hallo!

ich habe ein problem:

meine firewall gibt mir an, dass sich zwei dateien ständig versuchen ins internet einzuwählen! zum einen ist das die wininimil.exe und dann noch ati2vid! wenn ich diese dateien in den prozessen (unter windows-task-manager) ausschalte, kommen sie trotzdem beim nächsten start wieder zum vorschein! ich habe mal im google nach der wininimil gesucht und herausgefunden, dass das wohl ein sogenanntes spyprogramm ist! wie kann ich das löschen??? ich habe xp jetzt erst neu installiert, mein antivirenprogramm und die firewall auch ... anscheinend hat dieses spy-programm wohl doch nen offenes törchen gefunden! könnt ihr mir weiterhelfen??? ich wäre euch echt dankbar!

grüsse LUNA

Hallo

ich habe ein problem:

hast du auch ein Antivirus-Programm am Rechner? Nutz einer Firewall ist mehr als fragwürdig.

zum einen ist das die wininimil.exe

http://www.bsi.bund.de/av/vb/spybot.htm

und dann noch ati2vid!

die Datei ist vermutlich sauber und gehört zu ATI-Grafikkarte.
Bitte HJT von www.hijackthis.de runterladen, Log hier posten.
Wenn du aber schnell und sicher geholfen werden möchtest - mach dein PC platt, Neuinstallation mit allen Updates und Patches.
Hier geht's weiter : http://faq.underflow.de/#SECTION000120000000000000000

Versuche zunächst dies:

http://www.trojaner-board.de/42731-escan-anleitung.html

Dann hole dir HijackThis und poste ein Log:
http://www.trojaner-board.de/51130-a...ijackthis.html

Wenn du das System eh erst neu gemacht hast und es nun kompromittiert ist (der Trojaner kann auch Passworte aufzeichnen), wäre eine Neuinstallation allerdings die beste Lösung, Passworte solltest du sowieso ändern. Und dann von Anfang an vorsichtiger sein, Browserwechsel, unnötige Dienste deaktivieren usw., das kann man dann auch noch mal genauer ausführen. Welchen Virenscanner hast du, ist er auf dem neuesten Stand? Hast du die Windowsupdates alle installiert?

edit: gleichzeitig gepostet.

hallo

erstmal danke an euch zwei! ich habe mir dieses eine programm (spybot search and destroy) runtergeladen! damit hab ich dann einige dinge beseitigen können (sah aus wie cookies)! dann habe ich mit hilfe meines antivirenprogrammes (fp-win) diesen virus/trojaner/spybot was auch immer namens w32/parite.b@mm enfernt!

hoffe nun bin ich den mist los!

grüsse luna

hoffe nun bin ich den mist los!

Wenn du ein Log-File posten würdest, könnte man mehr dazu sagen!

Allerdings schließ ich mich Rene-gad an:
Die einzig sicherste Lösung, um wieder einen vertrauenswürdigen Zustand herzustellen, wäre: Neuaufsetzen deines Systems.

Zur Info:
Was Backdoor Trojaner können:
http://www.trojaner-info.de/beschreibung.shtml
http://de.wikipedia.org/wiki/Backdoor
http://de.wikipedia.org/wiki/Trojaner_%28Computer%29

Der parite-Virus ist wieder ein anderer. Ich glaube ehrlich gesagt nicht, dass du alles los bist, wenn du nur diesen wirklich entfernt hast. Bitte nimm E-Scan und HijackThis wie vorgeschlagen, wir sehen uns dann das Logfile an, wobei eine Neuinstall wie gesagt, das Beste wäre, wenn es dir nicht zu viele Umstände macht.

log datei vorm löschen:

Logfile of HijackThis v1.98.2
Scan saved at 20:58:43, on 12.08.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Armor2net\Armor2net Personal Firewall\armor2net.exe
C:\Dokumente und Einstellungen\admin\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_198.zip\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: A2NPopUpKiller Class - {8A321C7D-9CED-45A8-870D-DAE843A45FD0} - C:\Programme\Armor2net\Armor2net Personal Firewall\PopUpKiller.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Armor2net] C:\Programme\Armor2net\Armor2net Personal Firewall\Armor2net.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] wininimil.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\RunServices: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] wininimil.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKCU\..\Run: [Microsoft Update Machine] wininimil.exe
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents...r/imloader.cab


log datei nach dem löschen:

Logfile of HijackThis v1.98.2
Scan saved at 23:25:18, on 12.08.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Armor2net\Armor2net Personal Firewall\Armor2net.exe
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Winamp\Winamp.exe
C:\Programme\Adobe\Acrobat 6.0\Reader\AcroRd32.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\admin\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_198.zip\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: A2NPopUpKiller Class - {8A321C7D-9CED-45A8-870D-DAE843A45FD0} - C:\Programme\Armor2net\Armor2net Personal Firewall\PopUpKiller.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Armor2net] C:\Programme\Armor2net\Armor2net Personal Firewall\Armor2net.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] wininimil.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\RunServices: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] wininimil.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKCU\..\Run: [Microsoft Update Machine] wininimil.exe
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O10 - Unknown file in Winsock LSP: c:\programme\armor2net\armor2net personal firewall\netdog.dll
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents...r/imloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0D16B605-9A01-4D1A-AEBC-013862ED834E}: NameServer = 217.237.151.225 194.25.2.129


und, was meint ihr? ist alles weg?? krieg so langsam die krise ... hab mein system schon mindestens 3x bis zum jetzigen zeitpunkt neu installiert ... immer wieder wegen trojanern

... und vor allem, wenn ich das system neu installiere, kriege ich die blöden dinger wirklich weg????

@ LunaMarlin

Die Ursache allen Übels, ist deine Patch-Müdigkeit, d.h. dein System ist nicht auf den neuesten Stand und weitere unsichere Konfigurationen deines Systems.

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

hab mein system schon mindestens 3x bis zum jetzigen zeitpunkt neu installiert

Ein Neuaufsetzen eines Systems nach Kompromittierung ist immer die sicherste Lösung um wieder ein vertrauenswürdigen Zustand herzustellen.
http://oschad.de/wiki/index.php/Kompromittierung

Allerdings mußt du dein System auch richtig absichern, denn sonst war das Neuaufsezten für die Katz.

Setze bitte, in deinem eigenen Interesse, dein System neu auf und arbeite vor der ersten Internet Verbindung folgende Punkte ab:

1. Eingeschränktes Benutzerkonto erstellen und zum Surfen benutzen
2. Interne Verbindungsfirewall aktivieren http://www.computerhilfe-euskirchen....xp/tipp16.html
3. NT- Dienste sicher konfigurieren http://www.ntsvcfg.de/
4. dein System updaten http://v4.windowsupdate.microsoft.com/de/default.asp
5. IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm
6. Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org/
7. Deine Passwörter ändern
8. Image deiner Systempartition erstellen mit z.B. Acronis True Image 7
9. Surfverhalten überdenken

Kompromittierung unvermeidbar?

Wenn du die Festplatte formatierst und neu installierst, sind die Datein definitiv weg, solange sie aus dem Netz stammen und sie nicht vielleicht bei raubkopierter Software oder so mit dabei waren.
Eins ist sicher, es ist noch lange nicht alles weg, denn im Logfile stehen die Dateien, um die es zu beginn ging, ja immer noch drin.

Meinst du mit "vorm Löschen" bevor du E-Scan genommen hast oder bevor du den parite gelöscht hast? Wenn du es versuchen willst zu fixen, müsstest du es bei diesen Einträgen machen. Du solltest HijackThis aber erst mal in ein eigenes Verzeichnis entpacken und nicht im temporären Ordner ausführen (markieren und auf Fix checked klicken):

O4 - HKLM\..\Run: [Microsoft Update Machine] wininimil.exe
O4 - HKLM\..\RunServices: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] wininimil.exe
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com

Ich denke auch nicht, dass die ati2vid.exe wirklich zur Grafikkarte gehört, zumindest gibts dafür per google keinerlei Hinweis.

Falls du neu installierst (besser wärs wie gesagt):
- VOR der ersten Onlineverbindung die xp-interne Firewall für die Verbindung aktivieren
- unnötige Dienste deaktivieren (siehe www.dingens.org)
- danach als erstes www.windowsupdate.com besuchen und alle Updates herunterladen
- einen alternativen Browser verwenden wie Opera/Mozilla/Firefox, dort sind Dinge wie Popupblocker bereits integriert und du brauchst keine Extrasoftware dafür
- konfiguriere Browser und mailprogramm (auch hier gibt es bessere als Outlook) sicher, so dass Dinge wie Active-X und Javascript nicht automatisch ausgeführt werden
- KRITISCH bleiben: keine mailanhänge öffnen, bei denen du nicht 10000%ig sicher bist, dass du sie wirklich kriegen sollst und dass sie aus sicherer Quelle sind, Programme von vertrauenswürdigen großen Seiten wie zdnet oder Chip.de herunterladen ansonsten auch hier kritisch bleiben (alles was du nicht wirklich brauchst, lieber nicht installieren)


Du hast ursprünglich geschrieben, du hast einen Virenscanner, aber aus dem Logfile ist für mich keiner ersichtlich. Du hast lediglich eine Software-Firewall, die mir allerdings kein Begriff ist. Es wäre daher gut, wenn du dir noch ein richtiges Antivirenprogramm besorgst, kostenlos und brauchbar ist Antivir: http://www.free-av.de/ wenn du auch Geld ausgeben kannst/willst, wäre Kaspersky-KAV mein Vorschlag.
Das wärs, was mir so spontan einfällt.

Menno...ich hasse es, keine flatrate zu haben und immer offline zu schreiben und dann gleich zu posten, sorry wegen der Wiederholungen, aber das ergänzt sich trotzdem ganz gut.

@ MountainKing

Kein Problem

huhu

danke an euch für die tollen beschreibungen ... werde das gleich mal ausdrucken und morgen in angriff nehmen ...

mein antivirenprogramm heisst fp-win-anti-virus 4 unter dos läuft es auch unter dem namen fp-dos

dieses ati2vid ist wohl folgendes gewesen:

Incident Status Location

Virus:Trj/Qhost.gen Disinfected C:\Programme\Spybot - Search & Destroy\Includes\Hosts.sbs
Virus:W32/Sdbot.AIM.worm Disinfected C:\WINDOWS\system32\ati2vid.exe.mwt
ich habe mal einen online-viren-test gemacht in der zeit ... naja anscheinend ist mein ganzer computer voll mit irgendwelchen viren und trojanern ... leider weiss ich auch, wem ich das zu verdanken habe ... kanns ihm nur nicht nachweisen ist das doofe

irgendwie kommen ja immer mehr programme zum vorschein, die eigentlich nicht dazugehören!

auch dieses hier scheint ja nicht richtig zu sein:

C:\WINDOWS\Explorer.EXE
(habe gelesen, dass die explorer.exe, die nicht im ordner system 32 zu finden ist, ein trojaner ist! ist das so?)

ich weiss, ich habe fragen über fragen ... sorry, dass ich euch so lange damit aufhalte! (ich bin es nur langsam leid ... habe mein system in den letzten 2 wochen wie schon erwähnt 3x neu installiert mit windows xp ... davor hatte ich das selbe (nur öfter) mit windows 98 und 2000 ... naja hatte halt immer wieder dieses blöde subseven drauf ... dachte ja, das ich nach ner Neuinstallation keine probleme mehr hätte!)

so, ist nen roman geworden ... sorry dafür!

@mountainking: das mit der nicht vorhandenen flatrate und posten kenne ich auch ... ist ätzend! mein mitleid hast du!

Wenn du die Festplatte formatierst und neu installierst, sind die Datein definitiv weg, solange sie aus dem Netz stammen und sie nicht vielleicht bei raubkopierter Software oder so mit dabei waren.
Eins ist sicher, es ist noch lange nicht alles weg, denn im Logfile stehen die Dateien, um die es zu beginn ging, ja immer noch drin.

heisst das dann, es könnte noch auf der cd-rom sein??? kann ich das irgendwie rausfinden???
Meinst du mit "vorm Löschen" bevor du E-Scan genommen hast oder bevor du den parite gelöscht hast? Wenn du es versuchen willst zu fixen, müsstest du es bei diesen Einträgen machen. Du solltest HijackThis aber erst mal in ein eigenes Verzeichnis entpacken und nicht im temporären Ordner ausführen (markieren und auf Fix checked klicken):

ich hab e-scan nicht genutzt ... das lief nicht richtig ... ich habe dieses andere programm genommen (spybot-search and destroy) und ja, die erste log-file ist bevor ich es benutzt habe ... die andere log-file, nachdem ich es benutzt habe!

O4 - HKLM\..\Run: [Microsoft Update Machine] wininimil.exe
O4 - HKLM\..\RunServices: [ATI VIDEO REGKEY] ati2vid.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] wininimil.exe
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com

Ich denke auch nicht, dass die ati2vid.exe wirklich zur Grafikkarte gehört, zumindest gibts dafür per google keinerlei Hinweis.

habe von google auch die info bekommen, dass es ein trojaner ist oder spyprogramm ... zumindest hat es mit der grafikkarte nix zu tun ...
Falls du neu installierst (besser wärs wie gesagt):
- VOR der ersten Onlineverbindung die xp-interne Firewall für die Verbindung aktivieren
- unnötige Dienste deaktivieren (siehe www.dingens.org)
- danach als erstes www.windowsupdate.com besuchen und alle Updates herunterladen
- einen alternativen Browser verwenden wie Opera/Mozilla/Firefox, dort sind Dinge wie Popupblocker bereits integriert und du brauchst keine Extrasoftware dafür
- konfiguriere Browser und mailprogramm (auch hier gibt es bessere als Outlook) sicher, so dass Dinge wie Active-X und Javascript nicht automatisch ausgeführt werden
- KRITISCH bleiben: keine mailanhänge öffnen, bei denen du nicht 10000%ig sicher bist, dass du sie wirklich kriegen sollst und dass sie aus sicherer Quelle sind, Programme von vertrauenswürdigen großen Seiten wie zdnet oder Chip.de herunterladen ansonsten auch hier kritisch bleiben (alles was du nicht wirklich brauchst, lieber nicht installieren)


Du hast ursprünglich geschrieben, du hast einen Virenscanner, aber aus dem Logfile ist für mich keiner ersichtlich. Du hast lediglich eine Software-Firewall, die mir allerdings kein Begriff ist. Es wäre daher gut, wenn du dir noch ein richtiges Antivirenprogramm besorgst, kostenlos und brauchbar ist Antivir: http://www.free-av.de/ wenn du auch Geld ausgeben kannst/willst, wäre Kaspersky-KAV mein Vorschlag.
Das wärs, was mir so spontan einfällt.

C:\WINDOWS\Explorer.EXE
(habe gelesen, dass die explorer.exe, die nicht im ordner system 32 zu finden ist, ein trojaner ist! ist das so?)

Da hast du was falsches gelesen.

Dies ist die richige: C:\WINDOWS\Explorer.EXE
Dies wäre ein gefakte :
C:\WINDOWS\system32\Explorer.EXE => wäre z.B. Backdoor.Rbot.gen, MyDoom und andere Malware.

Achtung:
Explorer.exe ist (auch) ein Windows-Programm. Das originale Programm Explorer.exe befindet sich im Windows-Verzeichnis, nicht im Windows-System-Verzeichnis.
Quelle: http://www.bsi.de/av/vb/mydoom-1.htm

leider weiss ich auch, wem ich das zu verdanken habe ... kanns ihm nur nicht nachweisen ist das doofe

Dann entzieh diesen jemand die administrativen Rechte und erstelle ihm/ihr auch ein Eingeschränktes Benutzerkonto!