Hallo,

hab jetzt 2 Tage allerhand über Würmer und Trojaner gelesen (auch hier und über ähnliche Probleme) und viel davon ausprobiert, aber leider ohne Erfolg.

Norton IS hat einen w32.spybot.worm gekillt (früher diesen Monat auch mal einen w32.randex.gen und einen w32.netsky.z@mm). Nach dem Isolieren des Spybot ist es nicht mehr möglich über die Internetverbindung irgend eine Seite aufzurufen.

Verschiedene Virenscanner haben keinen Befall mehr identifiziert.
Winsockfix bereits im abgesícherten Modus ausgeführt.

Ich weiß nicht genau was Ihr mit den Log-Files anstellen könnt, aber da es hier nunmal Tradition ist, daß man das postet, will ich mal auch nicht so sein und hoffe, daß es hilft und Ihr mir helfen könnt.

##################################################

Logfile of HijackThis v1.99.0
Scan saved at 15:26:26, on 28.12.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\WINNT\system32\ati2plab.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\Atiptaxx.exe
C:\WINNT\system32\PRPCUI.exe
C:\Programme\Fujitsu-Siemens\BATTERYAID\BATTERYAID.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Apoint\Apoint.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\Programme\Apoint\Apntex.exe
C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINNT\system32\internat.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Viren-Scanner\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.tiscali.de/web/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tiscali.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tiscali.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer provided by Tiscali
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [PRPCMonitor] PRPCUI.exe
O4 - HKLM\..\Run: [BATTERYAID] C:\Programme\Fujitsu-Siemens\BATTERYAID\BATTERYAID.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office OneNote 2003 Schnellstart.lnk = C:\Programme\Microsoft Office\OFFICE11\ONENOTEM.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown - C:\WINNT\system32\ati2plab.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: RegService - Xircom - C:\XIRCOM\Update\RegService.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

##################################################

Schönen Dank schon mal

@happyoliday
Ich weiß nicht genau was Ihr mit den Log-Files anstellen könnt, aber da es hier nunmal Tradition ist, daß man das postet, will ich mal auch nicht so sein und hoffe, daß es hilft und Ihr mir helfen könnt.
wir stecken die logfile in unsere glaskugeln

lade dir aus tradition escan hier download
anleitung hier
mache es genauso wie es beschrieben wird.
EscanErgebnis
Teile uns das Ergebnis des eScan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."
ein scan dauert mindestens 1 stunde
chaosman

Danke chaosman

dachte mir schon, daß die Glaskugel sehr hungrig ist und hab vor lauter langeweile schon mal angefangen ... selbstständig ... logfile kommt demnächst ...

:aplaus:

So ... hier also der eScan-Logfile-Ausschnitt ... der Zeilen die 'infected' enthalten ... lang hats gedauert ... :

#################################################

C:\Programme\AVPersonal\INFECTED\*.*

AntiVirus\Quarantine\543909BD infected by "I-Worm.NetSky.aa" Virus. Action Taken: No Action Taken.

AntiVirus\Quarantine\130D4F36 infected by "Backdoor.SdBot.jg" Virus. Action Taken: No Action Taken.

#################################################
Hab ich das richtig gemacht ?

Wenn ich hier noch meine eigene laienhafte Interprätation anfügen darf :

Das erste ist halt ein Verzeichnis eines Virenscanners das 'infected' heißt.

Die anderen sind 2 der 3 Viren die Norton gefangen und hier isoliert hat.

Schönen Gruß
happyoliday

@ happyoliday

sei so nett und gib uns die Anzahl der auf Deinem Rechner gefundenen Viren bekannt. Es sollte so aussehen:

=>Total Number of Files Scanned:
=>Total Number of Virus(es) Found:
=>Total Number of Disinfected Files:
=>Total Number of Files Renamed:
=>Total Number of Deleted Files:
=>Total Number of Errors:
***** Scanning complete. *****

Und, wenn meine Meinung lesen möchtest, empfehle ich Dir, Dein System zu formatieren und anhand dieser Anleitung von Cidre neu aufzusetzen.

SD

###################################################

Tue Dec 28 19:56:36 2004 => File C:\Daten\Download\USB for WinNT4.0\ACF41E4.zip tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Dec 28 19:56:36 2004 => Scanning File C:\Daten\Download\USB for WinNT4.0\Setup.EXE
Tue Dec 28 19:56:37 2004 => File C:\Daten\Download\USB for WinNT4.0\Setup.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Tue Dec 28 21:17:01 2004 => File C:\WINNT\Temp\~GL_163C.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

####################################################

Tue Dec 28 21:17:12 2004 => ***** Scanning complete. *****

Tue Dec 28 21:17:12 2004 => Total Files Scanned: 37721
Tue Dec 28 21:17:12 2004 => Total Virus(es) Found: 5
Tue Dec 28 21:17:12 2004 => Total Disinfected Files: 0
Tue Dec 28 21:17:12 2004 => Total Files Renamed: 0
Tue Dec 28 21:17:12 2004 => Total Deleted Files: 0
Tue Dec 28 21:17:12 2004 => Total Errors: 3
Tue Dec 28 21:17:12 2004 => Time Elapsed: 01:27:09
Tue Dec 28 21:17:12 2004 => Virus Database Date: 2004/12/27
Tue Dec 28 21:17:12 2004 => Virus Database Count: 113889

Tue Dec 28 21:17:12 2004 => Scan Completed.

Tue Dec 28 21:31:41 2004 => Virus Database Date: 2004/12/27
Tue Dec 28 21:31:41 2004 => Virus Database Count: 113889
Tue Dec 28 21:31:52 2004 => AV Library Unloaded (3)...

####################################################

Von den 5en waren zumindest 2 Reboot-Files aus einem alten Win-NT-USB-Schníttstellen-Programm ... und noch ein Reboot file.

Hallo Ihr lieben, da bin ich wieder ,

habt Ihr irgend eine grandiose Idee oder wird die einzige Lösung sein den ganzen Rechner platt zu machen und neu aufzusetzen wie es Shadowdance schon vorgeschlagen hat.

Ist es möglich irgendwelche Daten zu sichern? Oder besteht die Gefahr, daß es sich irgendwo eingenistet hat?

Freu mich schon auf die zwei Tage Programme installiern .
Na ja ... s gibt schlimmeres

Was denkt Ihr denn was hier passiert sein könnte? Isser noch da, der Virus, oder hat er im Todeskampft hier 'nur' noch ein paar Sachen kaputt gemacht?

Schönen Gruß
happyoliday

Ist es möglich irgendwelche Daten zu sichern?

Ja, es ist möglich. Beachte aber http://oschad.de/wiki/index.php/Dateiendungen

Freu mich schon auf die zwei Tage Programme installiern

Dies kannst du dir in der Zukunft ersparen, wenn du ein Image deines frisch installierten Systems anlegst.

Was Backdoor Trojaner können:
http://www.trojaner-info.de/beschreibung.shtml
http://de.wikipedia.org/wiki/Backdoor
http://de.wikipedia.org/wiki/Trojaner_%28Computer%29

Schönen Dank Euch Allen

Ich hab wirklich ´ne Menge gelernt die letzten Tage.
Auch wenn es hier nicht lösbar war, werden Eure Tips und Hinweise dafür sorgen, daß mein System in Zukunft sicherer wird , obwohl ich bisher dachte, daß ich schon recht gut abgesichert bin.

Also danke nochmal für Eure Mühe ...
Schönen Gruß
happyoliday