Vista: HijackThis Auswertung

Hallo

Das System ist infiziert!

Bitte diese Anleitung abarbeiten
http://www.computerhilfen.de/hilfen-17-233792-0.html
Reporte posten wie angegeben.
 

Du hast eine Zlob Infektion.
Zu erkennen an diesem Eintrag :

O4 - HKLM\..\Policies\Explorer\Run: [some] C:\Program Files\Video Add-on\icthis.exe
O4 - HKLM\..\Policies\Explorer\Run: [start] C:\Program Files\Video Add-on\isfmntr.e

Diese behebst du am besten in dem du Google nach dem Programm "Combofix" befragst und der ergoogelten Anleitung folgst.
Den überflüssigen Kram von "Humdinger" kannst du dir schenken,auch weil das teilweise sachlich falsch ist was dort geschrieben steht !!
Ist die Infektion weg ,ist alles gut und es bedarf keines nachfassens.
Ist sie nicht postest du lediglich den Report von Combofix.Mir genügt das um dir dann weitere Schritte anzugeben.Ich bin aber relativ sicher das daß nicht nötig sein wird...
Sir Reklov 

@ Sir Reklov 

"google mal" ist ja eine tolle Hilfe und dann den User im Regen stehen lassen vermute ich. Ich glaube nicht das ihm du ein entsprechendes Script zum löschen für ComboFix erstellst? Nur mit dem ausführen ist es wohl kaum getan!

@hackl
Wende die genannte Anleitung an

Doch selbstverständlich erstelle ich ein persönliches Script für den User...
Im Gegensatz zu dir kann ich mit einem Editor durchaus umgehen und erkenne auch die Dateien die in ein solches Script zu bauen sind.Sofern er die Exe auf dem Desktop hat ,werde ich ihm schreiben wie er das Script startet...
Im Gegensatz zu dir darf ich das Programm handhaben und kann es auch...
Zlob wird aber ohne Script zuverlässig erledigt.....
Aber das hast du sicher gewußt..
Sir Reklov

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:35:13, on 13.05.2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\WINDOWS\RtHDVCpl.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Program Files\ICQLite\ICQLite.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\system32\conime.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Windows\system32\DllHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=DE_DE&c=71&bd=Pavilion&pf=desktop
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=DE_DE&c=71&bd=Pavilion&pf=desktop
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O1 - Hosts: ::1 localhost
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O2 - BHO: (no name) - {F44D8E66-7BB6-49BD-A924-5E0368C00FD1} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [ISUSPM] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [ICQ Lite] "C:\Program Files\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKCU\..\Run: [ISUSPM Startup] C:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKCU\..\Run: [ISUSPM] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Program Files\ICQLite\ICQLite.exe -trayboot
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: Download with Xilisoft YouTube Video Converter - C:\Program Files\Xilisoft\YouTube Video Converter\upod_link.HTM
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: In Blog veröffentlichen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: In Windows Live Writer in &Blog veröffentlichen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.topsoftwarefeed.com/redirect.php (file missing)
O9 - Extra 'Tools' menuitem: IE Anti-Spyware - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.topsoftwarefeed.com/redirect.php (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O13 - Gopher Prefix:
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A9549FBF-BB9C-4F2C-B54D-69C6CEF66101}: NameServer = 208.67.222.222,208.67.222.220
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~2\KASPER~1.0\r3hook.dll,C:\PROGRA~1\KASPER~2\KASPER~1.0\adialhk.dll
O23 - Service: AOL Connectivity Service (AOL ACS) - AOL LLC - C:\Program Files\Common Files\AOL\ACS\AOLAcsd.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Program Files\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLSched.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\CyberLink\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Program Files\Common Files\AVM\de_serv.exe
O23 - Service: Portrait Displays Display Tune Service (DTSRVC) - Unknown owner - C:\Program Files\Common Files\Portrait Displays\Shared\DTSRVC.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logitech\Bluetooth\LBTServ.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - c:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - c:\Program Files\Common Files\SureThing Shared\stllssvr.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe

--
End of file - 10491 bytes


jetz ok?
mfg hackl
 

Reporte?

hab etz diese
O4 - HKLM\..\Policies\Explorer\Run: [some] C:\Program Files\Video Add-on\icthis.exe
O4 - HKLM\..\Policies\Explorer\Run: [start] C:\Program Files\Video Add-on\isfmntr.e

gefixt

Malwarebytes angewendet?
http://www.computerhilfen.de/hilfen-17-233792-0.html
Report?

@hackl wenn du nicht dass machst was dir hier gesagt wird, dann können wir dir nicht helfen!!

Malwarebytes' Anti-Malware 1.12
Datenbank Version: 745

Scan Art: Komplett Scan (C:\|)
Objekte gescannt: 209444
Scan Dauer: 1 hour(s), 36 minute(s), 35 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 3
Infizierte Registrierungswerte: 2
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 4

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{9034a523-d068-4be8-a284-9df278be776e} (Trojan.Zlob) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{f44d8e66-7bb6-49bd-a924-5e0368c00fd1} (Trojan.Zlob) -> No action taken.
HKEY_CURRENT_USER\Software\Online Add-on (Trojan.Zlob) -> No action taken.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{efaf6ea3-615d-4f83-8748-2f7a576fcea6} (Trojan.Zlob) -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow\*.securewebinfo.com (Trojan.Zlob) -> No action taken.

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
C:\Users\Gr@f Zeppelin\Desktop\Counter Strike - Condition Zero an blub (1.1.1.60)\cstrike\overviews\cs_italy_cz.bmp (Trojan.Vundo) -> No action taken.
C:\Users\Gr@f Zeppelin\Desktop\Counter Strike - Condition Zero an blub (1.1.1.60)\czero\overviews\cs_italy_cz.bmp (Trojan.Vundo) -> No action taken.
C:\WINDOWS\System32\h@tkeysh@@k.dll (Trojan.Agent) -> No action taken.
C:\Users\Gr@f Zeppelin\Favorites\Online Security Test.url (Rogue.Link) -> No action taken.


@ersguterjunge ja sorry des dauert n bisschen des zu scannen und ich musste noch andre sachen erledigen xD

ja hier ist es
hab die sachen mit dem prog gelöscht...

aber im cz ordner ?! seltsam

danke für die hifle
mfg hackl 

Ladt dir Smitfraudfix runter und lasse es laufen, da du Zlob auf em Rechner hast.

http://siri.urz.free.fr/Fix/SmitfraudFix_De.php

Außerdem hast du dir beim Laden von einer Map Vundo eigefangen, dazu noch einen weiteren Trojaner.

Mache zusätzlich bitte noch einen Scan mit Combofix:

http://virus-protect.org/artikel/tools/combofix.html

Lade dir Kilbox runter und lösche damit folgende Datei:

C:\WINDOWS\System32\h@tkeysh@@k.dll


Wieder die Reporte hier posten.

gruß deniz

 

Wieso konnte er sich ZLOB einfangen ... kein aktuelles AV-Programm ?
Das sollte zuerst geklärt werden , sonst dreht er sich im Kreis ... ODER ??

Mein NAV hat den schon in der Temp gekillt ......
Trotzdem habe ich ein aktuelles Image wieder draufgespielt ... ist sicherer .

Ist sogar Kaspersky drauf, aber wenn es schlecht eingestellt ist oder ab und zu ausgestellt wird, bringt es nix.

Es kann so einfach sein wenn man nur wüßte was zu tun ist...
Um eure planlose Raterei zu beenden ,helfe ich euch mal wieder auf die Sprünge...

Über einen * bitte keine illegalen Tipps *(manipulierten Zugang eines Spieles wurde zlob mitinstalliert.
Dieser hat sich gemäß seiner Bestimmung verhalten.Also ein BHO und eine Extension erstellt.
Ergebnis ist "your computer is in danger"..
Außerdem treibt sich noch anderes Zeug rum ,weil der User unbedingt Weiber anguggen will und deshalb gesagt bekommt "du mußt ein Tool runterladen damit du die Weiber nackig sehen kannst...
Schwups, hast du deine O4 Einträge.....
Leider gebe ich dem User nicht allzulange und er hat wieder Probleme ...
Es dürfte sich um einen minderbegabten User handeln...

@ersguterjunge
Ich werde dich fortan "fifi" nennen.Wie einen Hund.Der folgt auch immer dem der gerade sein Herrchen ist...
Brauchst du jemand der dich immer führt und an die Hand nimmt ?
Wird langsam Zeit erwachsen zu werden und eigene Entscheidungen zu treffen...
Sir Reklov

 

Ahja xDxDxDxDxD

Ich kann nur soweit was machen, wie ich etwas weiß. Kannst mich ja aufklären dann kommt da vielleicht kein "sinnloser Müll" raus.

Du weißt doch gar nicht auf welcher Seite sich der User das eingefangen hat...
Deswegen kannst du gar nix nachvollziehen...

Ich habe ein Beispiel gegeben wie das in aller Regel von statten geht...

Der User versucht "Weiber" zu sehen (kann auch ein neuer Film oder Musikvideo sein )dient eh nur als Köder...
Der User versucht das Video zu starten und bekommt dann eine Mitteilung derart : "oh ,,,leider können sie nix sehen,Windows hat festgestellt das ihnen ein Video Plug in fehlt. Laden sie dieses Plug in von hier : es folgt der böse Link...
Hat er das gemacht ist er eingesaut und hat O4....
Durch den Link im Link ist dein Scanner hintendran und kann den Download nicht rechtzeitig ansehen ,während du bei Bedenken den Download nicht stoppen kannst..weil eine Sperre drinn ist...

Mal nachdenken jetzt !!
Glaubst du wirklich das sämtliche User die sich mit dem Ding infiziert haben ,eine Meldung ihres Scanners einfach weggeklickt haben ?
Deine scheinbare Infizierung ,die gar keine war nebenher bemerkt..
war nur eine schlechte ,ganz schlecht gemachte Kopie eines
Zlos...deswegen kam der nicht weit...
Scriptkiddys machen damit ihre ersten Schritte...

@ersguterjunge
Google, Google und nochmals Google...
Niemand muß unwissend bleiben ,wenn er es nicht will....
Niemand muß einem Blender nachlaufen,nur weil der vorgibt etwas zu wissen...
es ist immer deine Entscheidung ,wenn du dich lächerlich machst....
Verstehst du ?
Sir Reklov

also ich hab kaspersky
auf dem aktuellsten stand
und auf der mittleren stufe
weiter erhöhen tu ichs nicht
sonst fragt es mich bei jeder exe ob ich der anwendung vertraue und son ** Netiquette! **
....
also die adware ist weg...
und Malwarebytes' Anti-Malware findet auch nichts mehr

Bei dem hier gebotenen Niveau sollten sich die Forenbetreiber überlegen, ob weiterhin Beiträge von "Gästen" gestattet werden können?

@hackl
Du hast eine PN.