TR/Small.AZ.1 bzw.Trojaner Bizex-E[1] bzw. socks.exe

#1 Hallo forenmitglieder,

ich habe seit gestern eine pop up Fehlermeldung vom IE6 unter xp mit der meldung: "Dieses Fenster ist aktiv. Schließen des Fensters kann möglicherweise Probleme verursachen. Möchten sie dennoch schließen?" OK od. Abbruch - egal es schließt immer, taucht aber auch immer wieder auf, bei bedarf auch gleich in 20ig facher Ausführung. Habe keine bes. Downloads o.ä. getätigt.

Hier mein log von trcheck6:

HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run ATIModeChange Ati2mdxx.exe
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run NeroFilterCheck C:\WINDOWS\system32\NeroCheck.exe
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run Hcontrol C:\WINDOWS\ATK0100\Hcontrol.exe
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run Power_Gear E:\programme\asus\powe4gear\BatteryLife.exe 1
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run HPDJ Taskbar Utility C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run QuickTime Task "E:\programme\quicktime 6pro\qttask.exe" -atboottime
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run MaxtorOneTouch E:\PROGRA~1\ONETOU~1\Utils\OneTouch.exe
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run MXO Auto Loader C:\WINDOWS\MXOALDR.EXE
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run AVGCtrl "E:\programme\AntiVir6\AVGNT.EXE" /min
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Run Trojancheck 6 Guard E:\programme\Trojancheck 6\tcguard.exe


Registry - Shell Spawning
Hauptschlüssel
(Rootkey) Schlüssel Wert Inhalt
HKEY_CLASSES_ROOT \exefile\shell\open\command "%1" %*
HKEY_CLASSES_ROOT \comfile\shell\open\command "%1" %*
HKEY_CLASSES_ROOT \batfile\shell\open\command "%1" %*
HKEY_CLASSES_ROOT \htafile\Shell\open\Command C:\WINDOWS\System32\mshta.exe "%1" %*
HKEY_CLASSES_ROOT \piffile\shell\open\command "%1" %*


Registry - Active Setup
Hauptschlüssel
(Rootkey) Schlüssel Wert Inhalt
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95} StubPath C:\WINDOWS\inf\unregmp2.exe /ShowWMP
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\>{26923b43-4d38-484f-9b9e-de460746276c} StubPath %systemroot%\system32\shmgrate.exe OCInstallUserConfigIE
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS StubPath RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\>{881dd1c5-3dcf-431b-b061-f3f88e8be88a} StubPath %systemroot%\system32\shmgrate.exe OCInstallUserConfigOE
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} StubPath
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{22d6f312-b0f6-11d0-94ab-0080c74c7e95} StubPath rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\mswmp.inf,PerUserStub
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED} StubPath %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C} StubPath "%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{44BBA842-CC51-11CF-AAFA-00AA00B6015B} StubPath rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{5945c046-1e7d-11d1-bc44-00c04fd912be} StubPath rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{6BF52A52-394A-11d3-B153-00C04F79FAA6} StubPath rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\wmp.inf,PerUserStub
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{7790769C-0471-11d2-AF11-00C04FA35D02} StubPath "%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{89820200-ECBD-11cf-8B85-00AA005B4340} StubPath regsvr32.exe /s /n /i:U shell32.dll
HKEY_LOCAL_MACHINE \Software\Microsoft\Active Setup\Installed Components\{89820200-ECBD-11cf-8B85-00AA005B4383} StubPath %SystemRoot%\system32\ie4uinit.exe


Registry - Virtuelle Gerätetreiber (VxD)
Hauptschlüssel
(Rootkey) Schlüssel Wert Inhalt
HKEY_LOCAL_MACHINE \System\CurrentControlSet\Services\VxD\JAVASUP StaticVxD JAVASUP.VXD


Registry - ICQ Net
Hauptschlüssel
(Rootkey) Schlüssel Wert Inhalt


Autostart - Standardeinträge
Pfad Dateiname Link zu
C:\Dokumente und Einstellungen\V.NUMMER-8\Startmenü\Programme\Autostart\ desktop.ini desktop.ini
C:\Dokumente und Einstellungen\All Users.WINDOWS\Startmenü\Programme\Autostart\ desktop.ini desktop.ini


INI Dateien
Dateiname Wert Inhalt
C:\WINDOWS\win.ini load
C:\WINDOWS\system.ini shell Explorer.exe


Batch und Text Dateien
Dateiname Inhalt
c:\msdos.sys Kein Inhalt
c:\autoexec.bat Kein Inhalt
c:\config.sys Kein Inhalt



EXPLORER.EXE in C:\
Pfad
ENDE LOG


Ich würde mich sehr über Infos zur Problembehebung freuen.
MFG doc L

#2 Poste bitte ein Hijackthis log. Das ist fuer dein Problem aussagekraeftiger.
__________
MfG Ralf
SEO-Spam Hunter

#3 Danke für die Prompte Antwort!

Logfile of HijackThis v1.98.2
Scan saved at 17:33:02, on 30.10.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
E:\programme\AntiVir6\AVGUARD.EXE
E:\programme\AntiVir6\AVWUPSRV.EXE
E:\programme\Tiny Personal Firewall\persfw.exe
C:\WINDOWS\System32\RegSrvc.exe
E:\PROGRA~1\RETROS~1.0\retrorun.exe
C:\WINDOWS\System32\RoamMgr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\System.exe
C:\WINDOWS\ATK0100\Hcontrol.exe
C:\Programme\Internet Explorer\iexplore.exe
E:\programme\asus\powe4gear\BatteryLife.exe
E:\PROGRA~1\ONETOU~1\Utils\OneTouch.exe
C:\WINDOWS\MXOALDR.EXE
E:\programme\AntiVir6\AVGNT.EXE
E:\programme\Trojancheck 6\tcguard.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
H:\hijack this\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.2.1
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\programme\adobe\acrobat 6pro\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - E:\programme\adobe\acrobat 6pro\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - E:\programme\adobe\acrobat 6pro\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [Power_Gear] E:\programme\asus\powe4gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [QuickTime Task] "E:\programme\quicktime 6pro\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MaxtorOneTouch] E:\PROGRA~1\ONETOU~1\Utils\OneTouch.exe
O4 - HKLM\..\Run: [MXO Auto Loader] C:\WINDOWS\MXOALDR.EXE
O4 - HKLM\..\Run: [AVGCtrl] "E:\programme\AntiVir6\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Trojancheck 6 Guard] E:\programme\Trojancheck 6\tcguard.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74FFE28D-2378-11D5-990C-006094235084} (IBM Access Support) - https://www.ibm.com/pc/support/access/sdccommon/download/IbmEgath.cab
O16 - DPF: {B2BE75F3-9197-11CF-ABF4-08000996E931} (WHIP! Control) - ftp://ftp-2.autodesk.com/pub/autocad/plugin/whip.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7250C7F6-E97A-4D82-B96D-D47E706A99A9}: NameServer = 192.168.2.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{DBD0B370-5F07-4AF2-8A58-9D80F181BA7E}: NameServer = 130.149.4.20,130.149.2.12
O21 - SSODL: Systask - {84313581-57B3-4D3B-B61C-8463C74D35E5} - dllsys2.dll (file missing)

END OF LOG

Was sagt das file aus?

mfg doc L

#4 habe inzwischen den IE deinstalliert. fehlermeldung immer noch da...

#5 Da ist einiges sonderbar.

Schicke bitte folgendes an virus@protecus.de:

C:\WINDOWS\system32\ZCfgSvc.exe
E:\PROGRA~1\RETROS~1.0\retrorun.exe
C:\WINDOWS\System32\RoamMgr.exe
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\System.exe
C:\WINDOWS\ATK0100\ATKOSD.exe

dann sehen wir weiter.
__________
MfG Ralf
SEO-Spam Hunter

#6 HAbt ihr das Problem gelöst ?! ich stehe vor dem selben :-) und würde mich über lösungsvoorschläge freuen

mfg gunnar

#7 Keine Ahnung "doc L" hat sich nicht gemeldet. Nutze bitte mal erst die Punkte 1-5 aus diesem Thread:
http://board.protecus.de/t9373.htm
und poste dann bitte ein neues Log.
__________
MfG Ralf
SEO-Spam Hunter

#8 sorry bin neu hier weiß nich so recht wie geht. hab aber das problem gelöst :-)
ich hatte bei mir den messenger von (www.im2.com) installiert, der hat ein addon in internetexplorer geladen. ich hab dieses deaktiviert, schon ging es :-)
deaktiviere einfach mal deine addons und schau obs geht