Ja Hi ich hatte nach ner tollen 20 Mann Lan mit einem tollen Router der alle Ports offen hatte ettliche Viren und Trojaner, hab diese dann probiert mit allem zu bekaempfen was es gibt

(Kaspersky, Norton Boys, Anti Vir, BitDefender, Sophos, AdAware, SpBot S&D etc.)

Aber Einer hatt das Gemetzel irgendwie überlebt. Irgendwas (Worm oder Troj.) bringt meine Windows NT Anmeldung kontinuierlich dazu mit dem Internet zu Komunizieren.
Ich habe 3mbit + fp und mein Ping schwankt zwischen 20ms und 800...
Starte ich Zone Labs verhindert dieses Programm das die Windows NT Anmeldung aufs Internet zu greifen kann und alles ist Prima...Ich möcht mir das Programm allerdings ungern kaufen und die 15 Tage Testversion sind nunmal vorbei
Ich habe 2 Wochen gegoogelt alles durchforstet mit unter jede Such Funktion von jedem Board penetriert und Nichts gefunden was auf einen Worm oder Trojaner hinweisst der dieses Problem verursacht.

Bitte, Bitte helft mir


Logfile of HijackThis v1.99.1
Scan saved at 18:15:17, on 31.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\^^\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
O1 - Hosts: 85.214.39.142 L2authd.lineage2.com
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [SystemLoader] C:\WINDOWS\sysldr32.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O20 - Winlogon Notify: msctl32.dll - C:\WINDOWS\
O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM32\msupdate32.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: MySql - Unknown owner - C:/mysql-noinstall-4.0.26-win32/mysql-4.0.26-win32/bin/mysqld-nt.exe (file missing)
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)

Hallo,
da du unter anderem diesen hier auf deinem System hast, würde ich dir raten das Sys neuaufzusetzen.
Halte dich bitte dabei genauestens an diese Anleitung.

Ersteinmal Danke Trojaner ist gelöscht du hast u.a geschrieben sind denn da noch mehr ??

Und Nein ich sitze Bei Mir zuhause wie in nem Bunker und hatte in 5 Jahren auch noch nie nen Virus oder Trojaner übers Internet zumindestens keinen der das System in irgend einer Wesie beinträchtigt hatt ich krieg die dinger laufend auf irgendwelchen Netzen mit freiem Internet für alle und dann grade mit "Heruntergelassenen Hosen" ohne FW ohne Vernünftigen Router
Na Jedenfalls macht soviel *Glück* unvorsichtig und ich hab durch SP2 keine Möglichkeit zu Formatieren (Nur 1 Pation) und 60€ für ne 2 S-ATA wollt ich noch nicht ausgeben hab auch so kein Platz um mt Partion Magic ne 2 Partion auf der Platte zu erstellen halt einfach kalt erwischt.

Binn Total verblüfft wie du in dieser HiJacklist ma eben fix nen Troj. findest...dabei is die garnich so lang ^^

Hab jetzt nachträglich noch sachen gefunden mit diesem Regedit noch nich so konfirm.

O20 - Winlogon Notify: msctl32.dll - C:\WINDOWS\ << Den Virus hatt ich damals Gelöscht aber nicht in der Reg...is doch nen troj oder ?
O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM32\msupdate32.dll << gut, schlecht ??

Also wenn da noch was drinn ist bitte bescheid geben

mfg raY

Diese Einträge solltest du noch fixen und die dazugehörigen Dateien löschen:
O20 - Winlogon Notify: msctl32.dll - C:\WINDOWS\
O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM32\msupdate32.dll
O23 - Service: MySql - Unknown owner - C:/mysql-noinstall-4.0.26-win32/mysql-4.0.26-win32/bin/mysqld-nt.exe (file missing)
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)

Posten anschließend ein neues Logfile.
Aber wie gesagt ,ich würd neuaufsetzen.
Allein schon deswegen >>>

Troj/Agobot-A ist ein Backdoor Trojaner der im Hintergrund als Systemprozess läuft und nicht authorisierten Zugriff auf nicht lokale Rechner ermöglicht.

Wie du das machst unter den Vorraussetzungen? Keine Ahnung ,weiß leider auch nicht alles.
Aber ich bin sicher es gibt genug Leute hier die dir da weiterhelfen können.

Logfile of HijackThis v1.99.1
Scan saved at 21:09:17, on 31.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\System32\svchost.exe
C:\^^\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
O1 - Hosts: 85.214.39.142 L2authd.lineage2.com
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)



So Im abgesicherten Modus den w32.Troj.Judrop/B gelöscht msctl32.dll war nen überest eines berreits gelöschten auch getilgt was dieses Powermanager angeht kp...mit HjT gelöscht hatt sich scheinbar neugeneriert soll ich mal Regedit danach durchsuchen ??

Egal wie ich danke dir vielmals und vllt. hatt ja sogar was gebracht deinen Rat nehm ich mir sobald wie möglich zu Herzen ist halt in meiner derzeitigen Situation nicht möglich binn halt Student und müsste dann an meinen Haushalts-Etar für ne neue HD um meine Daten zu sichern...

Ich werd heut Nacht oder Morgen posten ob das Problem eingedämmt ist oder nicht.

so far Thx Jay

Hallo,
kein Problem
Also dieses Powermanager dingens gehört zu folgendem Virus: W32/Jeefo
Ansonsten sieht das Logfile recht sauber aus.
Kannst ja mal mit nem Kostenlosen Virusscanner (z.B. AntiVir www.free-av.de) drüber gehn und gucken ob der noch was findet.

Kannst dich dann ja nochmal melden.

Hallo raY2k6,

bei einer Infektion mit einem Backdoor-Trojaner ist das bloße Fixen und Löschen sinnlos:
http://www.mathematik.uni-marburg.de...c-removal.html
http://www.mathematik.uni-marburg.de...ompromise.html
Bist Du Dir wirklick absolut sicher, dass es noch "Dein" System ist?

Mein Rat:
http://www.trojaner-board.de/showthread.php?t=12154

dartus

Hi

Hatt vorerst gefuntzt die winlogon ist stabil bei 400kb Arbeitspeicher (Keine Schwankungen).

Internet lauft Prima hab wieda meine 17ms in jedem Game.

Jetzt is alles Klar Jeefo ja das alte ding hab ich ewig aufm Rechner ist aber seit Jahren durch Sophos Desinfiziert wirklich für die Ewigkeit löschen ist unmöglich* weil dazu alle .exe , .bat Datein ebenso gelöscht werden müssten drumm genügt mir in dem fall die Desinfizierung durch Sophos.

Zu Dartus ich weis deinen selbigen Rat wie Jay zu schätzen und hab mir das auch durchgelesen Mein Rechner die Enigma Maschine

Jedoch hilft das mir nur sehr wenig da ich Finanziel nicht die Mittel besitze dieses Unterfangen zu starten, Mir ist mein 4 Jahre alter Brenner eh abgeraucht wohlbemerkt CD-Brenner ^^ also kann ich auch nicht eben ma 10 dual 8 GB DvD Rohlinge vollklatschen (xxx CDs ). Die Gefahr das ich jetzt Müllhalde für alle Hacker in Deutschland spiele muss ich dann wohl erstmahl in kauf nehmen.

Nichts Destotrotz pack ich mir paar Taler Beiste auf das ich meinen PC kann und dann irgednwann in naher Zukunft wieder "sicher" binn.

Frohes Schaffen noch und Gute Nacht

mfg raY