Windows XP: berechtigungsproblem

http://www.file.net/prozess/crazy%20browser.exe.html


Bite log neu einstellen,es sollte HIT version 2.02 verwendet werden,da damit einige sachen etwas besser erkannt werden.

O20 - Winlogon Notify: dimsntfy - %SystemRoot%\System32\dimsntfy.dll (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

Diese sachen sind aber garnicht fein,jedoch nicht unbedigt schädlich.Die dateien würd eich aber auf virus total hochladen,um sicherzugehen.Bestimmte gäste tarnen sich mit diesen namen.

O11 - Options group: [INTERNATIONAL] International

Das finde ich auch sehr seltsam.Könnte man diesem mit autoruns von systernals auf den grund gehen?

Wäre ews mögich,das verhalten von lexware mit filemon bzw dessem nachfolger zu beobachten?
 

habe die dateien bei virus total hochgeladen kann allerdings mit den ergebnissen herzlich wenig anfangen...
der crazy browser lief im moment meines hijackthis scans im windows ordner gefindet sich nur eine prefech datei die crazy browser heisst.
was du mir mit den letzten zwei sätzen sagen wolltest weiss ich leider auch nicht...bin kein experte wenn es ins detail am computer geht.
auf jeden fall hier noch ein logfile mit der neuen version:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:30:24, on 19.06.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
C:\Programme\ICQ6Toolbar\ICQ Service.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe
D:\Programme\Crazy Browser\Crazy Browser.exe
D:\Programme\Adobe\Reader 8.0\Reader\AcroRd32.exe
D:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [amd_dc_opt] D:\Programme\AMD\Dual-Core Optimizer\amd_dc_opt.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lexware Info Service.lnk = C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - http://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1241565955437
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NBService - Nero AG - D:\Programme\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 6270 bytes
 

was mir gerade noch beim durchsuchen der ordner aufgefallen ist war die meldung dass mein papierkorb auf G: beschädigt ist
auf G habe ich meine Geschäftsdaten und auch lexware ist dort installiert

Nun,
Es wäre dringend ein sicherung der geschaftsdaten mit knoppix anzuraten.Dann mit knoppic mal in den paierkorb auf g: einsicht nehmen.Ich vermute,da ist ein gast versteckt.Dieser Dürfte ursache Deiner probleme sein.

Das neue log ist auch nicht sonderlich berauschend.Den autostart sollte man mal aufräumen,den java quickstarter unter dienste lahmlegen und den net.dienst ebenfalls abschalten,da dieser nur unnötige schreibzugriffe vornimmt.

 

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
..die Einträge waren vorher nicht da...
schon was installiert (Programme) in der Zeit?

@copy:
Hast du eine merkbefreiung nötig oder warum moniertst Du diese eintäge wirder mal? Eventuel schaust Du mal nach,um was es sich dabei handelt.Oder wolltest Du nur die gelegenheit nutzen,etwas zu schreiben,weil heute freitag und damit Fischtag ist?

@w2
deinen gameligen Fisch will ich nicht.
..ich bemängel heute halt mal alles, wie ihr sonst immer..
 

müsste dieser gast im logfile ersichtlich sein? was mache ich denn wenn sich herausstellt dass da einer ist? hatte noch nie besucher ausser auf c:
antivir hat ausser 6 warnungen dass es auf 6 dateien keinen zugriff hatte nicht gemeldet, die dateien waren aber bestandtein von lexware

installiert habe ich zwischenzeitlich mein altes lexware programm was zwar stertet aber auch nicht lief muss mit der geschichte aber nicht zusammenhängen  und den uploader von virus total

Hast du dir schon knoppix besorgt? wenn nein,dies bitte nachholen.Den gast kann man nicht in log sehen,ich vermutes nur einen aufgrund der fehlerbeschreibung.Wenn Du pech hast,ist das system ponpromitiert un dDu darfst komplet neu instalieren.Solche gäste zu finden,ist mehr arbeit,als eine neuinstalation.

Die geschaftsdaten würd eich Umgehend ohne weitere verzögerung unter knoppix auf seperate platte sichern.Die dafür anfallenden kosten sind unintresant.Oder sind die geschäftsdaten eher unwichtig?

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
..die Einträge waren vorher nicht da...
schon was installiert (Programme) in der Zeit?

@copy:
Kannst du dir auch was merken oder postest du einfach so blind drauf los??

Zur Erinnerung:
http://www.computerhilfen.de/hilfen-17-286107-15.html

Antwort 26....

Mannomann....  Lass es einfach, ist besser so

..oh, man und ihr kapiert nicht, worauf ich damit hinaus wollte...
Wie so manch anderes auch nicht.
 

so wichig sind meine geschäftsdaten im lexware programm auch nicht habe sie seperat auch noch gespeichert. wichtig für mich wäre dass mein lexware wieder läuft.
meine sorge ist nur wenn ich wirklich einen "gast" auf G: statt auf dem betriebssystem C: habe, dass format c: eventuell gar nicht meine lösung ist, den fall hatte ich noch nicht.
meine festplatten konstellation lautet:
Festplatte 1  c:   windows
              d:   Programme
              e:   Datenträger
Festplatte 2  g:   Arbeit
              h:   Datenträger
              i:   Eigene Dateien
meine eigenen dateien sind persönlich sehr wertvoll und auch eine enorme datenmenge
müsste ich jetzt beide platten formatieren um der situation herr zu werden oder würde ein gast auf g: durch format c: wirkungslos werden?

lade mir gerade knoppix herunter und werde meine daten versuchen mit dieser freewareversion zu sichern

               

Bevor wir hier weiter im kaffesatz lesen,wäre erstmal die datensicherung zu machen.Dann kann man an konkrete maßnahmen gehen.Diese Dürfte nicht unbedingt lustig sein und auch mit erheblicher menge arbeit verbunden.

Das image von knoppix auf sauberem system laden und brennen.

meine daten habe ich, wie geht es denn nun weiter?

Datenplatte in sicherheit? wenn ja,wie folgt weiter:
Die betroffene partion mit linux betrachten,insbesondere den recycler.Wenn da etwas drin ist,hier berichten.Bitte nix löschen,sonst kann man die weiteren maßnahmen nicht darauf abstellen.Bitte auch die recyclerordner bzw papierkörbe auf den anderen partionen inspizieren.

mfg