Hallo an Alle,

meine Freundin hat eine Meldung erhalten, dass Sie einen Backdoor-Virus o.ä. hat.

Sie hatte Norton Security installiert und jetzt deinstalliert. Nun meldet das System ganz seltsame Angaben, wie "Nort. Sec. kann nicht entfernt werden; bitte ins Admin-Konto wechseln...." Wir haben leider überhaupt keinen Plan, was wir machen können.

Helft Ihr uns bitte??

Hier das Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 10:08:38, on 26.05.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Lexmark X1100 Series\lxbkbmon.exe
F:\1_99_1.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.cyberlink.com.tw/registration/registration1.asp?SoftWare=POWERDVD&Version_Num=2.55&Cd_Key=DV3X417M28947802&Company=-&FName=Benutzer&Lang=ENG
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe"
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Compaq32 Service Drivers] ms32.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [IS CfgWiz] C:\Programme\Gemeinsame Dateien\Symantec Shared\cfgwiz.exe /GUID NIS /CMDLINE "REBOOT"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\RunServices: [Compaq32 Service Drivers] ms32.exe
O4 - HKCU\..\Run: [Compaq32 Service Drivers] ms32.exe
O4 - HKCU\..\RunServices: [Compaq32 Service Drivers] ms32.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O23 - Service: AntiVir Update (AVWUpSrv) - Unknown owner - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing)
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

Danke
Gina
_____________
Anm.
Aktive Links editiert!
Beachte die Hinweise dieser Anleitung: HiJackThis.


LG Cidre
S-Mod TB

@Gina!

Bitte deaktiviere alle Links in deinem Logfile von hijackthis!

ZB. h**p://www.cyberlink.com.tw/registr...nutzer&Lang=ENG

Danach lade dir Escan herunter und scanne genau nach dieser Anleitung dein Betriebssystem.

Poste uns danach das angegebene Logfile!

Also ich würde folgenden Eintrag fixen :

O23 - Service: AntiVir Update (AVWUpSrv) - Unknown owner - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing)

Ebenso dringend fixen:

O4 - HKLM\..\Run: [Compaq32 Service Drivers] ms32.exe
O4 - HKLM\..\RunServices: [Compaq32 Service Drivers] ms32.exe
O4 - HKCU\..\Run: [Compaq32 Service Drivers] ms32.exe
O4 - HKCU\..\RunServices: [Compaq32 Service Drivers] ms32.exe

Du musst zuerst über den Task-Manager (Strg+Alt+Entf), den laufenden Prozess (ms32.exe) zunächst beenden! Dann kannste fixen!
Die Datei ms32.exe würde ich suchen und dann entfernen bzw. isolieren! Mit Norton geht das ja ganz leicht.....
Dein System hat sich wohl mit dem WORM_SDBOT.BWH infiziert! Info dazu

Mach mal einen Scan mit eScan und poste den Log hier......
eScan-Toolkit

-> Dazu musst du dir eScan nur downloaden, entpacken und dann kanns schon losgehen!

Außerdem führe bitte einen Scan mit Spybot und Ad-Aware durch!

Spybot - Search & Destroy 1.3
Ad-Aware

Bei beiden Programmen handelt es sich um Freeware und sind zudem mit die besten Proggis, um Spyware, Adware und Hijacker zu entfernen!


So, dann bin ich mal gespannt wie du so vorankommst und meld dich, obs gefunzt hat!

@ Gina

Das einzige was deiner Freundin wirklich weiterhilft, ist ein Neuaufsetzen des kompromittierten Systems, siehe meine Signatur. Alles ändere wäre rein spekulativ und stellt die Vertrauenswürdigkeit nicht wieder her.

Die Ursache dürfte u.a. am nicht ausreichend gepatchten System und am User Verhalten zurückzuführen sein.

herzlichen Dank für Eure Hilfestellungen.

Wir haben nun eScan nach Anleitung ausgeführt - allerdings erschien kein Eintrag
"logfileneu". Aber gefunden hat eScan leider jede Menge, so dass es wohl wirklich nur mit einer kompletten Neuinstallation wieder besser läuft.

Das ist ja alles traurig....

Nochmals besten Dank

Gina

Lese in Cidres Anleitung den Teil zur Finde.bat. Danach solltest Du auch das Logfile posten können.

@ gina

Escan kannst du dir sparen, du hast einen aktiven Backdoor auf dem PC, da hilft nur Neuaufsetzen und zwar nach folgender Anleitung um sowas in Zukunft zu vermeiden:

http://www.trojaner-board.de/showthread.php?t=12154

Warum eine Bereinigung hier nicht hilft:

http://www.mathematik.uni-marburg.de...al.html#sec2.1