Hi, hatte lange keine probleme mehr aber irgendwann mußte es ja ma wieder passieren... trotz regelmäßigem anti-viren-update haben sich die Viren "TR/Lowzones.A" und "TR/Dldr.istBar.A ind System eingeschlichen...
Der TR/Lowzones.A is durch Sysytemwiederherstellung deaktivieren und und wieder neu starten nich weg gegangen...
Brauche also dringend Hilfe gegen diese Plagegeister. Da ich nicht unbedingt "der" PC-Fachmann bin, wenn möglich mit wenig Fachausdrücken. Danke schon ma.

*greez Paka007

Hallo Paka007,

poste bitte ein Hijackthis-Logfile
Anleitung

dartus

Liegt irgendwie an dem schei* msnupdate

Logfile of HijackThis v1.99.1
Scan saved at 15:15:25, on 29.03.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
D:\Programme\AntiVirus\AVGUARD.EXE
D:\Programme\AntiVirus\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\System32\nvsvc32.exe
D:\Programme\Clone CD\CloneCD\CloneCDTray.exe
C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
D:\Programme\AntiVirus\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\System32\msnupdate.exe
D:\Programme\Inselkampf\Inselkampf.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\Games\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lycos.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe Reader\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "D:\Programme\Clone CD\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "D:\Programme\Clone CD\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [MMTray] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [EPSON Stylus C42 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C42 Series" /O6 "USB001" /M "Stylus C42"
O4 - HKLM\..\Run: [MS Unix Binary] msnupdate.exe
O4 - HKLM\..\Run: [AVGCtrl] D:\Programme\AntiVirus\AVGNT.EXE /min
O4 - HKLM\..\RunServices: [MS Unix Binary] msnupdate.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [MS Unix Binary] msnupdate.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Office2000\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQ 4\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQ 4\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{FC8614EE-0C3F-42D9-9F5C-8E1DE129A5E2}: NameServer = 217.237.151.33 217.237.149.225
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Programme\AntiVirus\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Programme\AntiVirus\AVWUPSRV.EXE
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Hallo Paka007,

uploade bitte diese Datei:

C:\WINDOWS\System32\msnupdate.exe

hier
http://www.malwareupload.com

Erläuterungen

Desweiteren lass die Datei mal hier Online-Scannen:

http://virusscan.jotti.org/de

Teile bitte das Ergebnis mit.

dartus

Datei: msnupdate.exe
Status: INFIZIERT/MALWARE (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.)
Entdeckte Packprogramme: PE_PATCH.MORPHINE, MORPHINE, PE_PATCH, UPX

AntiVir Keine Viren gefunden (0.76 Sekunden)
Avast Keine Viren gefunden (1.52 Sekunden)
AVG Antivirus Keine Viren gefunden (0.55 Sekunden)
BitDefender Backdoor.RBot.UM (0.62 Sekunden)
ClamAV Keine Viren gefunden (0.64 Sekunden)
Dr.Web Win32.HLLW.MyBot.based (0.98 Sekunden)
F-Prot Antivirus Keine Viren gefunden (0.10 Sekunden)
Fortinet Keine Viren gefunden (0.50 Sekunden)
Kaspersky Anti-Virus Backdoor.Win32.Rbot.gen (2.06 Sekunden)
mks_vir Trojan.Rbot.Gen (0.23 Sekunden)
NOD32 probably unknown NewHeur_PE (mögliche Variante) (0.75 Sekunden)
Norman Virus Control Sandbox: W32/Malware; [ General information ]

* **Locates window "NULL [class mIRC]" on desktop.
* Creating several executable files on hard-drive.
* File length: 94208 bytes.

[ Changes to filesystem ]
* Creates file C:\WINDOWS\SYSTEM\msnupdate.exe.
* Deletes file 1.

[ Changes to registry ]
* Creates value "MS Unix Binary"="msnupdate.exe" in key "HKLM\Software\Microsoft\Windows\CurrentVersion\Run".
* Creates value "MS Unix Binary"="msnupdate.exe" in key "HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices".
* Creates value "MS Unix Binary"="msnupdate.exe" in key "HKCU\Software\Microsoft\Windows\CurrentVersion\Run".
* Sets value "restrictanonymous"="
" in key "HKLM\System\CurrentControlSet\Control\Lsa".

[ Network services ]
* Looks for an Internet connection.
* Connects to "xtreme-misfitz.biz" on port 7029 (TCP).
* Connects to IRC Server.
* Attempts to delete share named "IPC$" on local system.
* Attempts to delete share named "ADMIN$" on local system.
* Attempts to delete share named "C$" on local system.
* Attempts to delete share named "D$" on local system.

[ Process/window information ]
* Creates a mutex Nug3.
* Will automatically restart after boot (I'll be back...).
* Enumerates running processes.
* Enumerates running processes several parses.... (16.10 Sekunden)

Statistik
Zuletzt gefundene Malware war Trojan-Downloader.Win32.Small.aph in bakdcbaa.exe, gefunden von:

Scanner Name der Malware Dauer
AntiVir X 0.40 Sekunden
Avast X 1.53 Sekunden
AVG Antivirus X 0.54 Sekunden
BitDefender Dropped:Trojan.Iyus.FAM 1.11 Sekunden
ClamAV X 0.61 Sekunden
Dr.Web Trojan.DownLoader.2037 0.92 Sekunden
F-Prot Antivirus unknown virus 0.18 Sekunden
Fortinet X 0.50 Sekunden
Kaspersky Anti-Virus Trojan-Downloader.Win32.Small.aph 1.03 Sekunden
mks_vir X 0.23 Sekunden
NOD32 X 0.55 Sekunden
Norman Virus Control X 6.06 Sekunden

Hallo Paka007,

zu Deiner eigenen Sicherheit wird Dir hier bei einem Trojaner mit Backdoorfunktionalität zu "Format C:" geraten.
http://de.wikipedia.org/wiki/Backdoor
Um folgendes zu vermeiden:
http://www.trojaner-board.com/showthread.php?t=14669
http://www.heise.de/newsticker/meldung/57030
http://www.trojaner-board.de/showthread.php?t=15124
Zwecklosigkeit von Removal-Tools:
http://www.mathematik.uni-marburg.de...c-removal.html
http://www.mathematik.uni-marburg.de...ompromise.html

Bei einem ungepatchten System war dies zu erwarten.

Empfohlene Anleitung zur Neuinstallation:
http://www.trojaner-board.de/showthread.php?t=12154

Thema Datensicherung:
http://www.trojaner-board.de/showpos...8&postcount=11

syr
dartus