Meinen Rechner hats erwischt

[Olivia]

Hallo Leute!
Bitte schaut Euch mal das Logfile an.

Logfile of HijackThis v1.99.1
Scan saved at 11:15:28 AM, on 8/6/2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\Programme\Sygate\SPF\Smc.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Norton Utilities\NPROTECT.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\tcpsvcs.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\WINNT\Explorer.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Acronis\TrueImage\TrueImageMonitor.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
C:\WINNT\2kadiras.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\regprot.exe
C:\Programme\Analog Devices\AT-AR215 USB ADSL Modem\DSLMON.exe
C:\Programme\Norton Utilities\SYSDOC32.EXE
C:\Programme\No-IP\DUC20.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.olivia-seife.de/
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [Acronis*True*Image Monitor] "C:\Programme\Acronis\TrueImage\TrueImageMonitor.exe"
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [RegProt] c:\regprot.exe /start
O4 - HKCU\..\Run: [ccleaner] "C:\Programme\CCleaner\ccleaner.exe" /AUTO
O4 - Startup: No-IP DUC.lnk = C:\Programme\No-IP\DUC20.exe
O4 - Global Startup: DSLMON.lnk = C:\Programme\Analog Devices\AT-AR215 USB ADSL Modem\DSLMON.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Norton System Doctor.lnk = C:\Programme\Norton Utilities\SYSDOC32.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: IE Manager - {25b80307-f623-4a12-9d03-b40ed33d6731} - C:\Programme\SeeMeMe IE Manager\IEManager.exe (file missing)
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM\aim.exe (file missing)
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - http://www.symantec.com/techsupp/asa/ctrl/LSSupCtl.cab
O16 - DPF: {3451DEDE-631F-421C-8127-FD793AFC6CC8} (ActiveDataInfo Class) - http://www.symantec.com/techsupp/asa/ctrl/SymAData.cab
O16 - DPF: {44990200-3C9D-426D-81DF-AAB636FA4345} (Symantec SmartIssue) - http://www.symantec.com/techsupp/asa/ctrl/tgctlsi.cab
O16 - DPF: {44990301-3C9D-426D-81DF-AAB636FA4345} (Symantec Script Runner Class) - http://www.symantec.com/techsupp/asa/ctrl/tgctlsr.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-24.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1138536278000
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1141680201125
O16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Trend Micro ActiveX Scan Agent 6.5) - http://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/mcfscan/2,1,0,4795/mcfscan.cab
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programme\Norton Utilities\NPROTECT.EXE
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\Smc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\Programme\Speed Disk\nopdb.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

Automatische Analyse bringt einiges zu Tage.

Die Katastrophe dauert schon seit Montag. Als ich den Rechner kurz runtergefahren hab, startete anschließend checkdisk, fixte jede Menge Dateien und anschließend konnt ich nicht mehr hochfahren. Stürzte jedesmal vor dem Laden der benutzerdefinierten Einstellungen wieder ab und fing von vorne an.
Windows Installationsdisk hat repariert und danach kam ich nicht mehr ins Netz. Das hab ich wieder hingekriegt (zwei Registryordner gelöscht, die von früheren Sericepackinstallationen noch da waren und das Modem neu installiert, dann gings) Zwischenzeitlich hatte das BIOS auch mal die ganze Platte ignoriert.

Norton neu installiert und gescannt, aber außer einem Backdoor.NTLoader hat der nix entdeckt. Nochmal im abgesicherten Modus gescannt mit demselben Ergebnis. Smitrem laufen lassen und Spybot S&D auch.

Dieses Logfile ist von danach.
Möchte die Kiste ungern neu aufsetzen.
Danke schonmal im Voraus.

[Xeranox]

Hallo Olivia

Kannst du bitte nochmals ein Logfile erstellen und posten!
Bitte den Inhalt der .txt So wie er ist Hier posten.

Mit diesem Logfile kann die Auswertung nicht all zu viel anfangen.

Xeranox

[Olivia]

Ooops, was ist denn da passiert.... habs oben nochmal neu eingefügt.


Füge hinzu, habe gerade gemerkt, daß ich weder Windows updaten kann noch online scannen lassen bei Trendmicro oder McAffee. Außerdem hat sich Norton grade erledigt.

[Xeranox]

Hallo Olivia

Um weitere Informationen zu erhalten, führe bitte folgende Anleitung aus.

System-Kontrolle
Desweiteren möchten wir dann erstmal sehen, was du auf deinem Rechner hast, wobei es auch sehr wichtig ist, herauszufinden was sich in deinen temporären Dateien so alles verbirgt.
Man kann auf diese Weise einen guten Einblick in das System bekommen.

Lade bitte die windatfindbat
von unserem Moderator Karl83 (für alle Betriebssysteme) herunter. Bitte
auf die Datei klicken, es erscheint ein DOS-Fensterchen, nun wird eine
Notepad-Datei unter C:\ erstellt.
Bitte von diesem Text >> jeweils die
letzten 30 Tage kopieren << und hier posten:

C:\
C:\%WinDir%\%System%
C:\%WinDir%
C:\%WinDir%\TEMP

Hinweis:
%WinDir%, %System% sind Variable (?). Normalerweise ist dies C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), oder C:\Windows\System32 (Windows XP).

Xeranox

[Olivia]

Sorry, Temp hab ich schon erledigt gehabt.

 Datentr„ger in Laufwerk C: ist Superbrain
 Datentr„gernummer: FC9C-B869

 Verzeichnis von c:\

08/06/2006  12:32p                   0 dirdat.txt
08/06/2006  11:04a              30,412 regprot.cfg
08/06/2006  11:03a         754,974,720 pagefile.sys
08/06/2006  02:54a               3,160 smitfiles.txt
08/01/2006  05:22p                 192 boot.ini


 Verzeichnis von C:\WINNT\system32

08/06/2006  11:28a                   0 TFTP1608
08/06/2006  11:05a              16,384 Perflib_Perfdata_658.dat
08/05/2006  08:36p                   0 TFTP500
08/05/2006  08:34p                   0 TFTP1288
08/05/2006  08:31p                  71 i
08/05/2006  08:19p                   0 TFTP1096
08/05/2006  08:14p                   0 TFTP1964
08/05/2006  08:07p                   0 TFTP640
08/05/2006  08:03p                   0 TFTP1888
08/05/2006  07:41p                  32 {6F850577-E20B-41F0-80B0-9EA82A813E53}.dat
08/05/2006  07:41p                  14 SR2.dat
08/05/2006  04:10p             327,810 perfh009.dat
08/05/2006  04:10p              47,194 perfc009.dat
08/05/2006  04:10p             323,176 perfh007.dat
08/05/2006  04:10p              56,838 perfc007.dat
08/05/2006  02:53a             100,352 dfrg.msc
08/05/2006  01:06a                  13 WinSys32.crc
08/01/2006  03:56p              37,888 setupnt.dll
08/01/2006  03:56p             126,976 snapapi.dll
08/01/2006  03:23p             111,784 FNTCACHE.DAT
07/07/2006  03:21a           6,757,792 MRT.exe
07/04/2006  12:59a              16,384 Perflib_Perfdata_5c0.dat



 Verzeichnis von C:\WINNT

08/06/2006  12:21p             260,060 setupapi.log
08/06/2006  11:04a               2,347 MININU.LOG
08/06/2006  11:04a           1,901,573 WindowsUpdate.log
08/06/2006  02:44a              25,800 ntbtlog.txt
08/05/2006  10:26p              32,580 SchedLgU.Txt
08/05/2006  07:41p                  32 {16289FC5-D5B0-423D-AC4D-F4BE3AD48666}.dat
08/05/2006  07:40p                 264 _delis32.ini
08/05/2006  07:33p                 357 adiras.ini
08/05/2006  04:12p              65,898 ocgen.log
08/05/2006  04:12p              57,580 comsetup.log
08/05/2006  04:12p             356,647 iis5.log
08/05/2006  04:12p               2,188 imsins.log
08/05/2006  04:12p               4,978 ockodak.log
08/05/2006  04:11p               2,192 imsins.BAK
08/05/2006  04:09p                   0 frontpg.ini
08/05/2006  02:55a                  84 win.ini
08/05/2006  02:14a                 292 _delis43.ini
08/05/2006  02:14a               5,481 Norton Utilities.log
08/05/2006  02:12a               1,743 SYMINST.LOG
08/04/2006  12:16a                 427 system.ini
08/02/2006  03:40p                   0 _
08/02/2006  03:36p               2,643 s3setup.log
07/18/2006  01:00p              12,006 KB917537.log
07/12/2006  01:00p              13,746 KB917159.log
07/12/2006  01:00p              14,106 KB914388.log
07/12/2006  01:00p              11,962 updspapi.log


 Verzeichnis von C:\DOKUME~1\Teifi1\LOKALE~1\Temp

08/06/2006  11:14a                 206 jusched.log
               1 Datei(en)            206 Bytes
               0 Verzeichnis(se),  17,465,184,256 Bytes frei

[Xeranox]

@ Olivia

Lade den CCleaner runter, setze in alle Kästchen (Windows, Anwendungen und Probleme) ein Häkchen und drücke dann auf "Starte Cleaner". Bereinige dein System.

Vergewissere dich, dass du auf deinem Rechner alles siehst: In den Ordneroptionen das Häkchen entfernen bei "geschützte Systemdateien ausblenden" und etwas weiter unten wählt man bei "Versteckte Ordner und Verzeichnisse" den Punkt "Alle Dateien und Ordner anzeigen".

1) Lege einen Ordner c:\bases an (Einführung in Windows)
2) Download der -> mwav.exe <- diesen Link verwenden!
3) Entpacke die Datei (mit einem Zip-Programm UltimateZip) !!! Die Datei mwav.exe MUSS in diesen Ordner c:\bases entpackt werden. wenn der Pfad nicht genau so angegeben wird, funktioniert der scanner/updater nicht!
4) Doppelklick auf die Datei kavupd.exe, damit wird der update gestartet.
5) Wechsle in den abgesicherten Modus von Windows
6) Öffne den Explorer, navigiere zum Ordner c:\bases, starte mwavscan.com, schließe den Explorer.
7) Überprüfe die Einstellungen, unter scan option-->memory, startup folders, registry, system folders und services sowie drive (auswahl) und scan all files sollten aktiviert sein, dann den Button *SCAN/CLEAN* drücken. Angehakt werden soll alles, was auf dieser Abbildung zu sehen ist:



8) Wenn der Scan beendet ist (dauert ca. 1 Stunde), wechselst du zurück in den normalen Modus.
9) Nun öffnest du mit einem Editor 1 oder Editor 2 die mwav.log und wählst unter bearbeiten -> suchen,
hier gibst du "tagged as" und "infected as" ein:



-> jede Zeile in der "tagged as" steht.
-> jede Zeile in der "infected" steht,

markieren, und hier einfügen, weitersuchen usw.

(Beispiel: file C:\WINDOWS\sssasasb32.exe infected by "Trojan-Downloader.Win32.Agent.ig" Virus. Action: Action Taken)

Ganz unten steht die Zusammenfassung, diese auch hier posten :

=>Total Number of Files Scanned:
=>Total Number of Virus(es) Found:
=>Total Number of Disinfected Files:
=>Total Number of Files Renamed:
=>Total Number of Deleted Files:
=>Total Number of Errors:
***** Scanning complete. *****

Poste das Ergebnis des Scan und ein neues HJT-Logfile.

Ein Dankeschön an Ruby für diese Anleitung

-----------------------
Bitte den Rechner vom Netz trennen, wenn er unbeaufsichtigt ist.
Bis zu einer eventuellen Reinigung oder dem Formatieren deines Systems
kein Online-Banking, File-sharing, Mailing, Messaging betreiben.
Keine Up und Downloads, ausser auf Security Seiten.
Mehr Information hierzu unter System-Sicherheit

-----------------------

Xeranox

[Olivia]

Danke Xeranox!

Kann ich den Kapersky hier auf dem neuen sauberen Rechner updaten und rüberbrennen?
Mußt grad umstöpseln, weil die links nicht mehr funktioniert haben.

[Xeranox]

@ Olivia

Das sollte möglich sein, du mußt nur sehen, das du die Updates mit rüber bekommst.

Xeranox

[Olivia]

Mit dem Log hat irgendwas nicht hingehauen. Hier die Ergebnisse leider ohne die Zusammenfassung (ausm Kopf 2 Errors, 9 Viren, 2 Files Renamed, 3 deleted)


File C:\WINNT\System32\i infected by
"Trojan-Downloader.BAT.Ftp.ab" Virus. Action Taken File Deleted

File C:\Downloads\Sweepers\ccsetup117.exe
tagged as not-a-virus:Risktool.Win32.Pskill.n. No Action Taken

File C:\Downloads\Sweepers\Webroot scan\ccsetup117.exe
tagged as not-a-virus: Risktool.Win32.Pskill.n. No Action Taken

File C:\Downloads\Sweepers\Webroot scan\Copylock.zip
tagged as not-a-virus:Risktool.Win32.Replacer.a. No Action Taken

File C:\Programme\Copylock\Copylock.exe
tagged as not-a-virus:Risktool.Win32.Replacer.a. No Action Taken

File C:\Programme\Norton Antivirus\Quarantine\16BD70FB
infected by "Trojan-Downloader.BAT.Ftp.cb" virus. Action Taken: File deleted

File C:\Programme\Norton Antivirus\Quarantine\1722068B.exe
infected by "Backdoor.Win32.PoeBot.c" Virus. Action Taken: File Renamed

File C:\Programme\Norton Antivirus\Quarantine\304D1CD9.exe
infected by "Backdoor.Win32.Rbot.apd" Virus. Action Taken: File Renamed

File C.\Programme\Opera\Mail\Olivia\Trash.MBS
infected by "Trojan-Spy.HTML.Bankfraud.od" Virus. Action taken: File Deleted.

[Xeranox]

Hallo Olivia

Wo steckt die Zusammenfassung?

Bitte führe diese Anleitung durch!

Lade den eScan-Check1.10 runter.
Entpacke den 'eScan-Check1.10' in einen neu zu erstellenden Ordner 'C:\escheck'. Öffne mit diesem Programm die 'mwav.log' im Ordner C:\bases, lies also die mwav.log in dieses Programm ein. Setze kein Häk'chen in 'Backup der gelöschten Dateien anlegen' aber anhaken:

'Alle Dateien beim Neustart löschen' -> die zu löschenden Dateien und dann auf den Button 'Dateien löschen' klicken. Im Anschluss an diese Arbeiten den Rechner neu starten. Du liest also alle gefundenen Dateien aus dem mwavscan in das Programm 'eScan-Check1.10 ein und killst sie damit (delete a file on reboot - lösche die Datei mit dem Neuaufstarten des Systems).

Vergleiche hierzu eScanCheck110-Anleitung.

Wenn du das gemacht hast, lösche das Logfile vom mwavscan (mwav.log),
update ihn online und wiederhole ihn. Zeige bitte das neue Ergebnis bitte diesmal mit der Zusammenfassung

Xeranox