Hi erst mal
ich hab ein programm geladen das leider nicht funktioniert
da kam kurz ein fenster (glaube es war msconfig)
und ich kann jetzt die datai nicht löschen ...
es wird von einem benutzter angewendet was soll ich tun??
hier mein Hijack log (oder so)




Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe (das l ist ein L)
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\Programme\Sygate\SPF\smc.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Programme\AVPersonal\AVGUARD.EXE
D:\Programme\AVPersonal\AVWUPSRV.EXE
D:\Programme\Ahead\InCD\InCDsrv.exe
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\system32\oodag.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\RUNDLL32.EXE
D:\Programme\Logitech\iTouch\iTouch.exe
D:\WINDOWS\system32\SiXPack.exe
D:\Programme\AVPersonal\AVSCHED32.EXE
D:\Programme\Babylon\Babylon.exe
D:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
D:\Programme\DU Meter\DUMeter.exe
D:\WINDOWS\system32\rundll32.exe
D:\Programme\AVPersonal\AVGNT.EXE
D:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
D:\Programme\Logitech\Profiler\lwemon.exe
D:\Programme\Logitech\MouseWare\system\em_exec.exe
D:\WINDOWS\system32\taskmgr.exe
D:\Downloads\Sicherheit\Hijack\hijackthis_198\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - d:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - d:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [zBrowser Launcher] D:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [SiXPack] SiXPack.exe /minimize
O4 - HKLM\..\Run: [AVSCHED32] D:\Programme\AVPersonal\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [Babylon Client] D:\Programme\Babylon\Babylon.exe -AutoStart
O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [DU Meter] D:\Programme\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [SmcService] D:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [AVGCtrl] D:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [TkBellExe] "D:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [Start WingMan Profiler] "D:\Programme\Logitech\Profiler\lwemon.exe" /noui
O8 - Extra context menu item: &Google Search - res://D:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &NeoTrace It! - D:\PROGRA~1\NEOTRA~1\NTXcontext.htm
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://D:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://D:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://D:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\WINDOWS\System32\msjava.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: NeoTrace It! - {9885224C-1217-4c5f-83C2-00002E6CEF2B} - D:\PROGRA~1\NEOTRA~1\NTXtoolbar.htm (HKCU)
O16 - DPF: {53B8B406-42E4-4DD3-96E7-9DEC8CEB3DD8} (ICQVideoControl Class) - http://xtraz.icq.com/xtraz/activex/ICQVideoControl.cab
O16 - DPF: {FB48C7B0-EB66-4BE6-A1C5-9DDF3C37249A} (MCSendMessageHandler Class) - http://xtraz.icq.com/xtraz/activex/MISBH.cab

sry das ich doppelpost gemacht habe
aber jetzt geht der pc nach ien paar min sofort aus.
kann ich ihn noch retten?


bitte um schnelle antwort

Hallo@

Oeffne das HijackThis-->> Button "scan" -->> Haekchen setzen -->> Button "Fix checked" -->> PC neustarten

O4 - HKLM\..\Run: [SiXPack] SiXPack.exe /minimize

neustarten und
<gehe in den abgesicherten Modus
http://www.tu-berlin.de/www/software/vi ... mode.shtml
dazu klickst du F8, wenn der PC hochfaehrt und meldest dich als Administrator an.


HijackThis-->Config-->Misc Tools-->Delete a file on reboot
kopiere rein:
C:\WINDOWS\System32\SiXPack.exe
PC neustarten

#Stinger
http://vil.nai.com/vil/stinger/

dann berichte.

mfg
Nikita

1. ich glaub nicht das es an meiner Soundkarte liegt ;-O
2. ICh hab nochmal im "ABGESICHERTEM" Modus Antivir laufen lassen und er hat einen Trojaner die log von av
ArchiveType: ZIP
--> INST.exe
[FUND!] Ist das Trojanische Pferd TR/Drop.Delf.FA
3.ICh hab jetzt Sixpack.exe /minimize aus meinen Registre gelöscht

Hallo@thommy505

Ich wollte dich natuerlich nicht deiner Soundkarte berauben
Aber :
http://www.pestpatrol.com/PestInfo/w/worm_p2p_vb_aw.asp

Das isy das Dilemma in letzter Zeit...die Viren haben die Namen regualerer Software .

Datentraegerbereinigung: und Löschen der Temporary-Dateien
<Start<Ausfuehren<cleanmgr
#Click:Temporäre Internet Files/Temporäre Internet Dateien, o.k.
#Click:Temporäre Dateien, o.k

#Windows\Downloaded Programm Files löschen.
ActiveX-Controls
Schalter Einstellungen
Klicken Sie auf den Button Objekte anzeigen. Eine Liste aller lokalen ActiveX-Controls öffnet sich. Um zu entscheiden, ob es ich um ein vertrauenswürdiges Programm handelt, reicht es in der Regel aus, den Urheber der Komponente ausfindig zu machen.
Wenn "unbekannt dasteht...dann lösche es .

#eScan-Erkennungstool
<Das eScan AV Toolkit (mwav.exe) herunterladen, oeffnen, aber nicht scannen
http://www.mwti.net/antivirus/free_utilities.asp
*
danach die "kavupd.exe" (automatisches Update ueber DOS)
ausführen. (oder unter Start<Ausfuehren<%temp% die
"kavupd.exe" suchen) und anklicken.

<gehe in den abgesicherten Modus
http://www.tu-berlin.de/www/software/vi ... mode.shtml

und den Scanner mit der "mwav.exe" starten. Alle Häkchen setzen :
Auswählen: Memory, Startup-Folders, Registry, System Folders,
Services, Drive/All Local drives
<und "Scan " klicken.

<Öffne die mwav.log -> Bearbeiten -> Suchen ->
Wenn man infizierte Dateien in dem eScan Log finden will, sollte
man nach infected suchen und die Eintraege hier posten, bzw
die Dateien im abgesicherten Modus loeschen (die Killbox oder das "HijackThis"dazu
verwenden) Auch muss man die Eintraege in der Registrierung per
Hand entfernen
««und das neue Log vom HijackThis noch mal posten.

mfg
Nikita

habs schon ich geb auf hab ZU viele Trojaner

15.11.2004,21:35:54 [WARNUNG] Enthält Signatur des HTML-Scriptvirus HTML/Redir.A!
D:\DOKUMENTE UND EINSTELLUNGEN\GROUDN\LOKALE EINSTELLUNGEN\TEMPORARY INTERNET FILES\CONTENT.IE5\IY89YZLJ\EXPLOIT[1].HTM
[INFO] Die Datei wurde überschrieben und gelöscht!
15.11.2004,21:36:01 [WARNUNG] Ist das Trojanische Pferd TR/ClassLder.c.Java!
D:\DOKUMENTE UND EINSTELLUNGEN\GROUDN\ANWENDUNGSDATEN\SUN\JAVA\DEPLOYMENT\CACHE\JAVAPI\V1.0\JAR\CLASSLOAD.JAR-6C900EF4-3A9E8340.ZIP
[INFO] Die Datei wurde überschrieben und gelöscht!
15.11.2004,21:36:05 [WARNUNG] Ist das Trojanische Pferd TR/ClassLder.c.Java!
D:\DOKUMENTE UND EINSTELLUNGEN\GROUDN\ANWENDUNGSDATEN\SUN\JAVA\DEPLOYMENT\CACHE\JAVAPI\V1.0\FILE\GETACCESS.CLASS-4B62952D-65719BFF.CLASS
[INFO] Die Datei wurde überschrieben und gelöscht!
15.11.2004,21:36:08 [WARNUNG] Ist das Trojanische Pferd TR/Forten.Java.2!
D:\DOKUMENTE UND EINSTELLUNGEN\GROUDN\ANWENDUNGSDATEN\SUN\JAVA\DEPLOYMENT\CACHE\JAVAPI\V1.0\FILE\DUMMY.CLASS-4B49FAFB-1C3A7323.CLASS
[INFO] Die Datei wurde überschrieben und gelöscht!
15.11.2004,21:36:10 [WARNUNG] Ist das Trojanische Pferd TR/Forten.Java.2.B!
D:\DOKUMENTE UND EINSTELLUNGEN\GROUDN\ANWENDUNGSDATEN\SUN\JAVA\DEPLOYMENT\CACHE\JAVAPI\V1.0\FILE\INSECURECLASSLOADER.CLASS-3E0DB442-3B0B7799.CLASS
[INFO] Die Datei wurde überschrieben und gelöscht!


das is ein Teil des ganzen
(ALLES VON EINER EINZIGEN BESCHI****** SEITE )
ICh installiere alles neun also bis irgendwann mal

Achso und noch was
OrgName: Internet Assigned Numbers Authority
OrgID: IANA
Address: 4676 Admiralty Way, Suite 330
City: Marina del Rey
StateProv: CA
PostalCode: 90292-6695
Country: US

NetRange: 10.0.0.0 - 10.255.255.255
CIDR: 10.0.0.0/8
NetName: RESERVED-10
NetHandle: NET-10-0-0-0-1
Parent:
NetType: IANA Special Use
NameServer: BLACKHOLE-1.IANA.ORG
NameServer: BLACKHOLE-2.IANA.ORG
Comment: This block is reserved for special purposes.
Comment: Please see RFC 1918 for additional information.
Comment:
RegDate:
Updated: 2002-09-12

OrgAbuseHandle: IANA-IP-ARIN
OrgAbuseName: Internet Corporation for Assigned Names and Number
OrgAbusePhone: +1-310-301-5820
OrgAbuseEmail: abuse@iana.org

OrgTechHandle: IANA-IP-ARIN
OrgTechName: Internet Corporation for Assigned Names and Number
OrgTechPhone: +1-310-301-5820
OrgTechEmail: abuse@iana.org

# ARIN WHOIS database, last updated 2004-11-15 19:10
# Enter ? for additional hints on searching ARIN's WHOIS database.

Könntet ihr mir sagen was das is ?
Eine Datei Aus System32 will ständig ins internet hab es schon geblockt und die daten darüber sind die da oben ^^
Die Datei heißt ntoskrnl.exe
die nervt!

Hallo@

Das ist sehr interessant, denn eigentlich ist die <ntoskrnl.exe <
eine Windowsdatei.....

"Nt Kernel-System Datei ist eine Systemdatei, die meines Wissens nur auf 127.0.0.1 versucht sich zu connecten, oder will sIe doch woanders hin???????????

Stelle doch zunächst einmal fest, welche Verbindungen in diesem Moment von Deinem Rechner zu anderen bestehen und welche Ports dabei verwendet werden. Eine Anzeige erhälst Du zwar auch offline, die Ausgabe wird jedoch realer und interessanter, wenn Du Dich zunächst ins Internet einwählst und einige Web-Seiten abrufst. Gib nun ein:

Start<ausfuehren< reinschreiben: cmd

reinschreiben:

netstat –a (beschreibende) oder
netstat –an (numerische Portangabe)
Die Ausgabe von netstat -an sieht etwa so aus:
http://www.gurusheaven.de/security/trojan_horse.htm

mfg
Nikita

ok ich mach es in ein pasar tagen denn ich fahr weg ;-P