Hi, beim Schließen des IE erschien heute eine Fehlermeldung (nachdem ich bereits offline war), mit der Möglichkeit ein Fehlerprotokoll an MS zu schicken (Leider habe ich sie zu impulsiv weggeklickt, sodass ich den Wortlaut hier nicht wiedergeben kann). Kurz darauf erschien eine Fehlermeldung von Windows (Aufgrund eines ungültigen Vorgangs wird diese Anwendung geschlossen - keine Ahnung welche). Genau dieses Problem hatte ich schon einmal vor rund einem Jahr, und da hatte ich einen Virus oder/und Spyware. Deswegen hoffe ich, dass mir hier jemand mit der Analyse meines HJT-Logs helfen kann und ggf. sagen kann, was zu löschen ist bzw. ob überhaupt etwas zu tun ist.
Ich habe zwar keine Ahnung aber folgende Positionen finde ich seltsam:




O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE (file missing)
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE (file missing)
O9 - Extra button: (no name) - {233A9694-667E-11d1-9DFB-006097D5040A} - (no file)
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O18 - Protocol: start - {53B95211-7D77-11D2-9F81-00104B107C96} - C:\WINDOWS\SYSTEM\MSXWORD.DLL (file missing)



Besten Dank im Voraus,

Gruß filfil

(Diesen Beitrag hatte ich bereits am Mo bei "DFÜ Netzwerk Internet" eingestellt aber aufgrund ausbleibender Antworten gemerkt, dass ich wohl eher hierher gehöre. Der dortige Beitrag kann also gelöscht werden.)





Logfile of HijackThis v1.98.2
Scan saved at 20:00:21, on 06.09.04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAMME\ONMSN\MSNDC.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\FINDFAST.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\OSA.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMME\WINZIP\WZQKPICK.EXE
C:\UNZIPPED\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.de
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\downloaded program files\googletoolbar2.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\downloaded program files\googletoolbar2.dll
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [O2MemChk] O2memchk.exe 04000000
O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Programme\Creative\Shared Files\CAMTRAY.EXE
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] c:\windows\SYSTEM\mstask.exe
O4 - Startup: MSN Blitz-Menü.lnk = C:\Programme\ONMSN\MSNDC.EXE
O4 - Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O4 - User Startup: MSN Blitz-Menü.lnk = C:\Programme\ONMSN\MSNDC.EXE
O4 - User Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - User Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - User Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Google Search - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLETOOLBAR2.DLL/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLETOOLBAR2.DLL/cmcache.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLETOOLBAR2.DLL/cmsimilar.html
O8 - Extra context menu item: Verweisseiten - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLETOOLBAR2.DLL/cmbacklinks.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE (file missing)
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE (file missing)
O9 - Extra button: (no name) - {233A9694-667E-11d1-9DFB-006097D5040A} - (no file)
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O18 - Protocol: start - {53B95211-7D77-11D2-9F81-00104B107C96} - C:\WINDOWS\SYSTEM\MSXWORD.DLL (file missing)


_________________
Gruß,

filfil

scanne mit dem HijackThis und fixe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE (file missing)
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE (file missing)
O9 - Extra button: (no name) - {233A9694-667E-11d1-9DFB-006097D5040A} - (no file)
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O18 - Protocol: start - {53B95211-7D77-11D2-9F81-00104B107C96} - C:\WINDOWS\SYSTEM\MSXWORD.DLL (file missing)

neustarten

#gehe in die Registry
Start\Ausfuehren\regedit
HIer der Eintrag:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{53B95211-7D77-11D2-9F81-00104B107C96}
loesche rechts den Wert, wenn er da ist.

Start<Ausfuehren<
reinkopieren:
regsvr32 /u C:\WINDOWS\SYSTEM\MSXWORD.DLL

neustarten:

#suche mit der Suchfunktion nach: msxword
loesche mit <(shift+del)<, denn wenn du es normal mit Rechtsklick loeschen willst, wird der PC abstuerzen.
Falls doch die Meldung kommt, dass der Explorer geschlossen wird, bevor du "o.k."klickst, loesche alles mit < msxword<
Dann "o.k" klicken und neustarten.

#suche und loesche eine <msxslab.dll<, wenn sie da ist.

#Suche unter Win 98\ME =C:\WINDOWS\ HOSTS
C:\Program Files\Accessories\WORDPAD.EXE" C:\WINDOWS\HOSTS
(oeffnen mit dem Editor)
Dort sollte nur 127.0.0.1 drinstehen .
Alles andere loeschen

#Das eScan AV Toolkit (mwav.exe) herunterladen, die Datei in den Ordner "c:\bases" (wichtig !) entpacken und danach die "kavupd.exe" (Update) ausführen.
und den Scanner mit der "mwavscan.com" starten. Alle Häkchen setzen und "Scan clean" klicken.
http://www.mwti.net/antivirus/free_utilities.asp

Poste danach Virus Log Information. und das neue Log posten.

mfg
Nikita

Danke für Deine schnelle Hilfe nikita.

Habe mit HijackThis gescannt und alle fünf Einträge gefixt.

Nach dem Neustart bin ich in die Registry und habe
unter HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID folgenden Wert (im rechten Fenster) gefunden:

{24008290-8E91-11DO-9A18-00AOC908F2DE}

aber nicht

{53B95211-7D77-11D2-9F81-00104B107C96}

daher habe ich vorsichtshalber auch nichts gelöscht.

Die Suche nach msxword war auch erfolglos - vielleicht ist das ja gut?

Hier die Virus-Log-Information von eScan AV Toolkit:


File C:\WINDOWS\SYSTEM\upuaudg.dll infected by „I-Worm Tanatos.b.dam2“ Virus. Action taken: File deleted

File C:\WINDOWS\COMMAND\EBD.CAB tagged as not-a-virus: Tool.DOS.Restart. No Action taken

File C:\WINDOWS\COMMAND\EBD.CAB tagged as not-a-virus: Tool.DOS.Restart. No Action taken

(Ist es eigentlich normal, dass das Scanning über 90 min dauert?)

Ist mein System jetzt sauber?

Logfile of HijackThis v1.98.2
Scan saved at 17:37:31, on 08.09.04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAMME\ONMSN\MSNDC.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\FINDFAST.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\OSA.EXE
C:\PROGRAMME\WINZIP\WZQKPICK.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\WINWORD.EXE
C:\UNZIPPED\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.de
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\downloaded program files\googletoolbar2.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\downloaded program files\googletoolbar2.dll
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [O2MemChk] O2memchk.exe 04000000
O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Programme\Creative\Shared Files\CAMTRAY.EXE
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] c:\windows\SYSTEM\mstask.exe
O4 - HKCU\..\Run: [WashAndGo - Cleanup of old Backupfiles] C:\Programme\\checker.exe /check
O4 - HKCU\..\RunServices: [WashAndGo - Cleanup of old Backupfiles] C:\Programme\\checker.exe /check
O4 - Startup: MSN Blitz-Menü.lnk = C:\Programme\ONMSN\MSNDC.EXE
O4 - Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O4 - User Startup: MSN Blitz-Menü.lnk = C:\Programme\ONMSN\MSNDC.EXE
O4 - User Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - User Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - User Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Google Search - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLETOOLBAR2.DLL/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLETOOLBAR2.DLL/cmcache.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLETOOLBAR2.DLL/cmsimilar.html
O8 - Extra context menu item: Verweisseiten - res://C:\WINDOWS\DOWNLOADED PROGRAM FILES\GOOGLETOOLBAR2.DLL/cmbacklinks.html

Der backdoor<I-Worm.Tanatos< oeffnet <port 36794<ist ein Keylogger und beendet u.a. die Antivirensoftware und firewall.

Wenn deine Freundin also Online-Banking oder aehnliches macht, sollte sie unbedingt alle Passworte aendern, den Antivirus neuinstallieren und eine Firewall laden.
Da sie anscheinend keinen Virenscanner hat, lade diesen
Antivirus (free)
http://www.free-av.de/
Warte in Ruhe den Installationsscann ab und dann konfiguriere im Scanner UND im Guard: <alle Dateien<
und update jeden tag.

<Kerio Personal Firewall
Kerio ist freeware für den privaten Gebrauch.
http://www.kerio.com/kpf_download.html

<Deutsches Handbuch Tiny Personal/Kerio Firewall 2.x
Handbuch von Firewall-Info.net für die Version 2 von Kerio (vormals Tiny Personal).
http://www.firewallinfo.de/handbuecher/tiny_kerio_20/

<ALTERNATIVBROWSER : zum IE ...ist sicherer
#Firefox (stelle eine Startseite ein, eventuell das "moderne" Aussehen des Browsers
http://firebird-browser.de/

mfg
Nikita

hi nikita, bin leicht irritiert, weil Du von meiner Freundin schreibst, obwohl ich sie nie erwähnt habe:

Wenn deine Freundin also Online-Banking oder aehnliches macht, sollte sie unbedingt alle Passworte aendern, den Antivirus neuinstallieren und eine Firewall laden.

bezog sich die antwort vielleicht gar nicht auf mein posting?

Hallo @filfil
Sorry, ich habe dich mit einem User verwechselt, der den PC seiner Freundin in Arbeit gegeben hat....
Entschuldige bitte.
Der Inhalt hat sich natuerlich auf DEIN Log bezogen.

mfg
Nikita