Infiziertes Netbook - Highjackthis LogFile

[Cleopatra2]

Liebes PCMasters Forum,

mein fast neues Netbook ist seit einigen Tagen stark befallen von Viren und Trojanern - allein Kaspersky hat fast 200 Schädlinge gefunden, die aber leider nicht alle beseitigt werden können.
Habe daher eine Logfile erstellen lassen und hoffe, dass mir jemand diese interpretieren kann.
Vielen Dank schon mal im voraus.



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:23:55, on 18.02.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\imPlayok.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Java\jre1.5.0\bin\jusched.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Programme\Samsung\Samsung EDS\EDSAgent.exe
C:\Programme\Samsung\Samsung Battery Manager\BatteryManager.exe
C:\WINDOWS\System32\svchost.exe
C:\Dokumente und Einstellungen\XXXXX\imPlayok.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Samsung\Easy Display Manager\dmhkcore.exe
C:\Programme\SAMSUNG\MagicKBD\MagicKBD.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\SAMSUNG\MagicKBD\PerformanceManager.exe
C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe
C:\WINDOWS\system32\igfxext.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Samsung\Samsung Update Plus\SLUTrayNotifier.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll
O2 - BHO: C:\WINDOWS\system32\khucu.dll - {A3BA40A2-74F0-42BD-F434-00B15A2C8953} - C:\WINDOWS\system32\khucu.dll (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.5.4723.1820\swg.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [avp] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe"
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O4 - HKLM\..\Run: [imPlayok] C:\WINDOWS\system32\imPlayok.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [MagicKeyboard] C:\Programme\SAMSUNG\MagicKBD\PreMKBD.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [EDS] C:\Programme\Samsung\Samsung EDS\EDSAgent.exe
O4 - HKLM\..\Run: [DMHotKey] C:\Programme\Samsung\Easy Display Manager\DMLoader.exe
O4 - HKLM\..\Run: [BatteryManager] C:\Programme\Samsung\Samsung Battery Manager\BatteryManager.exe
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [winlogon] C:\WINDOWS\winlogon.exe
O4 - HKCU\..\Run: [imPlayok] C:\Dokumente und Einstellungen\XXXXX\imPlayok.exe
O4 - HKCU\..\Run: [winupd32] C:\WINDOWS\system\svchost.exe
O4 - HKCU\..\Run: [uishf9wuifwuh387fh3wufinhjfdwefe] C:\DOKUME~1\Marlen\LOKALE~1\Temp\kukj4fu3q.exe
O4 - HKCU\..\Run: [swg] "C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\updated7.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: Google Sidewiki... - res://C:\Programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: &Virtuelle Tastatur - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: Li&nks untersuchen - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) -

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll
O22 - SharedTaskScheduler: dfgfgfiljojigidghu7yuhdiugrh98au - {A3BA40A2-74F0-42BD-F434-00B15A2C8953} - C:\WINDOWS\system32\khucu.dll (file missing)
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: Google Software Updater (gusvc) - Unknown owner - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)
O23 - Service: Partner Service - Google Inc. - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Partner\partner.exe
O23 - Service: Samsung Update Plus - Unknown owner - C:\Programme\Samsung\Samsung Update Plus\SLUBackgroundService.exe

--
End of file - 8758 bytes

 

[OCB]

Die folgenden Sachen (mit O4 am Anfang) sind Starteinträge in der Registry!

O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
Die richtige regedit.exe sitzt normal in C:\Windows! - Schädling?!

O4 - HKLM\..\Run: [winlogon] C:\WINDOWS\winlogon.exe
Die richtige winlogon.exe sitzt normal in C:\Windows\system32! - Schädling?!

O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\updated7.exe - für mich sehr suspekt(!!)

O4 - HKCU\..\Run: [winupd32] C:\WINDOWS\system\svchost.exe
Die svchost.exe sitzt normal in C:\Windows\system32! - Schädling?!

O23 - Service: Partner Service - Google Inc. - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Partner\partner.exe
Was ist das für ein Proggi? - für mich sehr suspekt(!!)

Tu dir bitte selbst, aber vor allem deiner mit dir per e-mail oder sonstig verbundenen Umwelt den Gefallen und setzte neu auf!
Vor allem überdenke dein Surfverhalten 😉
Dein System scheint höchst kompromitiert zu sein und das wieder sauber und sicher zu bekommen halte ich fast für unmöglich.

 

[Cordan]

Jupp.
Abklemmen, platt machen, neu aufsetzen, Aktualisieren, Absichern, Surfverhalten ändern.

Ein How-To zum Installieren Deines Betriebssystem findest Du hier.
Ein paar Tipps zum Absichern findest Du hier.

 

[Cleopatra2]

Vielen vielen Dank für eure Einschätzung und Tipps.
Frage mich nur, wie ich auf einem Netbook ohne CD-Laufwerk ein neues System aufspielen kann.
Das Samsung Netbook besitzt eine Recovery Software - lässt es sich darüber vlt auf Werkseinstellung zurücksetzen und bleibt ein unbeschädigtes Betriebssystem zurück? Viele Daten können durch den kurzen Gebrauch (6 Wochen) nicht verloren gehen.

Danke für eure Hilfe

 

[Cordan]

RTFM (Read the fucking manual..)
In der Bedienungsanleitung zu Deinem Netbook findes Du Hinweise, wie Du Das System neu aufsetzen (auf die Werkseinstellungen zurücksetzen) kannst.
Hier gibt es, je nach Hersteller, verschiedene Wege. Die einen packen ein Image in eine Recovery-Partition, das erst auf CD gebrannt werden muss. Macht aber bei einem Rechner ohne optisches Laufwerk nicht viel Sinn. Eher wahrscheinlich ist bei Dir, dass Du über ein Bootoption von der Recovery-Partition starten, und von da aus ein sauberes Betriebssystem installieren kannst.
Wenn Du nicht klarkommst, bring das Teil zum Händler zurück und lass Dir von dem helfen.
Wenn das nicht geht, gibt's bestimmt auch noch eine Herstellerhotline, die man anrufen kann.

 

[Ic3M4ster]

Auf den USB Stick...
Einfach googlen.