Windows XP: Trojaner ??

Du hast nur die häfte des Logfiles gepostet.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:13:16, on 11.06.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16850)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\Programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTSERV.EXE
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\a-squared Anti-Malware\a2service.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\stsystra.exe
C:\Programme\Dell Photo AIO Printer 926\dlcxmon.exe
C:\Programme\Dell Photo AIO Printer 926\memcard.exe
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Corel\Corel Photo Album 6\MediaDetect.exe
C:\Programme\SetPoint\LBTWiz.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ICQ6.5\ICQ.exe
C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\INFOCOCKPIT.EXE
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe
C:\Programme\SetPoint\SetPoint.exe
C:\Programme\OpenOffice.org 3\program\soffice.exe
C:\Programme\OpenOffice.org 3\program\soffice.bin
C:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\kernel.exe
C:\Programme\Gemeinsame Dateien\Logitech\KHAL\KHALMNPR.EXE
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\sc_watch.exe
C:\WINDOWS\system32\dlcxcoms.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\PROGRA~1\T-Online\T-ONLI~1\Notifier\Notifier.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Programme\Dell PC Fax\fm3032.exe" /s
O4 - HKLM\..\Run: [dlcxmon.exe] "C:\Programme\Dell Photo AIO Printer 926\dlcxmon.exe"
O4 - HKLM\..\Run: [MemoryCardManager] "C:\Programme\Dell Photo AIO Printer 926\memcard.exe"
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [DLCXCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\DLCXtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [Corel Photo Downloader] C:\Programme\Corel\Corel Photo Album 6\MediaDetect.exe
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [Logitech BT Wizard] LBTWiz.exe -silent
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [a-squared] "C:\Programme\a-squared Anti-Malware\a2guard.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6.5\ICQ.exe" silent
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\Msmsgs.exe" /background
O4 - HKCU\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: SetPoint.lnk = ?
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: a-squared Anti-Malware Service (a2AntiMalware) - Emsi Software GmbH - C:\Programme\a-squared Anti-Malware\a2service.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: dlcx_device -   - C:\WINDOWS\system32\dlcxcoms.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTSERV.EXE
O23 - Service: T-Online WLAN Adapter Steuerungsdienst (MZCCntrl) - Deutsche Telekom AG, Marmiko IT-Solutions GmbH - C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe

--
End of file - 8417 bytes
 

ja ich habs gemerkt so jetzt hab i ch alles 

Im Logfile sind keine Anzeichen für Schädlinge, was aber nicht heißt das dein PC sauber ist.

Gab es irgendwelche Anzeichen für einen Trojaner ??

jaa , ich hab mit anti-malware mal gescannt und der fand 2 heftige viren die hab ich gelöscht und ich weiß nicht ob die jetzt ganz verschwunden sind...

Mit Malwarebytes gescannt ??

Wie waren die Namen der Schädlinge ??

Öffne Malwarebytes und klick auf Scan Bericht, den Bericht hier posten!

Scan Einstellungen:

Scan Methode: Detail Scan
Objekte: Speicher, Traces, Cookies, C:\, D:\
Archiv Scan: An
Heuristik: Aus
ADS Scan: An

Scan Beginn:   10.06.2009 19:36:59

Key: HKEY_USERS\S-1-5-21-1123561945-1606980848-839522115-1005\software\install    gefunden: Trace.Registry.AdClicker!A2
Value: HKEY_USERS\S-1-5-21-1123561945-1606980848-839522115-1005\Software\WebMediaPlayer --> grpid    gefunden: Trace.Registry.WebMediaPlayer!A2
Value: HKEY_USERS\S-1-5-21-1123561945-1606980848-839522115-1005\Software\WebMediaPlayer --> installdt    gefunden: Trace.Registry.WebMediaPlayer!A2
Value: HKEY_LOCAL_MACHINE\SOFTWARE\WebMediaPlayer --> grpid    gefunden: Trace.Registry.WebMediaPlayer!A2
Value: HKEY_LOCAL_MACHINE\SOFTWARE\WebMediaPlayer --> installdt    gefunden: Trace.Registry.WebMediaPlayer!A2
C:\Dokumente und Einstellungen\Lars\Cookies\[email protected][1].txt    gefunden: Trace.TrackingCookie.adserv!A2
C:\Dokumente und Einstellungen\Lars\Cookies\lars@adtech[1].txt    gefunden: Trace.TrackingCookie.adtech!A2
C:\Dokumente und Einstellungen\Lars\Cookies\lars@atdmt[1].txt    gefunden: Trace.TrackingCookie.atdmt!A2
C:\Dokumente und Einstellungen\Lars\Cookies\lars@doubleclick[2].txt    gefunden: Trace.TrackingCookie.doubleclick!A2
C:\Dokumente und Einstellungen\Lars\Cookies\lars@mediaplex[2].txt    gefunden: Trace.TrackingCookie.media!A2
C:\Dokumente und Einstellungen\Lars\Cookies\lars@tradedoubler[1].txt    gefunden: Trace.TrackingCookie.tradedoubler!A2
C:\Dokumente und Einstellungen\Lars\Lokale Einstellungen\Temp\Rar$EX00.781\ICQ- PW- Hacker by SpamFerkel\B2E.temp    gefunden: Trojan.BAT.Agent.j!IK
C:\Dokumente und Einstellungen\Lars\Lokale Einstellungen\Temp\Rar$EX00.781\ICQ- PW- Hacker by SpamFerkel\icq-pw-hacker.exe    gefunden: Backdoor.Win32.Ciadoor!IK
C:\Dokumente und Einstellungen\Lars\Lokale Einstellungen\Temp\Rar$EX01.656\ICQ- PW- Hacker by SpamFerkel\icq-pw-hacker.exe    gefunden: Backdoor.Win32.Ciadoor!IK
C:\System Volume Information\_restore{29EF8126-B8A7-48B3-BCE0-7902C9B4E090}\RP68\A0010539.exe/wmp_translation_file.xml    gefunden: Trojan.Win32.Wintrim!IK

Gescannt

Dateien:    170950
Traces:    689319
Cookies:    73
Prozesse:    56

Gefunden

Dateien:    4
Traces:    5
Cookies:    8
Prozesse:    0
Registry Keys:    0

Scan Ende:   10.06.2009 20:35:11
Scan Zeit:   0:58:12

C:\System Volume Information\_restore{29EF8126-B8A7-48B3-BCE0-7902C9B4E090}\RP68\A0010539.exe/wmp_translation_file.xml   Gelöscht Trojan.Win32.Wintrim!IK
C:\Dokumente und Einstellungen\Lars\Lokale Einstellungen\Temp\Rar$EX00.781\ICQ- PW- Hacker by SpamFerkel\icq-pw-hacker.exe   Gelöscht Backdoor.Win32.Ciadoor!IK
C:\Dokumente und Einstellungen\Lars\Lokale Einstellungen\Temp\Rar$EX01.656\ICQ- PW- Hacker by SpamFerkel\icq-pw-hacker.exe   Gelöscht Backdoor.Win32.Ciadoor!IK
C:\Dokumente und Einstellungen\Lars\Lokale Einstellungen\Temp\Rar$EX00.781\ICQ- PW- Hacker by SpamFerkel\B2E.temp   Gelöscht Trojan.BAT.Agent.j!IK
C:\Dokumente und Einstellungen\Lars\Cookies\lars@tradedoubler[1].txt   Gelöscht Trace.TrackingCookie.tradedoubler!A2

Gelöscht

Dateien:    4
Traces:    0
Cookies:    1
 

Ah okay hast mit A-squared gescannt.

Mache folgendes.

Start -> Alle Programme -> Zubehör -> Systemprogramme -> Systemwiederherstellung -> Einstellungen -> Deaktivieren.

Kurz warten und wieder aktivieren.

Inhalt folgende ordner loeschen:

    * C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temp---> Inhalt löschen
    * C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temporary Internet Files---> Inhalt löschen
    * C:\WINDOWS\temp---> Inhalt löschen
    * C:\WINDOWS\Prefetch---> Inhalt löschen

Malwarebytes Anti Malware installieren -> Updaten und einen Komplett Scan machen -> Funde löschen und Report posten.

alwarebytes' Anti-Malware 1.37
Datenbank Version: 2182
Windows 5.1.2600 Service Pack 3

11.06.2009 12:05:10
mbam-log-2009-06-11 (12-04-58).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 83557
Laufzeit: 2 minute(s), 9 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\WebMediaPlayer (Rogue.Webmediaplayer) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NWCWorkstation (Backdoor.Agent) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Du hast sie nicht gelöscht 

Mach nen Komplett Scan und kein Quick Scan -> Funde löschen lassen! Report wieder posten.

ich habse ja danach gelöscht wie ich gescant hab wie das fertig wa hab ich gespeichert und dann gelöscht

Du hast aber einen Quick Scan gemacht und solltest einen Komplett Scan machen, wollen ja auf Nummer sich gehen oder nicht ? 

Die schadsoftware ist und war im system,das system wurde kompromitiert und ist nicht mehr vertrauenswürdig.Demnach daten sichern und neu instalieren,die änderungen im system wird man nicht finden.Die leute,die solche pogramme schreiben,sind gutbezahlte profis.Diue wissen genau,wie man pogramme versteckt.
Aber das sinnfreie untersuchen eines verseuchten systemes ist sicher einfacher als konkrete maßnahen ergreifen.

so jetzt hab ich einen kompletten scan gemacht und das war das ergebnis

Malwarebytes' Anti-Malware 1.37
Datenbank Version: 2182
Windows 5.1.2600 Service Pack 3

11.06.2009 12:37:18
mbam-log-2009-06-11 (12-37-18).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 136538
Laufzeit: 16 minute(s), 35 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
 

Das System ist krompimittiert . Jetzt lüg hier nicht sogar noch rum, damit leute ihr System formatieren.

Malware ist/war aktiv!!  Komprimittiert ist es keinesfalls!! Hast glaubich noch nie ein komprimittiertes System gesehen  


Scan ist okay.

Bitte Combofix downloaden und anwenden, Logfile hier posten!
http://virus-protect.org/artikel/tools/combofix.html

das heißt ???

was kann ich noch tun 

Lesen musst du schon.

Siehe meine Antwort.

Combofix anwenden, link ist dabei.