Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 02:01:25, on 03.09.2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\VIA\VIAudioi\HDADeck\HDeck.exe
C:\WINDOWS\Logi_MwX.Exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\LogMeIn Hamachi\hamachi-2.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
C:\Programme\CDBurnerXP\NMSAccessU.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Mozilla Firefox\plugin-container.exe
C:\Dokumente und Einstellungen\Jonas\Lokale Einstellungen\Anwendungsdaten\TeamSpeak 3 Client\ts3client_win32.exe
C:\Programme\Malwarebytes' Anti-Malware\mbam.exe
C:\Programme\Avira\AntiVir Desktop\avscan.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\System32\vssvc.exe
C:\WINDOWS\system32\dllhost.exe
C:\Dokumente und Einstellungen\Jonas\Desktop\Programme\HiJackThis204.exe
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [HDAudDeck] C:\Programme\VIA\VIAudioi\HDADeck\HDeck.exe 1
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit -login
O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe /installquiet
O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-1275210071-1292428093-1801674531-1007\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'UpdatusUser')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: LogMeIn Hamachi Tunneling Engine (Hamachi2Svc) - LogMeIn Inc. - C:\Programme\LogMeIn Hamachi\hamachi-2.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
O23 - Service: NMSAccess - Unknown owner - C:\Programme\CDBurnerXP\NMSAccessU.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: NVIDIA Update Service Daemon (nvUpdatusService) - NVIDIA Corporation - C:\Programme\NVIDIA Corporation\NVIDIA Updatus\daemonu.exe
--
End of file - 4521 bytes
AntiVir kackt die letzten Tage wegen TR/Black.Gen2 rum und kann diesen anscheinend nicht entfernen, da er in der System Volume von Festplatte D feststeckt (mein System ist auf Festplatte C). Im Internet steht viel dubioses dazu, weswegen ich hier frage. Der Link von robx sagt nach der Auswertung, dass nur der Avira-Log evtl. gefährlich sein könnte, da er normalerweise von C:\Programme\antivir* ausgeführt werden sollte. Die Frage ist jetzt: Steht da oben irgendwas schädliches und wenn ja, reicht es, wenn ich D platt mache? Hätte jetzt echt keinen Bock auf ne komplette Formatierung des Systems.
Die Firma dankt. :D
Malwarebytes und Luke Filewalker laufen aktuell noch, das ist aber der bisher einzige Fund, der mir auch zuvor immer wieder angezeigt wurde (random-mäßig, jedoch immer im selben Bereich, siehe oben). Malwarebytes hat bisher nichts gefunden, ich editier das Ergebnis aber am Ende des Scans nochmal hierrein. ;)
Avira: Der TR/Black.Gen2 wurde von AntiVir zweimal gefunden (selbe Datei -> A0037858.dll). Festplatte ist nach wie vor D (also nicht die Windows-Platte). Kann den Kram zwar verschieben, aber die Meldung erscheint weiterhin, da AntiVir keinen Zugriff auf die System-Volume hat (und ich auch nicht, selbst wenn ich die Ordneroptionen anpasse) - Okay, Platte C im selben Ordner ebenso. Scheint ne verdächtige Datei zu sein (Langzeitpaket oder sowas). Keine Ahnung was das Ding macht. Einige meinen, es sei schlimm, andere meinen, es sei harmlos. Was denn nun? :D (Standort ist immer C:\ (und D) System Volume Information\_restore*)
Anti-Trojan Cow: Hat nirgends was gefunden (weder in D noch in C)
Malwarebytes: Hat alles durchsucht (kompletter Scan ~ 3 1/2 Stunden) und nichts gefunden (ergo nichts infiziert)
Spybot - Search and Destroy: Kein Fund. Wusste aber btw. gar nicht, dass Spybot auch ne Protect-Funktion usw hat. Hab ich mal aktiviert. :A
Und nun? :D
Hijackthis-Log nach Neustart:Zitat
Hab jetzt nur FF auf (Forum) und Spybot fixt gerade einiges in den Browsern, sonst ist nichts geöffnet.
Zitieren