[klaus1012]

Hallo Leute

eit ein paar Stunden bekomme ich dauernd eine komische Fehlermeldung (siehe Bild)!

Hab ich einen Virus oder so?

Ich habe Win XP SP1.

Außerdem habe ich im taskmanager was mit dem namen loader.exe drinnen:

http://www.liutilities.com/products/wintas...slibrary/loader

Wer kann mit helfen?

MfG

Angehängte Miniaturbilder

• 

Dieser Beitrag wurde von klaus1012 bearbeitet: 15. Mai 2004 - 19:21

[S0KILL]

diese exe is adware/malware nornalerweise

ad-aware 6.0 drüberlaufen lassen dann sollte es gut sein

wenn nich hijackthis runterladen und log.txt hier posten

[klaus1012]

Diese Fehler- meldung habe ich in den letzten 10 Minuten 5 mal bekommen!




Logfile of HijackThis v1.97.7
Scan saved at 20:28:11, on 15.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\System32\cisvc.exe
C:\Programme\CPUCooL\CooLSrv.exe
C:\Programme\Executive Software\Diskeeper\DkService.exe
C:\WINDOWS\system32\gearsec.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\System32\mqsvc.exe
C:\WINDOWS\System32\mqtgsvc.exe
C:\WINDOWS\System32\cidaemon.exe
C:\WINDOWS\System32\cidaemon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programme\Common files\updater\wupdater.exe
C:\Programme\ClearSearch\Loader.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Microsoft Plus! Dancer LE\DncLE.exe
C:\Programme\MSI\Core Center\CoreCenter.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\CPUCooL\CPUCooL.exe
C:\WINDOWS\explorer.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\WINDOWS\System32\sahagent1020.exe
C:\DOKUME~1\KLAUSB~1\LOKALE~1\Temp\bundle.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\taskmgr.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Dokumente und Einstellungen\Klaus Behrens 1b\Eigene Dateien\Programme\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.at/0SEDEAT/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.winfuture.de/
R3 - URLSearchHook: IncrediFindBHO Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL
O2 - BHO: IE Agent - {00000000-0000-0000-0000-000000000221} - C:\Programme\ClearSearch\CSIE.DLL
O2 - BHO: (no name) - {00000762-3965-4A1A-98CE-3D4BF457D4C8} - C:\Programme\Lycos\Sidesearch\sidesearch1400.dll
O2 - BHO: (no name) - {00000EF1-0786-4633-87C6-1AA7A44296DA} - C:\WINDOWS\System32\ATPART~1.DLL
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_22.dll
O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL
O2 - BHO: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar\01.01.1601.0\de-at\msntb.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [AcctMgr] C:\Programme\Norton Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup
O4 - HKLM\..\Run: [updater] C:\Programme\Common files\updater\wupdater.exe
O4 - HKLM\..\Run: [ClrSchLoader] C:\Programme\ClearSearch\Loader.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [SAHBundle] C:\DOKUME~1\KLAUSB~1\LOKALE~1\Temp\bundle.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [Dancer] "C:\Programme\Microsoft Plus! Dancer LE\DncLE.exe"
O4 - Startup: CPUCooL.lnk = C:\Programme\CPUCooL\CPUCooL.exe
O4 - Global Startup: CoreCenter.lnk = C:\Programme\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: Erinnerungen für Microsoft Works-Kalender.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Sidesearch (HKLM)
O9 - Extra button: Recherchieren (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://fpdownload.macromedia.com/pub/shock...ector/swdir.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.micros...ontent/opuc.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/...8048.1852546296
O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} (Measurement Service Client v.3.4) - http://ccon.futurema...lobal/msc34.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/p...t/msnchat45.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{47EC3951-E81F-4F0E-80FE-DFD4068CFE35}: NameServer = 195.58.160.2,195.58.161.3

[klaus1012]

Ich habe da noch was verdächtiges im Taskmanager entdeckt!!!

sahagent1020.exe

ist doch nicht normal dieser Prozess!?

[S0KILL]

R3 - URLSearchHook: IncrediFindBHO Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL

O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL

O2 - BHO: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll


O4 - HKLM\..\Run: [SAHBundle] C:\DOKUME~1\KLAUSB~1\LOKALE~1\Temp\bundle.exe

O2 - BHO: (no name) - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_22.dll

O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Ner

O4 - HKLM\\..\\Run: [ClrSchLoader] C:\\Programme\\ClearSearch\\Loader.exe

O2 - BHO: IE Agent - {00000000-0000-0000-0000-000000000221} - C:\Programme\ClearSearch\CSIE.DLL

Dieser Beitrag wurde von S0KILL bearbeitet: 15. Mai 2004 - 19:44

[Matze]

O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
und alle anderen new dot net oder new.net sind spyware einträge. Mal Spybot oder AdAware drüber laufen lassen.

--- Ab hier bin ich mir nicht ganz sicher ---
O4 - HKLM\\..\\Run: [SAHBundle] C:\\DOKUME~1\\KLAUSB~1\\LOKALE~1\\Temp\\bundle.exe
O4 - HKLM\\..\\Run: [ClrSchLoader] C:\\Programme\\ClearSearch\\Loader.exe
O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252}
O2 - BHO: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252}
O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310}
O2 - BHO: (no name) - {00000EF1-0786-4633-87C6-1AA7A44296DA}
O2 - BHO: (no name) - {00000762-3965-4A1A-98CE-3D4BF457D4C8}
O2 - BHO: IE Agent - {00000000-0000-0000-0000-000000000221}

Dein Prozess den du meintest ist auch ein Wurm: http://www.liutilities.com/products/wintas...brary/sahagent/

Edit: Jedenfalls zeigt das das Script an, welches ich gestern Programmiert habe und eigentlich die Bösen Einträge finden soll.

Dieser Beitrag wurde von MatzeSZ bearbeitet: 15. Mai 2004 - 19:46

[Meltdown]

Zitat (klaus1012: 15.05.2004, 20:29)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Da Du wohl den IE 6 als Browser benutzt, will ich Dich lieber auch noch mal darauf aufmerksam machen, das Du Dir für die Zukunft wohl besser einen anderen Browser zulegst. Der IE von Micorosft ist mittlerweile wohl berüchtigt für seine diversen Bugs und Sicherheitslücken. Die Empfehlung von mir ist wohl ein Browser aus der Mozilla - Ecke:
Also entweder FireFox oder die Mozilla Suite 1.6. (gibt es seit kurzem auch als 1.7 RC1)

Damit entziehst Du diversen Attacken von vornherein die Angriffsfläche. Ich hab ja eigentlich nichts gegen MS: aber spätetens seit dem Quellcode-Leak bei denen zähle ich mich endgültig zu der Fraktion der Leute die sagen, das auch der schwächste Alternativ-Browser immer noch besser ist als das Original von MS. Leider.

Ebenfalls gilt: JAVA VM nur von SUN!

Der Wechsel dorthin wird einem auch leicht gemacht: Diese Dinger können einfach mehr und sind wesentlich komfortabler als der IE 6. Ich war am Anfang auch skeptisch. Mittlerweile will ich diese Browser nicht mehr missen. Der IE6 ist leider kein Komfort-Wunder.

Dieser Beitrag wurde von Meltdown84 bearbeitet: 15. Mai 2004 - 19:52

[klaus1012]

Zitat (MatzeSZ: 15.05.2004, 20:41)

Dein Prozess den du meintest ist auch ein Wurm: http://www.liutilities.com/products/wintas...brary/sahagent/

Ich habe aber NAV!

[Matze]

Sorry aber Norton ist schrott. Kauf dir GData AVK 2004 oder so, der findet auch was.
Evtl. ist ein AV-Programm auch nicht Up to Date?

Eine Firewall wär bei einem ungesicherten System auch nicht schlecht.

Dieser Beitrag wurde von MatzeSZ bearbeitet: 15. Mai 2004 - 20:03

[Meltdown]

Zitat (klaus1012: 15.05.2004, 20:57)

Ich habe aber NAV!

Schwacher Virenscanner! KAV und BitDefender sind da wohl besser - oder in Kombination im AVK2004. Frisst allerdings Ressourcen - das ist allerdings wohl
das Mankon eines jedes Virenscanners. Hohe Sicherheit also nur auf Rechnern die die 2 Ghz-Grenze hinter sich gelassen haben. Nochmal: Leider...

Aber die Meinungen gehen hier auseinander. Da wirst Du wohl noch andere Empfehlungen kriegen. Ein ewiger Streitpunkt hier im Forum...

[fossil_685]

Zitat (klaus1012: 15.05.2004, 20:57)

Zitat (MatzeSZ: 15.05.2004, 20:41)

Dein Prozess den du meintest ist auch ein Wurm: http://www.liutilities.com/products/wintas...brary/sahagent/

Ich habe aber NAV!

Wenn Du alleine schon die entsprechenden Problemstellungen der letzten Zeit verfolgst, wirst Du sehr schnell merken, dass ein AntiViren-Programm kein Allheilmittel ist und auch nicht sein kann. Wenn der Rest nicht stimmig ist, kannst Du das vergessen. Stell´ Dir eine Wohnung mit einer Tür und 4 Fenstern vor...die Tür ist perfekt gesichert und die Fenster stehen offen. Wozu also eine stabile Tür?

Jannick

Dieser Beitrag wurde von fossil_685 bearbeitet: 15. Mai 2004 - 20:06

[klaus1012]

Also hatte ich jetzt einen Wurm?

Ich habe ihn händisch entfernt!

[Matze]

Ich hoffe du weiß das du auch die Einträge in der Registry entfernen musst.

Ich würde nochmal Spybot Search & Destroy durchlaufen lassen und Stinger herunterladen und den natürlich auch durchlaufen lassen.
Danach such mal ein wenig im Forum herum und kaufe dir ein gutes AntiViren Programm.

Stinger: http://vil.nai.com/vil/stinger/
Spybot: http://www.safer-net...dex.php?lang=de

Dieser Beitrag wurde von MatzeSZ bearbeitet: 15. Mai 2004 - 20:14

[klaus1012]

Ich lasse gerade stinger durchlaufen.

Spyboot hat nicht alles entfernen können!

[Matze]

Wahrscheinlich sind noch Dateien gerade in Benutzung. Wenn du Stinger durchlaufen gelassen hast, kannst du ja mal versuchen die Dateien im abgesicherten Modus zu entfernen.