Mögl. Spywarebefall - weiteres Vorgehen?

Alex_7084de · 11. Oktober 2006 um 19:40

Hallo ich habe 4 spyware programme mit welchen programm bekomme ich
WorkWindows1336 isamonitor.exe
WorkWindows1244 pmsngr.exe
WorkWindows1236 pmmon.exe
WorkWindows1196 isamini.exe

weg?
wer kann helfen?
wer hatte schonmal so ein problem?

–
_{[MOD] Betreff augenverträglich gemacht. -vdH}

Hinterw_ldler_37172f · 12. Oktober 2006 um 09:13

Hallo Alex

wer kann helfen?
wer hatte schonmal so ein problem?

Ich nicht, aber mein Google sagt mir, das du in unseriösen Quellen einen Codec gesucht und installiert hast. Dies war aber keiner, sondern ein ganz simpler Trojaner, der dir vermutlich noch viel mehr von den Zeugs ins System geholt hat.

Wenn du auch ein klein wenig qualifiziert das Internet befragt hättest, wärest du genau wie ich über diese Seite gestolpert: http://www.chip.de/c1_forum/thread.html?bwthreadid=9…
Die neuesten Codecs gibt es immer hier: http://www.free-codecs.com/ Diese Page ist weltweit die Nr 1
Trojaner und anderen Müll bekommst du nur durch Neuinstallation des Systems los. Warum die Cleaningtools nicht funktionieren können, ist bei http://malte-wetz.de.vu/index.php?viewPage=sec-remov… ausführlich beschrieben
Die Neuinstallation funktioniert problemlos und ist innerhalb 10-15 Minuten erledigt, falls du diese mit einem kostenlosen Image-Tool von Acronis, Paragon oder http://www.runtime.org/dixml.htm vorbereitet ist. Hast du das schon mal in Betracht gezogen?

Ansonsten, schon im Voraus ein erfolgreiches Wochenende.

der hinterwäldler

An [MOD]: Manchmal sind ein paar Infos des Poster besser. Meine Kristallkugel war sehr eingetrübt. Es gibt genügend TOFUs zum korrigieren…

old_Max · 12. Oktober 2006 um 10:04

Hallo ich habe 4 spyware programme…
wer hatte schonmal so ein problem?

Dieser hier:
http://board.protecus.de/t24318.htm

Tip: Googeln hilft meistens

Gruss
Max

Alex_7084de · 12. Oktober 2006 um 11:55

HiJackThis-Output - und nun?
So kann mir jetzt mal einer sagen wie ich vorgehen soll ohne neu zu instalklieren?
bei http://board.protecus.de/t24318.htm verstehe ich garnix

Also ich schreibe hir mal die log datei rein viellei9cht kann mir dann ienr helfen :
Logfile of HijackThis v1.99.1
Scan saved at 11:50:26, on 12.10.2006
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP3 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\LEXBCES.EXE
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\LEXPPS.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\drivers\KodakCCS.exe
C:\WINNT\System32\nvsvc32.exe
D:\Programme\Kodak EasyShare software\bin\ptssvc.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
D:\Programme\Spyware Doctor\sdhelp.exe
C:\WINNT\system32\stisvc.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe
C:\Programme\Lexmark X1100 Series\lxbkbmon.exe
C:\WINNT\system32\wuauclt.exe
D:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\ich\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.worldofcrime.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
O2 - BHO: (no name) - {202a961f-23ae-42b1-9505-ffe3c818d717} - C:\Programme\MMediaCodec\isaddon.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Steganos Internet Anonym - {00000000-5736-4205-0008-f7ed0776fb27} - d:\programme\steganos internet anonym 2006\sia2006iep.dll
O3 - Toolbar: (no name) - {479fd0cf-5be9-4c63-8cda-b6d371c67bd5} - (no file)
O4 - HKLM…\Run: [NvCplDaemon] „RUNDLL32.EXE“ C:\WINNT\System32\NvCpl.dll,NvStartup
O4 - HKLM…\Run: [nwiz] „nwiz.exe“ /install
O4 - HKLM…\Run: [NvMediaCenter] „RUNDLL32.EXE“ C:\WINNT\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM…\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM…\Run: [UVS10 Preload] „D:\Programme\Ulead Systems\Ulead VideoStudio 10\uvPL.exe“
O4 - HKLM…\Run: [Lexmark X1100 Series] „C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe“
O4 - Startup: Eyetide Launcher.lnk = C:\Programme\directx\Eyetide Media\Eyetide Viewer\EyetideController.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe Reader 7.0\Reader\reader_sl.exe
O4 - Global Startup: Kodak EasyShare Software.lnk = D:\Programme\Kodak EasyShare software\bin\EasyShare.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZRfox000
O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra ‚Tools‘ menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra ‚Tools‘ menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {435F9DA5-E7FB-401C-980B-F50A876194A9} - C:\WINNT\System32\shdocvw.dll (HKCU)
O9 - Extra ‚Tools‘ menuitem: Unterstützung für xp-AntiSpy - {435F9DA5-E7FB-401C-980B-F50A876194A9} - C:\WINNT\System32\shdocvw.dll (HKCU)
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O20 - Winlogon Notify: Explorer - C:\WINNT\
O20 - Winlogon Notify: nwprovau - C:\WINNT\SYSTEM32\nwprovau.dll
O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)
O21 - SSODL: eeler - {1559e6c1-7e5e-4461-9457-6a2dea85eb9f} - C:\WINNT\system32\titiau.dll
O21 - SSODL: contrabandists - {dfa61db1-388e-4c87-8d56-540fa229bcb4} - C:\WINNT\system32\dpfwu.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: avast! Mail Scanner - Unknown owner - D:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - D:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINNT\system32\drivers\KodakCCS.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINNT\system32\LEXBCES.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: ptssvc - KODAK - D:\Programme\Kodak EasyShare software\bin\ptssvc.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - D:\Programme\Spyware Doctor\sdhelp.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe

_{–
[MOD] Betreff annehmbar gemacht. -vdH}

Alex_7084de · 12. Oktober 2006 um 12:44

So hat sich erledigt!!!
Danke an alle!!!1

Hinterw_ldler_37172f · 12. Oktober 2006 um 15:29

Hallo Alex

So kann mir jetzt mal einer sagen wie ich vorgehen soll ohne
neu zu instalklieren?
bei http://board.protecus.de/t24318.htm verstehe ich garnix

Bevor du das bei Protecus Nachvollzogen hast, ist dein System schon längst neu installiert. Dabei wird auch dort kein Garantieschein mitgeliefert!

Deine Auswertung befindet sich 72 h lang hier: http://www.hijackthis.de/logfiles/ac849f5e9433b9a1e0… Um ehrlich zu sein: Dein w2k hat schon seit Juni vergangenen Jahres ein Update notwendig. Du brauchst dich also nicht zu wundern.

Wer sich ein UVS 10 mit 135 MByte downloaden kann, ist wohl auch in der Lage ein ServicePack von 31 MByte bei http://www.winfuture.de/news,21261.html zu downloaden. Vor der Kompromittierung haben dich weder Steganos, Antvir, Avast noch PC-Tools oder irgend etwas anderes geschützt. Wenn du deine Verhaltensweisen im Internet nicht änderst, wird dir das immer wieder passieren.

Um es einfach zu sagen:
Auf der Suche nach Codecs hast du dein Hirn abgeschaltet, denn sonst wüsstest du, das es einen Codec mit 60% höherer Verarbeitungsgeschwindigkeit nicht geben kann. Steganos hat dich vielleicht unsichtbar gemacht und deine Spuren verwischt, aber den Trojaner hast dir trotzdem bei vollem Bewußtsein installiert und nun weiß der Autor dieser Malware mit 100% Sicherheit deine jeweilige IP. Jetzt sollen andere helfen und können es nicht.

Sieh dir selbst die Auswertung an, dabei ist es nur eine Momentaufnahme. Wieviele laufende Prozesse hast du und werden sie alle ernsthaft benötigt? Wieviel Prozesse werden zusätzlich zu deinem IÄ als BHOs und durch Funktionsaufrufe gestartet? Warum benutzt du noch eine solche Software, kannst du nicht lesen? Hat dir wirklich noch keiner gesagt, wie gefährlich dieser ungepflegte Browser ist? Einen FF&TP oder Opera findest du selbst in der bunt bebilderten 2-Wochenzeitung. Die einzige für dich gültige FAQ befindet sich hier: http://faq.jors.net/virus.html Finde dich damit ab, alles andere ist Pfusch.

[ironie] Was macht eigentlich das Backup deiner Startpartition? Damit dauert es nur wenige Minuten. Wenn jeder seine Starpartition sichern würde, wäre dein Thema nur billige Trollerei. Leider ist es aber nicht an dem … [/loriot]

der hinterwäldler