Norton AV wird gestoppt

Hallo,

habe seit einigen Tagen das Problem, das direkt nach dem Hochfahren mein Norton Anti Virus deaktiviert wird.

Man sieht es in der ?Uhrzeile? das es aktiv startet, aber nach ein paar Sekunden, noch während andere Programme laden, schaltet es um auf deaktiv.

Ich weiss nicht wer oder was dieses veranlaast. In den Optionen des IE Secur. und des Sicherheitscenters unter xp ist alles korrekt eingetragen. Ich muss jetzt immer nach Start manuell aktivieren !!

Weiss jemand woran das liegen könnte? :-[

Bis dahin ....

verschoben von Windows XP

Poste mal dein HiJackThis log rein
http://www.wintotal.de/softw/?id=2022

Hallo und danke,

habe das Programm einmal laufen lassen .. ist ne sehr lange Textdatei in dem alle meine starts und allerlei unnützes Zeug rumschwirrt

Soll ich sie dir per Mail senden?

ostfriesenschwab schrieb:

Soll ich sie dir per Mail senden?

Zum Vergrößern anklicken....

nein, die lange Hijack-Log hier posten, vorher solltest du das lesen:
http://www.wintotal.de/Tipps/Eintrag.php?TID=873

pan_fee

Na dann ... viel Vergnügen und danke.

Einige könnte ich durchaus löschen ... bin mir aber nicht sicher. ???


Logfile of HijackThis v1.98.2
Scan saved at 10:23:45, on 13.10.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\ACLSymbols.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\eEBSVC.exe
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sony\vaio media music server\SSSvr.exe
C:\Programme\sony\photo server 20\appsrv\PicAppSrv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\Gemeinsame Dateien\sony shared\vaio media platform\SV_Httpd.exe
C:\Programme\Gemeinsame Dateien\sony shared\vaio media platform\UPnPFramework.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\System32\ezSP_Px.exe
C:\Programme\Mouse\memorex_optWL\MOUSE32A.EXE
C:\Programme\Microsoft Hardware\Keyboard\type32.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\ClocX\ClocX.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\NCLAUNCH.EXe
C:\Programme\DayDisplay\DayDisplay.exe
C:\Programme\OnlineCounter 2002\OnlineCounter.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\Programme\GetRight\GETRIGHT.EXE
C:\Programme\GetRight\GETRIGHT.EXE
C:\WINDOWS\system32\ntvdm.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\Downloads\HijackThis.exe
C:\Programme\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///D:/Arbeitsordner/Homepage/offline/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.sony-europe.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = by cwr browsing
R3 - URLSearchHook: IncrediFindBHO Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~2\BHO\INCFIN~1.DLL__BHODemonDisabled (file missing)
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O2 - BHO: F1 Organizer Class - {00000EF1-0786-4633-87C6-1AA7A44296DA} - C:\WINDOWS\System32\ATPART~1.DLL (disabled by BHODemon)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~2\BHO\INCFIN~1.DLL (disabled by BHODemon)
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: WEB.DE Toolbar - {92F02779-6D88-4958-8AD3-83C12D86ADC7} - C:\WINDOWS\Downloaded Program Files\webde.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\googletoolbar2.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programme\Mouse\memorex_optWL\MOUSE32A.EXE
O4 - HKLM\..\Run: [IntelliType] C:\Programme\Microsoft Hardware\Keyboard\type32.exe
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [VOBRegCheck] C:\WINDOWS\System32\VOBREGCheck.exe -CheckReg
O4 - HKLM\..\Run: [QuickTime Task] C:\Programme\QuickTime\qttask.exe -atboottime
O4 - HKLM\..\Run: [ClocX] C:\Programme\ClocX\ClocX.exe
O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKCU\..\Run: [RDBirthdayReminder] c:\programme\birthday\birthday.exe /autostart
O4 - HKCU\..\Run: [NCLaunch] C:\WINDOWS\NCLAUNCH.EXe
O4 - HKCU\..\Run: [DayDisplay] C:\Programme\DayDisplay\DayDisplay.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - Startup: ClearTmp (auto).lnk = C:\Programme\ClearProg\ClearProg.exe
O4 - Startup: OnlineCounter 2002-Autostart.lnk = C:\Programme\OnlineCounter 2002\OnlineCounter-Autostart.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://c:\windows\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &WEB.DE Toolbar Suche - res://C:\WINDOWS\Downloaded Program Files\webde.dll/SEARCH.HTML
O8 - Extra context menu item: Backward &Links - res://c:\windows\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\windows\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O8 - Extra context menu item: Si&milar Pages - res://c:\windows\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://c:\windows\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: ArchiCrypt Stealth - {5A62567B-9F3A-468A-8200-E7D33EA8845B} - C:\Programme\ArchiCrypt Stealth\ACStealth.exe (file missing)
O9 - Extra button: concept/design's onlineTV - {6A507D40-7768-49BE-B35E-7D33E44D0FA2} - C:\Programme\onlineTV\onlineTV.exe (file missing)
O9 - Extra button: SWR3 Sidebar - {A2E145D3-CEB1-4182-BE9E-81610A41EBCA} - C:\WINDOWS\System32\SHDOCVW.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra->Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com/
O15 - Trusted Zone: http://www.ebay.de
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/02c0d1c3bb210bbcd420/netzip/RdxIE601_de.cab
O16 - DPF: {65E34CC9-B31A-4195-BAEA-8098420D185E} (Lycos Messenger) - http://messenger.lycos.de/messenger/client/ActiveXMsgrCore.cab
O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} - http://toolbar.google.com/data/GoogleActivate.cab
O16 - DPF: {92F02779-6D88-4958-8AD3-83C12D86ADC7} (WEB.DE Toolbar) - http://download.smartsurfer.web.de/toolbar/webdetb.cab

Hey,

ich sehe gerade das svchost.exe 2x geladen wird ..... könnte das der Grund sein das AV direkt wieder ausgeschaltet wird?

Welche Einträge können mit dem Programm problemlos gelöscht werden ? Sind störende Einträge dabei und wenn ja, weshalb foiltert sie mein Virenprogramm oder die firewall nicht aus?

Dank an alle :-*

ostfriesenschwab schrieb:

ich sehe gerade das svchost.exe 2x geladen wird .....

Zum Vergrößern anklicken....

kannst du hier nachlesen:
http://www.wintotal.de/Spyware/
(hier findest du auch deine dll's exe Dateien wieder)

Die Datei SVCHOST.EXE entschlüsseln:
http://www.wintotal.de/Tipps/Eintrag.php?TID=777

ostfriesenschwab schrieb:

Running processes:
C:\Programme\Internet Explorer\iexplore.exe

Zum Vergrößern anklicken....

???
hier erst lesen:
http://www.wintotal.de/Tipps/Eintrag.php?TID=873
... schließt man zuerst alle Browserfenster und ...
(auf der Seite gibt es auch eine automatische Auswertung der HijackThis Log)

ostfriesenschwab schrieb:

Na dann ... viel Vergnügen und danke.

Zum Vergrößern anklicken....

dir auch ???

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///D:/Arbeitsordner/Homepage/offline/index.html

Zum Vergrößern anklicken....

???

3 - URLSearchHook: IncrediFindBHO Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~2\BHO\INCFIN~1.DLL__BHODemonDisabled (file missing)

Zum Vergrößern anklicken....

fixen, TrojanDownloader, IncrediFind

O2 - BHO: F1 Organizer Class - {00000EF1-0786-4633-87C6-1AA7A44296DA} - C:\WINDOWS\System32\ATPART~1.DLL (disabled by BHODemon)

Zum Vergrößern anklicken....

fixen, FavoriteMan Spyware, TrojanDownloader

O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~2\BHO\INCFIN~1.DLL (disabled by BHODemon)

Zum Vergrößern anklicken....

fixen, TrojanDownloader, IncrediFind

ich würde zwar noch viel mehr unnötiges Zeug fixen, aber das sind jetzt erst einmal die wichtigsten .... da hilft auch das Programm ArchiCrypt Stealth nicht, was? :

pan_fee

Sind Deine Updates von Symantec aktuell?

Ich hatte das Problem auch mal peripher, Symantec hat dazu vor kurzem ein Update angeboten, seitdem habe ich Ruhe.

Dies ist ein Problem, das wohl mit dem SP2 zusammenhängt.

Erst einmal vielen Danj an PCDpan_fee

Werde die Links gleich mal öffnen und mich schlau machen. Zu den anderen Dingen:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///D:/Arbeitsordner/Homepage/offline/index.html

Zum Vergrößern anklicken....

Ist ok ===> ist meine pers. Startseite, hier habe ich einige Buttons zum Direktaufruf drauf.

3 - URLSearchHook: IncrediFindBHO Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~2\BHO\INCFIN~1.DLL__BHODemonDisabled (file missing)

fixen, TrojanDownloader, IncrediFind

Zum Vergrößern anklicken....

hatte ich schon gelöscht

O2 - BHO: F1 Organizer Class - {00000EF1-0786-4633-87C6-1AA7A44296DA} - C:\WINDOWS\System32\ATPART~1.DLL (disabled by BHODemon)

fixen, FavoriteMan Spyware, TrojanDownloader

Zum Vergrößern anklicken....

hatte ich schon gelöscht

O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~2\BHO\INCFIN~1.DLL (disabled by BHODemon)

fixen, TrojanDownloader, IncrediFind

Zum Vergrößern anklicken....

hatte ich schon gelöscht

ich würde zwar noch viel mehr unnötiges Zeug fixen, aber das sind jetzt erst einmal die wichtigsten .... da hilft auch das Programm ArchiCrypt Stealth nicht, was?

Zum Vergrößern anklicken....

das Programm hab ich schon nicht mehr, hat mein system so verlangsamt - hab ich auch schon gelöscht.

ich würde zwar noch viel mehr unnötiges Zeug fixen, aber das sind jetzt erst einmal die wichtigsten .... da hilft auch das Programm ArchiCrypt Stealth nicht, was?

Zum Vergrößern anklicken....

;D Ich hab noch viel mehr gefixt ... bis jetzt läuft das System noch.

Also Danke noch mal und Gruß

Nun zum Moosbrötchen (welch ein Nick) ;D

Sind Deine Updates von Symantec aktuell?
Ich hatte das Problem auch mal peripher, Symantec hat dazu vor kurzem ein Update angeboten, seitdem habe ich Ruhe. Dies ist ein Problem, das wohl mit dem SP2 zusammenhängt

Zum Vergrößern anklicken....

Jep ... alle auf dem neusten Stand, lasse die immer automatisch runterziehen. Wenn ich nun auf LiveUpdate gehe, zeigt er an keine Updates verfügbar, ihr System ist auf dem neusesten Stand oder so.

Das Problem mit dem deaktivieren des Norton AV ist aber trotz HiJack-Löschung nicht behoben :'(

Vielleicht find ich ja noch was.

In diesem Sinne .... Wolf

hijackthis löscht nur die einträge in der registry, den rest dazu mußt du selber finden und löschen. scan mal deine kiste mit einem anständigen viren/wurm/trojaner vernichter, dann sollte das eine oder ander auch noch gefunden werden. cwshredder, spybot ad-aware und pestpatrol kann ich dir auch noch ans herz legen, die finden dann den rest ... die letzeren progs gibts im downloadbereich, natürlich gleich nach dem installieren auch updaten und mit dem neuesten stand scannen. einen der besten vir/tojaner und wurmbekämpfer gibts hier

http://www.trendmicro.com/download/dcs.asp und zwar der syscleaner und hier http://www.trendmicro.com/download/pattern.asp gibts das aktuelle patern-file ...

greetz

hugo

hp schrieb:

hijackthis löscht nur die einträge in der registry, den rest dazu mußt du selber finden und löschen. scan mal deine kiste mit einem anständigen viren/wurm/trojaner vernichter, dann sollte das eine oder ander auch noch gefunden werden. cwshredder, spybot ad-aware und pestpatrol kann ich dir auch noch ans herz legen, die finden dann den rest ... die letzeren progs gibts im downloadbereich, natürlich gleich nach dem installieren auch updaten und mit dem neuesten stand scannen. einen der besten vir/tojaner und wurmbekämpfer gibts hier

http://www.trendmicro.com/download/dcs.asp und zwar der syscleaner und hier http://www.trendmicro.com/download/pattern.asp gibts das aktuelle patern-file ...

greetz

hugo

Zum Vergrößern anklicken....

Hallo Hugo,

ad-aware hatte ich früher mal ... machte mir aber Probleme.

Findest du es sinnvoll, all diese Progs neben dem IESec laufen zu lassen und wenn ja in welchem Rhythmus?

Den sycleaner werd ich gleich mal ausprobieren

Dank dir .....Wolf

Hallo,

ich stelle auch fest, das in meinem Downloadbereich Dateien ohne mein dazutun gespeichert werden, gestern z.B. eine ASP Datei mit ca 110 Byte.

Könnte dies mit eine Begründung sein, oder ist das etwas harmloses?

Gruß ....Wolf

ich hab die progs alle im einsatz, auf w2k, xp sp2 und auch auf server, keine probleme, natürlich auch alle nebeneinander ... sie ergänzen sich hervorragend. die asp datei könnte asp.net sein, vielleicht wurde das beim update downgelodet und nicht installiert?

greetz

hugo

hp schrieb:

ich hab die progs alle im einsatz, auf w2k, xp sp2 und auch auf server, keine probleme, natürlich auch alle nebeneinander ... sie ergänzen sich hervorragend. die asp datei könnte asp.net sein, vielleicht wurde das beim update downgelodet und nicht installiert?

greetz

hugo

Zum Vergrößern anklicken....

Hallo Hugo,

na dann werd ich morgen mal n paar installieren und laufen lassen. Die asp-Datei hab ich schon gelöscht, weiss nicht mehr wie sie hieß - die Endung was ****.asp. Welches Prog nutzt diese Endungen?

Also Dank noch mal und Grüße ... Wolf

.asp wird öfter benutzt, z.b.

.asp Active Server Pages ASP-Entwicklungsumgebung (Frontpage)
Active Server Page (Microsoft Internet Information Server)
Aspect language script file (Procomm Plus)
Astound Presentation file (Astound)

in klammer ist das jeweilige programm. asp.net, das ich im vorpost vermutet hatte, wäre die .net runtime (javaähnliche umgebung für webbaierte applikationen)...

greetz

hugo