guten morgen alle zusammen!

bitte nicht lachen, bin komplett demoralisiert und wäre eben fast vom stuhl gekippt, als ich sah, daß escan 32 viren entdeckt hat ! ! !

norman av und spybot hatten außer lsa nix gefunden!!! hat es überhaupt sinn, da noch etwas reparieren zu wollen?

ist bestimmt ´ne zumutung, aber vielleicht findet sich ja doch jemand, der sich das ganze mal anschaut. ich stelle mal erst das hijack-logfile und dann das escan-ergebnis hier rein.

wie kann das denn passieren und was kann ich tun...
vielen dank schonmal im voraus,
troy








Logfile of HijackThis v1.99.1
Scan saved at 00:16:15, on 19.08.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\downloads\progs\trojaner\hijack\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.msn.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NVRaidService] C:\WINNT\system32\nvraidservice.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [Microsoftf DDEs Control] lxes.exe
O4 - HKLM\..\Run: [Microsoft Security Panagers] svghosts.exe
O4 - HKLM\..\Run: [msngta32] msngta32.exe
O4 - HKLM\..\Run: [Startup Configuration] mvsp32.exe
O4 - HKLM\..\Run: [winreups] winreups.exe
O4 - HKLM\..\Run: [wingr64] winer.exe
O4 - HKLM\..\RunServices: [Microsoftf DDEs Control] lxes.exe
O4 - HKLM\..\RunServices: [Microsoft Security Panagers] svghosts.exe
O4 - HKLM\..\RunServices: [msngta32] msngta32.exe
O4 - HKLM\..\RunServices: [Startup Configuration] mvsp32.exe
O4 - HKLM\..\RunServices: [winreups] winreups.exe
O4 - HKLM\..\RunServices: [wingr64] winer.exe
O4 - HKCU\..\Run: [Windows_Protect] wisystem32.exe
O4 - HKCU\..\Run: [msngta32] msngta32.exe
O4 - HKCU\..\Run: [winreups] winreups.exe
O4 - HKCU\..\Run: [wingr64] winer.exe
O4 - HKCU\..\RunServices: [msngta32] msngta32.exe
O4 - HKCU\..\RunServices: [winreups] winreups.exe
O4 - HKCU\..\RunServices: [wingr64] winer.exe
O4 - Global Startup: Microsoft Office.lnk = G:\progs\Office10\OSA.EXE
O4 - Global Startup: ZDWLan Utility.lnk = C:\Programme\ZyDAS Technology Corporation\ZyDAS_802.11g_Utility\ZDWlan.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://G:\progs\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://h**p://static.windupdates.com...bridge-c11.cab
O16 - DPF: {B7E76C25-791F-432E-BDB7-748D01A93FC2} (VacPro.int_ver30) - h**p://advnt01.com/dialer/int_ver30.CAB
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\Norman\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\bin\NJEEVES.EXE
O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\bin\ZANDA.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\NORMAN\nvc\BIN\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\NORMAN\nvc\BIN\NVCSCHED.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - Service: PPPoE Service (PPPoEService) - Unknown owner - C:\PROGRA~1\HanseNet\HANSEN~1\app\pppoeservice.exe




und hier escan:

Fri Aug 19 02:24:05 2005 => ***** Scan vollständig. *****
Fri Aug 19 02:24:05 2005 => Gescannte Dateien: 51359
Fri Aug 19 02:24:05 2005 => Gefundene Viren: 33
Fri Aug 19 02:24:05 2005 => Anzahl der desinfizierten Dateien: 0
Fri Aug 19 02:24:05 2005 => Umbenannte Dateien: 0
Fri Aug 19 02:24:05 2005 => Anzahl der gelöschten Dateien: 0
Fri Aug 19 02:24:05 2005 => Anzahl Fehler: 84
Fri Aug 19 02:24:05 2005 => Zeit vergangen: 01:21:01
Fri Aug 19 02:24:05 2005 => Virus Datenbank Datum: 2005/08/17
Fri Aug 19 02:24:05 2005 => Virus Datenbank Zähler: 144049

Fri Aug 19 02:24:05 2005 => Scan vollständig.


Datei C:\WINNT\system32\svghosts.exe infiziert von "Backdoor.Win32.Rbot.gen" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\system32\mvsp32.exe infiziert von "Virus.Win32.Parite.b" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\mcsecure.exe infiziert von "Backdoor.Win32.SdBot.aad" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\system32\svghosts.exe infiziert von "Backdoor.Win32.Rbot.gen" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\system32\mvsp32.exe infiziert von "Virus.Win32.Parite.b" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\SYSTEM32\HPDRIVER.SYS infiziert von "Rootkit.Win32.Agent.ae" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\mcsecure.exe infiziert von "Backdoor.Win32.SdBot.aad" Virus. Aktion vorgenommen: No Action Taken.
Object "alexa Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "WebSearch Toolbar Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "clickspring Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "Media Access Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "clickspring Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "Media Pass Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "RedV Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "roings Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "zipitpro Spyware/Adware" found in File System! Action Taken: No Action Taken.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage" refers to invalid object "C:\WINNT\Downloaded Program Files\MediaTicketsInstaller.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{1EFB6596-857C-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{2C247F23-8591-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{35053A22-8589-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{66833FE6-8583-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{8E3867A3-8586-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{BDD1F04B-858B-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE32-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE33-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE34-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE35-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE36-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE37-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE39-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE3A-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE3B-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE3C-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE3D-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE3E-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE3F-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE40-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE41-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C27CCE42-8596-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{C74190B6-8589-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{DD9DA666-8594-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{F08DF954-8592-11D1-B16A-00C0F0283628}" refers to invalid object "V:\bin\mscomctl.ocx". Action Taken: No Action Taken.
Datei C:\WINNT\system32\soff.pif infiziert von "Backdoor.Win32.Rbot.xe" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\DOKUME~1\DEFAUL~1\LOKALE~1\TEMPOR~1\Content.IE5\SDMFC1MN\BoOtIoS2[1].exe infiziert von "Trojan.WinREG.LowZones.a" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\configsys infiziert von "Trojan-PSW.Win32.Small.ai" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SDMFC1MN\BoOtIoS2[1].exe infiziert von "Trojan.WinREG.LowZones.a" Virus. Aktion vorgenommen: No Action Taken.
File C:\downloads\progs\trojaner\OiUninstaller.exe tagged as "not-a-virus:AdWare.MediaTickets.n". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\CONFLICT.1\MediaAccX.dll tagged as "not-a-virus:AdWare.WinAD.ba". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\CONFLICT.1\MediaGatewayX.dll tagged as "not-a-virus:AdWare.WinAD.bg". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\CONFLICT.1\MediaTicketsInstaller.ocx tagged as "not-a-virus:AdWare.MediaTickets.f". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\MediaAccX.dll tagged as "not-a-virus:AdWare.WinAD.ba". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\MediaGatewayX.dll tagged as "not-a-virus:AdWare.WinAD.bg". Action Taken: No Action Taken.
Datei C:\WINNT\system32\soff.pif infiziert von "Backdoor.Win32.Rbot.xe" Virus. Aktion vorgenommen: No Action Taken.
File C:\WINNT\Downloaded Program Files\CONFLICT.1\MediaAccX.dll tagged as "not-a-virus:AdWare.WinAD.ba". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\CONFLICT.1\MediaGatewayX.dll tagged as "not-a-virus:AdWare.WinAD.bg". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\CONFLICT.1\MediaTicketsInstaller.ocx tagged as "not-a-virus:AdWare.MediaTickets.f". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\MediaAccX.dll tagged as "not-a-virus:AdWare.WinAD.ba". Action Taken: No Action Taken.
File C:\WINNT\Downloaded Program Files\MediaGatewayX.dll tagged as "not-a-virus:AdWare.WinAD.bg". Action Taken: No Action Taken.
Datei C:\WINNT\system32\soff.pif infiziert von "Backdoor.Win32.Rbot.xe" Virus. Aktion vorgenommen: No Action Taken.

Zitat von troy

hat es überhaupt sinn, da noch etwas reparieren zu wollen?

Nein.

wie kann das denn passieren und was kann ich tun...

Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Dein Betriebssystem ist veraltet. http://www.windowsupdate.com existiert und sollte regelmäßig besucht werden. Macht man dies nicht, so fängt man sich so etwas ein:

Datei C:\WINNT\mcsecure.exe infiziert von "Backdoor.Win32.SdBot.aad" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\system32\svghosts.exe infiziert von "Backdoor.Win32.Rbot.gigeen" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\system32\mvsp32.exe infiziert von "Virus.Win32.Parite.b" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\SYSTEM32\HPDRIVER.SYS infiziert von "Rootkit.Win32.Agent.ae" Virus. Aktion vorgenommen: No Action Taken.
Datei C:\WINNT\mcsecure.exe infiziert von "Backdoor.Win32.SdBot.aad" Virus. Aktion vorgenommen: No Action Taken.

Einzige Möglichkeit: Formatieren und Neuaufsetzen lt. Anleitung in der Signatur. Warum dir keine andere Wahl bleibt steht dort ebenfalls.

Gruß
Yopie

Dein System ist dermassen verseucht da hilft nur noch neu aufsetzen ! du hast unter anderem aktive Backdoors und Rootkits auf deinem rechner !

Du solltest dein System schnellstens vom Netz nehmen und nach dieser Anleitung neu aufsetzen :

http://www.trojaner-board.de/showthread.php?t=12154

Du findest dort auch Links warum es keinen Sinn macht zu versuchen noch etwas zu bereinigen also aufmerksam durchlesen

Edit: ups da war einer schneller

....bin noch dabei, den schock zu verdauen, aber ich glaube ich habe eine lektion gelernt.....

ganz ganz lieben dank für die schnelle und prof. hilfe auch zu nachtschlafender zeit ! ! !
:aplaus: :aplaus: :aplaus: :aplaus: :aplaus: :aplaus:

ihr hört bestimmt bald wieder von mir...
weiter so und alles gute!
gruß
troy

Zitat von troy

ihr hört bestimmt bald wieder von mir...
weiter so und alles gute!
gruß
troy

hi, warum, willst du das escan ergenis toppen

...hehe, sehr lustig !



geht das denn überhaupt zu toppen?- mit frischem system versteht sich...


war das nicht schon absoluter rekord? sind da nicht schon viren drauf, die´s eigentlich noch garnicht gibt?
-wie wär´s mit nem escan-wettbewerb -> wer hat die MEISTEN und FIESESTEN (unbeabsichtigt natürlich) ? -dafür gibt´s dann als 1. preis nen crashkurs mit hirnwäsche in sachen datensicherheit:



dann wäre dem ganzen ja auch noch was richtig gutes abzugewinnen... naja, ich muß schon sagen, daß ich froh bin, daß sich bei mir format c: wenigstens richtig lohnt... versuche optimistisch zu bleiben... immerhin kann ich hier noch posten... und noch mal eben 20 bewerbungen ´rauskloppen bevor´s ans eingemachte geht...

gruß
troy

Zitat von troy

...hehe, sehr lustig !



geht das denn überhaupt zu toppen?- mit frischem system versteht sich...


war das nicht schon absoluter rekord?

Nein, da kam hier schon schlimmeres vorbei.
Für den Rekord musst Du Dich schon etwas mehr anstrengen

Also Spass beiseite: Format C, auf gehts...

Zitat von troy

immerhin kann ich hier noch posten... und noch mal eben 20 bewerbungen ´rauskloppen bevor´s ans eingemachte geht...

gruß
troy

also, daten sollte man so nicht mehr versenden, dein rechner sollte nach J.Malte und wikipedia, sofort aus dem netz genommen werden