Hallo

unser Firmenserver verursacht permanenten Traffic.
Nach einem Serverabsturz vor 2 Monaten hatte ich die autom. Virenupdates und nächtlichen Scans von AVG deaktiviert und vergessen wieder anzuschalten

Komisch wurde es als die 5GB Traffic unseres Providers (1&1, 1Mbit) regelmässig teuer überschritten wurden. Nachdem ich alles wieder aktiviert hatte meldete AVG den Trojaner "JS/downloader.agent". Die Hinweise in gängigen Foren habe ich abgearbeitet, konnte aber keinen Beweis für seine Anwesenheit verifizieren.

Neuerliche Scans haben auch keine Schädlinge gezeigt?!
Auch nicht mit AVG Rootkit scanner
Unser System : Windows Server 2003 SBS SP1 (2 lässt sich nicht installieren)
Firewall : Draytek Router Vigor 2500 (nur Port 5900 für Vnc offen) ansonsten alles auf maximaler Sicherheit
Nachts und Sonntags schaltet der Router die Leitung ab .
Mein HijackThis Log : Fehlen noch Infos? Hat irgendjemand eine Idee, ich bin am Ende meines Wissens?!
Da auf dieses System 2 Kassen Daten schreiben kann ich nur nachts warten. Vielen Dank!


**********************************************************
Logfile of HijackThis v1.99.1
Scan saved at 10:45:12, on 15.11.2007
Platform: Windows 2003 (WinNT 5.02.3790)
MSIE: Internet Explorer v6.00 (6.00.3790.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\APC\POWERC~1\agent\pbeagent.exe
C:\PROGRA~1\APC\POWERC~1\server\PBESER~1.EXE
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
v:\PROGRA~1\Grisoft\AVGTCP~1\avgtcpsv.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Programme\Microsoft SQL Server\MSSQL$DATEV_SV_DE01\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$SBSMONITORING\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$SHAREPOINT\Binn\sqlservr.exe
v:\PROGRA~1\MICROS~1\MSSQL\binn\sqlservr.exe
C:\WINDOWS\system32\ntfrs.exe
C:\Programme\Microsoft SQL Server\MSSQL$SBSMONITORING\Binn\sqlagent.EXE
C:\WINDOWS\System32\wins.exe
C:\Programme\UltraVNC\WinVNC.exe
C:\Programme\Gemeinsame Dateien\System\MSSearch\Bin\mssearch.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
V:\Programme\DrayTek Router Tools V2.5.4\SyslogRd.exe
C:\WINDOWS\system32\ctfmon.exe
V:\Programme\Softland\Backup4all 3\b4aSched.Exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
v:\Programme\NetStat4Win\TMPacketServiceInit.exe
C:\Programme\totalcmd\TOTALCMD.EXE
V:\archiv\temp\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.pranke.com/de/info/technik/ownip.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://companyweb
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [SetCacheMode] Rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [DWPersistentQueuedReporting] C:\PROGRA~1\GEMEIN~1\MICROS~1\DW\DWTRIG20.EXE -a
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O4 - HKLM\..\Run: [WinVNC] "C:\Programme\UltraVNC\WinVNC.exe" -servicehelper
O4 - HKLM\..\Run: [Syslog] v:\Programme\DrayTek Router Tools V2.5.4\SyslogRd.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Backup4all 3] "v:\Programme\Softland\Backup4all 3\Backup4all.exe" /s
O4 - HKCU\..\Run: [Backup4all Scheduler] "V:\Programme\Softland\Backup4all 3\b4aSched.Exe"
O4 - Startup: Serververwaltungskonsole.lnk = ?
O4 - Startup: SyslogRd.exe.lnk = V:\Programme\Router Tools\SyslogRd.exe
O8 - Extra context menu item: Add all items to the auction list - res://v:\Program Files\RKD\AuctionNavigator\BidCtxtClick.dll/202
O8 - Extra context menu item: Add this item to the auction list - res://v:\Program Files\RKD\AuctionNavigator\BidCtxtClick.dll/201
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://companyweb
O16 - DPF: {0742B9EF-8C83-41CA-BFBA-830A59E23533} (Microsoft Data Collection Control) - https://support.microsoft.com/oas/ActiveX/MSDcode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1120493947187
O16 - DPF: {E36C5562-C4E0-4220-BCB2-1C671E3A5916} (Seagate SeaTools English Online) - http://www.seagate.com/support/disc/asp/tools/en/bin/npseatools.cab
O16 - DPF: {F49DA492-7B88-463F-B389-CA9A02F6DA76} (Seagate SeaTools German Online) - http://www.seagate.com/support/disc/asp/tools/de/bin/npseatools.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = XXX.local
O17 - HKLM\Software\..\Telephony: DomainName = XXX.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{7E4201D4-E6B8-45B4-B1A2-2DD9CC79CB1E}: NameServer = 192.168.110.15
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = XXX.local
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O20 - Winlogon Notify: System Safety Monitor - C:\WINDOWS\SYSTEM32\SSMWinlogonEx.dll
O23 - Service: APC PBE Agent (APCPBEAgent) - APC - C:\PROGRA~1\APC\POWERC~1\agent\pbeagent.exe
O23 - Service: APC PBE Server (APCPBEServer) - APC - C:\PROGRA~1\APC\POWERC~1\server\PBESER~1.EXE
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 TCP Server SQL 602 (Avg7TcpSql602) - Software602 a.s. - v:\PROGRA~1\Grisoft\AVGTCP~1\602svc8.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG7 TCP Server (AVGTCPSv) - GRISOFT, s.r.o. - v:\PROGRA~1\Grisoft\AVGTCP~1\avgtcpsv.exe
O23 - Service: pcAnywhere Host Service (awhost32) - Symantec Corporation - v:\Programme\Symantec\pcAnywhere\awhost32.exe
O23 - Service: MSSQL$DATEV_SV_DE01 - Unknown owner - C:\Programme\Microsoft SQL Server\MSSQL$DATEV_SV_DE01\Binn\sqlservr.exe" -sDATEV_SV_DE01 (file missing)
O23 - Service: SQLAgent$DATEV_SV_DE01 - Unknown owner - C:\Programme\Microsoft SQL Server\MSSQL$DATEV_SV_DE01\Binn\sqlagent.EXE" -i DATEV_SV_DE01 (file missing)
O23 - Service: TrafficMonitor Packettreiber Initialisierung (TMPService) - Mirko Böer - v:\Programme\NetStat4Win\TMPacketServiceInit.exe
O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Programme\UltraVNC\WinVNC.exe" -service (file missing)

**********************************************************
StartupList report, 15.11.2007, 10:49:57
StartupList version: 1.52.2
Started from : V:\archiv\temp\HijackThis.EXE
Detected: Windows 2003 (WinNT 5.02.3790)
Detected: Internet Explorer v6.00 (6.00.3790.0000)
* Using default options
==================================================

Running processes:

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\APC\POWERC~1\agent\pbeagent.exe
C:\PROGRA~1\APC\POWERC~1\server\PBESER~1.EXE
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
v:\PROGRA~1\Grisoft\AVGTCP~1\avgtcpsv.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Programme\Microsoft SQL Server\MSSQL$DATEV_SV_DE01\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$SBSMONITORING\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$SHAREPOINT\Binn\sqlservr.exe
v:\PROGRA~1\MICROS~1\MSSQL\binn\sqlservr.exe
C:\WINDOWS\system32\ntfrs.exe
C:\Programme\Microsoft SQL Server\MSSQL$SBSMONITORING\Binn\sqlagent.EXE
C:\WINDOWS\System32\wins.exe
C:\Programme\UltraVNC\WinVNC.exe
C:\Programme\Gemeinsame Dateien\System\MSSearch\Bin\mssearch.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
V:\Programme\DrayTek Router Tools V2.5.4\SyslogRd.exe
C:\WINDOWS\system32\ctfmon.exe
V:\Programme\Softland\Backup4all 3\b4aSched.Exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
v:\Programme\NetStat4Win\TMPacketServiceInit.exe
C:\Programme\totalcmd\TOTALCMD.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
V:\archiv\temp\HijackThis.exe
C:\Programme\Internet Explorer\iexplore.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Startup:
[C:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Autostart]
Serververwaltungskonsole.lnk = ?
SyslogRd.exe.lnk = V:\Programme\Router Tools\SyslogRd.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

DWPersistentQueuedReporting = C:\PROGRA~1\GEMEIN~1\MICROS~1\DW\DWTRIG20.EXE -a
AVG7_CC = C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
AVG7_EMC = C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
WinVNC = "C:\Programme\UltraVNC\WinVNC.exe" -servicehelper
Syslog = v:\Programme\DrayTek Router Tools V2.5.4\SyslogRd.exe

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

CTFMON.EXE = C:\WINDOWS\system32\ctfmon.exe
Backup4all 3 = "v:\Programme\Softland\Backup4all 3\Backup4all.exe" /s
Backup4all Scheduler = "V:\Programme\Softland\Backup4all 3\b4aSched.Exe"

--------------------------------------------------

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=C:\WINDOWS\system32\logon.scr
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Task Scheduler jobs:

b4a_Backup v. V%58%92 Sicherungen.job
b4a_Futura SQL datei.job
DBUPDATE.job
nachtbatch.job
STDMSCHECK_W3KSERVER_DATEV_SV_DE01.JOB

--------------------------------------------------

Enumerating Download Program Files:

[Microsoft Data Collection Control]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\MSDcode.dll
CODEBASE = https://support.microsoft.com/oas/ActiveX/MSDcode.cab

[Windows Genuine Advantage Validation Tool]
InProcServer32 = C:\WINDOWS\system32\LegitCheckControl.DLL
CODEBASE = http://go.microsoft.com/fwlink/?linkid=39204

[MUWebControl Class]
InProcServer32 = C:\WINDOWS\system32\muweb.dll
CODEBASE = http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1120493947187

[Seagate SeaTools English Online]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\npSeaTools_EN.dll
CODEBASE = http://www.seagate.com/support/disc/asp/tools/en/bin/npseatools.cab

[Seagate SeaTools German Online]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\npSeaTools_DE.dll
CODEBASE = http://www.seagate.com/support/disc/asp/tools/de/bin/npseatools.cab

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk *

Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\_iu14D2N.tmp||C:\Programme\Grisoft\AVG7\avgupd.dll.DEL||C:\Programme\Grisoft\AVG7\avgcore.dll.DEL||C:\Programme\Gri soft\AVG7\avgctrl.dll.DEL||C:\Programme\Grisoft\AVG7\avgset.dll.DEL||C:\Programme\Grisoft\AVG7\avgabout.dll.DEL||C:\Programme\Grisoft\AVG7\avgcfg.dll. DEL||C:\Programme\Grisoft\AVG7\avgres.dll.DEL||C:\Programme\Grisoft\AVG7\avgtmgr.dll.DEL||C:\Programme\Grisoft\AVG7\avgw.exe.DEL||V:\Programme\Grisoft \AVG Anti-Rootkit Free\Vuea.exe||V:\Programme\Grisoft\AVG Anti-Rootkit Free\UYWLue.exe


--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: C:\WINDOWS\system32\SHELL32.dll
CDBurn: C:\WINDOWS\system32\SHELL32.dll
WebCheck: C:\WINDOWS\system32\webcheck.dll
SysTray: C:\WINDOWS\system32\stobject.dll

--------------------------------------------------
End of report, 6.720 bytes
Report generated in 0,062 seconds

*********************************************************

Halli hallo Tagträumer.

Für kommerziell genutzte Rechner wird in diesem Forum aus verschiedenen Gründen leider kein Support gestellt.

PS:

(2 lässt sich nicht installieren)

das ist SEHR schlecht.

Habe mit dem SP2 Problem alle gängigen Foren abgeklappert.
Momentan möchte ich keine 300 Öre für den Microsoft Support
abdrücken.. aber wenn das zu unverantwortlich ist, muss ich wohl sparen

..trotzdem danke.