Hallo kann mir jemand sagen ob ich nen Virus drauf hab??? Mein Scan bei HijackThis sieht wie folgt aus:

Logfile of HijackThis v1.99.1
Scan saved at 23:17:49, on 06.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Programme\Java\jre1.5.0_01\bin\jusched.exe
C:\Programme\Realtek\Rtl8180\RtlWake.exe
C:\WINDOWS\ISW\netcol.dsl\signup\Tray.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\PC\LOKALE~1\Temp\Rar$EX00.531\HijackThis.exe
C:\Programme\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [CPQHotkeys] hotkeysvc.exe
O4 - HKLM\..\RunServices: [CPQHotkeys] hotkeysvc.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Exif Launcher.lnk = C:\Programme\FinePixViewer\QuickDCF.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: RtlWake.lnk = C:\Programme\Realtek\Rtl8180\RtlWake.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1104361353781
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

hallo

überprüfe diese dateien hier: http://www.malwareupload.com

C:\WINDOWS\ISW\netcol.dsl\signup\Tray.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb0 5.exe

lade dir eScan (signatur)
befolge die anleitung zu eScan (signatur)

nach dem scan
öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben ->
Weitersuchen -> Treffer markieren/kopieren und hier posten

Eines dürfte der (HP-)Drucker sein und der zweite Eintrag die Anzeige für die Internetverbindung mit Netcologne.

O4 - HKLM\..\Run: [CPQHotkeys] hotkeysvc.exe

Dieser sollte gefixt (Häkchen bei HijackThis setzen und Fix checked anklicken)
und dann die Datei bzw. das Programm löschen. Und dieses im abgesichertem Modus mit deaktivierter Systemwiederherstellung.

...und trotzdem eScan machen.

Hallo Silia,

bitte lass mal folgende Datei:

C:\WINDOWS\system32\hotkeysvc.exe

hier online scannen:

http://virusscan.jotti.org

und teile das Ergebnis mit.

@The Don D. - R.

das eine ist ein HP-Teiber und das andere von Netcologne.

dartus

Ich danke euch erstmal ganz lieb für eure antworten!

AN DARTUS:

hab gescannt und das Ergebnis ist:

Service load: 0% 100%

File: hotkeysvc.exe
Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
Packers detected: ARMADILLO

AntiVir No viruses found (0.45 seconds taken)
Avast No viruses found (1.51 seconds taken)
AVG Antivirus IRC/BackDoor.SdBot.133.BJ (0.67 seconds taken)
BitDefender No viruses found (1.97 seconds taken)
ClamAV Trojan.SdBot-452 (0.63 seconds taken)
Dr.Web No viruses found (0.95 seconds taken)
F-Prot Antivirus No viruses found (0.71 seconds taken)
Fortinet No viruses found (0.46 seconds taken)
Kaspersky Anti-Virus Backdoor.Win32.Rbot.km (1.02 seconds taken)
mks_vir Trojan.Rbot.Km (0.22 seconds taken)
NOD32 No viruses found (0.77 seconds taken)
Norman Virus Control W32/Spybot.EZN (0.20 seconds taken)


Kannst du damit etwas anfangen?

Hallo Silia,

leider sieht das Ergebnis schlecht aus:

Backdoor.Win32.Rbot.km
Der Eindrinling kann
- auf eine Webcam zugreifen
- Bildschirmaufnahmen erstellen
- CD-Schlüssel verschiedener Software stehlen
- Windows-Login-Daten auf Windows NT/2000 aufspüren
- E-Mails an andere Hosts senden
- Dateien auf dem Host herunterladen/hochladen/ausführen
- Keylogger starten
- in Netzwerkverkehr schnüffeln und DDoS-Attacken durchführen.

Leider wird Dir bei einem derartigen Befall (Trojaner mit Backdoorfunktionaltität) dringend zu Format C: geraten, um wieder ein vertrauenswürdiges System herzustellen.
Das kann geschehen:
http://www.trojaner-board.com/showthread.php?t=14669
http://www.heise.de/newsticker/meldung/57030
http://www.heise.de/newsticker/meldung/51689
weiteres Lesenswertes:
http://www.mathematik.uni-marburg.de...c-removal.html
http://www.mathematik.uni-marburg.de...ompromise.html

Hier ein erstklassige Anleitung:

http://www.trojaner-board.de/showthread.php?t=12154

Thema Datensicherung:

http://www.trojaner-board.de/showpos...8&postcount=11

sorry
dartus

Was kann ich denn jetzt machen??

Kenn mich nicht wirklich gut mit all dem aus!!

Zitat von Silia

Was kann ich denn jetzt machen??

Kenn mich nicht wirklich gut mit all dem aus!!

Hat Dartus doch alles beschrieben! Setz Dein System neu auf, beachte dabei die Anleitungen.

Gruß
Yopie

ich bin der absolute Pc Anfänger, was heisst setzt dein System neu auf??

Muss ich dann wieder alles neue installieren??

Ja, so ist es. Wenn Du es Dir alleine bzw. mit den über Google zu findenden Anleitungen nicht zutraust, dann kann das vielleicht ein Bekannter mit Dir zusammen machen. Oder Du nimmst kostenpflichtige Angebote wahr.

Ins Netz solltest Du mit dem Rechner aber vor einer Neuinstallation nicht mehr, denn er kann für Spam, Kinderporno, etc. benutzt werden. Hier im Board findest Du Beispiele dafür, was passieren kann, wenn man dieses Problem nicht ernst nimmt.

Gruß
Yopie

muss ich denn vorher irgendwas formatieren? wenn ja wie geht das?

Ja, Du musst formatieren, damit sichergestellt ist, dass der Schädling wirklich weg ist und Du ein sauberes System hast.

http://www.windows-tweaks.info/html/...tallation.html

Beachte unbedingt auch http://www.trojaner-info.de/report_i...nleitung.shtml. Am besten besorgst Du Dir vor der Installation das Service Pack 2 auf CD (kann man auch bei Microsoft bestellen). Bevor Du ins Netz gehst, sollte das System vollständig gepatcht sein.
Auch hilfreich: http://download.winboard.org/downloa...release_id=943
Mit einem sauberen Rechner runterladen, auf CD brennen, und nach dem SP2 installieren. Damit ist der Rechner auf aktuellem Patchlevel.

Gruß
Yopie

So hab jetzt alles gemacht, mein neuer HijackThis eintrag sieht so aus:

Logfile of HijackThis v1.99.1
Scan saved at 23:03:40, on 07.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\ISW\netcol.dsl\signup\Tray.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Save\Save.exe
C:\Programme\WeatherCast\Weather.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\VP\LOKALE~1\Temp\Temporäres Verzeichnis 3 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.internetcologne.de/
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [WhenUSave] "C:\Programme\Save\Save.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [WeatherCast] "C:\Programme\WeatherCast\Weather.exe" /q
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1110228674906
O17 - HKLM\System\CCS\Services\Tcpip\..\{B0D4B76A-69F4-4E14-8EDB-977D4B72EF57}: NameServer = 213.168.112.60 81.173.194.68
O17 - HKLM\System\CS1\Services\Tcpip\..\{B0D4B76A-69F4-4E14-8EDB-977D4B72EF57}: NameServer = 213.168.112.60 81.173.194.68
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe


Bin ich wieder Clean?

Hallo Silia,

hast Du wirklich an die 12 Punkte in dem Link gehalten?
Benutze den Fierfox und schalte damit unnötige Dienste aus:

http://www.ntsvcfg.de/ oder www.dingens.org

Clean bist Du noch nicht ganz:

Wechsel in den abgesicherten Modus bei deaktivierter Systemwiederherstellung
http://www.systemwiederherstellung-d...indows-xp.html

Scan mit HijackThis und fixe (Häckchen vor dem Einrag und fix checked klicken):

O4 - HKLM\..\Run: [WhenUSave] "C:\Programme\Save\Save.exe

Danach den Ordner manuell löschen:

C:\Programme\Save

Neustart--> Systemwiederherstellung aktivieren

dartus

jetzt hab ich diesen Save.exe im gesichterne Modus gefixt und gelöscht, ist das schlimm? Hätte mal besser lesen sollen!

Kannst mir vielleicht noch erklären was ich von den Punkten 1 - 4 bei dem anderen Programm ausführen soll?