svchost.exe verdächtig

#1 Guten Tag,

ich hatte ein ähnliches Problem vor fast genau 2 Jahren.
Damals hat Sabina mir super geholfen, weil ich mich echt wenig auskenne.
Was ich behalte habe, war, dass ich einen hijackthis logfile zur verfügung gestellt habe. Ich spiele ein Onlinespiel, und seit ein paar Tagen ist dies unglaublich langsam geworden, auch wenn ich nicht eingelooged bin sondern nur die exe gestartet habe. Wenn ich dann z.B. den Desktop ansehen möchte, wird jedes Icon einzeln geladen. Ausserdem habe ich Angst vor Keyloggern o.ä.

Hier erstmal mein log

Logfile of HijackThis v1.99.1
Scan saved at 16:56:22, on 03.04.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\Programme\PC Connectivity Solution\ServiceLayer.exe
C:\Programme\Trillian\trillian.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Moritz\LOKALE~1\Temp\Rar$EX00.047\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SpybotSnD] "C:\Programme\Spybot - Search & Destroy\SpybotSD.exe"
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [RealPlayer] "C:\Programme\Real\RealPlayer\realplay.exe" /RunUPGToolCommandReBoot
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: T-Online Update.lnk = C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\T-Online\T-Online_Software_6\Basis-Software\update\clone\update.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://static.pe.studivz.net/photouploader/ImageUploader4.cab?nocache=1203274215
O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://static.pe.studivz.net/photouploader/ImageUploader5.cab?nocache=1206815132
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe

Würde mich riesig freuen wenn mir wieder jdn so toll Hilfestellungen leisten kann wie Sabina damals

Gruß und Vielen Dank
Moka

#2 Hallo
das log ist in Ordnung....
also müssen wir tiefer graben

1.
wende cleaner an
http://www.ccleaner.de/?protecus.de

2.
lade combofix anwenden + poste den report hier
http://virus-protect.org/artikel/tools/combofix.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 hab gegrinst als ich deinen namen gelesen habe ;b
bin noch auf der arbeit. werd's heute nachmittag machen.
soll ich evtl mal die exe von dem spiel starten und dann noch mal einen log posten oder macht das eigtl keinen unterschied?

gruß

#4

Zitat

sondern nur die exe gestartet habe.

fragt sich nur: welche exe ???
__________
MfG Sabina

rund um die PC-Sicherheit

#5 das spiel heißt tibia

vor dem combofix hatte ich aber echt bammel. 1/100 rechnern geht "kaputt".
hab da nur schnell OK geklickt weil ich dir schon vetraue, haha

hier der log

ComboFix 08-04-03.5 - Moritz 2008-04-04 16:04:18.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1031.18.634 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Moritz\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

[color=red]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/color]
.

((((((((((((((((((((((( Dateien erstellt von 2008-03-04 bis 2008-04-04 ))))))))))))))))))))))))))))))
.

2008-04-04 15:58 . 2008-04-04 15:58 <DIR> d-------- C:\Programme\CCleaner
2008-04-02 22:34 . 2008-03-29 19:31 75,856 --a------ C:\WINDOWS\system32\drivers\aswSP.sys
2008-04-02 22:34 . 2008-03-29 19:35 20,560 --a------ C:\WINDOWS\system32\drivers\aswFsBlk.sys
2008-03-24 15:20 . 2008-03-24 23:11 <DIR> d-------- C:\Programme\TibiaBot NG
2008-03-24 15:20 . 2008-04-03 16:44 <DIR> d-a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-03-19 20:54 . 2008-03-19 20:54 268 --ah----- C:\sqmdata05.sqm
2008-03-19 20:54 . 2008-03-19 20:54 244 --ah----- C:\sqmnoopt05.sqm

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-04 14:02 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-04-02 20:39 --------- d-----w C:\Programme\Trillian
2008-03-29 17:45 1,146,232 ----a-w C:\WINDOWS\system32\aswBoot.exe
2008-03-29 17:35 94,544 ----a-w C:\WINDOWS\system32\drivers\aswmon2.sys
2008-03-29 17:29 23,152 ----a-w C:\WINDOWS\system32\drivers\aswRdr.sys
2008-03-29 17:27 42,912 ----a-w C:\WINDOWS\system32\drivers\aswTdi.sys
2008-03-29 17:26 26,944 ----a-w C:\WINDOWS\system32\drivers\aavmker4.sys
2008-03-29 17:23 95,608 ----a-w C:\WINDOWS\system32\AvastSS.scr
2008-03-22 17:20 --------- d-----w C:\Programme\Tibia
2008-03-22 17:18 --------- d-----w C:\Programme\Windows Live Safety Center
2008-03-21 14:38 --------- d-----w C:\Dokumente und Einstellungen\Moritz\Anwendungsdaten\Tibia
2008-02-20 17:02 --------- d-----w C:\Programme\Ventrilo
2008-02-20 17:02 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-02-17 17:53 --------- d-----w C:\Programme\PPMate
2008-02-17 16:00 --------- d-----w C:\Programme\SopCast
2008-02-17 16:00 --------- d-----w C:\Dokumente und Einstellungen\Moritz\Anwendungsdaten\SopCast
2008-02-17 15:45 --------- d-----w C:\Dokumente und Einstellungen\Moritz\Anwendungsdaten\PPMate
2008-02-17 15:43 --------- d-----w C:\Programme\MSN Messenger
2008-02-07 15:52 --------- d-----w C:\Programme\eMule.de
2008-02-06 14:16 --------- d-----w C:\Programme\Spybot - Search & Destroy
2008-02-06 13:41 691,545 ----a-w C:\WINDOWS\unins000.exe
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"RealPlayer"="C:\Programme\Real\RealPlayer\realplay.exe" [2006-08-22 18:42 1003520]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 12:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2004-12-22 11:09 77824 C:\WINDOWS\SOUNDMAN.EXE]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2005-12-14 08:51 7323648]
"nwiz"="nwiz.exe" [2005-12-14 08:51 1519616 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2005-12-14 08:51 86016]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 02:11 132496]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2006-01-12 15:40 155648]
"SpybotSnD"="C:\Programme\Spybot - Search & Destroy\SpybotSD.exe" [2008-01-28 12:43 5146448]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [ ]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2006-08-18 16:30 282624]
"ToADiMon.exe"="C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe" [ ]
"Easy-PrintToolBox"="C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.exe" [2004-01-14 03:10 409600]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2008-03-29 19:37 79224]
"PCSuiteTrayApplication"="C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe" [2007-06-18 16:10 271360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]
"Nokia.PCSync"="C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe" [2007-06-19 11:17 1241088]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Trillian\\trillian.exe"=
"C:\\Programme\\eMule.de\\emule.exe"=
"C:\\Programme\\Internet Explorer\\IEXPLORE.EXE"=
"C:\\Programme\\Real\\RealPlayer\\trueplay.exe"=
"C:\\Programme\\Anno 1701\\Anno1701.exe"=
"C:\\Programme\\MSN Messenger\\msnmsgr.exe"=
"C:\\Programme\\MSN Messenger\\livecall.exe"=
"C:\\Programme\\SopCast\\SopCast.exe"=
"C:\\Dokumente und Einstellungen\\Moritz\\Anwendungsdaten\\SopCast\\adv\\SopAdver.exe"=
"C:\\Dokumente und Einstellungen\\Moritz\\Desktop\\tibicam\\TibiCAM.exe"=
"C:\\Programme\\TVUPlayer\\TVUPlayer.exe"=
"C:\\Programme\\Nokia\\Nokia Software Updater\\nsu_ui_client.exe"=
"C:\\Programme\\Gemeinsame Dateien\\Nokia\\Service Layer\\A\\nsl_host_process.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\SopCast\\adv\\SopAdver.exe"=

R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-03-29 19:31]
R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-03-29 19:35]
S3 MIINPazX;MIINPazX NDIS Protocol Driver;C:\PROGRA~1\GEMEIN~1\MARMIK~1\MInfraIS\MIINPazX.SYS [2006-05-22 06:40]

.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-04-04 16:05:50
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-04-04 16:06:15
ComboFix-quarantined-files.txt 2008-04-04 14:06:07
8 Verzeichnis(se), 113,603,526,656 Bytes frei
11 Verzeichnis(se), 113,594,224,640 Bytes frei
.
2008-03-12 16:44:01 --- E O F ---


ps:
hab übrigens jetzt mal das spiel deinstalliert. ( ist ein relativ kleines (20MB) online rollenspiel)
dann wieder installiert und alles war schnell und so wie früher.
so dann war ich eingelogged, und dann war es wieder extrem langsam. und beim 2ten start der exe hat es schon die doppelte zeit gedauert.
da ist irgendetwas im busch... ;(

#6 Hallo,
das Spiel ist korrekt installiert..keine ahnung, warum es so viel Rechnerleistung benötigt
Der Rechner ist auch sauber, klar, ich weiss nicht, was du dir so alles mit dem emule aufs System geladen hast.....
Ist denn das Spiel auch so richtig legal geladen ? Key legal ?
kannst mir per PN antworten....
__________
MfG Sabina

rund um die PC-Sicherheit

#7 hi : )
ehm ja, das ist freeware. emule nutz ich kaum noch.

was mich wirklich stutzig gemacht hat eben, war als ich das spiel neuinstalliert habe, ging alles super

einmal geschlossen und wieder neugestartet = suuuper langsam und so wie jetzt

kann es evtl an tibiabot NG exe liegen?

bin ratlos ;(

ps: der ordner des spiels ist 30,6 mb und das kann dann 100% cpu auslastung geben? vorallem fällt mir das auf weil das erst gestern angefangen hat.

noch nen tipp für mich? neuen rechner kaufen mit 2gb ddr ram?

gruß
moka

#8 PREVXCSI
Download PREVXCSI zum Desktop
Doppelklick “Prevxcsifree”
Haacke an " I accept the terms and conditions " und klick “scan now”
Und berichte
__________
MfG Argus

#9 sry, dass ich mich so lange nicht gemeldet habe. verbringe echt wenig zeit am computer im moment.

hab mal unter settings, graphics geschaut. da hatte ich meine adjust frame rate auf max. jetzt hab ich die auf 60 runtergeschraubt und es ist ein wenig besser. ich probier aber mal eben die prevxcsi exe

bis gleich

last scan 44 seconds ago
duration 1 min, 46 sec

na toll jetzt ist es weg ;( wollte grad abschreiben.

auf jdn fall stand unten nichts gefunden. ich mach's nochmal

Files Scanned: 4,504

Infection History: No infections encountered so far

danke und gruß
moka

#10 Problem immer noch vorhanden ?

Zitat

Ich spiele ein Onlinespiel, und seit ein paar Tagen ist dies unglaublich langsam geworden,

__________
MfG Sabina

rund um die PC-Sicherheit

#11 ja aber nicht mehr in dem maße wie vor einer woche.

wie gesagt, habe ja diese adjust frame rate von 100 auf 60 runtergestellt. ist auf jdn fall besser aber immer noch nicht wie früher. hab bestimmt zu wenig arbeitsspeicher ;(