hallo nikita,

könntest du dir diese logfile mal anschauen.
irgendwie kommen mir einige einträge komisch vor.
hab sie mal makiert. hatte auch schon adaware und spybot laufen lassen doch ohne erfolg, escan findet auch nichts. auch im abgesicherten modusnicht. Fixen mit HJT hat auch nichts gebracht
systemwiederherst. ist deaktiviert, auch schon TuneUp laufen lassen und temp etc. gelöscht.
Probleme konnte ich so nicht feststellen.

danke!!!

gruß tanja82



Logfile of HijackThis v1.99.1
Scan saved at 09:50:21, on 22.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Sonique\sqstart.exe
C:\Programme\Windows Media Bonus Pack for Windows XP\PowerToys\mpxptray.exe
C:\WINDOWS\system32\notepad.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Lavasoft\Ad-Aware SE Personal\Ad-Aware.exe
C:\Programme\PowerArchiver\POWERARC.EXE
C:\Dokumente und
Einstellungen\tanja\Anwendungsdaten\arasan.exe
C:\Programme\Real\RealPlayer\realplay.exe
C:\Programme\DivX\DivX Player\DivX Player.exe
C:\Dokumente und Einstellungen\tanja\Eigene Dateien\hijackthis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [KAV50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0 -chkss
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O17 - HKLM\System\CCS\Services\Tcpip\..\{858ECA63-F7E4-4557-B5D3-76D31077E1F8}: NameServer = 213.191.92.86 213.191.74.19
O23 - Service: Kaspersky Anti-Virus Service (KLBLMain) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe" -run bl -n PersonalPro -v 5.0.0.0 -ttsr 10000000 (file missing)
O23 - Service: Sygate Personal Firewall Platinum (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

Hallo@Tanja82

Fixe mit dem HijackThis:

O4 - HKLM\..\Run: [KAV50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0 -chkss
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O23 - Service: Kaspersky Anti-Virus Service (KLBLMain) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe" -run bl -n PersonalPro -v 5.0.0.0 -ttsr 10000000 (file missing)

neustarten--> in den abgesicherten Modus

#Arbeitsplatz -> rechter Mausklick -->Windows Explorer -> "Extras/Ordneroptionen" ->
"Ansicht" -> Haken entfernen bei "Geschützte Systemdateien
ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen"
aktivieren -> "OK"

Loesche in abgesicherten Modus (darf nicht im Taskmanager aktiv sein: )
C:\Dokumente und
Einstellungen\tanja\Anwendungsdaten\arasan.exe
(schaue vorher --> rechtsklick--> Eigenschaften--> poste mir Erstellungsdatum und Anwendung)

dann:

1. Öffne den Editor (Start -> Programme -> Zubehör) und kopiere den Inhalt des folgenden Zitats in das Editorfenster. Speichere die Datei anschließend unter dem Namen DelDomains.inf mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.
2. Schließe den InternetExplorer.
3. Klicke die Datei DelDomains.inf mit der rechten Maustaste an und dann auf 'Installieren'.
---------------------------------------------------------------------------------------------------------


[version]
signature="$CHICAGO$"

[DefaultInstall]
DelReg=DelTemps
AddReg=AddTemps

[DelTemps]
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains"
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges"

; Recreate the keys to avoid a restart

[AddTemps]
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains"
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges"


-----------------------------------------------------------------------------------------

dann deinstalliere den Kaspersky und lade ihn neu (war das nur das Test-Tool, was nach einiger Zeit ablaeuft, oder hast du es gekauft ????????????????)

Fixen konnte ich nur die Kaspersky Einträge

Abgesicherter Modus=
Alle Dateien und Ordner anzeigen"
aktivieren -> "OK

arasan.exe gelöscht den rest dazu auch.

arasan.ex
Dateityp= Anwendung
Beschreibung = arasanx
Erstellt Sam. 11.Dez. 2004 10:41:41
1,06 MB gr.

Ich habe mir erst vor ein paar tagen das schach programm runtergeladen.
das datum stimmt schon mal nicht. datum und uhrzeit sind am pc richtig eingestellt.

DelDomains.inf installiert

war ne demo version von kaspersky antivirus, hab sie deinstalliert und
neu drauf gezogen.


und wir sind wieder beim anfang

hier die aktuelle logfile


Logfile of HijackThis v1.99.1
Scan saved at 12:24:59, on 22.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Dokumente und Einstellungen\tanja\Eigene Dateien\hijackthis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [KAV50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0 -chkss
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O23 - Service: Kaspersky Anti-Virus Service (KLBLMain) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe" -run bl -n PersonalPro -v 5.0.0.0 -ttsr 10000000 (file missing)
O23 - Service: Sygate Personal Firewall Platinum (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

gruß tanja

O15 Section

This section corresponds to sites or IP addresses in the Internet Explorer Trusted Zone and Protocol Defaults.

ProtocolDefaults
When you use IE to connect to a site, the security permissions that are granted to that site are determined by the Zone it is in. There are 5 zones with each being associated with a specific identifying number. These zones with their associated numbers are:

Zone
Zone Mapping
My Computer--> 0

Intranet --> 1

Trusted --> 2

Internet --> 3

Restricted --> 4

Each of the protocols that you use to connect to a site, such as HTTP, FTP, HTTPS, are then mapped to a one of these zones. The following are the default mappings:

Protocol
Zone Mapping

HTTP-->3

HTTPS-->3

FTP-->3

@ivt -->1

shell-->0

For example, if you connect to a site using the http:// it will be part of the Internet zone by default. This is because the default zone for http is 3 which corresponds to the Internet zone. The problem arises if a malware changes the default zone type of a particular protocol. For example, if a malware has changed the default zone for the HTTP protocol to 2, then any site you connect to using http will now be considered part of the Trusted zone. As of now there are no known malware that causes this, but we may see differently now that HJT is enumerating this key.

Registry Keys:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults

If the default settings are changed you will see a HJT entry similar to the one below:

Example Listing

O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone (HKLM)

To fix these settings so they are back to their defaults simply fix the HJT entry.

_________________________________________________________________
_________________________________________________________________

ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)
ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

Start<Ausfuehren<regedit


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults

HTTP-->3

HTTPS-->3

FTP-->3

@ivt -->1

shell-->0

schliesse die Registry

Fixe mit dem HijackThis:

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

neustarten

kannst du mir das vielleicht auch in deutsch erklären, denn mein englisch ist sehr gering. weiß nicht wirklich was ich machen soll

danke!!!

gruß tanja

Start<Ausfuehren<regedit

klicke dich durch zum Schluessel:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults

HTTP-->veraendere mit rechtsklick in: 3

(und schreibe mir, welche Zahl geweils dort gestanden hat, denn das scheint ein ganz Neuer Hijacker zu sein, es gibt noch nichts dazu im Net, was ich verwenden koennte, um dir zu helfen)

HTTPS-->3

FTP-->3

@ivt -->1

shell-->0

schliesse die Registry

Fixe mit dem HijackThis:

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

neustarten

ProtocolDefaults konnte ich unter ZoneMap nicht finden.

folgende einträge sind vorhanden:

ZoneMap:
(Standard) REG_SZ (Wert nicht gesetzt)
IntranetName REG_DWORD 0x00000001 (1)
ProxyByPass " " " " " "
UNCAsIntranet " " " " " "

"" = gleicher Typ/Wert

und 2 unterordner:
Domains = (standard) REG_SZ Wert wird nicht angezeigt
Ranges = das gleiche wie bei Domains

gruß tanja

Tanja82 hat geschrieben:ProtocolDefaults konnte ich unter ZoneMap nicht finden.

folgende einträge sind vorhanden:

ZoneMap:
(Standard) REG_SZ (Wert nicht gesetzt)
IntranetName REG_DWORD 0x00000001 (1)
ProxyByPass " " " " " "
UNCAsIntranet " " " " " "

"" = gleicher Typ/Wert

und 2 unterordner:
Domains = (standard) REG_SZ Wert wird nicht angezeigt
Ranges = das gleiche wie bei Domains

gruß tanja

Intranet --> 1
IntranetName REG_DWORD 0x00000001 (1)
das ist o.k.

du musst die Eintraege suche fuer:

HTTPS-->3

FTP-->3

@ivt -->1

shell-->0

so, gefunden. hattest mir den falschen schlüssel gepostet

HTTPS-->3

FTP-->3

@ivt -->1

shell-->0

die Werte stimmen, hab noch 2 schlüssel da stehn:

HTTP-->3
File-->3

gruß tanja