Herunterfahren-Button ist weg- Trojaner/Virus?

Internet Internet Sicherheit
#1

Hallo,
Ich habe mir wohl einen Trojaner und/oder Virus eingefangen. Habe schon mit Antivir einen Scan gemacht und einige Dateien aus Windows/System32 löschen lassen, allerdings hat das das Problem, dass weder die Herunterfahrenoption beim Taskmanager geht noch der Herunterfahrenbutton im Startmenü angezeigt wird, leider nicht behoben. Zudem kann ich bei vielen Dateien keinen Rechtsklick mit der Maus machen und kann die Festplatte C:/ nicht durch Doppelklicken und auch nicht durch das Dateimenü öffnen (dann wird sie behandelt wie eine unbekannte Anwendung und ich soll anklicken, womit sie geöffnet werden soll), sondern mir nur im Explorer die Dateien anzeigen lassen. Auch Antivir kann ich nicht direkt öffnen.

Hier meine Logfile von Hijackthis.

Ich danke allen für Hilfe.
Ronja

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:13:03, on 12.03.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AskBarDis\bar\bin\AskService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\VideoLAN\VLC\vlc.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
F2 - REG:system.ini: Shell=Explorer.exe Mdm16.exe
O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O4 - HKLM…\Run: [avgnt] „C:\Programme\Avira\AntiVir PersonalEdition Premium\avgnt.exe“ /min
O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‚LOKALER DIENST‘)
O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‚NETZWERKDIENST‘)
O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‚SYSTEM‘)
O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‚Default user‘)
O8 - Extra context menu item: &Suchen - res://C:\WINDOWS\system32\Suchspur.dll/Suchspur.HTM
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Programme\Bonjour\ExplorerPlugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra ‚Tools‘ menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra ‚Tools‘ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Premium MailGuard (AntiVirMailService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Premium\avmailc.exe
O23 - Service: Avira AntiVir Premium Planer (AntiVirScheduler) - Unknown owner - C:\Programme\Avira\AntiVir PersonalEdition Premium\sched.exe (file missing)
O23 - Service: Avira AntiVir Premium Guard (AntiVirService) - Unknown owner - C:\Programme\Avira\AntiVir PersonalEdition Premium\avguard.exe (file missing)
O23 - Service: Avira AntiVir Premium WebGuard (antivirwebservice) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Premium\AVWEBGRD.EXE
O23 - Service: ASKService - Unknown owner - C:\Programme\AskBarDis\bar\bin\AskService.exe
O23 - Service: Avira AntiVir Premium MailGuard Hilfsdienst (AVEService) - Unknown owner - C:\Programme\Avira\AntiVir PersonalEdition Premium\avesvc.exe (file missing)
O23 - Service: Bonjour Dienst (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: EvtEng - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: SetBIOS32 - . - C:\WINDOWS\ODBC32.exe
O23 - Service: WLANKEEPER - Unknown owner - C:\Programme\Intel\Wireless\Bin\WLKeeper.exe (file missing)

#2

Hi

Also es wäre natürlich gut zu wissen was du von deinem Virenscanner hast entfernen lassen. Bei der Auswertung von HiJackThis habe ich jetzt noch 3 schädliche Einträge gelesen.

Wenn du einen Trojaner auf deinem Rechner hattest, dann würde ich auf jedenfall die Festplatte formatieren.

Ein „PC-Trojaner“ ist wie das trojanische Pferd. Es schleust „Feinde“ (Malware) in deine Stadt (Rechner). Was genau da jetzt nachgekommen ist kann dir niemand so wirklich sagen. D.h. falls du einen Trojaner drauf hattest hast du mit hoher Sicherheit noch zig millionen andere ungebetene Gäste auf deinem Rechner.

So nebenbei: Ein Virenscanner schützt dich nicht (wirklich) vor Viren. Das einzige wozu ein Virensscanner meiner Meinung nach (ich möchte keine Diskussion dadurch lostreten) gut ist, ist zum erkennen das das System infiziert wurde. Wenn er was erkennt ist es sowieso meißt schon zuspät. Da gehe ich persönlich lieber auf Nummer sicher und leg mein Backup ein, da mein Virenscanner dann schon ausser kraft gesetzt sein könnte und die eigentliche Malware nicht mehr erkennt.

Man KANN natürlich manuell auf Virenjagt gehen, also Live-CD einlegen, von der booten, Virenscanner laufen lassen (von der CD) und dann manuell noch weiter suchen, System booten, Netzwerktraffic überwachen, unbekannte Prozesse kicken, im abgesicherten Modus starten diese Daten löschen usw. usw., allerdings hast du dann immernoch das Problem dass evtl ein Übeltäter übersehen wurde und einer Reicht um innerhalb von Sekunden 10000 neue nachzuladen.

Mag sein dass ich mit der Einstellung sehr rustikal bin, aber mir ist meine Privatsphäre am Rechner nunmal wichtig und ich hab keine Lust irgendwann private Daten o.ä. von mir im Netz zu finden.

Also kurz zusammenfassend:

Ich empfehle dir deine Daten zu sichern und Windows neu aufzusetzen. Also nicht einfach drüber bügeln, sondern Festplatte(n) formatieren und Windows neu installieren.

Grüße

DE

#3

Also es wäre natürlich gut zu wissen was du von deinem
Virenscanner hast entfernen lassen. Bei der Auswertung von
HiJackThis habe ich jetzt noch 3 schädliche Einträge gelesen.

Die wären?

Gruß

#4

Hi

die auswertung ergibt folgendes:

1: C:\Programme\AskBarDis\bar\bin\AskService.exe Schädlich (2.79 / 5.00)

2: O8 - Extra context menu item: &Suchen - res://C:\WINDOWS\system32\Suchspur.dl… Der Eintrag &Suchen wurde als schädlich erkannt.

3: O23 - Service: ASKService - Unknown owner - C:\Programme\AskBarDis\bar\bin\AskService.exe Schädlich Schädlich (2.79 / 5.00)

#5

Zumindest bei den Einträgen bezügl AskService ist die Bewertung nicht nachvollziehbar. Diese beziehen sich auf die Ask.com-Toolbar, ein durchaus legitimes PlugIn für den Firefox. Dieses mag nervig sein, überflüssig ist es wohl sowieso, schädlich aber m. W. nicht.

In vielen (den meisten) Fällen dürften Anwender, bei denen diese Toolbar installiert ist, nicht wissen, woher sie kommt. Das legt eine negative Einschätzung durchaus nahe. Allerdings ist sie von den Anwendern selbst installiert worden, wenn auch unbewusst als Huckepack einer anderen Anwendung. Bestimmte Versionen von Zonealarm z. B. installieren sie mit.

Aber auch wenn es sich hierbei nicht um einen Trojaner handelt, liegt auf diesem PC wohl so viel im Argen, dass eine Neuinstallation auf jeden Fall der schnellste Weg sein dürfte, wieder zu einem funktionsfähigen System zu kommen.

Gruß

#6

Hi

Das war das was ich meinte. Ich habe mit den 3 Einträgen nicht gesagt dass das Trojaner wären, nur dass sie als schädlich markiert wurden.

Die Trojanervermutung kam nur da der Threadersteller sagte, dass er schon einiges entfernt habe.

Grüße

DE

#7

1: C:\Programme\AskBarDis\bar\bin\AskService.exe Schädlich
(2.79 / 5.00)

2: O8 - Extra context menu item: &Suchen -
res://C:\WINDOWS\system32\Suchspur.dl… Der Eintrag &Suchen
wurde als schädlich erkannt.

3: O23 - Service: ASKService - Unknown owner -
C:\Programme\AskBarDis\bar\bin\AskService.exe Schädlich
Schädlich (2.79 / 5.00)

Wie kommst du da drauf, dass diese Einträge schädlich sind? Das sind die stinknormalen Einträge die die „Ask Toolbar“ erstellt, die im Prinzip nichts anderes ist wie die Yahoo Toolbar oder die Google Toolbar. Die oben genante Version im Ordner AskBarDis wird z.B. bei der Installation von Vuze oder anderen Programmen mit installiert, wenn man sie nicht abwählt. Das andere ist eine DLL die von der Toolbar der Suchmaschine Suchspur.de installiert wird…

Ich würde mir zwar keine der Toolbars installieren, da ich sowas für überflüssig halte, aber dass diese Einträge gefährlich oder gar Malware sind, dafür gibt es überhaupt keine Anhaltspunkte.

Und genau das zeigt, wie überschätzt und „sinnvoll“ so Programme wie HijackThis sind.

a)
Dort sind - wie in diesem Fall - irgendwelche Dinge als „gefährlich“ eingestuft worden, die es nicht sind. Diese Einstufungen werden ja dort von irgendwelchen Leuten vorgenommen, die selbst keine Ahnung haben. Das kann doch nicht die Grundlage von Einschätzungen zur IT-Sicherheit sein.

b)
Genauso geht aus dem Log überhaupt nicht hervor, ob die Anwendung die sich dort als Ask Toolbar ausgibt, überhaupt die Ask Toolbar ist. Malware kann sich dabei ganz einfach als gute Software tarnen. Wie willst du das in dem Log feststellen?

c)
Software die sich vor HijackThis verstecken will, erscheint einfach nicht in der Liste. Woher willst du aus dem Log sehen, ob nicht irgendwo Malware aktiv ist, wenn sie nicht im Log auftaucht??

#8

Welche Viren/Trojaner wurden denn überhaupt gefunden?

#9

hi,

Habe schon mit Antivir einen Scan gemacht und einige Dateien
aus Windows/System32 löschen lassen,

Du lässt den Virenscanner einfach Systemdateien löschen und dann wunderst du dich, warum manche Windowsfunktionen nicht mehr laufen?

Normalerweise lässt man die (heutzutage dummen) Antivir-Progis den Virus erkennen und holt sich dann ein Entfernungstool. Weil wenn du jede infizierte Systemdatei einfach löscht, dann wird Windows beim nächsten Mal ev. garnicht mehr starten.

Somit wäre interessant um welchen angeblichen Schädling es sich überhaupt gehandelt hat und welche Systemdateien entfernt wurden, da diese ev. mit den fehlenden Funktionen Hand in Hand gehen. Diese Informationen stehen im Log vom Antivirenprogi.

Dementsprechend kann man dann auch entscheiden, ob man nicht besser formatiert und neu aufsetzt, oder ob eine Entfernung möglich (bzw. sicher genug) ist.

Runterfahren kann man auch indem man sich am Desktop eine Verknüfung erstellt worin in den Eigenschaften der Verknüpfung unter „Ziel“ folgendes steht „C:\WINDOWS\system32\shutdown.exe -s -t 00“ (ohne „“).

lg,
fred