WinFuture-Forum.de: Otto Normalusers Pc - WinFuture-Forum.de

Zum Inhalt wechseln

Nachrichten zum Thema: Sicherheit
Seite 1 von 1

Otto Normalusers Pc


#1 Mitglied ist offline   hank 

  • Gruppe: aktive Mitglieder
  • Beiträge: 62
  • Beigetreten: 20. März 04
  • Reputation: 0

geschrieben 10. März 2005 - 20:16

Hallo,

heute hat mir eine Arbeitskollegin den Familien-PC vorbeigebracht, bei dem lt.ihrer
Aussage etwas nicht stimmt. Zuvor hatte ich ihr geraten, den Virenscanner
( Trend Micros Pcillin ) zu aktualisieren. Sie war zwar etwas verwundert darüber,
weil sooft würde man mit dem PC gar nicht ins I-net gehen, aber was solls.
Sie hatte auch "Erfolg" mit dem Update, da sie ca. 7 Viren bzw. Trojaner entfernen
konnte.
Als ich den PC startete erschien auf dem Desktop riesengroß der Text, daß das
System mit einem Schädling befallen sei und die Reinigung per Klick auf einen
Button möglich wäre. Versuchte dann auf eine sehr ominöse Seite zuzugreifen.
Erst als es mir gelang das Teil zu eleminieren ( zumindest kurzzeitig ) konnte
ich Hijackthis installieren bzw. ausführen.
Dann war ich platt:

Logfile of HijackThis v1.99.1
Scan saved at 11:23:29, on 10.03.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Trend Micro\PC-cillin 9\pccguide.exe
C:\Programme\Trend Micro\PC-cillin 9\PCCClient.exe
C:\Programme\Trend Micro\PC-cillin 9\Pop3trap.exe
C:\Programme\Ahead\InCD\InCD.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\NaviSearch\bin\nls.exe
C:\Programme\BullsEye Network\bin\bargains.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programme\Trend Micro\PC-cillin 9\Tmntsrv.exe
C:\WINDOWS\wanmpsvc.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\Trend Micro\PC-cillin 9\PCCPFW.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\explorer.exe
C:\Dokumente und Einstellungen\admin\Lokale Einstellungen\Temp\Temporäres Verzeichnis 3 für hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://new-search.ne...?v=6&aff=812260
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://new-search.ne...?v=6&aff=812260
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://new-search.ne...?v=6&aff=812260
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.vrweb.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_page.ht...ount_id=1001693
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.exactsearch.net/sidesearch
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.vrweb.de
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von VR-Web
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *new-search.net*;*x-google.net*
O1 - Hosts file is located at: C:\WINDOWS\nsdb\hosts
O1 - Hosts: 82.179.166.192 new-search.net
O1 - Hosts: 82.179.166.190 x-google.net
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll
O2 - BHO: brdg Class - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - C:\WINDOWS\Downloaded Program Files\bridge.dll (file missing)
O2 - BHO: NLS UrlCatcher Class - {AEECBFDA-12FA-4881-BDCE-8C3E1CE4B344} - C:\WINDOWS\System32\nvms.dll
O2 - BHO: Url Catcher - {CE31A1F7-3D90-4874-8FBE-A5D97F8BC8F1} - C:\PROGRA~1\BARGAI~1\bin\apuc.dll (file missing)
O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80FD66DA} - C:\WINDOWS\System32\msbe.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: YourSiteBar - {86227D9C-0EFE-4f8a-AA55-30386A3F5686} - C:\PROGRA~1\YOURSI~1\ysb.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [pccguide.exe] "C:\Programme\Trend Micro\PC-cillin 9\pccguide.exe"
O4 - HKLM\..\Run: [PCCClient.exe] "C:\Programme\Trend Micro\PC-cillin 9\PCCClient.exe"
O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Programme\Trend Micro\PC-cillin 9\Pop3trap.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [msbb] c:\dokume~1\admin\lokale~1\temp\msbb.exe
O4 - HKLM\..\Run: [Windows SA] C:\Program Files\WindowsSA\omniscient.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NaviSearch] C:\Programme\NaviSearch\bin\nls.exe
O4 - HKLM\..\Run: [BullsEye Network] C:\Programme\BullsEye Network\bin\bargains.exe
O4 - HKLM\..\Run: [IST Service] C:\Programme\ISTsvc\istsvc.exe
O4 - HKLM\..\Run: [c4voFC] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"
O4 - HKLM\..\Run: [Power Scan] C:\Programme\Power Scan\powerscan.exe
O4 - HKLM\..\Run: [c4vo¿ÇÏÔ@ÔÁß]­ú"ü‰üC:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [c4vo¿ÇÏÔ@ÔÁß]­ú"ü‰¸C:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [c4vo¿ÇÏÔÁß]­ú"ü‰üžiC:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [¢‰¸u0–4C
}ïÁzî[8C:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [¢‰¸u0Ô@ÔÁß]­ú"ü‰üžiC:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [¢‰¸u0Ô@ÔÁß]­ú"ü‰¸u0C:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [¢‰¸u0ÔÁß]­ú"ü‰üžigÝC:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [¢‰¸u0–4C
}ïÁzîžigÝC:\Programme\ISTsvc\istsvc.exe] C:\WINDOWS\iedqascl.exe
O4 - HKLM\..\Run: [ctuhcf] C:\WINDOWS\ctuhcf.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\RunOnce: [Srv32 spool service] C:\WINDOWS\System32\spoolsrv32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [Tsa2] C:\PROGRA~1\COMMON~1\tsa\tsm2.exe
O4 - HKCU\..\RunOnce: [Srv32 spool service] C:\WINDOWS\System32\spoolsrv32.exe
O4 - Global Startup: AOL 8.0 Tray-Symbol.lnk = C:\Programme\AOL 8.0\aoltray.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\Teledat\IWatch.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.vrweb.de
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.145/x15.chm::/trs15.exe
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolba...0006_cracks.cab
O16 - DPF: {771A1334-6B08-4A6B-AEDC-CF994BA2CEBE} (Installer Class) - http://www.ysbweb.co...ysb_regular.cab
O16 - DPF: {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} (brdg Class) - http://www2.flingsto...P/bridge-c1.cab
O16 - DPF: {F0BC061F-DAF9-4533-8011-53BCB4C10307} (Installations Assistent) - http://install.power...nsAssistent.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{489E254E-3FE4-464C-BA0F-16AF6205C437}: NameServer = 192.168.121.252,192.168.121.253
O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINDOWS\System32\xplugin.dll
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: ISEXEng - Unknown owner - C:\WINDOWS\System32\angelex.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - C:\Programme\Trend Micro\PC-cillin 9\PCCPFW.exe
O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - C:\Programme\Trend Micro\PC-cillin 9\Tmntsrv.exe
O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe
O23 - Service: ZESOFT - Unknown owner - C:\WINDOWS\zeta.exe

So nebenbei erwähnt fand PCillin noch 2 Trojaner, die das Programm allerdings
nicht löschen konnte.

Da konnte ich nur noch raten mal ganz schnell Format c: zu machen <_<

Gruß Hank

PS: So sieht es halt aus, wenn man sich nicht über Risiko und Nebenwirkungen
eines Produktes interessiert.
0

Anzeige



#2 _max_

  • Gruppe: Gäste

geschrieben 10. März 2005 - 20:21

Ich würde mit mwav scannen, danach mit AdawareSE und danach mit Spybot. Zu 90% ist das System danach sauber.
0

#3 Mitglied ist offline   Tarnatos 

  • Gruppe: aktive Mitglieder
  • Beiträge: 751
  • Beigetreten: 25. September 03
  • Reputation: 0
  • Wohnort:root
  • Interessen:Viele

geschrieben 10. März 2005 - 20:31

Hallo,

Zitat

Aussage etwas nicht stimmt

na das sagt ja alles.

Zitat

Sie war zwar etwas verwundert darüber,
weil sooft würde man mit dem PC gar nicht ins I-net gehen

Irgendwelche Fragen?!

Zitat

Als ich den PC startete erschien auf dem Desktop riesengroß der Text, daß das
System mit einem Schädling befallen sei und die Reinigung per Klick auf einen
Button möglich wäre

Ich hoffe du den Prozess gekillt und nicht auf X/Cancel geklickt?!

Zitat

So nebenbei erwähnt fand PCillin noch 2 Trojaner, die das Programm allerdings
nicht löschen konnte.

Ähm, sollte da etwa der Scanner gewechellt werden?!

Nettes Log, aber von so was lebt der IT Service ^^

Da ist nicht nur ein Format C erforderlich sondern ein Crashkurs in sachen, Windows & Internet Sicherheit fällig!

Aber meißtens brabbelst du dir nen Wolf, machst alles anschaulich und leicht verständlich und zu guter letzt schnallen die es eh nicht. Format C -> Image, alle 3 Monate zurückspielen und vollen Lohn kassieren :-)

Dieser Beitrag wurde von Tarnatos bearbeitet: 10. März 2005 - 20:32

Gruss
-Tarnatos
Eingefügtes Bild
0

#4 Mitglied ist offline   hank 

  • Gruppe: aktive Mitglieder
  • Beiträge: 62
  • Beigetreten: 20. März 04
  • Reputation: 0

geschrieben 10. März 2005 - 20:32

Hallo,

hab es erstmal mit Spybot probiert, dort auch einiges gefunden und gefixt,
aber mehr mach(te) ich an ihrem PC nicht.
Hatte auch keine Zeit ( und Lust ) mehr, außerdem fand das ganze während
der Arbeitszeit statt <_<

Mein Beitrag sollte auch mehr eine Mahnung an Leute sein, die meinen man
kann ohne Risiko mit einem PC Onlinegehen etc. Auch wenn die, hier im
Forum "Sicherheit" eher selten sind :ph34r:

Gruß Hank

@tarnatos:
natürlich gekillt, war außerdem nicht am Netz.

Lebe nicht vom PC-Einrichten :D , war eher Zufall, weil ihr PC-Dealer nicht zu
ereichen war.

Dieser Beitrag wurde von hank bearbeitet: 10. März 2005 - 20:36

0

Thema verteilen:


Seite 1 von 1

1 Besucher lesen dieses Thema
Mitglieder: 0, Gäste: 1, unsichtbare Mitglieder: 0