Verseuchter PC? Hijack-log

#1 hallo und frohe ostern!

mein bruder hat mir gerade seinen hijack-log per mail geschickt.
einige *schweinereien* konnte ich selbst ausfindig (xxx.toolbar, 0190-dialer.com) machen. möchte jedoch euren fachmännischen rat dazu.

Logfile of HijackThis v1.97.7
Scan saved at 12:56:46, on 11.04.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\drivers\svchost.exe
C:\WINDOWS\Mixer.exe
C:\Programme\ScanSoft\OmniPageSE\opware32.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Trust\AMI MOUSE 250SP WIRELESS OPTICAL\lwbwheel.exe
C:\Programme\180Solutions\msbb.exe
C:\WINDOWS\SysUpd.exe
C:\WINDOWS\System32\mslaugh.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\mssmgrd.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\DSLMON.exe
C:\PROGRA~1\INCRED~1\bin\IMAPP.EXE
C:\Programme\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-ONLI~2\BASIS-~1\Basis2\PROFIL~1.EXE
C:\WINDOWS\System32\taskmgr.exe
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
F:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_page....count_id=107312
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_page....count_id=107312
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seite.com/info.htm?"%20jetzt%20verlassen?%20%20Oder%20klicken%20Sie%20auf%20Nein%20um%20"Seite.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_page....count_id=107312
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von 1&1 Internet AG
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.msn.de/Default.asp
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: ISTbar - {5F1ABCDB-A875-46c1-8345-B72A4567E486} - C:\Programme\ISTbar\istbar.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [9xadiras] 9xadiras.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programme\Trust\AMI MOUSE 250SP WIRELESS OPTICAL\lwbwheel.exe
O4 - HKLM\..\Run: [TrustInstaller] D:\Setup.exe
O4 - HKLM\..\Run: [WinAuth] C:\WINDOWS\winlogon.exe
O4 - HKLM\..\Run: [msbb] C:\Programme\180Solutions\msbb.exe
O4 - HKLM\..\Run: [Power Scan] C:\Programme\Power Scan\powerscan.exe
O4 - HKLM\..\Run: [CFILPS] C:\WINDOWS\CFILPS.exe
O4 - HKLM\..\Run: [SysUpd] C:\WINDOWS\SysUpd.exe
O4 - HKLM\..\Run: [Microsoft Update] mssmgrd.exe
O4 - HKLM\..\Run: [Windows Automation] mslaugh.exe
O4 - HKLM\..\RunServices: [Microsoft Update] mssmgrd.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [Microsoft Update] mssmgrd.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: 42 AC Plug.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: DSLMON.lnk = C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\DSLMON.exe
O4 - Global Startup: Photo Loader resident.lnk = C:\Programme\CASIO\Photo Loader\Plauto.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {018B7EC3-EECA-11D3-8E71-0000E82C6C0D} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v3.0/0006.cab
O16 - DPF: {11BF0E2B-4229-4ADC-9C11-1C6968731018} (Download Class) - http://www.0190-dialer.com/CrossKirk.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F...922/wmv9VCM.CAB
O16 - DPF: {67B15B0B-160C-4579-95AF-858169659092} (IELoaderCtl Class) - http://freeload.cc/secure/ieloader.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C339} - http://content.netvenda.com/sites/games-intl/de/games4.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CA...7735.5275462963
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shock...ash/swflash.cab
O16 - DPF: {DCF0768D-BA7A-101A-B57A-0000C0C3ED5F} - http://203.199.200.61/ads/shareit/da/cab/SysUpd.CAB
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/set...er/imloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{8E3348B3-8BB3-4C76-9AA0-7C8FAAE4D7A0}: NameServer = 217.237.149.161 194.25.2.129
O17 - HKLM\System\CS1\Services\Tcpip\..\{8E3348B3-8BB3-4C76-9AA0-7C8FAAE4D7A0}: NameServer = 217.237.149.161 194.25.2.129

vielen dank!

mich´l


edit: habe ihm mal den link von CWShredder gegeben. soll ich dann seinen neuen log nochmals posten?

#2 Das sieht extrem uebel aus. Dieser Eintrag beunruhigt mich am meisten:

O4 - HKLM\..\Run: [Windows Automation] mslaugh.exe

Wenn da ein RPC Wurm ist, ist da meisstens auch mehr. Von der Spyware/Hijackern mal abgesehen.
Wie waere es mit neu aufsetzen?
Aus meinem vorigenPosting mal kopiert:
---cut---
Wenn du das in angriff nimmst, denke bitte daran, bevor du ins Internet
gehst, die Windowsfirewall zu aktivieren und dann erst www.windowsupdae.com besuchen. Dann mal ein aktuelles AV-Programm(Antivir) installieren und ueberlege dir, ob du nicht einen alternativen Browser wie Mozilla oder Opera einsetzen solltest. SpybotSD und Adaware waeren auch nicht schlecht.

Damit bist du zu 95 % vor der dir oben genannter Malware geschuetzt.
---cut---
__________
MfG Ralf
SEO-Spam Hunter

#3 danke raman!
du bist mir wie immer eine große hilfe!
bei mslaught.exe dachte ich mir schon das es lovesan (blaster) sein KÖNNTE. war mir aber nicht 100% sicher.
über das weitere brauchen wir gar nicht reden ........

er soll seinen rechner formatieren! hat er wenigstens über ostern eine beschäftigung und kommt somit auf keine blöden ideen

danke nochmals!