Also das überfordert mich. HiJackThis, S&D und adaware und norton AV in den neuesten versionen finden nichts mehr und der rechner poppt alle 30 sekunden ein fenster auf, ob ich nicht einen dialer, einen anitspambot und was weiss ich installieren will.

Am Desktop des infizierenden users waren einen haufen exe's:

./elite.exe
./test.exe
./gam.exe
./redir.exe
./rmtct.exe
./over.exe
./ade.exe
./wowe.exe
./xexx.exe
./herovdfan.exe

und ebenfalls beiteiligt war eine lib namens rundlg32, die auf einen exploit hinweist, die ich aber auch schon lange gelöscht habe.

was auch noch passiert, ist dass eine der oben gelisteten exe ständig ein error-win produziert, weils die RASAPI32.DLL nicht findet (am system ist kein RAS installiert) Ich finde aber am ganzen system keine exes mehr mit diesem namen ..

ich blick nimmer durch ...
danke
peter


Logfile of HijackThis v1.98.2
Scan saved at 15:06:45, on 04.10.04
Platform: Windows NT 4 SP6 (WinNT 4.00.1381)
MSIE: Internet Explorer v5.50 (5.50.4134.0600)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\spoolss.exe
C:\tools\net\ataman\atrls.exe
c:\tools\disk\norton\navapsvc.exe
c:\tools\disk\norton\npssvc.exe
c:\tools\system\ntsu\RunAsSrv.exe
C:\WINNT\system32\RpcSs.exe
C:\tools\net\vnc\WinVNC.exe
C:\tools\disk\diskeeper\DKService.exe
C:\WINNT\System32\PGPsdkServ.exe
c:\winnt\system32\pstores.exe
C:\WINNT\System32\AtSvc.Exe
C:\tools\system\pgp\PGPservice.exe
c:\tools\disk\norton\alertsvc.exe
C:\WINNT\System32\nddeagnt.exe
C:\WINNT\Explorer.exe
C:\WINNT\System32\loadwc.exe
C:\WINNT\System32\windows\services.exe
C:\WINNT\System32\internat.exe
C:\tools\disk\norton\navapw32.exe
C:\WINNT\system32\TASKMGR.EXE
C:\WINNT\EXPLORER.EXE
C:\PROGRA~1\Plus!\MICROS~1\iexplore.exe
C:\WINNT\System32\ddhelp.exe
C:\WINNT\explorer.exe
C:\PROGRA~1\Plus!\MICROS~1\iexplore.exe
C:\WINNT\explorer.exe
C:\PROGRA~1\Plus!\MICROS~1\iexplore.exe
C:\PROGRA~1\Plus!\MICROS~1\iexplore.exe
\SERVER\software\tools\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.coolsearch.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.coolsearch.biz/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.local:3128
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 192.168.0.1;192.168.1.1;192.168.10.1;<local>
F2 - REG:system.ini: UserInit=userinit,nddeagnt.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [NPS Event Checker] c:\tools\disk\norton\npscheck.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [WinVNC] "C:\tools\net\vnc\WinVNC.exe" -servicehelper
O4 - HKLM\..\Run: [BrowserWebCheck] loadwc.exe
O4 - HKLM\..\Run: [Windows] C:\WINNT\System32\windows\services.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Startup: startup.bat
O4 - Startup: taskmanager.lnk = system32\TASKMGR.EXE
O4 - Global Startup: Norton AntiVirus AutoProtect.lnk = C:\tools\disk\norton\navapw32.exe
O8 - Extra context menu item: QuickDefine - C:\Program Files\Common Files\Microsoft Shared\Reference 2001\EDDEFINE.HTM
O8 - Extra context menu item: QuickTranslate - C:\Program Files\Common Files\Microsoft Shared\Reference 2001\EDTRANS.HTM
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Common Files\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O13 - WWW. Prefix: http://
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 192.168.0.1 192.168.0.10
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 192.168.0.1 192.168.0.10

Zitat von gruad

Am Desktop des infizierenden users waren einen haufen exe's:

Auwei, wenn der User infiziert ist, sollte man schnell zum Arzt
Den Rest sehe ich mir mal an ...
Welche Norton Version? wann das letzte mal upgedated?

Du/Ihr habt sicher zwei DNS-Server im Netz?

O13, R0, alle fixen

was steht denn in der Startup.bat?

O4 - Startup: taskmanager.lnk = system32\TASKMGR.EXE ??? warum wird der Taskmanager beim Systemstart aus der Registry heraus gestartet? würde ich fixen

O4 - HKLM\..\Run: [Windows] C:\WINNT\System32\windows\services.exe
der richtige Pfad müsste AFAIK C:\WINNT\System32\services.exe lauten! Nachsehen und fixen!

Poppt dein Fenster auch ohne Netzwerkverbindung?
Wie kommt der PC ins Inet?

der user war nicht infiziert. der war infizierend ! Hab mir jetzt grad die logs angesehen, wo der überall herumgesurft ist. Kein Wunder, dass er mir was mitgebracht hat


VIELEN DANK !!

das mit dem services.exe war der Tip !! hab ich total übersehen und ich schäme mich dafür

norton AV ist version 2001 und die updates werden stündlich aktualisiert. Aber er hat das Ding nicht gemerkt und auch bei den ganzen installation-popups nix gesagt. Ich glaube nicht, dass es an der alten Version liegt. Die engines werden mit den updates immer mitaktualisiert. Ich glaube, dass Symantec einfach wieder einmal geschlafen hat.

Ich hab dann den kaspersky 5 installiert (TRIAL) mit dem ich in anderen netzen sehr gute Erfahrungen gemacht habe und der hat die popups sofort geblockt und auch die services.exe sofort beanstandet. (die war nach deinem Tip eh schon isoliert)

was mich jetzt nur am kasperky gerade ärgert: ich hab keine ahnung, wie der virus/trojaner eigentlich heisst, der mich da heimgesucht hat. Im Report ist die Datei nicht drinnen und im Controlcenter steht zwar, dass eine Aktion war, aber mehr schon nicht. Naja - das war bei Kaspersky immer schon so: sehr gute Leistung bei sehr magererer Oberfläche

danke nochmals,
peter

Zitat von gruad

das mit dem services.exe war der Tip !! hab ich total Übersehen und ich schäme mich dafür

Kein Problem, mal sieht man sowas, mal sieht man sowas nicht

Zitat von gruad

norton AV ist version 2001 und die updates werden stündlich aktualisiert.

Nein, wäre ja schon schön wenn Symantec das täglich machen würde.
"Aktuell" ist z.Zt. bei Symantec:
Virendefinition vom 30.09.2004

Zitat von gruad

Die engines werden mit den updates immer mitaktualisiert.

Glaube ich jetzt mal nicht, aber um das zu testen werde ich kein altes NAV irgendwo installieren

Zitat von Shadow

Glaube ich jetzt mal nicht, aber um das zu testen werde ich kein altes NAV irgendwo installieren

Warum nicht?