[linksta]

hi,

meine Firewall meldet mir immer das analize.exe auf das internet zugriefen will.

Zur Info:
ich habe grade winxp prof neu installiert bzw. festplatte auf ntfs formatiert.

[hans_maulwurf]

Was sagt HijackThis.de?
Vor dem Zugang ins Inet sp2 und dingens.org installiert/benutzt?

[linksta]

also das logfile von hijackthis sagt

Logfile of HijackThis v1.99.0
Scan saved at 15:06:53, on 26.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\csrss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\System32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
D:\WINDOWS\System32\svhost.exe
D:\WINDOWS\System32\ctfmon.exe
D:\WINDOWS\system32\ZoneLabs\vsmon.exe
D:\PROGRA~1\MOZILL~1\firefox.exe
D:\Programme\MSN Messenger\msnmsgr.exe
D:\PROGRA~1\ICQ\Icq.exe
D:\Programme\eMule.de\emule.exe
D:\WINDOWS\System32\qiyv.exe
D:\WINDOWS\System32\analiz.exe
D:\Programme\WinRAR\WinRAR.exe
D:\DOKUME~1\Alex\LOKALE~1\Temp\Rar$EX00.775\HijackThis.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIPTA] D:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [Bar Ding lolt] analiz.exe
O4 - HKLM\..\Run: [Servicio Local] svhost.exe
O4 - HKLM\..\Run: [RSPC Driver] qiyv.exe
O4 - HKLM\..\Run: [C-Media Speaker Configuration] \Setup.exe /SPEAKER
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [Mirabilis ICQ] D:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\RunServices: [Bar Ding lolt] analiz.exe
O4 - HKLM\..\RunServices: [Servicio Local] svhost.exe
O4 - HKLM\..\RunServices: [RSPC Driver] qiyv.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Servicio Local] svhost.exe
O4 - HKCU\..\Run: [RSPC Driver] qiyv.exe
O4 - HKCU\..\Run: [Bar Ding lolt] analiz.exe
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{5FECCA96-A681-4FAC-8481-816DB5E59EEF}: NameServer = 213.191.74.18 213.191.92.87
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - D:\WINDOWS\system32\ZoneLabs\vsmon.exe

okay hijackthis hat mir ein paar tipps gegeben

thx

[linksta]

hier nochmal für die jenigen die wissen wollen was hijackthis.de gesagt hat

Logfile of HijackThis v1.99.0
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Gut
Gut Zeigt die Version des InternetExplorers an. Neuste Version: 6.00.2800.1106! Ihre Version sollte aktuell sein. (6.00.2800.1106)
D:\WINDOWS\System32\smss.exe Gut
Gut Laufender Prozess. (smss.exe)
Systemprozess - Anwendung, die benutzt wird um Sitzungen zu starten, verwalten und löschen.
D:\WINDOWS\system32\csrss.exe Gut
Gut Laufender Prozess. (csrss.exe)
Systemprozess - Client Server Runtime
D:\WINDOWS\system32\winlogon.exe Gut
Gut Laufender Prozess. (winlogon.exe)
Systemprozess - Windows Login Routine
D:\WINDOWS\system32\services.exe Gut
Gut Laufender Prozess. (services.exe)
Systemprozess - Verwaltet die Systemdienste.
D:\WINDOWS\system32\lsass.exe Gut
Gut Laufender Prozess. (lsass.exe)
Systemprozess
D:\WINDOWS\System32\Ati2evxx.exe Gut
Gut Laufender Prozess. (Ati2evxx.exe)
ATI2evxx.exe is related to ATI Technologies Inc. hardware.
D:\WINDOWS\system32\svchost.exe Gut
Gut Laufender Prozess. (svchost.exe)
Systemprozess - Allgemeiner Hostprozessname für Dienste.
D:\WINDOWS\System32\svchost.exe Gut
Gut Laufender Prozess. (svchost.exe)
Systemprozess - Allgemeiner Hostprozessname für Dienste.
D:\WINDOWS\System32\svchost.exe Gut
Gut Laufender Prozess. (svchost.exe)
Systemprozess - Allgemeiner Hostprozessname für Dienste.
D:\WINDOWS\System32\svchost.exe Gut
Gut Laufender Prozess. (svchost.exe)
Systemprozess - Allgemeiner Hostprozessname für Dienste.
D:\WINDOWS\system32\spoolsv.exe Gut
Gut Laufender Prozess. (spoolsv.exe)
Systemprozess
D:\WINDOWS\system32\Ati2evxx.exe Gut
Gut Laufender Prozess. (Ati2evxx.exe)
ATI2evxx.exe is related to ATI Technologies Inc. hardware.
D:\WINDOWS\Explorer.EXE Gut
Gut Laufender Prozess. (Explorer.EXE)
Systemprozess für Desktop und Taskleiste.
D:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe Gut
Gut Laufender Prozess. (atiptaxx.exe)
ATI Desktop Control Panel from ATI Technologies
D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe Gut
Gut Laufender Prozess. (zlclient.exe)
Zone Alarm
D:\WINDOWS\System32\svhost.exe Böse
Böse Laufender Prozess. (svhost.exe)
Added as result of a RBOT.QG worm infection Dies ist ein Böser Prozess! Den Prozess sollten Sie fixen und manuell löschen!
D:\WINDOWS\System32\ctfmon.exe Gut
Gut Laufender Prozess. (ctfmon.exe)

D:\WINDOWS\system32\ZoneLabs\vsmon.exe Gut
Gut Laufender Prozess. (vsmon.exe)

D:\PROGRA~1\MOZILL~1\firefox.exe Gut
Gut Laufender Prozess. (firefox.exe)
Internet Browser
Eventuell Böse! Laut unserer Datenbank läuft dieser Prozess nomalerweise in c:\programme\mozilla firefox\! Überprüfen Sie, ob Sie die Datei kennen und führen Sie ggf. einen Virencheck durch.
D:\Programme\MSN Messenger\msnmsgr.exe Gut
Gut Laufender Prozess. (msnmsgr.exe)
MSN Messenger
D:\PROGRA~1\ICQ\Icq.exe Gut
Gut Laufender Prozess. (Icq.exe)
ICQ chat client
Eventuell Böse! Laut unserer Datenbank läuft dieser Prozess nomalerweise in c:\programme\icq\! Überprüfen Sie, ob Sie die Datei kennen und führen Sie ggf. einen Virencheck durch.
D:\Programme\eMule.de\emule.exe Gut
Gut Laufender Prozess. (emule.exe)
eMule filesharing
Eventuell Böse! Laut unserer Datenbank läuft dieser Prozess nomalerweise in c:\programme\emule\! Überprüfen Sie, ob Sie die Datei kennen und führen Sie ggf. einen Virencheck durch.
D:\WINDOWS\System32\qiyv.exe Unbekannt
Unbekannt Laufender Prozess. (qiyv.exe)
Dies ist ein unbekannter Prozess.
D:\WINDOWS\System32\analiz.exe Unbekannt
Unbekannt Laufender Prozess. (analiz.exe)
Dies ist ein unbekannter Prozess.
D:\Programme\WinRAR\WinRAR.exe Gut
Gut Laufender Prozess. (WinRAR.exe)
WinRar Packer
D:\DOKUME~1\Alex\LOKALE~1\Temp\Rar$EX00.775\HijackThis.exe Gut
Gut Laufender Prozess. (HijackThis.exe)
Tool, mit dem sie dieses Logfile erzeugt haben. Bedenken Sie, dass HijackThis in einem eigenen Ordner laufen muss. Nur so können Backups erstellt werden!
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx Gut
Gut Einige Programme sind hier schlecht. Das eingegebene Programm ([8E718888-423F-11D2-876E-00A0C9082467] - Treffer: 8E718888-423F-11D2-876E-00A0C9082467) wurde überprüft. Wenn der Name aus zufälligen Zeichen besteht, sich im Verzeichnis 'Application Data' (Anwendungsdaten) befindet und die Art 'Unbekannt' ist, fixen. Trefferquote: 99 %
O4 - HKLM\..\Run: [ATIPTA] D:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe Gut
Gut Zum eingegebenen Programm ATIPTA haben wir folgendes Programm gefunden: AtiPTA. Trefferquote: 78 % (Resultate)
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" Gut
Gut Zum eingegebenen Programm Zone Labs Client haben wir folgendes Programm gefunden: zlclient or Zone Labs Client. Trefferquote: 85 % (Resultate)
O4 - HKLM\..\Run: [Bar Ding lolt] analiz.exe Unbekannt
Unbekannt Zum eingegebenen Programm Bar Ding lolt haben wir folgendes Programm gefunden: Kein. Trefferquote: 10 % (Resultate) Nicht bekanntes Programm.
O4 - HKLM\..\Run: [Servicio Local] svhost.exe Unbekannt
Unbekannt Zum eingegebenen Programm Servicio Local haben wir folgendes Programm gefunden: Kein. Trefferquote: 10 % (Resultate) Nicht bekanntes Programm.
O4 - HKLM\..\Run: [RSPC Driver] qiyv.exe Unbekannt
Unbekannt Zum eingegebenen Programm RSPC Driver haben wir folgendes Programm gefunden: Kein. Trefferquote: 5 % (Resultate) Nicht bekanntes Programm.
O4 - HKLM\..\Run: [C-Media Speaker Configuration] \Setup.exe /SPEAKER Gut
Gut Zum eingegebenen Programm C-Media Speaker Configuration haben wir folgendes Programm gefunden: C-Media Speaker Configuration. Trefferquote: 99 % (Resultate)
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup Gut
Gut Zum eingegebenen Programm C-Media Mixer haben wir folgendes Programm gefunden: C-Media Mixer. Trefferquote: 99 % (Resultate) Nicht gefährlich aber unnötig.
O4 - HKLM\..\Run: [Mirabilis ICQ] D:\PROGRA~1\ICQ\ICQNet.exe Gut
Gut Zum eingegebenen Programm Mirabilis ICQ haben wir folgendes Programm gefunden: Kein. Trefferquote: 4 % (Resultate)
O4 - HKLM\..\RunServices: [Bar Ding lolt] analiz.exe Unbekannt
Unbekannt Zum eingegebenen Programm Bar Ding lolt haben wir folgendes Programm gefunden: Kein. Trefferquote: 10 % (Resultate) Nicht bekanntes Programm.
O4 - HKLM\..\RunServices: [Servicio Local] svhost.exe Unbekannt
Unbekannt Zum eingegebenen Programm Servicio Local haben wir folgendes Programm gefunden: Kein. Trefferquote: 10 % (Resultate) Nicht bekanntes Programm.
O4 - HKLM\..\RunServices: [RSPC Driver] qiyv.exe Unbekannt
Unbekannt Zum eingegebenen Programm RSPC Driver haben wir folgendes Programm gefunden: Kein. Trefferquote: 5 % (Resultate) Nicht bekanntes Programm.
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe Gut
Gut Zum eingegebenen Programm CTFMON.EXE haben wir folgendes Programm gefunden: ctfmon.exe. Trefferquote: 54 % (Resultate)
O4 - HKCU\..\Run: [Servicio Local] svhost.exe Unbekannt
Unbekannt Zum eingegebenen Programm Servicio Local haben wir folgendes Programm gefunden: Kein. Trefferquote: 10 % (Resultate) Nicht bekanntes Programm.
O4 - HKCU\..\Run: [RSPC Driver] qiyv.exe Unbekannt
Unbekannt Zum eingegebenen Programm RSPC Driver haben wir folgendes Programm gefunden: Kein. Trefferquote: 5 % (Resultate) Nicht bekanntes Programm.
O4 - HKCU\..\Run: [Bar Ding lolt] analiz.exe Unbekannt
Unbekannt Zum eingegebenen Programm Bar Ding lolt haben wir folgendes Programm gefunden: Kein. Trefferquote: 10 % (Resultate) Nicht bekanntes Programm.
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe Gut
Gut Der Eintrag ICQ Pro wurde als Gut erkannt. Wenn der Eintrag 'ICQ Pro ' nicht mehr benötigt wird, sollte er trotzdem gefixt werden.
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe Gut
Gut Der Eintrag ICQ wurde als Gut erkannt. Wenn der Eintrag 'ICQ ' nicht mehr benötigt wird, sollte er trotzdem gefixt werden.
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm Gut
Gut Der Eintrag Related wurde als Gut erkannt. Wenn der Eintrag 'Related ' nicht mehr benötigt wird, sollte er trotzdem gefixt werden.
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm Gut
Gut Der Eintrag Show &Related Links wurde als Gut erkannt. Wenn der Eintrag 'Show &Related Links ' nicht mehr benötigt wird, sollte er trotzdem gefixt werden.
O17 - HKLM\System\CCS\Services\Tcpip\..\{5FECCA96-A681-4FAC-8481-816DB5E59EEF}: NameServer = 213.191.74.18 213.191.92.87 Gut
Gut Wenn die hier angegebene Domäne nicht zum ISP, bzw. des Firmen-Netzwerks ist, sollte dieser Eintrag mit HijackThis gefixt werden. Das Gleiche gilt für die 'SearchList'-Einträge (Suchlisten-Einträge). Die Eingegebene IP oder Domäne '213.191.74.18 213.191.92.87' wurde als gut identifiziert.
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\System32\Ati2evxx.exe Gut
Gut Diese Einträge zeigen alle, nicht von Microsoft stammenden, Systemdienste. Malware startet oft als Systemdienst und man erkennt sie schwerer. Unbekannte Einträge sollten genauer überprüft werden. Dieser Dienst (Ati2evxx.exe) wurde als gut identifiziert.
O23 - Service: ATI Smart - Unknown - D:\WINDOWS\system32\ati2sgag.exe Gut
Gut Diese Einträge zeigen alle, nicht von Microsoft stammenden, Systemdienste. Malware startet oft als Systemdienst und man erkennt sie schwerer. Unbekannte Einträge sollten genauer überprüft werden. Dieser Dienst (ati2sgag.exe) wurde als gut identifiziert.
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - D:\WINDOWS\system32\ZoneLabs\vsmon.exe Gut
Gut Diese Einträge zeigen alle, nicht von Microsoft stammenden, Systemdienste. Malware startet oft als Systemdienst und man erkennt sie schwerer. Unbekannte Einträge sollten genauer überprüft werden. Dieser Dienst (vsmon.exe) wurde als gut identifiziert.

[Rika]

Plattmachen, Neuinstallieren, vorher mal den Rechner-sicher-machen-Thread lesen und auf Quark a la ZoneAlarm verzichten.

[linksta]

bist du denn des wahnsinns?

ich hab auf miener nigel nagel neuen pladde grad erst wxp neu installiert

[Rika]

Nein, ich bin nicht des Wahnsinns.
Und gerade weil du es frisch installiert hast solltest es ja wohl erst recht kein Problem sein das Ding wieder zu plätten und diesmal sauber neuaufzusetzen. Drumherum kommst du eh nicht.

Außerdem hast du es dir mit der Installation von ZoneAlarm ohnehin kaputtgemacht.

[pSyCHo_SolDiEr]

Und für alle dies bis jetzt immer noch nicht gelesen haben:
Was Tun, Wenn Der Pc Kompromittiert Wurde?

[Major König]

Vielleicht sollte jemand, am besten Rika mal einen Sticky-Thread schreiben, wo die Überschrift schon mit "Warum sollte man keine PFW installieren" (oder so ähnlich) anfangen soll, damit jeder sofort den Thread sieht und sich ausreichend informieren kann am besten mit dem CCC Video damit nicht jeden 2 Tag jemand wegen PFW Fragen kommt. Der Thread "Rechner sicherer" machen scheinen nämlich die wenigsten zu lesen. Wäre das nicht eine Idee @ Rika und Mods?

Dieser Beitrag wurde von Major König bearbeitet: 26. Dezember 2004 - 15:46

[linksta]

wenn ich mal so blöd fragen darf,

WARUM IN GOTTES NAMEN SOLL ES FALSCH SEIN ZONE ALARM ZU INSTALLIEREN?

[Rika]

Warum sollte es richtig sein? Du als Ottonormaluser kannst mit einem hostbasierenden Paketfilter eh nix anfangen, dafür aber bereits das Ding nur Problemem vergeudet Zeit mit der Konfiguration und macht den Rechner anfälliger.

Insbesondere auch weil du offensichtlich wesentlich wichtigere Sicherheitsmaßnahmen vollkommen außer Acht gelassen hast...

[puppet]

Du solltest dich lieber fragen warum die sie überhaupt installiert hast?

Zitat

O4 - HKCU\..\Run: [Servicio Local] svhost.exe
O4 - HKCU\..\Run: [RSPC Driver] qiyv.exe
O4 - HKCU\..\Run: [Bar Ding lolt] analiz.exe

Hat dir ja scheinbar auch sehr viel geholfen wenn du schon 3 Würmer drauf hast! Hoffentlich hast du dafür kein Geld ausgegeben, denn zurückgeben könnte schwer werden!

Und über den Sinn und Unsinn von PFWs wurde hier schon (zu) oft diskutiert. Benutze also bitte die Boardsuche und lese die Sticky-Threads im Sicherheitsforum.

[EDragon]

Zitat (Major König: 26.12.2004, 15:45)

Den Thread "Rechner sicherer" machen scheinen nämlich die wenigsten zu lesen.
<{POST_SNAPBACK}>

Rechner Sicherer Machen Aufrufe 13.549

War ich selber.

[linksta]

sehr nette hilfe

übrigends wo soll was hostbasierendes sein?

[DK2000]

Zitat

sehr nette hilfe

Ja, ist die Frage, was man dazu so groß sagen kann. Du hast sowas wie eine Firewall installiert und dennoch jede Menge Schädlinge Dir eingefangen. Das sollte Dir zu denken geben

Zitat

übrigends wo soll was hostbasierendes sein?

Deine Firewall.