Hallo,

ich habe ein großes Problem mit meinem Rechner und weiß leider nicht woran es genau liegt und was es ist, sprich ob es Viren, Trojaner oder was auch immer ist (vielleicht auch einfach nur Systemfehler?).

Ich muß zunächst vorausschicken, daß ich am Rechner eher "Anfänger" bin und technisch nicht so ganz die Ahnung habe.

Vielleicht weiß ja der eine oder andere hier etwas mit meinem Problem anzufangen und hätte ein paar Tips - ich wäre für JEDEN HINWEIS äußerst dankbar:

Seit einiger Zeit gibt es Probleme mit meinem Rechner. Zunächst habe ich registriert, daß BLACK ICE und SYGATE (egal ob zusammen oder für sich allen benutzt - habe alles ausprobiert) verstärkt Angreifer melden, vor allem SYGATE meldet Scan-Versuche.
Dann war immer häufiger der Fall, daß mein System (oder zum Teil BLACK ICE, ich konnte die Meldungen nicht immer einordnen) mir den "Change" von "configuration files" meldete - die ich selbst wohlgemerkt nie vorgenommen hatte. Meist betrafen diese Änderungen BLACK ICE.
Dann merkte ich vor kurzem, daß auf einmal mein CD-R-Laufwerk, welches vorher "F" hieß, nun auf einmal "G" hieß (!)...
Ich kann es auch über "Einstellungen" leider nicht ändern (die neue Bezeichnung).
Ich habe dann - erst heute - gemerkt, daß sämtliche IPs, die ich zum Blockieren in den BLACK ICE eingegeben hatte, verschwunden waren (!). Mußte sie neu eintragen.
Ebenfalls heute merkte ich, daß beim NORTON ANTIVIRUS (regelmäßig automatisch aktualisiert - so nebenbei, ja, ich habe auf diesem Forum gemerkt, daß dieses Antivirusprogramm hier wohl nicht sonderlich geschätzt wird) irgendwie das "automatische Live-Update" aus war... habe dann in den Einstellungen geschaut, und tatsächlich: Obwohl ich dort vermerkt hatte, daß diese Funktion - also "Live Update" - genutzt werden sollte, war das Häckchen dort auf einmal VERSCHWUNDEN! Wie kann das sein...?
Immer skeptischer und als "Computer-Total-Depp" vor allem ratloser geworden, merkte ich dann auch meiner Suche durch diverse Dateien und Einstellungen, daß bei den Laufwerken C und D auf einmal (!) unter "Freigabe" nicht mehr "nicht freigeben", sondern "für andere Netzwerkteilnehmer freigeben" markiert war (!)...
Als nächstes merkte ich heute, daß ich viele Funktionen nicht ausführen konnte, zumindest nach einer gewißen Zeit, da meist schon nach dem Hochfahren des Rechners gemeldet wurde: Kein Auslagerungsspeicher vorhanden! Ich versuchte, den Speicherplatz von 20 MB (kommt mir seltsam klein vor) über "Arbeitsplatz" -> "Einstellungen" zu erhöhen, jedoch hat sich grundsätzlich nichts geändert: Jedes Mal habe ich zu wenig Auslagerungsspeicher bzw. keine Auslagerungsdatei.

LAVASOFT (AD AWARE) findet leider nichts, ebensowenig STINGER und NORTON ANTIVIRUS. ANTIVIR findet ab und an eine Datei, diese kann er jedoch nicht löschen, weil sie in einem Verzeichnis sei. Wobei dieses Verzeichnis eigentlich unverdächtig ist. Habe, nachdem ich auf diesem Forum sorgsam hier und da gelesen habe, KASPERSKY AV als Probeversion heruntergalden, um damit mal zu schauen, jedoch ließ sich das nicht installieren bei mir. Bzw. ließ es schon, aber entweder es wird mir geraden, es nochmal zu installieren (mit dem selben Ergebnis dann), oder es steht eben "nicht genug Auslagerungsplatz" zur Verfügung.

Nun meine Frage: WAS IST LOS mit meinem Rechner und wie könnte man helfen :-((((( ...?
Ich bin ehrlich gesagt VÖLLIG VERZWEIFELT :-((( .
Ich öffne keine unbekannte eMails, Mails mit Anhang generell nicht, bin nicht auf unbekannten Seiten, gehe nie ohne Firewall und Antivirenprogramm ins Nezt und rufe Mails nur über Webserver ab. Installieren auch nur mit bedacht und selten neue Programme und scanne sie immer vorher auf Malware :-((. Klar weiß ich, daß es generell keine grundsätzliche Sicherheit gegen so eine Kram gibt, nur frage ich mich halt trotzdem wie das einem vorsichtigen Menschen wie mir (na hoffe ich doch...) passieren konnte und was es genau ist :-(( .

Jede Hilfe und noch so kleinen Tipp wüßte ich SEHR zu schätzen und bedanke mich im Vornherein für jeden ernstgemeinten Rat und Mühe.

Zu meinem System (ich weiß nicht ob da alles wichtige enthalten ist - ansonsten bitte nachfragen):

Windows 2000 NT mit SP 2, 256 MB RAM, 2800 MHZ (ATHLON), als Firewalls SYGATE und BLACK ICE, Antivirensystem ist NORTON, Browser ist FIREFOX 1.0. Ins Netz gehe ich mit ISH-Kabelmodem (Geschwindigkeit 256 kb).

Schönes Wochenende noch!

Lange Rede-kurzer Sinn.
Poste bitte einen Log von Hijackthis:

Anleitung+Download gibts hier
www.hjt.klaffke.de

@ zsuzsa, erst einmal vielen Dank, dass du viel Info gepostet hast, dass macht hier nicht jeder und du hast ja auch schon eine ganze Menge versucht, dass ist sehr gut.
Und da du ja so ausführlich geschrieben hast, hört sich das für mich sehr böse an.
Ja auf alle Fälle erst einmal ein HJT, dann sehen wir weiter.
Liebe Grüße, Charlie

Sieht aber leider leider nicht gut aus.
Aber noch ist Rom ja nich verloren.
Wir erwarten freudig deinen Log.

Hmm, das Prob ist, HJT erkennt das nicht, wenn es richtig gemacht wurde, siehe meine Beispiele, falls es das ist, was ich vermute, geht das von fern nicht zu löten, da muss man vor der Kiste sitzten, oder der Gegenüber kennt sich aus, sonst geht das in die Hose, hast ja gelesen, selbst die SK's sind die Geister nicht losgeworden, die sie selbst gerufen haben.
LG, Charlie

Charlie

Mach ma nicht die Pferde scheu.Und vor allem dem Fragenden keine Angst.
Eigentlich sah der Log, den du mir zeigtest gut aus-*5malmitdemAugezwinker**und noch8smileyshinterherschick*
Lass uns dennoch auf den Log warten.
Jaja-das Hauptstadtleben ist wild

@ zsuzsa

keine Angst-bis auf den Verweis auf HJT sind das nur Spinnereien, was es sein könnte.
Wir hoffen, das es nicht das ist, was Charlie vermutet.Veteranen erzählen auch immer nur vom Krieg. ;-)
Poste uns deinen Log und wir gucken was für dich tun zu können.

Ja, ist aber komisch, sag ich mal; es ist Gefahr im Verzug, bekomme ich eins aufs Maul, sage ich aber; dass ist kalter Kaffe, auch!
Ist schon gewöhnungsbedürftig, dass Board.
So, nun sind wir total OT, warten wir den HJT ab.
Ganz liebe Grüße, der Charlie, der aber jetzt ins Bett muss.

Hallo,

vielen Dank erst einmal für die vielen wohlwollenden Antworten, und dann auch noch so schnell :-). Is' ja nicht selbstverständlich.

Hm, einige Antworten sehen ja nicht gerade ermunternd aus :-(, aber habe mir auch selbst schon insgeheim gedacht, daß da wohl so einiges ziemlich im Argen liegt...

Also, darauf mit HJT bin ich auch schon gekommen und hatte ich auch schon versucht. Leider hat mir das Programm nur - meines Wissens nach - unverdächtige Programme als "böse" oder potenziell böse markiert ;-).

Trotzdem hier mein Logfile:



Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\Programme\Sygate\SPF\Smc.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Network ICE\BlackICE\blackd.exe
C:\WINNT\system32\hidserv.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\TweakNow PowerPack\RAM_XP.exe
C:\Programme\Steganos Internet Anonym 5\sia5.exe
C:\WINNT\System32\internat.exe
C:\Programme\Network ICE\BlackICE\blackice.exe
C:\Programme\Remote Master\Remote Master.exe
C:\Programme\TechniSat DVB\bin\Server4PC.exe
C:\WINNT\twain_32\S6U12BX\WATCH.exe
C:\Programme\Steganos Internet Anonym 5\sseagent.exe
D:\Programme\firefox.exe
D:\Programme\hijackthis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.web.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [RAM Idle Professional] C:\Programme\TweakNow PowerPack\RAM_XP.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [SIA5] "C:\Programme\Steganos Internet Anonym 5\sia5.exe" /booting
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: BlackICE Utility.lnk = C:\Programme\Network ICE\BlackICE\blackice.exe
O4 - Global Startup: Fernbedienung.lnk = C:\Programme\Remote Master\Remote Master.exe
O4 - Global Startup: Server4PC.lnk = C:\Programme\TechniSat DVB\bin\Server4PC.exe
O4 - Global Startup: Watch.lnk = C:\WINNT\twain_32\S6U12BX\WATCH.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - D:\Programme\AVWUPSRV.EXE
O23 - Service: BlackICE - Internet Security Systems, Inc. - C:\Programme\Network ICE\BlackICE\blackd.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\Smc.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe


Diesen Eintrag mit "R1" zum Beispiel hat er mir als "böse" markiert, wobei ich doch vermuten würde, daß es eher harmlos ist und einfach nur die Funktion zeigt, daß mein Browser mit "web.de" beginnt, was ich ja selbst eingestellt habe. Oder?

Na ja, vielleicht bringt's ja jemanden weiter :-((((( Wäre nur schade, wenn alles verloren ist, weil ich nicht mal größere Datenmengen retten könnte - Mein Brenner brennt seit eingiger Zeit keine größeren reinen Dateimengen mehr, nur Musikdateien, und diese auch nur beim zweiten Mal...
Ik gloob det hat allet keen Sinn mehr :-( .

Hallo zsuzsa, wir könne es ja versuchen, HJT ist ja leider fast sauber und das ist schon einmal ein Problem und erklärt das Desaster deines PC keineswegs, lösche aber erst mal, dass was du nicht kennst und auch dein web.de, dass kannst du ja dann wieder zur Startseite machen.
Lade dir dann, falls es noch funktionieren sollte, escan runter und scenne damit dein HD und poste bitte das Ergebnis.
Wie das alles geht, steht hier schon hundertmal, gehe bitte nach den Anleitungen vor.
Liebe Grüße, Charlie
PS; noch ist Polen nicht verloren!!!

Hallo,

also der aktuelle Lagebericht:

- Das CD-R-Laufwerk "G", welches bis dahin immer "F" hieß und auf einmal umbenannt war, habe ich wieder in "F" umbennen können.

- Ich habe den Rat bzgl. HJT beherzigt und den R1-Eintrag mit web.de gefixt

- Ich habe im abgesicherten Modus eScan durchgejagt und er hat vier Viren und eine Warnung gefunden:

Backdoor.Win32.Rbot.dc
Backdoor.Win32.Rbot.gen
Backdoor.Agobot.mn
Worm.Win32.Welchia
Auserdem wurde als "Risk" befunden: File C\WINNT\Sys32\Tools\Restart.exe (was auch immer das ist)

Weiß jemande weiter...??

Hallo,

dass sind leider alles sehr gefährliche Backdoor Trojaner,dir bleibt daher nur dies übrig http://www.trojaner-board.de/showpos...28&postcount=2 dein System ist nicht mehr vertrauenswürdig!

Gruss

Morgen!

Danke für die Tips!

Habe dann wohl oder übel das System neu aufsetzen müssen und so am WE die Zeit sehr "nett" verbracht :-( ...

Ich hoffe im Bezug auf die Paßwörter ist nichts schlimmeres passiert... geändert habe ich sie alle jedenfalls.

Grüße und auf daß wenigstens Euer System die nächste Zeit über heil bleibt...

Hallo zsuzsa, dass OS neu aufzusetzen, währe in deinem Falle das rationellste und sicherste, keine Frage, aber da ich ja selbst weiß wie man an manchen Sachen hängt, sollte man alle Möglichkeiten ausschöpfen, da dein Brenner nicht richtig funzt, ist das ja richtig ärgerlich.
Die Dinger, die der scan angezeigt hat kann man natürlich auch löschen, bei allem was erkannt wird ist die Gefahr ja eigentlich schon vorbei!
Aber das blöde an den Teilen ist, dass da was nachgeschoben werden kann, was offensichtlich bei dir der Fall ist, denn keines der Dinger, richtet meines Wissens so ein Desaster an, wie du das beschrieben hast, da war schon wer auf deinem PC und hat da aufgeräumt!
So, nun musst du dich entscheiden, die Sache ist zu Löten.
Also, erst einmal die Dinger löschen, die escan gefunden hat, danach alles noch mal von Anfang an, also die Ergebnisse posten, dann sehen wir weiter.
Liebe Grüße, Charlie

Nachtrag:
Zitat von HerrKautz:
dir bleibt daher nur dies übrig, Zitat ende;
dass ist falsch, denn selbst in der binären Logik, die ja schon richtig abstrahiert ist, gibt es immer noch die Möglichkeit von eins und null!
LG, Charlie

Hallo charlie1,

nach dem Posting von HerrKautz habe ich erst mal auf seinen Rat hin die ganze Festplatte gelöscht und das BS mitsamt Programmen neu draufgesetzt... . Ist halt nur allein deshalb schon blöd, weil ich jetzt durch das Ganze einen Arbeitstag verloren habe in der Firma :-( und zudem nicht alle wichtigen Dateien retten konnte. Mein Brenner ging ja wie gesagt kaum mehr. Habe wenigstens einige essentielle Sachen in langwieriger Arbeit retten können. Zum Glück habe ich immer auch zwischendurch mal ein paar wichtige Dateien auf CD-R gebrannt ;-), da man ja nie weiß, und so habe ich "irgendwie" vieles noch retten können.

Schade, daß ich dein Posting erst jetzt kam - vorher war als Antwort nur das von HerrKautz da, und da sonst keiner was dazu geschrieben hatte, dachte ich - hab' ja keine Ahnung wie das hier bei euch läuft-, daß auch die anderen seinen Beitrag so sehen, und deshalb nichts mehr dazu schreiben, und ich dann wohl oder übel alles löschen muß.

Na ja, hätte ja auch wohl eh nichts machen können, da eScan ja keine Viren löscht, zumindest in meiner Version nicht (hätte wohl die Profiversion kaufen müssen).
Hätte es denn irgendeine Möglichkeit gegeben, z.B. selbs, also quasi "per Hand", ohne eScan diese Dateien zu löschen...? Wäre vielleicht ganz gut zu wissen für nächstes Mal... .

Ansonsten habe ich viel auf www.trojaner-board.de "herumgelesen" und habe folgende Sachen zur künftigen Sicherheit gemacht, damit nicht gleich wieder was passiert, und wollte mal von euch Profis wissen, ob das so OK ist und was man sonst noch so machen könnte (FIREFOX statt IE hatte ich ja schon eh auch bisher und unbekannte Mails oder gar Anhänge habe ich eh nicht geöffnet; hatte schon immer "versteckte Ordnder und Dateien anzeigen" aktiviert; bin auch kein P2P-Nutzer):

- Gehe nur noch mit Benutzerkonto ohne Admin-Rechte ins Netz (man lernt ja immer wieder dazu ;-) )
- Habe auf www.dingens.org das Programm zur Deaktivierung der Windowsdienste heruntergeladen und installiert
- Benutze nur noch eine Firewall statt zwei, da ein etwas erfahrenerer (als ich ;-) ) Freund meinte, das wäre eher schädlich (obwohl ich damit gut über ein Jahr KEINE Probleme hatte und bis vor kurzem alles wunderbar lief)

Was kann oder muß ich sonst noch machen? Ich habe Norton (was ihr hier wohl zum größten Teil nicht so gut findet?), mit der Ständig-Aktualisier-Option, installiert, Sygate Firewall, SecretMaker.

Bin für alle Tips dankbar und offen!

Ich habe außerdem noch, da hier auf dem Forum öfter mal von eingen geraten wurde, ins Netz nur ohne Admin-Rechte zu gehen, eine Frage zu den Benutzerkonten:

Ich habe mir ein Konto ohne Adminrechte eingerichtet, das ich zum Surfen nutze. Nur: Irgendwie werden meine Einstellungen, z.B. der Firewall oder von Windows (Klänge, Darstellung, Ordneroptionen etc.) nie gespeichert, und jedes Mal, wenn ich mich mit diesem Konto ohne Administratorrechte anmelde, begrüßt mich Windows als "Neu-Nutzer" und fragt was ich tun möchte und so. Es werden auch Lesezeichen etc. nicht gespeichert.
Außerdem kann ich hier nicht in der Start-Programm-Liste "OpenOffice" sehen und kann anscheinend auch keine Dokumente bearbeiten / ändern.
Ich muß aber nun mal - allein schon Arbeits- und Studien-bedingt - öfter gleichzeitig im Netz sein, Datein in OpfenOffice-Dokumente eingeben und ändern / bearbeiten.
Woran liegt das alles und was könnte ich da machen?

Noch 'ne Frage: Habe von dingens.org ja das Programm zur Windows-Dienste-Deaktivierung installiert. Nur: Als ich "Ein einzelnen Rechner" oder so ähnlich gewählt hatte, kam ich nicht ins Netz.
Habe nun "Netzwerk" oder "Gruppe" (die zweite, mittlere Option) gewählt und jetzt geht's. Ist diese Option auch OK? Oder unsicher? Besser als nix...? Wer kann mir mehr dazu sagen?

Dann bis denne und schöne Nacht euch allen!

Hallo zsuzsa,

Zitat von zsuzsa

- Ich habe im abgesicherten Modus eScan durchgejagt und er hat vier Viren und eine Warnung gefunden:

Backdoor.Win32.Rbot.dc
Backdoor.Win32.Rbot.gen
Backdoor.Agobot.mn
Worm.Win32.Welchia
Auserdem wurde als "Risk" befunden: File C\WINNT\Sys32\Tools\Restart.exe (was auch immer das ist)

--> bei dieser Wurmsammlung, die samt und sonders Dritten den Zugriff auf Deinen Rechner erlaubt hat, hätten Dir die Meisten von uns den Tipp gegeben, Dein System so schnell wie möglich vom Netz zu nehmen und zu formatieren.

Welches BS hast Du denn jetzt? Wenn Du WindowsXP hast, solltest Du Dir das SP2 runterladen. Im SP2 ist eine Firewall integriert. Eine Firewall reicht voll aus: Firewall - Rubrik.

--> zu den Benutzerkonten:

vielleicht hilft Dir dieser Artikel ein bisschen weiter: Benutzerrechte

--> Lesezeichen

Das gehört zu den Einstellungen Deines Browsers. Alle Browser haben einen Lesezeichen-Manager, den Du Dir selbst einrichten kannst: Firefox - Anleitung

--> gleichzeitig im Netz sein, Datein in OpenOffice-Dokumente eingeben und ändern / bearbeiten.

Mach Dir einen Schnell-Link zu Open Office auf den Desktop. Wenn Du diesen Schnell-Link öffnest, erscheint in Deinem Browser-Arbeitsbalken das Icon von Deinem Schnell-Link und Du kannst hin und her klicken und mal das eine, mal das andere öffnen.

--> dingens.org: "Netzwerk" oder "Gruppe" (die zweite, mittlere Option) ist ok.

Hier noch ein Link: Windows sicher einrichten in 15 Schritten, der Dir einige Fragen beantworten kann.

SD