komische taskmanager prozesse Problem

[evildragon]

hallo fsb user,
ich hab mir glaube heut ein/ oder mehrere Viren eingehandelt.
Auf jeden Fall hat mein Anti Vir rumgesponnen und die entsprechenden datein gelöscht.
So, nun erscheint bei jedem Neustart im taskmanager folgende 2 Prozesse, die vorher nicht da waren:
2 mal rundll32.exe
und ganz kurz 2 mal dllhost.exe

nun meine Frage. Sind das Viren? Besonders dllhost kommt mir verdächtig vor? Was sagt ihr dazu?

ich benutze win 7 rc7100

hier ein hijack this file:

ogfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:42:47, on 01.10.2009
Platform: Unknown Windows (WinNT 6.01.3004)
MSIE: Internet Explorer v8.00 (8.00.7100.0000)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\System32\rundll32.exe
C:\Windows\System32\rundll32.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
D:\Programme\ICQ6.5\ICQ.exe
C:\Users\Alex\AppData\Local\Temp\RtkBtMnt.exe
C:\Windows\system32\taskmgr.exe
D:\Programme\Mozilla Firefox\firefox.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = MSN.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [PLFSetL] C:\Windows\PLFSetL.exe
O4 - HKLM\..\Run: [Goodnight Timer] C:\Program Files\Goodnight Timer\Goodnight Timer.exe -s
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ICQ] "D:\Programme\ICQ6.5\ICQ.exe" silent
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
O4 - Startup: hamachi.lnk = C:\Program Files\Hamachi\hamachi.exe
O8 - Extra context menu item: Save YouTube Video as MP3 - res/C:\Program Files\Common Files\DVDVideoSoft\Dll\IEContextMenuY.dll/scriptY2MP3.htm
O13 - Gopher Prefix:
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

--
End of file - 3833 bytes

 

[totsch]

Hallo

Logfile scheint in Ordnung aber getrost fixen kannst du >>
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

zu rundll32.exe

eine Datei außerhalb von %windir% mit dem Namen rundll32.exe in den meisten Fällen ein Virus.
Eine bösartig ersetzte Original-RunDLL wird aber von der Windows-Funktion Systemwiederherstellung abgesichert, die Systemdateien automatisch auf einen verlässlichen Zustand zurücksetzt. Wenn es dem Schädling aber gelingt, Aufrufe der RunDLL auf die bösartige Version umzubiegen, ohne dass das bemerkt wird, handelt es sich um einen sehr bedrohlichen Schadensfall.

Quelle Wikipedia

Infos zu dllhost.exe

Sicherheitshalber mal die beiden exe-Dateien bei Virustotal und Jotti scannen lassen und dir das Ergebnis dann anschauen.

Gruss Totsch

 

[evildragon]

bei den beiden rundll32 (die im übrigen die gleichen sind, auf jeden fall den selben speicherort haben) findet er nix
bei dllhost.exe kann ich nix machen da ich den speicherort/ pfaht nicht kenne und im taskmanger wird er auch nur ein bruchteil einer sekunde angezeigt

 

[totsch]

Hallo,

rundll32.exe und dllhost.exe befinden sich beide in C:\WINDOWS\system32 bzw. auch in C:\WINDOWS\system32\dllcache und sind Systemdateien von MS. Befinden sie sich in einem anderen Pfad, erst dann könnte es sich um einen Schädlingsbefall handeln.
Wie war das Ergebnis denn bei Virustotal bzw. Jotti für die beiden Dateien?

Im Prinzip solltest du dir über die beiden (kurzzeitigen) Prozesse keine Sorgen machen. Entweder hast du selber oder andere Programme diese Prozesse ausgelöst. Sobald du z.B. die Systemsteuerung aufrufst, wirst du das Starten des Prozesses rundll32.exe erkennen. Und genauso könnten Programme im Hintergrund die rundll32.exe "benutzen" und diesen Prozess gestartet haben.
Um z.B. die Anzeigeeigenschaften zu öffnen, könntest du auch mit dem Befehl Rundll32 Shell32.dll,Control_RunDLL desk.cpl den Prozess rundll32.exe starten.

Falls unter Start >> Ausführen >> msconfig >> Enter >> Systemstart ein Eintrag der rundll32.exe aktiviert ist, dann kannst du diesen deaktivieren und bei der Gelegenheit den Systemstart evtl. sowieso noch etwas mehr "ausmisten"/deaktivieren.

Gruss Totsch