Prob mit Task-Manager

Hi, ich bin neu hier und hoffe ich mache alles richtig

Also zu meinem Prob. Ich hatte das Problem mit dem Task-manager das ich den nicht mehr aufrufen konnte selbst das mit dem ausführen ging nicht mehr. na ja nach langen hin und her habe ich es jetzt geschaft das ich es jetzt doch alles wieder kann. nun habe ich aber noch das prob mit dem antivirus. mal wird er einfach ausgeschaltet mal einfach deaktiviert.

ich habe gleich beim neustart mal den taskmanager aufgerufen und es läuft am anfang gleich immer ein programm namens "Cin". ist das vielleicht mein virus weil ich vorher noch nie drauf geachtet habe ob da überhaupt was läuft.

damit keine fragen kommen.
ich habe einen:
Pentium 4 mit XP Home Edition

ich hoffe ihr könnt mir helfen so wie ihr es zuerst auch geschafft habt.

Gruß Shooter

Please also mark the comments that contributed to the solution of the article

Content-Key: 31730

Url: https://administrator.de/contentid/31730

Printed on: April 19, 2024 at 08:04 o'clock

7 Comments

Latest comment

damit wirklich nicht noch mehr fragen kommen:
1. lade dir das programm "HijackThis" runter:
http://www.hijackthis.de/de mit "Direktdownload" runterladen
2. scanne deinen rechner
3. poste mir das scan-log hier in den thread

saludos
gnarff

hoffe ich mach das richtig was du mir hier sagst

Logfile of HijackThis v1.99.1
Scan saved at 23:47:55, on 04.05.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Microsoft IntelliPoint\point32.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Mozilla Firefox\firefox.exe
E:\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [Lexmark 3100 Series] "C:\Programme\Lexmark 3100 Series\lxbrbmgr.exe"
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\###\CloneCD\CloneCDTray.exe" /s
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res:C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res:C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - E:\PartyPoker\PartyPokerNet\RunPF.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - E:\PartyPoker\PartyPokerNet\RunPF.exe (file missing)
O17 - HKLM\System\CCS\Services\Tcpip\..\{C2CA79F0-7392-4784-A666-BF19C7B9F47F}: NameServer = 217.237.150.225 217.237.150.188
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Programme\Norton Internet Security\ISSVC.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

folgende eintraege loeschen:
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
*falls du keinen wert auf ICQ legst*

F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
-dieser wurm heist W32/Randex-S
entfernen, wie folgt: mit hijackthis diesen eintrag loeschen, dann die systemwiederherstellung ausschalten, in den abgesicherten modus gehen und folgendende registry-eintraege suchen:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ microsoft scvhost for windows = scvhost.exe
und
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\ microsoft scvhost for windows = scvhost.exe
sicherheitscopie von diesen beiden schluesseln anfertigen(diskette), dann loeschen, reboot.

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
-das koennte ein trojaner mit dem namen Troj/SDBot-06 sein.
daher, bitte ueberpruefen ob es einen folgenden eintrag in der registry gibt, unter:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
suchen und pruefen ob es dort einen schluessel fuer:
ctfmon
bzw.
ctfmon.exe
gibt
-in diesem fall die schluessel loeschen

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
-kannst du loeschen, wenn du ICQ nicht brauchst

O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - E:\PartyPoker\PartyPokerNet\RunPF.exe (file missing)
-loeschen
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - E:\PartyPoker\PartyPokerNet\RunPF.exe (file missing)
-loeschen

nachdem du alles fein geloescht hast, neustart, und nochmal scannen mit hijack. sind die eintraege weg, bzw. bleiben weg, ist der rechner wieder sauber.
sind einige eintraege nach dem neustart wieder da, muessen wir nochmal beigehen. dann poste mir bitte das aktuelle scanlog, diesmal ohne die prozesse.

saludos
gnarff

*schlafengeht*

O4 - HKCU\..\Run: [CTFMON.EXE]
C:\WINDOWS\system32\ctfmon.exe
-das koennte ein trojaner mit dem namen
Troj/SDBot-06 sein.
daher, bitte ueberpruefen ob es einen
folgenden eintrag in der registry gibt,
unter:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
suchen und pruefen ob es dort einen
schluessel fuer:
ctfmon
bzw.
ctfmon.exe
gibt
-in diesem fall die schluessel loeschen

Muahahaha, das ist lustisch...
Siehe hier:
http://www.frankn.com/html/ctfmon_exe.html

Sischer, dat könnte schon ein Bösewicht sein, aber wenn man Erfahrung hat, weiß man, daß die o.g. Symptome woanders herrühren...
(Du meinst mit ctfmon.exe sicher den hier: http://www.sophos.de/virusinfo/analyses/trojviranc.html#table4 )

Hast Du schon das Tutorial hier gelesen:

Darin wird kurz und bündig erklärt, wie man am schnellsten vorgeht...
(vor allem, daß man die Systemwiederherstellung deaktiviert, und danach im abgesicherten Modus startet... Du mußt noch sehr viel lernen...)

Gruß

Lonesome Walker
PS: Nein gnarff, ich verfolge Dich nicht; ich lese lediglich die aktuellen Beiträge...)

lieber LSW,
1.du solltest eigentlich wissen, dass es schadprogramme gibt -und nicht erst seit TROJ/SBot-06- die sich als ctfmon.exe "tarnen"!

2. nein, ich meinte nicht den Troj/Viran-C

3. die meisten schadprogramme kann man von hand loeschen, ohne geld fuer irgendwelche ueberteuerten tools ausgeben zu muessen

4. schadprogramme, die sich als ctfmon.exe "tarnen", kann man leicht von hand loeschen

5. du kannst mich verfolgen, oder nicht -das ist mir jacke wie hose

saludos
gnarff

ich weiß nicht weiter egal was ich mache das ding geht nicht runter. habe das so gemacht wie du gesagt hast na ja ein prob habe ich da noch ich kann meine Systemwiederherstellung nicht aus machen unter start, einstellung, systemsteuerung, system, sytsemwiederherstellung finde ich leider nicht ( vielleicht stell ich mich nauch nur zu blöd an) und wenn ich das normal aufrufen lassen möchte sagt er mir:

Die Systemwiederherstellung wurde aufgrund einer Gruppenrichtlinie deaktiviert. Wenden Sie sich an den Domänenadministrator, um die Systemwiederherstellung zu Aktivieren.

ja und nun weiß ich gar nichts mehr. die daten hatte ich gelöscht und so weiter wie du das geschrieben hast aber leider ist es immer noch da. und mein antivirus geht jetzt schon gar nicht mehr an. das wird immer schlimmer habe ich das gefühl. ich mache jetzt nochmal den scan-log rein. denke aber es hat sich nichts geändert. ach so icq und das PartyPoker.net (ist ein spiel) möchte ich nicht löschen es sei denn ich sollte es lieber doch machen.

wenn es alles nicht geht wie kann ich denn am besten meine festplatte löschen ? wie kann ich mir am sichersten sein das das ding dann auch weg ist ?

Gruß Shooter

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\RunServices: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: &ICQ Toolbar Search - res:C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res:C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - E:\PartyPoker\PartyPokerNet\RunPF.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - E:\PartyPoker\PartyPokerNet\RunPF.exe (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Programme\Norton Internet Security\ISSVC.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

ach so ich sollte doch den

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ microsoft scvhost for windows = scvhost.exe

löschen. es steht aber nur bei beiden

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ Generic Host Process = scvhost.exe

drin. sonst nichts weiter. und im abgesicherten modus kann ich auf einmal mich oder einen administrator aussuchen. ist das normal (habe nur mich als benutzer) wenn ja welchen von beiden sollte ich denn benutzen ?

wie gesagt wenn das alles zu heftig ist dann sollte ich es lieber alles löschen. möchte hier niemanden auf den geist gehen.

Gruß Shooter

German Question Viruses, Trojans Security

Hotly discussed

How to set up and configure a Linux GRE tunnelAlexWisha - 3 Comments

WIREGUARD VPN ON UDM PRO BEHIND FRITZBOX - HANDSHAKE DID NOT COMPLETEjstricker - 3 Comments

Check of ZFW Firewallgleixnerd - 1 Comment

End of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 Comment