Sicherheitsproblemchen

24.03.2005, 18:44

Huhu Dirk

Mein System
Window 2000 +Service pack 4
AMD Athlon XP 2500+
1gb Ram
Radeon 9600
WD160GB festplatte

Ich habe da paar Problemchen mit meinem PC (softwaremäßig) und der PC ist dadurch wohl auch sehr lahmarschig

1. Wenn ich mit dem IE seiten öffne (Ganz egal welche) sind in den Seiten bei bestimmten Begriffen zb unBEDingt(sex/bed) links eingebaut die auf die seite von searchmiracle verweisen

2. Habe ich mir so ein ding von ISEARCH eingefangen, welches gleich beim Autostart mitstartet und dann unter dem namen desktop-search im taskmanager auftaucht und scheinbar meinen desktop durchscant.Habe versucht den ordner ISRVS (wo das drin ist) im WINNT-Verzeichnis zu löschen, doch unter dem Hinweis die Quelldatei sei möglicherweise geöffnet, lässt sich da nichts löschen.Ich habe nen Hinweis befolgt wonach isearch selbst nen uninstallproggy zum Download anbietet.Doch dann musste ich mich irgendwo registrieren(was ich nicht tat) nachdem ich no-adware gedownt habe (isearchs site war selbst down). Doch damit fing ich mir Problem 7 ein.

3. Es installieren sich beim Surfen/bzw Nutzen des PCs Programme bzw Verknüpfungen auf dem Desktop wie Spyware Avenger,Virus Hunter Security,Cheap Holiday Travel, Online Dating, Free Online Music und noch 1 weiterer.

4. Ruft mein IE ab und zu Seiten auf, die ich gar nicht aufgerufen habe (plötzlich)

5. Habe mit Ad-Aware, Spybot und Aorton-Antivirus alles mal durchscannt. Die ersten beiden löschen da nichts bzw finden evtl auch nichts. Norton findet zwar einiges..kann es aber nicht löschen..
Dies hat Norton gefunden konnte es aber nicht löschen:
mfiltis.dll
desktop.exe
ceres.dll (2mal)
aklsp.dll
xvjfpvx.exe
3p 1n.exe
farmext.exe
thnall2c.exe
thnall2c[1].exe

6. Noch ein unbekanntes Problem, wonach winlogon.exe plötzlich nen Fehler verursacht und Neustart durchgeführt wird.Dies geschieht unregelmäßig und vorwiegends nur beim surfen, bzw wenn die inetverbi besteht..onlinegaming geht aber trotzdem, da passiert es nicht.Wie gesagt das beobachte ich noch ein wenig, um die Fehlermeldung endlich zu notieren.

7. Ich habe von isearch so ein NO-Adware prog runtergeladen, wollte mcih aber nicht registrieren..seitdem wird bei mir (bei mozilla) plötzlich ne seite aufgerufen, die auf eine spot...site verweist...https://www.spotresults.com/cgi-bin/sear ... ....zuerst läuft das aber unter adware.com...

Ich habe das mal mit Hijack durchgescannt (gleich nach neustart) und kopiere dir das hier mal rein.
LOGFILE

Logfile of HijackThis v1.99.1
Scan saved at 16:41:51, on 24.03.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\CTsvcCDA.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\Programme\HHVcdV5Sys\VC5SecS.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\rundll32.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
E:\Programme\ICQLite\ICQLite.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
C:\Programme\HHVcdV5Sys\VC5Play.exe
C:\WINNT\isrvs\desktop.exe
C:\winnt\system32\xvjfpvx.exe
C:\Programme\AIM95\aim.exe
C:\Corel\Graphics8\Programs\MFIndexer.exe
C:\winnt\system32\packager.exe
C:\Programme\Webshots\WebshotsTray.exe
C:\Programme\OpenOffice\program\soffice.exe
C:\Programme\Virtual CD v5\System\VC5Tray.exe
C:\WINNT\system32\taskmgr.exe
D:\Eigene Dateien\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = https://searchmiracle.com/sp.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://searchmiracle.com/sp.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - Default URLSearchHook is missing
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O2 - BHO: CeresObj Class - {00000049-8F91-4D9C-9573-F016E7626484} - C:\WINNT\ceres.dll
O4 - HKLM\..\Run: [ffis] C:\WINNT\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [Ad-aware] "C:\Programme\Lavasoft\Ad-aware 6\Ad-aware.exe" +c
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe
O4 - HKLM\..\Run: [Desktop Search] C:\WINNT\isrvs\desktop.exe
O4 - HKLM\..\Run: [farmmext] C:\WINNT\farmmext.exe
O4 - HKLM\..\Run: [xvjfpvx] c:\winnt\system32\xvjfpvx.exe
O4 - HKCU\..\Run: [AIM] C:\Programme\AIM95\aim.exe -cnetwait.odl
O4 - HKCU\..\RunOnce: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: OpenOffice.org 1.1.1.lnk = C:\Programme\OpenOffice\program\quickstart.exe
O4 - Startup: Webshots.lnk = C:\Programme\Webshots\WebshotsTray.exe
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\Programs\MFIndexer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\j2re1.4.2\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\j2re1.4.2\bin\npjpi142_04.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - https://static.windupdates.com/cab/62479 ... ge-c10.cab
O16 - DPF: {B3872502-F9FD-4E96-93FF-0D37298F0689} (SOESysInfo Control) - https://eq2beta.station.sony.com/beta_re ... ysinfo.cab
O16 - DPF: {DDFFA75A-E81D-4454-89FC-B9FD0631E726} - https://www.bundleware.com/activeX/BM2/BM2.dll
O16 - DPF: {FFFB1D8B-88D6-4C91-BB62-378625E8C73E} ({FFFB1D8B-88D6-4C91-BB62-378625E8C73E}) - https://adult.popup.to/traffic/favorites.cab
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - C:\WINNT\isrvs\mfiltis.dll
O20 - Winlogon Notify: Applets - C:\WINNT\system32\fp2o03f3e.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTsvcCDA.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: Virtual CD v5 Security service (VC5SecS) - H+H Software GmbH - C:\Programme\HHVcdV5Sys\VC5SecS.exe

Dirk was soll ich tun..wie du siehst, braucht mein PC wohl nen Frühjahrsputz

was tun..welche Proggys? wie ? usw Bitte helfe mir

25.03.2005, 14:16

wenn du den prozess desktop-search im taskmanager beendest, ist es evt. möglich, das verzeichnis zu löschen.
hast du schonmal versucht, im abgesicherten modus norton usw. auszuführen?

25.03.2005, 15:13

Hallöchen,

folgende Sachen solltest du mit HijackThis fixen:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = https://searchmiracle.com/sp.php - Böse
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://searchmiracle.com/sp.php - Böse
R3 - Default URLSearchHook is missing - Böse
O1 - Hosts: 69.20.16.183 search.netscape.com - Böse
O1 - Hosts: 69.20.16.183 ieautosearch - Böse
O1 - Hosts: 69.20.16.183 auto.search.msn.com - Böse
O2 - BHO: CeresObj Class - {00000049-8F91-4D9C-9573-F016E7626484} - C:\WINNT\ceres.dll - Unbekannt
O4 - HKLM\..\Run: [ffis] C:\WINNT\isrvs\ffisearch.exe - Unbekannt
O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe - Unbekannt
O4 - HKLM\..\Run: [Desktop Search] C:\WINNT\isrvs\desktop.exe - Böse
O4 - HKLM\..\Run: [farmmext] C:\WINNT\farmmext.exe - Unbekannt
O4 - HKLM\..\Run: [xvjfpvx] c:\winnt\system32\xvjfpvx.exe - Unbekannt
O4 - Startup: Webshots.lnk = C:\Programme\Webshots\WebshotsTray.exe - Unbekannt
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\Programs\MFIndexer.exe - Unbekannt
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - https://static.windupdates.com/cab/62479 ... ge-c10.cab - Böse
O16 - DPF: {B3872502-F9FD-4E96-93FF-0D37298F0689} (SOESysInfo Control) - https://eq2beta.station.sony.com/beta_re ... ysinfo.cab - Eventuell Böse
O16 - DPF: {DDFFA75A-E81D-4454-89FC-B9FD0631E726} - https://www.bundleware.com/activeX/BM2/BM2.dll - Böse
O16 - DPF: {FFFB1D8B-88D6-4C91-BB62-378625E8C73E} ({FFFB1D8B-88D6-4C91-BB62-378625E8C73E}) - https://adult.popup.to/traffic/favorites.cab - Böse
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - C:\WINNT\isrvs\mfiltis.dll - Eventuell Böse
O20 - Winlogon Notify: Applets - C:\WINNT\system32\fp2o03f3e.dll - Unbekannt

Dann besorgst du dir das Tool LSPfix unter folgendem Link:

https://www.cexx.org/LSPFix.exe

Damit werden dann die folgenden Probleme behoben:

O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll - Böse
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll - Böse
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll - Böse
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll - Böse

Danach den Rechner im abgesicherten Modus starten und die gefixten Dateien endgültig löschen...

25.03.2005, 23:01

Zitat von El Supremo

wenn du den prozess desktop-search im taskmanager beendest, ist es evt. möglich, das verzeichnis zu löschen.
hast du schonmal versucht, im abgesicherten modus norton usw. auszuführen?

Ich habe es versucht, nachdem beenden des Prozesses im taskmanager die dateien samt dem isrv-ordner zu löschen..geht nicht..."quelldatei möglicherweise geöffnet"-meldung

Den Rest mache ich , wenn ich ausgeschlafen habe. Werde mich demnächsts melden

Das zweite noch nicht versucht. Gibt es da unterschiede bei Norton zwischen Window-Normal und Window-abgesichert? werd Ich mal testen

Edit: War mir nciht bekannt, dass Norton im window-abgesicherten Modus etwas löschen kann, was es im Window-Normalmosus nicht tut

Danke für den Tip el-..In Zukunft scanne ich vorsichthalber (Wenn es wieder Probs gibt) auch im abgesicherten Modus.

27.03.2005, 15:49

huhu Dirk und co

Nachdem ich nun alle Tips befolgt habe (LSPFix,Norton im abgesichterten Modus von Windows, Hijack-fix) scheint alles in ordnung zu sein.
Ich füge nun ne abschließende Hijack-logfile hier ein, für den Fall, dass doch noch was drin ist, was raus sollte.

Logfile of HijackThis v1.99.1
Scan saved at 15:36:49, on 27.03.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\CTsvcCDA.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\Programme\HHVcdV5Sys\VC5SecS.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\rundll32.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
E:\Programme\ICQLite\ICQLite.exe
C:\Programme\HHVcdV5Sys\VC5Play.exe
C:\Programme\AIM95\aim.exe
C:\Corel\Graphics8\Programs\MFIndexer.exe
C:\Programme\Webshots\WebshotsTray.exe
C:\Programme\OpenOffice\program\soffice.exe
C:\Programme\Virtual CD v5\System\VC5Tray.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\NMain.exe
C:\Programme\Windows NT\Zubehör\wordpad.exe
C:\Programme\UltraEdit\uedit32.exe
D:\Eigene Dateien\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [ffis] C:\WINNT\isrvs\ffisearch.exe (Das verstehe ich nicht..der ordner existiert nicht mehr)
O4 - HKLM\..\Run: [Ad-aware] "C:\Programme\Lavasoft\Ad-aware 6\Ad-aware.exe" +c
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe
O4 - HKLM\..\Run: [Desktop Search] C:\WINNT\isrvs\desktop.exe (Das verstehe ich nicht..der ordner existiert nicht mehr)
O4 - HKCU\..\Run: [AIM] C:\Programme\AIM95\aim.exe -cnetwait.odl
O4 - HKCU\..\RunOnce: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: OpenOffice.org 1.1.1.lnk = C:\Programme\OpenOffice\program\quickstart.exe
O4 - Startup: Webshots.lnk = C:\Programme\Webshots\WebshotsTray.exe
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\Programs\MFIndexer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\j2re1.4.2\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\j2re1.4.2\bin\npjpi142_04.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O20 - Winlogon Notify: Uninstall - C:\WINNT\system32\fp0u03d9e.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTsvcCDA.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: Virtual CD v5 Security service (VC5SecS) - H+H Software GmbH - C:\Programme\HHVcdV5Sys\VC5SecS.exe

Zudem ergab sich eine Frage: LSP-Fix fand folgendes im linken Fenster:

rnr20.dll (TCP/IP)
winrnr.dll ( NTDS)
msafd.dll (protocol handler)
rsvpsp.dll (protocol handler)

Was tun? nichts?

27.03.2005, 17:05

Hallöchen,

sieht doch schon garnicht schlecht aus, nun noch folgende Einträge fixen und dann war es das...

O4 - HKLM\..\Run: [ffis] C:\WINNT\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe
O4 - HKLM\..\Run: [Desktop Search] C:\WINNT\isrvs\desktop.exe
O20 - Winlogon Notify: Uninstall - C:\WINNT\system32\fp0u03d9e.dll

27.03.2005, 17:35

War mir nciht bekannt, dass Norton im window-abgesicherten Modus etwas löschen kann, was es im Window-Normalmosus nicht tut

da anwendungen, die ausgeführt werden, meist nicht gelöscht werden können, und im abgesicherten modus einiges nicht gestartet wird, das im normalen modus läuft, kann der abgesicherte modus schon helfen

.

27.03.2005, 18:09

Zitat von computerdirk

O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe

Ist das nicht virtual cd V 5.0?? weil hab das ja installiert^^

27.03.2005, 18:12

Hallöchen,

wenn du das installiert hast, dann kansnt du diesen Eintrag natürlich lassen. Ich konnte ihn nur nicht zuordnen... Aber wenn du das Programm gern im Autostart haben möchtest, kein Problem...

27.03.2005, 20:04

seufz

Alles gescannt..kein proggy hat mehr was gefunden..weder spybot, noch norton noch hijack noch ad aware

dann inetverbi hergestellt..

und schwupp:

Logfile of HijackThis v1.99.1
Scan saved at 20:08:28, on 27.03.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\CTsvcCDA.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\Programme\HHVcdV5Sys\VC5SecS.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\rundll32.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
E:\Programme\ICQLite\ICQLite.exe
C:\Programme\AIM95\aim.exe
C:\Corel\Graphics8\Programs\MFIndexer.exe
C:\Programme\Webshots\WebshotsTray.exe
C:\Programme\OpenOffice\program\soffice.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\NMain.exe
c:\winnt\system32\xvjfpvx.exe
c:\winnt\system32\packager.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\PROGRA~1\NORTON~1\NORTON~1\navw32.exe
D:\Eigene Dateien\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O2 - BHO: CeresObj Class - {00000049-8F91-4D9C-9573-F016E7626484} - C:\WINNT\ceres.dll
O4 - HKLM\..\Run: [Ad-aware] "C:\Programme\Lavasoft\Ad-aware 6\Ad-aware.exe" +c
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Desktop Search] C:\WINNT\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINNT\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [farmmext] C:\WINNT\farmmext.exe
O4 - HKLM\..\Run: [xvjfpvx] c:\winnt\system32\xvjfpvx.exe
O4 - HKCU\..\Run: [AIM] C:\Programme\AIM95\aim.exe -cnetwait.odl
O4 - HKCU\..\RunOnce: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: OpenOffice.org 1.1.1.lnk = C:\Programme\OpenOffice\program\quickstart.exe
O4 - Startup: Webshots.lnk = C:\Programme\Webshots\WebshotsTray.exe
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\Programs\MFIndexer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\j2re1.4.2\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\j2re1.4.2\bin\npjpi142_04.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - C:\WINNT\isrvs\mfiltis.dll
O20 - Winlogon Notify: Syncmgr - C:\WINNT\system32\en8ql1l51.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTsvcCDA.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: Virtual CD v5 Security service (VC5SecS) - H+H Software GmbH - C:\Programme\HHVcdV5Sys\VC5SecS.exe

27.03.2005, 20:15

Hallöchen,

da kann man ja mithelfen das es so bleibt... Regelmäßige Updates, Firewall, aktuelle Antivirensoftware und regelmäßig mit Ad-aware oder einem ähnlichen Programm den Rechner säubern...

28.03.2005, 02:35

Gemeint war: alle Probleme wieder da..siehe desktop.exe usw.^^xvjpvx.exe farmext.exe

die verknüpfungen..und ganz sind die probs scheinbar nciht weg..eben als cih auf edit hier geklickt habe, ploppte wieder mozilla mit link zu spotresult.com oder so auf..also adware.com und dann weiterleitung

naja mal sehen,.,ich werde mal weiter fleißig scannen..norton aktualiseren lassen usw..vielelciht werd cih es ja doch noch irgendwie los

28.03.2005, 09:42

Hallöchen,

da war ich wohl etwas daneben gestern... das Logfile ist bei weitem nicht sauber...

Fixe mal folgende Sachen:

O1 - Hosts: 69.20.16.183 auto.search.msn.com - Böse
O1 - Hosts: 69.20.16.183 search.netscape.com - Böse
O1 - Hosts: 69.20.16.183 ieautosearch - Böse
O2 - BHO: CeresObj Class - {00000049-8F91-4D9C-9573-F016E7626484} - C:\WINNT\ceres.dll - Unbekannt
O4 - HKLM\..\Run: [Desktop Search] C:\WINNT\isrvs\desktop.exe - Böse
O4 - HKLM\..\Run: [ffis] C:\WINNT\isrvs\ffisearch.exe - Unbekannt
O4 - HKLM\..\Run: [farmmext] C:\WINNT\farmmext.exe - Unbekannt
O4 - HKLM\..\Run: [xvjfpvx] c:\winnt\system32\xvjfpvx.exe - Unbekannt
O4 - Startup: Webshots.lnk = C:\Programme\Webshots\WebshotsTray.exe - Unbekannt
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\Programs\MFIndexer.exe - Unbekannt
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - C:\WINNT\isrvs\mfiltis.dll - Eventuell Böse
O20 - Winlogon Notify: Syncmgr - C:\WINNT\system32\en8ql1l51.dll - Unbekannt

Danach den Rechner im abgesicherten Modus starten und die .dll und .exe Dateien löschen, das ist ganz wichtig...

08.04.2005, 19:39

Meine aktuelle logfile.

Zu dem winlogon-notify-problem: Ich kriege das irgendwie nicht gelöscht

Hoffe ich habe diesmal alles gründlich gelöscht.

In letzter Zeit war es nämlich so

Gelöscht..gesurft..irgendnen packager startet und entpackt alles auf meinem pc, dabei ertappt norton sofort paar trojaner und löscht sie. Trotzdem bricht alles aus(Fast wie ne seuche) und ich lösche alles,scanne usw...dann ist ne weile alles wieder ok...und plopp..nach paar tagen wieder ein ausbruch und alles von vorne.

Um es mal bildlich darzustellen: Ich töte alle Piraten, die rumlaufen und unruhe stiften..aber Ihr Piratennest finde ich nie..so kriechen sie nach ner Weile wieder aus Ihrem Loch und alles geht von vorne los

Zudem hab ich manchmal so ein winlogon.exe prob..winlogon hat einen fehler verursacht und muss geschlossen werden..was einen neustart des rechners zur Folge hat.

Und die adware.com geschichte mit dem link auf spotresults.com ist auch noch nicht aus der welt..surfe cih einbisschen von seite zu seite..oder klicke ich auf den link von der Computerecke zum Forum, startet sich nen extrafenster (egal ob mozilla oder ip) der auf die spotresults seite zu gelangen versucht..mir bleibt nichts andres übrig als das schnell wegzuklicken

08.04.2005, 19:47

Logfile of HijackThis v1.99.1
Scan saved at 19:44:23, on 08.04.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\CTsvcCDA.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\rundll32.exe
C:\WINNT\Explorer.EXE
C:\Programme\Lavasoft\Ad-aware 6\Ad-aware.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
E:\Programme\ICQLite\ICQLite.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
C:\Programme\AIM95\aim.exe
D:\Eigene Dateien\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [Ad-aware] "C:\Programme\Lavasoft\Ad-aware 6\Ad-aware.exe" +c
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKCU\..\Run: [AIM] C:\Programme\AIM95\aim.exe -cnetwait.odl
O4 - HKCU\..\RunOnce: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\j2re1.4.2\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\j2re1.4.2\bin\npjpi142_04.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O20 - Winlogon Notify: Installer - C:\WINNT\system32\gp80l3lm1.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTsvcCDA.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Antivirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Antivirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: Virtual CD v5 Security service (VC5SecS) - Unknown owner - C:\Programme\HHVcdV5Sys\VC5SecS.exe (file missing)

09.04.2005, 09:46

Hallöchen,

es sind ja nur noch 2 Einträge die weg müssen...

O20 - Winlogon Notify: Installer - C:\WINNT\system32\gp80l3lm1.dll - Unbekannt
O23 - Service: Virtual CD v5 Security service (VC5SecS) - Unknown owner - C:\Programme\HHVcdV5Sys\VC5SecS.exe (file missing) - Unbekannt

Konntest du diese .dll im abgesicherten Modus nicht löschen? Wenn nicht, dann kannst du das mit einem Tool da Killbox.exe heißt löschen lassen...

https://www.downloads.subratam.org/KillBox.exe

Sicherheitsproblemchen

Sicherheitsproblemchen

Benutzer, die dieses Thema gelesen haben: 0