MCPClient

D

Dergepard

New member
Liebe Forenteilnehmer,

bin neu hier. Mein Name ist Martin und ich verwende Spybot sehr gerne. Habe Win XP SP2, IE7.

Unter der Rubrik Systemstart, besteht der Eintrag Winlogon - MCPClient. Die Kommandozeile ist allerdings leer. Ich kann das Teil aber nicht löschen. Hat jemand eine Idee was ich da machen kann?

Danke für Tipps.

Viele liebe Grüße von Martin.
 
Hijacklog

Hallo Raman,

das ging aber schnell. Bitte, das Log von Hijack.

Logfile of HijackThis v1.99.1
Scan saved at 21:26:59, on 02.05.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Programme\Microsoft Hardware\Mouse\point32.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\FinePixViewer\QuickDCF.exe
C:\Programme\Webshots\WebshotsTray.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Eigene Dateien\downloads\Systemprogramme\hijackthis\HjT1991.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: PopupManager Class - {08E74C67-99A6-45C7-94DA-A397A8FD8082} - C:\Programme\Popup Manager\PopupMgr_1.0.2.1P.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: YahooTaggedBM Class - {65D886A2-7CA7-479B-BB95-14D1EFB7946A} - C:\Programme\Yahoo!\Common\YIeTagBm.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: (no name) - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - (no file)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programme\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [POINTER] C:\Programme\Microsoft Hardware\Mouse\point32.exe
O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Outlook.lnk = C:\Programme\Outlook Express\msimn.exe
O4 - Startup: Webshots.lnk = C:\Programme\Webshots\WebshotsTray.exe
O4 - Global Startup: Exif Launcher.lnk = C:\Programme\FinePixViewer\QuickDCF.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Yahoo! Search - file:///C:\Programme\Yahoo!\Common/ycsrch.htm
O8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Programme\Yahoo!\Common/ycdict.htm
O8 - Extra context menu item: Yahoo! &Maps - file:///C:\Programme\Yahoo!\Common/ycmap.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: ppctlcab -
O16 - DPF: {1D168290-F3DF-4842-94C3-2862596771FB} (Yahoo! Fotos Easy Upload Tool Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/installs/ydropper/ydropper1_1de.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} -
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) -
O16 - DPF: {B9191F79-5613-4C76-AA2A-398534BB8999} (YAddBook Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/installs/suite/autocomplete.cab
O16 - DPF: {CAFEEFAC-0014-0001-0002-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_02) -
O16 - DPF: {CAFEEFAC-0014-0002-0001-ABCDEFFEDCBA} (Java Plug-in 1.4.2_01) -
O16 - DPF: {CAFEEFAC-0015-0000-0002-ABCDEFFEDCBA} (Java Plug-in 1.5.0_02) -
O16 - DPF: {CAFEEFAC-0015-0000-0004-ABCDEFFEDCBA} (Java Plug-in 1.5.0_04) -
O16 - DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} (Java Plug-in 1.5.0_06) -
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = silentfox
O17 - HKLM\Software\..\Telephony: DomainName = silentfox
O17 - HKLM\System\CCS\Services\Tcpip\..\{0EE79F44-7A80-4170-8A5E-74684B904E10}: NameServer = 195.3.96.67 195.3.96.68
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = silentfox
O17 - HKLM\System\CS1\Services\Tcpip\..\{0EE79F44-7A80-4170-8A5E-74684B904E10}: NameServer = 195.3.96.67 195.3.96.68
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: Domain = silentfox
O20 - Winlogon Notify: MCPClient - C:\WINDOWS\
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
 
Setze in Hijackthis vor diesem Eintrag einen Haken und druecke dann fix checked:

O20 - Winlogon Notify: MCPClient - C:\WINDOWS\

Nach einem Neustart sollte der Eintrag verschwunden sein.
Du kannst mit folgenden Eintraegen das selbe machen, da es auch nur Eintraege ohne dazu vorhandene Dateien sind:

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: (no name) - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - (no file)


Alles das solltest du bei geschlossenem Teatimer machen. BZW die Aenderungen vom Teatimer erlauben lassen.
 
nach dem Neustart

Hallo Raman,

danke für die Info. Leider ist nach dem Fixen und Neustart wieder alles beim Alten.

Das hatte ich früher auch schon versucht, und weil ich erfolglos war, dachte ich mir, frag ich mal die Profis.

Viele liebe Grüße von Martin.
 
Du kannst den Eintrag auch mit Hilfe von Regedit haendisch loeschen. Er befindet sich hier:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
 
Hallo Raman,

auch nach einer händischen Löschung mittels Regedit, ist nach einem Neustart wieder alles beim Alten.

Viele liebe Grüße von Martin.
 
Versuch's mal im abgesicherten Modus bei AUSgeschalteter Systemwiederherstellung!

Dann Rechner normal neu starten und Systemwiederherstellung wieder einschalten.

Viel Glück! :bigthumb:
 
Hallo Radi,

danke für deinen Hinweis, hat aber auch nicht den gewünschten Erfolg gebracht. Immer noch drin.

Viele liebe Grüße von Martin.
 
Hallo Martin,

tja, dann fällt mir leider im Moment auch nichts mehr ein! :oops:

Ich denke aber, dass das Team Spybot noch 'nen guten Tipp für Dich ausarbeitet.

Falls mir noch was (sinnvolles) einfallen sollte, melde ich mich nochmal.

Ansonsten schönes Wochenende!;)
 
Hallo,

was ich wahrscheinlich brauche ist ein Traceprogramm, mit dem ich verfolgen kann, wer während des Hochfahrens die Einträge in die Registry macht.

Kennt jemand solch ein Programm?

Viele liebe Grüße von Martin.
 
Hallo Raman,

ich hatte, ist aber längst deinstalliert. Scheinbar sind Spuren davon zurück geblieben.

Die beiden Progis habe ich. Jetzt muss ich nur noch lernen damit umzugehen. Okay, danke, wenn ich weiß, dass ich damit Erfolg haben kann, knie ich mich rein.

Danke für die Hilfe,

Gruß, Martin.
 
Dergepard said:
Hallo,

auf meiner Recherche bin ich auf folgendes Programm gestoßen. Möchte es euch nicht vorenthalten.

http://labs.idefense.com/software/malcode.php#more_hookexplorer

Viele Grüße von Martin.
Click to expand...

Hallo,

bei der Installation weiterer Software von Idefense wurde mir vom Virenscanner eine Warnung (Trojaner und Backdoor) ausgegeben und ich musste die Installation abbrechen. Eine Anfrage bei Idefense wurde nicht beantwortet. Seid also vorsichtig mit Software von Idefense.

Viele Grüße von Martin.
 
Last edited:
Dergepard said:
Hallo,

bei der Installation weiterer Software von Idefense wurde mir vom Virenscanner eine Warnung (Trojaner und Backdoor) ausgegeben und ich musste die Installation abbrechen. Eine Anfrage bei Idefense wurde nicht beantwortet. Seid also vorsichtig mit Software von Idefense.

Viele Grüße von Martin.
Click to expand...


HI,

welche Software war das genau ?
 
Beide .exe Dateien habe ich bei Virustotal und Jotti hochgeladen und es wird nichts gefunden.
Mein AVK meldet auch nichts.

Die Dateien habe ich allerdings nicht ausgeführt.

Welcher Virenscanner meldet da genau was bei dir ?
 
Ich habe testweise Antivir installiert, diese Dateien aber nicht ausgeführt, sondern nur gescannt (Heuristik hoch) - nichts.

Das Thema ist zwar in diesem Thread OT, aber vielleicht weiß @Raman weiter.
 
You must log in or register to reply here.
Back
Top