik\zeiger übung 3 .exe
</pre>

((((((((((((((((((((((((((((   Autostart Punkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{A54BD3E2-3ACF-7FB0-0C44-120D44F15697}]
2008-06-03 17:26   1019904   --a------   C:\Programme\ExpertTool\ExpertTool-1.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 00:57 15360]
"Creative WebCam Tray"="C:\Programme\Creative\Shared Files\CamTray.exe" [2005-10-27 12:00 299008]
"Personal ID"="C:\PROGRA~1\COOLSP~1\PERSON~1\PID.EXE" [2008-03-20 12:47 1440256]
"MsnMsgr"="C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" [N/A]
"ICQ"="C:\Programme\ICQ6\ICQ.exe" [2008-04-01 12:40 172280]
"AnyDVD"="C:\Programme\SlySoft\AnyDVD\AnyDVDtray.exe" [2008-06-24 03:21 2137024]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-07-07 09:42 2156368]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2007-09-17 01:07 8491008]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-17 18:35 266497]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2005-12-07 23:57 30208]
"LanguageShortcut"="C:\Programme\CyberLink\PowerDVD\Language\Language.exe" [2006-04-13 12:09 49152]
"SSBkgdUpdate"="C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 11:22 155648]
"PaperPort PTD"="C:\Programme\ScanSoft\PaperPort\pptd40nt.exe" [2004-03-09 16:54 57393]
"IndexSearch"="C:\Programme\ScanSoft\PaperPort\IndexSearch.exe" [2004-03-09 17:15 40960]
"ControlCenter2.0"="C:\Programme\Brother\ControlCenter2\brctrcen.exe" [2005-01-07 18:30 864256]
"Sony Ericsson PC Suite"="C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" [2005-10-26 17:17 159744]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 04:27 144784]
"FreePDF Assistant"="C:\Programme\FreePDF_XP\fpassist.exe" [2007-04-25 21:05 311296]
"ISTray"="C:\Programme\Spyware Doctor\pctsTray.exe" [2008-07-16 09:16 1166216]
"SoundMan"="SOUNDMAN.EXE" [2004-11-15 12:20 77824 C:\WINDOWS\SOUNDMAN.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 00:57 15360]

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Gamma Loader.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Gamma Loader.lnk
backup=C:\WINDOWS\pss\Adobe Gamma Loader.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
--------- 2004-10-13 18:24 1694208 C:\Programme\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2001-07-09 10:50 155648 C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter]
--a------ 2007-09-17 01:07 81920 C:\WINDOWS\system32\nvmctray.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Personal ID]
--a------ 2008-03-20 12:47 1440256 C:\PROGRA~1\COOLSP~1\PERSON~1\pid.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
--a------ 2007-09-25 01:11 132496 C:\Programme\Java\jre1.6.0_03\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
--a------ 2007-09-17 01:07 1626112 C:\WINDOWS\system32\nwiz.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"D:\\Azureus\\Azureus.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"C:\\Programme\\LimeWire\\LimeWire.exe"=

R0 avgntmgr;avgntmgr;C:\WINDOWS\system32\DRIVERS\avgntmgr.sys [2008-04-14 22:40]
R1 avgntdd;avgntdd;C:\WINDOWS\system32\DRIVERS\avgntdd.sys [2008-07-17 18:35]
R3 V0330VID;WebCam Vista;C:\WINDOWS\system32\DRIVERS\V0330Vid.sys [2006-11-03 19:01]
S3 w550bus;Sony Ericsson W550 driver (WDM);C:\WINDOWS\system32\DRIVERS\w550bus.sys [2005-08-01 14:46]
S3 w550mdfl;Sony Ericsson W550 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\w550mdfl.sys [2005-08-01 14:46]
S3 w550mdm;Sony Ericsson W550 USB WMC Modem Drivers;C:\WINDOWS\system32\DRIVERS\w550mdm.sys [2005-08-01 14:46]
S3 w550obex;Sony Ericsson W550 USB WMC OBEX Interface Drivers;C:\WINDOWS\system32\DRIVERS\w550obex.sys [2005-08-01 15:46]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{6edf286f-e843-11dc-90d8-0011d89d29c5}]
\Shell\AutoRun\command - G:\LaunchU3.exe

*Newly Created Service* - CATCHME
*Newly Created Service* - IKFILESEC
*Newly Created Service* - IKSYSFLT
*Newly Created Service* - IKSYSSEC
*Newly Created Service* - MCHINJDRV
*Newly Created Service* - PROCEXP90
*Newly Created Service* - SDAUXSERVICE
*Newly Created Service* - SDCORESERVICE
.
.
------- Zusätzlicher Scan -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\patrick\Anwendungsdaten\Mozilla\Firefox\Profiles\8vail18r.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.de/


**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-15 15:29:43
Windows 5.1.2600 Service Pack 2 NTFS

detected NTDLL code modification:
ZwClose

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-08-15 15:30:54
ComboFix-quarantined-files.txt  2008-08-15 13:30:51

Pre-Run: 1,447,137,280 Bytes frei
Post-Run: 1,864,704,000 Bytes frei

172   --- E O F ---   2008-08-14 21:57:19

so habe das combofix laufen lassen.
es scheint weg zu sein aber mein Firefox browser auch?
 

Okay, klicke nun Start -> Ausführen -> Combofix /U
dadurch wird alles von Combofix gelöscht.

Wenn du dass gemacht hast, mach ein neustart und danach ein neues Hijackthis Logfile.

Außerdem lade dir Malwarebytes runter und mache einen Scan damit, alle Funde löschen lassen und den report hier posten.

gruß deniz

vorher systemwiederherstellung
deaktivieren

MalwareBytes : Vollscan im abges. Modus ...

irgendwie ist mein pc auch super langsam geworden woran kann das liegen?
so hab mir nun diese malewarebytes runtergeladen.
wie mach ich das mit dem abgesicherten modus? bin ne absolute pc pflaume

beim booten deines pc´s bzw bevor das lade bildschirm von xp kommt
auf F8 merhmals drücken

so ist installiert und aktuallisiert

das ging aber schnell 

ok also neustarten, f8 drücken bevor xp bildschiem kommt und dann das maleware laufen lassen?

 

ok also neustarten, f8 drücken bevor xp bildschiem kommt und dann das maleware laufen lassen? 

genau 
vorher aber die anderen sachen auch machen zb systemwiederherstellung deaktivieren usw...

Virenscan unbedingt immer im abgesicherten Modus machen  !
Denn im Normalmodus sind etliche Dateien gesperrt .

Ausserdem verstecken sich welche ggf in der Systemwiederherst.
Vor dem Scan dort unter SYSTEM die Systemwiederherstellumg AUS ,
(vorsicht, alle Punkte sind dann weg)
-------------

Virenscan machen mit  MalwareBytes
http://www.trojaner-board.de/51187-anleitung-malwarebytes-anti-malware.html
http://www.zdnet.de/windows_verschluesseln_und_sichern_malwarebytes__anti_malware_download-39002345-88313-1.htm

-------------
Systemwiederherst. wenn OK = wieder AN
Normalstart  und Systemwiederherstellungspunkt setzen . 

Und nochmals Malwarebytes muss NICHT im abgesicherten Modus scannen!!

Die Dateien die im normalen betrieb nicht gelöscht werden können, werden über die funktion "delete on reboot" automatsich gelöscht!!

puh so das hat aber lange gedauert das scannen,
ich habs jetzt im abgesicherten modus gemacht. sollte ich das vorsichtshalber nochmal im normalen machen?
hier erstmal das was er ausgespuckt hat:

Malwarebytes' Anti-Malware 1.24
Datenbank Version: 1054
Windows 5.1.2600 Service Pack 2

18:45:31 15.08.2008
mbam-log-8-15-2008 (18-45-31).txt

Scan-Methode: Vollständiger Scan (A:\|C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 103621
Laufzeit: 1 hour(s), 56 minute(s), 50 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\xml.xml.1 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\fbrowsingadvisor_is1 (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\Programme\AV9 (Rogue.Antivirus2009) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\Programme\Mozilla Firefox\regxpcom.exe (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.
C:\Programme\AV9\av2009.exe (Rogue.Antivirus2009) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\msxml71.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.