Nach einem Check mit HijackThis und fanden sich bei der Onlineauswertung auf dem Rechner eines Freundes mehrere als bösartig eingestufte Programme.
Wir sind gerade dabei eScan im abgesicherten Modus drüberlaufen zu lassen.
Erste "Treffer" ist der Rbot.ag, Rbot.gen, das komplette Log von eScan folgt (ist ne ganze Menge^^)

Kann jemand schon die Stärke des Befalls und die damit verbundenen Folgen einschätzen? Danke schon mal

Hier der Log:

Logfile of HijackThis v1.98.2
Scan saved at 19:53:53, on 28.08.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Apache Group\Apache\Apache.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\mysql-4.0.20d-win-noinstall\bin\mysqld-nt.exe
C:\Programme\Apache Group\Apache\Apache.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\atiptaxx.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://exit.hotusa.org/
O4 - HKLM\..\Run: [Microsofts Updates] wuamgrd.exe
O4 - HKLM\..\Run: [WindowsRegKey update] winsys.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Microsoft Update] msconfg.exe
O4 - HKLM\..\Run: [Microsoft Update Time] wuam.exe
O4 - HKLM\..\Run: [Microsoft DirectX] PDSched.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\RunServices: [Microsofts Updates] wuamgrd.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] winsys.exe
O4 - HKLM\..\RunServices: [Microsoft Update] msconfg.exe
O4 - HKLM\..\RunServices: [Microsoft Update Time] wuam.exe
O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Microsoft Update] msconfg.exe
O4 - HKCU\..\Run: [Microsoft Update Time] wuam.exe
O4 - HKCU\..\Run: [Microsoft DirectX] PDSched.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

Will nur mal wieder das "Go" für ne komplette Neuinstallation haben

gut, hier der eScan-Log:

File C:\WINDOWS\system32\TFTP1184 infected by "Backdoor.Rbot.ag" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\0DQZE3I7\murd3rz[1].exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\8TWXO1KF\newx[1].exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CVQZ8RO1\MediaTicketsInstaller[1].cab infected by "not-a-virus:AdvWare.MediaTickets.c" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\Administrator\murd3rz.exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CVQZ8RO1\MediaTicketsInstaller[1].cab infected by "not-a-virus:AdvWare.MediaTickets.c" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\16winupdate32.VIR infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\MSCONFG.EXE.VIR infected by "Backdoor.SdBot.jg" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\msconfg.VIR infected by "Backdoor.SdBot.jg" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\msconfg.VIR00 infected by "Backdoor.SdBot.jg" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\PDSCHED.EXE.VIR infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\PDSched.VIR infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\PDSched.VIR00 infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\winsys.VIR infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\wuam.VIR infected by "Backdoor.Spyboter.cf" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\wuam.VIR00 infected by "Backdoor.Spyboter.cf" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\wuamgrd.VIR infected by "Backdoor.Rbot.ag" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\XMAIN.VIR infected by "Worm.Win32.Randon" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP3\A0004423.exe infected by "Backdoor.Spyboter.cf" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP3\A0004433.exe infected by "Backdoor.SdBot.jg" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP3\A0004434.exe infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP3\A0004438.exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009438.exe infected by "Backdoor.Rbot.ag" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009439.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009440.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009467.exe tagged as not-a-virus:RiskWare.FTP.ServU.5100. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009472.exe tagged as not-a-virus:RiskWare.FTP.PremierServer.b. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009478.exe tagged as not-a-virus:RiskWare.FTP.PremierServer.b. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009496.exe tagged as not-a-virus:RiskWare.FTP.PremierServer.b. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009498.exe tagged as not-a-virus:RiskWare.FTP.PremierServer.b. No Action Taken.
File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CVQZ8RO1\MediaTicketsInstaller[1].cab infected by "not-a-virus:AdvWare.MediaTickets.c" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\qwaszxf\calcu.exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\WINDOWS\system32\qwaszxf\dirote.exe tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken.
File C:\WINDOWS\system32\qwaszxf\kolder.exe tagged as not-a-virus:RiskWare.Tool.HideWindows. No Action Taken.
File C:\WINDOWS\system32\qwaszxf\ppi.exe infected by "Backdoor.MotivFTP.12" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\qwaszxf\wexp.exe infected by "Exploit.Win32.RPCLsa.01.d" Virus. Action Taken: File Renamed.


Da hilft wohl nichts mehr.
Rechner wird geplättet!

1.) Neu formatieren und installieren
2.) Ein eingeschränktes Benutzerkonto anlegen, mit dem gesurft wird, NICHT mit dem Administratorkonto ins Netz gehen
3). VOR der ersten Onlineverbindung die XP-Firewall für die Verbindung aktivieren
4.) Ebenfalls VOR dem Onlinegehen unnötige Dienste deaktivieren siehe www.dingens.org
5.) Danach zuerst www.windowsupdate.com besuchen und alle Updates installieren
6.) den IE nur noch für diese Updates verwenden, ansonsten auf einen alternativen Browser wie Opera oder firefox umsteigen
7.) Browser und emailprogramm (auch hier gibt es Alternativen zu Outlook wie Thunderbird, foxmail) sicher konfigurieren, keine aktiven Inhalte automatisch ausführen lassen (Active-Scripting, Active-X)
8.) Vorsichtig bleiben, nur wirklich als sicher bekannte mailanhänge öffnen, nur aus sicheren Quellen Programme herunterladen und vorher überprüfen, ob sie Spyware oder Adware enthalten können
9) ein Antivirenprogramm schadet auch nichts (Antivir ist kostenlos und halbwegs brauchbar), sollte aber nicht dazu verführen, sich grenzenlos darauf zu verlassen
10) Nicht gleich alle Programme, die früher installiert waren, sofort erneut aufs System lassen, sondern zuerst informieren, ob sie Spy/Adware enthalten

by Mountainking.