[Fun_King2k]

Hallo Zusammen,

ich hab seid gestern ein kleines Problem,

ich hab gestern nen Trojaner auf meine Platte bekommen, der zudem mein Laufwerk ein und rausfahren lies, mein Bild verdrehte usw. Hab dann meine Inet verbindung getrennt und virenscan mit AntiVirGuard gemacht, Zone Alarm Security Suite durchlaufen lassen und jeden Dreck entfernt .... Aber wenn ich jetzt im TuneUp2006 unter dem StartMananger schaue, steht immer 2x scvhost.exe drin, wo Tune2006 sagt das es ein Trojanisches Pferd ist, wenn ich diese aber lösche aus dem Autostart, is es immerwieder nach dem Neustart da, scvhost.exe zu löschen, hab ich auch schon gemacht, habs natürlich vorher woanders noch reinkopiert, net das die dann weg is, aber dann sagt er natürlich das er die scvhost.exe nicht mehr findet und sagt system fehler. Dann hab ich wieder die datei in ihr ursprungsverzeichnis getan c:\windows\windows32\...

Jetzt hab ich mal nen Logfile gemacht und hoffe das mir einer helfen kann oder mir sagen kann ob ich noch nen Virus oder ein Trojaner drauf hab

LogFile[u]

[quote]Logfile of HijackThis v1.99.1
Scan saved at 22:29:43, on 10.04.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5296.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.exe
D:\AntiVir PersonalEdition Classic\sched.exe
D:\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
d:\Registry Defragmentation\RegManServ.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\WINDOWS\system32\LVCOMSX.EXE
D:\AntiVir PersonalEdition Classic\avgnt.exe
D:\ZoneAlarm\zlclient.exe
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
C:\WINDOWS\system32\ZoneLabs\isafe.exe
D:\ZoneAlarm\MailFrontier\mantispm.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\ICQLite\ICQLite.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\Fun_King2k\Lokale Einstellungen\Temp\wza78d\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=552...cid={SUB_CLCID}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [avgnt] "D:\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Zone Labs Client] d:\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\ICQLite\ICQLite.exe -trayboot
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Download with NetPumper - d:\NetPumper\AddUrl.htm
O8 - Extra context menu item: In Adobe PDF konvertieren - res://D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://D:\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\ICQLite\ICQLite.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {FCCD7B93-E1B7-40F0-9B2D-F659DB74C984} - d:\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {FCCD7B93-E1B7-40F0-9B2D-F659DB74C984} - d:\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft....k/?linkid=48835
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1136292256234
O18 - Protocol: Festoon - (no CLSID) - (no file)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - D:\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - D:\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: CA ISafe (CAISafe) - Computer Associates International, Inc. - C:\WINDOWS\system32\ZoneLabs\isafe.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Registry Management Service (RegManServ) - Unknown owner - d:\Registry Defragmentation\RegManServ.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\TuneUp Utilities 2006\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Wäre sehr nett wenn mir einer helfen kann

Ihr könnt mich auch unter ICQ erreichen : 171126109

Besten Dank im Vorraus

MfG

Fk2k

[flo]

Hallo


Da dein PC eindeutug Kompromittiert (Verseucht) ist gibt es nur eine möglichkeit ihn wieder zu säubern, nämlich neuinstallieren.

siehe

Kompromittierung

[Fun_King2k]

Hallo!

Woran sieht man das? Kann ich nichts anderes machen? :-/ Kenn mich zwar net so aus, aber ich frag einfach mal ......

Vor allem was macht der Virus oder das Trojanische Pferd jetzt? Weil im Taskamanger arbeitet kein scvhost.exe im Hintergrund, oder sieht man das nicht :-/

mfg
fk2k

[edgonzo]

Zitat (Fun_King2k: 10.04.2006, 22:57)

Hallo!

Woran sieht man das? Kann ich nichts anderes machen? :-/ Kenn mich zwar net so aus, aber ich frag einfach mal ......

Vor allem was macht der Virus oder das Trojanische Pferd jetzt? Weil im Taskamanger arbeitet kein scvhost.exe im Hintergrund, oder sieht man das nicht :-/

mfg
fk2k

Also ich würde erst mal die drei sachen von " scvhost.exe " fixen, danach noch einmal mit Hijackthis durlaufen lassen und wenn dann alles weg ist, so lassen wie es ist.

Dieser Beitrag wurde von edgonzo bearbeitet: 10. April 2006 - 22:15

[ShadowHunter]

du kannst deine log hier http://www.hijackthis.de/de überprüfen lassen!
Ich würde dir sowieso empfehlen dein System neu aufzusetzen, scheint mir sehr überladen zu sein, meine log ist da viel viel kleiner 8)
Solltest dann auch ein vernünftiges Sicherheitskonzept setzen wie in den Stickys dieses Forums beschrieben.

Zitat

Also ich würde erst mal die drei sachen von " svchost.exe " fixen, danach noch einmal mit Hijackthis durlaufen lassen und wenn dann alles weg ist, so lassen wie es ist. smokin.gif

Naja das fixen ist die eine Sache, lässt sich mit einem Antiviren Programm oder Hijackthis im Abgesicherten Modus sicher machen, dennoch kann man nicht sicher sagen, ob dieser Schädling noch weiter sich ins System eingeschlichen hat. Die einzig wirkliche Lösung ist ein System neu aufzusetzen.

[sn00b]

schau mal unter dienste nach was in den eigenschaften von 'Windows-Firewall/Gemeinsame Nutzung der Internetverbindung' steht, hatte erst letztens einen kunden wo dieser dienst durch selbige symptome lahmgelegt wurde! hierbei handelt es sich um die integrierte firewall von windows!

unter der eigenschaft 'PFAD zur EXE-Datei' sollte "C:\WINDOWS\system32\svchost.exe -k netsvcs" stehen!

in dem geschilderten fall half selbst das fixen und manuelle ändern des dienstes inder registry nichts!

ich empfehle auch eine neuinstallation!

EDIT!
übrigens 'scvhost.exe' ist böse und wird gerne mit 'svchost.exe' verwechselt!


gruß

Dieser Beitrag wurde von Master.Max bearbeitet: 10. April 2006 - 22:53

[flo]

Zitat

Woran sieht man das? Kann ich nichts anderes machen? :

Na du sagtest doch selbst das du ein Trojanisches Pferd auf dem PC hast! Und nein man kann da nix anderes machen.

[Fun_King2k]

Hallo Zusammen !!!

Erstmal danke für die Hilfe auch wenn ich mein System platt machen musste, aber es ging ja nicht anders ...

ich hab jetzt formatiert und alles soweit installiert was ich vorher auch hatte, hab jetzt nochmal ein logfile gemacht, wäre sehr nett wenn mir einer sagen könnte ob jetzt alles clean ist:

Logfile of HijackThis v1.99.1
Scan saved at 13:29:19, on 13.04.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5296.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\ZoneAlarm\zlclient.exe
D:\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
D:\AntiVir PersonalEdition Classic\sched.exe
D:\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\wdfmgr.exe
D:\UPHClean\uphclean.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\MsPMSPSv.exe
D:\ZONEAL~1\MAILFR~1\mantispm.exe
C:\WINDOWS\system32\ZoneLabs\isafe.exe
D:\ICQLite\ICQLite.exe
E:\Valve\Steam\Steam.exe
C:\WINDOWS\system32\svchost.exe
d:\Winamp\Winamp.exe
C:\WINDOWS\system32\msiexec.exe
C:\Programme\Logitech\SetPoint\SetPoint.exe
C:\Programme\Gemeinsame Dateien\Logitech\KHAL\KHALMNPR.EXE
C:\Programme\Gemeinsame Dateien\Logitech\WebColct\WebColct.exe
D:\Acrobat 7.0\Reader\AcroRd32Info.exe
d:\WinRAR\WinRAR.exe
C:\DOKUME~1\FUN_KI~1\LOKALE~1\Temp\Rar$EX00.235\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.co...earch_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft....k/?LinkId=54729
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft....k/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft....k/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=552...cid={SUB_CLCID}
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Zone Labs Client] d:\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [avgnt] "D:\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\RunOnce: [LogiSPSetupNeedReboot] rundll32.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [Steam] E:\Valve\Steam\\Steam.exe -silent
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\ICQLite\ICQLite.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - d:\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - d:\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1144778773000
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - D:\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - D:\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: CA ISafe (CAISafe) - Computer Associates International, Inc. - C:\WINDOWS\system32\ZoneLabs\isafe.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\TuneUp Utilities 2006\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe[color=#CC0000]


Besten Dank schon mal im Vorraus

MfG
Fk2k

[SunsEt]

scheint clean zu sein. http://www.hijackthis.de/logfiles/1be3795a...5c202ca9bb.html das is deine auswertung, schau es dir selbst an.

[ShadowHunter]

scheint wirklich sehr sauber zu sein.
eine empfehlung noch am Rande, hau ZoneAlarm runter und richte dein System so ein wie im Sticky "Windows Sicherer Machen". Machst dadurch dein System sicherer und ZoneAlarm würde nur weitere Lücken bringen. Statt Antivir würde ich vlt auch auf Alternativen wie Bitdefender, ClamWin oder Avast setzen!