pmkjk.dll vermütlich Vundo

#1 Hi Leute,
bin schon öfter hier gewesen, und bis jetzt habe ich dank dieser Forum probleme selber lösen können, jetzt bin ich wohl auf ein hartnäckiges trojana gestossen (pmkjk.dll) und kriege ich nicht runter kann mir einer helfen?

#2 arbeite das bitte ab und kopiere hier die logs
http://board.protecus.de/t23187.htm
__________
MfG Sabina

rund um die PC-Sicherheit

#3 hier das log von hijack
Logfile of HijackThis v1.99.1
Scan saved at 12:32:11, on 22.07.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Anti-Blaxx\Anti-Blaxx.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Desktop\hijackthis\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://de.rd.yahoo.com/customize/ie/defaults/su/msgr7/*http://de.search.yahoo.com
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Anti-Blaxx Manager] C:\Programme\Anti-Blaxx\Anti-Blaxx.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Subscribe in Desktop Sidebar - res://C:\Programme\Desktop Sidebar\sbhelp.dll/menuhandler.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Subscribe in Desktop Sidebar - {09FE188B-6E85-479e-9411-51FB2220DF80} - C:\Programme\Desktop Sidebar\sbhelp.dll
O9 - Extra 'Tools' menuitem: Subscribe in Desktop Sidebar - {09FE188B-6E85-479e-9411-51FB2220DF80} - C:\Programme\Desktop Sidebar\sbhelp.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {C223CE7B-8076-4FB0-9C3F-E2AE0BE816DC} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {C223CE7B-8076-4FB0-9C3F-E2AE0BE816DC} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{04984109-9F83-4CA9-9F2C-759150933F15}: NameServer = 217.237.148.65 217.237.148.33
O17 - HKLM\System\CS1\Services\Tcpip\..\{04984109-9F83-4CA9-9F2C-759150933F15}: NameServer = 217.237.148.65 217.237.148.33
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe
O23 - Service: WMDM PMSP Service - Unknown owner - C:\WINDOWS\System32\MsPMSPSv.exe (file missing)
O23 - Service: WnvIRQ32 (WnvIRQ32Service) - Unknown owner - C:\WINDOWS\System32\WnvIRQ32.exe (file missing)

sorry die maus hat gesponnen

#4 +
poste die 4 logs von datfindbat (3 Monate von jedem)
siehe:
http://board.protecus.de/t23187.htm

+

ServiceFilter.zip
http://virus-protect.org/artikel/tools/ServiceFilter.zip

- entzippen
- doppelklick auf die datei ServiceFilter.vbs
- versions-nummer bestätigen
- scannen
- öffnen von wordpad oder editor erlauben
- POST_THIS.TXT abkopieren
__________
MfG Sabina

rund um die PC-Sicherheit

#5 hoffe ist so in ordnung

sys.txt

lauferk c:
22.07.2006 12:40 0 sys.txt
22.07.2006 12:40 9.894 system.txt
22.07.2006 12:39 4.625 systemtemp.txt
22.07.2006 12:39 103.858 system32.txt
22.07.2006 12:08 1.610.612.736 pagefile.sys
22.07.2006 07:41 694 VundoFix.txt
21.07.2006 21:17 44 LevelCompilation.txt
15.07.2006 22:25 73.457.190 reclock_log.txt
10.05.2006 10:51 1.454.080 IlcanediSirchia.mpeg

system.txt

Verzeichnis von C:\WINDOWS

22.07.2006 12:09 0 0.log
22.07.2006 12:08 2.048 bootstat.dat
22.07.2006 12:06 657.704 WindowsUpdate.log
22.07.2006 11:53 291.358 ntbtlog.txt
22.07.2006 09:34 32 pavsig.txt
22.07.2006 09:34 105.053 setupapi.log
22.07.2006 09:05 60.416 ALCFDRTM.VER
22.07.2006 07:34 1.372.188 dp2_log.txt
17.07.2006 14:46 116 NeroDigital.ini
14.07.2006 11:44 59 RUNAWAY.INI
14.07.2006 09:54 150.006 setupact.log
10.07.2006 15:18 420.207 DirectX.log
09.07.2006 16:44 774 win.ini
25.06.2006 00:40 286.720 Setup1.exe
01.06.2006 13:55 7.240 WGA.log
01.06.2006 13:54 7.190 KB898461.log


systemtemp.txt

Verzeichnis von C:\DOKUME~1\MARIO~1.TRI\LOKALE~1\Temp

22.07.2006 12:08 32.768 ~DF3374.tmp
22.07.2006 11:41 32.768 ~DFB325.tmp
22.07.2006 11:27 54.272 ginstall.dll
22.07.2006 11:19 16.384 ~DFEC51.tmp
22.07.2006 11:19 16.384 ~DFF406.tmp
22.07.2006 11:19 32.768 ~DF33BF.tmp
22.07.2006 09:20 59.964 Adobelm_Cleanup.0001
22.07.2006 09:19 239 GLF6.VBS
22.07.2006 09:11 32.768 ~DFA077.tmp
22.07.2006 09:11 304 GLF7.VBS
22.07.2006 07:55 3.769 dsidebar.log
22.07.2006 07:55 17 sidebar.threads
22.07.2006 07:43 0 dsidebar.crash
22.07.2006 07:39 32.768 ~DFAD9.tmp
22.07.2006 07:08 16.384 Perflib_Perfdata_6a0.dat
22.07.2006 01:09 16.384 ~DFBE69.tmp
22.07.2006 01:09 16.384 ~DFCD08.tmp
22.07.2006 00:45 16.384 ~DF342D.tmp
22.07.2006 00:45 16.384 ~DF3FB5.tmp
21.07.2006 20:33 0 win23C.tmp
21.07.2006 20:33 0 win241.tmp
21.07.2006 20:33 0 win240.tmp
21.07.2006 20:33 0 win23F.tmp
21.07.2006 20:33 0 win23E.tmp
21.07.2006 20:33 0 win242.tmp
21.07.2006 20:33 0 win23D.tmp
21.07.2006 20:33 43 removalfile.bat
21.07.2006 20:33 0 win238.tmp
21.07.2006 20:33 0 win234.tmp
21.07.2006 20:33 0 win230.tmp
21.07.2006 20:33 0 win236.tmp
21.07.2006 20:33 839 win22E.tmp
15.07.2006 22:11 2.714 weather2.log
15.07.2006 22:07 276 weather1.log
15.07.2006 09:06 42.811 stock.log
14.07.2006 01:44 16.384 ~DF60B0.tmp
10.07.2006 18:06 46.592 drm_dialogs.dll
09.07.2006 19:30 729.825 pf3261422656.tmp
09.07.2006 19:28 729.771 pf3161167049.tmp
09.07.2006 19:22 55.997 pf905432023.tmp
09.07.2006 19:14 1.558 pf3522903311.tmp
09.07.2006 19:14 55.997 pf906284261.tmp
09.07.2006 19:14 3.323 pf2956814155.tmp
09.07.2006 19:14 826 pf705111363.tmp
09.07.2006 19:14 2.354 pf4213565049.tmp
09.07.2006 19:14 1.187 pf3861413551.tmp
09.07.2006 19:13 729.825 pf3262274893.tmp
09.07.2006 19:13 729.825 pf3261422655.tmp
09.07.2006 19:11 1.006 pf1236478762.tmp
09.07.2006 19:11 1.006 pf1237331000.tmp
09.07.2006 19:07 1.602 pf3045063114.tmp


system32

Verzeichnis von C:\WINDOWS\system32

22.07.2006 12:39 569.103 kjkmp.ini
22.07.2006 12:08 63.804 nvapps.xml
22.07.2006 09:33 2.550 Uninstall.ico
22.07.2006 09:33 1.406 Help.ico
22.07.2006 09:33 30.590 pavas.ico
22.07.2006 07:52 2.262 wpa.dbl
22.07.2006 07:16 97 mcrh.tmp
22.07.2006 00:47 216.064 FNTCACHE.DAT
21.07.2006 20:48 573.492 pmkjk.dll
05.07.2006 22:40 57.384 avsda.dll
02.07.2006 01:35 391.330 perfh007.dat
02.07.2006 01:35 380.486 perfh009.dat
02.07.2006 01:35 787.052 PerfStringBackup.INI
02.07.2006 01:35 52.900 perfc009.dat
02.07.2006 01:35 63.778 perfc007.dat


Service filter funtz nicht

#6 Avenger:
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein:

Zitat

Files to delete:

C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\ginstall.dll
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win23C.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win241.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win240.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win23F.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win23E.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win242.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win23D.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\removalfile.bat
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win238.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win234.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win230.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win236.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win22E.tmp
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\weather2.log
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\weather1.log
C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\drm_dialogs.dll
C:\WINDOWS\system32\kjkmp.ini
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\pmkjk.dll
C:\Programme\Gemeinsame Dateien\{E043B8CF-0708-1031-0827-040403110031}\services.dll
C:\Programme\Gemeinsame Dateien\{E043B8CF-0708-1031-0827-040403110031}\Update.exe

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

**
poste das log vom avenger, was erscheint

+
poste noch mal die 4 logs von datfindbat
__________
MfG Sabina

rund um die PC-Sicherheit

#7 *******************

Script file located at: \??\C:\WINDOWS\pohihg^l.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\ginstall.dll deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win23C.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win241.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win240.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win23F.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win23E.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win242.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win23D.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\removalfile.bat deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win238.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win234.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win230.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win236.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\win22E.tmp deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\weather2.log deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\weather1.log deleted successfully.
File C:\Dokumente und Einstellungen\Mario.TRIPODI-5WE5QBJ\Lokale Einstellungen\Temp\drm_dialogs.dll deleted successfully.
File C:\WINDOWS\system32\kjkmp.ini deleted successfully.
File C:\WINDOWS\system32\mcrh.tmp deleted successfully.
File C:\WINDOWS\system32\pmkjk.dll deleted successfully.


Could not open file C:\Programme\Gemeinsame Dateien\{E043B8CF-0708-1031-0827-040403110031}\services.dll for deletion
Deletion of file C:\Programme\Gemeinsame Dateien\{E043B8CF-0708-1031-0827-040403110031}\services.dll failed!

Could not process line:
C:\Programme\Gemeinsame Dateien\{E043B8CF-0708-1031-0827-040403110031}\services.dll
Status: 0xc000003a



Could not open file C:\Programme\Gemeinsame Dateien\{E043B8CF-0708-1031-0827-040403110031}\Update.exe for deletion
Deletion of file C:\Programme\Gemeinsame Dateien\{E043B8CF-0708-1031-0827-040403110031}\Update.exe failed!

Could not process line:
C:\Programme\Gemeinsame Dateien\{E043B8CF-0708-1031-0827-040403110031}\Update.exe
Status: 0xc000003a


Completed script processing.

*******************

Finished! Terminate.

sys.txt

Verzeichnis von C:\

22.07.2006 13:25 0 sys.txt
22.07.2006 13:25 9.894 system.txt
22.07.2006 13:25 3.793 systemtemp.txt
22.07.2006 13:25 103.718 system32.txt
22.07.2006 13:16 1.610.612.736 pagefile.sys
22.07.2006 13:15 6.798 avenger.txt
22.07.2006 07:41 694 VundoFix.txt
21.07.2006 21:17 44 LevelCompilation.txt
15.07.2006 22:25 73.457.190 reclock_log.txt
10.05.2006 10:51 1.454.080 IlcanediSirchia.mpeg

system.txt

Verzeichnis von C:\WINDOWS

22.07.2006 13:17 0 0.log
22.07.2006 13:16 2.048 bootstat.dat
22.07.2006 13:14 659.537 WindowsUpdate.log
22.07.2006 11:53 291.358 ntbtlog.txt
22.07.2006 09:34 32 pavsig.txt
22.07.2006 09:34 105.053 setupapi.log
22.07.2006 09:05 60.416 ALCFDRTM.VER
22.07.2006 07:34 1.372.188 dp2_log.txt
17.07.2006 14:46 116 NeroDigital.ini
14.07.2006 11:44 59 RUNAWAY.INI
14.07.2006 09:54 150.006 setupact.log
10.07.2006 15:18 420.207 DirectX.log
09.07.2006 16:44 774 win.ini
25.06.2006 00:40 286.720 Setup1.exe
01.06.2006 13:55 7.240 WGA.log


systemtemp.txt

Verzeichnis von C:\DOKUME~1\MARIO~1.TRI\LOKALE~1\Temp

22.07.2006 13:14 32.768 ~DF3374.tmp
22.07.2006 11:41 32.768 ~DFB325.tmp
22.07.2006 11:19 16.384 ~DFF406.tmp
22.07.2006 11:19 32.768 ~DF33BF.tmp
22.07.2006 11:19 16.384 ~DFEC51.tmp
22.07.2006 09:20 59.964 Adobelm_Cleanup.0001
22.07.2006 09:19 239 GLF6.VBS
22.07.2006 09:11 32.768 ~DFA077.tmp
22.07.2006 09:11 304 GLF7.VBS
22.07.2006 07:55 3.769 dsidebar.log
22.07.2006 07:55 17 sidebar.threads
22.07.2006 07:43 0 dsidebar.crash
22.07.2006 07:39 32.768 ~DFAD9.tmp
22.07.2006 07:08 16.384 Perflib_Perfdata_6a0.dat


system32.txt

Verzeichnis von C:\WINDOWS\system32

22.07.2006 13:17 63.804 nvapps.xml
22.07.2006 09:33 30.590 pavas.ico
22.07.2006 09:33 2.550 Uninstall.ico
22.07.2006 09:33 1.406 Help.ico
22.07.2006 07:52 2.262 wpa.dbl
22.07.2006 00:47 216.064 FNTCACHE.DAT
05.07.2006 22:40 57.384 avsda.dll
02.07.2006 01:35 52.900 perfc009.dat
02.07.2006 01:35 391.330 perfh007.dat
02.07.2006 01:35 63.778 perfc007.dat
02.07.2006 01:35 380.486 perfh009.dat
02.07.2006 01:35 787.052 PerfStringBackup.INI
01.06.2006 19:09 208.896 NVUNINST.EXE


Die rotmarkierten bei den hijack log soll ich die fixen?

#8 Download Registry Search by Bobbi Flekman
http://virus-protect.org/artikel/tools/regsearch.html
und doppelklicken, um zu starten. in: "Enter search strings" (reinschreiben oder reinkopieren)

WMDM PMSP

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.

gleiches mit :

WnvIRQ32
MsPMSPSv
__________
MfG Sabina

rund um die PC-Sicherheit

#9 edit

wnvirq32

REGEDIT4

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.1.0

; Results at 22.07.2006 14:19:25 for strings:
; 'wnvirq32
wnvirq32
wnvirq32'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


; End Of The Log...

#10 1.
wende das an:
http://virus-protect.org/artikel/tools/agentransack.html

suche: WnvIRQ32
und poste das log

-----------------
2.
License: Freeware/Getservices http://www.bleepingcomputer.com/files/getservices.php

Note: man muss als Administrator angemeldet sein
Klicke auf "getservice.bat -öffnen --"get active services.vbs" -- scannen -- Active.txt -- es öffnet sich der [Texteditor]-> poste das log
__________
MfG Sabina

rund um die PC-Sicherheit

#11 C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\SecTaskMan\_WnvIRQ32149E1802 (10 KB, 19.03.2006 11:15:30)


SERVICE_NAME: LmHosts
Ermöglicht die Unterstützung vom NetBIOS-über-TCP/IP-Dienst (NetBT) und die NetBIOS-Namensauflösung.
TYPE : 20 WIN32_SHARE_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\System32\svchost.exe -k LocalService
LOAD_ORDER_GROUP : TDI
TAG : 0
DISPLAY_NAME : TCP/IP-NetBIOS-Hilfsprogramm
DEPENDENCIES : NetBT
: Afd
SERVICE_START_NAME: NT AUTHORITY\LocalService

SERVICE_NAME: Messenger
Überträgt NET SEND- und Warndienstnachrichten zwischen Clients und Servern. Dieser Dienst ist nicht mit Windows Messenger verwandt. Der Warndienst überträgt keine Nachrichten, falls dieser Dienst beendet wird. Falls dieser Dienst deaktiviert wird, können die Dienste, die von diesem Dienst ausschließlich abhängig sind, nicht mehr gestartet werden.
TYPE : 20 WIN32_SHARE_PROCESS
START_TYPE : 4 DISABLED
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\System32\svchost.exe -k netsvcs
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Nachrichtendienst
DEPENDENCIES : LanmanWorkstation
: NetBIOS
: PlugPlay
: RpcSS
SERVICE_START_NAME: LocalSystem

SERVICE_NAME: mnmsrvc
Ermöglicht einem autorisierten Benutzer an einem anderen Computer auf diesen Computer mit NetMeeting über ein Firmenintranet zuzugreifen. Wenn dieser Dienst beendet wird, ist die Remotedesktopfreigabe nicht mehr verfügbar. Falls dieser Dienst deaktiviert wird, können die Dienste, die von diesem Dienst ausschließlich abhängig sind, nicht mehr gestartet werden.
TYPE : 110 WIN32_OWN_PROCESS INTERACTIVE_PROCESS
START_TYPE : 3 DEMAND_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\System32\mnmsrvc.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : NetMeeting-Remotedesktop-Freigabe
DEPENDENCIES :
SERVICE_START_NAME: LocalSystem

SERVICE_NAME: MSDTC
Koordiniert Transaktionen, die sich über mindestens zwei Ressourcenverwaltungen wie Datenbanken, Nachrichtenwarteschlangen oder Dateisysteme erstrecken. Wenn der Dienst beendet ist, treten diese Transaktionen nicht auf. Wenn der Dienst deaktiviert ist, können abhängige Dienste nicht gestartet werden.
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 3 DEMAND_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\System32\msdtc.exe
LOAD_ORDER_GROUP : MS Transactions
TAG : 0
DISPLAY_NAME : Distributed Transaction Coordinator
DEPENDENCIES : RPCSS
: SamSS
SERVICE_START_NAME: NT AUTHORITY\NetworkService


SERVICE_NAME: RemoteAccess
Bietet Routingdienste in LAN- und WAN-Netzwerkumgebungen.
TYPE : 20 WIN32_SHARE_PROCESS
START_TYPE : 4 DISABLED
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\System32\svchost.exe -k netsvcs
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Routing und RAS
DEPENDENCIES : RpcSS
: +NetBIOSGroup
SERVICE_START_NAME: LocalSystem

SERVICE_NAME: RemoteRegistry
Ermöglicht Remotebenutzern, Registrierungseinstellungen dieses Computers zu verändern. Wenn dieser Dienst beendet wird, kann die Registrierung nur von lokalen Benutzern dieses Computers verändert werden. Wenn dieser Dienst deaktiviert wird, werden alle von diesem Dienst explizit abhängigen Dienste nicht gestartet werden können.
TYPE : 20 WIN32_SHARE_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\system32\svchost.exe -k LocalService
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Remote-Registrierung
DEPENDENCIES : RPCSS
SERVICE_START_NAME: NT AUTHORITY\LocalService
FAIL_RESET_PERIOD : 0 seconds
FAILURE_ACTIONS : Restart DELAY: 1000 seconds

SERVICE_NAME: srservice
Führt Systemwiederherstellungsfunktionen durch. Deaktivieren Sie "Systemwiederherstellung" auf der Systemwiederherstellungsregisterkarte in Arbeitsplatz->Eigenschaften, um den Dienst zu beenden.
TYPE : 20 WIN32_SHARE_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\System32\svchost.exe -k netsvcs
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Systemwiederherstellungsdienst
DEPENDENCIES : RpcSs
SERVICE_START_NAME: LocalSystem


SERVICE_NAME: WMDM PMSP Service
(null)
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\System32\MsPMSPSv.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : WMDM PMSP Service
DEPENDENCIES :
SERVICE_START_NAME: LocalSystem


SERVICE_NAME: WnvIRQ32Service
(null)
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINDOWS\System32\WnvIRQ32.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : WnvIRQ32
DEPENDENCIES :
SERVICE_START_NAME: LocalSystem

#12 "Enter search strings" (reinschreiben oder reinkopieren)

WnvIRQ32Service
__________
MfG Sabina

rund um die PC-Sicherheit

#13 REGEDIT4

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.1.0

; Results at 22.07.2006 15:05:12 for strings:
; 'wnvirq32service'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WNVIRQ32SERVICE]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WNVIRQ32SERVICE\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WNVIRQ32SERVICE\0000]
"Service"="WnvIRQ32Service"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WnvIRQ32Service]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WnvIRQ32Service\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WnvIRQ32Service\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WnvIRQ32Service\Enum]
"0"="Root\\LEGACY_WNVIRQ32SERVICE\\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WNVIRQ32SERVICE]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WNVIRQ32SERVICE\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WNVIRQ32SERVICE\0000]
"Service"="WnvIRQ32Service"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WnvIRQ32Service]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WnvIRQ32Service\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WNVIRQ32SERVICE]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WNVIRQ32SERVICE\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WNVIRQ32SERVICE\0000]
"Service"="WnvIRQ32Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WnvIRQ32Service]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WnvIRQ32Service\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WnvIRQ32Service\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WnvIRQ32Service\Enum]
"0"="Root\\LEGACY_WNVIRQ32SERVICE\\0000"

; End Of The Log...

#14 dieser Dienst ist unbekannt, die exe fehlt ebenfalls (siehe Log im HijackThis)
was hast du am 19.03.2006 geladen ?

O23 - Service: WnvIRQ32 (WnvIRQ32Service) - Unknown owner - C:\WINDOWS\System32\WnvIRQ32.exe (file missing)
__________
MfG Sabina

rund um die PC-Sicherheit

#15 keiner ahnung wenn keiner wichtiger teil von Windows ist dann kann ich es auch löschen.

Bei Google finde ich kein Inweis was es sein könnte, weis ich wirklich nicht.
Meine Frau geht auch am Rechner kann auch von ihr gekommen sein.