So, wir der Titel schon sagt, hatte ich vor kurzem ein Problem mit S7 (nein, zum wiederholten Male; ich habe es nicht absichtlich auf meinen PC überspielt und bin auch klein kleines Skript-Kiddie). Auf jeden Fall erkannte ich mithilfe von Antivir einen S7-Server (yummy.dat), welchen ich auf der Stelle löschte. Nach dem Löschen der Datei meldete sich beim Starten won Windows immer wieder eine Fehlermeldung, dass er die Registrydatei "yummy.dat" nicht finden kann. Um diese Meldungen los zu werden, besorgte ich mir HjackThis und löschte im Nachhinein den Registry-Prozess. Ich hab jetzt nochmal gescannt und würde einfach nur gerne wissen, ob jetzt wieder alles sauber ist. Vielen Dank für eure Hilfe, schon einmal im Vorraus! :aplaus:


Logfile of HijackThis v1.99.1
Scan saved at 18:53:47, on 21.11.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Java\jre1.5.0_05\bin\jusched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\ewido\security suite\ewidoctrl.exe
C:\Programme\Wetter\wetter.exe
C:\Programme\ewido\security suite\ewidoguard.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopIndex.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopCrawl.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\AVPersonal\AVWIN.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Internet\Downloads\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://google.icq.com
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_05\bin\jusched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Webshots.lnk = C:\Programme\Webshots\Launcher.exe
O4 - Startup: wetter.lnk = C:\Programme\Wetter\wetter.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)
O23 - Service: AntiVir Service (AntiVirService) - H+B*DV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+B*DV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido\security suite\ewidoguard.exe


--- Wie ihr seht habe ich einen Prozess fett markiert, weil ich mir nicht sicher bin, was das zu bedeuten hat (file missing). Ich hatte kurz bevor ich den eigentlich Server von s7 fand in meinem Windows-Ordner eine Datei namens SERVER2.EXE-05A9C813.pf gefunden und diese augrund ihres Namens gelöscht - war wahrscheinlich n Fehler, aber ich bin eben in Panik geraten .
Naja, danke nochmal, Leute! ---

Was hast du an http://www.trojaner-board.de/showthread.php?t=23903 nicht verstanden?

Gruß
Yopie

Folgendes; ich hab an sich ja den Trojaner gelöscht oder erkennst du das noch was in dem Logfile? Außerdem würde ich auch ganz gerne noch andere Meinungen von Experten einholen.

Gruß zurück

Falls ein Sub7 aktiv war, solltest du das System neu aufsetzen.
sauberes Logfile ‡ sauberes System
Das gilt besonders dann, wenn im System bereits Malware aktiv war.

Ich meine, ihr habt sicher mehr Ahnung davon als ich, deswegen entschuldigt wenn ich weiter nachfrage, aber wenn ich ein sauberes System und ein sauberes Logfile hab - warum soll ich dann formatieren? Wenn das Vieh weg ist, kann da doch nix mehr passieren oder? und Wenn was passieren kann, was???

thx

Zitat von bVnn

aber wenn ich ein sauberes System und ein sauberes Logfile hab

Wie kommst du zu der Annahme, dass das System sauber ist? Weil dein Virenscanner nichts mehr findet? Dies wäre ein Trugschluss!
Was Virenscanner leisten...
Über die Entfernung von Schädlingen...

und Wenn was passieren kann, was???

http://de.wikipedia.org/wiki/Botnet
http://www.trojaner-board.com/showthread.php?t=14669
http://www.heise.de/newsticker/meldung/57030
http://www.heise.de/newsticker/meldung/51689

Hallo bvnn,
du kannst dich weiter winden wie ein Wurm,es wird dir aber nichts helfen.Welche weiteren Meinungen sollen es denn sein ?.Du hast gesehen wer geantwortet hat ?du hast auch gesehen was da unter den Namen dabei steht?Kompetenzteam ist das Höchste was hier zu erreichen ist.Die Endstufe ist Computergott-aber der schreibt dir nicht mehr.
Irrlicht

Zitat von irrlicht

Kompetenzteam ist das Höchste was hier zu erreichen ist.

:aplaus:

Schleimer.

Gruß
Yopie

Hm... Da führt wohl einfach kein Weg vorbei, ich will in meinen jungen Jahren schließlich nicht wie Herr Mustermann enden . Da kann ich wohl nix anderes machen, als den gesamten PC wieder einmal plattzumachen , aber diesmal sollte cih wohl besser aufpassen, was für Dateien ich öffne.
Naja, hab noch ein paar abschließende Fragen; Dateien, die nie infiziert waren (wie z.B.: meine eigenen Bilder und sowas) kann ich doch auf eine BackUp-CD machen und später wieder draufmachen, oder?. Und wie kann ich mich in Zukunft vor solceh Cracker-Angriffen schützen, wenn nicht mit Antiviren (wenn ihr mir es eklärt, dann bitte genau, ich habe nämlich GAR KEINEN Plan von PC's und so.)
Ich danke euch vielmals für die Mühe, die ihr euch gemacht habt. Gut, dass es so nette Menschen wie euch noch gibt
Also, ciao! h:

Zitat von bVnn

Naja, hab noch ein paar abschließende Fragen; Dateien, die nie infiziert waren (wie z.B.: meine eigenen Bilder und sowas) kann ich doch auf eine BackUp-CD machen und später wieder draufmachen, oder?.

Ja. Alle Dateien, die nicht ausführbar sind, also reine Datendateien (Bilder, Dokumente, MP3s etc) kannst du sichern, denn sie sind in der Regel nicht gefährlich.

Und wie kann ich mich in Zukunft vor solceh Cracker-Angriffen schützen, wenn nicht mit Antiviren (wenn ihr mir es eklärt, dann bitte genau, ich habe nämlich GAR KEINEN Plan von PC's und so.)

In beiden Links in meiner Sig stehen viele gute Ratschläge.

Gruß
Yopie

...Man tut was man kann.......
Wobei ich dich lieber im Duell mit MTT sehe.....
Irrlicht

sry, dass ich euch nochmal nerve, aber ich hab noch ein kleines Anliegen, auf Bezug meiner Aussage, dass mein System sauber sei. Schaut euch bitte mal dieses Log an und die gekennzeichneten Stellen.

---------------------------------------------------------
ewido security suite - Prozess Report
---------------------------------------------------------

+ Erstellt am: 21:47:11, 21.11.2005
+ Report-Checksumme: 17CE94E4

0: System Process
4: System Process
236: C:\Programme\Mozilla Firefox\firefox.exe
344: C:\Programme\Winamp\winamp.exe
444: \SystemRoot\System32\smss.exe
500: \??\C:\WINDOWS\system32\csrss.exe
524: \??\C:\WINDOWS\system32\winlogon.exe
568: C:\WINDOWS\system32\services.exe
580: C:\WINDOWS\system32\lsass.exe
744: C:\WINDOWS\system32\svchost.exe
796: C:\WINDOWS\System32\svchost.exe
972: C:\WINDOWS\System32\wuauclt.exe
980: C:\WINDOWS\System32\svchost.exe
1016: C:\WINDOWS\System32\svchost.exe
1108: C:\WINDOWS\system32\spoolsv.exe
1348: C:\WINDOWS\Explorer.EXE
1468: C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
1496: C:\Programme\AVPersonal\AVWUPSRV.EXE
1504: C:\WINDOWS\System32\igfxtray.exe
1512: C:\WINDOWS\System32\hkcmd.exe
1540: C:\WINDOWS\SOUNDMAN.EXE
1548: C:\Programme\ewido\security suite\ewidoctrl.exe
1572: C:\Programme\ICQLite\ICQLite.exe
1580: C:\Programme\AVPersonal\AVGNT.EXE
1592: C:\Programme\Java\jre1.5.0_05\bin\jusched.exe
1600: C:\Programme\ewido\security suite\ewidoguard.exe
1612: C:\WINDOWS\System32\ctfmon.exe
1656: C:\Programme\Security Task Manager\TaskMan.exe
1668: C:\Programme\Wetter\wetter.exe
1844: C:\Programme\ewido\security suite\securitysuite.exe
1924: C:\Programme\BearShare\BearShare.exe



Irrlicht: Wobei ich dich lieber im Duell mit MTT sehe.....

@ irrlicht
Mich würde mal interessieren was MTT ist und was dich daran freuen würde es (?) mit mir "im Duell zu sehen".

Naja, danke jedenfalls!

Hallo bvnn,
dein sub 7 wirst du nicht rückstandsfrei entfernen können.Der steckt derartig tief im System drin und erstellt sich immer wieder neu wie du an den unterschiedlichen Exen in deinem System erkennen kannst.Du haust eine Exe raus und nach dem nächsten Booten ist eine neue da.Die Zeit die du jetzt verplempert hast hättest du dein System schon fast fertig.
Deine Frage bezüglich "MTT" ist ein interner Scherz gewesen,gerichtet an Yopie.Hat mit dir nix zu tun.
Das ist jetzt aber auch die letzte Frage die ich dir beantwortet habe.
Hier gibt es nichts mehr weiter zu sagen.
Irrlicht