svchost.exe :(

[MO05]

Hi,

Habe folgendes Problem,
Seit 2 Tagen kommt es oft zu dem Problem das meine svchost.exe total ausgelastet ist.
Es tritt aber nur auf wenn eine Internetverbindung hergestellt ist.
sobald ich den Prozess über den Taskmanager beende geht so gut wie nichts mehr im Netz.

Was soll ich tuen damit Ihr mir bei meinem Problem weiter helfen könnt?

[Hans8000]

Möglicherweise ein Virus!
Frag mal im Sicherheitsforum.

[Holy Marcell]

Lade:
http://www.merijn.org/files/hijackthis.zip
=======
Entpacke in einen eigenen Ordner ==> Doppelklick auf: "Hijackthis.exe" ==> Haken setzen ==> [Noone of the above Just start the Programm] ==> Button [Scan] ==> Nach dem Scan [Save Logfile] Speichere es ==> Ein Editor öffnet sich: kopiere den Inhalt hierher ins Forum.
Bebilderte Kurzanleitung

[MO05]

Logfile of HijackThis v1.99.1
Scan saved at 14:11:29, on 21.05.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\System32\Ati2evxx.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\Programme\TGTSoft\StyleXP\StyleXPService.exe
F:\WINDOWS\system32\spoolsv.exe
F:\Programme\AntiVir PersonalEdition Classic\sched.exe
F:\Programme\AntiVir PersonalEdition Classic\avguard.exe
F:\Programme\Analog Devices\SoundMAX\SMAgent.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\Explorer.EXE
F:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
F:\WINDOWS\System32\ctfmon.exe
F:\WINDOWS\System32\wuauclt.exe
F:\Programme\AntiVir PersonalEdition Classic\avcenter.exe
F:\WINDOWS\System32\taskmgr.exe
f:\progra~1\intern~1\iexplore.exe
F:\Programme\ArcorOnline\Arcor.exe
F:\Programme\Internet Explorer\iexplore.exe
F:\Programme\WinRAR\WinRAR.exe
F:\Dokumente und Einstellungen\Chef\Desktop\Hijack\HijackThis.exe
F:\PROGRA~1\MOZILL~1\FIREFOX.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.arcor.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - F:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3682894E-41B8-EBFD-B7FE-57782C0FD74B} - F:\DOKUME~1\Chef\ANWEND~1\WAYBOO~1\Debug Size.exe
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - f:\programme\google\googletoolbar1.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - F:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - f:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - F:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [avgnt] "F:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] F:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: &Google-Suche - res://f:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &ICQ Toolbar Search - res://F:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://f:\programme\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://f:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://F:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://f:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://f:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - F:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - F:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programme\Messenger\MSMSGS.EXE (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programme\Messenger\MSMSGS.EXE (file missing)
O17 - HKLM\System\CCS\Services\Tcpip\..\{98668A12-9518-4D63-B014-8B9F04785C4C}: NameServer = 195.50.140.178 195.50.140.114
O20 - AppInit_DLLs: F:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - F:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - F:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - F:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - F:\WINDOWS\system32\ati2sgag.exe
O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Unknown owner - F:\Programme\Network Associates\Common Framework\FrameworkService.exe (file missing)
O23 - Service: Network Associates McShield (McShield) - Unknown owner - F:\Programme\Network Associates\VirusScan\Mcshield.exe (file missing)
O23 - Service: Network Associates Task Manager (McTaskManager) - Unknown owner - F:\Programme\Network Associates\VirusScan\VsTskMgr.exe (file missing)
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Unknown owner - F:\Programme\Agnitum\Outpost Firewall\outpost.exe (file missing)
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - F:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: StyleXPService - Unknown owner - F:\Programme\TGTSoft\StyleXP\StyleXPService.exe

[Nikita]

MO05

wende CleanUp an
http://virus-protect.org/cleanup.html
------------
öffne das HijackThis -- Button "scan" -- vor Malware-Eintrag Häkchen setzen -- Button "Fix checked" -- PC neustarten

O2 - BHO: (no name) - {3682894E-41B8-EBFD-B7FE-57782C0FD74B} - F:\DOKUME~1\Chef\ANWEND~1\WAYBOO~1\Debug Size.exe

PC neustarten

Dr.Web
http://virus-protect.org/cureit.html
Poste bitte das, was drweb gefunden hat. Dazu unter Start - Ausfuehren

%userprofil%\doctorweb\cureit.log

eingeben und enter druecken. Den Inhalt der Dinge, die Drweb gefunden hat bitte posten.

oder:

Unter Menüpunkt Ansicht bei Dr. Web kann der Prüfbericht gespeichert werden als .txt Datei ablegen und dann abkopieren.

[MO05]

habe alles gemacht das Problem trat trotzdem ebn wieder auf.

%userprofil%\doctorweb\cureit.log

Kann nicht gefunden werden sagt er mir !



Und der Bericht kann nur als .csv Datei gespeichert werden.


Habe einfach mal en Screenshot gemacht vll langt es dir ja:



Dazu habe ich ebn folgende Meldung meines AntiVir bekommen:

Die Datei F:\Windows\System32\TFTP3640 enthält Signatur des Wurmes: Worm\SDBOT.104960

und

Die Datei F:\Windows\System32\setup_60670.exe
enthält Signatur des Wurmes: Worm\SDBOT.92160.87

[Nikita]

da ist ein Backdoor auf dem system.............

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

[MO05]

21.05.2006 16:25 69 i
21.05.2006 13:57 0 TFTP2516
21.05.2006 13:09 0 TFTP2352
21.05.2006 12:39 0 TFTP2732
21.05.2006 12:15 0 TFTP3360
21.05.2006 11:10 0 TFTP1236
20.05.2006 22:29 0 TFTP3796
20.05.2006 21:30 0 TFTP3412
20.05.2006 19:40 8.704 TFTP2276
20.05.2006 14:10 83 vbnet.ini
20.05.2006 13:59 0 TFTP3076
19.05.2006 20:02 0 TFTP1900
19.05.2006 19:53 100 LuResult.txt
17.05.2006 16:52 2.206 wpa.dbl
02.05.2006 20:53 16.832 amcompat.tlb
02.05.2006 20:53 23.392 nscompat.tlb
07.04.2006 18:31 5.308 d3d9caps.dat
01.04.2006 18:45 23.907 LM9831Log.txt
01.04.2006 18:45 77 SLIM.ini
26.03.2006 13:17 380.350 perfh009.dat
26.03.2006 13:17 52.764 perfc009.dat
26.03.2006 13:17 391.000 perfh007.dat
26.03.2006 13:17 63.580 perfc007.dat
26.03.2006 13:17 897.954 PerfStringBackup.INI

[MO05]

21.05.2006 16:43 16.384 ~DF4F82.tmp
1 Datei(en) 16.384 Bytes
0 Verzeichnis(se), 5.927.034.880 Bytes frei

[MO05]

21.05.2006 16:44 1.117.936 WindowsUpdate.log
21.05.2006 16:42 0 0.log
21.05.2006 16:42 50 wiaservc.log
21.05.2006 16:42 159 wiadebug.log
21.05.2006 16:41 2.048 bootstat.dat
21.05.2006 16:03 32.624 SchedLgU.Txt
20.05.2006 21:33 2.143 wmsetup.log
20.05.2006 16:13 623.822 ntbtlog.txt
20.05.2006 15:15 94.496 comsetup.log
20.05.2006 15:15 119.272 tsoc.log
20.05.2006 15:15 13.133 tabletoc.log
20.05.2006 15:15 302.961 iis6.log
20.05.2006 15:15 55.849 ntdtcsetup.log
20.05.2006 15:15 1.917 imsins.log
20.05.2006 15:15 44.140 netfxocm.log
20.05.2006 15:15 135.728 ocgen.log
20.05.2006 15:15 12.526 msgsocm.log
20.05.2006 15:15 9.248 ocmsn.log
20.05.2006 15:15 247.089 FaxSetup.log
20.05.2006 15:15 417.854 setupapi.log
20.05.2006 15:15 82.060 msmqinst.log
20.05.2006 14:18 400 ODBC.INI
15.05.2006 20:27 116 NeroDigital.ini
12.05.2006 15:24 3.653 KB913580.log
02.05.2006 20:53 487 win.ini
02.05.2006 20:50 229 wmsetup10.log
27.04.2006 18:09 7.024 KB908531.log
18.04.2006 22:39 3.776 KB911562.log
28.03.2006 09:36 26.149 svcpack.log

[MO05]

Verzeichnis von F:\

21.05.2006 16:48 0 sys.txt
21.05.2006 16:47 7.087 system.txt
21.05.2006 16:47 291 systemtemp.txt
21.05.2006 16:44 97.915 system32.txt
21.05.2006 16:41 805.306.368 pagefile.sys
5 Datei(en) 805.411.661 Bytes
0 Verzeichnis(se), 5.926.842.368 Bytes frei

[Nikita]

der Backdoor und die anonymen FTP-Server haengen wie Zecken im System...sie laden alles runter von deinem PC, was sie wollen...........
und jemand sitzt vor seinem PC und steuert alles.

KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren: ............


F:\Windows\System32\setup_60670.exe
F:\Windows\System32\i
F:\Windows\System32\TFTP3640
F:\Windows\System32\TFTP2516
F:\Windows\System32\TFTP2352
F:\Windows\System32\TFTP2732
F:\Windows\System32\TFTP3360
F:\Windows\System32\TFTP1236
F:\Windows\System32\TFTP3796
F:\Windows\System32\TFTP3412
F:\Windows\System32\TFTP2276
F:\Windows\System32\vbnet.ini
F:\Windows\System32\TFTP3076
F:\Windows\System32\TFTP1900

PC neustarten

poste das 1.Log noch einmal, aber bitte mit der Pfadangabe...Verzeichnis von ...System32.....

[MO05]

Volume in Laufwerk F: hat keine Bezeichnung.
Volumeseriennummer: B4BD-B41A

Verzeichnis von F:\WINDOWS\system32

19.05.2006 19:53 100 LuResult.txt
17.05.2006 16:52 2.206 wpa.dbl
02.05.2006 20:53 16.832 amcompat.tlb
02.05.2006 20:53 23.392 nscompat.tlb
07.04.2006 18:31 5.308 d3d9caps.dat
01.04.2006 18:45 23.907 LM9831Log.txt
01.04.2006 18:45 77 SLIM.ini
26.03.2006 13:17 380.350 perfh009.dat
26.03.2006 13:17 52.764 perfc009.dat
26.03.2006 13:17 391.000 perfh007.dat
26.03.2006 13:17 63.580 perfc007.dat
26.03.2006 13:17 897.954 PerfStringBackup.INI

[MO05]

???

[Holy Marcell]

Immer mit der Ruhe. Es ist Sonntag.