Merkwürdigkeiten HJT Log?

#1 Hi,

könnte mir vllt jemand den HJT Log auswerten?

danke schonma im Voraus.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:35:21, on 16.01.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
G:\WINDOWS\System32\smss.exe
G:\WINDOWS\system32\winlogon.exe
G:\WINDOWS\system32\services.exe
G:\WINDOWS\system32\lsass.exe
G:\WINDOWS\system32\Ati2evxx.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\system32\spoolsv.exe
G:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
G:\WINDOWS\system32\Ati2evxx.exe
G:\WINDOWS\Explorer.EXE
G:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
G:\Program Files\BillP Studios\WinPatrol\winpatrol.exe
H:\Program Files\Winamp\winampa.exe
H:\Program Files\QIP\qip.exe
G:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
G:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
G:\WINDOWS\system32\oodag.exe
G:\WINDOWS\system32\vmnat.exe
G:\WINDOWS\system32\vmnetdhcp.exe
G:\WINDOWS\system32\wuauclt.exe
H:\Program Files\Mozilla Firefox\firefox.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://windowsupdate.microsoft.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = INETRNET Explorer
O1 - Hosts: # Copyright (c) 1993-1999 Microsoft Corp.
O4 - HKLM\..\Run: [avgnt] "G:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [WinPatrol] G:\Program Files\BillP Studios\WinPatrol\winpatrol.exe -expressboot
O4 - HKLM\..\Run: [WinampAgent] "H:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKCU\..\Run: [DAEMON Tools Lite] "H:\Program Files\DAEMON Tools\daemon.exe" -autorun
O4 - HKCU\..\Run: [QIP2005] H:\Program Files\QIP\qip.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://H:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - G:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - G:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O10 - Unknown file in Winsock LSP: g:\program files\vmware\vmware workstation\vsocklib.dll
O10 - Unknown file in Winsock LSP: g:\program files\vmware\vmware workstation\vsocklib.dll
O15 - Trusted Zone: http://*.windowsupdate.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{677D2083-66D9-4E3A-801C-A25D8EC661C5}: NameServer = 192.168.0.1
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - G:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - G:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - G:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - G:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - G:\WINDOWS\system32\ati2sgag.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - G:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: O&O Defrag - O&O Software GmbH - G:\WINDOWS\system32\oodag.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - G:\WINDOWS\System32\TUProgSt.exe
O23 - Service: VMware Agent Service (ufad-ws60) - VMware, Inc. - G:\Program Files\VMware\VMware Workstation\vmware-ufad.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - G:\Program Files\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - G:\WINDOWS\system32\vmnetdhcp.exe
O23 - Service: VMware NAT Service - VMware, Inc. - G:\WINDOWS\system32\vmnat.exe

--
End of file - 4959 bytes

#2 Sieht alles gut aus. Nur das solltest Du noch ausbessern:

Platform: Windows XP SP2 (WinNT 5.01.2600)
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser

#3 ok danke danke

Aber ist SP3 wirklich nötig? SP2 ist eig klar aber bin soweit mit allen wichtigen updates und hotfixes vollgepumt

PS:

Nochmal ne frage zu den Einträgen hier:

O1 - Hosts: # Copyright (c) 1993-1999 Microsoft Corp.

Ist das das Hostsfile von windows? Weil im HJT sind so komsiche sonderzeichen zusätzlich zu sehen vor der raute

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

Was haben diese ganzen CTFMON einträge auf sich? hab gelesen das default user ein Sicherheitsproblem wär?

#4 CTFMON.EXE kannst Du deaktivieren, wenn Du keine Sprachen aus dem Ostasiatischen Raum in Deinen Office-Dokumenten anzeigen lassen musst

Du kannst Deine hosts-Datei auch selbst überprüfen, indem Du die Datei hosts (unter C:\Windows\System32\drivers\etc\ zu finden) mit dem Editor öffnest. Standardmäßig ist da nur eine Zeile bei Windows XP vermerkt:

127.0.0.1 localhost

bei Windows Vista sind es zwei Einträge:

127.0.0.1 localhost
::1 localhost

Die Angaben mit voranstehender Raute sind Kommentare.

Sollte da bei Dir mehr als ein Eintrag sein, gilt es, diese Einträge durchzuprüfen.
Ein Eintrag, der bspw. Google oder eine Online-Banking-Seite auf eine IP umlenkt, sehe ich als kritisch an. Harmlos sind die Einträge, die auf die IP 127.0.0.1 führen, denn das ist Dein eigener PC. Viele Anti-Spyware-Programme nutzen die Hosts-Datei, um gefährliche Webseiten auf 127.0.0.1 zu erden. Es kann aber auch sein, dass eine Malware ebenfalls gute Seiten (bspw. von Virenscannern) auf 127.0.0.1 erdet. Falls Du also Probleme hast, gute Seiten aufzurufen, lohnt sich ein Blick in die Hosts-Datei.
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser