Hi zusammen,

hatte letzte Woche Bagle.bb und glaube, dass das System nicht sauber ist.

Stimmt das?

Danke
M - A - X

-----------------------------------------

Logfile of HijackThis v1.99.1
Scan saved at 20:59:24, on 09.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\Programme\AntiVirenKit professional\AVKService.exe
C:\Programme\AntiVirenKit professional\AVKWCtl.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\PROGRA~1\Iomega\System32\AppServices.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\rvs_cent.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Iomega\AutoDisk\ADService.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AutoText\autotext.exe
C:\PROGRA~1\STRATO~1\STRATO~1\STRATO~2.EXE
C:\Programme\FreePDF_XP\fpassist.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Ahead\Nero BackItUp\NBJ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\hijackthis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [AutoText] C:\Programme\AutoText\autotext.exe mini
O4 - HKLM\..\Run: [STRATO Sync ManagerTray] C:\PROGRA~1\STRATO~1\STRATO~1\STRATO~2.EXE
O4 - HKLM\..\Run: [FreePDFAssistent] C:\Programme\FreePDF\FreePDFA.exe
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: http://dsl.1und1.de
O15 - Trusted Zone: http://www.asus.com
O15 - Trusted Zone: http://www.asuscom.de
O15 - Trusted Zone: http://emule-serverlist.gotdns.com
O15 - Trusted Zone: http://www.iomega.com
O15 - Trusted Zone: http://www.iomegareg.com
O15 - Trusted Zone: http://www.outlook-forum.mailassistent.de
O15 - Trusted Zone: http://*.shareware4u.de
O15 - Trusted Zone: http://www.sony-cp.com
O15 - Trusted Zone: http://sony.storagesupport.com
O15 - Trusted Zone: http://www.treiberupdate.de
O15 - Trusted Zone: http://de.trendmicro-europe.co
O15 - Trusted Zone: http://de.trendmicro-europe.com
O15 - Trusted Zone: http://*.windowsupdate.com
O15 - Trusted Zone: *.www.p
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://housecall.trendmicro-europe.c...ll/Xscan53.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D5441DC7-B78A-4E5D-9FE5-97328F95DDF6}: NameServer = 195.71.231.179 193.189.244.205
O23 - Service: AVK Service (AVKService) - Unknown owner - C:\Programme\AntiVirenKit professional\AVKService.exe
O23 - Service: AVK Wächter (AVKWCtl) - Unknown owner - C:\Programme\AntiVirenKit professional\AVKWCtl.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: Iomega App Services - Iomega Corporation - C:\PROGRA~1\Iomega\System32\AppServices.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: RVS CAPI (RVS_CE) - RVS Datentechnik GmbH, Munich - C:\WINDOWS\system32\rvs_cent.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: Iomega Active Disk (_IOMEGA_ACTIVE_DISK_SERVICE_) - Iomega Corporation - C:\Programme\Iomega\AutoDisk\ADService.exe

@MaxFrisch

dieser eintrag gefällt mir nicht
O15 - Trusted Zone: *.www.p
(oh man, von lauter bayern schauen)
den bekommst du hiermit weg
mache das was in das posting von Lutz steht.
überprüfe dann dein system mit escan
download
anleitung
EscanErgebnis
Teile uns das Ergebnis des eScan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."

chaosman

@ chaosman

Danke,
aber welchen Eintrag meinst du?

M - A - X

PS: Habe System mit AVK und aktueller Virusdef ohne Ergebnis gescannt! Trotzdem eScan?

@MaxFrisch

PS: Habe System mit AVK und aktueller Virusdef ohne Ergebnis gescannt! Trotzdem eScan?

JA, gerade deswegen!

chaosman

Hi,
hier nun die auszüge aus der log-Datei:

Sat Mar 12 22:31:00 2005 => File C:\WINDOWS\system32\drivers\etc\hosts.20050301-190938.backup infected by "Trojan.Win32.Qhost" Virus. Action Taken: No Action Taken.

...und nu?

M-A-X

@MaxFrisch
poste bitte
Öffne C:\bases\mwav.log
Am Ende folgendes suchen und hier rein kopieren:
Zitat:
Total Files Scanned:
Total Virus(es) Found:
Total Disinfected Files:
Total Files Renamed:
Total Deleted Files:
Total Errors:
Time Elapsed:
Virus Database Date:
Virus Database Count:
Und:
EscanErgebnis
Teile uns das Ergebnis des eScan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."


chaosman

Zitat von chaosman

Öffne C:\bases\mwav.log chaosman

Sat Mar 12 23:23:54 2005 => ***** Scanning complete. *****

Sat Mar 12 23:23:54 2005 => Total Files Scanned: 51605
Sat Mar 12 23:23:54 2005 => Total Virus(es) Found: 5
Sat Mar 12 23:23:54 2005 => Total Disinfected Files: 0
Sat Mar 12 23:23:54 2005 => Total Files Renamed: 0
Sat Mar 12 23:23:54 2005 => Total Deleted Files: 0
Sat Mar 12 23:23:54 2005 => Total Errors: 101
Sat Mar 12 23:23:54 2005 => Time Elapsed: 03:35:56
Sat Mar 12 23:23:54 2005 => Virus Database Date: 2005/03/11
Sat Mar 12 23:23:54 2005 => Virus Database Count: 121166

Sat Mar 12 23:23:54 2005 => Scan Completed.

Zitat von chaosman

Und: EscanErgebnis chaosman

Sat Mar 12 22:31:00 2005 => File C:\WINDOWS\system32\drivers\etc\hosts.20050301-190938.backup infected by "Trojan.Win32.Qhost" Virus. Action Taken: No Action Taken.

@MaxFrisch

Total Virus(es) Found: 5
Sat Mar 12 22:31:00 2005 => File C:\WINDOWS\system32\drivers\etc\hosts.20050301-190938.backup infected by "Trojan.
" Virus. Action Taken: No Action Taken.

wo sind die andere 4?

chaosman

ich bin die ganze LOG-Datei durchgegnagen und habe mit textpad gesucht - er findet nur diesen einen eintrag.

soll ich evtl. escan nochmal laufen lassen und viruslog nochmal prüfen?


Grüße
M-A-X

soll ich evtl. escan nochmal laufen lassen und viruslog nochmal prüfen?

Nein, die anderen findest du wenn du nach tagged suchst.
Post auch diese Funde.

@cidre:
da muss man auch mal erst draufkommen.

here the results:
- Sat Mar 12 21:04:33 2005 => File C:\Programme\Iomega\AutoDisk\Setup_deu.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

- Sat Mar 12 21:04:44 2005 => File C:\Programme\Iomega\DriveIcons\imghr.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

- Sat Mar 12 21:04:50 2005 => File C:\Programme\Iomega\System32\Win2kDrivers.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.


- Sat Mar 12 22:54:11 2005 => File D:\Download\iomega\ioware-w32-x86-402.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.


und nu?

thanx
M-A-X

Keine Beanstandung meinerseits.

Diese Datei hast du sicherlich gelöscht, oder?

:\WINDOWS\system32\drivers\etc\hosts.20050301-190938.backup

Poste nochmal ein aktuelles HJT Log-File.