Logfile of HijackThis

[Stebo69]

Hallo Profis

Kann sich das bitte mal einer ansehen, der davon eine Ahnung hat? Dieses System war total Virenverseucht. Habe alle verseuchten Dateien einfach gelöscht, da ich eh shon damit gerechnet habe, das System neu aufsetzen zu müssen. Aber seit ein paar Tagen schweigt der Kaspersky AV. Das System läuft zur Zeit ohne Probleme, aber ich möchte sicher sein, dass alle i.O. ist. Besten Dank für Eure Hilfe.



Logfile of HijackThis v1.99.1
Scan saved at 09:31:20, on 13.06.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\avpcc.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\avpm.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\LXSUPMON.EXE
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\avpcc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Ernst Pfefferle\Eigene Dateien\utils\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [AVPCC] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\avpcc.exe" /wait
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Kaspersky Anti-Hacker.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.c...ls/en/x86/client/wuweb_site.cab?1109951376449
O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-ww/dew/games5.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{271AD20C-30A8-4B8F-80C9-5B78325AF78C}: NameServer = 192.168.10.3,192.168.10.1
O18 - Filter: text/html - {07BAD143-2BC7-4FE0-9330-8276F44A3DF8} - (no file)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AVP Control Centre Service (AVPCC) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\avpcc.exe" /service (file missing)
O23 - Service: KAV Monitor Service (KAVMonitorService) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\avpm.exe" /service (file missing)
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Smart Card Client (SCardClnt) - Unknown owner - C:\WINDOWS\System32\SCardClnt.exe (file missing)
O23 - Service: Sound Sservice Driver (Sound Service) - Unknown owner - C:\WINDOWS\System32\cfmon.exe (file missing)
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe


Wer weiss denn was über die Dateien cfmon.exe (!nicht ctfmon!), wf32vbs.exe, mousehs.exe, SCardCInt.exe

Die Dateien cfmon.exe, mousehs.exe und SCardCint.exe gibt es auf meinem PC mittlerweile nicht mehr.

Wäre für jede Hilfe dankbar.

Gruss
Stebo69

 

[ElGecko]

Mach eins. Speichere den Log und und lade ihn hier hoch: http://www.hijackthis.de/index.php?langselect=english

So long, Gecko

 

[Stebo69]

Hab ich gemacht, alles i.O.

Mein Kaspersky AV meldet nun:

C:\System Volume Information\_restore{FFFB2316-AFBF-480E-A6D6-4CC276E1EFA9}\RP32\A0027591.exe/1.exe Infiziert Trojan-Downloader.Win32.IstBar.gen


Wie komme ich an das Verzeichnis C:\System Volume Information ???

 

[Ralf B.]

Im Explorer unter Extras--Ordneroptionen..., ach siehe Bild.
du mußt die versteckten Ordner einblenden lassen.
Aber das wird auch nix nützen, denn darauf wird bei mir der Zugriff verweigert.

 

[Stebo69]

@ Ralf.B.
Das mach ich eigentlich immer als Erstes nach einer Windowsinstallation.
Trotzdem danke.

@All
Weiss Jemand, wie ich die Datei da rausbekomme?

C:\System Volume Information\_restore{FFFB2316-AFBF-480E-A6D6-4CC276E1EFA9}\RP32\A0027591.exe/1.exe

 

[Ralf B.]

hast du schon mal einen Virenscanner im Abgesicherten Windows-Modus laufen lassen?
Vielleicht klappt dann das Entfernen.

 

[Stebo69]

Gute Idee, aber das hat leider nichts gebracht. Im abgesicherten Modus lässt sich der Kaspersky AV gar nicht erst starten.

Vielleicht hat ja noch Jemand 'ne andere Idee?

Stebo69

 

[Ralf B.]

Hast du auch schon mal andere Virenscanner ausprobiert? Vielleicht hilft ja ein Online-Scan:
http://de.trendmicro-europe.com/consumer/products/housecall_pre.php

 

[Stebo69]

Jo. hab ich. Ich habe mich übrigens geirrt, was sich nicht im abgesicherten Modus hat starten lassen, war das Kaspersky AV Control Center. Der Scanner selbst funktioniert schon im abgesicherten Modus. Läuft momentan noch. Ich mein was gelesen zu haben, dass auf dem Verzeichnis restore keine unmittelbare Gefahr ausgeht.

Vielen Dank nochmal für Deine Mühen.

Stebo69