hi an alle,

ich hab diesen depatn wurm/virus od was auch immer - win32ssr.exe !!!

nun bin ich genau euren anweisungen gefolgt: mit HijackThis im abgesicherten modus, zuvor Systemwiederherstellen deaktivieren, das klump löschen.

anscheinend, laut hijackthis-report hats funktioniert, aber sopho-virus-testversion hats immer noch gfundn???

was soll ich machen?


und soll ich jetzt bei Arbeitsplatz-Eigenschaften-Systemwiederherstellung: deaktivieren wieder aufheben???

plz --- help me

thx im voraus


ALTER hijackreport
Logfile of HijackThis v1.99.1
Scan saved at 14:43:47, on 09.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\win32ssr.exe
D:\Programme\sicherheitsprogs\zonealarm\ZoneAlarm\zlclient.exe
D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SAVAdminService.exe
D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALsvc.exe
D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALMon.exe
D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SAVMain.exe
D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\savprogress.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\Programme\sicherheitsprogs\hijackthis\hijackthis_1991\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = ***.google.at/[/url]
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\helferleins\acrobareader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Zone Labs Client] D:\Programme\zonealarm\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\helferleins\acrobareader\Reader\reader_sl.exe
O4 - Global Startup: AutoUpdate Monitor.lnk = D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALMon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Performance True Type Fonts (PerfFont) - Unknown owner - C:\WINDOWS\System32\perfont.exe
O23 - Service: Sophos Anti-Virus Statusreporter (SAVAdminService) - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SAVAdminService.exe
O23 - Service: Sophos Anti-Virus (SAVService) - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SavService.exe
O23 - Service: Sophos AutoUpdate Service - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: Win32Sr - Unknown owner - C:\WINDOWS\win32ssr.exe




NEUER:
Logfile of HijackThis v1.99.1
Scan saved at 15:48:13, on 09.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SAVAdminService.exe
D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALsvc.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALMon.exe
D:\Programme\sicherheitsprogs\zonealarm\ZoneAlarm\zlclient.exe
D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\savprogress.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\Programme\sicherheitsprogs\hijackthis\hijackthis_1991\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =***.google.at/[/url]
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\helferleins\acrobareader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Zone Labs Client] D:\Programme\zonealarm\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\helferleins\acrobareader\Reader\reader_sl.exe
O4 - Global Startup: AutoUpdate Monitor.lnk = D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALMon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Performance True Type Fonts (PerfFont) - Unknown owner - C:\WINDOWS\System32\perfont.exe
O23 - Service: Sophos Anti-Virus Statusreporter (SAVAdminService) - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SAVAdminService.exe
O23 - Service: Sophos Anti-Virus (SAVService) - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SavService.exe
O23 - Service: Sophos AutoUpdate Service - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Hallo leilax,
diese datei kommt mir merkwürdig vor :
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\helferleins\acrobareader\Reader\reade r_sl.exe
diese noch mehr :
O23 - Service: Performance True Type Fonts (PerfFont) - Unknown owner - C:\WINDOWS\System32\perfont.exe
lass beide bei Jotti scannen.
http://virusscan.jotti.org/de/

Falls du eine Nullfehlermeldung erhältst,gehe in den Taskmanager und beende den dazugehörigen Prozess.Dann erneuter Versuch.
Irlicht

thx irrlicht für die rasche antwort.

doch da laufen so viele prozesse, welcher is denn der dazugehörige???
(es kam nämlich: "ois ok"...)

lg

Nur ne Idee:
Wenn du weißt wo die Datei/en ist/sind und du sie löschen willst bzw die Prozesse die damit verbundne sind, beenden willst, hol dir das Programm namens Unlocker (h**p://ccollomb.free.fr/unlocker) das istallierst du dann brauchst du in zunkunft nur noch rechstklick auf ne Datei machen die gelockt ist und dann auf Unlocker gehn und ggf die Prozesse beenden, die Datei verschieben, Namen ändern oder dergleichen.
Hoffe ich konnte dir helfen.

ich bin f jeden rat/tipp dankbar...
thxthx

jetzt is diese datei infiziert :
C:\WINDOWS\System32\perfont.exe

---> kann i das einfach löschen???
(bin jetz etwas vorsichtig weil i letztens anscheinend zviel glöscht hab u dann neu formatieren musste ;o( )

- dacht dass ich jetzt dass ganze malware/trojaner/virus klump weghab - grrrr - wieder nicht ganz



(- wenn i-net nicht soooo praktisch/unterhaltend /leiwand wär hätt i schon längst drauf gsch**** ) *sry-verzweiflung pur*

Hallo leilax,
wie lautet die genaue Meldung von Jotti ?
Zu der anderen Datei :soll ich aus ("es kam ois ok...") schließen, das die Datei sauber ist laut Jotti ?Was immer auch das für ein Dialekt ist....ich verstehe ihn nicht !Schön das du so prima Buchstaben groß und fett machen kannst.Aber wozu ?
Irrlicht

Hallo leilax,

(bin jetz etwas vorsichtig weil i letztens anscheinend zviel glöscht hab u dann neu formatieren musste ;o( )

dann installiere nun Dein System erneut aber vernünftig, denn dieser war/ist in Deinem System aktiv:
http://www.sophos.de/virusinfo/analy...2sdbotaos.html

Empfohlene Anleitung zur Neuinstallation:
http://www.trojaner-board.de/showthread.php?t=12154

dartus

THX an alle helfer!!!

an Irrlicht:
mit den grossbuchstaben wollt ich einfach mehr übersicht f den leser schaffen, um das orientieren im text zu erleichtern...
doch das kann ich auch lassen, wenn es als störend empfunden wird!?

ok - neuaufsetzen würd ich gern verhindern,
dass scheint mir doch eine sehr drastische massnahme zu sein f die paar kleinigkeiten... oder?- ich kenn mich leider relativ wenig mit diesen sachen aus

so schlimm ist es doch nicht? - kann mir jemand sagen was hier überhaupt noch "böse" ist ???-
win32ssr.exe hab ich nämlich schon entfernt & das perfont.exe hab ich auch schon mit hijackthis "fixed checked"

Logfile of HijackThis v1.99.1
Scan saved at 19:53:24, on 10.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SAVAdminService.exe
D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALsvc.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
D:\Programme\entertainmentprogs\icq5\ICQLite\ICQLite.exe
C:\WINDOWS\system32\rundll32.exe
D:\PROGRA~1\driver\GENIUS~1\MagicKey.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
D:\PROGRA~1\driver\GENIUS~1\OSD.exe
D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALMon.exe
D:\Programme\sicherheitsprogs\zonealarm\ZoneAlarm\zlclient.exe
C:\WINDOWS\ALCFDRTM.EXE
D:\Programme\entertainmentprogs\VLC\vlc.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\Programme\sicherheitsprogs\hijackthis\hijackthis_1991\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Programme\entertainmentprogs\icq5\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\helferleins\acrobareader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\Programme\entertainmentprogs\icq5\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Zone Labs Client] D:\Programme\zonealarm\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ICQ Lite] D:\Programme\entertainmentprogs\icq5\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [MagicKey] D:\PROGRA~1\driver\GENIUS~1\MagicKey.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\entertainmentprogs\icq5\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\helferleins\acrobareader\Reader\reader_sl.exe
O4 - Global Startup: AutoUpdate Monitor.lnk = D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALMon.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://D:\Programme\entertainmentprogs\icq5\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\entertainmentprogs\icq5\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\entertainmentprogs\icq5\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Performance True Type Fonts (PerfFont) - Unknown owner - C:\WINDOWS\System32\perfont.exe (file missing)
O23 - Service: Sophos Anti-Virus Statusreporter (SAVAdminService) - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SAVAdminService.exe
O23 - Service: Sophos Anti-Virus (SAVService) - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\Sophos Anti-Virus\SavService.exe
O23 - Service: Sophos AutoUpdate Service - Sophos plc - D:\Programme\sicherheitsprogs\sophodemo\AutoUpdate\ALsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

thx f ure kompetenten antworten

Hallo leilax,
du hast den Link von Dartus nicht gelesen,oder ?
Die Erklärung steht eigentlich für sich selbst.Wenn immer noch keine dunkelrote Alarmleuchte aufgeht,dann ist dir nicht mehr zu helfen !

Erläuterung
Übersicht Erläuterung Wiederherstellung Erweitert W32/Sdbot-AOS ist ein Wurm und ein IRC-Backdoor-Trojaner für die Windows-Plattform.


W32/Sdbot-AOS versucht sich zu verbreiten, indem er sich auf Netzwerkfreigaben mit einfachen Kennwörtern kopiert oder indem er folgende Schwachstellen ausnutzt: LSASS (MS04-011), RPC-DCOM (MS04-012), PNP (MS05-039), ASN.1 (MS04-007).


W32/Sdbot-AOS läuft kontinuierlich im Hintergrund und stellt einen Backdoorserver zur Verfügung, der einem remoten Eindringling den Zugriff auf und die Steuerung über den Computer mittels IRC-Kanälen ermöglicht.


W32/Sdbot-AOS enthält Funktionalität zum Herunterladen, Installieren und Starten neuer Software.
Irrlicht

hi irrlicht,

sry - aber ich chekks nicht so ganz!?! (ich hab seit 1 jahr einen pc u kenn mich halt noch nicht so gut aus)

welche datei in HijackThis ist das - W32/Sdbot-AOS ??
od woher weißt du dass ich das sicher hab?

* verzweifl*

lg

welche datei in HijackThis ist das - W32/Sdbot-AOS ??
od woher weißt du dass ich das sicher hab?

Hm, lass mal überlegen...

Um welche *.exe handelt sich im Titel deines Themas?
Welche *.exe wird bei Sophos genauestens beschrieben?

HJT gibt folgendes zum Besten:

C:\WINDOWS\win32ssr.exe
O23 - Service: Win32Sr - Unknown owner - C:\WINDOWS\win32ssr.exe

Fragen über Fragen...

erkennt man anhand einiger registrierungseinträge.

wenn dieser trojaner einmal aktiv war, sicher er sich natürlich auch ab.
dh. auch wenn du ihn "entfernst" werden teile von ihm übrig bleiben.

dh. der schöpfer des schädlings kann jederzeit deinen rechner kontrollieren
und für angriffe auf internetseiten, sowie zur billigen ablage seiner daten verwenden. eben alles.

wenn dir das nix ausmachst hättest du garnicht hier fragen sollen.

eine Neuinstallation von windows dauert maximal eine stunde (bei neuen rechnern etwa 20-30 minuten). anschließend solltest du SOFORT das servicepack 2 installieren. der trojaner den du drauf hattest, blockiert nämlich die insallation vom servicepack2
dann noch das windows update durchführen und fertig.