Traffic by traffichome?

Netzelse · 25.10.2004, 08:43

Moin!

Ich habe seit einigen Tagen das überaus nervige Problem, dass sich hier ständig Internetseiten öffnen (trotz Werbeblocker etc.). Und zwar unabhängig davon, ob der IE überhaupt geöffnet ist, oder nicht. Es reicht schon nur mit dem Internet verbunden zu sein.

Und diese Seiten kommen in regelmäßigen Abständen. Dort steht immer etwas von "traffic by traffichome". Zur Info: Es sind Tattoo-Seiten, Seiten für Telefon-Sex und Handyseiten. Immer die gleichen drei.

Was ich eigentlich sagen will: Was ist das? Wie bin ich da dran gekommen? Und am wichtigsten: Wie krieg ich das wieder weg??? Denn das nervt mittlerweile wirklich.

Liebe Grüße
Die Else.

Shadowdance · 25.10.2004, 09:00

Guten Morgen Netzelse,

Zitat:

Zitat von Netzelse

Was ich eigentlich sagen will: Was ist das? Wie bin ich da dran gekommen? Und am wichtigsten: Wie krieg ich das wieder weg??? Denn das nervt mittlerweile wirklich.

Es handelt sich dabei um Browser-Hijacking. Daran gekommen bist Du, weil Du den IE verwendest, und der IE derzeit das Ziel von Browser-Hijacking ist. Weg kriegst Du es, wenn Du das tust, was wir Dir sagen ;-)

Also fangen wir damit an:

arbeite bitte zuerst das Tutorial der Spybot-Forschung Punkt für Punkt durch, überprüfe den Rechner mit Spybot 1.3.1TX, lasse bestehende Probleme beheben. Erstelle einen Spybot-Report und sende ihn an detections@spybot.info, mit dem Betreff "traffichome-TBOARD" und Hinweis auf diesen Thread. (Nicht im Forum posten, da zwecklos!)

Erstelle dann bitte ein Hijack This Logfile (Logfile of HijackThis v1.98.2) mit http://www.trojaner-board.de/51130-a...ijackthis.html und poste es mittels copy&paste in diesen Thread.

Lieben Gruss
SD

Netzelse · 25.10.2004, 09:11

Etwa so:

Logfile of HijackThis v1.98.2
Scan saved at 10:10:38, on 25.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Lexmark 3100 Series\lxbrbmgr.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programme\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe
C:\Programme\Norton SystemWorks\Password Manager\AcctMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Lexmark 3100 Series\lxbrbmon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\PROGRA~1\NORTON~1\NORTON~4\GHOSTS~2.EXE
C:\Programme\Norton Internet Security Professional\Norton AntiVirus\navapsvc.exe
C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Norton Internet Security Professional\Norton AntiVirus\SAVScan.exe
C:\Programme\eMule\emule.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\Sygate.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\INCRED~1\bin\IncMail.exe
C:\Programme\Spybot\SpybotSD.exe
C:\Programme\Norton Internet Security Professional\Norton AntiVirus\OPScan.exe
C:\PROGRA~1\INCRED~1\bin\ImNotfy.exe
C:\DOKUME~1\FLITSC~1\LOKALE~1\Temp\Rar$EX00.406\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.elby.ch/de/products/clon...order_key.html
R3 - URLSearchHook: stoolbar - {A4813605-14E9-485B-BE47-04873C5C1B3D} - C:\WINDOWS\Downloaded Program Files\tbu7E\stoolbar.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot\SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: ToolHelper - {AAAE1C1A-89F7-4AF6-ABD1-F8FBCFA47408} - C:\WINDOWS\DOWNLO~1\tbu7E\stoolbar.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: stoolbar - {A4813605-14E9-485B-BE47-04873C5C1B3D} - C:\WINDOWS\Downloaded Program Files\tbu7E\stoolbar.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Lexmark 3100 Series] "C:\Programme\Lexmark 3100 Series\lxbrbmgr.exe"
O4 - HKLM\..\Run: [LXBRKsk] C:\PROGRA~1\LEXMAR~1\LXBRKsk.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] C:\Programme\CloneCD\ElbyCheck.exe /L ElbyCDFL
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Sygate Personal Firewall] Sygate.exe
O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Programme\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe
O4 - HKLM\..\Run: [AcctMgr] C:\Programme\Norton SystemWorks\Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security Professional\UrlLstCk.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~2\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\RunServices: [Sygate Personal Firewall] Sygate.exe
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [Sygate Personal Firewall] Sygate.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: Arcor.lnk = ?
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - ms-its:mhtml:file://c:\nosuxyz.mht!http://213.158.119.18/auto/loudtorg....bridge-c46.cab
O16 - DPF: {4C26E1A7-5C92-4D48-A098-921005ED55C5} - ms-its:mhtml:file://c:\nosuxyz.mht!http://213.158.119.18/auto/stoolbar.chm::/stoolbar.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{094E7D70-F66F-4652-AF48-8FE60FD365EF}: NameServer = 195.50.140.250 145.253.2.11
O17 - HKLM\System\CS1\Services\Tcpip\..\{094E7D70-F66F-4652-AF48-8FE60FD365EF}: NameServer = 195.50.140.250 145.253.2.11

Hoffe, dass ich das richtig verstanden habe.

Die Else.

Shadowdance · 25.10.2004, 09:26

@ Netzelse,

Du hast es sehr gut verstanden. Könntest Du nun bitte das Spybot-Tutorial durcharbeiten? Schliesslich wollen wir diesem Browser-Hijacking alle ganz gerne ein Ende bereiten. Und das geht nur, wenn all jene Leute, die Browser-Hijackings-Probleme haben, daran mitarbeiten.

Ich schau mir derweil Dein Logfile an.

SD

Netzelse · 25.10.2004, 09:29

Hi!

Das habe ich schon gemacht und den Report weggeschickt.

Gruß
Die Else.

Shadowdance · 25.10.2004, 09:50

Hallo Netzelse,

Platform: Windows XP (WinNT 5.01.2600)/ MSIE: Internet Explorer v6.00 (6.00.2600.0000) - lade bitte das aktuelle Service Pack runter und update Deinen IE: www.windowsupdate.com.

=====@=====

Überprüfe mit dem online-scan von Kaspersky:

C:\PROGRA~1\LEXMAR~1\LXBRKsk.exe

Teile uns das Ergebnis der Überprüfung mit. Sende diese Datei, wenn sie infiziert ist, an partytime-germany.ice@web.de, mit Verweis auf diesen Thread (Forschungszweck).

=====@=====

Boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, fixe dann mit Hijack This:

O4 - Startup: Arcor.lnk = ?
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - ms-its:mhtml:file://c:\nosuxyz.mht!ht*p://213.158.119.18/auto/loudtorg.../bridge-c46.cab

wenn Du diese Einträge nicht kennst/brauchst bitte fixen:

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = ht*ps://www.elby.ch/de/products/clo.../order_key.html
R3 - URLSearchHook: stoolbar - {A4813605-14E9-485B-BE47-04873C5C1B3D} - C:\WINDOWS\Downloaded Program Files\tbu7E\stoolbar.dll
O2 - BHO: ToolHelper - {AAAE1C1A-89F7-4AF6-ABD1-F8FBCFA47408} - C:\WINDOWS\DOWNLO~1\tbu7E\stoolbar.dll
O3 - Toolbar: stoolbar - {A4813605-14E9-485B-BE47-04873C5C1B3D} - C:\WINDOWS\Downloaded Program Files\tbu7E\stoolbar.dll
O16 - DPF: {4C26E1A7-5C92-4D48-A098-921005ED55C5} - ms-its:mhtml:file://c:\nosuxyz.mht!ht*p://213.158.119.18/auto/stoolbar.chm::/sto olbar.cab

Boote in den normalen Modus. Aktiviere die Systemwiederherstellung.

=====@=====

Lade das Clear Prog runter, leere damit die Ordner TEMP, Temorary Internet Files, Cookies und den Verlauf.

=====@=====

Lade den eScan runter, erstelle dafür einen Ordner (=Verzeichnis) c:\bases, update den eScan online und führe ihn offline im abgesicherten Modus aus.

Beachte, dass der eScan ab Version 4.5.1 gefundene Malware nicht löscht. Die Malware muss von Hand gelöscht werden.

Teile uns das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."

Erstelle ein neues Hijack This Logfile und poste es.

SD

Netzelse · 25.10.2004, 12:41

Wie "fixe" ich denn etwas?

Shadowdance · 25.10.2004, 13:31

Zitat:

Zitat von Netzelse

Wie "fixe" ich denn etwas?

Im Programm Hijack This setzt Du Häk'chen vor die von mir gekennzeichneten Einträge und klickst dann auf "fix checked".

Netzelse · 25.10.2004, 13:49

Aaaaaaaaaaaaaaaaaaaalso:

Update: Erledigt!
----------------
Scan von lxbrksk.exe - Datei ok!
-------------------------------
Dateien gefixed mit Hijack This wie von Dir gesagt.
------------------------------------------------
Temp etc. mit Clear Prog gelöscht.
---------------------------------
Escan ausgeführt. Ergebnis:

File C:\WINDOWS\system32\Sygate.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\Sygate.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\Sygate.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\Sygate.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\Sygate.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

Mehr hab ich da aber nicht gemacht, weil ich nicht weiss, was ich jetzt damit anstellen soll.
-----------------
Neuer Hijack Logfile:

Logfile of HijackThis v1.98.2
Scan saved at 14:48:46, on 25.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Lexmark 3100 Series\lxbrbmgr.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\WINDOWS\System32\Sygate.exe
C:\Programme\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe
C:\Programme\Norton SystemWorks\Password Manager\AcctMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Lexmark 3100 Series\lxbrbmon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\PROGRA~1\NORTON~1\NORTON~4\GHOSTS~2.EXE
C:\Programme\Norton Internet Security Professional\Norton AntiVirus\navapsvc.exe
C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Norton Internet Security Professional\Norton AntiVirus\SAVScan.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\FLITSC~1\LOKALE~1\Temp\Rar$EX00.390\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot\SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Lexmark 3100 Series] "C:\Programme\Lexmark 3100 Series\lxbrbmgr.exe"
O4 - HKLM\..\Run: [LXBRKsk] C:\PROGRA~1\LEXMAR~1\LXBRKsk.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] C:\Programme\CloneCD\ElbyCheck.exe /L ElbyCDFL
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Sygate Personal Firewall] Sygate.exe
O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Programme\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe
O4 - HKLM\..\Run: [AcctMgr] C:\Programme\Norton SystemWorks\Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security Professional\UrlLstCk.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~2\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\RunServices: [Sygate Personal Firewall] Sygate.exe
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [Sygate Personal Firewall] Sygate.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1098701147623
O17 - HKLM\System\CCS\Services\Tcpip\..\{094E7D70-F66F-4652-AF48-8FE60FD365EF}: NameServer = 195.50.140.250 145.253.2.11
O17 - HKLM\System\CS1\Services\Tcpip\..\{094E7D70-F66F-4652-AF48-8FE60FD365EF}: NameServer = 195.50.140.250 145.253.2.11

Und nu?

Die Else.

Shadowdance · 25.10.2004, 14:49

Hallo Netzelse,

nun haben wir ein kleines Problem. Aber Probleme sind nur solange Probleme, bis man sie gelöst hat. Es tut mir leid, Dir mitteilen zu müssen, dass Dein System kompromittiert ist: www.mathematik.uni-marburg.de

Zitat:

Escan ausgeführt. Ergebnis:

File C:\WINDOWS\system32\Sygate.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

Backdoor.Win32.Rbot.gen --> "Erläuterung" bitte lesen. Du hast einen Wurm auf dem System, der Backdoor-Charakter hat. Das bedeutet, dass jemand anderes auf Deiner Rechner Zugriff haben kann und Deinen Rechner von aussen, also aus der Ferne steuern kann. Du musst davon ausgehen, dass alles, was Du auf Deinem Rechner bearbeitest, ausspioniert worden ist bzw. werden kann. Solltest Du online-banking betreiben, musst Du das sofort beenden. Es genügt leider nicht, diesen Wurm zu löschen, da er verschiedene Einträge im System hinterläßt.

Unsere Empfehlung hier im Forum lautet bei einem Backdoor dieser Art, das System formatieren und neu installieren: 10 Punke zu beachten. Wenn Du Dein System formatierst, das heisst, Deine Festplatte formatierst, gehen alle Daten, die Du auf Deinem Rechner hast, verloren. Lies Dich bitte hier ein, drucke es Dir aus oder lerne es auswendig: www.formatieren.de, eine Schritt für Schritt-Anleitung zum formatieren einer Festplatte. Die Anleitung ist sehr gut geschrieben und leicht verständlich.

SD

Netzelse · 25.10.2004, 15:05

Ok, Shadowdance! Also formatieren. Schade.

Aber: Wie schütze ich mich davor, mir diesen Virus erneut einzufangen? Norton hat ihn ja nicht entdeckt...

Gruß
Die Else.

Shadowdance · 25.10.2004, 15:50

@ Netzelse

Schutzvorschriften:

formatieren+neuaufsetzen

Zitat:

Zitat von Cidre

[..]
Nach dem Neuaufsetzen und vor der ersten Internet Verbindung solltest du folgende Punkte abarbeiten:

1. Eingeschränktes Benutzerkonto erstellen und zum Surfen benutzen http://freenet.meome.de/app/fn/artco...sp?catId=79426
2. Internetverbindungsfirewall aktivieren http://www.computerhilfe-euskirchen....xp/tipp16.html
3. Das System updaten und stets aktuell halten http://v5.windowsupdate.microsoft.co...r/default.aspx
4. NT-Dienste sicher konfigurieren http://www.ntsvcfg.de/ oder www.dingens.org
5. IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html
6. Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org/
7. MS Outlook und Outlook Express sicherer konfigurieren
http://www.fz-juelich.de/zam/net/sec...ok-config.html oder http://www.datenschutz-bremen.de/tip...riffe/mail.htm
Besser wäre es, sichere eMail Clients wie Thunderbird einzusetzen http://www.thunderbird-mail.de/
8. Deine Passwörter ändern
9. Image der Systempartition erstellen mit z.B. Acronis True Image 7
10. Surfverhalten überdenken

Info zur Installation von Win XP findest du hier:
http://8ung.at/chemikers-home/SETUP.html
und
http://chip-faq.rufisplanet.ch/installation.html

Für die Zukunft:
http://www.mathematik.uni-marburg.de...ompromise.html

SD

Traffic by traffichome?

Plagegeister aller Art und deren Bekämpfung: Traffic by traffichome?