Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Permanenter Traffic auf unserem Fileserver

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 15.11.2007, 11:40   #1
daydreamer
 
Permanenter Traffic auf unserem Fileserver - Standard

Permanenter Traffic auf unserem Fileserver



Hallo

unser Firmenserver verursacht permanenten Traffic.
Nach einem Serverabsturz vor 2 Monaten hatte ich die autom. Virenupdates und nächtlichen Scans von AVG deaktiviert und vergessen wieder anzuschalten

Komisch wurde es als die 5GB Traffic unseres Providers (1&1, 1Mbit) regelmässig teuer überschritten wurden. Nachdem ich alles wieder aktiviert hatte meldete AVG den Trojaner "JS/downloader.agent". Die Hinweise in gängigen Foren habe ich abgearbeitet, konnte aber keinen Beweis für seine Anwesenheit verifizieren.

Neuerliche Scans haben auch keine Schädlinge gezeigt?!
Auch nicht mit AVG Rootkit scanner
Unser System : Windows Server 2003 SBS SP1 (2 lässt sich nicht installieren)
Firewall : Draytek Router Vigor 2500 (nur Port 5900 für Vnc offen) ansonsten alles auf maximaler Sicherheit
Nachts und Sonntags schaltet der Router die Leitung ab .
Mein HijackThis Log : Fehlen noch Infos? Hat irgendjemand eine Idee, ich bin am Ende meines Wissens?!
Da auf dieses System 2 Kassen Daten schreiben kann ich nur nachts warten. Vielen Dank!


**********************************************************
Logfile of HijackThis v1.99.1
Scan saved at 10:45:12, on 15.11.2007
Platform: Windows 2003 (WinNT 5.02.3790)
MSIE: Internet Explorer v6.00 (6.00.3790.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\APC\POWERC~1\agent\pbeagent.exe
C:\PROGRA~1\APC\POWERC~1\server\PBESER~1.EXE
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
v:\PROGRA~1\Grisoft\AVGTCP~1\avgtcpsv.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Programme\Microsoft SQL Server\MSSQL$DATEV_SV_DE01\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$SBSMONITORING\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$SHAREPOINT\Binn\sqlservr.exe
v:\PROGRA~1\MICROS~1\MSSQL\binn\sqlservr.exe
C:\WINDOWS\system32\ntfrs.exe
C:\Programme\Microsoft SQL Server\MSSQL$SBSMONITORING\Binn\sqlagent.EXE
C:\WINDOWS\System32\wins.exe
C:\Programme\UltraVNC\WinVNC.exe
C:\Programme\Gemeinsame Dateien\System\MSSearch\Bin\mssearch.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
V:\Programme\DrayTek Router Tools V2.5.4\SyslogRd.exe
C:\WINDOWS\system32\ctfmon.exe
V:\Programme\Softland\Backup4all 3\b4aSched.Exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
v:\Programme\NetStat4Win\TMPacketServiceInit.exe
C:\Programme\totalcmd\TOTALCMD.EXE
V:\archiv\temp\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.pranke.com/de/info/technik/ownip.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://companyweb
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [SetCacheMode] Rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [DWPersistentQueuedReporting] C:\PROGRA~1\GEMEIN~1\MICROS~1\DW\DWTRIG20.EXE -a
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O4 - HKLM\..\Run: [WinVNC] "C:\Programme\UltraVNC\WinVNC.exe" -servicehelper
O4 - HKLM\..\Run: [Syslog] v:\Programme\DrayTek Router Tools V2.5.4\SyslogRd.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Backup4all 3] "v:\Programme\Softland\Backup4all 3\Backup4all.exe" /s
O4 - HKCU\..\Run: [Backup4all Scheduler] "V:\Programme\Softland\Backup4all 3\b4aSched.Exe"
O4 - Startup: Serververwaltungskonsole.lnk = ?
O4 - Startup: SyslogRd.exe.lnk = V:\Programme\Router Tools\SyslogRd.exe
O8 - Extra context menu item: Add all items to the auction list - res://v:\Program Files\RKD\AuctionNavigator\BidCtxtClick.dll/202
O8 - Extra context menu item: Add this item to the auction list - res://v:\Program Files\RKD\AuctionNavigator\BidCtxtClick.dll/201
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://companyweb
O16 - DPF: {0742B9EF-8C83-41CA-BFBA-830A59E23533} (Microsoft Data Collection Control) - https://support.microsoft.com/oas/ActiveX/MSDcode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1120493947187
O16 - DPF: {E36C5562-C4E0-4220-BCB2-1C671E3A5916} (Seagate SeaTools English Online) - http://www.seagate.com/support/disc/asp/tools/en/bin/npseatools.cab
O16 - DPF: {F49DA492-7B88-463F-B389-CA9A02F6DA76} (Seagate SeaTools German Online) - http://www.seagate.com/support/disc/asp/tools/de/bin/npseatools.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = XXX.local
O17 - HKLM\Software\..\Telephony: DomainName = XXX.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{7E4201D4-E6B8-45B4-B1A2-2DD9CC79CB1E}: NameServer = 192.168.110.15
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = XXX.local
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O20 - Winlogon Notify: System Safety Monitor - C:\WINDOWS\SYSTEM32\SSMWinlogonEx.dll
O23 - Service: APC PBE Agent (APCPBEAgent) - APC - C:\PROGRA~1\APC\POWERC~1\agent\pbeagent.exe
O23 - Service: APC PBE Server (APCPBEServer) - APC - C:\PROGRA~1\APC\POWERC~1\server\PBESER~1.EXE
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 TCP Server SQL 602 (Avg7TcpSql602) - Software602 a.s. - v:\PROGRA~1\Grisoft\AVGTCP~1\602svc8.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG7 TCP Server (AVGTCPSv) - GRISOFT, s.r.o. - v:\PROGRA~1\Grisoft\AVGTCP~1\avgtcpsv.exe
O23 - Service: pcAnywhere Host Service (awhost32) - Symantec Corporation - v:\Programme\Symantec\pcAnywhere\awhost32.exe
O23 - Service: MSSQL$DATEV_SV_DE01 - Unknown owner - C:\Programme\Microsoft SQL Server\MSSQL$DATEV_SV_DE01\Binn\sqlservr.exe" -sDATEV_SV_DE01 (file missing)
O23 - Service: SQLAgent$DATEV_SV_DE01 - Unknown owner - C:\Programme\Microsoft SQL Server\MSSQL$DATEV_SV_DE01\Binn\sqlagent.EXE" -i DATEV_SV_DE01 (file missing)
O23 - Service: TrafficMonitor Packettreiber Initialisierung (TMPService) - Mirko Böer - v:\Programme\NetStat4Win\TMPacketServiceInit.exe
O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Programme\UltraVNC\WinVNC.exe" -service (file missing)

**********************************************************
StartupList report, 15.11.2007, 10:49:57
StartupList version: 1.52.2
Started from : V:\archiv\temp\HijackThis.EXE
Detected: Windows 2003 (WinNT 5.02.3790)
Detected: Internet Explorer v6.00 (6.00.3790.0000)
* Using default options
==================================================

Running processes:

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\APC\POWERC~1\agent\pbeagent.exe
C:\PROGRA~1\APC\POWERC~1\server\PBESER~1.EXE
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
v:\PROGRA~1\Grisoft\AVGTCP~1\avgtcpsv.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Programme\Microsoft SQL Server\MSSQL$DATEV_SV_DE01\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$SBSMONITORING\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$SHAREPOINT\Binn\sqlservr.exe
v:\PROGRA~1\MICROS~1\MSSQL\binn\sqlservr.exe
C:\WINDOWS\system32\ntfrs.exe
C:\Programme\Microsoft SQL Server\MSSQL$SBSMONITORING\Binn\sqlagent.EXE
C:\WINDOWS\System32\wins.exe
C:\Programme\UltraVNC\WinVNC.exe
C:\Programme\Gemeinsame Dateien\System\MSSearch\Bin\mssearch.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
V:\Programme\DrayTek Router Tools V2.5.4\SyslogRd.exe
C:\WINDOWS\system32\ctfmon.exe
V:\Programme\Softland\Backup4all 3\b4aSched.Exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
v:\Programme\NetStat4Win\TMPacketServiceInit.exe
C:\Programme\totalcmd\TOTALCMD.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
V:\archiv\temp\HijackThis.exe
C:\Programme\Internet Explorer\iexplore.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Startup:
[C:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Autostart]
Serververwaltungskonsole.lnk = ?
SyslogRd.exe.lnk = V:\Programme\Router Tools\SyslogRd.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

DWPersistentQueuedReporting = C:\PROGRA~1\GEMEIN~1\MICROS~1\DW\DWTRIG20.EXE -a
AVG7_CC = C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
AVG7_EMC = C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
WinVNC = "C:\Programme\UltraVNC\WinVNC.exe" -servicehelper
Syslog = v:\Programme\DrayTek Router Tools V2.5.4\SyslogRd.exe

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

CTFMON.EXE = C:\WINDOWS\system32\ctfmon.exe
Backup4all 3 = "v:\Programme\Softland\Backup4all 3\Backup4all.exe" /s
Backup4all Scheduler = "V:\Programme\Softland\Backup4all 3\b4aSched.Exe"

--------------------------------------------------

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=C:\WINDOWS\system32\logon.scr
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Task Scheduler jobs:

b4a_Backup v. V%58%92 Sicherungen.job
b4a_Futura SQL datei.job
DBUPDATE.job
nachtbatch.job
STDMSCHECK_W3KSERVER_DATEV_SV_DE01.JOB

--------------------------------------------------

Enumerating Download Program Files:

[Microsoft Data Collection Control]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\MSDcode.dll
CODEBASE = https://support.microsoft.com/oas/ActiveX/MSDcode.cab

[Windows Genuine Advantage Validation Tool]
InProcServer32 = C:\WINDOWS\system32\LegitCheckControl.DLL
CODEBASE = http://go.microsoft.com/fwlink/?linkid=39204

[MUWebControl Class]
InProcServer32 = C:\WINDOWS\system32\muweb.dll
CODEBASE = http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1120493947187

[Seagate SeaTools English Online]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\npSeaTools_EN.dll
CODEBASE = http://www.seagate.com/support/disc/asp/tools/en/bin/npseatools.cab

[Seagate SeaTools German Online]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\npSeaTools_DE.dll
CODEBASE = http://www.seagate.com/support/disc/asp/tools/de/bin/npseatools.cab

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk *

Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\_iu14D2N.tmp||C:\Programme\Grisoft\AVG7\avgupd.dll.DEL||C:\Programme\Grisoft\AVG7\avgcore.dll.DEL||C:\Programme\Gri soft\AVG7\avgctrl.dll.DEL||C:\Programme\Grisoft\AVG7\avgset.dll.DEL||C:\Programme\Grisoft\AVG7\avgabout.dll.DEL||C:\Programme\Grisoft\AVG7\avgcfg.dll. DEL||C:\Programme\Grisoft\AVG7\avgres.dll.DEL||C:\Programme\Grisoft\AVG7\avgtmgr.dll.DEL||C:\Programme\Grisoft\AVG7\avgw.exe.DEL||V:\Programme\Grisoft \AVG Anti-Rootkit Free\Vuea.exe||V:\Programme\Grisoft\AVG Anti-Rootkit Free\UYWLue.exe


--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: C:\WINDOWS\system32\SHELL32.dll
CDBurn: C:\WINDOWS\system32\SHELL32.dll
WebCheck: C:\WINDOWS\system32\webcheck.dll
SysTray: C:\WINDOWS\system32\stobject.dll

--------------------------------------------------
End of report, 6.720 bytes
Report generated in 0,062 seconds

*********************************************************

Alt 15.11.2007, 12:30   #2
undoreal
/// AVZ-Toolkit Guru
 
Permanenter Traffic auf unserem Fileserver - Standard

Permanenter Traffic auf unserem Fileserver



Halli hallo Tagträumer.

Für kommerziell genutzte Rechner wird in diesem Forum aus verschiedenen Gründen leider kein Support gestellt.

PS:
Zitat:
(2 lässt sich nicht installieren)
das ist SEHR schlecht.
__________________

__________________

Alt 15.11.2007, 12:55   #3
daydreamer
 
Permanenter Traffic auf unserem Fileserver - Standard

Permanenter Traffic auf unserem Fileserver



Habe mit dem SP2 Problem alle gängigen Foren abgeklappert.
Momentan möchte ich keine 300 Öre für den Microsoft Support
abdrücken.. aber wenn das zu unverantwortlich ist, muss ich wohl sparen

..trotzdem danke.
__________________

Geändert von daydreamer (15.11.2007 um 13:02 Uhr)

Antwort

Themen zu Permanenter Traffic auf unserem Fileserver
administrator, alert, avg, einstellungen, explorer, fileserver, hijack, hijackthis, hijackthis log, internet, internet explorer, js/downloader.agent, log, mssql, netstat, port, programme, registry, registry key, registry value, rootkit, rundll, saver, screensaver, server, server 2003, software, symantec, system, temp, trojaner, updates, userinit.exe, vielen dank, windows, wininit.ini



Ähnliche Themen: Permanenter Traffic auf unserem Fileserver


  1. Unsere Kontakte wurden gestohlen, jetzt werden Emails mit unserem Namen versandt
    Log-Analyse und Auswertung - 13.10.2015 (5)
  2. Permanenter, roter Schriftzug quer über Tablet-Display!
    Smartphone, Tablet & Handy Security - 23.08.2015 (2)
  3. Win 7: PC und Fileserver von CryptoWall.Trace befallen
    Log-Analyse und Auswertung - 27.07.2015 (35)
  4. Window 7: PUA/Linkury.Gen2 und TR/Dropper.Gen auf unserem Laptop gefunden
    Log-Analyse und Auswertung - 09.04.2015 (21)
  5. Permanenter geringer Upload
    Plagegeister aller Art und deren Bekämpfung - 27.01.2014 (11)
  6. Permanenter Zugriff auf die Festplatte unter Windows 7
    Log-Analyse und Auswertung - 03.11.2013 (11)
  7. Brief von der Telekom: Warnung vor Hacking von unserem Account (Schadsoftware?)
    Plagegeister aller Art und deren Bekämpfung - 08.10.2013 (29)
  8. Trojaner auf unserem FTP Server ( HomePage ) was tun ??
    Plagegeister aller Art und deren Bekämpfung - 10.01.2013 (1)
  9. Verschlüsselungstrojaner auf unserem Rechner
    Log-Analyse und Auswertung - 03.07.2012 (5)
  10. Permanenter seitenaufruf bei eingabe in die Adressleiste von http://woobiu.com
    Log-Analyse und Auswertung - 14.06.2012 (3)
  11. Permanenter Seitenaufruf http://woobiu.com/
    Plagegeister aller Art und deren Bekämpfung - 07.06.2012 (1)
  12. permanenter aufruf von viren HTML/Drop.Agent.AB
    Log-Analyse und Auswertung - 12.04.2011 (3)
  13. Ist der FTP-Client "Serv-U Fileserver" ein Virus?
    Alles rund um Windows - 20.01.2011 (2)
  14. Windows 7 pro 32 bit, permanenter starker Traffic ins Internet
    Plagegeister aller Art und deren Bekämpfung - 22.01.2010 (1)
  15. Au._Exe hat Kaspersky gemeldet, permanenter Bluescreen mit Problemen bei SPTD.sys
    Plagegeister aller Art und deren Bekämpfung - 14.12.2009 (9)
  16. Prozess legt Fileserver lahm
    Mülltonne - 11.06.2008 (0)
  17. permanenter up- / download ?
    Log-Analyse und Auswertung - 11.07.2006 (7)

Zum Thema Permanenter Traffic auf unserem Fileserver - Hallo unser Firmenserver verursacht permanenten Traffic. Nach einem Serverabsturz vor 2 Monaten hatte ich die autom. Virenupdates und nächtlichen Scans von AVG deaktiviert und vergessen wieder anzuschalten Komisch wurde es - Permanenter Traffic auf unserem Fileserver...
Archiv
Du betrachtest: Permanenter Traffic auf unserem Fileserver auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.