[AlwaysLoveYou]

Hallo Gemeinde,

Und zwar hatte ich vor ne woche nen wurm oder sowas drauf denn ich mit malwarebyte wegbekommen habe, habe dann nochmal gescannt nichts. Nur rechnet mein pc ab und zu im leerlauf und auch so einfach was vor sich hin ohne das ich was mache, bevor ich denn wurm gefunden habe war es genau so.
Ich poste mal mein hjack this logfile. (hoffe ich habe es richtig gemacht)

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 05:04:44, on 27.09.2011
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v9.00 (9.00.8112.16421)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\o2\Mobile Connection Manager\EMMSN.exe
C:\Program Files (x86)\o2\Nori\TGCMLog.exe
C:\Program Files (x86)\o2\Nori\Nori.exe
C:\Program Files (x86)\Java\jre7\bin\javaw.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
C:\Program Files (x86)\Winamp\winamp.exe
C:\Users\Wolf\Downloads\HiJackThis204.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre7\bin\jp2ssv.dll
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
O4 - Startup: PowerStrip.lnk = C:\Program Files (x86)\PowerStrip\PStrip.exe
O9 - Extra button: ICQ7.6 - {7644E42D-B096-457F-8B5B-901238FC81AE} - C:\Program Files (x86)\ICQ7.6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7.6 - {7644E42D-B096-457F-8B5B-901238FC81AE} - C:\Program Files (x86)\ICQ7.6\ICQ.exe
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3A8EBE0-36AE-42A2-B351-8EC4BB455109}: NameServer = 193.189.244.225 193.189.244.206
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\Windows\system32\PnkBstrB.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: TGCM_ImportWiFiSvc - Unknown owner - C:\Program Files (x86)\o2\Mobile Connection Manager\ImpWiFiSvc.exe
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Program Files (x86)\TuneUp Utilities 2011\TuneUpUtilitiesService64.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 6218 bytes

Danke schonmal für die Hilfe!

[SilverNeon]

Hallo AlwaysLoveYou

aus deinem Hijack Log konnte ich nix wirklich verdächtiges herraus sehen.
außer 1 Einträge mit denn ich nix anfangen kann

HKLM\System\CCS\Services\Tcpip\..\{E3A8EBE0-36AE-42A2-B351-8EC4BB455109}: NameServer = 193.189.244.225 193.189.244.206

mir ist zwar klar was er da tut aber trotzdem verstehe ich denn eintrag nicht.


Notiz: PnkBstrA.exe = Punkbuster (Anti-Cheat Programm)

[ckjthedogmaster]

Zitat von SilverNeon

außer 1 Einträge mit denn ich nix anfangen kann

HKLM\System\CCS\Services\Tcpip\..\{E3A8EBE0-36AE-42A2-B351-8EC4BB455109}: NameServer = 193.189.244.225 193.189.244.206

mir ist zwar klar was er da tut aber trotzdem verstehe ich denn eintrag nicht.

193.189.244.206 :

address: mediaWays GmbH
address: Huelshorstweg 30
address: 33415 Verl
address: Huelshorstweg 30
address: D-33415 Verl


193.189.244.225 :

org-name: Telefonica Deutschland GmbH
address: Telefonica Deutschland GmbH
address: Telefonica Deutschland GmBH
address: Huelshorstweg 30
address: Postfach 185
address: D-33415 Verl

= Internetprovider

Mfg

[AlwaysLoveYou]

Danke Silver Neon dann bin ich ja beruhigt.

[thyriel]

Schau mal ins Windows Event Log, zu 90% ist das irgendein Scheduled Task von Windows der auf leerlauf eingestellt ist. (oder dein Virenscanner)
zB. Defrag, Defender, Windows Backup, Windows Error Reporting sind da oft heiße Kandidaten dafür

[TSmog]

Ganz ehrlich...ich würde trotzdem neu installieren. Ist einfach sicherer....

[thyriel]

das sind die 2 DNS Server seines Providers

[AlwaysLoveYou]

Also sieht es zumindest so aus als ob da nichts verdächtiges ist?!
Ich danke euch auf jedenfall für eure meinungen!

[SilverNeon]

Ahh ok seh schon Telefonica Deutschland GmbH ist o2

na dann

[Jackieiii]

Wenn ein PC im Leerlauf mal was abarbeitet muss man noch keine Angst haben.

Allerdings gibt es etliche Würmer/Viren/Trojaner etc. die man mit Hijackthis nicht erkennt. Extremfall: Bekannter hat Hijackthis, Malwarebites, TrojanRemover und Spybot auf dem PC (+ Kaspersky) und trotzdem noch eine Infektion gehabt.

Das mit der Neuinstallation bzw Backup hat schon seine Berechtigung. Zumal vom infizierten System aus scannen meist nicht das wahre ist.

[AlwaysLoveYou]

Ja neu drauf machen wäre wahrscheinlich die beste lösung. Nur sind dann alle meine Daten weg und ich habe auch im moment meine Windows cd nicht.
Und keine externe für ein ordentliches backup, nur nen stick mit 8gb.
Und bei jeder Infektion alles löschen naja ich weiss nicht!

[Saftkutscher]

fix mal die "unknown owner"-Einträge, die laufe eh ins Leere und die weiteren "File missing" Teile, dann wird schon mal das Laden nicht mehr ausgebremst.
Um alle autostarts zu finden nimm "autoruns" von sysinternals.com. Coole Freeware!

[mKey89]

und zwar hatte ich vor ne woche nen wurm oder sowas drauf denn ich mit malwarebyte wegbekommen habe

Was hat den MBAM wo gefunden?
Gehe im Programm unter "Logdateien" und stelle den Bericht rein.

Welches AV-Programm überwacht derzeit in Echtzeit dein PC?

[AlwaysLoveYou]

Also hab mal Geschaut das war das hier!

Malwarebytes' Anti-Malware 1.51.2.1300
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

Datenbank Version: 7622

Windows 6.1.7601 Service Pack 1
Internet Explorer 9.0.8112.16421

16.09.2011 17:13:34
mbam-log-2011-09-16 (17-13-34).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 168930
Laufzeit: 2 Minute(n), 3 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\Software\VB and VBA Program Settings\SrvID (Malware.Trace) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\Windows Firewall (Worm.PushBot) -> Value: Windows Firewall -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\Users\Wolf\AppData\Local\Temp\windowsfirewall.e xe (Worm.PushBot) -> Quarantined and deleted successfully.

Da war aber irgendwie noch mehr,scheint aber nicht mehr in den log daten zu sein.
Also einen echtzeitschutz habe ich im moment nicht da es mein (älteres) system zu sehr belasten würde.
Gruss Tim
edit:Nee war doch "nur" das, es ist die richtige log!

[mKey89]

Gibt es derzeit noch Unregelmäßigkeiten mit dem System?

[AlwaysLoveYou]

Nein zur zeit läuft alles sauber, ich überprüfe es auch regelmäßig mit malware byte.Hoffe der wurm ist weg.

[mKey89]

Der Wurm ist schon mehr als 5 Jahre alt und MBAM hat alle Spuren, die von diesen Wurm ausgehen erfolgreich erkannt.

Eine Festplattenausllastung, vorallem im Leerlauf wird oftmals von der autom. Defragmentierung oder dem Indexdienst / Windows Search ausgelöst und ist vollkommen normal.

Als ressourcenschonendes kostenloses AV-Programm kannst du Avast! Free nehmen.
Es kommt problemlos mit einem langsamen System aber auch mit einer langsamen Internetverbindung klar.

Achte darauf, dass neben dem System und Programmen auch Java aktuell ist - es wird mit am häufigsten als Einfallstor für Malware ausgenutzt. Du kannst es in der Systemsteuerung (Symbolansicht) -> Java -> Anwendungsinfo prüfen und ggf. aktualisieren.
Die aktuelle Version ist Java 6 Update 27.

[AlwaysLoveYou]

Okay das werde ich tun! Vielen dank echt nett von dir, noch ein schönes wochenende und ein entspannten Feiertag.

Gruss Tim